Ley de Protección de la Privacidad en Línea para Niños

Ley de Protección de la Privacidad en Línea para Niños
Extensión teritorial	Estados Unidos
Legislado por	105° Congreso de los Estados Unidos

La ley de Protección de la Privacidad en Línea para Niños (en inglés: Children's Online Privacy Protection Act (COPPA)) es una ley federal de los Estados Unidos, ubicada en el 15 USC​ (Pub.L.  105–277, 112 Stat. 2681-728), que fue promulgada el 21 de octubre de 1998.

La ley entró vigor el 21 de abril de 2000, se aplica a la recopilación en línea de información personal por parte de personas o entidades bajo la jurisdicción de los Estados Unidos. Sobre todo a niños menores de 13 años, incluidos niños fuera de ese país. Si una empresa de internet tiene su sede en Estados Unidos,​ detalla lo que el operador de un sitio web debe incluir en una política de privacidad, cuándo y cómo solicitar el consentimiento verificable paterno o de su tutor, y qué responsabilidades tiene un operador para proteger la privacidad y seguridad de los niños en línea, incluidas las restricciones en la comercialización de los menores de edad.​

Los niños menores de 13 años pueden proporcionar legalmente información personal con el permiso de sus padres en muchos sitios web, incluso en redes sociales. Pero también, otros sitios que recopilan la mayoría de la información personal no permiten que los niños menores de 13 años usen sus servicios por completo debido al costo y al trabajo involucrado en el cumplimiento de la ley.​​​

Historia

En la década de 1990, el comercio electrónico aumentó su popularidad, pero se expresaron varias preocupaciones sobre las prácticas de recopilación de datos y el impacto del comercio por Internet en la privacidad del usuario, especialmente los menores de 13 años, porque muy pocos sitios web tenían sus propias políticas de privacidad.​ El Centro de Educación en Medios solicitó a la Comisión Federal de Comercio (FTC) que investigara la recolección de datos y las prácticas de uso del sitio web KidsCom.com, y emprender acciones legales ya que las prácticas de datos violaron la Sección 5 de la Ley FTC sobre "prácticas desleales/engañosas". Después de que la FTC completó su investigación, emitió la "Carta KidsCom", el informe indicaba que las prácticas de recopilación y uso de datos estaban realmente sujetas a acciones legales.​​ Esto resultó en la necesidad de informar a los padres sobre los riesgos de la privacidad en línea de los niños, así como la necesidad del consentimiento de los padres. Esto resultó en la redacción de COPPA.

La FTC tiene la autoridad de emitir regulaciones y hacer cumplir la ley COPPA. También bajo los términos de la ley COPPA, el aprovisionamiento de "puerto seguro" designado por la FTC está diseñado para alentar una mayor autorregulación de la industria. Según esta disposición, los grupos de la industria y otros pueden solicitar la aprobación de la Comisión de pautas de autorregulación para regular el cumplimiento de los participantes, de modo que los operadores de sitios web en los programas aprobados por la Comisión estarían primero sujetos a los procedimientos disciplinarios del programa de puerto seguro en lugar de la aplicación de la FTC. A partir de junio de 2016, la FTC ha aprobado siete programas de puerto seguro operados por TRUSTe, ESRB, CARU, PRIVO, Aristotle, Inc., Privacidad de Samet (kidSAFE) e Internet Keep Safe Coalition (iKeepSafe).​​

En septiembre de 2011, la FTC anunció las revisiones propuestas a las reglas de COPPA, los primeros cambios significativos a la ley desde la emisión de las reglas en 2000. Los cambios de reglas propuestos ampliaron la definición de lo que significaba "recopilar" datos de niños. Las reglas propuestas presentaban un requisito de retención y eliminación de datos, que ordenaba que los datos obtenidos de los niños se conservaran solo durante el tiempo necesario para lograr el propósito para el que se recopilaron. También agregó el requisito de que los operadores se aseguren de que cualquier tercero a quien se divulgue la información de un niño tenga procedimientos razonables para proteger la información.​

La ley se aplica a sitios web y servicios en línea operados con fines comerciales que están dirigidos a niños menores de 13 años o tienen conocimiento real de que los niños menores de 13 años están proporcionando información en línea. La mayoría de las organizaciones sin fines de lucro reconocidas están exentas de la mayoría de los requisitos de COPPA. Sin embargo, la Corte Suprema dictaminó que las organizaciones sin fines de lucro operadas en beneficio de las actividades comerciales de sus miembros están sujetas a la regulación de la FTC y, en consecuencia, también a la COPPA.​ El tipo de "consentimiento parental verificable" que se requiere antes de recopilar y utilizar la información proporcionada por niños menores de 13 años se basa en una "escala móvil" establecida en un reglamento de la Comisión Federal de Comercio​ eso tiene en cuenta la forma en que se recopila la información y los usos a los que se destinará la información.

Violaciones a la ley

La FTC ha presentado una serie de acciones contra los operadores de sitios web por incumplimiento de los requisitos de la ley COPPA, incluidas acciones contra Girls' Life, American Pop Corn Company, Lisa Frank, inc., Mrs. Fields Cookies y The Hershey Company.​​​​

En febrero de 2004, UMG Recordings, Inc. fue multado con US$ 400 000 por violaciones de la ley COPPA en conexión con un sitio web que promovió a la estrella de rap Romeo Miller —En ese momento tenía 13 años— y fue anfitrión de juegos y actividades para niños.

En el mismo mes, Bonzi Software que ofrecía descargas de una figura animada llamada «BonziBuddy» que proporcionó consejos de compras, bromas y trivia, debido a esto recibió la multada de US$ 75 000 por violaciones a la ley COPPA.​ Del mismo modo, los propietarios del sitio web de Xanga, recibieron la multa de US $ 1,000,000 en 2006 por violaciones de la ley COPPA de permitir a niños menores de 13 años se registren en el servicio sin obtener el consentimiento de sus padres.​

En 2016, la red de publicidad móvil en Mobi recibió una multa de US $ 950 000 por rastrear la ubicación geográfica de todos los usuarios (incluidos los menores de 13 años) sin su conocimiento. El software publicitario rastreó continuamente la ubicación del usuario a pesar de las preferencias de privacidad en el dispositivo móvil.​ Otros sitios web dirigidos a menores de 13 años y multados por la ley COPPA incluyen Imbee (en 2008), Kidswirl y Skid-e-Kids (en 2011).​​​

En febrero de 2019, la FTC emitió una multa de US$5.7 millones a ByteDance por no cumplir con la ley COPPA con su aplicación TikTok. ByteDance acordó pagar la multa más grande de COPPA desde la promulgación de la ley y agregar un modo solo para niños a la aplicación TikTok.​

Apple y Google sacaron tres aplicaciones de citas de sus respectivas tiendas de aplicaciones, después de que la FTC determinó que las aplicaciones de citas permitían que los usuarios menores de 13 años se registraron, Wildec sabía que había un número significativo de usuarios menores, y que esto permitía un contacto inapropiado con menores de edad.​

El 4 de septiembre de 2019, la FTC emitió una multa de US$170 millones a YouTube por infracciones de la ley, incluido el seguimiento del historial de visualización de menores para facilitar la publicidad para los usuarios.​ Como resultado, YouTube anunció que en 2020 requeriría que los creadores de contenido marcaran videos «este vídeo es apto para niños» como tales, y que se utilice el aprendizaje automático para marcarlos como «apto para niños» si aún no está marcado. En los términos del acuerdo, los creadores de contenido que no marcaron los videos como «aptos para niños» podrían ser multados por la FTC por hasta $42.000 por vídeo, lo que ha generado críticas hacia los términos del acuerdo.​

Cumplimiento

La Comisión Federal de Comercio emitió revisiones efectivas desde el 1 de julio de 2013, donde crearon requisitos adicionales de notificación y consentimiento de los padres modificaron definiciones y agregaron otras obligaciones para las organizaciones:​​

1. Operar un sitio web o servicio en línea que está «dirigido a niños menores de 13 años» y que recopila información personal de los usuarios.
2. Recopilar conscientemente información personal de usuarios menores de 13 años a través de un sitio web o servicio en línea. Después del 1 de julio de 2013, los operadores deben:
   • Publicar una política de privacidad en línea clara y completa que describa sus prácticas de información para la información personal recopilada en línea de personas menores de 13 años.
   • Hacer esfuerzos razonables (teniendo en cuenta la tecnología disponible) para proporcionar un aviso directo a los padres sobre las prácticas del operador con respecto a la recopilación, uso o divulgación de información personal de personas menores de 13 años, incluido el aviso de cualquier cambio material a dichas prácticas los padres han consentido previamente;
   • Obtener el consentimiento de los padres verificable, con excepciones limitadas, antes de cualquier recopilación, uso y / o divulgación de información personal de personas menores de 13 años;
   • Proporcionar un medio razonable para que un padre revise la información personal recopilada de su hijo y se niegue a permitir su uso o mantenimiento adicional.
   • Establecer y mantener procedimientos razonables para proteger la confidencialidad, seguridad e integridad de la información personal recopilada de niños menores de 13 años, incluso tomando medidas razonables para divulgar dicha información personal sólo a las partes capaces de mantener su confidencialidad y seguridad.
   • Retener la información personal recopilada en línea de un menor de 13 años solo durante el tiempo que sea necesario para cumplir con el propósito para el que fue recopilada y elimine la información utilizando medidas razonables para proteger contra su acceso o uso no autorizado.
   • Prohibir que los operadores condicionen la participación de un niño en una actividad en línea sobre el niño proporcionando más información de la que sea razonablemente necesaria para participar en esa actividad.​

Según un aviso emitido por la Comisión Federal de Comercio, el operador tiene conocimiento real de la edad de un usuario si el sitio o servicio solicita y recibe información del usuario que le permite determinar la edad de la persona.​: Un ejemplo, citado por la FTC, incluye un operador que solicita una fecha de nacimiento en la página de registro de un sitio tiene conocimiento real según lo definido por la ley COPPA si un usuario responde con un año que sugiere que son menores de 13 años, otro ejemplo citado según la FTC es que un operador puede tener un conocimiento real basado en respuestas a preguntas de «identificación de edad» como: «¿En qué grado estás?» o «¿A qué tipo de escuela asiste?»:

• Primaria.
• Intermedia.
• Secundaria.
• Universidad.

Microsoft cuenta con una pequeña herramienta bajo la ley COPPA como forma de verificar el consentimiento de los padres, dicha tarifa se dona para el Centro Nacional para Niños Desaparecidos y Explotados.​ Sin embargo, Google también cuenta con una pequeña herramienta de verificar la fecha de nacimiento.​

En los cambios que se efectuaron a partir del 1 de julio de 2013, la definición de operador se actualizó para dejar en claro que COPPA cubre un sitio o servicio dirigido a niños que integra servicios externos, como complementos o redes publicitarias, que recopilan información personal de sus visitantes.​ La definición de un sitio web o servicio en línea dirigido a niños se amplía para incluir complementos o redes publicitarias que tienen conocimiento real de que están recopilando información personal a través de un sitio web o servicio en línea dirigido a niños. Los sitios web y los servicios que se dirigen a los niños como audiencia secundaria pueden diferenciar entre los usuarios, y deben notificar y obtener el consentimiento de los padres solo para aquellos usuarios que se identifiquen como menores de 13 años. La definición de información personal que requiere notificación y consentimiento de los padres antes de la recopilación ahora incluye "identificadores persistentes" que pueden usarse para reconocer a los usuarios a lo largo del tiempo y en diferentes sitios web o servicios en línea. Sin embargo, no se requiere notificación ni consentimiento de los padres cuando un operador recopila un identificador persistente con el único propósito de apoyar el sitio web o las operaciones internas del servicio en línea. La definición de información personal después del 1 de julio de 2013 también incluye información de geolocalización, así como fotos, videos y archivos de audio que contienen la imagen o la voz de un niño.

El 19 de noviembre de 2015, la FTC anunció que había aprobado un método adicional para obtener la verificación del consentimiento de los padres: "coincidencia con la identificación con foto verificada" (FMVPI). El proceso de dos pasos permite a los padres enviar una identificación autorizada por el gobierno para la autenticación, luego enviar una foto improvisada a través de un dispositivo móvil o una cámara web, que luego se compara con la foto en la identificación.​

La ley en el ámbito internacional

La FTC a afirmado que la ley COPPA se aplica a cualquier servicio en línea que se dirija a usuarios de los Estados Unidos que recopile información de niños en los Estados Unidos o independientemente de su país de origen. Sin embargo, en la práctica, la FTC nunca ha emitido acciones de ejecución contra compañías extranjeras, y los intentos de hacerlo pueden verse frustrados por la falta de jurisdicción.​

Críticas

La ley COPPA ha sido muy controversial y por ello ha recibido críticas negativas por ser ineficaz y potencialmente inconstitucional por parte de expertos​ y de medios de comunicación​ y desde su redacción.​ Fue muy mal recibida por parte de dueños y operadores de los sitios web que prohíben a usuarios menores de 13 años —alienta el fraude por edad y permite a los sitios web eludir la carga de obtener el consentimiento de los padres—​ y de la supresión activa de los derechos de libertad de expresión para los niños, autoexpresión, y otros derechos de la Primera Enmienda.​​

Los retrasos en la obtención del consentimiento de los padres a menudo provocan que los niños pasen a otras actividades que son menos apropiadas para su edad o presentan un mayor riesgo de privacidad.​

Además, las restricciones de edad y el proceso de "consentimiento de los padres" son fáciles de eludir para los niños, y los padres generalmente los ayudan a mentir sobre su edad.​​

El periodista técnico, Larry Magid, un opositor de la ley, declaró que la ley no garantiza un entorno totalmente seguro en línea.​ La ley también tiene muchos defectos de seguridad. Por ejemplo, no protege a los niños de la publicidad engañosa,​ tampoco protege a los niños del acceso a la pornografía en internet o a mentir sus edades,​ and it doesn't ensure a totally safe environment online. Tech journalist Larry Magid, a long-time vocal opponent of the law​​​ — also notes that parents, not the government, hold the bulk of responsibility of protecting children online.​ COPPA has also been criticized for its potential chilling effect on children's apps, content, websites and online services. For example, Snapchat released a Snapkidz version of its app in June 2013, but unlike Snapchat, Snapkidz didn't allow photo sharing at all due to COPPA regulations.​ Similarly, it has been pointed out that the COPPA Rule was not necessarily about privacy protection but more about "enforcing the laws."​

Las sanciones de la ley COPPA ($40,000 por violación) pueden ser potencialmente catastróficas para las pequeñas empresas, lo que socava su modelo de negocio.​​ Al contrario, la FTC ha sido criticada, incluso por el autor de la ley, Ed Markey, y el comisionado de la FTC, Rohit Chopra, para no multar a las grandes empresas tecnológicas con la severidad suficiente por sus violaciones de la ley, especialmente en comparación con sus ingresos. Al contrario, los infractores de la Reglamento General de Protección de Datos (GDPR) de la Unión Europea pueden ser multados hasta un 4% de sus ingresos anual mundial.​​​

Con el ascenso de la educación virtual, la ley COPPA ha hecho una mala representación del rol de administradores, profesores, y la escuela en la protección de la privacidad del estudiante bajo el supuesto de loco parentis.​

Mark Zuckerberg, cofundador y CEO de Facebook, ha expresado su oposición a la ley COPPA en 2011 y declaró "Esa será una lucha que enfrentaremos en algún momento. Mi filosofía es que para la educación debes comenzar a una edad muy, muy joven"​ Al año siguiente, Jim Steyer, el CEO de Common Sense Media, ha pedido una actualización para la ley COPPA, llamando al momento de la creación del acto "la edad de piedra de los medios digitales" y señalando la falta de plataformas como Google, YouTube, Facebook y Twitter en ese momento.​

En 2019, el Gobierno del Estado de Nueva York demandó a YouTube por violar la COPPA al retener ilegalmente información relacionada con niños menores de 13 años. YouTube respondió dividiendo su contenido estrictamente en "para niños" y "no para niños". Esto ha recibido críticas extremadamente duras de la comunidad de YouTube, especialmente de los gamers, y muchos alegan que la FTC de los Estados Unidos tiene la intención de multar a los creadores de contenido con 42.530 dólares por "cada video mal etiquetado", posiblemente poniendo en riesgo a todos los usuarios..​​​ Sin embargo, algunos han expresado su escepticismo sobre esto, sintiendo que las multas en realidad pueden estar en referencia a sanciones civiles, posiblemente destinadas a los operadores del sitio y / o justificadas por violaciones más graves de la COPPA o casos específicos de "videos mal etiquetados".​​​

Se han propuesto varios proyectos de ley para enmendar la COPPA. Markey y Josh Hawley presentaron varios proyectos de ley (en 2018 como la "Ley No rastrear a los niños", y en 2019 como medida del Senado) proponiendo que la COPPA prohíba el uso de publicidad dirigida hacia usuarios por debajo de los 13 años, requiere consentimiento personal de la recopilación de información personal de usuarios entre los 13 y 15, requiere conectarce a través de servicios y juguetes dirigidos a niños para cumplir con los estándares de seguridad e incluir una política de privacidad en su empaque, y requieren servicios para ofrecer un "boton de borrar" para "permitir a los usuarios eliminar el contenido de información personal disponible públicamente enviado por el niño, cuando sea tecnológicamente factible''. En enero de 2020, Bobby Rush y Tim Walberg presentaron un proyecto de ley de la casa similar conocido como PROTECT Kids (Preventing Real Online Threats Endangering Children Today), que ampliaría todos los requisitos de consentimiento de COPPA existentes a los usuarios menores de 16 años, y agregaría explícitamente aplicaciones móviles, "geolocalización precisa", y datos biométricos a su alcance. ​​​​

Véase también

• Día de la privacidad de la información.
• Protección de datos personales.

Enlaces externos

• Children's Online Privacy Protection Act (COPPA) of 1998, a través de la Comisión Federal de Comercio
• 16 C.F.R. Part 312, the FTC's Children's Online Privacy Protection Rule, a través de la Imprenta del Gobierno
• Six Step Compliance Plan for Your Business via Federal Trade Commission, Business Center
• Children's Privacy, a través de la Comisión Federal de Comercio
• FTC FAQ on COPPA compliance, a través de la Comisión Federal de Comercio
• Cybertelecom :: COPPA, Información de COPPA sobre desarrollos regulatorios de COPPA