FTC修订版《儿童在线隐私保护规则》(COPPA Rule, 16 CFR Part 312) 2026年4月22日合规大限届满：定向广告”独立同意”、数据保留期上限与”混合受众”再认定——中资App、游戏、EdTech、智能玩具出海企业五大合规雷区

引言

2026年4月22日，美国联邦贸易委员会（Federal Trade Commission，FTC）于2025年1月发布、并于2025年4月22日刊登于《联邦公报》的修订版《儿童在线隐私保护规则》（Children's Online Privacy Protection Rule，简称"COPPA Rule"，编纂于16 CFR Part 312）正式合规大限届满。除§ 312.11(d)(1)、(d)(4) 与 (g) 三项关于"安全港"项目的过渡性条款外，所有受规制主体（covered operators）自即日起必须全面符合修订后规则。距离该大限已过去逾两周，FTC消费者保护局（Bureau of Consumer Protection，BCP）已于2026年2月就"年龄验证"（age verification）发布政策声明（Policy Statement），明确不将"完美年龄识别"作为合规前提，但同时也确认了对"实际知悉"（actual knowledge）与"混合受众"（mixed audience）服务的执法立场。本文系统梳理COPPA修订要点，并为中资儿童类App、手游、教育科技（EdTech）、智能玩具与穿戴设备等出海企业指出五大合规雷区。

一、COPPA规则架构与本次修订的法律基础

COPPA是1998年美国国会通过的《儿童在线隐私保护法》（15 U.S.C. §§ 6501-6506）下唯一的实施性规则，由FTC依据法律授权制定，最早于2000年生效，2013年首度大修。本次2025-2026年修订是COPPA规则实施25年来覆盖面最广的一次更新，重点解决"定向广告对儿童的渗透"、"数据无限期留存"、"教育生态中学校代为同意（school authorization）的边界"以及"生物识别信息（biometric identifier）"如何纳入"个人信息"（personal information）定义这四大长期争议。

修订条文核心要点包括：

1. § 312.2 个人信息定义扩张：明确将"生物识别标识符"（biometric identifiers，包括指纹、虹膜、声纹、面部几何特征等）与"政府签发的标识符"（government-issued identifiers）纳入"个人信息"定义之内。这意味着任何收集儿童面部识别、声纹或指纹的智能玩具、AI陪伴App、儿童摄影App，均落入COPPA管辖。

2. § 312.4(d) 第三方披露独立同意：这是本次修订最具突破性的条款。运营者若拟将儿童个人信息披露给第三方用于定向广告（targeted advertising）等附属用途，必须取得家长"独立的可验证同意"（separate verifiable parental consent），不得"打包"在一般服务同意之中。所谓"独立"，要求同意请求物理上、视觉上、流程上与服务核心使用同意分离，家长须能够单独同意核心服务而拒绝定向广告披露。

3. § 312.10 数据保留上限：运营者只能在"合理必要"（reasonably necessary）以实现收集时所披露之具体目的范围内保留儿童个人信息，且必须制定书面数据保留与删除政策，公开发布于隐私政策中。无限期保留（indefinite retention）已被明确禁止。

4. § 312.11 安全港项目：FTC核准的Safe Harbor自律项目须每三年提交全面书面评估，并向FTC披露成员公司技术能力评估结果。该条部分子条款延期至更晚时间生效。

5. 学校授权机制（school authorization）：明确EdTech运营者在K-12环境下，可在受限范围内由学校代家长行使同意，但仅限于"学校授权用途"，禁止用于商业目的（含定向广告）。

二、2026年4月22日大限届满后的执法节奏

FTC在2026年Q1已经完成了多起COPPA和解（consent decree），传递出明确的执法升级信号。BCP局长在2026年4月发布的优先级备忘录（FTC Enforcement Priorities Memo）中将"COPPA合规"列为消费者保护板块的Top 3，其余为AI虚假宣传与未成年人成瘾设计。值得关注的是FTC近期对游戏、社交媒体与AI伴侣类App的密集调查，单宗COPPA违法的民事罚款上限已升至每次违规51,744美元（按2024年通胀调整后金额，依15 U.S.C. § 45(m)(1)(A)）。

更关键的是，FTC可援引第5条"不公平或欺诈性行为"（Section 5, FTC Act, 15 U.S.C. § 45）就同一行为另行追责，且州检察长（State AG）依COPPA § 1303(d) 享有平行诉权（parens patriae），加州、德州、纽约、华盛顿、马塞诸塞均已建立专门的儿童在线隐私执法小组。

三、对中资企业的五大合规雷区

雷区一：定向广告SDK的"打包同意"陷阱

大量中资儿童App仍延续中国大陆惯例，将广告SDK初始化绑定于服务整体注册流程。修订版COPPA下，任何向第三方广告平台（含Google AdMob、Meta、字节自家海外SDK）传输儿童个人信息（包括持久标识符如IDFA/AAID）的行为，必须取得"独立的"可验证家长同意，且家长应能在拒绝广告披露后仍正常使用核心服务。中资企业出海前必须重构同意架构，分离"服务同意"与"第三方广告披露同意"。

雷区二：生物识别功能未做分类清查

带有AI换脸、表情识别、语音克隆、声音陪伴等功能的中资App和智能玩具，常未意识到这些功能在COPPA修订下已构成"个人信息"收集。建议立即对所有面向13岁以下用户的产品功能进行生物识别分类清查（biometric inventory），并对每一项收集行为评估"是否合理必要"以及"家长可验证同意"是否到位。

雷区三：数据保留无书面政策

许多中资团队的"开发者后台"将儿童行为数据无限期存储，未设置自动删除机制。修订版§ 312.10 要求书面、可公开的数据保留与删除政策。建议立即起草Children's Data Retention & Deletion Policy，定义每类数据的具体保留期限（如：账户活跃数据90天、注销账户后30天硬删除）、自动化删除作业的技术执行机制，并将摘要纳入隐私政策对外公开。

雷区四：EdTech学校授权边界模糊

向美国K-12学区销售课件、学习App或硬件的中资EdTech企业，若直接通过学校管理员账号"代收"学生数据，必须签署符合FERPA与COPPA交叉合规的Data Privacy Agreement (DPA)，明确"学校授权用途"清单（限于教学、考勤、学业进度等），严格禁止任何商业再利用，包括"匿名化数据用于模型训练"。FTC在2024-2025年已对多家EdTech运营者就"学校代同意被滥用于商业用途"发起执法。

雷区五：跨境合规与PIPL叠加风险

中资母公司若从美国子公司接收来自儿童用户的个人信息（即使经聚合或假名化），不仅面临COPPA下的"第三方披露"独立同意要求，还可能触发DOJ第14117号行政令"批量敏感个人数据"规则（28 CFR Part 202）下"covered person"接收限制；同时回流国内还须满足《个人信息保护法》第31条对未成年人个人信息的"单独同意"与"个人信息处理规则"备案要求。建议构建中、美双侧儿童个人信息流"双隔离"架构，在数据出入境环节均设独立合规评审。

四、格知律所如何协助

格知律师事务所（Getech Law Firm）在儿童在线隐私合规与FTC执法应对方面具有系统性服务能力，可为中资App、游戏、EdTech、智能玩具与穿戴设备出海企业提供：(1) COPPA合规审计与差距分析（gap analysis），覆盖16 CFR Part 312 修订全部条款；(2) 可验证家长同意（VPC）方案设计，包括信用卡验证、政府ID验证、视频会议验证、知识题验证等FTC批准方法的技术与运营落地；(3) "独立同意"流程重构，设计分层同意UI、SDK调用拦截逻辑与同意记录留痕系统；(4) 儿童数据保留与删除政策起草，匹配自动化技术执行；(5) FERPA-COPPA交叉合规DPA模板，服务EdTech学校客户；(6) FTC Section 5与州AG执法应对，包括CID（Civil Investigative Demand）应答、和解谈判与同意令履行；(7) 中美双向数据流合规架构，整合COPPA、PIPL与EO 14117。我们为多家中资儿童内容、儿童硬件与EdTech上市/拟上市公司持续提供合规顾问与诉讼防御服务。

五、结语

2026年4月22日不是COPPA合规的终点，而是FTC正式开启"高强度执法窗口"的起点。修订版规则将"定向广告独立同意"、"数据保留上限"、"生物识别纳入个人信息"三大议题写入16 CFR Part 312核心条款，对中资儿童类产品出海生态构成结构性约束。在FTC持续加码、州检察长积极入场、单笔罚款上限超过5万美元、且与第5条不公平行为竞合的执法格局下，中资企业应当抛弃"先上线、再补合规"的旧路径，将COPPA合规嵌入产品设计阶段（privacy by design），并定期开展合规复核。格知律所将持续追踪FTC与州AG执法动态，为客户提供前瞻性合规洞察与应急法律支援。