Termin 22 kwietnia
Zaktualizowano na 2026 rok
FTC zaktualizowała przepisy COPPA. Nowe regulacje wchodzą w życie 22 kwietnia 2026 roku. To pierwsza poważna zmiana od 2013 roku. Platformy EdTech obsługujące dzieci poniżej 13. roku życia muszą działać natychmiast. Pozostały tygodnie, nie miesiące.
Zmiany są głębokie. Platformy zbudowane na przepisach z 2013 roku muszą przeprowadzić audyt i zaktualizować podstawowe systemy. Drobne poprawki nie wystarczą.
Kara dla Reddita: wyraźne ostrzeżenie
W marcu 2026 roku brytyjskie ICO nałożyło na Reddit karę w wysokości 14,47 miliona funtów. Dlaczego? Reddit nie uniemożliwił dzieciom dostępu do szkodliwych treści. Weryfikacja wieku była zbyt słaba. Małoletni przechodzili przez nią bez przeszkód.
Kara została nałożona na podstawie brytyjskiego RODO, a nie COPPA. Jednak błąd był tego samego rodzaju. COPPA 2026 celuje w platformy, które wiedzą o obecności małoletnich, ale ich nie chronią.
Platformy EdTech są w trudniejszej sytuacji. Wiedzą, kim są ich użytkownicy. Sprzedają swoje usługi szkołom. Kierują marketing do rodziców. Widzą szkolne adresy e-mail uczniów. Argument „nie wiedzieliśmy” jest tu niedostępny.
Co zmieniła COPPA 2026
Aktualizacja FTC wprowadziła pięć kluczowych zasad dla platform EdTech.
1. Minimalizacja jest teraz obowiązkowa
Zbieraj tylko to, czego usługa rzeczywiście potrzebuje. Przepisy z 2013 roku pozwalały na szerokie zbieranie danych za zgodą rodziców. Przepisy z 2026 roku zakazują nadmiarowego zbierania nawet za zgodą. Identyfikatory urządzeń, sygnały śledzące i informacje o lokalizacji niepotrzebne do świadczenia usługi muszą zostać zablokowane.
2. Zakaz reklamy behawioralnej skierowanej do małoletnich
Platformy EdTech nie mogą wykorzystywać danych dzieci do reklamy behawioralnej. Zgoda nie zmienia tego faktu. Niektóre platformy używały blanketowych zgód do uzasadnienia szerokiego wykorzystania danych. Ta furtka jest teraz zamknięta.
3. Oddzielna zgoda na funkcje AI
Każda funkcja AI korzystająca z danych wprowadzonych przez dzieci wymaga własnego formularza zgody. Korepetytorzy AI, narzędzia do pisania i silniki adaptacyjne — wszystkie się kwalifikują. Zgoda na główną usługę nie obejmuje dodatków AI.
4. Reguły usuwania danych z realnymi konsekwencjami
Usuwaj dane dzieci, gdy przestają być potrzebne. Platformy stosujące automatyczne usuwanie według ustalonego harmonogramu są mniej narażone na odpowiedzialność w postępowaniach FTC. To realne bezpieczne schronienie — należy z niego korzystać.
5. Wyższy próg de-identyfikacji
Usunięcie imienia i nazwiska to za mało. Platformy muszą wykazać, że ponowna identyfikacja nie jest rozsądnie możliwa. W przypadku zbiorczej analityki oznacza to k-anonimowość lub prywatność różniczkową.
FERPA i COPPA: oba przepisy mają zastosowanie
Dla platform K-12 współpracujących ze szkołami FERPA działa obok COPPA. Kluczowe kwestie:
- FERPA pozwala szkołom udostępniać dane uczniów dostawcom — ale tylko do celów objętych umową
- COPPA nadal obowiązuje dla dzieci poniżej 13. roku życia, nawet gdy FERPA zezwala na udostępnianie
- Zgoda szkoły na podstawie FERPA nie zastępuje zgody rodziców wymaganej przez COPPA
Zgodność z FERPA to nie to samo co zgodność z COPPA. Obie muszą być spełnione odrębnie.
Co zrobić przed 22 kwietnia
Przepracuj tę listę kontrolną przed upływem terminu.
Inwentaryzacja
- Sporządź listę wszystkich danych zbieranych od użytkowników poniżej 13. roku życia
- Zidentyfikuj każde narzędzie zewnętrzne, do którego trafiają dane dzieci — analityka, CRM, monitoring
- Sprawdź podstawę prawną dla każdego rodzaju zbierania danych
Anonimizacja
- Dodaj wykrywanie danych osobowych do treści uczniowskich przed ich zapisem w logach
- Usuń imiona i nazwiska, adresy e-mail i identyfikatory uczniów ze zdarzeń analitycznych
- De-identyfikuj raporty zbiorcze używane w pracach nad produktem
- Oczyść zestawy danych treningowych AI zawierające dane wejściowe uczniów
Zgody
- Zbuduj odrębne ścieżki zgód dla każdej funkcji AI
- Rejestruj zgody ze znacznikami czasu
- Dodaj ścieżkę cofnięcia zgody uruchamiającą natychmiastowe usunięcie danych
Retencja
- Ustal okresy retencji dla każdego rodzaju danych
- Zautomatyzuj usuwanie po upływie tych okresów
- Sprawdź systemy kopii zapasowych pod kątem luk
Dostawcy
- Przejrzyj umowy z wszystkimi podmiotami przetwarzającymi
- Potwierdź, że dostawcy analityki nie wykorzystują danych dzieci do reklam
- Zaktualizuj umowy do standardu de-identyfikacji z 2026 roku
Jak pomaga anonimizacja
Nowy wymóg de-identyfikacji to najbardziej techniczna część COPPA 2026. Same usunięcie imion nie spełnia tego standardu. Potrzebujesz systemu, który wykryje i usunie wszystkie dane osobowe we wszystkich przepływach danych.
anonym.legal wykrywa ponad 285 typów encji w 48 językach. Wiele platform EdTech obsługuje uczniów posługujących się różnymi językami. Dane osobowe uczniów pojawiają się po hiszpańsku, mandaryńsku, arabsku i w dziesiątkach innych języków — nie tylko po angielsku. Szeroka obsługa językowa to tu nie luksus, ale wymóg compliance.
Platforma wykrywa też przypadki brzegowe, które umykają ręcznemu przeglądowi. Numery telefonów, wzorce identyfikatorów uczniów i pośrednie identyfikatory są powszechne w treściach uczniowskich. Automatyczne wykrywanie działa w skali, której ręczny przegląd nie osiągnie.
Funkcja przetwarzania wsadowego pozwala zespołom przepuścić istniejące bazy danych przez narzędzie — co obejmuje stare dane uczniów, które teraz muszą spełniać wyższy standard. Retrospektywna de-identyfikacja jest częścią obrazu compliance pod rządami przepisów z 2026 roku.
Zapoznaj się z naszym omówieniem bezpieczeństwa i zgodności, aby dowiedzieć się, jak obsługujemy wrażliwe dane. Strona zgodności prawnej szczegółowo opisuje zarówno FERPA, jak i COPPA.
Koszt braku działania
Kary COPPA wynoszą do 51 744 USD za naruszenie dziennie. Dla platformy z 100 000 kont uczniowskich systemowa luka w de-identyfikacji może oznaczać dziesiątki milionów dolarów kar.
Kara dla Reddita wyniosła 14,47 miliona funtów. Reddit generuje miliardy przychodów. Dla średniej platformy EdTech kara tej wielkości mogłaby zakończyć działalność.
22 kwietnia jest blisko. Praca jest wykonalna, jeśli zacznie się teraz. Regulatorzy dali wyraźnie do zrozumienia, że będą egzekwować nowe przepisy. Czekanie to nie jest strategia.
Zacznij anonimizować dane uczniów już dziś →
Źródła
- Aktualizacja przepisów FTC COPPA, Federal Register, 2025 (data wejścia w życie: 22 kwietnia 2026 r.)
- Decyzja egzekucyjna ICO wobec Reddita, marzec 2026 — kara 14,47 mln funtów
- FERPA, 20 U.S.C. § 1232g i przepisy wykonawcze 34 CFR Part 99
- FAQ FTC COPPA: funkcje oparte na AI i zgoda rodziców, 2026