Дедлайн — 22 квітня 2026 року
Оновлене правило COPPA Федеральної торгової комісії — перша суттєва редакція з 2013 року — набирає чинності 22 квітня 2026 року. Для EdTech-платформ, що обслуговують дітей до 13 років, вікно для досягнення відповідності вимірюється тижнями, а не місяцями.
Зміни правил — це не незначні уточнення. Вони представляють структурний зсув у тому, як дані дітей повинні збиратися, зберігатися та захищатися. Платформи, що побудували свої конвеєри даних за рамками 2013 року, повинні будуть перевірити і модифікувати основну інфраструктуру.
Штраф Reddit як попереджувальний сигнал
У березні 2026 року Офіс уповноваженого з інформації Великобританії оштрафував Reddit на £14,47 мільйона за недостатній захист дітей від шкідливого контенту — зокрема за недостатню верифікацію віку користувачів та вплив матеріалів для дорослих на неповнолітніх. Хоча це була британська виконавча дія за UK GDPR, а не COPPA, основоположна помилка ідентична тому, на що спрямоване COPPA 2026: платформи, які знають про присутність неповнолітніх, але не впроваджують належних засобів захисту.
Міркування ICO безпосередньо застосовується до американського EdTech: платформи не можуть покладатися на вікові бар'єри, що легко обходяться, і не можуть збирати та обробляти дані дітей за загальними умовами використання, розробленими для дорослих.
Для EdTech-платформ ризик посилюється. На відміну від Reddit, EdTech-сервіси часто мають явні знання про те, що їхні користувачі є неповнолітніми — вони продають школам, продають батькам, бачать електронні адреси учнів. Захист «ми не знали» недоступний.
Що змінилося у COPPA 2026
Оновлене правило FTC запровадило кілька положень, які EdTech-платформи повинні реалізувати:
1. Обов'язкова мінімізація даних
Платформи можуть збирати лише дані, строго необхідні для освітнього сервісу. Правило 2013 року дозволяло широкий збір даних за згодою батьків. Правило 2026 року забороняє збір непотрібних даних навіть зі згодою. Якщо ваша платформа збирає ідентифікатори пристроїв, дані поведінкового відстеження або інформацію про геолокацію, що не потрібна для надання освітнього сервісу, збір повинен припинитися.
2. Заборона цільової реклами для неповнолітніх
EdTech-платформам явно заборонено використовувати дані дітей для поведінкової реклами незалежно від згоди батьків. Це закриває лазівку, якою користувалися кілька великих EdTech-платформ, отримуючи широку згоду батьків на використання даних.
3. Батьківська згода для функцій ШІ
Будь-яка функція на основі ШІ, що обробляє введення дітей — включаючи ШІ-репетиторів, помічників із написання та адаптивні навчальні рушії — вимагає окремої явної згоди батьків за оновленим правилом. Роз'яснення FTC уточнює, що згода, отримана для основного освітнього сервісу, не поширюється на функції на базі ШІ.
4. Обмеження зберігання з дієвими інструментами правозастосування
Дані дітей повинні бути видалені «якнайшвидше після того, як вони більше не потрібні» для цілі, для якої були зібрані. Правило 2026 року додає безпечну гавань: платформи, що реалізують автоматизоване видалення у визначені інтервали зберігання, стикаються зі зниженою відповідальністю при виконавчих діях.
5. Розширені стандарти деідентифікації
Оновлене правило підвищує планку ефективної деідентифікації. Платформи повинні продемонструвати, що повторна ідентифікація є «розумно неможливою» — а не просто те, що вони видалили прямі ідентифікатори. Це фактично мандатує підходи k-анонімності або диференційованої конфіденційності для агрегатної аналітики.
Взаємодія з FERPA
Для K-12 EdTech-платформ, що працюють зі школами як освітніми установами, FERPA (Закон про права родини на освіту та конфіденційність) застосовується паралельно. Взаємодія важлива:
- FERPA дозволяє школам ділитися записами учнів з постачальниками відповідно до винятку «шкільного службовця» — але лише для сервісів, які школа уклала контракт
- COPPA застосовується незалежно для дітей до 13 років, навіть коли FERPA дозволяє обмін даними під керівництвом школи
- Платформа не може покладатися на згоду школи за FERPA для виконання вимог батьківської згоди COPPA
Практичний ефект: платформи, що обслуговують K-12 учнів, повинні відповідати обом режимам. Відповідність FERPA не створює відповідність COPPA.
Контрольний список відповідності EdTech
До 22 квітня 2026 року EdTech-платформи повинні виконати наступне:
Інвентаризація даних
- Скласти карту всіх даних, зібраних від користувачів до 13 років
- Визначити всі сторонні системи, що отримують дані дітей (аналітика, CRM, моніторинг)
- Перевірити механізми згоди для кожної категорії збору
Шар анонімізації
- Впровадити виявлення PII для всього контенту, згенерованого учнями, перед логуванням
- Видалити прямі ідентифікатори (імена, адреси електронної пошти, ідентифікатори учнів) з аналітичних подій
- Застосувати деідентифікацію до агрегатних звітів, що використовуються для аналізу продуктів
- Анонімізувати навчальні дані ШІ, що включають введення учнів
Інфраструктура згоди
- Окремі потоки батьківської згоди для функцій на базі ШІ
- Документувати записи згоди з часовими мітками та IP-адресами
- Впровадити механізм відкликання згоди, що запускає видалення даних
Автоматизація зберігання
- Визначити терміни зберігання для кожної категорії даних
- Впровадити автоматизоване видалення у визначені інтервали
- Перевірити резервні системи на відповідність вимогам зберігання
Оцінка постачальників
- Переглянути угоди про обробку даних з усіма субпроцесорами
- Підтвердити, що аналітичні постачальники не використовують дані дітей для поведінкової реклами
- Оновити DPA для відображення стандартів деідентифікації COPPA 2026
Як анонімізація PII вписується в архітектуру відповідності
Вимога деідентифікації є найбільш технічно вимогливою зміною у правилі 2026 року. Виконання цього вимагає більшого, ніж видалення імен із записів — це вимагає систематичного підходу до ідентифікації та видалення PII у всіх потоках даних.
anonym.legal виявляє понад 285 типів сутностей у 48 мовах. Для EdTech-платформ з багатомовними учнівськими популяціями — поширений сценарій у американських державних школах і міжнародних EdTech-продуктах — це охоплення важливе. PII учнів з'являється не лише англійською: імена, національні ідентифікатори та шкільні ідентифікатори з'являються іспанською, мандаринською, арабською та десятками інших мов.
Можливість пакетної обробки платформи дозволяє EdTech-командам обробляти наявні бази даних учнівського контенту, видаляючи PII з історичних записів для відповідності ретроактивним вимогам деідентифікації, що маються на увазі в розширених стандартах оновленого правила.
Ціна бездіяльності
Порушення COPPA тягнуть за собою штрафи до $51 744 за порушення за день. Для платформи зі 100 000 облікових записів учнів систематична помилка деідентифікації — якщо виявлена під час розслідування FTC — може призвести до штрафів на десятки мільйонів доларів.
Штраф Reddit становив £14,47 млн для компанії з мільярдними доходами. Для середньої EdTech-платформи пропорційний штраф був би екзистенційним.
22 квітня — дедлайн. Робота з відповідності виконується, якщо розпочата зараз.
Розпочніть анонімізацію даних учнів сьогодні →
Джерела:
- Оновлення правила COPPA FTC, Федеральний реєстр, 2025 (набирає чинності 22 квітня 2026 року)
- Повідомлення ICO про правозастосування Reddit, березень 2026 — штраф £14,47 млн
- FERPA, 20 U.S.C. § 1232g, та регуляторні акти 34 CFR Part 99
- COPPA FTC FAQ: функції на базі ШІ та батьківська згода, 2026