Abrir workspace

Guia · Lei federal dos Estados Unidos

COPPA: crianças, anúncios e as regras novas da FTC

A COPPA protege os dados de crianças com menos de 13 anos nos Estados Unidos. Em 2025 a FTC atualizou as regras e passou a exigir consentimento separado dos pais para repassar dados a terceiros, inclusive para publicidade. Veja quem precisa seguir a lei e como marcar o conteúdo no AdSense e no Ad Manager.

Auditar meu site infantilLer o guia
  • ✓Baseado na regra da FTC e nas Centrais de Ajuda do Google
  • ✓Exemplos de sites com anúncios, inclusive brasileiros
  • ✓Leitura sem alterar o site
13anos: abaixo dessa idade a criança é protegida pela COPPA
US$ 53.088multa civil máxima por violação, valor corrigido pela inflação em 2025
22 abr 2026fim do prazo para cumprir a maior parte das regras atualizadas em 2025
US$ 275 mimulta paga pela Epic Games em 2022, a maior já aplicada por violação de uma regra da FTC

O que é

Uma lei federal para proteger crianças na internet

A Children's Online Privacy Protection Act, ou COPPA, é uma lei federal dos Estados Unidos de 1998. Quem fiscaliza e escreve as regras detalhadas é a FTC, a Comissão Federal de Comércio. A regra da FTC vale desde 2000, foi ampliada em 2013 e passou pela maior atualização em 2025.

A lei vale para quem opera sites, aplicativos e serviços online comerciais dirigidos a crianças com menos de 13 anos e que coletam dados pessoais delas. Vale também para sites de público geral que sabem, de fato, que estão coletando dados de uma criança, por exemplo quando o próprio usuário informa a idade.

Empresas de anúncios, plugins e outros terceiros também entram quando sabem que estão coletando dados de usuários de um site dirigido a crianças. E sites de fora dos Estados Unidos precisam seguir a lei quando são dirigidos a crianças americanas ou quando sabem que coletam dados delas.

Para quem vive de anúncios, o ponto central é este: num site dirigido a crianças, o identificador de um cookie ou de um aparelho é dado pessoal. Usá-lo para anúncios personalizados exige consentimento verificável dos pais.

Checklist

O que você precisa cumprir

O que a COPPA, a regra da FTC e o Google pedem de um site dirigido a crianças ou que sabe que coleta dados de menores de 13 anos.

  1. Política clara sobre dados de crianças

    Publique uma política de privacidade clara e completa sobre como o site trata dados de crianças.

  2. Aviso direto e consentimento verificável dos pais

    Antes de coletar dados pessoais de uma criança, avise os pais diretamente e obtenha o consentimento verificável deles, salvo nas exceções da regra.

  3. Consentimento separado para repasse

    Desde a regra de 2025, repassar dados da criança a terceiros, inclusive para anúncios direcionados, exige um consentimento dos pais separado dos demais.

  4. Sem anúncio comportamental sem os pais

    Cookies e IDs de aparelho são dados pessoais, e só dispensam consentimento quando usados para operações internas, nunca para anúncio comportamental. O Google também proíbe anúncios personalizados para menores de 13 anos conhecidos e em sites voltados a eles.

  5. Marque o conteúdo no Google

    Informe um site infantil pelo Search Console ou marque cada bloco com o tratamento por idade. Com o valor 1, o Google desliga anúncios personalizados e remarketing.

    <ins class="adsbygoogle"
     data-ad-client="ca-pub-0000000000000000"
     data-ad-slot="0000000000"
     data-tag-for-age-treatment="1"></ins>

  6. Direitos dos pais

    Os pais podem ver os dados do filho, pedir a exclusão e impedir novos usos e coletas. Ofereça um caminho simples para isso.

  7. Guardar só o necessário

    Guarde os dados só pelo tempo necessário para a finalidade e apague com segurança depois. A regra de 2025 proíbe guardar por tempo indeterminado.

  8. Segurança e coleta mínima

    Mantenha os dados confidenciais e seguros, inclusive ao repassá-los. Não exija da criança mais dados do que o necessário para participar de uma atividade.

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

Para a COPPA o Google não pede CMP certificada, e o que ele oferece é a marcação de tratamento por idade, então os links abaixo levam a ela e à FTC.

Definições

Os conceitos que decidem se a lei vale para você

A COPPA é aplicada a partir destas definições. Errar uma delas costuma ser a origem dos problemas.

Criança

Qualquer pessoa com menos de 13 anos. Adolescentes de 13 anos ou mais não são cobertos pela COPPA, embora leis estaduais possam protegê-los.

Dirigido a crianças

A FTC olha o conjunto: tema, visual, personagens animados, atividades infantis, música, idade de modelos, anúncios do site e, desde 2025, materiais de marketing e avaliações.

Público misto

Site dirigido a crianças que não tem crianças como público principal. Desde 2025 tem definição própria e pode perguntar a idade antes de coletar dados.

Informação pessoal

Nome, endereço, e-mail, telefone, foto, voz, localização, identificadores persistentes como cookies e IDs de aparelho e, desde 2025, dados biométricos e documentos oficiais.

Operações internas

Usos que dispensam consentimento dos pais, como manter o site funcionando, segurança, limitar a frequência de anúncios e anúncios contextuais. Anúncio comportamental não entra.

Conhecimento real

Quando o site sabe que o usuário tem menos de 13 anos, por exemplo pela idade informada num cadastro. A partir daí, a COPPA vale para aquele usuário.

Consentimento e direitos dos pais

Quem decide são os pais

Antes de coletar, usar ou divulgar dados pessoais de uma criança, o site precisa avisar os pais diretamente e obter o consentimento verificável deles. Verificável quer dizer que o site toma medidas razoáveis para confirmar que quem autoriza é mesmo um adulto responsável, por exemplo com formulário assinado, transação com cartão, ligação ou videochamada com equipe treinada ou conferência de documento.

A regra de 2025 trouxe uma mudança importante para a publicidade. Repassar dados da criança a terceiros, inclusive para anúncios direcionados, passou a exigir um consentimento separado dos pais, a menos que o repasse seja parte essencial do serviço. Os pais podem autorizar a coleta e recusar o repasse.

Há exceções em que o consentimento não é exigido, como responder uma única vez a um pedido da criança e apagar o contato em seguida, ou usar identificadores persistentes só para operações internas do site. Anúncios contextuais e limite de frequência entram nessa exceção; perfis e remarketing não.

Os pais podem, a qualquer momento, ver os dados que o site guarda sobre o filho, pedir a exclusão, revogar o consentimento e impedir novas coletas. O site precisa oferecer um caminho simples para esses pedidos.

Tipos de site

Dirigido a crianças ou público misto

Os dois tipos estão sujeitos à COPPA. A diferença está no que o site pode fazer antes de saber a idade de quem chegou.

Crianças como público principal

Sites de desenhos para colorir, jogos infantis e vídeos para os pequenos. A FTC presume que todo visitante pode ser criança.

  • Regras claras: trata todo mundo como criança
  • Anúncios contextuais continuam permitidos
  • Marcação por idade simples, aplicada no site inteiro
  • Sem anúncios personalizados para ninguém
  • Não pode usar tela de idade para escapar da lei
  • Receita por visita costuma ser menor

Público misto

Sites para a família ou com parte do conteúdo infantil, em que crianças não são o público principal.

  • Pode perguntar a idade de forma neutra antes de coletar dados
  • Adultos e adolescentes podem receber anúncios personalizados
  • Crianças identificadas recebem tratamento infantil
  • A pergunta de idade não pode induzir a resposta
  • Precisa marcar por idade cada pedido de anúncio
  • Exige configuração mais cuidadosa

Obrigações

O que um site sujeito à COPPA precisa fazer

A maior parte das regras atualizadas passou a ser exigida em 22 de abril de 2026.

Aviso no site

Publicar um aviso claro sobre os dados que coleta de crianças, como usa, com quem compartilha e quais são os direitos dos pais.

Aviso direto aos pais

Explicar aos pais, antes da coleta, o que será coletado e pedir o consentimento, inclusive o separado para repasse a terceiros.

Política de retenção

Ter uma política escrita de retenção de dados de crianças, publicada no aviso, e guardar os dados só pelo tempo necessário.

Programa de segurança

Manter um programa escrito de segurança da informação proporcional ao tamanho do site e à sensibilidade dos dados.

Coletar o mínimo

Não condicionar a participação da criança num jogo ou concurso à entrega de mais dados do que o necessário.

Controlar parceiros

Garantir que os parceiros que recebem dados mantenham confidencialidade e segurança, e saber quais tags rodam nas páginas infantis.

Fiscalização e multas

Quanto custa errar

A FTC e os procuradores-gerais dos estados podem processar quem viola a COPPA. A multa é calculada por violação, e os valores somados ficam altos.

Multa por violação

O teto da multa civil é corrigido pela inflação. Em 2025 passou a 53.088 dólares para cada violação.

YouTube, 2019

O Google e o YouTube pagaram 170 milhões de dólares à FTC e ao estado de Nova York por coletar dados de crianças em canais infantis sem consentimento dos pais.

Epic Games, 2022

A empresa do Fortnite aceitou pagar 275 milhões de dólares por violar a COPPA, a maior multa já aplicada por violação de uma regra da FTC.

Disney, 2025

Em setembro de 2025, a Disney aceitou pagar 10 milhões de dólares por não marcar corretamente como feitos para crianças vídeos publicados no YouTube.

Linha do tempo

Da lei de 1998 às regras de 2026

As datas que mais pesam para quem tem conteúdo infantil com público americano.

  1. 1998

    Lei aprovada

    O Congresso aprova a COPPA e encarrega a FTC de escrever as regras.

  2. 21 de abril de 2000

    Regra em vigor

    A primeira versão da regra da FTC passa a valer.

  3. 1º de julho de 2013

    Identificadores entram na lei

    Cookies e identificadores persistentes passam a ser dado pessoal, e redes de anúncios ficam sujeitas à lei.

  4. 2019

    Caso YouTube

    Acordo de 170 milhões de dólares leva o YouTube a exigir que criadores marquem vídeos feitos para crianças.

  5. 16 de janeiro de 2025

    FTC aprova a atualização

    A FTC anuncia a regra atualizada, com consentimento separado para repasse a terceiros e limites de retenção.

  6. 23 de junho de 2025

    Regra atualizada em vigor

    As mudanças passam a valer, publicadas no Federal Register em 22 de abril de 2025.

  7. 22 de abril de 2026

    Prazo de cumprimento

    Termina o prazo para a maior parte das empresas se adaptar às novas exigências.

Para quem tem AdSense ou Ad Manager

Como marcar o conteúdo infantil no Google

  1. Saiba que a marcação mudouO Google aposentou as marcações antigas de tratamento infantil, conhecidas como TFCD e TFUA. A ferramenta atual é a marcação de tratamento por idade, chamada TFAT, com os valores 1 para criança, 2 para adolescente e 0 para não especificado.
  2. Marque o site inteiro quando for infantilPara um site dirigido a crianças, o Google orienta informar isso pelo Search Console. Com a marcação, o Google desliga anúncios baseados em interesses e remarketing para esse conteúdo. O próprio Google pode tratar um site como infantil mesmo sem aviso do editor.
  3. Marque cada pedido em sites de público mistoNo AdSense, use o atributo data-tag-for-age-treatment no bloco de anúncio. No Ad Manager com GPT, use setPrivacySettings com tagForAgeTreatment antes de exibir anúncios. A marcação no pedido tem prioridade sobre a do site.
  4. Entenda o efeito na receitaCom o valor de criança, o Google desliga anúncios personalizados e remarketing, bloqueia chamadas a fornecedores terceiros de anúncios e aplica proteções de anúncios para crianças. A receita por visita tende a cair, mas o site continua monetizando.
  5. Revise os demais parceirosTags de outras redes, pixels de redes sociais e ferramentas de analytics também coletam identificadores. Nas páginas infantis, mantenha só o que se enquadra em operações internas ou tem consentimento dos pais.
Bloco do AdSense marcado para tratamento infantil (valor 1). Troque os números pelos da sua conta.
<ins class="adsbygoogle"
     style="display:block"
     data-ad-client="ca-pub-0000000000000000"
     data-ad-slot="0000000000"
     data-tag-for-age-treatment="1"></ins>

Na prática

O que pode e o que não pode com conteúdo infantil

Exemplos comuns em sites brasileiros de atividades infantis, jogos e vídeos que recebem visitantes dos Estados Unidos.

Pode

  • Exibir anúncios contextuais, ligados ao assunto da página, num site de desenhos para colorir
  • Limitar a frequência de anúncios com identificadores usados só para operações internas
  • Perguntar a idade de forma neutra num site de público misto antes de coletar dados
  • Marcar com o valor de criança os pedidos de anúncio de quem informou menos de 13 anos
  • Pedir o e-mail dos pais para enviar o aviso e obter o consentimento

Não pode

  • Usar remarketing ou anúncios personalizados num site dirigido a crianças sem consentimento dos pais
  • Pedir nome, foto ou e-mail da criança para participar de um jogo sem aviso aos pais
  • Montar a tela de idade de um jeito que sugira a resposta acima de 13 anos
  • Repassar dados da criança a parceiros de anúncios sem o consentimento separado
  • Guardar dados de crianças por tempo indeterminado

Erros comuns

Onde os sites mais escorregam

Falhas frequentes em sites com conteúdo para crianças e público americano.

Achar que a lei é só americana

Um site brasileiro de atividades infantis com muitos visitantes dos Estados Unidos pode ser considerado dirigido a crianças americanas.

Continuar usando a marcação antiga

As marcações TFCD e TFUA foram aposentadas pelo Google. Código antigo precisa migrar para a marcação de tratamento por idade.

Confiar só no aviso de 13 anos ou mais

Escrever nos termos que o site é para maiores de 13 não muda nada se o conteúdo, o visual e o público são infantis.

Esquecer as tags de terceiros

Marcar o Google como infantil e deixar pixels de redes sociais e outras redes de anúncios coletando identificadores nas mesmas páginas.

Quiz e concursos que pedem dados demais

Pedir nome completo, foto ou cidade para a criança participar exige consentimento dos pais e viola o princípio de coletar o mínimo.

Sem política de retenção

Desde 2026, o aviso precisa trazer a política escrita de retenção de dados de crianças. Muitos avisos ainda não têm.

No ConsentMode

O que a auditoria confere sobre a COPPA

  • Lê o código das páginas e identifica se os blocos do AdSense e as chamadas do GPT usam a marcação de tratamento por idade, e com qual valor.
  • Aponta o uso das marcações antigas TFCD e TFUA, que precisam ser substituídas.
  • Lista pixels, tags de outras redes e cookies de terceiros que disparam em páginas com conteúdo infantil.
  • Confere se o aviso de privacidade fala de crianças, dos direitos dos pais e da retenção de dados.
  • Registra formulários, quizzes e telas de idade que coletam dados antes de qualquer aviso aos pais.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes

Meu site é brasileiro. A COPPA vale para mim?

Vale se o site for dirigido a crianças nos Estados Unidos ou se você souber que coleta dados de crianças americanas. Um site de atividades infantis em inglês com público americano é o caso típico.

Posso continuar com AdSense num site infantil?

Pode. Marcando o conteúdo como infantil, o Google exibe anúncios sem personalização e sem remarketing. A receita por visita costuma ser menor, mas o site continua monetizando dentro da lei.

O que mudou com a regra de 2025?

Consentimento separado dos pais para repassar dados a terceiros, inclusive para anúncios direcionados, política escrita de retenção, programa escrito de segurança, definição de público misto e inclusão de biometria entre os dados pessoais.

A COPPA protege adolescentes?

Não. A COPPA vale para menores de 13 anos. Algumas leis estaduais protegem adolescentes, e o Google oferece o valor de adolescente na marcação por idade para quem precisar.

Basta marcar o Google como infantil?

Não. A marcação cuida dos anúncios do Google. Outras redes, pixels, analytics e formulários do site também precisam respeitar a lei, e o Google lembra que as ferramentas dele não substituem as obrigações legais do editor.

Quem fiscaliza?

A FTC, que pode pedir multas na Justiça, e os procuradores-gerais dos estados, que também podem processar em nome dos moradores.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Descubra se as suas páginas infantis estão marcadas certo

A auditoria lê o código das páginas, encontra tags sem marcação de idade e mostra o que corrigir, sem alterar nada.

Começar a auditoria