A Oregon Consumer Privacy Act (OCPA, ORS 646A.570 et seq.) tem dois requisitos específicos para sites que processam dados para publicidade direcionada ou vendem dados pessoais.

O primeiro é imediato: um link claro e conspícuo no site para uma página de opt-out.

O segundo entrou em vigor em 1º de janeiro de 2026: a obrigação de honrar sinais de opt-out enviados por plataformas, tecnologias ou mecanismos com o consentimento do consumidor, como o Global Privacy Control (GPC).

Este artigo foca exclusivamente no que a OCPA exige da Política de Cookies: o que o documento precisa conter, como o opt-out deve funcionar, e o que as exigências específicas da lei implicam para cada rastreador do seu site.

O banner de cookies é a interface visual de consentimento. É o que o visitante vê ao acessar o site pela primeira vez.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia: o que coleta, para quê serve, com quem os dados são compartilhados, e como exercer direitos sobre eles.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa estar acessível por link claro no próprio aviso de consentimento.

A Seção 5(1)(a) exige que o controlador especifique as finalidades expressas de coleta e processamento. E a Seção 5(2)(a) proíbe o processamento para finalidades incompatíveis com as divulgadas, salvo novo consentimento.

Para cookies, cada categoria de rastreador precisa de descrição de finalidade específica, não genérica.

O que não funciona: "cookies para melhorar sua experiência".

O que funciona: "Cookies de analytics: coletam dados de comportamento de navegação, incluindo páginas visitadas, origem do tráfego e duração de sessões. Utilizados para identificar oportunidades de melhoria de conteúdo. Os dados não são vendidos nem usados para publicidade direcionada."

"Cookies de publicidade: coletam identificadores comportamentais compartilhados com plataformas de anúncios para publicidade direcionada em sites não afiliados. Incluem pixels de Meta Ads e Google Ads. Os consumidores podem exercer o opt-out pelo link nesta página ou via GPC."

A Política precisa listar as categorias de rastreadores que operam no site:

Cookies necessários: essenciais para funcionamento básico. Autenticação, segurança de sessão, carrinho de compras. Não configuram publicidade direcionada ou venda. Precisam ser documentados, mas não exigem opt-out.

Cookies de analytics: dependem da configuração. Se os dados ficam internos, geralmente não configuram publicidade direcionada. Se são enviados a terceiros para targeting em outros sites, podem configurar e exigem opt-out.

Cookies de publicidade: quase sempre configuram "publicidade direcionada" sob a OCPA, que a define como anúncios baseados em dados coletados "das atividades do consumidor ao longo do tempo e em um ou mais sites ou aplicações não afiliados" (Seção 1(19)).

Cookies funcionais: lembram preferências do usuário. Geralmente não configuram publicidade direcionada ou venda, mas precisam estar documentados.

Cookies de terceiros: disparados por serviços externos integrados ao site. A categorização correta de tags é o que permite documentar cada um com precisão e manter o inventário atualizado.

A OCPA define publicidade direcionada (Seção 1(19)) como anúncios selecionados com base em dados coletados das atividades do consumidor ao longo do tempo e em um ou mais sites ou aplicações não afiliados.

O que não configura publicidade direcionada (Seção 1(19)(b)):

Anúncios baseados em atividades dentro dos próprios sites ou aplicações do controlador.

Anúncios baseados no contexto da busca atual ou visita atual do usuário.

Anúncios em resposta a pedido de informação do consumidor.

Processamento de dados apenas para medir ou reportar desempenho, alcance ou frequência de anúncios.

Campanhas de retargeting que usam dados de comportamento do usuário em outros sites quase sempre configuram publicidade direcionada sob a OCPA.

A Seção 1(17) define venda como a troca de dados pessoais por contrapartida monetária ou outro valor valioso pelo controlador a terceiros.

Não configura venda: divulgação a operadores, divulgação para produto ou serviço solicitado pelo consumidor, divulgação a afiliados, transferências em fusões e aquisições, e divulgação dirigida pelo consumidor.

Se o site compartilha dados com parceiros em troca de serviços ou outros benefícios econômicos, pode configurar venda mesmo sem pagamento direto em dinheiro.

A Seção 5(4)(d) e (e) exige que o aviso informe quais categorias de dados são compartilhadas com terceiros e quais categorias de terceiros as recebem, com nível de detalhe suficiente para o consumidor entender que tipo de entidade cada terceiro é.

Para cookies, isso se traduz em declarar claramente:

Se o Meta Pixel transfere dados comportamentais para a Meta, isso precisa estar documentado com descrição do que a Meta pode fazer com os dados.

Se o Google Analytics envia dados de sessão para o Google, precisa estar declarado com descrição da finalidade.

Se ferramentas de CRM recebem dados de formulários preenchidos no site, precisam ser identificadas com tipo de entidade descrito.

Cada fluxo de dados que sai do ambiente do controlador precisa estar categorizado e descrito.

A Seção 5(1)(b) exige que a coleta seja limitada ao que é adequado, relevante e razoavelmente necessário para as finalidades declaradas. O princípio de minimização implica documentar por quanto tempo os dados ficam armazenados.

Para a Política de Cookies, isso significa documentar:

Por quanto tempo cada categoria de cookie permanece ativa no dispositivo do usuário.

Por quanto tempo os dados coletados via cookie são retidos nos sistemas da empresa.

Quando e como os dados são excluídos após o período de retenção.

A OCPA garante ao consumidor o direito de opt-out do processamento de dados para publicidade direcionada, conforme a Seção 3(1)(d)(A).

A Seção 5(4)(h) exige que a divulgação de publicidade direcionada venha acompanhada do mecanismo de opt-out. A Política de Cookies deve descrever como o consumidor exerce esse opt-out e o link deve ser acessível.

Para opt-out de publicidade direcionada, a OCPA não permite exigir autenticação (Seção 4(5)(e)). O controlador pode solicitar informações para identificar quem está pedindo o opt-out, mas não pode criar barreiras que dificultem o exercício do direito.

Uma plataforma de gestão de consentimentos bem configurada garante que quando o usuário exerce o opt-out de publicidade direcionada, todos os pixels e rastreadores correspondentes param de disparar automaticamente.

A Seção 5(5)(b) exige um link claro e conspícuo no site do controlador para uma página que permita ao consumidor ou a um agente exercer o opt-out de publicidade direcionada ou venda de dados pessoais.

Esse link precisa estar visível na página, não em locais obscuros. A Política de Cookies deve identificar esse link e descrever como o opt-out funciona.

A Seção 5(5)(c) exige que a partir de 1º de janeiro de 2026, os controladores honrem sinais de opt-out enviados por plataforma, tecnologia ou mecanismo com o consentimento do consumidor, como o Global Privacy Control (GPC).

Na prática para cookies: quando um usuário acessa o site com o GPC ativado no navegador, o site deve interpretar esse sinal como opt-out de publicidade direcionada e venda de dados, e bloquear automaticamente os rastreadores correspondentes.

O mecanismo precisa atender a requisitos específicos da Seção 5(5)(c):

Não pode criar desvantagem injusta para outro controlador.

Não pode ser configuração padrão: deve representar escolha afirmativa, livre e inequívoca.

Deve ser amigável e fácil para o consumidor médio.

Deve ser consistente com mecanismos similares exigidos por outras leis.

Deve permitir que o controlador verifique se o consumidor é residente do Oregon.

A Política de Cookies deve descrever como o site processa esses sinais.

A Seção 1(6) define consentimento como ato afirmativo pelo qual o consumidor comunica de forma clara e conspícua concordância livre, específica, informada e inequívoca. A interface não pode ter mecanismos que obscureçam, subvertam ou prejudiquem a autonomia e a capacidade de decisão do consumidor. E a inação não constitui consentimento.

O padrão correto para cookies: tecnologias não essenciais desligadas por padrão. O usuário escolhe o que ativa, não o que desativa.

Aceitar termos gerais com descrições de processamento misturadas a outras informações.

Continuar navegando sem qualquer ação explícita.

Interfaces que usam design para dificultar a recusa em comparação ao aceite.

Banners que reaparecem até o usuário aceitar.

Cookie walls que bloqueiam o acesso ao conteúdo até a aceitação de todos os cookies.

A Seção 1(6)(a) da OCPA é explícita: a interface não pode ter "qualquer mecanismo que tenha o propósito ou efeito substancial de obter consentimento obscurecendo, subvertendo ou prejudicando a autonomia, tomada de decisão ou escolha do consumidor."

Na maioria dos casos, sim.

A OCPA define dados pessoais como incluindo dados derivados e identificadores razoavelmente vinculáveis a um consumidor. Cookies analíticos de grandes plataformas coletam identificadores que, cruzados com outros dados que o provedor possui, podem identificar um usuário específico.

O Guia Orientativo da ANPD sobre cookies sinalizou esse ponto: grandes provedores têm capacidade de cruzar identificadores aparentemente anônimos com outros dados para reidentificação.

A abordagem mais segura: tratar cookies de analytics como não necessários no banner, bloqueá-los antes que o consumidor decida, e documentar essa categorização na Política de Cookies.

A Seção 5(2)(c) proíbe processar dados de consumidores de 13 a 15 anos para publicidade direcionada, perfilamento ou venda sem consentimento, quando o controlador tem conhecimento real dessa faixa etária.

A partir de 1º de janeiro de 2026, a proteção foi ampliada: proibição de vender dados de menores de 16 anos e de usar dados de menores de 16 anos para publicidade direcionada e certos tipos de perfilamento.

Para crianças menores de 13 anos, aplica-se a COPPA, conforme a Seção 5(2)(b) da OCPA.

Se o site pode ter usuários nessas faixas etárias, a Política de Cookies deve descrever como esses dados são tratados de forma diferenciada.

A partir de 1º de janeiro de 2026, os controladores ficam proibidos de vender dados de geolocalização precisa de consumidores do Oregon.

Geolocalização precisa é definida pela Seção 1(18)(a)(C) como dados que identificam a localização dentro de um raio de 1.750 pés (aproximadamente 533 metros).

Se qualquer cookie ou rastreador coleta dados de localização com essa precisão, a Política de Cookies precisa:

Identificar essa coleta como dados sensíveis.

Informar que esses dados não são vendidos a terceiros.

Descrever que o processamento requer consentimento explícito.

A OCPA exige que o processamento se limite às finalidades declaradas (Seção 5(2)(a)). Na prática, qualquer mudança no inventário de ferramentas exige atualização da Política.

Situações que exigem atualização:

Adição de novo pixel de publicidade ou rastreador.

Nova ferramenta de analytics que envia dados a terceiros.

Novo parceiro que recebe dados comportamentais dos usuários.

Mudança no uso de dados de cookies para novas finalidades.

Qualquer alteração nos mecanismos de opt-out.

O mapeamento de dados contínuo é o que mantém o inventário de cookies sincronizado com o documento.

O relatório do primeiro ano de enforcement da OCPA (agosto de 2025) identificou três problemas sistemáticos diretamente relacionados a cookies e rastreadores:

Empresas não oferecendo o direito de listar os terceiros que receberam dados via pixels e rastreadores.

Dados de "back-end" como perfis de marketing criados a partir de rastreadores não sendo incluídos nas solicitações de cópia e exclusão.

Formulários e mecanismos de opt-out não funcionando corretamente.

A partir de 1º de janeiro de 2026, o período de cura de 30 dias foi eliminado. O AG pode agir sem notificação prévia. Política de Cookies inadequada e opt-out que não funciona são exatamente o que o DOJ Oregon procura nas investigações.

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O aviso de cookies configurado pela AdOpt bloqueia rastreadores não essenciais antes do aceite, apresenta categorias com descrições claras, oferece opt-out de publicidade direcionada sem exigência de autenticação, e documenta cada interação para fins de auditoria.

A partir de janeiro de 2026, a AdOpt detecta e honra automaticamente sinais de opt-out universal como o GPC.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Cookies do seu site em conformidade com a OCPA? Fale com a nossa equipe.

Link visível no rodapé do site e no banner de cookies.

Listagem das categorias de cookies com descrição do que cada uma faz no site.

Finalidade específica para cada categoria, sem descrições vagas (Seção 5(1)(a)).

Identificação de cookies que configuram publicidade direcionada ou venda (Seção 5(4)(h)).

Categorias de terceiros que recebem dados via cookies, com nível de detalhe sobre tipo de entidade (Seção 5(4)(e)).

Link claro e conspícuo para opt-out de publicidade direcionada e venda no site (Seção 5(5)(b)).

Opt-out preference signal: descrição de como o GPC é honrado a partir de janeiro de 2026 (Seção 5(5)(c)).

Opt-out sem exigência de autenticação para publicidade direcionada, venda e perfilamento (Seção 4(5)(e)).

Cookies não essenciais desativados por padrão, sem interfaces manipulativas (Seção 1(6)(a)).

Proteção para adolescentes de 13 a 15 anos descrita quando aplicável (Seção 5(2)(c)).

Proibição de venda de dados de menores de 16 anos a partir de janeiro de 2026.

Proibição de venda de dados de geolocalização precisa a partir de janeiro de 2026.

Período de retenção de cada categoria de cookie.

E-mail ativo ou mecanismo online para contato com o controlador (Seção 5(4)(f)).

Idioma acessível, sem juridiquês.

Ausência de cookie wall.

1. O link de opt-out da OCPA é diferente do "Do Not Sell" da CCPA?
São similares na função mas diferentes na exigência. A CCPA exige os links "Do Not Sell or Share My Personal Information" e "Limit the Use of My Sensitive Personal Information" com textos específicos. A OCPA exige apenas um link claro e conspícuo para uma página de opt-out de publicidade direcionada ou venda, sem texto específico obrigatório (Seção 5(5)(b)). Empresas que já têm o link da CCPA provavelmente atendem à OCPA também, dependendo do escopo do link.

2. O opt-out preference signal da OCPA é o mesmo que o GPC?
O GPC é o mecanismo mais conhecido que atende às especificações técnicas da Seção 5(5)(c) da OCPA. A lei não nomeia o GPC especificamente, mas o GPC foi desenvolvido para atender exatamente a esse tipo de requisito legal. Desde que o mecanismo seja escolha afirmativa do consumidor (não padrão), não crie desvantagem injusta para o controlador, e permita verificar que é residente do Oregon, ele atende ao requisito. A partir de janeiro de 2026, honrar o GPC deixa de ser opcional e passa a ser obrigatório.

3. Cookies de analytics configuram publicidade direcionada sob a OCPA?
Depende da ferramenta e configuração. Se os dados de analytics ficam internos ou são enviados ao provedor apenas para gerar relatórios sem uso para targeting em outros sites, geralmente não configuram. Se a ferramenta envia dados usados para segmentação em outros sites, pode configurar. A definição da OCPA é "dados coletados das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados" (Seção 1(19)). O critério é o uso dos dados em ambientes externos ao site do controlador.

4. A OCPA exige que adolescentes de 13 a 15 anos consintam antes de qualquer cookie?
A Seção 5(2)(c) é específica: proíbe processar dados de 13 a 15 anos para publicidade direcionada, perfilamento para decisões com efeitos legais, ou venda de dados sem o consentimento desses consumidores, quando o controlador tem conhecimento real. Não exige consentimento para outros tipos de processamento como analytics interno. A restrição se aplica quando o controlador tem conhecimento real da idade do usuário. A partir de janeiro de 2026, a proibição se estende a menores de 16 anos.

5. O que muda para cookies de geolocalização a partir de janeiro de 2026?
A partir de janeiro de 2026, os controladores ficam proibidos de vender dados de geolocalização precisa (dentro de 1.750 pés) de consumidores do Oregon. Dados de geolocalização precisa já eram dados sensíveis pela Seção 1(18)(a)(C) da OCPA, exigindo consentimento explícito para processamento. Com a proibição de venda em vigor, a Política de Cookies deve ser atualizada para declarar explicitamente que dados de localização precisa não são vendidos a terceiros.

Tá na AdOpt, tá bem.

Pronto para estruturar a Política de Cookies do seu site em conformidade com a OCPA? Fale com a nossa equipe.