Как направить жалобу на хранение данных COPPA в 2026 году

Сигналы для наблюдения

• Оператор говорит, что в уведомлении нет срока удаления детских данных, но никто не подтвердил фактическое содержимое production
• Adtech-обсуждение сообщает о закрытой детской учетной записи, а постоянные идентификаторы или записи поставщика могут сохраниться
• Privacy-команда не может назвать классы, цели, деловую необходимость, системы или третьих лиц для письменной политики

Короткий ответ: до коммерческого предложения пропустите жалобу COPPA через четыре доказательных фильтра. Если охват, классы, цели и расположение неизвестны, начните с инвентаризации данных. Если факты известны, но удаление не выполняется или не подтверждается в системах и у поставщиков, начните с построения процесса удаления. Правка политики идет первой лишь тогда, когда операционные доказательства уже подтверждают цели, необходимость и сроки, а дефект остался в документе или уведомлении.

Это решение принимает руководитель продаж консалтинга по детской конфиденциальности, следящий за авторизованными Telegram-группами операторов приложений, adtech и privacy. Фраза «детские аккаунты хранятся вечно» может требовать реакции, но не показывает охват COPPA, содержимое аккаунта, причину хранения каждого класса или владельцев копий. Если задать вопросы на день позже, покупатель может отдать определение первого проекта другому поставщику.

Что говорит действующее правило хранения

Children’s Online Privacy Protection Rule, правило COPPA, находится в 16 CFR Part 312. Оно охватывает коммерческих операторов сайтов или сервисов, направленных на детей младше 13 лет, и операторов, фактически знающих о сборе персональной информации ребенка онлайн. Текущее определение оператора также учитывает агента или сервис-провайдера, собирающего или поддерживающего информацию от имени оператора, и выгоду от прямого сбора другим лицом.

Раздел 312.10 ограничивает хранение сроком, разумно необходимым для конкретных целей сбора. Когда информация больше не нужна для целей, ее удаляют с разумными мерами против несанкционированного доступа или использования при удалении. Бессрочное хранение запрещено.

Письменная политика должна указывать:

1. цели сбора детской персональной информации;
2. деловую необходимость хранения;
3. срок удаления.

Она включается в онлайн-уведомление по 312.4(d). Поэтому фразы «семь лет для compliance» недостаточно без связи фактических данных, конкретной цели, необходимости и срока.

Final Rule 2025 года опубликовано 22 апреля, вступило в силу 23 июня 2025 года, а общий срок соблюдения наступил 22 апреля 2026 года, кроме указанных положений Safe Harbor в 312.11. На 18 августа 2026 года раздел 312.10 не является будущей вехой.

До маршрутизации: собрать пакет доказательств

Продажи не определяют юридический охват и не инспектируют системы. Запросите материал для юриста и владельцев данных:

• юридическое лицо и точное приложение, сайт или сервис;
• доказательства направленности на детей, смешанной аудитории или фактического знания;
• подозреваемые классы, включая постоянные идентификаторы, контакты, медиа и геолокацию;
• конкретную цель и текущую деловую необходимость;
• системы, журналы, хранилища, резервные копии и support-инструменты;
• агентов, сервис-провайдеров и других получателей;
• текущие политику, уведомление и график удаления;
• одну завершенную запись удаления с downstream-доказательствами, если она есть.

«Неизвестно» допустимо. Не превращайте отсутствие анализа в «охвачено», а закрытый аккаунт в «удалено».

Фильтр 1: подтвердить маршрут охвата COPPA

Результат: пакет называет возможный маршрут охвата и человека, принимающего решение.

1. Определите конкретную поверхность продукта.
2. Запишите факты о направленности на детей по критериям правила.
3. Для общего сервиса найдите доказательство фактического знания, если оно есть.
4. Уточните, собирал ли агент или поставщик от имени оператора.

Проверкой служат письменный вопрос и назначенный юрист. Метка группы «детское приложение» не анализ. Если направленность и знание неизвестны, передайте к юридическому охвату и инвентаризации, а не копирайтеру.

Фильтр 2: связать классы данных с целями

Результат: каждый класс получает расположение, цель, необходимость, владельца или явный пробел.

1. Перечислите поля или связанные наборы.
2. Свяжите каждый класс с раскрытой целью.
3. Укажите продолжающуюся деловую необходимость.
4. Запишите системы и третьих лиц, хранящих или извлекающих данные.

Если карта не заполняется, первым проектом становится инвентаризация. Требования политики нельзя надежно описать при неизвестных данных и получателях.

Гипотетический пример маршрутизации: известно лишь, что аккаунт ребенка младше 13 лет закрыт, а рекламный идентификатор остается в аналитическом экспорте. Неизвестны направленность, фактическое знание, принадлежность идентификатора, цель, необходимость, другие системы и копии поставщика. Это поддерживает инвентаризацию и проверку охвата, но не доказывает нарушение и не определяет проект удаления.

Фильтр 3: проверить путь удаления

Результат: команда показывает, что окончание цели запускает удаление во всех релевантных местах.

1. Выберите класс и заявленную цель.
2. Назовите событие окончания необходимости.
3. Проследите инструкцию через основное хранилище, реплики, индексы, support и поставщиков.
4. Сохраните журналы завершения и исключения.
5. Подтвердите, что информация не поддерживается в извлекаемой форме и недоступна в обычном ходе бизнеса согласно определению delete.

Если карта есть, а тест провален, первой идет инженерия. Изменение текста не исправит неработающую задачу, неотправленную поставщику инструкцию или исключение без владельца.

Фильтр 4: согласовать политику, уведомление и операции

Результат: письменная запись, видимое уведомление и проверенный процесс совпадают.

Сравните инвентаризацию и тест с тремя элементами 312.10 и проверьте уведомление 312.4(d). Правило требует описать сбор, использование, практики раскрытия, идентичности и конкретные категории третьих лиц, цели раскрытия и политику хранения.

Правка политики может идти первой, когда карта и доказательства полны, актуальны и согласованы, а пропущены только необходимость, срок или детали раскрытия. Если политика говорит 30 дней, а production использует 180, это не одна редактура: операционный владелец должен разрешить расхождение.

Как обнаружение в авторизованных группах входит в передачу

TOP Prospect фильтрует, объединяет, удаляет дубли и ранжирует фрагменты групп, которые пользователь намеренно подключил и имеет право читать, сохраняя оригинал, источник, время, сводку ИИ и причины ручной проверки. Сохранение новой цели сопоставления сохраняет лишь конфигурацию и не создает автоматически нового кандидата. Продукт не определяет охват COPPA, не проверяет приложение, не инвентаризирует данные, не подтверждает удаление, не связывается с автором и не читает частные или неавторизованные источники.

Лестница официальных источников восстанавливает актуальное правило, а проверка границ данных мониторинга помогает оценить хранение самого поставщика мониторинга. Рабочий процесс Telegram Signal показывает ручную проверку авторизованных обсуждений.

Ключевые факты на 18 августа 2026 года

• COPPA определяет ребенка как лицо младше 13 лет.
• Охват может зависеть от направленности на детей или фактического знания, оба факта могут отсутствовать в жалобе.
• 312.10 ограничивает хранение конкретными целями сбора.
• Данные удаляются после окончания необходимости и не хранятся бессрочно.
• Политика указывает цели, необходимость и срок и включается в уведомление 312.4(d).
• Вступление в силу: 23 июня 2025 года; общий срок соблюдения: 22 апреля 2026 года с указанными исключениями Safe Harbor.

Частые вопросы

COPPA устанавливает один срок для всех детских данных?

Нет. Сроки связаны с целями и необходимостью, универсального числа нет.

Закрытие аккаунта доказывает удаление?

Нет. Определение касается извлекаемости, а процесс должен покрывать системы и поставщиков.

Общая корпоративная политика может соответствовать 312.10?

Да, если охватывает детские данные, содержит требуемые элементы и включена в уведомление. Отдельная детская политика тогда не обязательна.

Когда первой идет политика?

Когда операции и удаление подтверждены, а остаток находится только в письменном или видимом раскрытии.

Когда первой идет инженерия?

Когда данные и цели известны, но не работают триггеры, downstream-выполнение или доказательства.

Когда первой идет инвентаризация?

Когда неизвестны данные, места, цели, необходимость, получатели или факты охвата.

Передача готова, когда названы первый поток и владельцы неизвестных. Это может быть один проект или последовательность. Не продавайте правку политики для неизвестного массива данных и не стройте удаление до понимания данных и целей в охвате.

Часто задаваемые вопросы

Что действующее правило COPPA требует от хранения?

Оператор может хранить собранную онлайн персональную информацию ребенка лишь столько, сколько разумно необходимо для конкретных целей сбора. Когда необходимость исчезает, данные нужно удалить; бессрочное хранение запрещено.

Устанавливает ли COPPA один срок для всех классов данных?

Нет. Раздел 312.10 требует срока удаления, связанного с заявленными целями и деловой необходимостью, а не универсального числа дней.

Когда поправки вступили в силу и наступил срок соблюдения?

Поправки вступили в силу 23 июня 2025 года. Кроме ограниченных исключений для положений Safe Harbor, срок соблюдения наступил 22 апреля 2026 года, поэтому 18 августа 2026 года раздел 312.10 уже подлежал соблюдению.

Когда первой должна быть правка политики?

Только когда охват, данные, цели, необходимость, сроки, системы, третьи лица и фактическое удаление подтверждены, а оставшийся дефект находится в письменной политике или онлайн-уведомлении.

Когда первым должно быть построение процесса удаления?

Когда данные и цели известны, но системы, сервис-провайдеры или подрядчики не выполняют и не подтверждают удаление после окончания необходимости.

Когда начинать с инвентаризации?

Когда команда не знает, какие детские данные существуют, где они находятся, зачем хранятся, у каких третьих лиц или какие факты охвата COPPA применимы.

Источники и дополнительное чтение

• Electronic Code of Federal Regulations, 16 CFR Part 312, актуально по 14 августа 2026 года, просмотрено 18 августа 2026 года↗
• Federal Trade Commission, Children’s Online Privacy Protection Rule, Final Rule, 90 FR 16918, опубликовано 22 апреля 2025 года↗
• Federal Register API, метаданные документа 2025-05904, просмотрено 18 августа 2026 года↗

ИССЛЕДОВАНИЯ И ОПРЕДЕЛЕНИЯ

Как обнаруживается Signal, заслуживающий внимания

Методика показывает, как Top Prospect находит и упорядочивает Signals, которые стоит проверить, сохраняет исходный контекст Telegram, удаляет дубли и помогает определить порядок просмотра. Решение о дальнейших действиях остаётся за вами.

Открыть методику и определения →