Az április 22-i határidő
Frissítve: 2026
A FTC frissítette a COPPA-t. Az új szabályok 2026. április 22-én lépnek hatályba. Ez az első jelentős változás 2013 óta. A 13 év alatti gyermekeket kiszolgáló EdTech-platformoknak most kell cselekedniük. Hetek maradnak, nem hónapok.
A változások mélyrehatók. A 2013-as szabályokra épített platformoknak auditálniuk és frissíteniük kell alapvető rendszereiket. Kis javítások nem lesznek elegendők.
A Reddit-bírság: Egyértelmű figyelmeztetés
2026 márciusában az Egyesült Királyság ICO-ja 14,47 millió fonttal büntette a Redditet. Miért? A Reddit nem védte meg a gyermekeket a káros tartalomtól. A korhatár-ellenőrzések gyengék voltak. Kiskorúak átjutottak rajtuk.
A bírság az Egyesült Királyság GDPR-ja alapján született, nem a COPPA alapján. De a hiba azonos típusú. A COPPA 2026 azokat a platformokat célozza, amelyek tudják, hogy kiskorúak vannak jelen, de nem védik meg őket.
Az EdTech nehezebb helyzetben van. Ezek a platformok tudják, kik a felhasználóik. Iskoláknak értékesítenek. Szülőknek marketingelnek. Látják a diákok e-mail-címét. A „nem tudtuk” védekezés nem érhető el.
Mit változtatott a COPPA 2026?
A FTC frissítése öt kulcsszabályt adott hozzá az EdTech-platformok számára.
1. Az adatminimalizálás most kötelező
Csak azt gyűjtse, amire a szolgáltatásnak valóban szüksége van. A 2013-as szabály sok adatot engedélyezett szülői hozzájárulással. A 2026-os szabály tiltja a fölösleges gyűjtést még hozzájárulással is. Az eszközazonosítók, nyomkövető jelek és a szolgáltatáshoz nem szükséges helyadatok gyűjtésének most meg kell szűnnie.
2. Kiskorúknak nem célozhatók viselkedésalapú hirdetések
Az EdTech-platformok nem használhatják a gyermekek adatait viselkedésalapú hirdetésekhez. A hozzájárulás ezen nem változtat. Egyes platformok általános hozzájárulást alkalmaztak a széleskörű adatfelhasználás igazolásához. Ez a kiskapu most bezárult.
3. Az AI-funkciókhoz külön hozzájárulás szükséges
Minden, a gyermekek bevitelét felhasználó AI-funkcióhoz saját hozzájárulási űrlap szükséges. Az AI-oktatók, az írástámogató eszközök és az adaptív motorok mind ide tartoznak. Az alaptszolgáltatáshoz adott hozzájárulás nem terjed ki az AI-kiegészítőkre.
4. A törlési szabályoknak valódi következménye van
Törölni kell a gyermekek adatait, ha már nincs rájuk szükség. Azok a platformok, amelyek automatikus törlést alkalmaznak meghatározott ütemezéssel, kisebb felelősséggel néznek szembe FTC-eljárások esetén. Ez valódi biztonságos menedék — éljenek vele.
5. Szigorúbb anonimizálási mérce
A név eltávolítása nem elegendő. A platformoknak be kell mutatniuk, hogy az újraazonosítás ésszerűen nem lehetséges. Az összesített analyticshez ez k-anonimitást vagy differenciális adatvédelmet jelent.
FERPA és COPPA: Mindkettő érvényes
Az iskolákkal együttműködő K-12 platformok számára a FERPA a COPPA mellett érvényes. A legfontosabbak:
- A FERPA lehetővé teszi az iskolák számára, hogy diákadatokat osszanak meg szállítókkal — de csak a szerződéses szolgáltatásokhoz
- A COPPA még a FERPA által engedélyezett megosztás esetén is érvényes a 13 év alatti gyermekekre
- Az iskolai hozzájárulás a FERPA alapján nem váltja fel a COPPA-féle szülői hozzájárulást
A FERPA-megfelelőség nem COPPA-megfelelőség. Mindkettőt külön kell teljesíteni.
Tennivalók április 22. előtt
Dolgozza végig ezt az ellenőrző listát a határidő előtt.
Leltár
- Sorolja fel a 13 év alatti felhasználóktól gyűjtött összes adatot
- Keresse meg minden harmadik fél eszközét, amely gyermekadatokat kap — analytics, CRM, monitoring
- Ellenőrizze az egyes gyűjtési típusokhoz szükséges hozzájárulást
Anonimizálás
- Adjon hozzá PII-felismerést a diáktartalomhoz, mielőtt az naplózásra kerül
- Távolítsa el a neveket, e-mail-címeket és diákazonosítókat az analytics-eseményekből
- Anonimizálja a termékfejlesztési célú összesítő jelentéseket
- Tisztítsa meg a diákok bevitelét tartalmazó AI-képzési adathalmazokat
Hozzájárulás
- Külön hozzájárulási folyamatot hozzon létre minden AI-funkcióhoz
- Naplózza a hozzájárulásokat időbélyeggel
- Adjon hozzá visszavonási folyamatot, amely azonnali törlést indít
Adatmegőrzés
- Állítson be megőrzési időt minden adattípushoz
- Automatizálja a törlést az időszak lejáratakor
- Ellenőrizze a biztonsági mentési rendszereket is
Szállítók
- Tekintse át az összes alvállalkozói megállapodást
- Erősítse meg, hogy az analytics-szállítók nem használják a gyermekadatokat hirdetési célokra
- Frissítse a megállapodásokat a 2026-os anonimizálási mércehez igazodva
Hogyan segít az anonimizálás?
Az új anonimizálási szabály a COPPA 2026 legtechnikusabb része. A nevek eltávolítása önmagában nem felel meg a mércének. Olyan rendszerre van szükség, amely az összes adatfolyamban megkeresi és eltávolítja az összes személyes adatot.
Az anonym.legal 273 entitástípust észlel 48 nyelven. Sok EdTech-platform sok nyelvet beszélő diákokat szolgál ki. A diákok személyes adatai spanyolul, mandarin kínain, arabul és tucatnyi más nyelven jelennek meg — nem csak angolul. A széleskörű nyelvtámogatás itt nem kényelmi szempont. Ez megfelelőségi szükséglet.
A platform olyan határeseteket is elfog, amelyeket a manuális áttekintés kihajít. Telefonszámok, diákazonosítók és közvetett azonosítók gyakoriak a diáktartalomban. Az automatizált felismerés ezeket méretarányosan megtalálja. A manuális áttekintés nem.
A kötegelt feldolgozás lehetővé teszi, hogy a csapatok a meglévő adatbázisokat átfuttassák az eszközön. Ez lefedi a régi diáktartalmat, amelynek most meg kell felelnie a magasabb mércének. A visszamenőleges anonimizálás a 2026-os szabály szerinti megfelelés részét képezi.
A biztonsági és megfelelőségi áttekintőnkben olvashat az érzékeny adatok kezeléséről. A jogi megfelelőségi oldalon a FERPA és a COPPA részletesen tárgyalva szerepel.
A tétlenség ára
A COPPA-bírságok napi, jogsértésenként 51 744 dollárig terjedhetnek. Egy 100 000 diákfiókkal rendelkező platform számára az anonimizálás rendszerszintű hiányossága tízmilliós bírságot eredményezhet.
A Reddit bírságos összege 14,47 millió font volt. A Redditnek milliárdos bevétele van. Egy közepes méretű EdTech-platform számára ez nagyságrendű bírság válságot okozna.
Április 22. közel van. A munka elvégezhető, ha most kezdik. Nem elegendő, ha júniusig várnak. A szabályozók egyértelměn jelzik, hogy érvényesítik az új szabályt. A várakozás nem stratégia.
Kezdje el a diákok adatainak anonimizálását ma →
Források
- FTC COPPA szabályfrissítés, Federal Register, 2025 (hatályba lép: 2026. április 22.)
- ICO Reddit végrehajtási értesítés, 2026. március — 14,47 millió fontos szankció
- FERPA, 20 U.S.C. § 1232g, és végrehajtási rendeletek 34 CFR Part 99
- FTC COPPA GYIK: AI-alapú funkciók és szülői hozzájárulás, 2026