保護孩子資料的，主要是兩套規則：美國的 COPPA 與歐洲的 GDPR。兩者之所以存在，是因為幼兒無法就被追蹤給出有效同意。但知道一部法律的名稱，並不能告訴你孩子手中的應用程式是否真的安全——以下是每套規則的要求，以及見真章的兩分鐘檢查。
保護孩子資料的兩部法律
COPPA — 美國
《兒童線上隱私保護法》（COPPA）適用於面向 13 歲以下兒童、或明知而收集其資料的線上服務。核心規則是：應用程式在收集兒童個人資料之前，必須取得可驗證的家長同意。而「個人資料」範圍很廣：不僅是姓名與電子郵件，還包括跨應用程式追蹤孩子的持久識別碼、精確位置，以及照片、影片與錄音。COPPA 由美國聯邦貿易委員會（FTC）執行。
GDPR — 歐盟與英國
《一般資料保護規則》（GDPR）認為兒童理應受到特別保護。對於面向兒童提供的線上服務，只要孩子低於各國設定的年齡，同意就必須由家長作出或授權——預設 16 歲，部分國家下調至 13 歲。在英國，監理機關 ICO 的《適齡設計規範》更進一步，要求兒童可能使用的服務預設採用高隱私設定並盡量減少資料收集。
法律的要求，一目了然
- 保護誰：COPPA 保護 13 歲以下；GDPR 視國家保護 13 至 16 歲以下的兒童。
- 核心義務：收集資料前取得家長同意，外加預設高隱私設定（英國兒童規範）。
- 什麼算資料：姓名與聯絡方式，還有追蹤識別碼、精確位置、照片與音訊。
- 由誰執行：美國是 FTC；歐洲是各國資料保護機關。
- 合規最簡單的方式：什麼都不收集。不收集資料的應用程式無需同意，也沒有什麼可失去。
關鍵在於：法律是底線，不是上限
許多家長忽略了這一點：兩部法律首先都建立在同意之上。也就是說，只要先徵得家長同意，應用程式就可以收集——甚至共享——大量資料。實際上，這份同意常常埋在註冊流程裡，不少標榜「適合兒童」的應用程式在紙面上守規，卻仍嵌入為你孩子建立輪廓的廣告 SDK。合規意味著應用程式遵守了規則，而不是它什麼都不收集。而這道落差，幾乎總是用廣告來買單。為什麼偏偏是孩子手中的廣告才是真正的問題，我們在無廣告應用程式檢查清單裡作了說明。
兩分鐘隱私檢查
- 尋找清楚、具體的隱私承諾。Kid Doodle 的承諾是：無第三方廣告、無兒童帳戶、著色畫畫不用連網。
- 尋找兒童隱私權政策。願意公開一份的開發者，代表已經考慮過 COPPA 與 GDPR 的義務。
- 留意「包含廣告」。靠廣告獲利的兒童應用程式，幾乎總會把資料共享給廣告網路。
- 自己先玩五分鐘。留意是否要求註冊帳號、索取電子郵件，或申請定位、通訊錄、麥克風權限——一款繪圖應用程式這些都不需要。
- 測試家長鎖。購買與外部連結應放在幼兒無法獨自通過的成人驗證之後。
Kid Doodle 的隱私承諾
Kid Doodle 的隱私承諾清楚而具體：無第三方廣告、無兒童帳戶。孩子畫的畫保存在裝置上，內建著色頁與繪畫工具不用連網。建立自訂著色頁需要網路連線與 Kid Doodle Premium。選購的 Premium 訂閱會自動續訂，購買流程受家長專區的家長鎖保護，購買前會顯示目前的優惠與價格。
參考資料
- FTC — Children's Privacy: COPPA compliance guidance
- FTC — Children's Online Privacy Protection Rule (COPPA)
- GDPR (Regulation (EU) 2016/679), Article 8
- ICO — Age Appropriate Design Code (the Children's Code)
常見問題
COPPA 是什麼？它適用於我孩子的應用程式嗎？
COPPA 是美國的《兒童線上隱私保護法》（Children's Online Privacy Protection Act）。它適用於面向 13 歲以下兒童（或明知而收集其資料）的線上服務，要求在收集個人資料前取得可驗證的家長同意，其中也包括追蹤識別碼、位置、照片與音訊。由 FTC 執行。
GDPR 保護歐盟的兒童嗎？
是的。GDPR 給予兒童特別保護。面向兒童的線上服務，只要孩子低於各國設定的年齡，同意就必須由家長作出或授權——預設 16 歲，部分國家為 13 歲。在英國，《適齡設計規範》再加上預設高隱私設定與資料最小化。
Kid Doodle 的隱私承諾是什麼？
Kid Doodle 沒有第三方廣告，也不需要兒童帳戶。孩子畫的畫保存在裝置上，著色與畫畫不用連網。資料處理的詳細說明，請參閱兒童隱私權政策。
本指南面向家長，提供一般性資訊，不構成法律意見。正式內容請參閱美國聯邦貿易委員會（FTC）的 COPPA 指引以及所在國家的資料保護機關。