Дедлайн 22 апреля
Обновлено для 2026 года
FTC обновила COPPA. Новые правила вступают в силу 22 апреля 2026 года. Это первые существенные изменения с 2013 года. EdTech-платформы, обслуживающие детей до 13 лет, должны действовать немедленно. Остались недели, а не месяцы.
Изменения глубокие. Платформы, построенные по правилам 2013 года, должны провести аудит и обновить ключевые системы. Мелкие исправления не помогут.
Штраф Reddit: явное предупреждение
В марте 2026 года британский ICO оштрафовал Reddit на £14,47 миллиона. За что? Reddit не смог защитить детей от вредоносного контента. Проверка возраста оказалась слабой. Несовершеннолетние получили доступ.
Этот штраф вынесен по UK GDPR, не по COPPA. Но суть нарушения та же. COPPA 2026 нацелена именно на платформы, которые знают о присутствии несовершеннолетних, но не защищают их.
EdTech-сектор находится в ещё более уязвимом положении. Эти платформы знают, кто их пользователи. Они продают услуги школам. Они маркетируют родителям. Они видят студенческие электронные адреса. Защита «мы не знали» здесь неприменима.
Что изменилось в COPPA 2026
FTC добавила пять ключевых правил для EdTech-платформ.
1. Минимизация данных теперь обязательна
Собирайте только то, что действительно нужно для сервиса. Правила 2013 года позволяли широкий сбор данных с согласия родителей. Правила 2026 года запрещают избыточный сбор даже при наличии согласия. Идентификаторы устройств, сигналы отслеживания и данные геолокации, не нужные для работы сервиса, должны прекратить собираться немедленно.
2. Таргетированная реклама для несовершеннолетних запрещена
EdTech-платформы не могут использовать данные детей для поведенческой рекламы. Согласие не меняет этого правила. Некоторые платформы использовали общее согласие для оправдания широкого использования данных. Эта лазейка теперь закрыта.
3. Отдельное согласие для ИИ-функций
Любая ИИ-функция, использующая данные детей, требует отдельной формы согласия. ИИ-репетиторы, инструменты для письма и адаптивные движки — все они подпадают под это требование. Согласие на основной сервис не покрывает ИИ-надстройки.
4. Правила удаления с реальными зубами
Удаляйте данные детей, когда они больше не нужны. Платформы с автоматическим удалением по установленному расписанию несут меньшую ответственность в действиях FTC. Это реальная безопасная гавань — используйте её.
5. Более высокие требования к деидентификации
Удаления имени недостаточно. Платформы должны доказать, что повторная идентификация «не является разумно возможной». Для агрегированной аналитики это означает k-анонимность или дифференциальную приватность.
FERPA и COPPA: применяются оба закона
Для K–12-платформ, работающих со школами, FERPA действует параллельно с COPPA. Ключевые моменты:
- FERPA позволяет школам передавать записи учеников вендорам — но только для услуг по контракту
- COPPA всё равно применяется для детей до 13 лет, даже когда FERPA разрешает передачу
- Согласие школы по FERPA не заменяет родительское согласие по COPPA
Соответствие FERPA — это не соответствие COPPA. Оба закона должны соблюдаться независимо друг от друга.
Что нужно сделать до 22 апреля
Пройдите по этому чек-листу до дедлайна.
Инвентаризация
- Перечислите все данные, собираемые от пользователей до 13 лет
- Найдите каждый сторонний инструмент, получающий данные детей — аналитику, CRM, мониторинг
- Проверьте согласие для каждого типа сбора
Анонимизация
- Добавьте обнаружение персональных данных в контент учеников перед логированием
- Удалите имена, электронные адреса и студенческие идентификаторы из аналитических событий
- Деидентифицируйте агрегированные отчёты, используемые в продуктовой работе
- Очистите обучающие наборы ИИ, содержащие пользовательский контент
Согласие
- Создайте отдельные формы согласия для каждой ИИ-функции
- Логируйте согласие с метками времени
- Добавьте поток отзыва, который немедленно запускает удаление
Хранение
- Установите срок хранения для каждого типа записей
- Автоматизируйте удаление по истечении сроков
- Проверьте резервные системы на наличие пробелов
Вендоры
- Проверьте соглашения со всеми субобработчиками
- Убедитесь, что аналитические вендоры не используют данные детей для рекламы
- Обновите соглашения в соответствии со стандартом деидентификации 2026 года
Как анонимизация помогает
Новое правило деидентификации — самая техническая часть COPPA 2026. Простого удаления имён недостаточно. Вам нужна система, обнаруживающая и удаляющая все персональные данные во всех потоках данных.
anonym.legal обнаруживает 285+ типов сущностей в 48 языках. Многие EdTech-платформы обслуживают учеников, говорящих на разных языках. Персональные данные учеников встречаются на испанском, мандаринском, арабском и десятках других языков — не только на английском. Широкое языковое покрытие здесь — не приятная добавка. Это требование соответствия.
Платформа также ловит пограничные случаи, которые ручная проверка пропускает. Номера телефонов, шаблоны студенческих идентификаторов и косвенные идентификаторы часто встречаются в контенте учеников. Автоматическое обнаружение находит их в масштабе. Ручная проверка — нет.
Функция пакетной обработки позволяет командам пропускать существующие базы данных через инструмент. Это охватывает старый контент учеников, который теперь должен соответствовать более высоким стандартам. Ретроактивная деидентификация — часть картины соответствия по правилам 2026 года.
Обзор нашей работы с конфиденциальными данными — на странице безопасности и соответствия. На странице юридического соответствия подробно описаны как FERPA, так и COPPA.
Цена бездействия
Штрафы по COPPA достигают $51 744 за нарушение в день. Для платформы со 100 000 студенческих аккаунтов системный пробел в деидентификации может обернуться десятками миллионов долларов штрафов.
Штраф Reddit составил £14,47 миллиона. У Reddit — миллиарды выручки. Для средней EdTech-платформы штраф такого масштаба стал бы концом бизнеса.
22 апреля близко. Работа выполнима, если начать прямо сейчас. Регуляторы ясно дали понять, что будут применять новые правила. Ожидание — не стратегия.
Начать анонимизацию данных учеников сегодня →
Источники
- Обновлённые правила COPPA FTC, Федеральный реестр, 2025 (вступают в силу 22 апреля 2026)
- Уведомление о правоприменении ICO против Reddit, март 2026 — штраф £14,47 млн
- FERPA, 20 U.S.C. § 1232g и имплементирующие регуляции 34 CFR Часть 99
- FAQ FTC по COPPA: ИИ-функции и родительское согласие, 2026