2026 年 8 月 21 日，美国司法部（DOJ）宣布，已与 TikTok、字节跳动（ByteDance）及其关联实体就《儿童在线隐私保护法》（COPPA）诉讼达成和解，总金额 4 亿美元：其中 3 亿美元立即支付，另 1 亿美元在法院裁定撤销针对前身 Musical.ly 的旧同意令后支付。该案由 DOJ 民事司的执法与积极诉讼处（Enforcement and Affirmative Litigation Branch）根据 FTC 的转介办理，被业内称为迄今最大规模的 COPPA 和解之一。需要说明的是，DOJ 通报强调这些是“指控”，并无责任认定。对任何面向美国用户、可能触及未满 13 岁儿童的中资出海企业而言，这起案件提供了一份清晰的执法画像。
一、案件背景：从 2019 年同意令到 2024 年诉讼
故事要从 Musical.ly 说起。字节跳动于 2017 年收购 Musical.ly 并将其并入 TikTok；2019 年，美国政府就 Musical.ly 未经家长同意收集 13 岁以下儿童信息提起诉讼，以 570 万美元民事罚款和永久性禁令结案，这在当时是 COPPA 案件中的最高罚款。2024 年 8 月，DOJ 与 FTC 在加州中区联邦地区法院再次起诉 TikTok 与字节跳动，理由是：即便有 2019 年的命令在先，违法行为仍在继续。
据 DOJ 及公开报道，2024 年起诉书的主要指控包括：（1）明知儿童通过绕过或规避年龄筛查创建普通账户，而非受限的“儿童模式”；（2）未经家长通知与同意，收集并留存大量儿童个人信息；（3）阻碍家长提出的删除请求；（4）对自身系统已识别出的儿童账户未予删除。有评述称，公司内部分析显示美国有数百万用户未满 13 岁。DOJ 同时指出，TikTok 自 2024 年起在所有权结构、数据管理和合规方面作出调整，并强化了年龄控制和家长监督措施——这一“整改情节”在和解金额的谈判中被明确提及。
二、法律分析：COPPA 到底管什么
COPPA（15 U.S.C. §§ 6501–6506）及 FTC 实施细则（16 C.F.R. Part 312）适用于两类运营者：一是面向 13 岁以下儿童的网站或在线服务；二是对 13 岁以下儿童个人信息的收集“有实际认知（actual knowledge）”的一般受众服务。第二类尤其值得出海企业警惕：“实际认知”并不要求用户自报年龄，内部数据分析、用户内容、客服记录乃至系统标记，都可能成为 FTC 与 DOJ 主张“公司早已知情”的证据。
核心义务有三层。第一，在收集、使用或披露儿童个人信息前，必须发出通知并取得可验证的家长同意；第二，家长有权查阅、要求删除并拒绝继续收集；第三，运营者应对儿童信息采取合理的安全措施，且不得无限期留存。违反 COPPA 同时构成违反《联邦贸易委员会法》下的规则，FTC 与 DOJ 可据此寻求民事罚款——据律所文章，现行上限约为每项违法 5.3 万美元，并按通胀逐年调整，且每个儿童、每一次违法均可能被分别计算。
此外，经修订的 COPPA 规则已于 2025 年 6 月生效，全面合规期限为 2026 年 4 月 22 日，也就是说，今天的合规标准已高于 TikTok 案所涉的历史行为。据 Finnegan 等律所的梳理，新增要点包括：向第三方披露儿童信息（非服务所必需）须取得独立于收集同意的单独家长同意，定向广告与 AI 模型训练通常不被视为“服务所必需”；须制定并公布书面数据留存政策，说明收集了哪些儿童信息、留存目的及具体删除期限，禁止无限期留存；须建立书面信息安全方案，含指定负责人、年度风险评估与测试；“个人信息”定义也扩展到声纹、脸部模板等生物识别标识符。具体条文以 16 C.F.R. Part 312 现行文本为准。此外，FTC 在 2026 年 2 月就年龄验证技术发布政策声明，鼓励运营者采用年龄验证手段，这也反映出监管对“年龄筛查是否有效”的关注。
三、对中资企业的合规要点
1. 把“年龄筛查”当作一项可被检验的控制措施。只在注册页面设置“我已年满 13 岁”的勾选框，在 TikTok 案的指控逻辑下远远不够。建议评估是否存在被规避的路径（如更改生日重试、第三方账号登录绕过），并保留年龄信号（如用户内容、设备画像）与处置动作之间的记录。
2. 一旦“实际知情”，必须有闭环处置。系统识别出疑似儿童账户后，应在合理时间内通知家长取得同意，否则删除账户与数据。指控中“识别了却未删除”的情节，是风险最高的一环。
3. 家长删除与查阅请求要有真正可用的渠道。“阻碍家长删除”本身就是被点名的行为。请检查请求入口、身份核验、响应时限，并确认境外数据存储与关联公司的副本也被一并清理。
4. 对照 2026 年 4 月 22 日已生效的新规补课。重点检查：对广告 SDK、数据分析与 AI 训练的披露是否取得了单独同意；是否已公布数据留存时间表；是否已有书面信息安全方案；生物识别信息是否被纳入。
5. 并购与集团重组时审查“历史承诺”。Musical.ly 的 2019 年同意令在被收购多年后仍成为 2024 年诉讼的起点，并需要一笔 1 亿美元的对价来撤销。拟收购美国应用、游戏或教育科技资产的中资企业，应在尽职调查阶段核查其是否受制于 FTC 命令或 COPPA 承诺。
与国内规则的衔接也值得关注：我国《个人信息保护法》第 28 条将不满十四周岁未成年人的个人信息列为敏感个人信息，第 31 条要求取得监护人同意并制定专门处理规则；《未成年人网络保护条例》自 2024 年 1 月起施行。两套规则的年龄门槛不同（美国 13 岁，中国 14 岁），同一款产品面向中美用户时，宜按“就高不就低”的原则设计年龄与同意流程。
四、格知律所如何协助
在 COPPA 合规与执法应对方面，格知律师事务所可以为出海企业提供以下支持：开展COPPA 合规差距评估，对照修订后规则逐项检查产品流程；协助设计年龄筛查与可验证家长同意方案，并撰写面向美国用户的隐私政策与家长通知；起草书面数据留存政策与信息安全方案；搭建家长查阅与删除请求的处理流程；在并购交易中进行儿童数据与历史命令的专项尽职调查；以及在收到 FTC 民事调查令（CID）或州总检察长问询时，协助进行响应与沟通。如需就具体产品作初步评估，欢迎通过 info@getechlaw.com 与我们联系。
五、结语与展望
TikTok 案的启示不在于金额本身，而在于执法逻辑：旧命令、内部数据、删除请求与年龄筛查，每一环都可能成为证据链的一部分。随着修订后的 COPPA 规则进入全面执行阶段，以及各州儿童在线保护立法不断增加，监管对儿童数据的审视只会更加细致。建议涉及儿童或可能被儿童使用的出海产品，把年龄、同意、删除与留存四项控制措施纳入定期审计。本文基于 DOJ 新闻稿及公开报道整理，仅供一般性参考，不构成针对具体情形的法律意见。