La Children’s Online Privacy Protection Act, conosciuta come COPPA, è la principale legge federale statunitense dedicata alla raccolta di dati personali dei bambini sotto i 13 anni da parte di siti web e servizi online. Il principio di fondo è semplice: una piattaforma non può trattare liberamente le informazioni di un bambino come farebbe con quelle di un adulto. Quando un servizio è rivolto ai minori o sa di raccogliere dati da utenti sotto i 13 anni, deve rispettare obblighi specifici di informazione, consenso e sicurezza.
La tutela riguarda molte categorie di dati: nome e contatti, identificatori persistenti, informazioni sulla posizione, fotografie, video e altri elementi che possono identificare o tracciare un minore. Nell’economia delle piattaforme digitali anche cookie, identificatori pubblicitari e dati tecnici possono assumere grande importanza, perché permettono di costruire profili e seguire l’attività dell’utente nel tempo.
La COPPA richiede generalmente che il gestore fornisca ai genitori un’informativa chiara e ottenga un consenso verificabile prima di raccogliere, usare o divulgare determinate informazioni personali di un bambino. Non basta quindi inserire una clausola generica nei termini di servizio. Il meccanismo deve essere progettato per dare al genitore un controllo reale su ciò che viene raccolto e sul modo in cui viene utilizzato.
La legge riconosce inoltre ai genitori il diritto di chiedere l’accesso alle informazioni raccolte, revocare il consenso e richiedere la cancellazione dei dati. Per le piattaforme questo significa dover costruire procedure tecniche e organizzative in grado di collegare correttamente un account, una richiesta e la relativa informazione personale, senza trasformare il processo di verifica in una nuova fonte di raccolta eccessiva di dati.
Le regole sulla privacy dei minori diventano difficili da applicare quando un servizio non conosce con certezza l’età di chi lo utilizza. Una semplice data di nascita dichiarata dall’utente può essere aggirata facilmente. Per questo le piattaforme stanno sperimentando sistemi di age assurance e age verification che combinano segnali comportamentali, controlli documentali, supervisione dei genitori e tecniche automatiche di stima dell’età.
Ogni soluzione introduce però un compromesso. Una verifica molto rigorosa può richiedere ulteriori dati personali, mentre una verifica troppo leggera rischia di lasciare passare utenti più giovani. La sfida regolatoria consiste quindi nel ridurre l’accesso improprio senza creare un sistema che raccolga ancora più informazioni sensibili di quelle che vorrebbe proteggere.
Nel 2024 il Dipartimento di Giustizia statunitense, su segnalazione della Federal Trade Commission, avviò una causa contro TikTok, ByteDance e società collegate sostenendo che fossero state violate le regole COPPA. Le contestazioni riguardavano, tra l’altro, la raccolta di dati di utenti sotto i 13 anni e la gestione delle richieste di cancellazione. Le società hanno successivamente modificato parte delle proprie pratiche, dei controlli sull’età e delle funzioni di supervisione.
L’accordo annunciato nell’agosto 2026 chiude quel contenzioso con un pagamento complessivo previsto di 400 milioni di dollari. È importante distinguere tra un accordo e una sentenza: il DOJ specifica che le contestazioni risolte erano accuse e che non c’è stata una determinazione giudiziaria di responsabilità. Il valore del caso, però, va oltre la singola piattaforma: mostra quanto costoso possa diventare per un servizio globale non avere sistemi credibili e verificabili per la gestione dei dati dei bambini.