Oregon chegou com uma lei de privacidade que tem pelo menos três características que você provavelmente não vai encontrar em nenhuma outra legislação estadual americana.

A Oregon Consumer Privacy Act (OCPA), ORS 646A.570 a 646A.589, entrou em vigor em 1º de julho de 2024. Foi desenvolvida pelo Attorney General's Consumer Privacy Task Force, com mais de 150 especialistas envolvidos, e sancionada pela governadora Tina Kotek.

No primeiro ano de vigência: 214 reclamações recebidas, 38 investigações abertas. O enforcement é real.

A OCPA é a lei estadual de proteção de dados pessoais do Oregon. Ela garante direitos aos residentes do estado e cria obrigações para as empresas que tratam seus dados.

A fiscalização é responsabilidade exclusiva do Attorney General do Oregon. Não há direito de ação privada.

Em 1º de julho de 2024.

Duas mudanças importantes entraram em vigor em 1º de janeiro de 2026: a obrigação de honrar sinais de opt-out universal como o Global Privacy Control (GPC), e a eliminação do período de cura de 30 dias. A partir dessa data, o Attorney General pode agir sem aviso prévio.

Conforme a Seção 2(1) da lei, ela se aplica a pessoas que conduzem negócios no Oregon ou produzem produtos ou serviços direcionados a residentes do estado e que, durante um ano civil:

Controlam ou processam dados pessoais de pelo menos 100.000 consumidores, excluindo dados processados exclusivamente para fins de conclusão de uma transação de pagamento.

Ou controlam ou processam dados pessoais de pelo menos 25.000 consumidores enquanto derivam 25% ou mais da receita bruta anual da venda de dados pessoais.

Três pontos que diferenciam a OCPA de praticamente todas as outras leis estaduais:

A exclusão de transações de pagamento do threshold de 100K: dados processados exclusivamente para completar pagamentos não entram na contagem. Isso é diferente das outras leis que não fazem essa exclusão.

O threshold de 25% de receita: a maioria das leis estaduais usa 50% de receita de venda de dados. A OCPA usa 25%, tornando o segundo critério mais fácil de atingir.

A inclusão de dados derivados no conceito de dado pessoal: perfis criados a partir dos dados do consumidor também são dados pessoais sob a OCPA. Isso tem impacto direto no escopo das solicitações de acesso e exclusão.

Entender a distinção entre controlador e operador é fundamental para definir as responsabilidades de cada parte.

Conforme a Seção 2(2), estão isentos:

Entidades governamentais e corporações públicas do Oregon, incluindo Oregon Health and Science University e Oregon State Bar.

Informações de saúde protegidas processadas por entidades cobertas ou associadas de negócios sob a HIPAA.

Informações usadas exclusivamente para finalidades de saúde pública.

Dados de pesquisa clínica regulada por normas federais.

Dados processados exclusivamente no contexto de emprego, relação contratual com entidade empresarial, ou benefícios de empregadores.

Dados regulados pelo Fair Credit Reporting Act, Gramm-Leach-Bliley Act, FERPA, e Airline Deregulation Act (dentro dos limites de cada lei).

Instituições financeiras e suas afiliadas dedicadas exclusivamente a atividades financeiras.

Seguradoras, produtores de seguros e consultores de seguros.

Organizações sem fins lucrativos criadas para detectar e prevenir fraudes em seguros.

Atividades não comerciais de veículos de imprensa e rádio e TV licenciados.

A partir de 1º de julho de 2025, organizações sem fins lucrativos enquadradas na seção 501(c)(3) passaram a estar sujeitas à OCPA.

A partir de 26 de setembro de 2025, todos os fabricantes de veículos que coletam dados pessoais de consumidores do Oregon estão sujeitos à lei, independentemente dos thresholds.

Conforme a Seção 1(13), dado pessoal é qualquer dado, dado derivado ou identificador único vinculado ou razoavelmente vinculável a um consumidor ou a um dispositivo que identifique, esteja vinculado ou seja razoavelmente vinculável a um ou mais consumidores em um domicílio.

Dados desidentificados e dados legalmente disponíveis em registros governamentais ou mídia de ampla circulação estão excluídos.

A inclusão explícita de dados derivados é um diferencial importante da OCPA. Perfis de marketing, scores de comportamento e classificações de segmento criados a partir dos dados do consumidor são dados pessoais para fins da lei.

Conforme a Seção 1(18), dados sensíveis incluem:

Dados que revelam origem racial ou étnica, nacional, crenças religiosas, condição mental ou física ou diagnóstico, orientação sexual, status como transgênero ou não-binário, status como vítima de crime, ou cidadania ou imigração.

Dados pessoais de crianças menores de 13 anos.

Dados de geolocalização precisa dentro de um raio de 1.750 pés (aproximadamente 533 metros).

Dados genéticos ou biométricos.

Dados sensíveis não podem ser processados sem consentimento explícito do consumidor, conforme a Seção 5(2)(b) da OCPA.

O Departamento de Justiça do Oregon criou o acrônimo L.O.C.K.E.D. para resumir os direitos garantidos pela Seção 3(1) da OCPA:

L (List): obter uma lista das entidades específicas para as quais o controlador divulgou seus dados, ou uma lista de qualquer dado pessoal divulgado.

O (Opt-out): recusar o processamento de dados para publicidade direcionada, venda de dados pessoais, e perfilamento para decisões com efeitos legais ou de significância similar.

C (Copy): obter cópia de todos os dados pessoais que o controlador processou, em formato portável e prontamente utilizável quando tecnicamente viável.

K (Know): confirmar se o controlador processa ou processou seus dados e quais categorias estão envolvidas.

E (Edit): corrigir imprecisões nos dados pessoais, considerando a natureza e a finalidade do processamento.

D (Delete): solicitar a exclusão dos dados pessoais, incluindo dados fornecidos pelo consumidor, obtidos de outras fontes, e dados derivados.

O controlador tem 45 dias para responder (Seção 4(5)(a)). O prazo pode ser estendido por mais 45 dias quando razoavelmente necessário, com notificação dentro do prazo inicial.

O atendimento é gratuito uma vez por período de 12 meses por consumidor. Para solicitações subsequentes, a empresa pode cobrar taxa razoável, exceto quando a solicitação verifica o cumprimento de correção ou exclusão anterior (Seção 4(5)(c)).

A Seção 4(6) exige que o controlador estabeleça processo de apelação. O processo deve ser conspicuamente disponível, similar ao método original, e resultar em resposta escrita dentro de 45 dias com decisão e justificativa.

Se a apelação for negada, o aviso deve fornecer informações para que o consumidor contate o Attorney General.

Conforme a Seção 1(6), consentimento é ato afirmativo pelo qual o consumidor comunica, de forma clara e conspícua, concordância livre, específica, informada e inequívoca. A interface não pode ter mecanismos que obscureçam, subvertam ou prejudiquem a autonomia e a capacidade de decisão do consumidor. E a inação não constitui consentimento.

O padrão correto para cookies: tecnologias não essenciais desligadas por padrão. O usuário escolhe o que ativa, não o que desativa.

Conforme a Seção 5, o controlador precisa:

Especificar no aviso de privacidade as finalidades expressas de coleta e processamento.

Limitar a coleta ao adequado, relevante e razoavelmente necessário para as finalidades declaradas.

Implementar salvaguardas técnicas, administrativas e físicas razoáveis para proteger os dados.

Fornecer mecanismo de revogação de consentimento pelo menos tão fácil quanto o de consentimento. Após a revogação, cessar o processamento em no máximo 15 dias (Seção 5(1)(d)).

Não processar dados para finalidades incompatíveis com as declaradas, salvo consentimento.

Não processar dados sensíveis sem consentimento prévio.

Não processar dados de consumidores de 13 a 15 anos para publicidade direcionada, perfilamento ou venda sem consentimento explícito.

Não discriminar consumidores que exercem seus direitos.

Fornecer aviso de privacidade acessível, claro e significativo com canal de contato ativo e monitorado.

Estabelecer canal para DSARs sem exigência de criação de nova conta.

Conduzir e documentar Data Protection Assessments para atividades de alto risco.

A Seção 5(2)(c) proíbe o processamento de dados de consumidores de 13 a 15 anos para publicidade direcionada, perfilamento para decisões com efeitos legais ou venda de dados sem o consentimento desses consumidores, quando o controlador tem conhecimento real ou deliberadamente desconsidera essa faixa etária.

A partir de 1º de janeiro de 2026, a proteção foi ampliada: proibição de vender dados de menores de 16 anos e de usar dados de menores de 16 anos para publicidade direcionada e certos tipos de perfilamento.

A Seção 5(1)(d) exige que o controlador forneça mecanismo efetivo de revogação de consentimento pelo menos tão fácil quanto o mecanismo de consentimento. Após a revogação, o controlador deve cessar o processamento o mais rápido possível, mas no máximo em 15 dias.

Cookies que coletam dados pessoais ou permitem identificação de usuários estão diretamente no escopo da OCPA.

O controlador precisa exibir um aviso de cookies claro, disponibilizar opt-out de publicidade direcionada, bloquear rastreadores não necessários antes que disparem, e honrar as preferências expressas pelo consumidor.

A categorização correta de tags é o que permite identificar quais cookies configuram publicidade direcionada ou venda de dados.

A Seção 1(19) define publicidade direcionada como anúncios selecionados com base em dados coletados das atividades do consumidor ao longo do tempo e em um ou mais sites ou aplicações não afiliados.

A partir de 1º de janeiro de 2026, a Seção 5(5)(c) exige que os controladores honrem sinais de opt-out universal com o consentimento do consumidor, como o Global Privacy Control (GPC). Um visitante com o GPC ativado equivale a um visitante que clicou no botão de recusar publicidade direcionada.

Conforme a Seção 8, o controlador precisa conduzir e documentar Data Protection Assessments para:

Processamento de dados para publicidade direcionada.

Processamento de dados sensíveis.

Venda de dados pessoais.

Perfilamento que apresenta risco previsível de tratamento injusto, dano financeiro, físico ou reputacional, intrusão na privacidade, ou outros danos substanciais.

As avaliações precisam ser mantidas por pelo menos cinco anos (Seção 8(6)) e são confidenciais. O Attorney General pode solicitar acesso durante investigações, sem que isso configure renúncia ao privilégio advogado-cliente.

Conforme a Seção 9, o Attorney General do Oregon tem autoridade exclusiva para fiscalizar a OCPA. Não existe direito de ação privada.

Até 1º de janeiro de 2026: o AG precisava notificar o controlador e conceder 30 dias para correção antes de iniciar ação formal.

A partir de 1º de janeiro de 2026: o período de cura foi eliminado pela Seção 11. O AG pode iniciar ação diretamente.

Se violações forem identificadas, o AG pode buscar:

Injunção para cessar as violações.

Penalidades civis de até US$ 7.500 por violação (Seção 9(4)(a)).

Recuperação de honorários advocatícios e custos de investigação.

O prazo para o AG iniciar ação é de cinco anos a partir do último ato que constituiu a violação.

Entenda o que você coleta, incluindo dados derivados, onde estão, como são usados e com quem são compartilhados. O mapeamento de dados é a base de qualquer programa de conformidade.

O documento precisa cobrir todos os requisitos da Seção 5(4), incluindo canal de contato ativo e monitorado, e descrição detalhada das categorias de terceiros.

Um banner de cookies que bloqueia rastreadores não necessários antes do aceite, registra preferências, oferece opt-out de publicidade direcionada, e honra o GPC a partir de janeiro de 2026.

Pelo menos um mecanismo seguro e confiável para receber solicitações, sem exigência de criação de nova conta.

Para cada atividade de alto risco, conduza e documente o assessment conforme a Seção 8. Mantenha por pelo menos 5 anos.

Contratos com prestadores de serviço que processam dados em seu nome precisam atender aos requisitos da Seção 6 da OCPA.

Aplicar privacy by design desde a concepção dos produtos é o que torna a conformidade sustentável a longo prazo.

A AdOpt registra cada consentimento, bloqueia rastreadores antes do aceite, honra o GPC a partir de janeiro de 2026, e gera o log auditável que você precisaria apresentar em uma investigação do Attorney General.

O escaneamento automático identifica todos os rastreadores ativos no site, alimentando o inventário de dados necessário para o aviso de privacidade e as avaliações de proteção de dados. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Pronto para adequar seu site à OCPA do Oregon? Fale com a nossa equipe.

Para entender como essas legislações de privacidade se comparam em profundidade, nosso guia comparativo aprofunda o tema.

A adequação à OCPA se apoia em três documentos que precisam conversar entre si: a política de cookies, que declara cada rastreador e sua finalidade; a política de privacidade, que explica o que você faz com os dados; e o portal do titular, onde a pessoa exerce seus direitos e você guarda o registro disso.

1. O que é a OCPA e quando entrou em vigor?
A Oregon Consumer Privacy Act (ORS 646A.570–646A.589) é a lei estadual de proteção de dados pessoais do Oregon. Entrou em vigor em 1º de julho de 2024. Tem diferenciais específicos em relação a outras leis estaduais: a exclusão de dados de transações de pagamento do threshold de 100K, o threshold de 25% de receita de venda de dados, a inclusão de dados derivados no conceito de dado pessoal, e o prazo expresso de 15 dias para cessação após revogação de consentimento. A partir de janeiro de 2026, passou a exigir o reconhecimento do GPC e eliminou o período de cura de 30 dias.

2. O que torna o threshold da OCPA diferente das outras leis estaduais?
A OCPA tem duas particularidades no threshold: exclui explicitamente dados processados exclusivamente para transações de pagamento da contagem de 100K consumidores, e usa 25% de receita de venda de dados como segundo critério (vs. 50% em leis como VCDPA e CPA do Colorado). O threshold de 25% é compartilhado com a CTDPA do Connecticut, mas a exclusão de pagamentos torna as duas leis as mais específicas nesse ponto entre todas as leis estaduais americanas.

3. O que é o prazo de 15 dias para revogação de consentimento na OCPA?
A Seção 5(1)(d) exige que, após receber a revogação de um consentimento dado pelo consumidor, o controlador cesse o processamento o mais rápido possível, mas no máximo em 15 dias. Esse prazo é expresso na OCPA e na CTDPA do Connecticut, distinguindo as duas de outras leis estaduais americanas que exigem cessação "sem demora indevida" sem prazo específico.

4. O que é o Global Privacy Control e por que a OCPA passou a exigi-lo?
O Global Privacy Control (GPC) é um sinal técnico que o consumidor ativa no navegador para solicitar automaticamente opt-out de venda de dados e publicidade direcionada em todos os sites visitados. A partir de 1º de janeiro de 2026, a Seção 5(5)(c) da OCPA exige que os controladores honrem esse sinal como solicitação válida de opt-out. Um visitante com GPC ativado equivale a um visitante que clicou no botão de recusar publicidade. A OCPA é uma das leis mais recentes a incluir esse requisito explicitamente.

5. Qual é a penalidade por descumprimento da OCPA?
O Attorney General pode buscar penalidades civis de até US$ 7.500 por violação, além de injunção e recuperação de honorários e custos de investigação. Até dezembro de 2025, havia um período de cura de 30 dias antes da ação formal. A partir de janeiro de 2026, o AG pode agir diretamente, sem aviso prévio. Não há direito de ação privada (Seção 9).

Tá na AdOpt, tá bem.

Quer adequar seu site à OCPA do Oregon? Fale com a nossa equipe.