coppa-compliance

COPPA 合规——《儿童在线隐私保护法》

概述

《儿童在线隐私保护法》（COPPA）编入《美国法典》第 15 编第 6501–6506 条，并通过 FTC 的《COPPA 规则》（《联邦法规汇编》第 16 编第 312 部分）实施，规范对 13 岁以下儿童个人信息的在线收集、使用和披露。COPPA 适用于面向 13 岁以下儿童的商业网站和在线服务（包括移动应用）的运营者，也适用于实际知晓正在收集 13 岁以下儿童个人信息的运营者。FTC 于 2013 年进行的修订大幅扩大了适用范围，将用于行为广告的持久标识符、照片、视频、音频录音和地理位置数据纳入其中。FTC 于 2023 年 12 月发布拟议规则制定通知（NPRM），提议进一步修订，包括限制向儿童推送通知，以及扩大针对定向广告的同意要求。

法律与监管框架

COPPA 法律条文——《美国法典》第 15 编第 6502 条

• 第 6502(a)(1) 条：面向儿童的网站或在线服务运营者，或实际知晓正在收集 13 岁以下儿童信息的运营者，不得以违反 FTC 规定的方式收集个人信息。
• 第 6502(b)(1) 条：FTC 必须制定法规，要求运营者：(A) 告知信息处理惯例；(B) 获得可验证的家长同意；(C) 允许家长查看已收集的信息；(D) 允许家长拒绝进一步收集或使用；(E) 将收集范围限制在活动所必需的信息内。
• 第 6502(b)(2) 条：FTC 制定法规时，应考虑竞争影响、成本与收益，以及对现有安全港计划可能产生的影响。

COPPA 规则——《联邦法规汇编》第 16 编第 312 部分

第 312.2 条——关键定义

• 儿童：未满 13 岁的个人
• 运营者：运营网站或在线服务并收集或维护用户个人信息的任何人，或代表其收集或维护此类信息的任何人
• 个人信息：可识别个人身份的信息，包括：名字和姓氏；家庭或实际地址；在线联系信息（电子邮件）；电话号码；社会安全号码；可用于跨不同网站随时间识别用户的持久标识符；包含儿童图像或声音的照片、视频或音频文件；足以识别街道名称和城市的地理位置数据；与上述任何信息一同收集并合并的有关儿童或家长的信息
• 面向儿童的网站或在线服务：根据以下因素判定：主题内容、视觉内容、动画角色的使用、面向儿童的活动和激励措施、音乐、模特的年龄、是否出现儿童名人、是否有面向儿童的广告，以及有关目标受众的可靠证据
• 支持内部运营：维护或分析网站或在线服务运行所必需的活动，包括一次性收集和非联系用途、频次上限控制、遵守法律、安全、情境广告、个性化内容（非用于广告）

第 312.3 节 — 运营者的义务

1. 直接向家长发出通知（第 312.4 节）：在收集、使用或披露儿童的个人信息之前，运营者必须在网站／服务上以及直接向家长提供清晰醒目的通知
2. 可验证的家长同意（第 312.5 节）：除少数例外情况外，必须在进行任何收集、使用或披露之前取得可验证的家长同意
3. 家长访问权（第 312.6 节）：必须为家长提供合理的方式，以查看从其子女处收集的个人信息，并拒绝进一步收集或使用这些信息
4. 保密性、安全性和完整性（第 312.8 节）：必须制定并维持合理的程序，以保护从儿童处收集的个人信息的保密性、安全性和完整性
5. 数据最小化（第 312.7 节）：不得以提供超出合理必要范围的个人信息作为儿童参与某项活动的条件
6. 数据保留（第 312.10 节）：对于从儿童处收集的个人信息，只能在合理必要的期限内保留，以实现收集该信息的目的

可验证的家长同意方式 — 第 312.5(b) 节

FTC认可以下获取可验证家长同意的方式。控制者必须根据所收集数据的敏感程度及其用途选择适当的方式。

方式 1：签署同意书

• 家长打印、签署同意书，并通过邮政邮件、传真或电子扫描件将其返还给运营者
• 表格必须明确运营者身份，列出所有将要收集的信息，说明信息的用途和披露情况，并声明家长可以撤回同意
• 适用于最初需要高保证级别验证的情况
• 限制：处理周期较长；对于无法打印的家长而言存在可访问性障碍

方式 2：信用卡或其他在线支付交易

• 家长使用信用卡、借记卡或其他在线支付系统，该系统会向主要账户持有人通知每笔单独交易
• 该交易必须是真实的购买或捐赠，或是向家长披露的微额交易（例如，0.50 美元）
• 仅验证信用卡（而不进行交易）是不够的；必须实际发生货币交易
• 限制：不适用于没有银行账户的家庭；可能会降低参与意愿

方式 3：免费电话号码或视频会议

• 家长拨打由受过培训的工作人员接听的免费电话号码，工作人员通过基于个人知识的问题验证家长身份
• 或者，家长通过视频会议接入，并通过目视确认身份
• 运营者必须对工作人员进行 COPPA 要求和验证流程方面的培训
• 限制：耗费大量资源；需要配备人员提供多语言支持

方式 4：政府签发的身份证件与数据库比对

• 家长提交政府签发的身份证件（驾驶执照、护照），由运营者与数据库进行比对
• 验证完成后，必须及时从运营者的记录中删除身份证件
• 必须遵守第 312.5(b)(4) 节关于验证后删除身份证件的要求
• 限制：收集敏感身份证件引发隐私顾虑；存在存储风险

方式 5：基于知识的身份验证

• 运营者使用从第三方数据库（例如，TransUnion、Experian、LexisNexis）中获取的一系列挑战问题，这些问题通常只有家长可能答得出
• 问题必须动态生成，且每次验证尝试都不同
• 问题必须达到足够的难度门槛，防止儿童成功作答
• 限制：依赖第三方数据的准确性；信用记录较少的家长可能无法通过验证

方法 6：面部识别技术（FTC 批准的方法，2013 年）

• 家长提交一张照片，将其与此前已验证的政府签发的带照片身份证件进行比对
• 比对完成后，必须立即删除照片和身份证件图像
• 目前是 FTC COPPA 规则下获批的方法，但会引发严重的隐私问题
• 局限性：生物识别数据收集方面的问题；不同人口群体之间的准确率存在差异

方法 7：电子邮件加确认（有限使用）

• 运营方通过电子邮件向家长发送通知以及链接或回复方式
• 经过合理延迟后，运营方会向家长发送确认电子邮件
• 此方法仅获准用于所收集信息的内部用途——如果运营方会向第三方披露个人信息或将其公开，则不得使用
• 局限性：保证程度最低；儿童可能会访问家长的电子邮件

同意方法选择矩阵

数据使用场景	最低同意方法	FTC 预期
仅供内部使用（不披露）	电子邮件加确认（方法 7）	可接受的最低要求
与第三方共享	方法 1、2、3、4 或 5	需要更高的保证程度
公开发布儿童的信息	方法 1、2、3、4 或 5	建议采用最高保证程度
行为广告	方法 1、2、3、4 或 5	FTC 会严格审查
收集照片/视频/音频	方法 1、2、3、4 或 5	发布前必须进行验证

直接通知要求——第 312.4 条

网站或在线服务上的通知——第 312.4(b) 条

运营方必须在主页以及从儿童处收集个人信息的每个区域，醒目清晰地放置指向其儿童信息处理惯例在线通知的链接。通知必须说明：

1. 通过该网站/服务收集或维护个人信息的所有运营方的名称、实际地址、电子邮件地址和电话号码（或指定一名运营方，并提供指向所有运营方名单的超链接）
2. 收集了哪些信息，以及信息是主动收集还是被动收集
3. 运营方如何使用（以及可能如何使用）这些信息
4. 是否会向第三方披露个人信息；如果会，须说明第三方所属的企业类型、其一般用途，以及其是否同意维护信息的保密性和安全性
5. 家长可以查看并删除儿童的个人信息，也可以拒绝允许继续收集信息
6. 家长行使权利的流程

向家长直接通知——第 312.4(c) 条

在从儿童处收集个人信息之前，运营方必须向家长发送直接通知，其中包括：

1. 声明运营方已收集家长的在线联系信息，以获取家长同意
2. 运营方的信息处理惯例
3. 如果家长未在合理时间内回复，家长的在线联系信息将被删除
4. 在线通知的链接
5. 家长提供同意的方式

FTC 安全港计划——第 312.11 条

行业团体或其他人士可以向 FTC 申请批准自律指南（安全港计划），以落实 COPPA 规则中的保护措施。受已获批安全港计划约束的运营方，视为符合第 312 条的要求。

当前获批的安全港计划

计划	管理机构	重点领域
CARU（儿童广告审查部门）	BBB National Programs	面向儿童的广告和营销
kidSAFE Seal Program	kidSAFE, LLC	拥有儿童受众的网站和应用
ESRB Privacy Certified	Entertainment Software Rating Board	电子游戏和互动娱乐
Aristotle Integrity（前身为 iKeepSafe COPPA Safe Harbor）	Aristotle Inc.	跨行业 COPPA 合规
PRIVO（Privacy Vaults Online）	PRIVO, Inc.	身份和同意管理技术
TrustArc（前身为 TRUSTe COPPA/Children's Privacy Program）	TrustArc Inc.	跨行业隐私认证

安全港计划的优势

• 对于遵守获批安全港计划准则的运营者，FTC 不会采取执法行动
• 安全港计划提供独立的合规审查和监督
• 计划提供争议解决机制和消费者投诉处理
• 成员身份向家长和监管机构表明其致力于合规

安全港义务

• 每年向 FTC 提交合规活动报告
• 提供有效的执行机制，包括消费者补救措施
• 每年至少对成员进行一次随机、全面的合规审计
• 维护公开可查的成员名单及其合规状态

BrightPath Learning Inc. — COPPA 实施

BrightPath Learning Inc. 运营着一个面向美国儿童的教育游戏平台。该平台包含互动学习游戏、进度跟踪和家长沟通功能。

COPPA 合规架构

预注册流程：

1. 落地页显著位置提供指向《儿童隐私政策》的链接
2. 注册表单询问“您是否年满 13 岁？”，提供中立的“是／否”选项（不预填年龄）
3. 选择“否”的用户将转入家长同意流程
4. 选择“是”的用户继续标准注册流程（在第 5 步进行年龄验证）

家长同意流程：

1. 儿童输入家长的电子邮件地址
2. BrightPath 根据第 312.4(c) 条向家长发送直接通知，其中包含完整的信息处理惯例披露
3. 家长在 72 小时内点击同意链接（未收到回复则删除联系信息）
4. 家长通过 USD 0.50 的小额信用卡交易完成验证（48 小时内退款）
5. 家长查看并针对每种数据用途提供细分同意：
   • 创建账户并提供教育内容（服务所必需）
   • 向家长发送学习进度报告（可选）
   • 用于改进平台的匿名汇总分析（可选）
6. 向家长发送确认邮件，其中包含家长控制面板的链接

家长控制面板功能：

• 查看从儿童收集的所有个人信息
• 以机器可读格式（JSON/CSV）下载收集的信息
• 删除特定数据元素或整个账户
• 修改对每种数据用途的同意偏好
• 设置使用时长限制和内容限制
• 接收每周活动摘要报告

数据最小化措施：

• 不收集用于广告目的的持久标识符
• 不收集地理位置数据（禁用 GPS；将 IP 地址截断至 /24）
• 不存储超出会话时长的照片、视频或录音
• 个人资料头像从预设选项中选择（不允许 13 岁以下儿童上传照片）
• 13 岁以下账户禁用聊天功能；仅通过预先批准的消息进行经审核的文字交流

COPPA 年度审计清单

#	审计项目	法规参考	状态
1	已发布且为最新版本的隐私政策	312.4(b)	每季度审查
2	收集信息前已发送直接通知	312.4(c)	已验证自动化系统
3	已获得可验证的家长同意	312.5	已验证信用卡方式
4	家长访问机制运行正常	312.6	每月测试控制面板
5	未过度收集数据	312.7	每季度审查数据映射
6	安全措施充分	312.8	每年进行渗透测试
7	已执行数据保留期限限制	312.10	已验证自动删除
8	已记录向第三方披露的情况	312.4(b)(4)	每季度更新供应商名单
9	安全港计划会员资格有效	312.11	已跟踪 kidSAFE 续期日期
10	已完成员工培训	内部政策	为全体员工提供年度 COPPA 培训

FTC 执法行动

• Epic Games/Fortnite（FTC，2022 年）：因未经家长同意收集 13 岁以下儿童的个人信息、默认允许儿童与陌生人进行语音和文字交流，以及使用暗黑模式诱导消费，被罚款 2.75 亿美元。这是史上金额最高的 COPPA 罚款。
• Google/YouTube（FTC，2019 年）：达成 1.7 亿美元和解（其中 FTC 收取 1.36 亿美元，纽约州总检察长收取 3,400 万美元）。其原因是未经可验证的家长同意，收集观看面向儿童的 YouTube 频道的观众的持久标识符，用于投放定向广告。
• Musical.ly/TikTok（FTC，2019 年）：达成 570 万美元和解。其在明知相当一部分用户为儿童的情况下，未经家长同意收集 13 岁以下儿童的姓名、电子邮件地址及其他个人信息。
• VTech Electronics（FTC，2018 年）：达成 65 万美元和解。其未经家长同意收集儿童的个人信息，包括照片、聊天记录和音频录音；且未能保护数据安全，导致数据泄露，暴露了 640 万名儿童的记录。
• Unixiz Inc./Explore Talent（FTC，2020 年）：被判罚 200 万美元。其在人才选拔网站上收集儿童的个人信息，却未发布隐私政策、未获得家长同意，也未采取合理的安全措施。

2024 年 COPPA 规则拟议修订

FTC 于 2023 年 12 月发布的拟议规则制定通知提出了重大变更：

1. 定向广告需单独征得同意：运营方必须单独征得家长明确选择同意，才能向儿童投放定向广告；不能将对服务本身的同意与对广告的同意捆绑在一起
2. 禁止以同意接收推送通知作为使用条件：运营方不得以家长同意向儿童发送推送通知作为访问服务的条件
3. 强化数据安全要求：运营方必须制定书面信息安全计划，并实施具体的技术保护措施
4. 扩大个人信息定义范围：明确将生物识别标识符纳入定义
5. 限制数据保留期限：运营方只能在特定目的所合理需要的期限内保留儿童的个人信息
6. 加强安全港计划问责：FTC 将加强对安全港计划的监督，包括要求提交更详尽的年度报告

集成要点

• GDPR 家长同意：同时在美国和欧盟运营的服务必须同时满足 COPPA 要求（13 岁以下的明确年龄界限）和 GDPR 第 8 条要求（根据成员国不同，年龄为 13 至 16 岁）
• 年龄验证方法：COPPA 要求进行年龄筛查；所用方法不得鼓励用户虚报年龄
• 儿童数据最小化：COPPA 第 312.7 条与 GDPR 第 5(1)(c) 条的数据最小化原则一致
• 教育科技隐私评估：COPPA 的学校例外条款（第 312.5(c)(4) 条）允许学校代表家长，为课堂上使用的教育科技服务表示同意
• 儿童删除请求：COPPA 第 312.6 条要求运营方在家长提出请求后删除儿童信息