Siapa yang Sebenarnya Dilindungi COPPA

COPPA terpakai kepada mana-mana laman web komersial, aplikasi mudah alih, peranti bersambung, atau perkhidmatan dalam talian yang sama ada diarahkan kepada kanak-kanak di bawah 13 tahun atau mempunyai pengetahuan sebenar bahawa ia mengumpul maklumat peribadi daripada kanak-kanak di bawah 13 tahun. Jangkauan ini lebih luas daripada yang kebanyakan penerbit sangka kerana FTC mentafsir kedua-dua pihak secara agresif.

Sesuatu perkhidmatan adalah diarahkan kepada kanak-kanak berdasarkan analisis pelbagai faktor: perkara, kandungan visual, penggunaan watak animasi atau aktiviti berorientasikan kanak-kanak, muzik, umur model, kehadiran selebriti popular di kalangan kanak-kanak, bahasa, pengiklanan pada perkhidmatan yang diarahkan kepada kanak-kanak, dan bukti empirikal yang kompeten dan boleh dipercayai tentang komposisi penonton. Tapak audien umum boleh menjadi perkhidmatan audien campuran sebaik sahaja bahagiannya dibina sekitar kandungan berorientasikan kanak-kanak.

Tiga perkara yang penerbit secara konsisten tersilap:

• Mempercayai bahawa pintu umur Terma Perkhidmatan semasa pendaftaran adalah mencukupi. Ia tidak mencukupi dengan sendirinya apabila selebihnya tapak menunjukkan niat yang diarahkan kepada kanak-kanak.
• Menganggap bahawa tiada pengguna log masuk bermakna tiada pendedahan COPPA. Pengecam berterusan — kuki, alamat IP, ID peranti, ID pengiklanan — adalah maklumat peribadi di bawah COPPA apabila dikumpulkan daripada kanak-kanak.
• Menganggap COPPA sebagai ortogonan kepada undang-undang privasi negeri. Kod Reka Bentuk Sesuai Umur California, undang-undang data kanak-kanak Connecticut, dan cadangan persekutuan semuanya dibina di atas definisi COPPA; program COPPA yang bersih adalah asas pematuhan dengan semua daripada mereka.

Apa yang Sebenarnya Diubah oleh Pindaan 2025

Peraturan muktamad Januari 2025 FTC, kemas kini menyeluruh pertama sejak 2013, memodenkan COPPA dalam lima cara konkrit yang mesti diinternalisasikan oleh penerbit.

Opt-In Berasingan untuk Pengiklanan Pihak Ketiga

Pengendali tidak lagi boleh menggabungkan pendedahan pengiklanan pihak ketiga ke dalam satu persetujuan ibu bapa untuk menggunakan perkhidmatan. Pengiklanan tingkah laku pada perkhidmatan yang diarahkan kepada kanak-kanak kini memerlukan persetujuan ibu bapa yang boleh disahkan secara opt-in yang berasingan yang berbeza daripada persetujuan untuk menggunakan perkhidmatan itu sendiri. Penggabungan — norma sejarah untuk aplikasi dan tapak kanak-kanak yang disokong iklan — kini dilarang secara nyata.

Maklumat Peribadi yang Diperluaskan

Pindaan ini memperluaskan definisi maklumat peribadi untuk memasukkan pengecam biometrik yang mampu mengesahkan individu, termasuk cap jari, cap suara, imej retina atau iris, dan templat geometri muka. Ia juga menjelaskan bahawa pengecam yang dikeluarkan kerajaan dari mana-mana kerajaan, bukan hanya A.S., layak. Penerbit yang menjalankan ciri carian suara, pembantu AI, atau alat muat naik foto pada perkhidmatan yang diarahkan kepada kanak-kanak perlu memetakan aliran ini berbanding definisi baru.

Had Pengekalan Data

Peraturan baru memerlukan pengendali untuk menerbitkan dasar pengekalan bertulis yang mengehadkan penyimpanan maklumat peribadi kanak-kanak kepada apa yang diperlukan secara munasabah untuk memenuhi tujuan pengumpulannya. Pengekalan tanpa had tidak lagi dibenarkan, dan dasar tersebut mesti dipautkan dari notis privasi.

Kaedah Persetujuan Ibu Bapa yang Boleh Disahkan Diperkukuhkan

Pindaan ini memformalkan menu kaedah VPC yang boleh diterima dan menambah pilihan pengesahan berasaskan pengetahuan menggunakan soalan berbilang pilihan dinamik yang hanya boleh dijawab oleh ibu bapa. Kaedah klasik — transaksi kad kredit, borang yang ditandatangani, persidangan video dengan pengendali terlatih, pengesahan ID kerajaan — masih tersedia tetapi mesti didokumentasikan bagi setiap peristiwa persetujuan.

Notis Perubahan Material Mencetuskan VPC Baru

Sebarang perubahan material kepada amalan data — kategori data baru yang dikumpulkan, penerima pihak ketiga baru, pengaturan pengiklanan baru — mencetuskan persetujuan ibu bapa yang boleh disahkan baru. Pengendali tidak boleh bergantung pada persetujuan 2018 untuk membenarkan integrasi pengiklanan 2026.

Persetujuan Ibu Bapa yang Boleh Disahkan dalam Amalan

Persetujuan Ibu Bapa yang Boleh Disahkan adalah jantung COPPA, dan ia adalah bahagian yang penerbit paling kerap laksanakan dengan buruk. Piawaian undang-undang adalah persetujuan yang direka secara munasabah untuk memastikan bahawa orang yang memberikan persetujuan adalah ibu bapa kanak-kanak — bukan sekadar persetujuan yang dikumpulkan sama sekali.

Kaedah yang diluluskan FTC yang perlu diketahui oleh penerbit:

• Transaksi kad kredit atau debit dengan notifikasi kepada pemegang kad. Caj kecil atau kebenaran sifar dolar boleh diterima apabila dipasangkan dengan notis transaksi.
• Pengesahan ID yang dikeluarkan kerajaan melalui vendor identiti pihak ketiga yang selamat, dengan ID dimusnahkan dengan segera selepas pengesahan.
• Pengesahan berasaskan pengetahuan — pilihan baharu dari peraturan 2025 — menggunakan soalan berbilang pilihan dinamik yang bersumber dari rekod awam.
• Borang persetujuan yang ditandatangani dikembalikan melalui mel, faks, atau imbasan elektronik.
• Persidangan video dengan pengendali terlatih yang mengesahkan identiti berbanding ID kerajaan yang dikemukakan.
• E-mel plus — hanya dibenarkan untuk maklumat peribadi yang hanya untuk kegunaan dalaman, dan memerlukan langkah pengesahan susulan. Jangan bergantung pada e-mel plus untuk data pengiklanan.

Soalan operasi utama ialah dokumentasi. Bagi setiap pengguna kanak-kanak, pengendali mesti dapat menunjukkan, atas permintaan FTC: kaedah mana yang digunakan, siapa ibu bapa yang mengesahkan, kategori data mana yang dibenarkan, penerima pihak ketiga mana yang dinamakan, dan cap masa persetujuan. CMP gaya FlexyConsent moden harus disepadukan dengan vendor VPC dan menyimpan jejak ini dalam log audit yang sama seperti peristiwa persetujuan kuki.

Persetujuan Kuki pada Tapak yang Diarahkan kepada Kanak-Kanak

COPPA dan sepanduk kuki berada pada lapisan undang-undang yang berbeza tetapi mesti berfungsi bersama. Sepanduk persetujuan kuki di bawah GDPR/ePrivacy atau di bawah undang-undang negeri seperti CCPA tidak memuaskan COPPA, dan persetujuan ibu bapa yang boleh disahkan tidak mengecualikan pengendali dari kewajipan pendedahan kuki. Pengendali yang melayan kanak-kanak mesti menjalankan kedua-dua lapisan secara selaras.

Sekat Penjejakan Sehingga VPC Diperoleh

Pada halaman yang diarahkan kepada kanak-kanak, tiada kuki pengiklanan atau analitik boleh dinyalakan sebelum VPC diperoleh untuk pengguna tersebut. Sepanduk terima-semua standard adalah alat yang salah — keadaan lalai mesti tiada yang dinyalakan sehingga persetujuan ibu bapa ada dalam rekod, dan walaupun begitu hanya untuk kategori yang dibenarkan oleh ibu bapa.

Hadkan Senarai Vendor kepada Rakan Kongsi Selamat COPPA

Senarai vendor pada hartanah yang diarahkan kepada kanak-kanak semestinya lebih pendek daripada tapak audien umum. SSP, DSP, dan pembekal analitik mesti menjamin secara kontrak bahawa mereka tidak menggunakan data kanak-kanak untuk penyasaran tingkah laku dan tidak menyerahkan kanak-kanak kepada rangkaian tingkah laku hiliran. Kebanyakan SSP utama menerbitkan mod inventori patuh-COPPA; konfigurasikan tindanan anda kepada mod tersebut dan alih keluar rakan kongsi yang tidak patuh.

Paparkan Kawalan Ibu Bapa di Footer

Notis privasi mesti memasukkan bahagian yang jelas, bahasa mudah yang ditujukan kepada ibu bapa dengan arahan untuk menyemak, mengubah suai, atau membatalkan persetujuan untuk anak mereka. Pautan footer berterusan berlabel sesuatu seperti Untuk Ibu Bapa memenuhi jangkaan kebolehaksesan FTC dan mewujudkan jejak yang boleh dipertahankan apabila penyiasat menjalankan audit kebolehgunaan.

Corak Penguatkuasaan FTC pada 2024–2026

Penguatkuasaan di bawah COPPA telah dipercepatkan sejak penyelesaian YouTube 2019 menetapkan semula selera FTC untuk kes penerbit besar. Corak dari dekri persetujuan terbaru menawarkan peta jalan untuk apa yang sebenarnya dicari FTC dalam siasatan.

• Pengecam berterusan sebagai bukti utama. FTC secara rutin mengeluarkan saman kepada log iklan pengendali dan menghubungkannya dengan data penonton untuk menunjukkan bahawa ID ad-tech diberikan kepada pengguna kanak-kanak yang dapat dikenal pasti tanpa VPC. Dokumen dalaman yang memanggil penonton sebagai kanak-kanak sementara program privasi menganggapnya sebagai audien umum adalah bencana.
• Salah urus vendor sebagai pengganda. Apabila pengendali memajukan data kanak-kanak kepada SSP yang tidak patuh COPPA, kedua-dua pihak menjadi bertanggungjawab. FTC telah mengejar pengendali utama dan rangkaian hiliran dalam tindakan selari.
• Penemuan corak tingkah laku. Satu kegagalan VPC boleh menjadi penemuan; corak kegagalan merentasi permukaan produk menjadi kiraan amalan menipu di bawah Seksyen 5 Akta FTC, memperluaskan penalti dan skop dekri persetujuan.
• Peningkatan penalti sivil. Penalti sivil maksimum setiap pelanggaran di bawah Akta Penambahbaikan FTC telah dilaraskan ke atas setiap tahun; pada 2025 ia berada di atas $50,000 setiap pelanggaran, dengan setiap kanak-kanak dianggap sebagai pelanggaran berasingan dalam beberapa perkara.

Membina Tindanan Bersedia COPPA

Melaksanakan COPPA dengan cara yang benar-benar tahan terhadap penelitian FTC adalah masalah koordinasi merentasi produk, kejuruteraan, operasi iklan, dan undang-undang. Kerja ini dibahagikan kepada kira-kira enam aliran kerja.

1. Klasifikasikan Setiap Hartanah dan Permukaan

Bagi setiap domain, subdomain, aplikasi, dan titik akhir peranti bersambung, tentukan sama ada ia diarahkan kepada kanak-kanak, audien campuran, atau audien umum. Dokumentasikan analisis. Permukaan audien campuran — contohnya, laman utama dengan kandungan dewasa dan kanak-kanak — mesti menerapkan COPPA hanya kepada pengguna yang mengenal pasti diri mereka sebagai di bawah 13 tahun melalui pintu umur neutral, bukan kepada semua pengguna.

2. Bina Pintu Umur dengan Cara yang Betul

Pintu umur neutral meminta tarikh lahir dengan cara yang tidak memberi isyarat bahawa pengguna yang lebih tua mendapat lebih akses. Bertanya adakah anda berumur 13 tahun atau lebih? adalah tidak neutral dan FTC telah menandakannya. Pemilih hari-bulan-tahun yang mudah, digunakan sekali setiap peranti dengan kuki tahan gangguan, adalah pendekatan standard.

3. Sepadukan Vendor VPC

Melainkan pasukan produk anda berhasrat mengendalikan VPC secara dalaman, sepadukan vendor pakar — terdapat beberapa pembekal yang diluluskan FTC — dan buat integrasi boleh dipanggil dari CMP, aliran pendaftaran, dan portal pengurusan persetujuan ibu bapa anda. Simpan rekod audit setiap peristiwa dalam pangkalan data CMP, bukan dalam silo vendor VPC.

4. Konfigurasikan Tindanan Iklan dan Analitik untuk Mod COPPA

Google Ad Manager, AdMob, IronSource, Unity Ads, Meta Audience Network, dan DSP utama semuanya menawarkan bendera tag untuk rawatan diarahkan kepada kanak-kanak. Tetapkan pada setiap panggilan iklan yang berasal dari permukaan yang diarahkan kepada kanak-kanak atau pengguna yang disahkan di bawah 13 tahun. Sahkan dengan dokumentasi vendor bahawa bendera itu sebenarnya mencetuskan penghantaran kontekstual sahaja, bukan hanya pengurangan dokumentasi.

5. Sambungkan Kawalan Ibu Bapa dan Pemadaman

Ibu bapa mempunyai hak untuk menyemak, mengubah suai, dan memadam data anak mereka atas permintaan. Bina portal ibu bapa yang boleh dicapai dari notis privasi yang mengesahkan ibu bapa, memaparkan data dalam rekod, dan menawarkan kawalan terperinci. Pemadaman mesti disebarkan kepada semua pihak ketiga yang disenaraikan dalam rekod persetujuan dalam tetingkap masa yang munasabah — kebanyakan pengendali komited kepada 30 hari.

6. Audit Setiap Suku Tahun

Jalankan semakan suku tahunan yang meliputi: perubahan senarai vendor, permukaan produk baharu, pematuhan pengekalan, penyegaran dekri persetujuan, dan kemas kini panduan FTC. FTC menerbitkan kemas kini panduan perniagaan COPPA secara berkala; melanggan pasukan privasi anda ke senarai mel FTC adalah pelaburan pematuhan paling murah yang mungkin.

Perangkap Biasa yang Perlu Dielak

Corak kegagalan yang berulang muncul merentasi audit penerbit dan dekri persetujuan FTC:

• Menganggap COPPA sebagai masalah pendaftaran. Kebanyakan pendedahan COPPA datang dari pengecam ad-tech tanpa nama pada halaman yang diarahkan kepada kanak-kanak, bukan dari akaun berdaftar.
• Menganggap iklan kontekstual bermakna selamat COPPA secara lalai. Sesetengah rangkaian iklan kontekstual masih menetapkan pengecam berterusan di latar belakang; sahkan tingkah laku kuki sebenar.
• Membiarkan pelancaran produk mendahului semakan privasi. Ciri baharu yang ditambah tanpa semakan dekri persetujuan boleh membatalkan keseluruhan program anda. Tambah pintu privasi ke proses pelepasan anda.
• Melupakan permukaan peranti bersambung dan CTV. COPPA secara eksplisit meliputi TV pintar, pembantu suara, dan konsol permainan. Ramai penerbit masih terlepas pandang ini dalam inventori mereka.
• Rekod persetujuan lapuk. Perubahan material kepada amalan data membatalkan VPC sebelumnya. Penerbit yang menjalankan perubahan ad-tech setiap bulan memerlukan proses untuk menyegarkan VPC, atau mereka mengumpulkan pendedahan.

Bagaimana COPPA Kelihatan pada 2027 dan Seterusnya

Dua trajektori akan membentuk semula ruang ini dalam lapan belas bulan akan datang. Pertama, cadangan persekutuan seperti KOSA — Akta Keselamatan Dalam Talian Kanak-Kanak — akan menambah kewajipan penjagaan tambahan di atas COPPA, termasuk kewajipan reka bentuk kandungan dan keperluan jaminan umur yang lebih ketat. Sama ada KOSA lulus keseluruhan atau sebahagian, arah pengawalseliaan adalah lebih banyak kewajipan, bukan kurang. Kedua, pengembangan negeri demi negeri kod reka bentuk kanak-kanak — California, Connecticut, Maryland, dan lain-lain dalam barisan — mewujudkan tampalan yang mesti dipuaskan oleh penerbit di samping COPPA persekutuan. Pengendali yang menganggap pematuhan COPPA 2026 sebagai garis asas, dengan kapasiti tambahan untuk menambah keperluan negeri, adalah mereka yang tidak akan membina semula pada 2027.

Kesimpulan

COPPA pada 2026 bukan lagi keperluan khusus untuk pembangun aplikasi kanak-kanak — ia adalah infrastruktur privasi arus perdana untuk mana-mana penerbit yang penontonnya termasuk kanak-kanak, walaupun sebahagiannya. Pindaan 2025 menutup lubang yang digunakan oleh penerbit untuk hidup, terutamanya jalan pintas persetujuan gabungan untuk pengiklanan. Jalankan pintu umur yang boleh dipertahankan, sepadukan vendor persetujuan ibu bapa yang boleh disahkan, konfigurasikan tindanan iklan anda untuk mod COPPA, dan dokumentasikan segala-galanya dalam log audit CMP bersama dengan peristiwa persetujuan kuki standard. Lakukan ini dengan baik dan trafik yang diarahkan kepada kanak-kanak kekal boleh diwangkan. Lakukan dengan buruk dan anda akan membaca dekri persetujuan anda sendiri di laman web FTC dengan penalti sivil berbilion dolar yang dilampirkan.