A Oregon Consumer Privacy Act (OCPA, ORS 646A.570 et seq.) tem algumas particularidades no processo de DSAR que a distinguem das outras leis estaduais americanas.

A mais importante: as solicitações de opt-out não precisam de autenticação. E o direito de listar os terceiros que receberam os dados foi o mais frequentemente negado no primeiro ano de enforcement. O relatório do Attorney General Dan Rayfield (agosto de 2025) mostrou que empresas simplesmente não tinham esse registro estruturado.

Este artigo cobre tudo: o que é uma DSAR sob a OCPA, quais são os direitos garantidos pelo sistema L.O.C.K.E.D., os prazos específicos, as regras de autenticação, e como estruturar um Portal do Titular que funcione para a lei do Oregon.

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um residente do Oregon para exercer os direitos que a OCPA garante sobre os próprios dados.

Conforme a Seção 4(1), o consumidor exerce seus direitos por meios estabelecidos pelo controlador e descritos no aviso de privacidade.

Se você já conhece o portal do titular da LGPD, a estrutura é familiar. A OCPA adiciona regras específicas sobre dados derivados, opt-out sem autenticação, e o papel dos sinais de opt-out universal via tecnologia.

O sistema L.O.C.K.E.D. do Departamento de Justiça do Oregon resume os direitos da Seção 3(1) da OCPA:

O consumidor pode solicitar uma lista das entidades específicas para as quais o controlador divulgou seus dados pessoais, ou uma lista de qualquer dado pessoal divulgado (Seção 3(1)(a)(B)).

O controlador pode escolher fornecer: (i) lista de terceiros específicos que receberam os dados do consumidor, ou (ii) lista de terceiros que receberam qualquer dado pessoal do controlador.

Esse foi o direito mais frequentemente negado no primeiro ano de enforcement. Empresas não tinham o registro de com quem compartilharam dados estruturado de forma que permitisse responder a essa solicitação.

O consumidor pode obter confirmação de que o controlador processa ou processou seus dados e quais categorias de dados pessoais estão envolvidas (Seção 3(1)(a)(A)).

O consumidor pode obter cópia de todos os dados pessoais que o controlador processou, em formato portável e prontamente utilizável quando tecnicamente viável (Seção 3(1)(a)(C)).

Esse escopo inclui dados derivados. Perfis de marketing, scores de comportamento e classificações de segmento criados a partir dos dados do consumidor fazem parte da cópia que deve ser entregue.

O relatório de enforcement identificou que empresas não estavam incluindo dados de "back-end" como perfis de marketing nas respostas às solicitações de cópia. Isso configura violação direta da lei.

O consumidor pode solicitar a correção de imprecisões nos dados pessoais, considerando a natureza e os propósitos do processamento (Seção 3(1)(b)).

O consumidor pode solicitar a exclusão dos dados pessoais, incluindo (Seção 3(1)(c)):

Dados que o consumidor forneceu diretamente à empresa.

Dados que a empresa obteve de outras fontes sobre o consumidor.

Dados derivados criados pela empresa a partir de outros dados.

Para dados obtidos de terceiros, a OCPA prevê uma alternativa. O controlador pode cumprir a solicitação de exclusão de duas formas: excluindo os dados de fato; ou fazendo opt-out do consumidor do processamento de seus dados para qualquer finalidade que não seja uma das isentas pela Seção 2(3) (Seção 4(7)).

O consumidor pode recusar o processamento de dados para três finalidades (Seção 3(1)(d)):

Publicidade direcionada.

Venda de dados pessoais.

Perfilamento em apoio a decisões com efeitos legais ou de significância similar (como acesso a crédito, habitação, seguro, emprego ou serviços de saúde).

Conforme a Seção 4(5)(a):

45 dias para responder a partir do recebimento da solicitação.

Extensão de +45 dias quando razoavelmente necessário, considerando complexidade e volume de solicitações, com notificação ao consumidor dentro do prazo inicial.

Apelação: 45 dias para resposta, com decisão e justificativa por escrito (Seção 4(6)(d)).

Gratuito uma vez por período de 12 meses por consumidor (Seção 4(5)(c)). Para solicitações subsequentes, pode cobrar taxa razoável, exceto quando verifica o cumprimento de correção ou exclusão anterior.

Um ponto de distinção em relação à CTDPA do Connecticut: a OCPA estabelece 45 dias para apelações, enquanto a CTDPA estabelece 60 dias. A OCPA é mais ágil nesse ponto.

A Seção 4(6) exige que o controlador estabeleça processo de apelação conspicuamente disponível e similar ao processo original de submissão.

O processo deve:

Permitir um prazo razoável para o consumidor apelar após receber a recusa.

Ser comparável ao processo de submissão das solicitações originais.

Resultar em resposta escrita dentro de 45 dias com decisão e justificativa.

Se a apelação for negada, o aviso deve fornecer ou especificar informações que permitam ao consumidor contatar o Attorney General para registrar uma reclamação (Seção 4(6)(d)).

A Seção 4(5)(e) da OCPA tem regra de autenticação diferente para opt-outs:

Para exercício dos direitos de acesso, correção, exclusão e portabilidade: o controlador pode solicitar informações adicionais razoavelmente necessárias para autenticar. Se não conseguir autenticar, não é obrigado a cumprir, mas deve notificar o consumidor (Seção 4(5)(d)).

Para solicitações de opt-out: o controlador não pode exigir autenticação. Pode solicitar apenas informações necessárias para identificar quem está pedindo o opt-out. Se tiver crença documentada, razoável e de boa-fé de que a solicitação é fraudulenta, pode negar. Mas deve notificar o solicitante explicando que acredita que é fraudulenta e que não cumprirá.

Essa distinção é importante para o Portal do Titular: o mecanismo de opt-out precisa funcionar sem barreiras de autenticação.

A Seção 4(4) permite que o consumidor designe outra pessoa como agente autorizado para exercer o opt-out em seu nome. Isso inclui via tecnologia: link de Internet, configuração de navegador, extensão de navegador ou configuração global de dispositivo.

O controlador deve cumprir o opt-out recebido de agente autorizado se conseguir verificar, com esforço comercialmente razoável, a identidade do consumidor e a autoridade do agente.

A partir de 1º de janeiro de 2026, o controlador que processa para publicidade direcionada ou vende dados deve aceitar opt-outs via sinal enviado com o consentimento do consumidor (Seção 5(5)(c)). Isso inclui o Global Privacy Control (GPC).

A Seção 5(4)(i) e 5(5) exige que o controlador estabeleça e descreva no aviso de privacidade o método para submissão de solicitações. Esse método precisa:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir segurança e confiabilidade nas comunicações.

Permitir autenticação da identidade do consumidor.

Fornecer link claro e conspícuo para opt-out de publicidade direcionada.

O controlador não pode exigir criação de nova conta (Seção 4(2)). Pode exigir uso de conta existente.

Além disso, a Seção 5(5)(b) exige especificamente um link claro e conspícuo no site para uma página de opt-out de publicidade direcionada e venda de dados.

A partir de 1º de janeiro de 2026, o canal também precisa reconhecer e honrar sinais de opt-out universal como o GPC, conforme a Seção 5(5)(c).

Um Portal do Titular bem estruturado oferece:

Formulário de submissão com categorias claras (lista de terceiros, acesso/cópia, correção, exclusão, opt-out de publicidade/venda/perfilamento).

Processo de verificação de identidade proporcional e não discriminatório.

Confirmação automática de recebimento com número de protocolo.

Registro de cada solicitação, ação tomada e resposta enviada.

Canal de apelação para casos de recusa.

O consentimento no site e o Portal do Titular precisam estar integrados para que as preferências do consumidor sejam refletidas nos sistemas operacionais da empresa.

Receba e autentique a identidade do titular.

Consulte o registro de compartilhamentos de dados.

Decida se vai fornecer: (i) lista de terceiros específicos que receberam dados do consumidor, ou (ii) lista de qualquer terceiro que recebeu qualquer dado.

Prepare resposta dentro de 45 dias.

Atenção: sem esse registro estruturado, é impossível cumprir. Construir o mapeamento de compartilhamentos é pré-requisito.

Receba e autentique.

Localize todos os dados pessoais nos sistemas, incluindo dados derivados como perfis de marketing e scores de comportamento.

Prepare resposta em formato portável dentro de 45 dias.

Receba e autentique.

Verifique se há exceção legal (Seção 2(3)).

Para dados do próprio consumidor: exclua de todos os sistemas relevantes.

Para dados obtidos de terceiros: exclua de fato ou faça opt-out do processamento para finalidades não isentas (Seção 4(7)).

Confirme ao consumidor dentro de 45 dias.

Receba a solicitação (via Portal, link no site, ou sinal de opt-out como o GPC a partir de 2026).

Não é necessário autenticar para processar.

Monitore sinais de fraude. Se houver suspeita documentada: notifique o solicitante.

Caso contrário: cesse o processamento para as finalidades indicadas.

Receba via Portal.

Identifique se o perfilamento em questão é para decisões com efeitos legais ou de significância similar.

Se sim: cesse o uso dos dados para essas decisões.

Informe o consumidor do resultado dentro de 45 dias.

Conforme a Seção 4(5)(b), o controlador que não tomar ação deve informar o consumidor sem demora indevida, mas não mais tarde que 45 dias, com:

A justificativa para não tomar ação.

Instruções sobre como apelar da decisão.

Se o consumidor havia consentido com processamento de dados sensíveis ou outros processamentos baseados em consentimento e decide revogar, a Seção 5(1)(d) exige:

Mecanismo de revogação pelo menos tão fácil quanto o de fornecimento.

Cessação do processamento o mais rápido possível, mas no máximo em 15 dias após o recebimento da revogação.

Esse prazo precisa ser considerado nos sistemas de gestão de consentimento e nos processos operacionais do Portal do Titular.

A Seção 4(3) permite que pais ou responsáveis legais exerçam os direitos em nome de crianças menores de 13 anos.

A Seção 4(3) também permite que tutores ou curadores exerçam direitos em nome de consumidores sob tutela, curatela ou outra proteção similar.

Para adolescentes de 13 a 15 anos: o controlador não pode processar dados para publicidade direcionada ou venda sem o consentimento desses consumidores (Seção 5(2)(c)).

A partir de janeiro de 2026: proibição de vender dados de menores de 16 anos e de usar dados de menores de 16 anos para publicidade direcionada.

A Seção 5(2)(d) proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários onde a diferença está razoavelmente relacionada ao valor que os dados representam (Seção 5(3)(b)).

Até 1º de janeiro de 2026, o AG precisava notificar a empresa e conceder 30 dias para correção antes de iniciar ação formal.

A partir de 1º de janeiro de 2026, esse período foi eliminado. O AG pode agir diretamente (Seção 11 da OCPA).

Empresas sem processo estruturado para DSARs não conseguem corrigir em 30 dias o que deveria estar implementado desde o início. Sem o período de cura, o risco é ainda maior. As penalidades podem chegar a US$ 7.500 por violação, com cada consumidor cujo direito foi violado podendo ser contado como violação individual.

A AdOpt registra cada interação de consentimento, opt-out e revogação com timestamp e identificador único. Quando o consumidor exerce o opt-out via Portal ou via sinal como o GPC a partir de 2026, o sistema atualiza automaticamente os rastreadores correspondentes.

O sistema processa revogações de consentimento garantindo a cessação dentro de 15 dias. O log auditável da AdOpt serve como evidência de conformidade para o Attorney General.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar o Portal do Titular do seu site em conformidade com a OCPA? Fale com a nossa equipe.

Canal de submissão de solicitações sem exigência de criação de nova conta (Seção 4(2)).

Link claro e conspícuo no site para opt-out de publicidade direcionada e venda (Seção 5(5)(b)).

Opt-out preference signal honrado a partir de janeiro de 2026 (Seção 5(5)(c)).

Cobertura de todos os direitos L.O.C.K.E.D.: lista de terceiros, acesso/confirmação, cópia (incluindo dados derivados), correção, exclusão, opt-out.

Dados derivados incluídos no escopo de cópia e exclusão (Seção 3(1)(a)(C) e 3(1)(c)).

Opt-out sem autenticação obrigatória para publicidade direcionada, venda e perfilamento (Seção 4(5)(e)).

Processo de denúncia de fraude documentado se opt-outs forem negados por suspeita de fraude.

Agentes autorizados aceitos para opt-out, incluindo via tecnologia (Seção 4(4)).

Prazos: 45 dias para resposta (+45 ext.); 45 dias para apelação.

Mecanismo de apelação conspicuamente disponível e similar ao processo original (Seção 4(6)).

Referência ao AG fornecida quando apelação é negada (Seção 4(6)(d)).

Gratuidade na primeira solicitação por período de 12 meses (Seção 4(5)(c)).

Revogação de consentimento honrada em 15 dias (Seção 5(1)(d)).

Registro documentado de cada solicitação, ação tomada e resposta enviada.

Pais/responsáveis podem exercer direitos por crianças menores de 13 anos (Seção 4(3)).

Tutores podem exercer direitos por consumidores sob tutela (Seção 4(3)).

Proteção para adolescentes 13-15: processo para consentimento antes de processar para publicidade/venda.

Tipo de solicitação	Prazo de resposta	Extensão possível
Acesso, lista, cópia, correção, exclusão	45 dias	+45 dias com notificação
Opt-out (sem autenticação obrigatória)	Sem prazo específico	Imediato recomendado
Apelação de decisão	45 dias	Não especificado
Revogação de consentimento	Máx. 15 dias	Não há extensão
Cure period para violações	Eliminado (jan/2026)	Não há garantia

1. Por que o opt-out não precisa de autenticação na OCPA?
A Seção 4(5)(e) estabelece que para solicitações de opt-out de publicidade direcionada, venda e perfilamento, o controlador deve cumprir sem exigir autenticação. A justificativa é que o opt-out é um direito básico que não deve ter barreiras desnecessárias. O controlador pode negar apenas se tiver crença documentada de boa-fé de que a solicitação é fraudulenta, e deve notificar o solicitante com a justificativa. Sem essa notificação, a negação pode ser considerada violação da lei.

2. Por que o direito de listar terceiros foi o mais negado no primeiro ano da OCPA?
O relatório do AG Dan Rayfield (agosto de 2025) identificou que empresas simplesmente não tinham o registro estruturado de com quem compartilharam dados pessoais. Para cumprir a Seção 3(1)(a)(B), o controlador precisa saber exatamente quais entidades receberam dados de determinado consumidor, ou quais entidades receberam qualquer dado pessoal do controlador. Sem um mapeamento de compartilhamentos atualizado, é impossível responder a essa solicitação.

3. O que torna a exclusão de dados derivados um diferencial importante da OCPA?
A OCPA inclui explicitamente dados derivados na definição de dado pessoal (Seção 1(13)) e no escopo do direito de exclusão (Seção 3(1)(c)). Isso significa que quando o consumidor solicita a exclusão, perfis de marketing, scores de propensão e classificações de segmento criados a partir dos dados dele também precisam ser excluídos. O relatório de enforcement identificou que empresas não estavam incluindo esses dados nas respostas, o que configurou violação direta.

4. Quem pode exercer direitos em nome de outros consumidores na OCPA?
A Seção 4(3) permite que pais ou responsáveis legais exerçam os direitos em nome de crianças menores de 13 anos, e que tutores ou curadores exerçam direitos em nome de consumidores sob tutela, curatela ou outros arranjos de proteção. Além disso, a Seção 4(4) permite que qualquer consumidor designe agente autorizado para exercer o opt-out, inclusive via tecnologia como extensão de navegador ou configuração de dispositivo.

5. O que acontece se o controlador não tiver processo de DSAR quando o Attorney General investigar?
A partir de janeiro de 2026, não existe mais o período de cura de 30 dias. O AG pode iniciar ação diretamente (Seção 11 da OCPA). Se identificar violações, pode buscar penalidades de até US$ 7.500 por violação. Cada consumidor cujo direito foi violado pode ser contado como violação separada, o que eleva rapidamente o impacto financeiro. O relatório de enforcement de 2025 mostrou que formulários de direitos inacessíveis ou não funcionais foram um dos problemas mais comuns nas investigações.

Tá na AdOpt, tá bem.

Pronto para estruturar o Portal do Titular do seu site em conformidade com a OCPA? Fale com a nossa equipe.