TikTok 的前身 Musical.ly 于2019年因违反美国《儿童在线隐私保护法》（COPPA），被联邦贸易委员会（FTC）处以570万美元罚款。它的核心失误不是没设年龄门槛，而是在数以千计13岁以下儿童谎报年龄注册后，明知用户群体包含儿童（构成 COPPA 意义上的“事实知识”），却未按 COPPA 收集处理儿童信息、也未回应家长的删除请求。这个案子几乎是后来 TikTok 面临 GDPR 和 COPPA 双重审视的预演。
TL;DR
COPPA（Children’s Online Privacy Protection Act）仅为13岁以下儿童提供保护，13至18岁青少年不属其保护对象。FTC 的理由是13岁以下儿童更易受伤害，需要更严格的规则。
规则约束的是“运营商”——收集用户信息的商业网站或在线服务（含手机应用），只要满足以下任一条件：主要面向13岁以下儿童；对收集13岁以下儿童信息有“事实知识”；从面向13岁以下儿童的第三方处收集信息。
“事实知识”是本案关键。 儿童谎报年龄注册，运营商本可免责；但 Musical.ly 有大量13岁以下用户把真实年龄写进个人简介、用自拍做头像、以儿童身份成为百万粉丝网红，还有300多名家长发邮件说明孩子未满13岁并要求注销账户。多重证据下，Musical.ly 被认定具有“事实知识”，因而受 COPPA 监管。
FTC 评估一项服务是否“面向儿童”时会综合考虑：题材、视觉与音频内容；是否有面向儿童的活动奖励、动画角色、低龄形象、吸引儿童的名人形象；广告是否投放在其他面向儿童的网站。Musical.ly 主打“对口型”短视频，曲库含“迪斯尼”“校园”等专辑，Katy Perry、Selena Gomez、Ariana Grande 等青少年追捧的歌手也有账号并鼓励粉丝翻唱伴舞。FTC 据此认定其在形式与内容上都面向青少年儿童。
COPPA 对隐私政策有明确内容要求，包括：从儿童处收集的信息种类、收集方式（直接收集或被动跟踪）、儿童能否公开自己的信息、如何使用儿童信息、披露做法与第三方使用方式，以及（如适用）音频文件的收集使用删除政策。此外还要求公布通过运营商收集儿童信息的所有第三方名单及联系方式，并设“家长须知”部分说明家长的查看、删除、拒绝进一步收集等权利。Musical.ly 的隐私政策对儿童信息收集只字未提，很可能源于它选择性忽略了自己收集13岁以下儿童信息、且不认为自己受 COPPA 监管。
除公开隐私政策外，COPPA 额外要求运营商在收集、使用、披露儿童信息时直接联系家长并发送告知，说明收集了哪些信息、需要家长同意、家长不同意则不收集，以及家长如何给予可核实的同意。
在同意环节，COPPA 认为普通 email 太易伪造，采用了“email plus”方法：除 email 回复同意外，运营商需再做一步核验家长身份，如再次发送确认邮件或要求更多信息；人脸识别、安全问题、二级认证等也可用于验证。Musical.ly 未按要求提供独立家长须知，也未在收到300多封家长邮件后删除相应账户，构成违规。图片来源：termsfeed.com 。
COPPA 要求运营商仅在必要时保留儿童数据、失去作用即删除，且删除要彻底、防止被未授权者复原；不得永久保存或在账户不活跃后继续保留。Musical.ly 在此也踩了坑：既未按家长要求删除，也过长保留了儿童用户信息。
为降低合规与执法成本，COPPA 设有安全港计划：行业团体可向 FTC 提交隐私保护要求，获批后成员企业可通过其认证证明合规，FTC 则不定期抽查。已获资质的团体包括 iKeepSafe、kidSAFE、CARU、ESRB、PRIVO、TRUSTe 等。
如果产品并不面向13岁以下儿童但担心存在儿童用户，可降低 COPPA 风险的做法包括：不收集生日、就读学校、头像等年龄相关信息以避免“事实知识”；不使用动画、卡通、幼稚文案与奖励机制等吸引儿童的元素；不从面向儿童的第三方引流打广告。如果产品确实面向13岁以下儿童（儿童教育、游戏等），则需完整落实隐私政策、家长告知、可核实同意、家长查看删除权与限期删除。
立法趋势只会更严：国会已收到“Do Not Track Kids Act”“PROTECT Kids Act”等提案，方向包括把同意年龄上限从13岁提高到16岁、禁止向13岁以下投放定向广告、将精确定位与生物特征数据纳入监管。同类判例与最新动向可对照 Instagram 4.05 亿欧元儿童隐私罚单、TikTok 跨境儿童数据诉讼的两个提醒 与 FTC 的 COPPA 修订提案要点。
