COPPA: Explicación de la Ley de Protección de la Privacidad Infantil en Internet

Los propietarios de empresas cuyos sitios web o plataformas en línea recojan información de niños menores de 13 años deben cumplir la Ley de Protección de la Privacidad Infantil en Internet (COPPA), una ley federal estadounidense, y las consecuencias de infringirla son graves.

A continuación, respondo a todas sus preguntas sobre la COPPA para ayudarle a proteger mejor su negocio y a los niños que utilizan su plataforma.

¿Qué es la Ley de Protección de la Privacidad Infantil en Internet (COPPA)?

La COPPA es una ley federal estadounidense que establece un estricto conjunto de directrices que deben seguir las empresas en línea para proteger la privacidad de los menores de 13 años.

Diseñada para limitar la cantidad de información que las empresas recopilan de niños pequeños, la COPPA se aplica a cualquier empresa del mundo que procese datos de niños en Estados Unidos.

Fecha de entrada en vigor de la COPPA

La ley COPPA se promulgó en 1998 y entró en vigor en abril de 2000.

La Comisión Federal de Comercio (FTC) gestiona la ley y la actualizó en 2013 para incluir disposiciones más estrictas.

Términos clave y definiciones de la COPPA

Para entender cómo aplica la FTC la COPPA y lo que significa para las empresas en línea, veamos cómo define la COPPA algunos términos clave.

Operador

La FTC considera "operador" a cualquier sitio web o servicio en línea que recopile o controle información personal o pague por la recopilación o el mantenimiento de esta información.

Lea a continuación la definición completa de operador(tal y como aparece en la COPPA):

"Cualquier persona que explote un sitio web situado en Internet o un servicio en línea y que recoja o conserve información personal de o sobre los usuarios o visitantes de dicho sitio web o servicio en línea, o en cuyo nombre se recoja o conserve dicha información, u ofrezca productos o servicios a la venta a través de dicho sitio web o servicio en línea, cuando dicho sitio web o servicio en línea se explote con fines comerciales que impliquen comercio entre los distintos Estados o con 1 o más naciones extranjeras; en cualquier territorio de Estados Unidos o en el Distrito de Columbia, o entre cualquiera de dichos territorios y otro de dichos territorios o cualquier Estado o nación extranjera; o entre el Distrito de Columbia y cualquier Estado, territorio o nación extranjera. Esta definición no incluye ninguna entidad sin ánimo de lucro que, de otro modo, estaría exenta de cobertura en virtud de la Sección 5 de la Ley de la Comisión Federal de Comercio (15 U.S.C. 45). Se recopila o conserva información personal en nombre de un operador cuando:

(1) Es recopilada o mantenida por un agente o proveedor de servicios del operador; o 

(2) El operador se beneficia al permitir que otra persona recopile información personal directamente de los usuarios de dicho sitio web o servicio en línea."

Información personal

La definición de información personal de la COPPA incluye identificadores "persistentes", que incluyen detalles que pueden identificar a una persona a lo largo del tiempo, como las direcciones IP.

Lea a continuación cómo define exactamente la COPPA la información personal:

"Información identificable individualmente sobre un individuo recopilada en línea, incluyendo:

• (1) Nombre y apellidos; 
• (2) Una dirección particular u otra dirección física que incluya el nombre de la calle y el nombre de una ciudad o pueblo; 
• (3) Información de contacto en línea, tal como se define en esta sección; 
• (4) Un nombre de pantalla o de usuario cuando funciona de la misma manera que la información de contacto en línea, tal como se define en esta sección; 
• (5) Un número de teléfono; 
• (6) Un número de la Seguridad Social; 
• (7) Un identificador persistente que pueda utilizarse para reconocer a un usuario a lo largo del tiempo y en diferentes sitios web o servicios en línea. Dicho identificador persistente incluye, entre otros, un número de cliente almacenado en una cookie, una dirección de Protocolo de Internet (IP), un número de serie de procesador o dispositivo, o un identificador único de dispositivo; 
• (8) Un archivo de fotografía, vídeo o audio que contenga la imagen o la voz de un niño; 
• (9) Información de geolocalización suficiente para identificar el nombre de la calle y el nombre de una ciudad o pueblo. 
• (10) Información relativa al niño o a sus padres que el operador recopila en línea del niño y combina con un identificador descrito en esta definición."

Si su sitio web recopila información personal utilizando cookies, debe publicar un política de cookies para detallar esas actividades.

Recopilación

Según la COPPA, "recopilar" incluye:

• Permitir que un menor ponga información personal a disposición del público
• Fomentar la presentación de datos personales
• Seguimiento pasivo de un niño conocido

A continuación, puede leer exactamente cómo define la COPPA la recopilación o recogida en su totalidad:

"La recopilación de cualquier información personal de un niño por cualquier medio, incluyendo pero no limitado a:

(1) Solicitar, incitar o animar a un niño a que envíe información personal en línea; 

(2) Permitir que un niño haga pública información personal de forma identificable. No se considerará que un operador ha recopilado información personal con arreglo al presente apartado si toma medidas razonables para eliminar toda o prácticamente toda la información personal de las publicaciones de un niño antes de que se hagan públicas y también para eliminar dicha información de sus registros; o bien 

(3) Seguimiento pasivo de un niño en línea".

Divulgue

La COPPA utiliza una definición amplia para el término revelar o divulgar, que abarca desde poner los datos a disposición del público hasta divulgarlos con cualquier fin.

Lea a continuación la definición completa tal y como aparece en el texto de la ley:

"... con respecto a la información personal: 

(1) La divulgación de información personal recopilada por un operador de un niño en forma identificable para cualquier propósito, excepto cuando un operador proporcione dicha información a una persona que proporcione apoyo para las operaciones internas del sitio Web o servicio en línea; y 

(2) Hacer que la información personal recopilada por un operador de un niño esté disponible públicamente en forma identificable por cualquier medio, incluyendo pero no limitado a una publicación pública a través de Internet, o a través de una página de inicio personal o pantalla publicada en un sitio Web o servicio en línea; un servicio de amigos por correspondencia; un servicio de correo electrónico; un tablero de mensajes; o una sala de chat".

Obtención de un consentimiento verificable

Para recopilar o procesar datos personales de niños en virtud de la COPPA, debe hacer todos los esfuerzos razonables para obtener el consentimiento verificable de un tutor legal.

Lea a continuación cómo define exactamente la ley este término:

"Hacer cualquier esfuerzo razonable (teniendo en cuenta la tecnología disponible) para garantizar que antes de recopilar información personal de un niño, uno de sus padres: 

(1) Recibe notificación de las prácticas de recopilación, uso y divulgación de información personal del operador; y 

(2) Autoriza cualquier recogida, uso y/o divulgación de la información personal".

Ahora que conoce lo esencial de la COPPA y su finalidad, examinemos si su empresa está sujeta a esta ley y cómo puede cumplirla.

¿Qué cubre la Ley de Protección de la Privacidad Infantil en Internet?

La Ley de Protección de la Privacidad Infantil en Internet (Children's Online Privacy Protection Act) protege la información de los niños estadounidenses menores de 13 años garantizando que los sitios web, las aplicaciones móviles, los plugins y los juguetes con funciones en línea procesen sus datos correctamente.

La COPPA no sólo establece directrices sobre el modo en que las empresas en línea deben tratar la información de los niños, sino que también penaliza a las empresas que no siguen estas directrices.

Por ejemplo, en 2019, la FTC golpeó a YouTube con una multa COPPA de 170 millones de dólares por recopilar ilegalmente datos de niños y dirigir anuncios a niños sin el consentimiento de sus padres.

Requisitos de la Ley de Protección de la Privacidad Infantil en Internet

Hemos desglosado los requisitos de cumplimiento de la COPPA que las empresas deben aplicar en las siguientes secciones.

Crear una política de privacidad conforme a COPPA

Las empresas deben publicar una política de privacidad que cumpla los estrictos requisitos de la ley.

Incluso si ya dispone de una política de privacidad en su sitio web o aplicación, es posible que no satisfaga las directrices específicas de la COPPA.

Según las normas de la FTC, su política de privacidad debe incluir la siguiente información:

• Los nombres, direcciones y números de teléfono de todos los operadores del centro/servicio
• Descripción de la información que el operador recoge de los niños
• Cómo se recoge la información de los usuarios
• Cómo utilizan los operadores del sitio/servicio la información recogida
• Si los operadores revelan la información recopilada a terceros y el uso que éstos hacen de ella.
• Una descripción de la opción del tutor legal de consentir la recopilación de información de sus hijos en el sitio sin aceptar la divulgación de dicha información a terceros.

También debe incluir una explicación de los derechos del tutor legal, incluidos los derechos a:

• Evitar revelar más información de la necesaria sobre menores de 13 años.
• Negarse a facilitar información sobre un menor
• Revisar la información enviada al operador sobre el niño en cuestión

Puede cumplir algunas de estas directrices añadiendo una declaración COPPA a su sitio web, como hace el software educativo Classkick en su política de privacidad, que se muestra a continuación.

Cuando cree su política de privacidad COPPA, recuerde ponerse en contacto con los terceros con los que trabaje y preguntarles por sus métodos de recogida de datos, que deberá incluir en su política de privacidad.

Por último, debe incluir su política de privacidad en la página de inicio de su sitio web y en cualquier lugar donde recopile información de niños.

Puede descargar y editar un plantilla de política de privacidad para cumplir las directrices de la COPPA y reflejar con exactitud las prácticas de tratamiento de datos de su sitio web.

Notificación a los padres

Antes de recopilar información de niños, la COPPA exige que presente un aviso directo a los padres solicitando su consentimiento.

Lo siguiente es lo que debe figurar en su notificación directa a los padres exigida por la COPPA:

• Esa información (como el nombre y la dirección de correo electrónico del padre o tutor del niño) se recopiló para obtener el consentimiento
• Que la información recopilada se eliminará transcurrido un plazo razonable si no se da más consentimiento.
• Que desea recoger información de su hijo
• El tipo de información que recogerá de sus hijos y cómo se utilizará
• El tutor legal debe dar su consentimiento antes de que su empresa pueda recopilar, utilizar y divulgar la información de sus hijos.
• Cómo pueden encontrar su política de privacidad
• Cómo pueden dar su consentimiento

Además, debe proporcionar un aviso directo a los padres y tutores legales cada vez que cambie qué información recopila o modifique cómo se recopila.

Obtener el consentimiento paterno verificable

El consentimiento paterno verificable es el consentimiento dado por un padre o tutor en el que usted ha confirmado razonablemente la identidad de dicho padre o tutor.

Según la ley COPPA, debe obtener este consentimiento antes de recopilar información de niños.

Se trata de métodos aceptables para obtener el consentimiento de los padres y autentificar su identidad:

• Un formulario de consentimiento firmado
• Uso de una tarjeta de crédito o débito (en el momento de una transacción monetaria)
• Una llamada telefónica con personal formado
• Una videollamada con personal formado
• Cuestionar preguntas que serían difíciles de responder correctamente para alguien que no fuera el padre o la madre.
• Foto ID

Si la información que recopila es sólo para uso interno de su empresa, puede utilizar el método conocido como "correo electrónico plus" para recabar el consentimiento de los padres:

• Enviar un correo electrónico al padre, madre o tutor legal
• Pídeles que respondan con su consentimiento
• Confirme que lo ha recibido

Si utiliza el método "email plus", debe asegurarse de no revelar ningún dato personal de menores durante el proceso de verificación del consentimiento.

Para una lista de comprobación del cumplimiento de la COPPA, la FTC ofrece un Plan de 6 pasos que le guía a través de todo el proceso.

Exenciones de consentimiento

La COPPA describe varias situaciones en las que no es necesario obtener el consentimiento paterno antes de recopilar información personal de usuarios menores de 13 años, entre ellas:

• Recoger información para solicitar el consentimiento paterno
• A través de "contactos puntuales" (concursos, sorteos, preguntas)
• Para proteger la seguridad de un menor (si un menor comparte su información públicamente de forma irresponsable)
• Para proteger la seguridad o integridad de su sitio web
• Para apoyar las operaciones internas de su sitio

COPPA frente a las leyes de privacidad de los Estados Unidos: Similitudes y diferencias

La Ley de Protección de la Privacidad Infantil en Internet (Children's Online Privacy Protection Act) es una ley federal en EE.UU., pero varios estados también tienen leyes de privacidad de datos en vigor o que entrarán en vigor en los próximos años, entre ellos el:

• Ley de Privacidad del Consumidor de California(CCPA), modificada por la Ley de Derechos de Privacidad de California(CPRA)
• Ley de Privacidad de Colorado(CPA)
• Ley de Privacidad de Datos de Connecticut(CTDPA)
• Ley de Delaware sobre Protección de Datos Personales(DPDPA)
• Carta Digital de Derechos de Florida(FDBR)
• Ley de Protección de Datos de los Consumidores de Indiana(Indiana CDPA) - en vigor desde el 1 de enero de 2026
• Ley de Protección de Datos de los Consumidores de Iowa(Iowa CDPA)
• Ley de Privacidad de Datos de Oregón(ODPA)
• Ley de Protección de la Información de Tennessee(TIPA)
• Ley de Privacidad y Seguridad de Datos de Texas(TDPSA)
• Ley de Privacidad del Consumidor de Utah(UCPA)
• Ley de Protección de Datos de los Consumidores de Virginia(VCDPA)

Puede comparar algunos de los requisitos de la COPPA con las leyes estatales de EE.UU. en la tabla siguiente.

¿Cómo afecta la COPPA a los consumidores?

La COPPA repercute en los consumidores al proteger la privacidad de los menores de 13 años, lo que permite una Internet más segura para los menores.

La ley otorga derechos a los tutores legales sobre cómo y si se recogen y utilizan los datos de sus hijos.

Esa capacidad de elección, control y transparencia significa que los padres y tutores pueden tomar decisiones más informadas para mantener a sus hijos más seguros en Internet.

¿A quién se aplica la COPPA?

La Ley de Protección de la Privacidad Infantil en Internet (Children's Online Privacy Protection Act) se aplica a los menores de 13 años en Estados Unidos.

No protege a los mayores de 13 años ni a quienes se encuentren fuera de Estados Unidos.

¿Cómo afecta la COPPA a las empresas?

Aunque la COPPA es una ley estadounidense, afecta a empresas de todo el mundo, incluso a aquellas que no se dirigen necesariamente a niños menores de 13 años.

¿Cómo afecta la COPPA a mi política de privacidad?

La COPPA tiene un gran impacto en las políticas de privacidad de todas las empresas.

En el caso de las empresas sujetas al cumplimiento de la COPPA, deben seguir unos requisitos concretos en su política de privacidad, entre los que se incluyen:

• Indique el nombre, la dirección y el número de teléfono de su sitio web o servicio.
• Enumerar todos los tipos de información que recopila, cómo la recopila y cómo la utiliza.
• Si revela los datos a terceros y cómo utilizan esa información.
• Una descripción clara de todos los derechos de los tutores legales en relación con los datos de sus hijos.

Además, debe colocar un enlace a su política siempre que se recojan datos de un niño.

Aunque la COPPA no se aplique en su caso, debe incluir una cláusula en su política de privacidad que establezca que no se dirige a los niños ni recopila a sabiendas su información personal.

También debe explicar cómo pueden ponerse en contacto con usted los padres o tutores si creen que ha recopilado accidentalmente datos sobre su hijo.

¿Quién debe cumplir la ley COPPA?

Su empresa debe cumplir la ley COPPA si tiene ánimo de lucro y recopila información personal de menores de 13 años que residan en Estados Unidos.

Mucha gente asume que esta ley de privacidad sólo afecta a los sitios web, pero los requisitos de cumplimiento de la COPPA se aplican a la mayoría de los servicios en línea, incluidos los siguientes:

• Aplicaciones móviles
• Plataformas de juego
• Plugins
• Redes publicitarias
• Servicios de geolocalización
• Servicios de Voz sobre Protocolo de Internet (VOIP)
• Juguetes o dispositivos que se conectan a Internet
• Dispositivos de Internet de las Cosas (IoT)

Aunque su empresa en línea esté situada fuera de Estados Unidos, la FTC podría perseguirle si comercializa con consumidores estadounidenses, como ocurrió con el fabricante chino de aplicaciones BabyBus.

Si su empresa entra en alguna de las categorías anteriores, debe evaluar si se ajusta a la definición de la FTC de "dirigirse a niños"; la FTC tiene en cuenta factores como:

• Si la temática de la empresa atrae a ese grupo de edad.
• Si la empresa ofrece contenidos visuales y sonoros dirigidos a niños pequeños
• Utilización de personajes de dibujos animados
• La edad de los modelos utilizados en los anuncios
• El uso de celebridades infantiles o que favorecen a los niños

Si su empresa o sitio web trata algún tema que atrae a niños de 13 años o menos -o su servicio es utilizado por sitios que sí lo hacen-, debe cumplir plenamente la ley.

Además de la COPPA, si recopila información personal de ciudadanos de la UE, tendrá que asegurarse de que su empresa cumple el Reglamento General de Protección de Datos (rgpd).

¿Quién está exento de la COPPA?

Las organizaciones sin ánimo de lucro que no necesitan seguir la Sección 5 de la Ley FTC están exentas de seguir la COPPA.

O, si sus servicios no están disponibles en EE.UU. y no se dirige a menores, no necesita cumplir los requisitos de la COPPA.

En cualquier caso, no olvide que debe incluir una cláusula de privacidad que indique que no está sujeto a los requisitos específicos de la COPPA.

¿Cómo pueden las empresas cumplir la ley COPPA?

Las empresas pueden cumplir la ley COPPA asegurándose de que disponen de una política de privacidad conforme que cumpla todas las obligaciones descritas por la ley.

También debe implantar un proceso para verificar y obtener el consentimiento adecuado de los padres o tutores legales antes de recopilar cualquier información personal de menores.

Recuerde tener en cuenta qué cookies de Internet utiliza su sitio web, ya que muchas de ellas recogen datos personales de los visitantes.

¿Cómo se hace cumplir la COPPA?

La FTC y las fiscalías generales de los estados hacen cumplir la ley COPPA e imponen elevadas sanciones a las empresas que la incumplen.

Por ejemplo, en 2016, el fiscal general de Nueva York determinó que Viacom, Mattel, JumpStart y Hasbro infringían la COPPA porque uno de sus socios publicitarios utilizaba cookies para rastrear la información personal de sus usuarios.

Para descubrir a los infractores, la FTC anima a los internautas a presentar una queja sobre un sitio que crean que infringe las directrices.

Conocimiento real

Parte del proceso de aplicación de la COPPA por parte de la FTC consiste en determinar si un operador tiene "conocimiento real" de que está captando información de menores de 13 años.

Si la FTC descubre que un operador tiene "conocimiento real" de dicho tratamiento de datos pero no cumple la ley COPPA, es probable que un juez imponga una sanción más severa por incumplimiento flagrante de la legislación.

Multas y sanciones en virtud de la Ley de Protección de la Privacidad Infantil en Internet

Las infracciones de la COPPA pueden alcanzar ahora una sanción máxima de hasta 50.120 dólares por infracción, según la FTC.

Si recopila información personal de sólo diez niños pero infringe la ley COPPA, podría ser multado con hasta 501.200 dólares.

En el pasado, la sanción máxima era de 16.000 dólares, que se incrementó a 40.654 dólares en 2016.

Por lo general, el importe de la sanción que recibe una empresa depende de lo flagrante que sea la infracción y de cuánto haya ganado la empresa con la información personal.

Como puede verse en el gráfico siguiente, varias empresas destacadas han sido penalizadas.

Aunque 170 millones de dólares pueden no ser mucho para una gran empresa como YouTube, podrían destruir fácilmente una pequeña o mediana empresa.

En la cuarta temporada de la serie de HBO Silicon Valley, hay una historia ficticia que representa una posibilidad real, en la que un empleado descubre que su empresa carece de una política de privacidad, pero ya está recopilando datos de los usuarios, lo que significa que violaron la COPPA y son responsables de más de 25.000 millones de dólares.

YouTube y el cumplimiento de la COPPA

En 2019, YouTube recibió una multa de 170 millones de dólares por violar la COPPA, que actúa como un buen ejemplo de cómo la FTC hace cumplir las violaciones de la COPPA.

Técnicamente, la empresa matriz de YouTube, Google, recibió la sanción récord por utilizar cookies para rastrear los hábitos de navegación de los niños en los canales infantiles sin obtener el consentimiento paterno.

El servicio de intercambio de vídeos se beneficiaba de la información de los niños ofreciendo anuncios específicos en esos canales.

Como resultado de la investigación, YouTube notifica a los propietarios de canales que su contenido está sujeto a la COPPA y les permite identificar el "contenido dirigido a niños".

El nuevo sistema significa que los creadores de contenidos de YouTube son ahora plenamente responsables de sus contenidos y deben establecer correctamente la audiencia de su canal o enfrentarse a multas individuales de la FTC en virtud de la COPPA.

Cómo ayuda Termly a cumplir la normativa COPPA

Termly ofrece un generador de políticade privacidady una plantilla de política de privacidad que cumple con varias leyes de privacidad de todo el mundo.

El generador formula preguntas básicas sobre su empresa y sus actividades de tratamiento de datos y elabora una política de privacidad única que puede incrustar directamente en su sitio web o aplicación.

Para utilizar la plantilla, rellene las secciones en blanco del documento con detalles sobre cómo su sitio web o aplicación recopila y procesa los datos.

A continuación, puede editar la plantilla o partes del generador para cumplir los requisitos de la COPPA.

Incluso ofrecemos una guía de redacción de la política de privacidad por si quiere intentarlo usted mismo (no recomendado).

¿Existen otras leyes relacionadas con la privacidad en EE.UU.?

Aunque Estados Unidos no cuenta actualmente con una ley federal de privacidad de datos de los consumidores, existen algunas leyes relacionadas con la privacidad, entre las que se incluyen las siguientes:

• Ley Gramm-Leach-Bliley(GLBA): Esta ley federal establece requisitos para las instituciones financieras, incluidas directrices sobre privacidad y seguridad.
• Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA): Esta ley federal normaliza el intercambio electrónico de información médica y establece requisitos de privacidad.
• Ley de Privacidad y Derechos Educativos de la Familia (FERPA): Esta ley federal protege los datos de los estudiantes y exige confidencialidad.
• Leyde Privacidad de1974(Privacy Act): Esta ley federal obliga a los organismos a respetar los principios de información leal al recoger datos personales, pero establece varias excepciones.
• Leyde Informes de Crédito Justosde 1970(Fair Credit Reporting Act): Esta ley federal prohíbe a las agencias de informes crediticios hacer un uso indebido de sus datos personales y limita con quién pueden revelar esos detalles.

Cada estado tiene también una ley de notificación de violación de datos que establece qué deben hacer las entidades y en qué plazo cuando se produce una violación cibernética o de datos.

Resumen

La COPPA establece directrices estrictas para proteger la privacidad en línea de los menores de 13 años, y cualquier empresa del mundo que se dirija a niños de esta edad en Estados Unidos debe cumplirlas.

Las empresas deben tener una política de privacidad y obtener el consentimiento de un tutor legal para tratar los datos de los niños, y los YouTubers deben establecer el contenido como "hecho para niños" si publican vídeos dirigidos a ellos.

Si su empresa está sujeta a la COPPA, elabore una política de privacidad y adáptela a los requisitos de la ley para evitar sanciones.

Más sobre el autor

Escrito por Josh Langeland, CIPM

Hola, soy Josh. Soy un ingeniero de privacidad apasionado por el uso de la tecnología para respetar la privacidad de los usuarios. Prospero en la intersección de la tecnología compleja y la legislación sobre privacidad en constante cambio. Si no estoy redactando una revisión de diseño o rediseñando un sistema, puede que me encuentres leyendo una biografía o haciendo senderismo en el parque nacional más cercano. Más sobre el autor

Revisado por Masha Komnenic CIPP/E, CIPM, CIPT, FIP Directora de Privacidad Global