คู่มือการปฏิบัติตาม COPPA: ความเป็นส่วนตัวของเด็กทางออนไลน์และความยินยอมคุกกี้สำหรับผู้เผยแพร่ในสหรัฐอเมริกา พ.ศ. 2569

พระราชบัญญัติคุ้มครองความเป็นส่วนตัวของเด็กทางออนไลน์ (COPPA) มีอายุครบ 25 ปีในปี พ.ศ. 2567 และได้รับการปรับปรุงครั้งใหญ่ที่สุดนับตั้งแต่บังคับใช้ทันที โดยกฎขั้นสุดท้ายของ FTC เดือนมกราคม พ.ศ. 2568 ได้เขียนใหม่เกี่ยวกับความยินยอมของผู้ปกครองที่สามารถตรวจสอบได้ หมวดหมู่ข้อมูลที่ละเอียดอ่อน และกฎเกี่ยวกับการโฆษณาจากบุคคลที่สามในบริการที่มุ่งเป้าไปที่เด็ก สำหรับผู้เผยแพร่ในสหรัฐอเมริกา — และผู้ดำเนินการใดก็ตามทั่วโลกที่กำหนดเป้าหมายเด็กในสหรัฐฯ อายุต่ำกว่า 13 ปี หรือรวบรวมข้อมูลจากเด็กเหล่านั้นอย่างตั้งใจ — COPPA เป็นกฎหมายความรับผิดโดยเด็ดขาดที่มีโทษทางแพ่งถึงห้าหลักต่อการละเมิดหนึ่งครั้ง และอาจรวมกันเป็นหลายร้อยล้านได้ คู่มือนี้อธิบายว่าใครบ้างที่ COPPA ครอบคลุมในปี พ.ศ. 2569 กฎที่แก้ไขของ FTC เปลี่ยนแปลงอะไรจริงๆ ความยินยอมคุกกี้และความยินยอมของผู้ปกครองที่สามารถตรวจสอบได้ทำงานร่วมกันอย่างไร และขั้นตอนการดำเนินงานที่ผู้เผยแพร่จำเป็นต้องดำเนินการเพื่อให้ทราฟฟิกที่มุ่งเป้าหมายเด็กยังสามารถสร้างรายได้ได้โดยไม่เชิญชวนคำสั่งยินยอมของ FTC

ใครบ้างที่ COPPA ครอบคลุมจริงๆ

COPPA ใช้กับเว็บไซต์เชิงพาณิชย์ แอปมือถือ อุปกรณ์เชื่อมต่อ หรือบริการออนไลน์ใดก็ตามที่ มุ่งเป้าไปที่เด็กอายุต่ำกว่า 13 ปี หรือมี ความรู้จริง ว่ากำลังรวบรวมข้อมูลส่วนบุคคลจากเด็กอายุต่ำกว่า 13 ปี ขอบเขตกว้างกว่าที่ผู้เผยแพร่ส่วนใหญ่คาดเดา เนื่องจาก FTC ตีความเกณฑ์ทั้งสองอย่างก้าวร้าว

บริการมุ่งเป้าไปที่เด็กโดยอิงจากการวิเคราะห์หลายปัจจัย: เนื้อหา มูลค่าทางภาพ การใช้ตัวละครแอนิเมชันหรือกิจกรรมที่มุ่งเน้นเด็ก ดนตรี อายุของนายแบบ การมีดาราที่เป็นที่นิยมในเด็ก ภาษา การโฆษณาบนบริการที่มุ่งเป้าหมายเด็กในตัวเอง และหลักฐานเชิงประจักษ์ที่มีความสามารถและเชื่อถือได้เกี่ยวกับองค์ประกอบของผู้ชม ไซต์สำหรับผู้ชมทั่วไปสามารถกลายเป็นบริการสำหรับผู้ชมแบบผสมได้ทันทีที่มีการสร้างส่วนที่เน้นเนื้อหาสำหรับเด็ก

สามสิ่งที่ผู้เผยแพร่เข้าใจผิดอย่างสม่ำเสมอ:

การแก้ไขปี พ.ศ. 2568 เปลี่ยนแปลงอะไรจริงๆ

กฎขั้นสุดท้ายของ FTC เดือนมกราคม พ.ศ. 2568 ซึ่งเป็นการปรับปรุงที่ครอบคลุมครั้งแรกนับตั้งแต่ปี พ.ศ. 2556 ได้ทำให้ COPPA ทันสมัยใน 5 วิธีที่เป็นรูปธรรมซึ่งผู้เผยแพร่ต้องเข้าใจอย่างลึกซึ้ง

Opt-In แยกสำหรับการโฆษณาจากบุคคลที่สาม

ผู้ดำเนินการไม่สามารถรวม การเปิดเผยข้อมูลการโฆษณาจากบุคคลที่สาม เข้าไปในความยินยอมของผู้ปกครองเพียงครั้งเดียวสำหรับการใช้บริการได้อีกต่อไป การโฆษณาเชิงพฤติกรรมในบริการที่มุ่งเป้าเด็กตอนนี้ต้องการความยินยอมของผู้ปกครองที่ตรวจสอบได้แบบ opt-in แยกต่างหาก ซึ่งแตกต่างจากความยินยอมในการใช้บริการนั้นเอง การรวมกลุ่ม — บรรทัดฐานทางประวัติศาสตร์สำหรับแอปและไซต์เด็กที่ได้รับการสนับสนุนจากโฆษณา — ขณะนี้ถูกห้ามอย่างชัดเจน

ข้อมูลส่วนบุคคลที่ขยายออก

การแก้ไขได้ขยายคำนิยามของข้อมูลส่วนบุคคลเพื่อรวม ตัวระบุไบโอเมตริก ที่สามารถยืนยันตัวตนบุคคลได้ รวมถึงลายนิ้วมือ รูปแบบเสียง ภาพจอประสาทตาหรือม่านตา และแม่แบบของเรขาคณิตใบหน้า นอกจากนี้ยังชี้แจงว่า ตัวระบุที่ออกโดยรัฐบาล จากรัฐบาลใดก็ตาม ไม่ใช่แค่สหรัฐฯ มีคุณสมบัติด้วย ผู้เผยแพร่ที่ใช้ฟีเจอร์ค้นหาด้วยเสียง ผู้ช่วย AI หรือเครื่องมืออัปโหลดภาพถ่ายในบริการที่มุ่งเป้าเด็กจำเป็นต้องทำแผนที่กระแสเหล่านี้กับคำนิยามใหม่

ข้อจำกัดการเก็บรักษาข้อมูล

กฎใหม่กำหนดให้ผู้ดำเนินการเผยแพร่นโยบายการเก็บรักษาที่เป็นลายลักษณ์อักษรซึ่งจำกัดการจัดเก็บข้อมูลส่วนบุคคลของเด็กเฉพาะสิ่งที่จำเป็นอย่างสมเหตุสมผลเพื่อให้บรรลุวัตถุประสงค์ที่รวบรวมมา การเก็บรักษาไม่จำกัด ไม่ได้รับอนุญาตอีกต่อไป และนโยบายต้องเชื่อมโยงจากประกาศความเป็นส่วนตัว

วิธีการยินยอมของผู้ปกครองที่ตรวจสอบได้ที่เสริมความแข็งแกร่ง

การแก้ไขได้ทำให้รายการวิธีการ VPC ที่ยอมรับได้เป็นทางการและเพิ่มตัวเลือกการพิสูจน์ตัวตนโดยใช้ความรู้โดยใช้คำถามแบบตัวเลือกเดียวแบบไดนามิกที่ผู้ปกครองเท่านั้นที่ตอบได้ วิธีการดั้งเดิม — การทำธุรกรรมบัตรเครดิต แบบฟอร์มที่ลงนาม การประชุมวิดีโอกับผู้ดำเนินการที่ผ่านการฝึกอบรม การตรวจสอบ ID ของรัฐบาล — ยังคงมีให้บริการแต่ต้องมีการบันทึกต่อเหตุการณ์ความยินยอม

การแจ้งเตือนการเปลี่ยนแปลงสาระสำคัญกระตุ้น VPC ใหม่

การเปลี่ยนแปลงสาระสำคัญใดๆ ในแนวปฏิบัติด้านข้อมูล — หมวดหมู่ข้อมูลใหม่ที่รวบรวม ผู้รับจากบุคคลที่สามรายใหม่ ข้อตกลงโฆษณาใหม่ — กระตุ้นความยินยอมของผู้ปกครองที่ตรวจสอบได้ใหม่ ผู้ดำเนินการไม่สามารถพึ่งพาความยินยอมปี พ.ศ. 2561 เพื่อให้สิทธิ์การผสานรวมโฆษณาปี พ.ศ. 2569

ความยินยอมของผู้ปกครองที่ตรวจสอบได้ในทางปฏิบัติ

ความยินยอมของผู้ปกครองที่ตรวจสอบได้คือหัวใจของ COPPA และเป็นส่วนที่ผู้เผยแพร่มักดำเนินการผิดพลาดบ่อยที่สุด มาตรฐานทางกฎหมายคือความยินยอม ที่ออกแบบมาอย่างสมเหตุสมผล เพื่อให้แน่ใจว่าบุคคลที่ให้ความยินยอมคือผู้ปกครองของเด็ก ไม่ใช่เพียงความยินยอมที่รวบรวมมาเท่านั้น

วิธีการที่ FTC อนุมัติซึ่งผู้เผยแพร่ควรรู้:

คำถามสำคัญด้านการดำเนินงานคือการจัดทำเอกสาร สำหรับผู้ใช้เด็กแต่ละคน ผู้ดำเนินการต้องสามารถแสดงตามคำขอของ FTC: วิธีใดที่ใช้ ใครคือผู้ปกครองที่ตรวจสอบ หมวดหมู่ข้อมูลใดที่ได้รับอนุมัติ ผู้รับจากบุคคลที่สามรายใดที่ถูกระบุชื่อ และเวลาประทับของความยินยอม CMP ที่ทันสมัยในสไตล์ FlexyConsent ควรผสานรวมกับผู้ให้บริการ VPC และจัดเก็บเส้นทางนี้ในบันทึกการตรวจสอบเดียวกันกับเหตุการณ์ความยินยอมคุกกี้

ความยินยอมคุกกี้บนไซต์ที่มุ่งเป้าเด็ก

COPPA และแบนเนอร์คุกกี้อยู่บนชั้นกฎหมายที่แตกต่างกันแต่ต้องทำงานร่วมกัน แบนเนอร์ความยินยอมคุกกี้ภายใต้ GDPR/ePrivacy หรือภายใต้กฎหมายของรัฐเช่น CCPA ไม่เป็นไปตาม COPPA และความยินยอมของผู้ปกครองที่ตรวจสอบได้ไม่ได้ยกเว้นผู้ดำเนินการจากข้อผูกพันการเปิดเผยข้อมูลคุกกี้ ผู้ดำเนินการที่ให้บริการเด็กต้องเรียกใช้ทั้งสองชั้นในการประสานงาน

บล็อกการติดตามจนกว่าจะรวบรวม VPC

บนหน้าที่มุ่งเป้าเด็ก คุกกี้โฆษณาหรือการวิเคราะห์ใดๆ ไม่สามารถทำงานได้ก่อนที่จะรวบรวม VPC สำหรับผู้ใช้นั้น แบนเนอร์ยอมรับทั้งหมดมาตรฐานเป็นเครื่องมือที่ผิด — สถานะเริ่มต้นต้องเป็น ไม่มีอะไรทำงาน จนกว่าจะมีความยินยอมของผู้ปกครองอยู่ในแฟ้ม และแม้แต่ตอนนั้นก็เฉพาะหมวดหมู่ที่ผู้ปกครองอนุมัติเท่านั้น

จำกัดรายการผู้ให้บริการสำหรับพันธมิตรที่ปลอดภัยตาม COPPA

รายการผู้ให้บริการในทรัพย์สินที่มุ่งเป้าเด็กจำเป็นต้องสั้นกว่าในไซต์สำหรับผู้ชมทั่วไป SSP DSP และผู้ให้บริการการวิเคราะห์ต้องรับประกันตามสัญญาว่าพวกเขาไม่ใช้ข้อมูลเด็กสำหรับการกำหนดเป้าหมายเชิงพฤติกรรมและไม่ส่งเด็กไปยังเครือข่ายเชิงพฤติกรรมที่อยู่ต่ำลงไป SSP ชั้นนำส่วนใหญ่เผยแพร่โหมดสินค้าคงคลัง ที่สอดคล้องกับ COPPA กำหนดค่าสแตกของคุณในโหมดนั้นและลบพันธมิตรที่ไม่สอดคล้อง

แสดงการควบคุมของผู้ปกครองในส่วนท้าย

ประกาศความเป็นส่วนตัวต้องมีส่วนที่ชัดเจนและเข้าใจง่ายสำหรับผู้ปกครองพร้อมคำแนะนำในการตรวจสอบ แก้ไข หรือเพิกถอนความยินยอมสำหรับบุตรหลาน ลิงก์ส่วนท้ายถาวรที่มีป้ายกำกับเช่น สำหรับผู้ปกครอง ตรงตามความคาดหวังด้านการเข้าถึงของ FTC และสร้างเส้นทางที่สามารถป้องกันได้เมื่อผู้สืบสวนทำการตรวจสอบการใช้งาน

รูปแบบการบังคับใช้ของ FTC ในช่วงปี พ.ศ. 2567–2569

การบังคับใช้ภายใต้ COPPA ได้เร่งตัวขึ้นนับตั้งแต่การยุติข้อพิพาทกับ YouTube ในปี พ.ศ. 2562 ซึ่งฟื้นฟูความกระตือรือร้นของ FTC สำหรับคดีของผู้เผยแพร่รายใหญ่ รูปแบบจากคำสั่งยินยอมล่าสุดเสนอแผนที่เส้นทางสำหรับสิ่งที่ FTC มองหาจริงๆ ในการสืบสวน

การสร้างสแตกที่พร้อมสำหรับ COPPA

การนำ COPPA ไปใช้ในลักษณะที่ทนต่อการตรวจสอบของ FTC ได้จริงเป็นปัญหาการประสานงานระหว่างผลิตภัณฑ์ วิศวกรรม การดำเนินงานโฆษณา และกฎหมาย งานแบ่งออกเป็นประมาณหกกระแสงาน

1. จำแนกประเภทแต่ละทรัพย์สินและพื้นผิว

สำหรับแต่ละโดเมน โดเมนย่อย แอป และจุดปลายทางอุปกรณ์เชื่อมต่อ ตัดสินใจว่ามันมุ่งเป้าเด็ก มีผู้ชมแบบผสม หรือสำหรับผู้ชมทั่วไป บันทึกการวิเคราะห์ พื้นผิวที่มีผู้ชมแบบผสม — ตัวอย่างเช่น หน้าแรกที่มีทั้งเนื้อหาสำหรับผู้ใหญ่และเด็ก — ต้องใช้ COPPA เฉพาะกับผู้ใช้ที่ระบุตัวเองว่าอายุต่ำกว่า 13 ปีผ่านเกตตรวจสอบอายุที่เป็นกลาง ไม่ใช่กับผู้ใช้ทุกคน

2. สร้างเกตตรวจสอบอายุในวิธีที่ถูกต้อง

เกตตรวจสอบอายุที่เป็นกลางจะถามวันเกิดในลักษณะที่ไม่บ่งบอกว่าผู้ใช้ที่อายุมากกว่าจะได้รับการเข้าถึงมากกว่า การถามว่า คุณอายุ 13 ปีหรือมากกว่านั้นหรือไม่? ไม่เป็นกลางและ FTC ได้ตั้งธงแล้ว ตัวเลือกเดือน-วัน-ปีแบบง่าย ที่ใช้ครั้งเดียวต่ออุปกรณ์พร้อมคุกกี้ที่ต้านทานการดัดแปลง เป็นแนวทางมาตรฐาน

3. ผสานรวมผู้ให้บริการ VPC

หากทีมผลิตภัณฑ์ของคุณไม่ได้ตั้งใจที่จะดำเนินการ VPC ภายในองค์กร ให้ผสานรวมผู้ให้บริการผู้เชี่ยวชาญ — มีผู้ให้บริการที่ได้รับการอนุมัติจาก FTC หลายรายอยู่ — และทำให้การผสานรวมเรียกใช้งานได้จาก CMP กระแสการลงทะเบียน และพอร์ทัลการจัดการความยินยอมของผู้ปกครอง จัดเก็บบันทึกการตรวจสอบต่อเหตุการณ์ในฐานข้อมูลของ CMP ไม่ใช่ในไซโลของผู้ให้บริการ VPC

4. กำหนดค่าสแตกโฆษณาและการวิเคราะห์สำหรับโหมด COPPA

Google Ad Manager, AdMob, IronSource, Unity Ads, Meta Audience Network และ DSP หลักๆ ทั้งหมดเสนอแฟล็ก แท็กสำหรับการปฏิบัติที่มุ่งเน้นเด็ก ตั้งค่าบนการเรียกใช้โฆษณาทุกครั้งที่มาจากพื้นผิวที่มุ่งเป้าเด็กหรือผู้ใช้ที่พิสูจน์ตัวตนแล้วที่อายุต่ำกว่า 13 ปี ตรวจสอบกับเอกสารของผู้ให้บริการว่าแฟล็กนั้นกระตุ้นการส่งมอบตามบริบทเท่านั้นจริงๆ ไม่ใช่แค่การลดเอกสาร

5. เชื่อมต่อการควบคุมของผู้ปกครองและการลบ

ผู้ปกครองมีสิทธิ์ตรวจสอบ แก้ไข และลบข้อมูลของบุตรหลานตามความต้องการ สร้าง พอร์ทัลผู้ปกครอง ที่เข้าถึงได้จากประกาศความเป็นส่วนตัวที่พิสูจน์ตัวตนผู้ปกครอง แสดงข้อมูลในแฟ้ม และเสนอการควบคุมแบบละเอียด การลบต้องแพร่กระจายไปยังบุคคลที่สามทั้งหมดที่อยู่ในบันทึกความยินยอมภายในช่วงเวลาที่สมเหตุสมผล — ผู้ดำเนินการส่วนใหญ่ผูกพันตัวเองเป็น 30 วัน

6. ตรวจสอบทุกไตรมาส

เรียกใช้การทบทวนรายไตรมาสที่ครอบคลุม: การเปลี่ยนแปลงรายการผู้ให้บริการ พื้นผิวผลิตภัณฑ์ใหม่ การปฏิบัติตามการเก็บรักษา การรีเฟรชคำสั่งยินยอม และการอัปเดตคำแนะนำของ FTC FTC เผยแพร่การอัปเดตคำแนะนำธุรกิจ COPPA เป็นประจำ การสมัครรับข่าวสารของทีมความเป็นส่วนตัวของคุณในรายชื่อส่งเมล FTC เป็นการลงทุนในการปฏิบัติตามที่ถูกที่สุดที่เป็นไปได้

กับดักทั่วไปที่ควรหลีกเลี่ยง

รูปแบบความล้มเหลวซ้ำๆ ปรากฏขึ้นในการตรวจสอบผู้เผยแพร่และคำสั่งยินยอมของ FTC:

COPPA จะมีลักษณะอย่างไรในปี พ.ศ. 2570 และต่อๆ ไป

สองเส้นทางจะปรับเปลี่ยนพื้นที่นี้ภายในสิบแปดเดือนข้างหน้า ประการแรก ข้อเสนอของรัฐบาลกลางเช่น KOSA — พระราชบัญญัติความปลอดภัยออนไลน์ของเด็ก — จะวางหน้าที่การดูแลเพิ่มเติมบน COPPA รวมถึงภาระผูกพันการออกแบบเนื้อหาและข้อกำหนดการรับรองอายุที่เข้มงวดยิ่งขึ้น ไม่ว่า KOSA จะผ่านอย่างสมบูรณ์หรือเป็นส่วนๆ ทิศทางของกฎระเบียบคือภาระผูกพันมากขึ้น ไม่น้อยลง ประการที่สอง การขยายตัวทีละรัฐของรหัสการออกแบบสำหรับเด็ก — แคลิฟอร์เนีย คอนเนตทิคัต แมริแลนด์ และรัฐอื่นๆ ที่เข้าคิว — สร้างระบบปะปนที่ผู้เผยแพร่ต้องปฏิบัติตามควบคู่กับ COPPA ของรัฐบาลกลาง ผู้ดำเนินการที่ปฏิบัติต่อการปฏิบัติตาม COPPA ปี พ.ศ. 2569 เป็นพื้นฐาน โดยมีความสามารถพิเศษในการเพิ่มชั้นความต้องการของรัฐ คือผู้ที่จะไม่ต้องออกแบบใหม่ในปี พ.ศ. 2570

บทสรุป

COPPA ในปี พ.ศ. 2569 ไม่ใช่ข้อกำหนดเฉพาะกลุ่มสำหรับนักพัฒนาแอปเด็กอีกต่อไป — เป็นโครงสร้างพื้นฐานความเป็นส่วนตัวหลักสำหรับผู้เผยแพร่ทุกรายที่ผู้ชมของตนรวมถึงเด็ก แม้แต่บางส่วน การแก้ไขปี พ.ศ. 2568 ได้ปิดช่องโหว่ที่ผู้เผยแพร่ใช้อยู่ โดยเฉพาะทางลัดความยินยอมแบบรวมกลุ่มสำหรับการโฆษณา เรียกใช้เกตตรวจสอบอายุที่ป้องกันได้ ผสานรวมผู้ให้บริการความยินยอมของผู้ปกครองที่ตรวจสอบได้ กำหนดค่าสแตกโฆษณาของคุณสำหรับโหมด COPPA และบันทึกทุกอย่างในบันทึกการตรวจสอบ CMP พร้อมกับเหตุการณ์ความยินยอมคุกกี้มาตรฐานของคุณ ทำสิ่งนี้ให้ดีและทราฟฟิกที่มุ่งเป้าเด็กยังคงสามารถสร้างรายได้ได้ ทำไม่ดีและคุณจะอ่านคำสั่งยินยอมของตัวเองบนเว็บไซต์ของ FTC พร้อมโทษทางแพ่งหลายล้านดอลลาร์ที่แนบมา

← บล็อก อ่านทั้งหมด →