Leyes de Privacidad de Datos de Oregón: Guía de Derechos del Consumidor bajo la OCPA (2026)

La Ley de Privacidad del Consumidor de Oregón (Oregon Consumer Privacy Act, OCPA), codificada en ORS 646A.570 a 646A.589, entró en vigor el 1 de julio de 2024, otorgando a los residentes de Oregón amplios derechos sobre sus datos personales. Oregón se destaca entre las leyes de privacidad estatales por cubrir a las organizaciones sin fines de lucro, exigir la divulgación de los terceros específicos que recibieron los datos de un consumidor, y tratar tanto la condición de persona transgénero o no binaria como la condición de víctima de un delito como datos sensibles. El Fiscal General tiene autoridad exclusiva de aplicación, con sanciones civiles de hasta $7,500 por cada violación, y el período de subsanación de 30 días expiró el 1 de enero de 2026.

Esta guía cubre las leyes de privacidad de datos de Oregón en 2026, incluidos los derechos del consumidor de la OCPA, las obligaciones de las empresas, el historial de aplicación, los requisitos de notificación de violaciones de datos, las reglas de registro de corredores de datos, el marco federal superpuesto y las actualizaciones legislativas recientes.

Quién Debe Cumplir con la OCPA

La OCPA se aplica a cualquier persona o entidad que realice negocios en Oregón o proporcione productos o servicios a residentes de Oregón y cumpla con alguno de dos umbrales de procesamiento durante un año calendario:

• Controla o procesa datos personales de 100,000 o más consumidores de Oregón (excluyendo los datos procesados únicamente para completar una transacción de pago), O
• Controla o procesa datos personales de 25,000 o más consumidores de Oregón mientras obtiene el 25% o más de sus ingresos brutos anuales de la venta de datos personales

Sin Umbral de Ingresos

A diferencia de muchas otras leyes de privacidad estatales, Oregón no incluye un umbral inicial de ingresos como parte de sus criterios de aplicabilidad. Estados como California establecen sus activadores de leyes de privacidad en $25 millones de ingresos anuales. Oregón omite esto por completo, lo que significa que incluso las empresas y organizaciones más pequeñas que manejan grandes volúmenes de datos de consumidores de Oregón deben cumplir con la OCPA.

Las Organizaciones sin Fines de Lucro Están Cubiertas

Oregón es uno de los pocos estados que incluye a las organizaciones sin fines de lucro dentro del alcance de su ley de privacidad del consumidor. Después del 1 de julio de 2025, las organizaciones sin fines de lucro no reciben una exención general a nivel de entidad. Las únicas exenciones para organizaciones sin fines de lucro están definidas de manera limitada: (1) las organizaciones sin fines de lucro establecidas para detectar y prevenir el fraude de seguros, y (2) la actividad no comercial de las organizaciones sin fines de lucro que proporcionan programación a redes de radio o televisión.

El DOJ de Oregón ha publicado preguntas frecuentes separadas para organizaciones sin fines de lucro que explican sus obligaciones bajo la OCPA.

Exenciones de Entidades y Datos

La OCPA no se aplica a las agencias del gobierno estatal, ciertos datos financieros ya regulados bajo la Ley Gramm-Leach-Bliley (GLBA), la información de salud protegida bajo HIPAA, los registros educativos cubiertos por FERPA, y los datos regulados bajo la Ley de Informe Justo de Crédito (FCRA) o la Ley de Protección de la Privacidad del Conductor (DPPA). Sin embargo, estas son exenciones a nivel de datos, no exenciones a nivel de entidad. Un hospital o banco puede aún necesitar cumplir con la OCPA para los datos del consumidor que quedan fuera de esos marcos federales, como los datos de marketing o el análisis de sitios web.

Derechos del Consumidor Bajo la OCPA

La OCPA otorga a los residentes de Oregón seis derechos fundamentales de privacidad. Las preguntas frecuentes para consumidores del Departamento de Justicia de Oregón describen estos derechos como confirmación, acceso, corrección, eliminación, portabilidad y exclusión.

Derecho a Saber (Confirmar y Acceder)

Los consumidores pueden confirmar si un controlador está procesando sus datos personales y conocer qué categorías de datos se están recolectando, los propósitos del procesamiento, y las categorías de terceros con quienes se comparten los datos. Los consumidores también pueden obtener una copia de sus datos personales en un formato portátil y fácilmente utilizable.

Derecho a Corregir

Los consumidores pueden solicitar que un controlador corrija inexactitudes en sus datos personales. El controlador debe hacer esfuerzos razonables para corregir los datos según la naturaleza de los datos personales y el propósito para el cual se procesan.

Derecho a Eliminar

Los consumidores pueden solicitar la eliminación de sus datos personales mantenidos por un controlador. El reporte de un año de aplicación del DOJ de Oregón encontró que el derecho a eliminar generó 77 quejas, más que cualquier otro derecho del consumidor, de un total de 214 quejas recibidas durante el primer año de aplicación.

Derecho a Excluirse (Opt Out)

Los consumidores pueden excluirse del procesamiento de sus datos personales para tres propósitos:

• Publicidad dirigida
• Venta de datos personales
• Elaboración de perfiles que produzcan efectos legales o similarmente significativos

Derecho a una Lista de Terceros Específicos

Esta es una de las disposiciones más distintivas de la OCPA y una que ninguna otra ley de privacidad estatal replica con esta fuerza. Los consumidores pueden solicitar una lista de las entidades específicas de terceros a las que un controlador ha divulgado sus datos personales. La mayoría de las demás leyes de privacidad estatales solo exigen que las empresas divulguen categorías de destinatarios. Oregón exige los nombres reales de entidades específicas, dando a los consumidores la capacidad de rastrear sus datos aguas abajo y ejercer sus derechos directamente con esos terceros.

Cronogramas de Respuesta y Apelaciones

Los controladores deben responder a las solicitudes de derechos del consumidor dentro de 45 días desde su recepción. Este período puede extenderse por 45 días adicionales cuando sea razonablemente necesario, siempre que el controlador informe al consumidor sobre la demora y su razón.

Si un controlador deniega una solicitud, debe explicar la justificación y proporcionar instrucciones para apelar la decisión. El controlador debe responder a la apelación dentro de 45 días. Si la apelación también es denegada, el controlador debe proporcionar al consumidor información sobre cómo presentar una queja ante el Fiscal General de Oregón.

Datos Sensibles y Categorías Especiales

La OCPA define los "datos sensibles" de manera amplia y exige consentimiento previo (opt-in) antes de que un controlador pueda procesarlos. La definición de datos sensibles de Oregón bajo ORS 646A.570 es notablemente más amplia que la de la mayoría de las demás leyes de privacidad estatales. Los datos sensibles incluyen:

• Origen racial o étnico
• Creencias religiosas
• Diagnóstico o condiciones de salud
• Orientación sexual o vida sexual
• Ciudadanía o estatus migratorio
• Datos genéticos
• Datos biométricos utilizados para identificar a una persona (huellas dactilares, escaneos de retina, plantillas de reconocimiento facial)
• Datos personales de un menor conocido de menos de 13 años
• Datos de geolocalización precisa (dentro de 1,750 pies)
• Condición de persona transgénero o no binaria
• Condición de víctima de un delito

Las últimas dos categorías son poco comunes, pero Oregón no está solo en la primera de ellas: la ley de privacidad de Delaware también incluye la condición de persona transgénero o no binaria como dato sensible, en 6 Del. C. 12D-102(30)(a). La condición de víctima de un delito sigue siendo poco común entre las leyes de privacidad estatales. Las empresas que operan en Oregón deben obtener consentimiento previo (opt-in) antes de recolectar, procesar o compartir datos que revelen cualquiera de estas condiciones.

Protecciones de Datos de Menores

La OCPA proporciona protecciones reforzadas para los datos de menores. Un padre o tutor legal puede ejercer los derechos de privacidad en nombre de un menor de 13 años.

Conforme al HB 2008 (2025), Oregón fortaleció aún más estas protecciones:

• Se prohíbe la venta de datos de menores. Según el ORS 646A.578(2)(d)(A), los controladores no pueden vender datos personales pertenecientes a un consumidor si tienen conocimiento real, o ignoran deliberadamente, que el consumidor es menor de 16 años.
• Se restringen la publicidad dirigida y la elaboración de perfiles de menores. El ORS 646A.578(2)(c) prohíbe procesar los datos personales de un consumidor para publicidad dirigida, o para la elaboración de perfiles orientada a decisiones que produzcan efectos legales o similarmente significativos, si el controlador sabe o ignora deliberadamente que el consumidor es menor de 16 años.
• Los datos de geolocalización precisa no pueden venderse en absoluto. La prohibición complementaria del ORS 646A.578(2)(d)(B) no tiene ninguna condición de edad. Prohíbe vender datos que identifiquen la ubicación de un consumidor dentro de un radio de 1,750 pies para todos los consumidores de Oregón, no solo para menores.

Estas protecciones para menores van más allá de COPPA, que se aplica únicamente a los niños menores de 13 años. Las protecciones de Oregón cubren a los consumidores menores de 16 años.

Obligaciones de las Empresas

Requisitos de Aviso de Privacidad

Los controladores deben publicar un aviso de privacidad claro y accesible que incluya:

• Las categorías de datos personales procesados
• Los propósitos del procesamiento de datos personales
• Cómo los consumidores pueden ejercer sus derechos
• Las categorías de datos personales compartidos con terceros
• Las categorías de terceros con quienes se comparten los datos
• Una descripción de cualquier procesamiento para publicidad dirigida, elaboración de perfiles o venta de datos personales, junto con un procedimiento para excluirse

Los controladores también deben especificar los propósitos expresos para los cuales recolectan y procesan datos personales, y limitar la recolección únicamente a los datos que sean adecuados, relevantes y razonablemente necesarios para esos propósitos declarados. Ambas obligaciones se encuentran en el ORS 646A.578(1)(a) y (1)(b). Fueron promulgadas por el SB 619 (2023) y han estado vigentes desde que la OCPA entró en vigor el 1 de julio de 2024.

Minimización de Datos

La OCPA exige que los controladores limiten la recolección de datos personales a lo que sea adecuado, relevante y razonablemente necesario en relación con los propósitos para los cuales se procesan los datos. Las empresas no pueden recolectar datos de manera especulativa para un uso futuro potencial.

Evaluaciones de Protección de Datos

Los controladores deben realizar y documentar evaluaciones de protección de datos antes de realizar actividades de procesamiento que presenten un riesgo elevado de daño para los consumidores. Estas evaluaciones son necesarias para:

• Procesar datos personales para publicidad dirigida
• Vender datos personales
• Procesar datos personales para la elaboración de perfiles cuando exista un riesgo razonablemente previsible de daño
• Procesar datos sensibles

Las evaluaciones deben conservarse en archivo durante al menos cinco años. El DOJ de Oregón ha publicado pautas detalladas y ha señalado que las evaluaciones realizadas para cumplir con otras leyes de privacidad estatales pueden satisfacer los requisitos de la OCPA, siempre que sean razonablemente similares en alcance.

Contratos con Procesadores

Cuando un controlador contrata a un procesador para manejar datos personales en su nombre, la relación debe regirse por un contrato que defina claramente las funciones, responsabilidades e instrucciones de procesamiento de datos. Los procesadores deben ayudar a los controladores a cumplir con sus obligaciones bajo la OCPA, incluida la respuesta a las solicitudes de derechos del consumidor.

Salvaguardas de Seguridad

Los controladores deben mantener para los datos personales las mismas salvaguardas que el ORS 646A.622 exige para la información personal, de modo que protejan la confidencialidad, integridad y accesibilidad de esos datos. La obligación se encuentra en el ORS 646A.578(1)(c). Fue promulgada por el SB 619 (2023) y ha estado vigente desde el 1 de julio de 2024.

Exclusión Universal y Prohibición de Venta de Geolocalización

A partir del 1 de enero de 2026, los controladores deben reconocer y respetar los Mecanismos Universales de Exclusión (UOOM, por sus siglas en inglés). El ejemplo más ampliamente adoptado es el Control de Privacidad Global (GPC), una señal basada en el navegador que comunica automáticamente las preferencias de exclusión de un consumidor a cada sitio web que visita.

Cuando un controlador detecta una señal de GPC u otro UOOM reconocido, debe tratarla como una solicitud válida de exclusión de la venta de datos personales y de la publicidad dirigida. Se aplica el plazo general de la OCPA: según el ORS 646A.576(5)(a), un controlador debe responder a una solicitud del consumidor sin demora indebida y a más tardar 45 días después de recibirla, con una posible extensión de 45 días adicionales cuando sea razonablemente necesario. El único plazo de 15 días de la Ley, en el ORS 646A.578(1)(d), regula algo distinto: la rapidez con la que un controlador debe dejar de procesar datos después de que un consumidor revoque su consentimiento.

Prohibición de Venta de Geolocalización para Todos los Consumidores

También a partir del 1 de enero de 2026, la OCPA prohíbe la venta de datos de geolocalización precisa para todos los consumidores de Oregón, independientemente de su edad. Esta prohibición se aplica a los datos que identifican con precisión la ubicación actual o pasada de un consumidor dentro de un radio de 1,750 pies. A diferencia de la disposición sobre datos de menores, que depende de la edad, esta prohibición se aplica a todos los consumidores de Oregón cubiertos por la OCPA.

Aplicación y Sanciones

Aplicación por el Fiscal General

El Fiscal General de Oregón tiene autoridad exclusiva de aplicación sobre la OCPA. No existe un derecho de acción privado, lo que significa que los consumidores individuales no pueden demandar directamente a las empresas por violaciones de la OCPA. En cambio, los consumidores presentan quejas ante la División de Protección al Consumidor del DOJ de Oregón.

El Período de Subsanación Ha Expirado

Desde el 1 de julio de 2024 hasta el 31 de diciembre de 2025, la OCPA incluyó un período de subsanación de 30 días. Si el DOJ identificaba una violación subsanable, debía proporcionar a la empresa un aviso y 30 días para remediar el problema antes de tomar una acción formal de aplicación.

Ese período de subsanación expiró el 1 de enero de 2026. El Fiscal General de Oregón ahora puede emitir una Solicitud de Investigación Civil o presentar una demanda sin ofrecer primero un aviso y subsanación. Esto representa un cambio significativo en el panorama de aplicación para las empresas que operan en Oregón.

Montos de las Sanciones

El ORS 646A.589(4)(a) permite al Fiscal General solicitar una sanción civil de no más de $7,500 por cada violación de los ORS 646A.570 a 646A.589. La Ley no define a cada consumidor afectado como una violación separada, por lo que la manera en que una sanción se calcula en un caso que afecta a muchos residentes es una cuestión que corresponde decidir al tribunal que conozca la acción de aplicación.

Resultados de Aplicación del Primer Año

El DOJ de Oregón publicó su reporte de un año de aplicación en agosto de 2025, cubriendo el período del 1 de julio de 2024 al junio de 2025. Los hallazgos clave incluyen:

• La Unidad de Privacidad recibió 214 quejas totales de consumidores durante el primer año
• Las plataformas de redes sociales y los corredores de datos generaron la mayor cantidad de quejas
• Las solicitudes de eliminación generaron la mayor cantidad de quejas de consumidores de cualquier derecho, 77 de las 214 totales
• Se cerraron 38 asuntos de aplicación durante el período, todos resueltos mediante el proceso de aviso y subsanación entonces vigente
• El DOJ reportó que la mayoría de las empresas actualizaron sus avisos de privacidad y mejoraron sus mecanismos de derechos del consumidor rápidamente después de ser contactadas

El reporte de aplicación del primer trimestre de 2025, publicado en abril de 2025 y que cubre de enero a marzo de 2025, también señaló más de 250 quejas de residentes de Oregón sobre el manejo de datos del consumidor por parte del Departamento Federal de Eficiencia Gubernamental (DOGE).

Ley de Registro de Corredores de Datos de Oregón

Separado de la OCPA, Oregón promulgó un requisito de registro de corredores de datos que entró en vigor el 1 de enero de 2024. La ley está codificada en ORS 646A.593 y es administrada por el Departamento de Servicios al Consumidor y Empresas de Oregón (DCBS).

Un "corredor de datos" es una empresa que a sabiendas recolecta y vende u otorga licencias a terceros de los datos personales intermediados de un consumidor con quien la empresa no tiene una relación directa. Las empresas de redes sociales, los programas de lealtad minorista y las empresas que tienen una relación directa con el consumidor cuyos datos recolectan generalmente están excluidas.

Requisitos de Registro

Los corredores de datos deben:

• Registrarse anualmente ante el DCBS antes de recolectar, vender u otorgar licencias de datos personales intermediados dentro de Oregón
• Pagar una tarifa de registro anual de $600
• Divulgar en su registro si los residentes de Oregón pueden excluirse de todas o algunas de las actividades del corredor
• Divulgar si los residentes de Oregón pueden autorizar a un agente para ejercer los derechos de exclusión en su nombre

Según una actualización de implementación de enero de 2025, aproximadamente el 69% de los corredores de datos requeridos habían renovado sus registros, con esfuerzos de aplicación continuos para los corredores que no cumplen.

Ley de Notificación de Violaciones de Datos de Oregón

Separado de la OCPA, Oregón mantiene un estatuto de notificación de violaciones de datos bajo la Ley de Protección de Información del Consumidor de Oregón (OCIPA), codificada en ORS 646A.600 a 646A.628.

Qué Activa la Notificación

Una "violación de seguridad" se define como la adquisición no autorizada de datos computarizados que compromete materialmente la seguridad, confidencialidad o integridad de la información personal. Esto no incluye la adquisición inadvertida por parte de un empleado o agente si la información no es usada indebidamente y no representa una amenaza real para la seguridad del consumidor.

Definición de Información Personal

Bajo la OCIPA, la información personal incluye el nombre o la inicial y el apellido de un consumidor combinados con cualquiera de los siguientes:

• Número de Seguro Social
• Número de licencia de conducir o de identificación estatal
• Número de pasaporte u otro número de identificación de los EE. UU.
• Números de cuentas financieras con códigos de acceso
• Datos biométricos (huellas dactilares, escaneos de retina, imágenes de iris)
• Información de seguro médico
• Historial médico o información sobre una condición de salud o tratamiento
• Un nombre de usuario o ID de cuenta más una contraseña o respuestas a preguntas de seguridad

Cronograma de Notificación

Las entidades deben notificar a los consumidores afectados de Oregón a más tardar 45 días después de descubrir o recibir aviso de la violación. La notificación debe incluir una descripción del incidente, el tipo de información personal involucrada, información de contacto de la entidad, e información de contacto de las principales agencias de informes crediticios.

Reporte al Fiscal General

Si una violación afecta a más de 250 consumidores de Oregón, la entidad también debe reportar la violación al Departamento de Justicia de Oregón dentro del mismo plazo de 45 días, junto con una copia de muestra de la notificación al consumidor.

Sanciones por Notificación de Violación

Requisitos de Salvaguarda

La OCIPA también exige que las empresas que mantienen información personal desarrollen, implementen y mantengan salvaguardas razonables. Estas deben incluir medidas administrativas, técnicas y físicas para proteger la seguridad, confidencialidad e integridad de la información personal.

Actualizaciones Legislativas 2025-2026

HB 2008 (2025): Modificaciones a la OCPA

La legislatura de Oregón aprobó el HB 2008 durante la sesión regular de 2025, fortaleciendo varias disposiciones de la OCPA:

• Prohibición de venta de datos de menores. Un nuevo ORS 646A.578(2)(d)(A) prohíbe vender datos personales pertenecientes a un consumidor a quien el controlador sepa, o ignore deliberadamente, que es menor de 16 años.
• Prohibición de venta de geolocalización precisa. Un nuevo ORS 646A.578(2)(d)(B) prohíbe vender datos que identifiquen con precisión la ubicación actual o pasada de un consumidor dentro de un radio de 1,750 pies. Este párrafo no tiene ninguna condición de edad, por lo que alcanza a todos los consumidores de Oregón.
• Ampliación del rango de edad para publicidad dirigida y elaboración de perfiles. La enmienda al ORS 646A.578(2)(c) reemplazó el antiguo rango de 13 a 15 años por "menor de 16 años" y trasladó el lenguaje sobre venta sin consentimiento de ese párrafo al nuevo (2)(d).

El HB 2008 no modificó el ORS 646A.578(1). Las obligaciones de la OCPA sobre especificación de propósito, minimización de datos, salvaguardas de seguridad conforme al ORS 646A.622, y revocación de consentimiento fueron todas promulgadas por el SB 619 (2023), en la sección 5 del capítulo 369, Leyes de Oregón de 2023, y han estado vigentes desde que la OCPA entró en vigor el 1 de julio de 2024.

SB 1546 (2026): Ley de Chatbots de Compañía con IA

Oregón promulgó el SB 1546 en la sesión regular de 2026, convirtiéndose en uno de los primeros estados en regular los chatbots de compañía con IA. El proyecto de ley promulgado fue asignado al capítulo 85 y no contiene fecha de vigencia diferida ni cláusula de emergencia, por lo que entró en vigor conforme a la regla predeterminada de Oregón para este tipo de medidas: el nonagésimo primer día después de que concluyó la sesión de 2026.

El SB 1546 cubre a los operadores de "compañeros de inteligencia artificial", definidos como sistemas de IA que simulan una relación o compañía sostenida y de tipo humano con los usuarios, y que retienen información contextual a través de las interacciones para personalizar la participación. Los requisitos clave incluyen:

• Divulgación. Los chatbots deben recordar regularmente a los usuarios que son IA, no personas reales, y no pueden hacerse pasar por humanos.
• Salvaguardas de salud mental. Los operadores deben detectar expresiones de ideación suicida o autolesión, interrumpir la conversación cuando sea necesario, y proporcionar referencias a recursos de crisis como la Línea de Crisis y Suicidio 988.
• Protecciones para menores. Se aplican requisitos adicionales cuando un operador sabe o tiene motivos para creer que un usuario es menor de 18 años.
• Reporte público anual. Los operadores deben publicar divulgaciones que resuman las referencias de crisis, los protocolos de intervención y las mejores prácticas clínicas.

La aplicación se realiza mediante un derecho de acción privado con daños estatutarios de $1,000 por violación, lo que convierte a esta en una de las pocas leyes específicas de Oregón sobre IA con aplicación directa por parte del consumidor.

Marco Federal Superpuesto

Los consumidores y las empresas de Oregón también operan bajo varios marcos federales de privacidad de datos que interactúan con la OCPA o la complementan.

TAKE IT DOWN Act (2025)

El presidente Trump firmó la TAKE IT DOWN Act (Pub. L. 119-12) el 19 de mayo de 2025. La ley tipifica como delito la publicación de imágenes íntimas no consentidas (NCII), incluidos los deepfakes generados por IA. La responsabilidad penal comenzó inmediatamente al momento de la promulgación. Las obligaciones de retiro de contenido por parte de las plataformas entraron en vigor el 19 de mayo de 2026: las plataformas cubiertas deben retirar las NCII dentro de las 48 horas posteriores a la solicitud de una víctima y eliminar todas las copias. La FTC hace cumplir las obligaciones de las plataformas, con posibles sanciones civiles de $53,088 por violación.

HIPAA

La Ley de Portabilidad y Responsabilidad del Seguro Médico regula la información de salud protegida (PHI) mantenida por entidades cubiertas y sus asociados comerciales. Los proveedores de atención médica de Oregón, los planes de salud y sus proveedores de servicios siguen sujetos a las Reglas de Privacidad y Seguridad de HIPAA de manera independiente a la OCPA. Sin embargo, los datos regulados por HIPAA aún pueden estar sujetos a la OCPA cuando se recolectan para propósitos fuera del alcance de HIPAA.

GLBA (Ley Gramm-Leach-Bliley)

Las instituciones financieras sujetas a la Ley Gramm-Leach-Bliley deben cumplir con su Regla de Salvaguardas (actualizada por la FTC en 2023) en relación con la seguridad de los datos financieros del consumidor. Los datos financieros regulados por la GLBA están exentos de la OCPA a nivel de datos, pero las instituciones financieras aún deben cumplir con los requisitos de la OCPA para los datos del consumidor no regulados por la GLBA que recolectan.

FCRA (Ley de Informe Justo de Crédito)

Las agencias de informes al consumidor y los usuarios de informes de consumidores deben cumplir con los requisitos de la Ley de Informe Justo de Crédito en materia de precisión, propósito permisible y derechos de acceso del consumidor. Los datos regulados por la FCRA están exentos de la OCPA.

COPPA (Ley de Protección de la Privacidad Infantil en Línea)

COPPA exige el consentimiento parental verificable antes de recolectar información personal de niños menores de 13 años en línea. Las disposiciones de la OCPA sobre menores de Oregón extienden las protecciones a los consumidores menores de 16 años, yendo más allá del umbral de 13 años de COPPA.

Sección 5 de la Ley de la FTC

La autoridad de la FTC para prohibir actos o prácticas desleales o engañosas se aplica ampliamente a la privacidad y la seguridad de datos. Las empresas de Oregón no cubiertas por la OCPA (aquellas por debajo de los umbrales de procesamiento) aún pueden enfrentar la aplicación de la FTC por engaño o injusticia relacionados con la privacidad.

Cómo se Compara Oregón con Otras Leyes de Privacidad Estatales

La OCPA de Oregón comparte similitudes estructurales con las leyes de privacidad de Colorado, Connecticut y Virginia, pero incluye varias disposiciones que la hacen más protectora para los consumidores:

Pasos Prácticos de Cumplimiento para Empresas de Oregón

Las empresas que cumplen con los umbrales de procesamiento de la OCPA deben tomar estas medidas para cumplir:

1. Audite su inventario de datos. Mapee qué datos personales recolecta, por qué los recolecta, a dónde van, y qué terceros los reciben. Tanto la limitación de propósito como la minimización de datos requieren esta base.
2. Actualice su aviso de privacidad. Incluya los propósitos expresos de procesamiento, una descripción de todo el procesamiento de datos sensibles, instrucciones para que los consumidores ejerzan sus derechos, y un procedimiento designado de exclusión para la publicidad dirigida y la venta de datos.
3. Construya un flujo de trabajo para las solicitudes de derechos del consumidor. Establezca un mecanismo de recepción confiable (correo electrónico, formulario web o número gratuito) y asegúrese de poder responder dentro de 45 días. Incluya un proceso de apelación.
4. Realice evaluaciones de protección de datos. Documente las evaluaciones para toda la publicidad dirigida, las ventas de datos, la elaboración de perfiles y las actividades de procesamiento de datos sensibles. Conserve las evaluaciones durante cinco años.
5. Respete los Mecanismos Universales de Exclusión. A partir del 1 de enero de 2026, las señales de GPC son solicitudes de exclusión legalmente operativas. Pruebe sus sistemas para confirmar que detectan las señales de GPC y actúan sobre ellas dentro del plazo de respuesta de 45 días.
6. Revise sus prácticas de datos de geolocalización. Deje de vender datos de geolocalización precisa (con una precisión de 1,750 pies) para todos los consumidores de Oregón, no solo para menores.
7. Verifique el consentimiento de datos sensibles. Si recolecta o procesa datos que revelan la condición de persona transgénero o no binaria, o la condición de víctima de un delito, verifique que cuenta con consentimiento previo (opt-in). Pocas otras leyes de privacidad estatales alcanzan estas categorías, por lo que un flujo de consentimiento nacional podría no cubrirlas.
8. Regístrese si es un corredor de datos. Si vende u otorga licencias de datos personales sobre consumidores de Oregón con quienes no tiene una relación directa, regístrese ante el DCBS y pague la tarifa anual de $600.
9. Revise los contratos con procesadores. Asegúrese de que todos los acuerdos de procesamiento de datos con proveedores contengan las disposiciones requeridas por la OCPA.
10. Capacite a los empleados. Las obligaciones de salvaguardas de seguridad incluyen capacitar a los empleados sobre los procedimientos de manejo de datos y monitorear las amenazas de seguridad.

Cómo Ejercen sus Derechos los Residentes de Oregón

Los consumidores de Oregón pueden ejercer sus derechos bajo la OCPA enviando una solicitud directamente a cualquier empresa cubierta. La empresa debe proporcionar al menos dos métodos para enviar solicitudes de derechos, uno de los cuales no debe requerir la creación de una cuenta.

Para ejercer sus derechos:

• Localice el aviso de privacidad en el sitio web de la empresa. Debe contener instrucciones para enviar solicitudes.
• Envíe una solicitud de derechos a través del método indicado (típicamente un formulario web o una dirección de correo electrónico para solicitudes de privacidad).
• Espere una respuesta dentro de 45 días, con una extensión opcional de 45 días. La empresa debe informarle si está extendiendo el plazo y por qué.
• Apele una denegación utilizando el proceso descrito en el aviso de denegación. La empresa debe responder a su apelación dentro de 45 días.
• Presente una queja ante el Fiscal General de Oregón si una empresa deniega su apelación o no responde. El portal de quejas de privacidad del consumidor del DOJ de Oregón acepta quejas sobre la OCPA.

Para los derechos de exclusión, habilitar el Control de Privacidad Global en un navegador compatible comunica automáticamente su preferencia de exclusión a todos los sitios web cubiertos que visita. Las empresas deben respetar las señales de GPC desde el 1 de enero de 2026, y deben actuar sobre una solicitud a más tardar 45 días después de recibirla.

Más Leyes de Oregón

Explore otros temas legales de Oregón cubiertos en Recording Law:

• Leyes de Grabación de Oregón
• Leyes de Cámaras de Vigilancia de Oregón
• Leyes de Verificación de Antecedentes de Oregón
• Plazo de Prescripción de Oregón
• Leyes de Denunciantes de Oregón
• Leyes de Sillas de Auto para Niños de Oregón
• Leyes de Manutención Infantil de Oregón
• Ley del Limón de Oregón
• Leyes de Grabación de Reuniones con IA de Oregón
• Leyes de Pensión Conyugal de Oregón
• Leyes de Empleo a Voluntad de Oregón
• Leyes de Accidentes Automovilísticos de Oregón
• Leyes de Custodia de Menores de Oregón
• Leyes de Matrimonio de Hecho de Oregón
• Leyes sobre Deepfakes de Oregón
• Leyes de Divorcio de Oregón
• Leyes sobre Mordeduras de Perro de Oregón
• Leyes de Emancipación de Oregón
• Leyes de Eliminación de Antecedentes Penales de Oregón
• Leyes sobre Accidentes con Fuga de Oregón
• Leyes de Propietarios e Inquilinos de Oregón

Guías detalladas

• ¿Qué es la OCPA? Ley de Privacidad del Consumidor de Oregón
• Derechos del Consumidor Bajo la OCPA: Sus Derechos de Privacidad de Datos
• Lista de Verificación de Cumplimiento de la OCPA para Empresas (2026)