กำหนดเส้นตาย 22 เมษายน
อัปเดตสำหรับปี 2026
FTC ได้อัปเดต COPPA กฎใหม่มีผลบังคับใช้วันที่ 22 เมษายน 2026 นี่คือการเปลี่ยนแปลงครั้งใหญ่ครั้งแรกนับตั้งแต่ปี 2013 แพลตฟอร์ม EdTech ที่ให้บริการเด็กอายุต่ำกว่า 13 ปีต้องดำเนินการทันที เหลืออีกไม่กี่สัปดาห์ ไม่ใช่เดือน
การเปลี่ยนแปลงนั้นลึกมาก แพลตฟอร์มที่สร้างขึ้นตามกฎปี 2013 ต้องตรวจสอบและอัปเดตระบบหลัก การแก้ไขเล็กน้อยไม่เพียงพอ
ค่าปรับ Reddit: คำเตือนที่ชัดเจน
ในเดือนมีนาคม 2026 ICO ของสหราชอาณาจักรปรับ Reddit £14.47 ล้าน ทำไม? Reddit ล้มเหลวในการป้องกันเด็กจากเนื้อหาที่เป็นอันตราย การตรวจสอบอายุอ่อนแอ ผู้เยาว์ผ่านเข้ามาได้
ค่าปรับนั้นอยู่ภายใต้ UK GDPR ไม่ใช่ COPPA แต่ความล้มเหลวเป็นแบบเดียวกัน COPPA 2026 มุ่งเป้าไปที่แพลตฟอร์มที่รู้ว่ามีผู้เยาว์อยู่แต่ไม่ปกป้องพวกเขา
EdTech อยู่ในสถานการณ์ที่ยากกว่า แพลตฟอร์มเหล่านี้รู้ว่าผู้ใช้ของตนเป็นใคร พวกเขาขายให้โรงเรียน ทำการตลาดกับผู้ปกครอง พวกเขาเห็นที่อยู่อีเมลของนักเรียน การป้องกันด้วย "เราไม่รู้" ไม่สามารถใช้ได้
สิ่งที่ COPPA 2026 เปลี่ยนแปลง
FTC เพิ่มกฎสำคัญ 5 ข้อสำหรับแพลตฟอร์ม EdTech
1. การลดข้อมูลเป็นสิ่งจำเป็นแล้ว
เก็บรวบรวมเฉพาะสิ่งที่บริการต้องการจริงๆ กฎปี 2013 อนุญาตให้แพลตฟอร์มเก็บข้อมูลมากมายด้วยความยินยอมของผู้ปกครอง กฎปี 2026 ห้ามการเก็บข้อมูลเพิ่มเติมแม้จะมีความยินยอม ID อุปกรณ์ สัญญาณติดตาม และข้อมูลตำแหน่งที่ไม่จำเป็นสำหรับบริการต้องหยุดทันที
2. ห้ามโฆษณาตามเป้าหมายสำหรับผู้เยาว์
แพลตฟอร์ม EdTech ไม่สามารถใช้ข้อมูลของเด็กสำหรับโฆษณาตามพฤติกรรมได้ ความยินยอมไม่เปลี่ยนแปลงสิ่งนี้ บางแพลตฟอร์มใช้ความยินยอมแบบกว้างๆ เพื่อ justify การใช้ข้อมูลอย่างกว้างขวาง ช่องโหว่นั้นปิดแล้ว
3. ต้องมีความยินยอมแยกต่างหากสำหรับฟีเจอร์ AI
ฟีเจอร์ AI ใดๆ ที่ใช้ input ของเด็กต้องมีแบบฟอร์มความยินยอมของตัวเอง ครูสอนพิเศษ AI เครื่องมือเขียน และ adaptive engine ล้วนนับรวม ความยินยอมสำหรับบริการหลักไม่ครอบคลุม AI add-on
4. กฎการลบข้อมูลที่มีฟันที่แท้จริง
ลบข้อมูลของเด็กเมื่อไม่จำเป็นอีกต่อไป แพลตฟอร์มที่รันการลบอัตโนมัติตามกำหนดการมีความรับผิดชอบน้อยลงในการดำเนินการของ FTC นี่คือ safe harbor ที่แท้จริง — ใช้มัน
5. มาตรฐาน De-identification ที่สูงขึ้น
การลบชื่อไม่เพียงพอ แพลตฟอร์มต้องแสดงให้เห็นว่าการระบุตัวตนซ้ำไม่สามารถเกิดขึ้นได้อย่างสมเหตุสมผล สำหรับการวิเคราะห์แบบรวม นั่นหมายถึง k-anonymity หรือ differential privacy
FERPA และ COPPA: ทั้งสองใช้บังคับ
สำหรับแพลตฟอร์ม K-12 ที่ทำงานกับโรงเรียน FERPA ทำงานควบคู่กับ COPPA นี่คือสิ่งที่สำคัญ:
- FERPA อนุญาตให้โรงเรียนแชร์ข้อมูลนักเรียนกับผู้ขาย — แต่เฉพาะสำหรับบริการตามสัญญา
- COPPA ยังคงใช้กับเด็กอายุต่ำกว่า 13 ปี แม้ว่า FERPA จะอนุญาตการแชร์
- ความยินยอมของโรงเรียนภายใต้ FERPA ไม่ได้แทนที่ความยินยอมของผู้ปกครองภายใต้ COPPA
การปฏิบัติตาม FERPA ไม่ใช่การปฏิบัติตาม COPPA ทั้งสองต้องทำแยกกัน
สิ่งที่ต้องทำก่อน 22 เมษายน
ดำเนินการตาม checklist นี้ก่อนถึงกำหนด
การสินค้าคงคลัง
- รายการข้อมูลทั้งหมดที่เก็บจากผู้ใช้อายุต่ำกว่า 13 ปี
- ค้นหาเครื่องมือบุคคลที่สามทุกตัวที่รับข้อมูลของเด็ก — การวิเคราะห์ CRM การตรวจสอบ
- ตรวจสอบความยินยอมสำหรับการเก็บข้อมูลแต่ละประเภท
Anonymization
- เพิ่มการตรวจจับ PII ในเนื้อหานักเรียนก่อนที่จะบันทึก
- ลบชื่อ ที่อยู่อีเมล และ ID นักเรียนออกจาก analytics event
- De-identify รายงานรวมที่ใช้สำหรับงานผลิตภัณฑ์
- ทำความสะอาดชุดข้อมูล AI training ที่มี input ของนักเรียน
ความยินยอม
- สร้างขั้นตอนความยินยอมแยกต่างหากสำหรับแต่ละฟีเจอร์ AI
- บันทึกความยินยอมพร้อม timestamp
- เพิ่มขั้นตอนการถอนความยินยอมที่ trigger การลบทันที
การเก็บรักษา
- กำหนดระยะเวลาการเก็บรักษาสำหรับแต่ละประเภทข้อมูล
- อัตโนมัติการลบเมื่อสิ้นสุดระยะเวลา
- ตรวจสอบระบบสำรองข้อมูลสำหรับช่องว่าง
ผู้ขาย
- ตรวจสอบข้อตกลงกับ sub-processor ทั้งหมด
- ยืนยันว่าผู้ขายการวิเคราะห์ไม่ได้ใช้ข้อมูลของเด็กสำหรับโฆษณา
- อัปเดตข้อตกลงให้ตรงกับมาตรฐาน de-identification ปี 2026
Anonymization ช่วยได้อย่างไร
กฎ de-identification ใหม่เป็นส่วนที่มีเทคนิคมากที่สุดของ COPPA 2026 การลบชื่อเพียงอย่างเดียวไม่ตรงตามมาตรฐาน คุณต้องการระบบที่ค้นหาและลบ PII ทั้งหมดในทุก data flow
anonym.legal ตรวจจับ 285+ ประเภทข้อมูล ใน 48 ภาษา แพลตฟอร์ม EdTech หลายแห่งให้บริการนักเรียนที่พูดหลายภาษา PII ของนักเรียนปรากฏในภาษาสเปน จีนกลาง อาหรับ และหลายสิบภาษาอื่น — ไม่ใช่แค่ภาษาอังกฤษ การครอบคลุมภาษาที่กว้างไม่ใช่สิ่งที่ดีถ้ามีที่นี่ มันเป็นความต้องการด้านการปฏิบัติตามกฎหมาย
แพลตฟอร์มยังตรวจจับกรณีพิเศษที่การตรวจสอบด้วยมือพลาด หมายเลขโทรศัพท์ รูปแบบ ID นักเรียน และตัวบ่งชี้ทางอ้อมเป็นเรื่องปกติในเนื้อหานักเรียน การตรวจจับอัตโนมัติค้นหาสิ่งเหล่านี้ในระดับใหญ่ การตรวจสอบด้วยมือทำไม่ได้
ฟีเจอร์ batch processing ช่วยให้ทีมรันฐานข้อมูลที่มีอยู่ผ่านเครื่องมือได้ ครอบคลุมเนื้อหานักเรียนเก่าที่ตอนนี้ต้องตรงตามมาตรฐานที่สูงขึ้น De-identification ย้อนหลังเป็นส่วนหนึ่งของภาพการปฏิบัติตามกฎหมายภายใต้กฎปี 2026
ดู ภาพรวมความปลอดภัยและการปฏิบัติตามกฎหมาย สำหรับวิธีที่เราจัดการข้อมูลสำคัญ หน้าการปฏิบัติตามกฎหมาย ครอบคลุมทั้ง FERPA และ COPPA โดยละเอียด
ต้นทุนของการไม่ดำเนินการ
ค่าปรับ COPPA สูงถึง $51,744 ต่อการละเมิดต่อวัน สำหรับแพลตฟอร์มที่มีบัญชีนักเรียน 100,000 บัญชี ช่องว่างเชิงระบบใน de-identification อาจหมายถึงค่าปรับหลายสิบล้านดอลลาร์
ค่าปรับของ Reddit คือ £14.47 ล้าน Reddit มีรายได้หลายพันล้าน สำหรับแพลตฟอร์ม EdTech ขนาดกลาง ค่าปรับในระดับนั้นจะทำลายบริษัทได้
22 เมษายนใกล้เข้ามาแล้ว งานทำได้ถ้าเริ่มทันที ผู้กำกับดูแลแสดงให้เห็นอย่างชัดเจนว่าจะบังคับใช้กฎใหม่ การรอคอยไม่ใช่กลยุทธ์
เริ่ม anonymize ข้อมูลนักเรียนวันนี้ →
แหล่งอ้างอิง
- FTC COPPA Rule Update, Federal Register, 2025 (มีผลบังคับใช้ 22 เมษายน 2026)
- ICO Reddit enforcement notice มีนาคม 2026 — ค่าปรับ £14.47 ล้าน
- FERPA, 20 U.S.C. § 1232g และกฎระเบียบการบังคับใช้ 34 CFR Part 99
- FTC COPPA FAQ: ฟีเจอร์ที่ขับเคลื่อนด้วย AI และความยินยอมของผู้ปกครอง 2026