A Oregon Consumer Privacy Act (OCPA, ORS 646A.570 et seq.) tem algumas particularidades no processo de DSAR que a distinguem das outras leis estaduais americanas.

Esta página cobre uma parte do quadro. Para o escopo completo da OCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo guia completo da OCPA e cookies.

A mais importante: as solicitações de opt-out não precisam de autenticação. E o direito de listar os terceiros que receberam os dados foi o mais frequentemente negado no primeiro ano de enforcement. O relatório do Attorney General Dan Rayfield (agosto de 2025) mostrou que empresas simplesmente não tinham esse registro estruturado.

Este artigo cobre tudo: o que é uma DSAR sob a OCPA, quais são os direitos garantidos pelo sistema L.O.C.K.E.D., os prazos específicos, as regras de autenticação, e como estruturar um Portal do Titular que funcione para a lei do Oregon.

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um residente do Oregon para exercer os direitos que a OCPA garante sobre os próprios dados.

Conforme a Seção 4(1), o consumidor exerce seus direitos por meios estabelecidos pelo controlador e descritos no aviso de privacidade.

Se você já conhece o portal do titular da LGPD, a estrutura é familiar. A OCPA adiciona regras específicas sobre dados derivados, opt-out sem autenticação, e o papel dos sinais de opt-out universal via tecnologia.

O sistema L.O.C.K.E.D. do Departamento de Justiça do Oregon resume os direitos da Seção 3(1) da OCPA:

O consumidor pode solicitar uma lista das entidades específicas para as quais o controlador divulgou seus dados pessoais, ou uma lista de qualquer dado pessoal divulgado (Seção 3(1)(a)(B)).

O controlador pode escolher fornecer: (i) lista de terceiros específicos que receberam os dados do consumidor, ou (ii) lista de terceiros que receberam qualquer dado pessoal do controlador.

Esse foi o direito mais frequentemente negado no primeiro ano de enforcement. Empresas não tinham o registro de com quem compartilharam dados estruturado de forma que permitisse responder a essa solicitação.

O consumidor pode obter confirmação de que o controlador processa ou processou seus dados e quais categorias de dados pessoais estão envolvidas (Seção 3(1)(a)(A)).

O consumidor pode obter cópia de todos os dados pessoais que o controlador processou, em formato portável e prontamente utilizável quando tecnicamente viável (Seção 3(1)(a)(C)).

Esse escopo inclui dados derivados. Perfis de marketing, scores de comportamento e classificações de segmento criados a partir dos dados do consumidor fazem parte da cópia que deve ser entregue.

O relatório de enforcement identificou que empresas não estavam incluindo dados de "back-end" como perfis de marketing nas respostas às solicitações de cópia. Isso configura violação direta da lei.

O consumidor pode solicitar a correção de imprecisões nos dados pessoais, considerando a natureza e os propósitos do processamento (Seção 3(1)(b)).

O consumidor pode solicitar a exclusão dos dados pessoais, incluindo (Seção 3(1)(c)):

Dados que o consumidor forneceu diretamente à empresa.

Dados que a empresa obteve de outras fontes sobre o consumidor.

Dados derivados criados pela empresa a partir de outros dados.

Para dados obtidos de terceiros, a OCPA prevê uma alternativa. O controlador pode cumprir a solicitação de exclusão de duas formas: excluindo os dados de fato; ou fazendo opt-out do consumidor do processamento de seus dados para qualquer finalidade que não seja uma das isentas pela Seção 2(3) (Seção 4(7)).

O consumidor pode recusar o processamento de dados para três finalidades (Seção 3(1)(d)):

Publicidade direcionada.

Venda de dados pessoais.

Perfilamento em apoio a decisões com efeitos legais ou de significância similar (como acesso a crédito, habitação, seguro, emprego ou serviços de saúde).

Conforme a Seção 4(5)(a):

45 dias para responder a partir do recebimento da solicitação.

Extensão de +45 dias quando razoavelmente necessário, considerando complexidade e volume de solicitações, com notificação ao consumidor dentro do prazo inicial.

Apelação: 45 dias para resposta, com decisão e justificativa por escrito (Seção 4(6)(d)).

Gratuito uma vez por período de 12 meses por consumidor (Seção 4(5)(c)). Para solicitações subsequentes, pode cobrar taxa razoável, exceto quando verifica o cumprimento de correção ou exclusão anterior.

Um ponto de distinção em relação à CTDPA do Connecticut: a OCPA estabelece 45 dias para apelações, enquanto a CTDPA estabelece 60 dias. A OCPA é mais ágil nesse ponto.

A Seção 4(6) exige que o controlador estabeleça processo de apelação conspicuamente disponível e similar ao processo original de submissão.

O processo deve:

Permitir um prazo razoável para o consumidor apelar após receber a recusa.

Ser comparável ao processo de submissão das solicitações originais.

Resultar em resposta escrita dentro de 45 dias com decisão e justificativa.

Se a apelação for negada, o aviso deve fornecer ou especificar informações que permitam ao consumidor contatar o Attorney General para registrar uma reclamação (Seção 4(6)(d)).

A Seção 4(5)(e) da OCPA tem regra de autenticação diferente para opt-outs:

Para exercício dos direitos de acesso, correção, exclusão e portabilidade: o controlador pode solicitar informações adicionais razoavelmente necessárias para autenticar. Se não conseguir autenticar, não é obrigado a cumprir, mas deve notificar o consumidor (Seção 4(5)(d)).

Para solicitações de opt-out: o controlador não pode exigir autenticação. Pode solicitar apenas informações necessárias para identificar quem está pedindo o opt-out. Se tiver crença documentada, razoável e de boa-fé de que a solicitação é fraudulenta, pode negar. Mas deve notificar o solicitante explicando que acredita que é fraudulenta e que não cumprirá.

Essa distinção é importante para o Portal do Titular: o mecanismo de opt-out precisa funcionar sem barreiras de autenticação.

A Seção 4(4) permite que o consumidor designe outra pessoa como agente autorizado para exercer o opt-out em seu nome. Isso inclui via tecnologia: link de Internet, configuração de navegador, extensão de navegador ou configuração global de dispositivo.

O controlador deve cumprir o opt-out recebido de agente autorizado se conseguir verificar, com esforço comercialmente razoável, a identidade do consumidor e a autoridade do agente.

A partir de 1º de janeiro de 2026, o controlador que processa para publicidade direcionada ou vende dados deve aceitar opt-outs via sinal enviado com o consentimento do consumidor (Seção 5(5)(c)). Isso inclui o Global Privacy Control (GPC).

A Seção 5(4)(i) e 5(5) exige que o controlador estabeleça e descreva no aviso de privacidade o método para submissão de solicitações. Esse método precisa:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir segurança e confiabilidade nas comunicações.

Permitir autenticação da identidade do consumidor.

Fornecer link claro e conspícuo para opt-out de publicidade direcionada.

O controlador não pode exigir criação de nova conta (Seção 4(2)). Pode exigir uso de conta existente.

Além disso, a Seção 5(5)(b) exige especificamente um link claro e conspícuo no site para uma página de opt-out de publicidade direcionada e venda de dados.

A partir de 1º de janeiro de 2026, o canal também precisa reconhecer e honrar sinais de opt-out universal como o GPC, conforme a Seção 5(5)(c).

Um Portal do Titular bem estruturado oferece:

Formulário de submissão com categorias claras (lista de terceiros, acesso/cópia, correção, exclusão, opt-out de publicidade/venda/perfilamento).

Processo de verificação de identidade proporcional e não discriminatório.

Confirmação automática de recebimento com número de protocolo.

Registro de cada solicitação, ação tomada e resposta enviada.

Canal de apelação para casos de recusa.

O consentimento no site e o Portal do Titular precisam estar integrados para que as preferências do consumidor sejam refletidas nos sistemas operacionais da empresa.

Receba e autentique a identidade do titular.

Consulte o registro de compartilhamentos de dados.

Decida se vai fornecer: (i) lista de terceiros específicos que receberam dados do consumidor, ou (ii) lista de qualquer terceiro que recebeu qualquer dado.

Prepare resposta dentro de 45 dias.

Atenção: sem esse registro estruturado, é impossível cumprir. Construir o mapeamento de compartilhamentos é pré-requisito.

Receba e autentique.

Localize todos os dados pessoais nos sistemas, incluindo dados derivados como perfis de marketing e scores de comportamento.

Prepare resposta em formato portável dentro de 45 dias.

Receba e autentique.

Verifique se há exceção legal (Seção 2(3)).

Para dados do próprio consumidor: exclua de todos os sistemas relevantes.

Para dados obtidos de terceiros: exclua de fato ou faça opt-out do processamento para finalidades não isentas (Seção 4(7)).

Confirme ao consumidor dentro de 45 dias.

Receba a solicitação (via Portal, link no site, ou sinal de opt-out como o GPC a partir de 2026).

Não é necessário autenticar para processar.

Monitore sinais de fraude. Se houver suspeita documentada: notifique o solicitante.

Caso contrário: cesse o processamento para as finalidades indicadas.

Receba via Portal.

Identifique se o perfilamento em questão é para decisões com efeitos legais ou de significância similar.

Se sim: cesse o uso dos dados para essas decisões.

Informe o consumidor do resultado dentro de 45 dias.

Conforme a Seção 4(5)(b), o controlador que não tomar ação deve informar o consumidor sem demora indevida, mas não mais tarde que 45 dias, com:

A justificativa para não tomar ação.

Instruções sobre como apelar da decisão.

Se o consumidor havia consentido com processamento de dados sensíveis ou outros processamentos baseados em consentimento e decide revogar, a Seção 5(1)(d) exige:

Mecanismo de revogação pelo menos tão fácil quanto o de fornecimento.

Cessação do processamento o mais rápido possível, mas no máximo em 15 dias após o recebimento da revogação.

Esse prazo precisa ser considerado nos sistemas de gestão de consentimento e nos processos operacionais do Portal do Titular.

A Seção 4(3) permite que pais ou responsáveis legais exerçam os direitos em nome de crianças menores de 13 anos.

A Seção 4(3) também permite que tutores ou curadores exerçam direitos em nome de consumidores sob tutela, curatela ou outra proteção similar.

Para adolescentes de 13 a 15 anos: o controlador não pode processar dados para publicidade direcionada ou venda sem o consentimento desses consumidores (Seção 5(2)(c)).

A partir de janeiro de 2026: proibição de vender dados de menores de 16 anos e de usar dados de menores de 16 anos para publicidade direcionada.

A Seção 5(2)(d) proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários onde a diferença está razoavelmente relacionada ao valor que os dados representam (Seção 5(3)(b)).

Até 1º de janeiro de 2026, o AG precisava notificar a empresa e conceder 30 dias para correção antes de iniciar ação formal.

A partir de 1º de janeiro de 2026, esse período foi eliminado. O AG pode agir diretamente (Seção 11 da OCPA).

Empresas sem processo estruturado para DSARs não conseguem corrigir em 30 dias o que deveria estar implementado desde o início. Sem o período de cura, o risco é ainda maior. As penalidades podem chegar a US$ 7.500 por violação, com cada consumidor cujo direito foi violado podendo ser contado como violação individual.

A AdOpt registra cada interação de consentimento, opt-out e revogação com timestamp e identificador único. Quando o consumidor exerce o opt-out via Portal ou via sinal como o GPC a partir de 2026, o sistema atualiza automaticamente os rastreadores correspondentes.

O sistema processa revogações de consentimento garantindo a cessação dentro de 15 dias. O log auditável da AdOpt serve como evidência de conformidade para o Attorney General.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar o Portal do Titular do seu site em conformidade com a OCPA? Fale com a nossa equipe.

Canal de submissão de solicitações sem exigência de criação de nova conta (Seção 4(2)).

Link claro e conspícuo no site para opt-out de publicidade direcionada e venda (Seção 5(5)(b)).

Opt-out preference signal honrado a partir de janeiro de 2026 (Seção 5(5)(c)).

Cobertura de todos os direitos L.O.C.K.E.D.: lista de terceiros, acesso/confirmação, cópia (incluindo dados derivados), correção, exclusão, opt-out.

Dados derivados incluídos no escopo de cópia e exclusão (Seção 3(1)(a)(C) e 3(1)(c)).

Opt-out sem autenticação obrigatória para publicidade direcionada, venda e perfilamento (Seção 4(5)(e)).

Processo de denúncia de fraude documentado se opt-outs forem negados por suspeita de fraude.

Agentes autorizados aceitos para opt-out, incluindo via tecnologia (Seção 4(4)).

Prazos: 45 dias para resposta (+45 ext.); 45 dias para apelação.

Mecanismo de apelação conspicuamente disponível e similar ao processo original (Seção 4(6)).

Referência ao AG fornecida quando apelação é negada (Seção 4(6)(d)).

Gratuidade na primeira solicitação por período de 12 meses (Seção 4(5)(c)).

Revogação de consentimento honrada em 15 dias (Seção 5(1)(d)).

Registro documentado de cada solicitação, ação tomada e resposta enviada.

Pais/responsáveis podem exercer direitos por crianças menores de 13 anos (Seção 4(3)).

Tutores podem exercer direitos por consumidores sob tutela (Seção 4(3)).

Proteção para adolescentes 13-15: processo para consentimento antes de processar para publicidade/venda.

1. Por que o opt-out não precisa de autenticação na OCPA?
A Seção 4(5)(e) estabelece que para solicitações de opt-out de publicidade direcionada, venda e perfilamento, o controlador deve cumprir sem exigir autenticação. A justificativa é que o opt-out é um direito básico que não deve ter barreiras desnecessárias. O controlador pode negar apenas se tiver crença documentada de boa-fé de que a solicitação é fraudulenta, e deve notificar o solicitante com a justificativa. Sem essa notificação, a negação pode ser considerada violação da lei.

2. Por que o direito de listar terceiros foi o mais negado no primeiro ano da OCPA?
O relatório do AG Dan Rayfield (agosto de 2025) identificou que empresas simplesmente não tinham o registro estruturado de com quem compartilharam dados pessoais. Para cumprir a Seção 3(1)(a)(B), o controlador precisa saber exatamente quais entidades receberam dados de determinado consumidor, ou quais entidades receberam qualquer dado pessoal do controlador. Sem um mapeamento de compartilhamentos atualizado, é impossível responder a essa solicitação.

3. O que torna a exclusão de dados derivados um diferencial importante da OCPA?
A OCPA inclui explicitamente dados derivados na definição de dado pessoal (Seção 1(13)) e no escopo do direito de exclusão (Seção 3(1)(c)). Isso significa que quando o consumidor solicita a exclusão, perfis de marketing, scores de propensão e classificações de segmento criados a partir dos dados dele também precisam ser excluídos. O relatório de enforcement identificou que empresas não estavam incluindo esses dados nas respostas, o que configurou violação direta.

4. Quem pode exercer direitos em nome de outros consumidores na OCPA?
A Seção 4(3) permite que pais ou responsáveis legais exerçam os direitos em nome de crianças menores de 13 anos, e que tutores ou curadores exerçam direitos em nome de consumidores sob tutela, curatela ou outros arranjos de proteção. Além disso, a Seção 4(4) permite que qualquer consumidor designe agente autorizado para exercer o opt-out, inclusive via tecnologia como extensão de navegador ou configuração de dispositivo.

5. O que acontece se o controlador não tiver processo de DSAR quando o Attorney General investigar?
A partir de janeiro de 2026, não existe mais o período de cura de 30 dias. O AG pode iniciar ação diretamente (Seção 11 da OCPA). Se identificar violações, pode buscar penalidades de até US$ 7.500 por violação. Cada consumidor cujo direito foi violado pode ser contado como violação separada, o que eleva rapidamente o impacto financeiro. O relatório de enforcement de 2025 mostrou que formulários de direitos inacessíveis ou não funcionais foram um dos problemas mais comuns nas investigações.

Tá na AdOpt, tá bem.

Pronto para estruturar o Portal do Titular do seu site em conformidade com a OCPA? Fale com a nossa equipe.