O Prazo de 22 de Abril
Atualizado para 2026
A FTC atualizou o COPPA. A nova regra entra em vigor em 22 de abril de 2026. É a primeira grande mudança desde 2013. As plataformas EdTech que atendem crianças menores de 13 anos precisam agir agora. Restam semanas, não meses.
As mudanças são profundas. Plataformas construídas com as regras de 2013 precisam auditar e atualizar sistemas centrais. Pequenos ajustes não serão suficientes.
A Multa do Reddit: Um Aviso Claro
Em março de 2026, o ICO do Reino Unido multou o Reddit em £14,47 milhões. Por quê? O Reddit não protegeu as crianças de conteúdo prejudicial. As verificações de idade eram fracas demais. Menores passaram.
Essa multa foi sob o RGPD do Reino Unido, não o COPPA. Mas o tipo de falha é o mesmo. O COPPA 2026 mira em plataformas que sabem que menores estão presentes, mas não os protegem.
O EdTech está em uma posição mais difícil. Essas plataformas sabem quem são seus usuários. Elas vendem para escolas. Fazem marketing para pais. Veem os endereços de e-mail dos alunos. A defesa de "não sabíamos" não está disponível.
O que o COPPA 2026 Mudou
A atualização da FTC adicionou cinco regras-chave para plataformas EdTech.
1. Minimização É Agora Obrigatória
Colete apenas o que o serviço realmente precisa. A regra de 2013 permitia ampla coleta com consentimento parental. A regra de 2026 proíbe coleta extra mesmo com consentimento. IDs de dispositivos, sinais de rastreamento e dados de localização não necessários para o serviço devem parar agora.
2. Sem Publicidade Direcionada a Menores
As plataformas EdTech não podem usar dados de crianças para anúncios comportamentais. O consentimento não muda isso. Algumas plataformas usavam consentimento geral para justificar uso amplo de dados. Essa brecha está agora fechada.
3. Consentimento Separado para Recursos de IA
Qualquer recurso de IA que use entradas de crianças precisa de seu próprio formulário de consentimento. Tutores de IA, ferramentas de escrita e motores adaptativos contam. O consentimento para o serviço principal não cobre complementos de IA.
4. Regras de Exclusão com Consequências Reais
Exclua os registros de crianças quando não forem mais necessários. Plataformas que executam exclusão automatizada em um cronograma definido enfrentam menor responsabilidade em ações da FTC. Este é um porto seguro real — use-o.
5. Padrão Mais Alto de Desidentificação
Remover um nome não é suficiente. As plataformas devem demonstrar que a reidentificação não é razoavelmente possível. Para análises agregadas, isso significa k-anonimato ou privacidade diferencial.
FERPA e COPPA: Ambos se Aplicam
Para plataformas K-12 que trabalham com escolas, o FERPA se aplica junto com o COPPA. Isso é o que importa:
- O FERPA permite que escolas compartilhem dados de alunos com fornecedores — mas apenas para serviços contratados
- O COPPA ainda se aplica para crianças menores de 13 anos, mesmo quando o FERPA permite o compartilhamento
- O consentimento escolar sob o FERPA não substitui o consentimento parental do COPPA
Conformidade com o FERPA não é conformidade com o COPPA. Ambos devem ser atendidos separadamente.
O que Fazer Antes de 22 de Abril
Trabalhe esta lista de verificação antes do prazo.
Inventário
- Liste todos os registros coletados de usuários menores de 13 anos
- Encontre cada ferramenta de terceiros que recebe dados de crianças — análise, CRM, monitoramento
- Verifique o consentimento para cada tipo de coleta
Anonimização
- Adicione detecção de PII ao conteúdo de alunos antes de ser registrado
- Remova nomes, endereços de e-mail e IDs de alunos de eventos de análise
- Desidentifique relatórios agregados usados para trabalho de produto
- Limpe conjuntos de treinamento de IA que incluem entradas de alunos
Consentimento
- Crie fluxos de consentimento separados para cada recurso de IA
- Registre o consentimento com timestamps
- Adicione um fluxo de retirada que acione a exclusão imediatamente
Retenção
- Defina um período de retenção para cada tipo de registro
- Automatize a exclusão quando os períodos terminarem
- Verifique sistemas de backup para lacunas
Fornecedores
- Revise os contratos de processamento com todos os subprocessadores
- Confirme que os fornecedores de análise não usam dados de crianças para anúncios
- Atualize os contratos para atender ao padrão de desidentificação de 2026
Como a Anonimização Ajuda
A nova regra de desidentificação é a parte mais técnica do COPPA 2026. Remover apenas nomes não atende ao padrão. Você precisa de um sistema que encontre e remova todos os PII em cada fluxo de dados.
anonym.legal detecta mais de 285 tipos de entidades em 48 idiomas. Muitas plataformas EdTech atendem alunos que falam muitos idiomas. Os PII de alunos aparecem em espanhol, mandarim, árabe e dezenas de outros — não apenas em inglês. Ampla cobertura de idiomas não é um luxo aqui. É uma necessidade de conformidade.
A plataforma também detecta casos limítrofes que a revisão manual perde. Números de telefone, padrões de ID de alunos e identificadores indiretos são comuns no conteúdo de alunos. A detecção automatizada os encontra em escala. A revisão manual não faz isso.
O recurso de processamento em lote permite que as equipes processem bancos de dados existentes com a ferramenta. Isso cobre o conteúdo antigo de alunos que agora deve atender ao padrão mais alto. A desidentificação retroativa faz parte do quadro de conformidade sob a regra de 2026.
Veja nossa visão geral de segurança e conformidade sobre como lidamos com registros sensíveis. A página de conformidade legal abrange tanto FERPA quanto COPPA em detalhe.
O Custo da Inação
Violações do COPPA acarretam penalidades de até $51.744 por violação por dia. Para uma plataforma com 100.000 contas de alunos, uma lacuna sistêmica na desidentificação pode significar dezenas de milhões em multas.
A multa do Reddit foi de £14,47 milhões. O Reddit tem bilhões em receita. Para uma plataforma EdTech de médio porte, uma multa similar seria existencial.
22 de abril está próximo. O trabalho é factível se começar agora. Os reguladores deixaram claro que farão cumprir a nova regra. Esperar não é uma estratégia.
Comece a anonimizar os registros de alunos hoje →
Fontes
- Atualização da Regra COPPA da FTC, Federal Register, 2025 (em vigor em 22 de abril de 2026)
- Aviso de aplicação da ICO contra o Reddit, março de 2026 — multa de £14,47 milhões
- FERPA, 20 U.S.C. § 1232g, e regulamentos de implementação 34 CFR Parte 99
- FAQ COPPA da FTC: recursos alimentados por IA e consentimento parental, 2026