La Children's Online Privacy Protection Act (COPPA): guía de cumplimiento para operadores

La Children’s Online Privacy Protection Act (COPPA), ley federal estadounidense de protección de la privacidad en línea de los menores, regula cómo los sitios web, las aplicaciones y otros servicios en línea recogen, utilizan y divulgan información personal de niños menores de 13 años. La Federal Trade Commission (FTC), la Comisión Federal de Comercio de EE. UU., la hace cumplir mediante la Norma COPPA (COPPA Rule, 16 CFR Part 312). Los operadores deben ofrecer un aviso claro, obtener el consentimiento parental verificable antes de recoger información personal de un niño, dar a los padres control sobre esos datos, mantenerlos seguros y suprimirlos cuando ya no sean razonablemente necesarios. La FTC aprobó en 2025 las modificaciones definitivas de la Norma, que añaden un consentimiento parental independiente para las divulgaciones a terceros, un programa escrito de seguridad de la información, una política de conservación de datos y definiciones ampliadas de información personal. El plazo de cumplimiento de esas modificaciones fue el 22 de abril de 2026.

Las organizaciones que recogen datos de niños, o que podrían hacerlo sin ser conscientes de ello, necesitan saber de qué lado de la línea se encuentran. Kiteworks ofrece un plano de control para el intercambio seguro de datos que ayuda a las organizaciones a proteger la información personal de los niños mediante cifrado, control de acceso y registro de auditoría, y a recogerla mediante formularios web seguros.

Esta página ofrece información general, no asesoramiento jurídico. Para obtener orientación sobre cómo se aplica COPPA a su organización, consulte a su equipo jurídico o de privacidad.

Puntos clave

1. COPPA abarca mucho más que los sitios web infantiles

Un servicio de público general queda cubierto si tiene conocimiento real de que recoge información personal de un niño menor de 13 años. Los operadores de servicios dirigidos a niños quedan cubiertos desde el principio, al igual que los terceros, como las redes publicitarias y los complementos, que recogen datos a sabiendas a través de un servicio dirigido a niños.

2. El consentimiento debe ser verificable, no presumido

Los operadores deben obtener el consentimiento parental verificable antes de recoger, utilizar o divulgar información personal de un niño. La Norma modificada exige un consentimiento independiente para las divulgaciones a terceros, salvo que la divulgación sea parte integral del servicio.

3. La seguridad y la conservación son ahora requisitos por escrito

La Norma modificada exige un programa escrito de seguridad de la información y una política de conservación de datos. Los operadores ya no pueden conservar indefinidamente los datos de los niños y deben demostrar cómo los protegen.

4. La información personal se define de forma amplia

Los identificadores persistentes, las fotos, las grabaciones de voz y la geolocalización cuentan, y las modificaciones añaden los identificadores biométricos. Las cookies y los identificadores de dispositivo que siguen a un niño entre servicios pueden activar COPPA incluso sin un nombre ni una dirección de correo electrónico.

5. Las sanciones se aplican por cada infracción

Cada infracción puede acarrear una sanción civil, y los casos de mayor magnitud han alcanzado cientos de millones de dólares. Tanto la FTC como los fiscales generales estatales hacen cumplir COPPA.

¿Qué es COPPA? Definición y ámbito de aplicación

El Congreso de EE. UU. promulgó COPPA en 1998 (15 U.S.C. 6501 a 6506), y la Norma de desarrollo de la FTC entró en vigor el 21 de abril de 2000. La ley se aplica a los operadores de sitios web comerciales y servicios en línea, incluidas las aplicaciones móviles, los juguetes conectados y otros productos conectados a internet, que sean:

• Servicios dirigidos a niños menores de 13 años y que recojan información personal de ellos.
• Servicios de público general que tengan conocimiento real de que recogen información personal de un niño menor de 13 años.
• Servicios de audiencia mixta que se dirigen a los niños como una de varias audiencias. La Norma modificada añade una definición independiente y permite a estos servicios filtrar a los usuarios por edad antes de recoger información personal, para después aplicar las protecciones de COPPA a quienes indiquen ser menores de 13 años.

COPPA alcanza a los operadores con sede en el extranjero que dirijan servicios a niños en Estados Unidos o recojan sus datos a sabiendas. La FTC considera factores como el tema, el contenido visual, los personajes animados, las actividades pensadas para niños, la música, la edad de los modelos, la publicidad y las pruebas fehacientes sobre la composición de la audiencia. La Norma modificada añade los materiales de marketing, las declaraciones a terceros, las reseñas de los usuarios y la edad de los usuarios de servicios similares.

¿A quién protege COPPA?

COPPA protege a los niños menores de 13 años. Cuando un usuario cumple 13 años, COPPA deja de aplicarse a sus datos, aunque otras leyes, entre ellas las leyes estatales de privacidad, pueden seguir exigiendo una protección adicional para los adolescentes. Por lo general, los operadores no pueden eludir la ley alegando que ningún niño usa su servicio si su contenido, su marketing o su base de usuarios indican lo contrario.

¿Qué se considera información personal según COPPA?

La Norma define la información personal de forma amplia. Incluye:

• Nombre y apellidos, dirección postal, dirección de correo electrónico u otros datos de contacto en línea, y número de teléfono.
• Un nombre de pantalla o de usuario que funcione como dato de contacto en línea.
• Un identificador persistente que pueda reconocer a un usuario a lo largo del tiempo y entre servicios, como una cookie, una dirección IP o un identificador de dispositivo.
• Una foto, un vídeo o un archivo de audio que contenga la imagen o la voz de un niño.
• Información de geolocalización lo bastante precisa para identificar el nombre de una calle y una ciudad o población.
• Información sobre un niño o un progenitor que se recoja y se combine con alguno de estos identificadores.
• Según las modificaciones, identificadores biométricos como las huellas dactilares, las huellas de voz, las plantillas faciales y los patrones de la marcha, junto con identificadores emitidos por el gobierno distintos de los números de Social Security (seguro social de EE. UU.), entre ellos los números de pasaporte y los certificados de nacimiento.

Nuestra entrada sobre PII y PHI explica cómo se relacionan estas categorías con términos de privacidad más amplios.

¿Qué exige COPPA a los operadores?

La Norma establece un conjunto básico de obligaciones:

1. Publicar un aviso de privacidad en línea claro que describa qué información se recoge de los niños, cómo se utiliza y si se divulga a terceros.
2. Dar un aviso directo a los padres antes de recoger información de su hijo, con las finalidades y la identidad de los terceros que la recibirán.
3. Obtener el consentimiento parental verificable antes de recoger, utilizar o divulgar información personal de un niño, con excepciones limitadas.
4. Dar control a los padres: la posibilidad de revisar la información recogida, ordenar su supresión y negarse a que se siga recogiendo.
5. Limitar la recogida a lo razonablemente necesario para que el niño participe en una actividad. Los operadores no pueden exigir más datos como condición para participar.
6. Proteger la confidencialidad, la seguridad y la integridad de los datos, y cederlos solo a partes que puedan hacer lo mismo.
7. Conservar los datos únicamente el tiempo razonablemente necesario para la finalidad con la que se recogieron, y suprimirlos de forma segura después.

Estos deberes se hacen eco de principios de otras leyes de privacidad. Consulte nuestras guías sobre la minimización de datos y sobre el RGPD (Reglamento General de Protección de Datos de la UE) para establecer comparaciones.

¿Cómo funciona el consentimiento parental verificable?

El consentimiento parental verificable consiste en hacer esfuerzos razonables, teniendo en cuenta la tecnología disponible, para asegurarse de que quien otorga el consentimiento es el progenitor del niño. El método adecuado depende de cómo se vayan a usar los datos. Entre los métodos aceptados figuran un formulario de consentimiento firmado, una transacción con tarjeta de crédito que notifique al titular de la cuenta, una llamada gratuita o una videoconferencia con personal formado, y la comprobación de un documento de identidad emitido por el gobierno. Las modificaciones añaden tres métodos: la autenticación basada en conocimientos mediante preguntas de opción múltiple difíciles, el envío de un documento de identidad con foto emitido por el gobierno, y un mensaje de texto combinado con un paso de confirmación, como un mensaje de seguimiento, una carta o una llamada.

Los operadores que deseen divulgar datos de niños a terceros con fines que no sean parte integral del servicio deben obtener un consentimiento independiente para esa divulgación. Los padres deben poder aceptar la recogida y el uso sin aceptar la divulgación a terceros.

¿Cuándo no se exige el consentimiento parental?

La Norma admite excepciones limitadas. En cada caso, el operador solo puede recoger lo que la excepción necesita, no debe utilizarlo para otros fines y, por lo general, debe suprimirlo después:

• Recoger los datos de contacto en línea de un progenitor o de un niño únicamente para obtener el consentimiento parental.
• Responder una sola vez a una solicitud concreta de un niño, tras lo cual deben suprimirse los datos de contacto.
• Responder más de una vez a una solicitud de un niño, como un boletín informativo, con aviso al progenitor y la posibilidad de oponerse.
• Proteger la seguridad de un niño.
• Proteger la seguridad y la integridad del servicio, tomar precauciones frente a responsabilidades, responder a un proceso judicial o cooperar con las fuerzas del orden.
• Utilizar un identificador persistente únicamente para respaldar las operaciones internas del servicio, sin contactar con el niño.
• Según las modificaciones, recoger un archivo de audio con la voz de un niño únicamente para responder a una solicitud y suprimirlo de inmediato después.

¿Cómo se hace cumplir COPPA?

La FTC hace cumplir COPPA mediante investigaciones, acciones por sanciones civiles y órdenes de consentimiento que a menudo incluyen la supresión de datos, programas de cumplimiento y obligaciones de información a largo plazo. Los fiscales generales estatales también pueden presentar acciones por COPPA ante los tribunales federales. Los operadores pueden adherirse a un programa de puerto seguro (safe harbor) aprobado por la FTC, un programa de autorregulación cuyas directrices cumplen o superan la Norma. La participación no crea inmunidad, pero la FTC suele considerar que el cumplimiento de las directrices de un programa de puerto seguro equivale al cumplimiento de la Norma. La Norma modificada exige a los programas aprobados que publiquen sus listas de miembros y que informen a la FTC.

COPPA y los centros escolares

Los centros escolares no son operadores, pero sí lo son los proveedores que les prestan servicio. Las orientaciones de la FTC permiten que un centro autorice la recogida de datos de los alumnos en nombre de los padres cuando los datos se utilizan únicamente para los fines educativos del centro y no para fines comerciales. La FTC no aprobó de forma definitiva en 2025 sus propuestas sobre tecnología educativa y las aplazó a la espera de posibles cambios relacionados con la Family Educational Rights and Privacy Act (FERPA), ley federal estadounidense sobre derechos educativos y privacidad de los registros de los estudiantes. Lea nuestra guía sobre el cumplimiento de FERPA y las buenas prácticas de FERPA para la parte relativa a los registros de los estudiantes.

COPPA, redes sociales y contenido generado por los usuarios

Las funciones que permiten a los niños publicar comentarios, fotos, vídeos o grabaciones de voz pueden exponer públicamente información personal. Los operadores que lo permitan deben obtener el consentimiento parental verificable antes de recoger esa información, o aplicar medidas razonables para detectar y suprimir la información personal antes de que se publique. Los servicios que se apoyan en filtros de edad deben diseñarlos de forma neutral, sin animar a los niños a introducir una edad falsa.

¿Cómo se relaciona COPPA con las normas internacionales de privacidad?

COPPA es uno de varios regímenes que protegen los datos de los niños. El RGPD fija por defecto en 16 años la edad del consentimiento digital, que los Estados miembros pueden rebajar a 13. Leyes estatales como la California Privacy Rights Act (CPRA, ley de derechos de privacidad de California) añaden requisitos de aceptación expresa (opt-in) para la venta de datos de menores, y el Reino Unido cuenta con sus propios requisitos de diseño adecuado a la edad. Las organizaciones que atienden a una audiencia global deben comparar las obligaciones entre regímenes con nuestra visión general de las leyes de privacidad de datos en el mundo.

Lista de verificación de cumplimiento de COPPA

1. Determine si su servicio está dirigido a niños, es de audiencia mixta o es de público general con posible conocimiento real.
2. Haga un inventario de la información personal que recoge de los niños, incluidos los identificadores persistentes, y de todos los terceros que la reciben.
3. Publique un aviso de privacidad en línea claro y completo y prepare avisos directos para los padres.
4. Elija un método de consentimiento parental verificable que se ajuste a cómo utiliza los datos.
5. Obtenga un consentimiento independiente antes de divulgar datos de niños a terceros con fines que no sean parte integral del servicio.
6. Ofrezca a los padres una forma sencilla de revisar los datos, solicitar su supresión y detener la recogida posterior.
7. Limite la recogida a lo que cada actividad requiera razonablemente.
8. Adopte un programa escrito de seguridad de la información, designe al personal responsable, evalúe los riesgos y pruebe las salvaguardas al menos una vez al año.
9. Establezca un calendario de conservación de datos y suprima los datos de los niños cuando ya no sean razonablemente necesarios.
10. Conserve registros de los avisos, los consentimientos, las revisiones de proveedores y las solicitudes de supresión, y forme al personal que maneja datos de niños.

Situación actual y novedades recientes

Esta sección se revisa y actualiza por separado del resto de la página. Última revisión: octubre de 2026.

Norma COPPA modificada. La FTC publicó las modificaciones definitivas de la Norma COPPA en el Federal Register (diario oficial federal de EE. UU.) el 22 de abril de 2025. Las modificaciones entraron en vigor el 23 de junio de 2025, y los operadores tuvieron hasta el 22 de abril de 2026 para cumplirlas, con plazos distintos para algunas disposiciones sobre puerto seguro. Ahora se espera que los operadores cumplan los nuevos requisitos.

Sanciones civiles. Las infracciones de COPPA se tratan como infracciones de una norma de la FTC, y la FTC puede reclamar sanciones civiles por cada infracción. El máximo por infracción se ajusta cada año a la inflación, y la cifra recogida en los reglamentos de la FTC en el momento de esta revisión era de 53 088 dólares. La FTC ha indicado que seguirá aplicando en 2026 los niveles de sanción de 2025.

Ejemplos de aplicación. Los casos de gran magnitud muestran cómo se acumulan las sanciones. En 2019, Google y YouTube acordaron pagar 170 millones de dólares para resolver las alegaciones de la FTC y de la fiscalía general de Nueva York sobre infracciones de COPPA. En 2022, Epic Games acordó pagar 275 millones de dólares en un acuerdo con la FTC por COPPA.

Cómo ayuda Kiteworks a las organizaciones a proteger los datos de los niños

Kiteworks ofrece un plano de control para el intercambio seguro de datos que gobierna cómo se mueven los datos sensibles entre personas, máquinas y sistemas. Para las organizaciones que recogen y comparten información personal de niños, la plataforma ayuda a respaldar los requisitos de seguridad y de responsabilidad de COPPA:

• Recogida segura. Los formularios web seguros permiten a las organizaciones recoger consentimientos y otra información con avisos personalizables.
• Cifrado. Los datos se protegen con cifrado doble, con claves distintas a nivel de archivo y de disco, y los clientes son propietarios de sus claves de cifrado. Obtenga más información sobre el cifrado doble y el cifrado del correo electrónico.
• Acceso con privilegios mínimos. Los permisos granulares limitan quién puede ver, descargar o compartir información personal, lo que ayuda a restringir la exposición a las personas que la necesitan.
• Registro de auditoría. Un único registro de auditoría documenta la actividad de usuarios, datos y sistemas, y ofrece a las organizaciones evidencias de cómo se accedió a los datos de los niños y cómo se compartieron. Consulte nuestra guía sobre el registro de auditoría.

Explore Kiteworks para el cumplimiento de COPPA, conozca el uso compartido seguro de archivos o vea el plano de control de datos de Kiteworks.

Volver al Glosario de Riesgo y Cumplimiento