Apri lo spazio

Guida · Legge federale degli Stati Uniti

COPPA: minori, annunci e le nuove regole della FTC

La COPPA protegge i dati dei minori di 13 anni negli Stati Uniti. Nel 2025 la FTC ha aggiornato le regole e ha iniziato a richiedere un consenso separato dei genitori per cedere dati a terzi, anche per la pubblicità. Scopri chi deve seguire la legge e come contrassegnare i contenuti in AdSense e Ad Manager.

Controlla il mio sito per bambiniLeggi la guida
  • ✓Basato sulla regola della FTC e sulle Guide di Google
  • ✓Esempi di siti con annunci, anche brasiliani
  • ✓Lettura senza modificare il sito
13anni: sotto questa età il minore è protetto dalla COPPA
53.088 USDsanzione civile massima per violazione, importo adeguato all'inflazione nel 2025
22 apr 2026fine del termine per rispettare la maggior parte delle regole aggiornate nel 2025
275 mln USDsanzione pagata da Epic Games nel 2022, la più alta mai applicata per la violazione di una regola della FTC

Che cos'è

Una legge federale per proteggere i minori online

La Children's Online Privacy Protection Act, o COPPA, è una legge federale degli Stati Uniti del 1998. A far rispettare la legge e a scrivere le regole dettagliate è la FTC, la Federal Trade Commission. La regola della FTC vale dal 2000, è stata ampliata nel 2013 e ha ricevuto il più grande aggiornamento nel 2025.

La legge vale per chi gestisce siti, app e servizi online commerciali rivolti a minori di 13 anni e che ne raccolgono dati personali. Vale anche per i siti per un pubblico generale che sanno, di fatto, di raccogliere dati di un minore, ad esempio quando è lo stesso utente a indicare l'età.

Anche le società pubblicitarie, i plugin e altre terze parti rientrano quando sanno di raccogliere dati di utenti di un sito rivolto ai minori. E i siti fuori dagli Stati Uniti devono seguire la legge quando sono rivolti a minori americani o quando sanno di raccoglierne i dati.

Per chi vive di annunci, il punto centrale è questo: in un sito rivolto ai minori, l'identificatore di un cookie o di un dispositivo è un dato personale. Usarlo per annunci personalizzati richiede il consenso verificabile dei genitori.

Checklist

Cosa devi rispettare

Cosa richiedono la COPPA, la regola della FTC e Google a un sito rivolto ai bambini o che sa di raccogliere dati di minori di 13 anni.

  1. Informativa chiara sui dati dei bambini

    Pubblica un'informativa sulla privacy chiara e completa su come il sito tratta i dati dei bambini.

  2. Avviso diretto e consenso verificabile dei genitori

    Prima di raccogliere dati personali di un bambino, avvisa direttamente i genitori e ottieni il loro consenso verificabile, salvo le eccezioni della regola.

  3. Consenso separato per la condivisione

    Dalla regola del 2025, condividere i dati del bambino con terzi, anche per annunci mirati, richiede un consenso dei genitori separato dagli altri.

  4. Nessun annuncio comportamentale senza i genitori

    Cookie e ID del dispositivo sono dati personali, e non richiedono il consenso solo quando usati per operazioni interne, mai per annunci comportamentali. Google vieta anche gli annunci personalizzati per minori di 13 anni noti e nei siti rivolti a loro.

  5. Segnala i contenuti a Google

    Segnala un sito per bambini tramite Search Console o contrassegna ogni blocco con il trattamento per età. Con il valore 1, Google disattiva annunci personalizzati e remarketing.

    <ins class="adsbygoogle"
     data-ad-client="ca-pub-0000000000000000"
     data-ad-slot="0000000000"
     data-tag-for-age-treatment="1"></ins>

  6. Diritti dei genitori

    I genitori possono vedere i dati del figlio, chiederne l'eliminazione e bloccare nuovi usi e raccolte. Offri un percorso semplice per farlo.

  7. Conservare solo il necessario

    Conserva i dati solo per il tempo necessario allo scopo e cancellali in modo sicuro dopo. La regola del 2025 vieta la conservazione a tempo indeterminato.

  8. Sicurezza e raccolta minima

    Mantieni i dati riservati e al sicuro, anche quando li condividi. Non chiedere al bambino più dati del necessario per partecipare a un'attività.

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Per la COPPA Google non richiede una CMP certificata, e ciò che offre è il contrassegno del trattamento per età, quindi i link qui sotto portano a questo e alla FTC.

Definizioni

I concetti che decidono se la legge vale per te

La COPPA si applica a partire da queste definizioni. Sbagliarne una è spesso all'origine dei problemi.

Minore

Qualsiasi persona sotto i 13 anni. Gli adolescenti di 13 anni o più non sono coperti dalla COPPA, anche se le leggi statali possono proteggerli.

Rivolto ai minori

La FTC guarda l'insieme: tema, aspetto grafico, personaggi animati, attività per bambini, musica, età dei modelli, annunci del sito e, dal 2025, materiali di marketing e recensioni.

Pubblico misto

Sito rivolto ai minori che non ha i minori come pubblico principale. Dal 2025 ha una definizione propria e può chiedere l'età prima di raccogliere dati.

Informazione personale

Nome, indirizzo, e-mail, telefono, foto, voce, posizione, identificatori persistenti come cookie e ID del dispositivo e, dal 2025, dati biometrici e documenti ufficiali.

Operazioni interne

Usi che non richiedono il consenso dei genitori, come mantenere il sito funzionante, sicurezza, limitare la frequenza degli annunci e annunci contestuali. La pubblicità comportamentale non rientra.

Conoscenza effettiva

Quando il sito sa che l'utente ha meno di 13 anni, ad esempio dall'età indicata in un'iscrizione. Da quel momento, la COPPA vale per quell'utente.

Consenso e diritti dei genitori

Decidono i genitori

Prima di raccogliere, usare o divulgare dati personali di un minore, il sito deve avvisare direttamente i genitori e ottenere il loro consenso verificabile. Verificabile significa che il sito adotta misure ragionevoli per confermare che chi autorizza sia davvero un adulto responsabile, ad esempio con un modulo firmato, una transazione con carta, una telefonata o videochiamata con personale formato o la verifica di un documento.

La regola del 2025 ha portato un cambiamento importante per la pubblicità. Cedere dati del minore a terzi, anche per annunci mirati, ora richiede un consenso separato dei genitori, a meno che la cessione sia parte essenziale del servizio. I genitori possono autorizzare la raccolta e rifiutare la cessione.

Ci sono eccezioni in cui il consenso non è richiesto, come rispondere una sola volta a una richiesta del minore e poi cancellare il contatto, o usare identificatori persistenti solo per le operazioni interne del sito. Gli annunci contestuali e il limite di frequenza rientrano in questa eccezione; profili e remarketing no.

I genitori possono, in qualsiasi momento, vedere i dati che il sito conserva sul figlio, chiederne la cancellazione, revocare il consenso e impedire nuove raccolte. Il sito deve offrire un percorso semplice per queste richieste.

Tipi di sito

Rivolto ai minori o pubblico misto

Entrambi i tipi sono soggetti alla COPPA. La differenza sta in ciò che il sito può fare prima di conoscere l'età di chi è arrivato.

Minori come pubblico principale

Siti di disegni da colorare, giochi per bambini e video per i più piccoli. La FTC presume che ogni visitatore possa essere un minore.

  • Regole chiare: tratta tutti come minori
  • Gli annunci contestuali restano consentiti
  • Flag di età semplice, applicato a tutto il sito
  • Nessun annuncio personalizzato per nessuno
  • Non si può usare una schermata dell'età per sfuggire alla legge
  • I ricavi per visita di solito sono inferiori

Pubblico misto

Siti per famiglie o con una parte di contenuti per bambini, in cui i minori non sono il pubblico principale.

  • Può chiedere l'età in modo neutro prima di raccogliere dati
  • Adulti e adolescenti possono ricevere annunci personalizzati
  • I minori identificati ricevono il trattamento per minori
  • La domanda sull'età non deve suggerire la risposta
  • Bisogna contrassegnare per età ogni richiesta di annuncio
  • Richiede una configurazione più attenta

Obblighi

Cosa deve fare un sito soggetto alla COPPA

La maggior parte delle regole aggiornate è diventata obbligatoria il 22 aprile 2026.

Avviso sul sito

Pubblicare un avviso chiaro sui dati che raccoglie dai minori, su come li usa, con chi li condivide e sui diritti dei genitori.

Avviso diretto ai genitori

Spiegare ai genitori, prima della raccolta, cosa verrà raccolto e chiedere il consenso, compreso quello separato per la cessione a terzi.

Politica di conservazione

Avere una politica scritta di conservazione dei dati dei minori, pubblicata nell'avviso, e conservare i dati solo per il tempo necessario.

Programma di sicurezza

Mantenere un programma scritto di sicurezza delle informazioni proporzionato alle dimensioni del sito e alla sensibilità dei dati.

Raccogliere il minimo

Non condizionare la partecipazione del minore a un gioco o a un concorso alla consegna di più dati del necessario.

Controllare i partner

Garantire che i partner che ricevono dati mantengano riservatezza e sicurezza, e sapere quali tag sono attivi nelle pagine per bambini.

Controlli e sanzioni

Quanto costa sbagliare

La FTC e i procuratori generali degli stati possono far causa a chi viola la COPPA. La sanzione viene calcolata per violazione e, sommati, gli importi diventano alti.

Sanzione per violazione

Il tetto della sanzione civile viene adeguato all'inflazione. Nel 2025 è salito a 53.088 dollari per ogni violazione.

YouTube, 2019

Google e YouTube hanno pagato 170 milioni di dollari alla FTC e allo stato di New York per aver raccolto dati di minori su canali per bambini senza il consenso dei genitori.

Epic Games, 2022

L'azienda di Fortnite ha accettato di pagare 275 milioni di dollari per aver violato la COPPA, la sanzione più alta mai applicata per la violazione di una regola della FTC.

Disney, 2025

A settembre 2025, Disney ha accettato di pagare 10 milioni di dollari per non aver contrassegnato correttamente come destinati ai bambini i video pubblicati su YouTube.

Cronologia

Dalla legge del 1998 alle regole del 2026

Le date che pesano di più per chi ha contenuti per bambini con pubblico americano.

  1. 1998

    Legge approvata

    Il Congresso approva la COPPA e incarica la FTC di scrivere le regole.

  2. 21 aprile 2000

    Regola in vigore

    La prima versione della regola della FTC entra in vigore.

  3. 1° luglio 2013

    Gli identificatori entrano nella legge

    Cookie e identificatori persistenti diventano dati personali e le reti pubblicitarie diventano soggette alla legge.

  4. 2019

    Caso YouTube

    Un accordo da 170 milioni di dollari porta YouTube a richiedere ai creator di contrassegnare i video fatti per i bambini.

  5. 16 gennaio 2025

    La FTC approva l'aggiornamento

    La FTC annuncia la regola aggiornata, con consenso separato per la cessione a terzi e limiti di conservazione.

  6. 23 giugno 2025

    Regola aggiornata in vigore

    Le modifiche entrano in vigore, pubblicate nel Federal Register il 22 aprile 2025.

  7. 22 aprile 2026

    Termine di conformità

    Scade il termine per la maggior parte delle aziende per adeguarsi ai nuovi requisiti.

Per chi ha AdSense o Ad Manager

Come contrassegnare i contenuti per bambini in Google

  1. Sappi che il flag è cambiatoGoogle ha eliminato i vecchi flag di trattamento per minori, noti come TFCD e TFUA. Lo strumento attuale è il flag di trattamento per età, chiamato TFAT, con i valori 1 per minore, 2 per adolescente e 0 per non specificato.
  2. Contrassegna l'intero sito quando è per bambiniPer un sito rivolto ai minori, Google consiglia di indicarlo tramite Search Console. Con il flag, Google disattiva gli annunci basati sugli interessi e il remarketing per quel contenuto. Google stesso può trattare un sito come per bambini anche senza avviso dell'editore.
  3. Contrassegna ogni richiesta nei siti con pubblico mistoIn AdSense, usa l'attributo data-tag-for-age-treatment nel blocco di annuncio. In Ad Manager con GPT, usa setPrivacySettings con tagForAgeTreatment prima di mostrare gli annunci. Il flag sulla richiesta ha la priorità su quello del sito.
  4. Capisci l'effetto sui ricaviCon il valore minore, Google disattiva annunci personalizzati e remarketing, blocca le chiamate a fornitori di annunci di terze parti e applica le protezioni per gli annunci rivolti ai minori. I ricavi per visita tendono a calare, ma il sito continua a monetizzare.
  5. Rivedi gli altri partnerI tag di altre reti, i pixel dei social e gli strumenti di analytics raccolgono anch'essi identificatori. Nelle pagine per bambini, mantieni solo ciò che rientra nelle operazioni interne o ha il consenso dei genitori.
Blocco AdSense contrassegnato per il trattamento dei minori (valore 1). Sostituisci i numeri con quelli del tuo account.
<ins class="adsbygoogle"
     style="display:block"
     data-ad-client="ca-pub-0000000000000000"
     data-ad-slot="0000000000"
     data-tag-for-age-treatment="1"></ins>

In pratica

Cosa è consentito e cosa no con i contenuti per bambini

Esempi comuni in siti brasiliani di attività per bambini, giochi e video che ricevono visitatori dagli Stati Uniti.

Consentito

  • Mostrare annunci contestuali, legati all'argomento della pagina, in un sito di disegni da colorare
  • Limitare la frequenza degli annunci con identificatori usati solo per le operazioni interne
  • Chiedere l'età in modo neutro in un sito con pubblico misto prima di raccogliere dati
  • Contrassegnare con il valore minore le richieste di annuncio di chi ha indicato meno di 13 anni
  • Chiedere l'e-mail dei genitori per inviare l'avviso e ottenere il consenso

Non consentito

  • Usare remarketing o annunci personalizzati in un sito rivolto ai minori senza il consenso dei genitori
  • Chiedere nome, foto o e-mail del minore per partecipare a un gioco senza avviso ai genitori
  • Costruire la schermata dell'età in modo da suggerire la risposta oltre i 13 anni
  • Cedere dati del minore a partner pubblicitari senza il consenso separato
  • Conservare dati di minori a tempo indeterminato

Errori comuni

Dove i siti sbagliano di più

Errori frequenti nei siti con contenuti per bambini e pubblico americano.

Pensare che la legge sia solo americana

Un sito brasiliano di attività per bambini con molti visitatori dagli Stati Uniti può essere considerato rivolto a minori americani.

Continuare a usare il vecchio flag

I flag TFCD e TFUA sono stati eliminati da Google. Il vecchio codice deve passare al flag di trattamento per età.

Fidarsi solo dell'avviso per maggiori di 13 anni

Scrivere nei termini che il sito è per maggiori di 13 anni non cambia nulla se contenuto, aspetto e pubblico sono per bambini.

Dimenticare i tag di terze parti

Contrassegnare Google come per bambini e lasciare pixel dei social e altre reti pubblicitarie a raccogliere identificatori nelle stesse pagine.

Quiz e concorsi che chiedono troppi dati

Chiedere nome completo, foto o città perché il minore partecipi richiede il consenso dei genitori e viola il principio di raccogliere il minimo.

Nessuna politica di conservazione

Dal 2026, l'avviso deve riportare la politica scritta di conservazione dei dati dei minori. Molti avvisi ancora non ce l'hanno.

In ConsentMode

Cosa controlla l'audit sulla COPPA

  • Legge il codice delle pagine e identifica se i blocchi AdSense e le chiamate GPT usano il flag di trattamento per età, e con quale valore.
  • Segnala l'uso dei vecchi flag TFCD e TFUA, che devono essere sostituiti.
  • Elenca pixel, tag di altre reti e cookie di terze parti che si attivano nelle pagine con contenuti per bambini.
  • Verifica se l'informativa sulla privacy parla di minori, dei diritti dei genitori e della conservazione dei dati.
  • Registra moduli, quiz e schermate dell'età che raccolgono dati prima di qualsiasi avviso ai genitori.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti

Il mio sito è brasiliano. La COPPA si applica a me?

Vale se il sito è rivolto ai minori negli Stati Uniti o se sai di raccogliere dati di minori americani. Un sito di attività per bambini in inglese con pubblico americano è il caso tipico.

Posso continuare con AdSense in un sito per bambini?

Sì. Contrassegnando il contenuto come per bambini, Google mostra annunci senza personalizzazione e senza remarketing. I ricavi per visita di solito sono inferiori, ma il sito continua a monetizzare nel rispetto della legge.

Cosa è cambiato con la regola del 2025?

Consenso separato dei genitori per cedere dati a terzi, anche per annunci mirati, politica scritta di conservazione, programma scritto di sicurezza, definizione di pubblico misto e inclusione dei dati biometrici tra i dati personali.

La COPPA protegge gli adolescenti?

No. La COPPA vale per i minori di 13 anni. Alcune leggi statali proteggono gli adolescenti, e Google offre il valore adolescente nel flag per età per chi ne ha bisogno.

Basta contrassegnare Google come per bambini?

No. Il flag riguarda gli annunci di Google. Anche altre reti, pixel, analytics e moduli del sito devono rispettare la legge, e Google ricorda che i suoi strumenti non sostituiscono gli obblighi legali dell'editore.

Chi controlla?

La FTC, che può chiedere sanzioni in tribunale, e i procuratori generali degli stati, che possono fare causa anche a nome dei residenti.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Scopri se le tue pagine per bambini sono contrassegnate correttamente

L'audit legge il codice delle pagine, trova i tag senza flag di età e mostra cosa correggere, senza modificare nulla.

Avvia l'audit