2026 年 4 月 22 日，经修订的美国《儿童在线隐私保护规则》（COPPA Rule，16 C.F.R. Part 312）全面合规期限届满，距今已满半年。FTC 委员 Mark Meador 公开表示，委员会“愿意并渴望”执行新增义务；隐私与身份保护司副司长 Ben Wiseman 也称保护儿童是“高度优先事项”，后续还会有更多案件。对做儿童玩具、教育 App、学习硬件和游戏的中资出海企业来说，最值得警惕的先例，是 2025 年 9 月 FTC 与司法部针对中国机器人玩具厂商 Apitor 的执法：问题不在 Apitor 自己写的代码，而在它嵌入 App 的第三方 SDK。
一、法规背景：2025 年修订了什么
COPPA 保护 13 岁以下儿童。适用对象是“面向儿童的网站或在线服务”的运营者，以及明知自己在收集 13 岁以下儿童个人信息的一般受众运营者。旧版规则 2013 年修订，FTC 在 2025 年 4 月 22 日于《联邦公报》发布修订版，2025 年 6 月 23 日生效，合规期限为 2026 年 4 月 22 日。FTC 还在 2026 年 2 月 25 日发布年龄验证政策声明：混合受众或一般受众运营者仅为核验年龄而收集数据，在满足一系列条件时可暂不取得家长同意。这个口子很窄，且不适用于主要面向儿童的服务。
二、核心义务：这次真正变了的几件事
1. 第三方披露需要单独的家长同意。向第三方披露儿童个人信息，原则上要取得单独的可验证家长同意，不能捆绑在一份总同意里。仅“对服务不可或缺”的披露可以例外，而 FTC 已明确，广告、变现和 AI 模型训练不属于“不可或缺”。
2. 书面信息安全计划。须指定负责人，每年做风险评估，记录并测试保障措施，每年复核调整。向第三方共享数据之前，还要核实对方的保护能力，并取得书面保证。
3. 书面数据留存政策。儿童数据在合理必要期限之后必须删除，禁止无限期留存；运营者须在隐私声明中公布收集目的、留存的业务理由和删除时限。
4. 个人信息范围扩大。“个人信息”现在明确包括声纹、人脸图像（faceprint）和面部模板等生物识别标识，家长的访问请求流程也要覆盖这些数据。
5. 通知与同意方式更新。直接通知家长的内容须包含数据用途、第三方接收方（或类别）及披露目的；新增人脸比对和“短信加验证”等可验证同意方式。
三、案例：Apitor、Cognosphere 与 Disney
Apitor Technology 是一家面向 6 至 14 岁儿童销售编程机器人玩具的中国厂商，用户通过配套免费 App 操控。FTC 指控其 App 内置的第三方 SDK 在 Android 设备上收集儿童的地理位置信息，Apitor 既未通知家长也未取得可验证同意；Apitor 的隐私政策声称遵守 COPPA，而 SDK 提供方自己的政策却写有位置追踪的内容，两者并不一致。司法部公布的和解令载明 500,000 美元民事罚款（因 Apitor 无力支付而暂缓执行），并禁止其在未通知家长、未取得可验证同意的情况下收集儿童数据，同时要求删除此前未经同意收集的儿童信息。FTC 的商业指南博文给出的结论很直接：即使数据由第三方代为收集，运营者仍要对 COPPA 负责，必须弄清每个 SDK 的运作方式，并核对 SDK 供应商的隐私政策。
金额更大的案例还有两起：2025 年 1 月，《原神》开发商 Cognosphere 被处 2,000 万美元，原因是未经家长通知与同意收集儿童数据，并在得知特定用户为儿童后仍未采取行动；2025 年 9 月，迪士尼就 YouTube 儿童向视频的数据收集问题支付 1,000 万美元。COPPA 的单次违规民事罚款上限为 53,088 美元（按通胀逐年调整），用户基数越大，累计风险越快放大。
四、对中资企业的合规要点
第一，先判断“是不是儿童服务”。产品描述、美术风格、营销渠道和用户评论，都可能让一款产品被认定为面向儿童或混合受众。不要只靠一句“本服务不面向 13 岁以下”来免责。
第二，盘点 SDK 与第三方代码。列出 App、网站和智能硬件中的所有第三方组件，逐一核对其收集的数据类型（位置、设备标识符、语音、图像）、数据流向和隐私政策，并与自己的政策对齐。中国境内常用的推送、统计、广告 SDK 尤其要查。
第三，重做同意与通知流程。把“收集同意”和“第三方披露同意”拆开；在直接通知中写明用途与接收方；为生物识别数据设计访问和删除路径。
第四，补齐书面制度。信息安全计划、数据留存与删除政策、供应商书面保证，三份文件都要有，并且要能在 FTC 调查时拿出来。
第五，打通中国境内团队。研发和数据团队在中国境内，美国儿童数据的访问、存储和调用都要纳入同一套留存与访问控制，避免在境内系统里变成“无限期保存”。
五、格知律所如何协助
围绕上述义务，格知律所可为面向美国市场的儿童产品企业提供：COPPA 适用性判断与差距评估（含混合受众分析）；App 与硬件中第三方 SDK 的数据流盘点，以及与供应商隐私政策、数据处理协议（DPA）的逐项核对；可验证家长同意与第三方披露分离同意的流程设计；信息安全计划、数据留存与删除政策的起草；FTC 民事调查要求（CID）或和解谈判中的应对。我们的律师熟悉中美两地的业务与数据流转实际，能够把美国合规要求翻译成境内研发和运营团队可执行的清单。
六、结语
修订后的 COPPA 把“你自己做了什么”扩展成了“你的产品里每一段代码做了什么”。Apitor 案表明，中资出海企业不能把第三方 SDK 当作黑箱；合规期限已过，FTC 又公开表示愿意执法，现在做一次从数据流盘点到书面制度的完整自查，成本远低于一次调查。如需进一步了解，欢迎联系格知律所数据合规团队：info@getechlaw.com，+1-312-888-6633。
本文仅供一般信息参考，不构成法律意见。具体事项请咨询执业律师。