A Oregon Consumer Privacy Act (OCPA, ORS 646A.570 et seq.) tem um requisito para o aviso de privacidade que não aparece com essa clareza em outras leis estaduais americanas: o aviso deve incluir um endereço de e-mail ativo ou outro método online que o controlador monitora ativamente.

Não basta publicar um e-mail. Ele precisa ser monitorado de verdade. O relatório do primeiro ano de enforcement (agosto de 2025) identificou canais de contato que não funcionavam como um dos problemas mais comuns encontrados nas investigações.

Este artigo foca exclusivamente no que a OCPA exige da Política de Privacidade, com base no texto oficial da lei.

A lei usa o termo privacy notice, aviso de privacidade. Na prática, é a Política de Privacidade que a maioria dos sites já tem, mas com elementos de conteúdo específicos da OCPA.

A Seção 5(4) determina que o controlador forneça aos consumidores um aviso de privacidade "razoavelmente acessível, claro e significativo".

O aviso deve listar as categorias de dados pessoais processados pelo controlador, incluindo categorias de dados sensíveis (Seção 5(4)(a)).

Dados pessoais sob a OCPA incluem dados derivados, um diferencial importante em relação a outras leis. Perfis de marketing e scores de comportamento criados a partir dos dados do consumidor são dados pessoais para fins da lei.

Dados sensíveis, conforme a Seção 1(18), incluem: origem racial ou étnica, crenças religiosas, condição mental ou física, orientação sexual, status como transgênero ou não-binário, status como vítima de crime, cidadania ou imigração, dados de geolocalização precisa (raio de 1.750 pés), dados genéticos ou biométricos, e dados de crianças menores de 13 anos. Se qualquer dessas categorias é coletada, precisa estar explicitamente listada.

O aviso deve descrever as finalidades do controlador para processar os dados pessoais (Seção 5(4)(b)).

A Seção 5(2)(a) proíbe o processamento de dados para finalidades que não sejam razoavelmente necessárias ou compatíveis com as finalidades declaradas, salvo consentimento do consumidor.

Descrições vagas como "melhorar serviços" ou "personalizar sua experiência" não atendem à exigência. "Dados comportamentais coletados via analytics para identificar páginas com alta taxa de abandono e priorizar melhorias de usabilidade" é o padrão correto.

O aviso deve descrever como os consumidores podem exercer os direitos garantidos pela OCPA e como apelar de uma decisão de recusa (Seção 5(4)(c)).

Não basta listar que os direitos existem. O processo precisa estar descrito: qual canal usar, como funciona a autenticação da identidade do solicitante, o prazo de 45 dias para resposta, e como funciona o processo de apelação com prazo de 45 dias.

O encarregado de dados ou responsável pela conformidade precisa ter esse fluxo mapeado e funcionando operacionalmente.

Se a empresa compartilha dados com terceiros, o aviso precisa informar todas as categorias de dados pessoais compartilhados, incluindo categorias de dados sensíveis (Seção 5(4)(d)).

Isso abrange ferramentas de e-mail marketing, CRMs, plataformas de analytics, redes de publicidade, processadores de pagamento, e qualquer serviço externo que receba dados dos usuários.

Este é o requisito mais específico da OCPA em relação a outras leis estaduais americanas. A Seção 5(4)(e) determina que o aviso descreva todas as categorias de terceiros com quem os dados são compartilhados em nível de detalhe que permita ao consumidor entender que tipo de entidade cada terceiro é e, na medida do possível, como cada terceiro pode processar os dados.

Não é suficiente usar categorias genéricas como "parceiros de negócios". O nível correto é algo como: "plataformas de análise de audiência que usam dados de navegação para gerar relatórios de uso" ou "redes de publicidade digital que usam identificadores comportamentais para exibir anúncios personalizados em outros sites que o consumidor visita".

A Seção 5(4)(f) exige que o aviso inclua um endereço de e-mail ou outro método online pelo qual o consumidor pode contatar o controlador, e esse canal deve ser ativamente monitorado pelo controlador.

Esse é um dos requisitos mais específicos da OCPA. Publicar um e-mail que ninguém verifica não cumpre o requisito. O relatório de enforcement de 2025 confirmou que canais de contato que não funcionavam foram um dos problemas mais frequentes encontrados nas investigações.

O aviso precisa identificar o controlador, incluindo o nome comercial registrado no Secretary of State do Oregon e qualquer nome fictício usado no estado (Seção 5(4)(g)).

Se a empresa opera sob uma marca diferente do nome legal, ambos precisam estar identificados.

Se a empresa processa dados para publicidade direcionada ou perfilamento para decisões com efeitos legais ou de significância similar, o aviso precisa descrever isso de forma clara e conspícua, com o procedimento de opt-out acessível (Seção 5(4)(h)).

Publicidade direcionada, conforme a Seção 1(19), são anúncios baseados em dados coletados das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados. Anúncios contextuais baseados na sessão atual não se enquadram nessa definição.

Se o site usa Meta Pixel, Google Ads, TikTok Pixel ou qualquer ferramenta de mídia programática, você está operando publicidade direcionada e precisa divulgar isso explicitamente.

O aviso precisa descrever o método ou métodos que o controlador estabeleceu para o consumidor submeter solicitações de exercício de direitos (Seção 5(4)(i)).

Conforme a Seção 5(5), esse método precisa:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir segurança e confiabilidade nas comunicações.

Permitir autenticação da identidade do consumidor.

Fornecer link claro e conspícuo para opt-out de publicidade direcionada.

A partir de 1º de janeiro de 2026, também é obrigatório honrar sinais de opt-out universal, como o Global Privacy Control (GPC), desde que atendam a requisitos técnicos específicos (Seção 5(5)(c)).

Não exigir que o consumidor crie uma nova conta. A empresa pode exigir uso de conta existente, mas não pode obrigar cadastro novo.

Se a empresa vende dados pessoais ou os processa para publicidade direcionada, a Seção 5(4)(h) exige divulgação clara e conspícua na Política de Privacidade, junto com o procedimento de opt-out.

O relatório do primeiro ano de enforcement identificou que muitas empresas não estavam oferecendo o direito de listar os terceiros que receberam os dados dos consumidores. Esse foi o direito mais frequentemente negado no Oregon durante o primeiro ano.

Dados sensíveis têm tratamento especial e precisam ser identificados especificamente na Política.

Se a empresa coleta qualquer dado dessa categoria, a Política precisa:

Identificar explicitamente que dados sensíveis são coletados.

Descrever a finalidade específica do processamento de cada categoria.

Explicar como o consentimento do consumidor é obtido antes do processamento.

Detalhar como esse consentimento pode ser revogado, respeitando o prazo de 15 dias para cessação após revogação (Seção 5(1)(d)).

Para dados de crianças menores de 13 anos, a empresa precisa cumprir os requisitos da COPPA, conforme a Seção 5(2)(b) da OCPA.

A Seção 5(2)(c) proíbe processar dados de consumidores de 13 a 15 anos para publicidade direcionada, perfilamento para decisões com efeitos legais, ou venda de dados sem o consentimento desses consumidores, quando o controlador tem conhecimento real dessa faixa etária.

A partir de 1º de janeiro de 2026, a proteção foi ampliada: proibição de vender dados de menores de 16 anos e de usar dados de menores de 16 anos para publicidade direcionada e certos tipos de perfilamento.

A Política de Privacidade precisa refletir essas proteções se a empresa pode atingir esse público.

A Seção 8 exige que os controladores conduzam e documentem Data Protection Assessments para atividades de alto risco, incluindo publicidade direcionada, venda de dados, perfilamento com risco previsível de dano, e processamento de dados sensíveis.

As avaliações não precisam ser publicadas na Política, mas precisam ser documentadas, mantidas por pelo menos cinco anos (Seção 8(6)), e disponíveis ao Attorney General mediante solicitação. São confidenciais e isentas de divulgação pública (Seção 8(7)).

A Política deve mencionar que a empresa conduz avaliações de impacto para atividades de alto risco como parte de seu programa de conformidade.

A Seção 5(2)(d) proíbe expressamente que a empresa discrimine consumidores que exercem seus direitos. Isso inclui negar produtos ou serviços, cobrar preços diferentes, ou oferecer qualidade inferior como consequência.

A exceção são programas voluntários de fidelidade, recompensas, funcionalidades premium, descontos ou cartões de clube que oferecem benefícios em troca do uso de dados, desde que o consumidor participe voluntariamente (Seção 5(3)(b)).

Até 1º de janeiro de 2026, o Attorney General precisava notificar a empresa e conceder 30 dias para correção antes de iniciar ação formal.

A partir de 1º de janeiro de 2026, esse período de cura foi eliminado. O AG pode iniciar ação diretamente, sem aviso prévio (Seção 11 da OCPA).

Uma Política de Privacidade incompleta é uma das violações mais fáceis de identificar. Adequar o documento antes de uma investigação era eficiente quando o cure period existia. Agora, é a única forma de se proteger.

A AdOpt garante que o que está escrito na Política tem correspondência real com o que acontece no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros que precisam estar no documento. A plataforma de gestão de consentimentos garante que o mecanismo de consentimento e opt-out funciona conforme descrito, incluindo o reconhecimento automático do GPC a partir de janeiro de 2026 e o processamento de revogações dentro de 15 dias.

O registro de cada interação fica documentado. Se o Attorney General pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Privacidade do seu site em conformidade com a OCPA? Fale com a nossa equipe.

Link visível e acessível em todas as páginas do site.

Categorias de dados pessoais processados, com menção explícita a dados sensíveis e dados derivados (Seção 5(4)(a)).

Finalidade do processamento para cada categoria, sem descrições vagas (Seção 5(4)(b)).

Como exercer todos os direitos L.O.C.K.E.D. com processo, canal e prazo de 45 dias (Seção 5(4)(c)).

Processo de apelação com prazo de 45 dias e informação sobre o Attorney General (Seção 4(6)).

Todas as categorias de dados compartilhados com terceiros, incluindo dados sensíveis (Seção 5(4)(d)).

Categorias de terceiros com nível de detalhe sobre tipo de entidade e como pode processar (Seção 5(4)(e)).

E-mail ativo ou mecanismo online monitorado ativamente pelo controlador (Seção 5(4)(f)).

Identificação completa do controlador, incluindo nome fictício se aplicável (Seção 5(4)(g)).

Descrição de publicidade direcionada ou venda de dados com opt-out acessível (Seção 5(4)(h)).

Método de submissão de solicitações descrito, sem exigência de nova conta (Seção 5(4)(i) e 5(5)).

Reconhecimento do GPC a partir de janeiro de 2026 (Seção 5(5)(c)).

Prazo de 15 dias para honrar revogação de consentimento (Seção 5(1)(d)).

Proteção para adolescentes de 13 a 15 anos com exigência de consentimento (Seção 5(2)(c)).

Proibição de venda e publicidade direcionada para menores de 16 anos a partir de janeiro de 2026.

Política de não discriminação para consumidores que exercem direitos (Seção 5(2)(d)).

Menção a Data Protection Assessments para atividades de alto risco (Seção 8).

1. Por que a OCPA exige que o canal de contato seja monitorado ativamente?
A Seção 5(4)(f) exige especificamente que o controlador especifique um e-mail ou outro método online que o controlador "ativamente monitora". Isso distingue a OCPA de outras leis estaduais que exigem apenas um canal disponível. O relatório de enforcement de 2025 identificou formulários de solicitação de direitos inacessíveis ou não funcionais como um dos problemas mais frequentes encontrados nas investigações, o que confirma que o AG verifica se os canais realmente funcionam.

2. O que são dados derivados e por que a OCPA inclui eles no conceito de dado pessoal?
Dados derivados são dados criados ou inferidos a partir de outros dados do consumidor. Perfis de marketing, scores de propensão, classificações de segmento de audiência. A OCPA inclui dados derivados na definição de dado pessoal (Seção 1(13)) explicitamente, o que significa que quando o consumidor solicita cópia ou exclusão de seus dados, esses dados derivados também estão no escopo. O relatório de enforcement identificou que empresas não estavam incluindo dados de "back-end" nas respostas às solicitações, o que configura violação.

3. Por que a OCPA exige mais detalhe sobre terceiros do que outras leis estaduais?
A Seção 5(4)(e) determina que a descrição das categorias de terceiros seja em "nível de detalhe que permita ao consumidor entender que tipo de entidade cada terceiro é e, na medida do possível, como cada terceiro pode processar os dados." Isso vai além do que leis como a VCDPA exigem, que pedem apenas categorias de terceiros sem o nível de detalhe sobre como processam. Na prática, "parceiros de negócios" não é suficiente. O consumidor precisa entender o que acontece com seus dados depois do compartilhamento.

4. O que acontece com os dados sensíveis se o consumidor revogar o consentimento?
A Seção 5(1)(d) exige que o controlador forneça mecanismo de revogação pelo menos tão fácil quanto o de consentimento. Após a revogação, o controlador deve cessar o processamento o mais rápido possível, mas no máximo em 15 dias. Esse prazo de 15 dias é um dos diferenciais da OCPA. A Política de Privacidade deve informar esse prazo ao consumidor para que ele saiba o que esperar.

5. Como a eliminação do cure period afeta a urgência de adequar a Política de Privacidade?
Antes de janeiro de 2026, o AG era obrigado a notificar a empresa e conceder 30 dias para correção antes de qualquer ação formal. Com a eliminação desse período pela Seção 11 da OCPA, o AG pode iniciar ação diretamente. Uma Política de Privacidade incompleta que antes poderia ser corrigida após notificação agora representa risco imediato de penalidades de até US$ 7.500 por violação. Cada consumidor afetado pode ser contado como violação separada.

Tá na AdOpt, tá bem.

Pronto para estruturar a Política de Privacidade do seu site em conformidade com a OCPA? Fale com a nossa equipe.