Tại sao COPPA nên nằm trong tầm ngắm của mọi studio trò chơi

Nếu trò chơi di động của bạn tiếp cận Hoa Kỳ và thu hút bất kỳ ai dưới 13 tuổi, Đạo luật Bảo vệ Quyền riêng tư Trực tuyến của Trẻ em (COPPA) gần như chắc chắn áp dụng — ngay cả khi trẻ em không phải khán giả chính của bạn. Được thực thi bởi Ủy ban Thương mại Liên bang Hoa Kỳ, COPPA điều chỉnh cách các dịch vụ trực tuyến thu thập và sử dụng thông tin cá nhân của trẻ em dưới 13 tuổi, với các khoản phạt lên đến hàng chục triệu đô la trong các thỏa thuận chống lại các nhà sản xuất trò chơi và ứng dụng.

Đối với các nhà phát hành kiếm tiền bằng quảng cáo, COPPA không chỉ là một ô đánh dấu pháp lý — nó định hình lại trực tiếp những quảng cáo nào bạn có thể phục vụ và chúng kiếm được bao nhiêu.

Bạn "hướng đến trẻ em" hay "khán giả hỗn hợp"?

COPPA phân loại ứng dụng vào ba nhóm, và nghĩa vụ của bạn phụ thuộc vào nhóm bạn thuộc về:

• Hướng đến trẻ em: nhắm đến trẻ em dưới 13 tuổi làm khán giả chính. Các dấu hiệu bao gồm nhân vật hoạt hình, lối chơi đơn giản, hình ảnh sặc sỡ, và tiếp thị nhắm vào trẻ em. COPPA khi đó áp dụng cho tất cả người dùng theo mặc định.
• Khán giả hỗn hợp: một phần hướng đến trẻ em, nhưng trẻ em không phải khán giả chính. Bạn có thể dùng một màn hình xác minh độ tuổi trung lập và chỉ áp dụng COPPA cho người dùng tự nhận dưới 13 tuổi.
• Khán giả phổ thông: không hướng đến trẻ em. COPPA chỉ được kích hoạt nếu bạn có hiểu biết thực tế rằng bạn đã thu thập dữ liệu từ một trẻ em dưới 13 tuổi.

FTC cân nhắc tổng thể các yếu tố này — bạn không thể tự khai là "khán giả phổ thông" chỉ vì đó là con đường dễ hơn. Phân loại trung thực là nền tảng của mọi điều tiếp theo.

Sự đồng ý của phụ huynh có thể xác minh

Trước khi thu thập thông tin cá nhân từ một trẻ em dưới 13 tuổi, COPPA yêu cầu sự đồng ý của phụ huynh có thể xác minh (VPC). "Thông tin cá nhân" rất rộng: nó bao gồm các định danh liên tục như ID quảng cáo được dùng cho quảng cáo theo hành vi, vị trí địa lý, ảnh, và giọng nói.

Các phương pháp VPC chấp nhận được bao gồm một biểu mẫu có chữ ký, một khoản phí nhỏ trên thẻ thanh toán, hoặc một cuộc gọi với nhân viên được đào tạo. Quan trọng, có một ngoại lệ: nếu bạn thu thập một định danh liên tục chỉ để hỗ trợ các hoạt động nội bộ — trạng thái trò chơi, giới hạn tần suất, hoặc phục vụ quảng cáo theo ngữ cảnh (không cá nhân hóa) — bạn nói chung không cần VPC. Ngoại lệ đó là lý do quảng cáo theo ngữ cảnh là con đường kiếm tiền mặc định cho nội dung trẻ em.

Tác động đến nhắm mục tiêu quảng cáo & doanh thu

Đối với lưu lượng hướng đến trẻ em quy tắc rất đơn giản: không quảng cáo cá nhân hóa hoặc theo hành vi. Bạn không thể xây dựng hồ sơ, nhắm mục tiêu lại, hoặc dùng các định danh liên tục cho việc nhắm mục tiêu quảng cáo gắn với một trẻ em. Cái còn lại là quảng cáo theo ngữ cảnh — quảng cáo được chọn từ nội dung của ứng dụng và ngữ cảnh chung thay vì từ cá nhân.

• eCPM theo ngữ cảnh thường thấp hơn loại cá nhân hóa vì nhà quảng cáo không thể nhắm các khán giả chính xác.
• Phục hồi giá trị qua thỏa thuận trực tiếp, các chiến dịch thương hiệu thân thiện với gia đình, và video có thưởng được đặt khéo léo.
• Các tín hiệu ngữ cảnh mạnh — thể loại, xếp hạng nội dung, vị trí đặt — giúp nhà quảng cáo đặt giá thầu tự tin mà không cần dữ liệu cấp người dùng.

Coi ngữ cảnh là một chiến lược có chủ đích, chứ không phải một hạn chế, phân biệt các studio phát đạt trong không gian trẻ em với những studio chật vật.

Google Families Policy & Designed for Families

Nếu bạn phát hành trên Google Play và nhắm đến trẻ em, bạn phải tuân theo Families Policy và có thể tham gia chương trình Designed for Families. Các yêu cầu chính:

• Chỉ dùng các SDK quảng cáo được Google chứng nhận đã được phê duyệt cho lưu lượng hướng đến trẻ em.
• Gắn cờ nội dung hướng đến trẻ em trong AdMob/Ad Manager qua tag for child-directed treatment (TFCD) và tag for users under the age of consent (TFUA), buộc quảng cáo không cá nhân hóa.
• Tránh các định dạng quảng cáo và nội dung không phù hợp với trẻ em, và đáp ứng các tiêu chuẩn xếp hạng nội dung và công bố.

Cấu hình sai các tín hiệu này là một trong những sai lầm phổ biến nhất — và tốn kém nhất — vì nó có thể có nghĩa là phục vụ quảng cáo cá nhân hóa cho trẻ em mà không có sự đồng ý.

Tương tác với GDPR-K ở EU

COPPA là luật của Hoa Kỳ, nhưng dữ liệu trẻ em được bảo vệ trên toàn cầu. Theo GDPR của EU, ở đây thường được gọi là GDPR-K, độ tuổi đồng ý kỹ thuật số dao động từ 13 đến 16 tùy theo quốc gia thành viên. Dưới độ tuổi đó, sự đồng ý phải đến từ phụ huynh hoặc người giám hộ. Trong khi COPPA cố định lằn ranh ở 13 tuổi, EU thì không — nên một cổng độ tuổi đồng nhất cho tất cả sẽ thất bại ở đâu đó. Các nhà phát hành hoạt động quốc tế cần các ngưỡng độ tuổi nhận biết khu vực và khả năng thực thi quảng cáo chỉ theo ngữ cảnh ở bất cứ đâu người dùng nằm dưới độ tuổi đồng ý áp dụng.

FlexyConsent giúp như thế nào

Quản lý COPPA, GDPR-K, và các quy tắc Families của Google trên các thị trường rất khó nếu làm thủ công. FlexyConsent — một Nền tảng Quản lý Sự đồng ý được Google chứng nhận hỗ trợ IAB TCF 2.3 và Google Consent Mode v2 — tập trung hóa các tín hiệu đồng ý và độ tuổi để các quy tắc đúng kích hoạt tự động theo khu vực. Nó có thể thực thi phục vụ quảng cáo chỉ theo ngữ cảnh cho người dùng dưới tuổi, lan truyền các tag hướng đến trẻ em và dưới tuổi đúng đắn đến ngăn xếp quảng cáo của bạn, và duy trì một nhật ký kiểm toán chống giả mạo cho mỗi quyết định đồng ý trên các khu vực. Bài viết này là hướng dẫn chung, không phải tư vấn pháp lý; hãy tham khảo luật sư đủ năng lực cho tình huống của bạn.

Những điểm chính

• Phân loại trung thực — hướng đến trẻ em, khán giả hỗn hợp, hay khán giả phổ thông quyết định mọi nghĩa vụ tiếp theo.
• Thu thập dữ liệu cá nhân (bao gồm ID quảng cáo) từ người dùng dưới 13 tuổi đòi hỏi sự đồng ý của phụ huynh có thể xác minh; quảng cáo chỉ theo ngữ cảnh là con đường không cần sự đồng ý.
• Lưu lượng trẻ em đồng nghĩa với quảng cáo không cá nhân hóa — hãy lên kế hoạch cho eCPM theo ngữ cảnh và phục hồi giá trị qua các thỏa thuận trực tiếp, thân thiện với gia đình.
• Dùng cổng độ tuổi nhận biết khu vực: lằn ranh COPPA là 13, nhưng GDPR-K chạy từ 13–16, và Families Policy của Google thêm các quy tắc gắn tag và SDK riêng.