De Deadline van 22 April
Bijgewerkt voor 2026
De FTC heeft COPPA bijgewerkt. De nieuwe regel treedt in werking op 22 april 2026. Dit is de eerste grote wijziging sinds 2013. EdTech-platforms die kinderen onder de 13 jaar bedienen, moeten nu handelen. Er zijn nog weken, geen maanden.
De veranderingen zijn ingrijpend. Platforms die zijn gebouwd op de regels van 2013, moeten kernsystemen controleren en bijwerken. Kleine aanpassingen zijn niet voldoende.
De Boete van Reddit: Een Duidelijke Waarschuwing
In maart 2026 legde de Britse ICO Reddit een boete op van £14,47 miljoen. Waarom? Reddit slaagde er niet in kinderen weg te houden van schadelijke content. Leeftijdscontroles waren te zwak. Minderjarigen kwamen er doorheen.
Die boete viel onder de UK GDPR, niet onder COPPA. Maar de tekortkoming is van hetzelfde soort. COPPA 2026 richt zich op platforms die weten dat minderjarigen aanwezig zijn maar hen niet beschermen.
EdTech staat in een moeilijkere positie. Deze platforms weten wie hun gebruikers zijn. Ze verkopen aan scholen. Ze richten zich op ouders. Ze zien leerling-e-mailadressen. Het verweer "we wisten het niet" is hier niet beschikbaar.
Wat COPPA 2026 Veranderd Heeft
De FTC-update voegt vijf sleutelregels toe voor EdTech-platforms.
1. Minimalisatie Is Nu Verplicht
Verzamel alleen wat de dienst werkelijk nodig heeft. De regel van 2013 stond platforms toe veel te verzamelen met ouderlijke toestemming. De regel van 2026 verbiedt extra verzameling zelfs mét toestemming. Apparaat-ID's, trackingsignalen en locatiegegevens die niet nodig zijn voor de dienst moeten nu stoppen.
2. Geen Gerichte Advertenties aan Minderjarigen
EdTech-platforms mogen de gegevens van kinderen niet gebruiken voor gedragsgerichte advertenties. Toestemming verandert dit niet. Sommige platforms gebruikten brede toestemming om uitgebreid datagebruik te rechtvaardigen. Die maagd is nu gesloten.
3. Aparte Toestemming voor AI-functies
Elke AI-functie die invoer van kinderen gebruikt, heeft een eigen toestemmingsformulier nodig. AI-tutors, schrijftools en adaptieve engines vallen hier allemaal onder. Toestemming voor de hoofddienst dekt AI-add-ons niet.
4. Verwijderingsregels met Echte Tanden
Verwijder kindergegevens zodra ze niet langer nodig zijn. Platforms die geautomatiseerde verwijdering op een vast schema uitvoeren, hebben minder aansprakelijkheid bij FTC-acties. Dit is een echte vrijhaven — maak er gebruik van.
5. Hogere Lat voor De-identificatie
Een naam verwijderen is niet voldoende. Platforms moeten aantonen dat her-identificatie redelijkerwijs niet mogelijk is. Voor geaggregeerde analyses betekent dit k-anonimiteit of differentiële privacy.
FERPA en COPPA: Beide Gelden
Voor K-12-platforms die met scholen samenwerken, loopt FERPA naast COPPA. Dit is wat telt:
- FERPA staat scholen toe leerlinggegevens te delen met leveranciers — maar alleen voor gecontracteerde diensten
- COPPA geldt nog steeds voor kinderen onder de 13, ook als FERPA het delen toestaat
- Schooltoestemming onder FERPA vervangt de ouderlijke toestemming onder COPPA niet
FERPA-compliance is geen COPPA-compliance. Aan beide moet afzonderlijk worden voldaan.
Wat Te Doen Voor 22 April
Doorloop deze checklist voor de deadline.
Inventarisatie
- Zet alle gegevens op een rij die worden verzameld van gebruikers onder de 13 jaar
- Zoek elk hulpmiddel van derden dat kindergegevens ontvangt — analytics, CRM, monitoring
- Controleer de toestemming voor elk type verzameling
Anonimisering
- Voeg PII-detectie toe aan studentcontent voordat deze wordt gelogd
- Verwijder namen, e-mailadressen en student-ID's uit analytics-events
- De-identificeer geaggregeerde rapporten die voor productontwikkeling worden gebruikt
- Reinig AI-trainingssets die studentinvoer bevatten
Toestemming
- Bouw afzonderlijke toestemmingsflows voor elke AI-functie
- Log toestemming met tijdstempels
- Voeg een intrekkingsstroom toe die onmiddellijk verwijdering activeert
Bewaring
- Stel een bewaarperiode in voor elk recordtype
- Automatiseer verwijdering wanneer perioden verlopen
- Controleer back-upsystemen op lacunes
Leveranciers
- Beoordeel overeenkomsten met alle subverwerkers
- Bevestig dat analyseleveranciers kindergegevens niet gebruiken voor advertenties
- Werk overeenkomsten bij conform de de-identificatienorm van 2026
Hoe Anonimisering Helpt
De nieuwe de-identificatieregel is het meest technische onderdeel van COPPA 2026. Namen alleen verwijderen voldoet niet aan de norm. U heeft een systeem nodig dat alle PII vindt en verwijdert in elke gegevensstroom.
anonym.legal detecteert 285+ entiteitstypen in 48 talen. Veel EdTech-platforms bedienen studenten die vele talen spreken. Student-PII komt voor in het Spaans, Mandarijn, Arabisch en tientallen andere talen — niet alleen Engels. Brede taalondersteuning is hier geen nice-to-have. Het is een compliancevereiste.
Het platform pikt ook randgevallen op die handmatige controle mist. Telefoonnummers, student-ID-patronen en indirecte identificatoren komen vaak voor in studentcontent. Geautomatiseerde detectie vindt deze op schaal. Handmatige controle doet dat niet.
De batchverwerkingsfunctie laat teams bestaande databases door het hulpmiddel halen. Dat dekt oude studentcontent die nu aan de hogere norm moet voldoen. Retroactieve de-identificatie maakt deel uit van het complianceplaatje onder de regel van 2026.
Zie ons beveiligings- en complianceoverzicht voor hoe wij gevoelige records verwerken. De juridische compliancepagina behandelt zowel FERPA als COPPA in detail.
De Kosten van Niets Doen
COPPA-boetes lopen op tot $51.744 per overtreding per dag. Voor een platform met 100.000 studentaccounts kan een systematische lacune in de-identificatie tientallen miljoenen aan boetes betekenen.
De boete van Reddit bedroeg £14,47 miljoen. Reddit heeft miljarden aan omzet. Voor een middelgroot EdTech-platform zou een boete van die omvang bedrijfsbeëindigend zijn.
22 april komt snel. Het werk is haalbaar als het nu begint. Toezichthouders hebben duidelijk gemaakt dat ze de nieuwe regel zullen handhaven. Wachten is geen strategie.
Begin vandaag met het anonimiseren van studentgegevens →
Bronnen
- FTC COPPA-regelupdate, Federal Register, 2025 (van kracht 22 april 2026)
- ICO Reddit-handhavingsbeschikking, maart 2026 — boete van £14,47 miljoen
- FERPA, 20 U.S.C. § 1232g, en uitvoeringsregelgeving 34 CFR Deel 99
- FTC COPPA FAQ: door AI aangedreven functies en ouderlijke toestemming, 2026