Lista de Verificación de Cumplimiento de la OCPA para Empresas de Oregón

Las empresas sujetas a la Ley de Privacidad del Consumidor de Oregón (OCPA), codificada en ORS 646A.570 a 646A.589, deben realizar una prueba de aplicabilidad, publicar un aviso de privacidad conforme, obtener consentimiento previo antes de procesar datos sensibles, reconocer una señal de exclusión voluntaria universal a partir del 1 de enero de 2026, completar evaluaciones de protección de datos para el procesamiento de alto riesgo, firmar contratos con encargados del procesamiento y crear un mecanismo para divulgar los terceros específicos que recibieron los datos de un consumidor. Esta lista de verificación recorre cada paso a partir de 2026.

Los riesgos de cumplimiento aumentaron en 2026. El derecho de subsanación de 30 días en el que se apoyaban los controladores hasta 2025 terminó el 1 de enero de 2026 para todo controlador, salvo una clase reducida de emisoras públicas, por lo que el Fiscal General de Oregón ya puede iniciar una acción contra una empresa ordinaria sin ofrecer primero una ventana garantizada para corregir el problema. Las sanciones civiles alcanzan hasta $7,500 por infracción según ORS 646A.589.

Alcance jurisdiccional: Esto cubre la Ley de Privacidad del Consumidor de Oregón (ORS 646A.570 a 646A.589). Es información legal general, no asesoría legal.

Paso 1: Realice la prueba de aplicabilidad

La primera tarea es determinar si la OCPA aplica en absoluto. Según ORS 646A.572(1), la ley cubre a una persona que hace negocios en Oregón, o que proporciona productos o servicios a residentes de Oregón, y que durante un año calendario controla o procesa los datos personales de 100,000 o más consumidores, o de 25,000 o más consumidores mientras obtiene el 25 por ciento o más de sus ingresos brutos anuales de la venta de datos personales.

La característica definitoria de esta prueba es que no utiliza ningún umbral mínimo de ingresos en dólares. A diferencia de Utah y Virginia, Oregón no exige que una empresa supere un umbral mínimo de ingresos antes de que la ley se aplique. Una empresa que cumple con el conteo de 100,000 consumidores está cubierta sin importar cuán grandes o pequeños sean sus ingresos. Una industria está cubierta sin importar esos conteos, pero solo por un motivo específico. Según ORS 646A.572(1)(b), añadido por la HB 3875 (2025) y vigente a partir del nonagésimo primer día después de que la sesión regular de 2025 concluyera sine die, la OCPA aplica, sin importar los umbrales numéricos, a un fabricante de vehículos motorizados, y a cualquier afiliado de un fabricante de vehículos motorizados, que controle o procese cualquier dato personal obtenido del uso que un consumidor haga de un vehículo motorizado o de cualquier componente del vehículo. Esa cobertura permanece sujeta a las exenciones de ORS 646A.572(2) y (3), y se aplica a los datos derivados del vehículo, no a cualquier dato de Oregón que un fabricante de automóviles llegue a tener. La descripción general de la OCPA de Oregón explica por qué esta amplia red incluye a empresas que escapan de la cobertura bajo varias leyes estatales similares.

Al contar los consumidores hacia el umbral de 100,000, excluya los datos controlados o procesados "únicamente con el fin de completar una transacción de pago" según ORS 646A.572(1)(a). Una empresa también debe revisar la lista de exenciones en ORS 646A.572(2), pero no debe asumir que un solo estatus regulatorio elimina a toda la organización. Las exenciones de Oregón son más limitadas que las de la mayoría de los estados en algunos aspectos: la información de salud protegida cubierta por HIPAA está exenta solo a nivel de datos según ORS 646A.572(2)(b), sin una exención general para las entidades de atención médica, y la mayoría de las organizaciones sin fines de lucro están cubiertas en lugar de exentas, razón por la cual las organizaciones sin fines de lucro obtuvieron una fecha de vigencia retrasada al 1 de julio de 2025. La GLBA es diferente. ORS 646A.572(2) exime los datos que cumplen con la GLBA a nivel de datos y otorga por separado una exención completa a nivel de entidad a las instituciones financieras y sus afiliadas y subsidiarias dedicadas a actividades financieras.

Paso 2: Publique un aviso de privacidad conforme

Según ORS 646A.578, un controlador cubierto debe proporcionar a los consumidores un aviso de privacidad razonablemente accesible, claro y significativo. El aviso debe describir las categorías de datos personales que procesa el controlador, los propósitos del procesamiento, cómo un consumidor puede ejercer sus derechos y apelar una decisión, las categorías de datos personales que el controlador comparte con terceros y las categorías de esos terceros.

El aviso también debe identificar si el controlador vende datos personales o los procesa para publicidad dirigida, y debe explicar cómo un consumidor puede excluirse de esas actividades. A partir del 1 de enero de 2026, el aviso debe reflejar que el controlador reconoce un mecanismo de exclusión voluntaria universal. Mantenga el aviso actualizado: cuando las prácticas de procesamiento cambien de manera significativa, el aviso debe actualizarse para reflejarlo.

Paso 3: Obtenga consentimiento previo para datos sensibles

Oregón exige el consentimiento afirmativo y previo antes de que un controlador pueda procesar datos sensibles. Según ORS 646A.578, un controlador no puede procesar datos sensibles sobre un consumidor sin obtener primero el consentimiento del consumidor, y para los datos de un menor conocido, debe procesar esos datos conforme a la Ley federal de Protección de la Privacidad Infantil en Línea.

La razón por la que este paso exige atención es la amplitud de la definición de datos sensibles de Oregón. Según ORS 646A.570(18), los datos sensibles incluyen datos que revelan origen racial o étnico, origen nacional, creencias religiosas, condición o diagnóstico mental o físico, orientación sexual, estatus como persona transgénero o no binaria, estatus como víctima de un delito y estatus de ciudadanía o migratorio. También cubre los datos personales de un menor, datos genéticos o biométricos y la geolocalización precisa dentro de 1,750 pies. La inclusión expresa del estatus transgénero o no binario, el estatus de víctima de delito y el estatus migratorio hace que la puerta de Oregón sea más amplia que la de muchos estados. El consentimiento debe ser un acto afirmativo claro; las casillas premarcadas y el consentimiento inferido no califican.

Dos categorías tienen una regla más estricta que el consentimiento. Desde el 1 de enero de 2026, ORS 646A.578(2)(d), añadido por la HB 2008 (2025), prohíbe la venta de datos personales por completo cuando el controlador sabe, o desestima deliberadamente, que el consumidor es menor de 16 años, prohíbe procesar los datos de un consumidor menor de 16 años para publicidad dirigida o perfilamiento según ORS 646A.578(2)(c), y prohíbe la venta de datos de geolocalización precisa (con exactitud dentro de un radio de 1,750 pies). El consentimiento no permite estas ventas; son prohibiciones absolutas, no puertas de consentimiento como el resto de este paso.

Paso 4: Reconozca el mecanismo de exclusión voluntaria universal para el 1 de enero de 2026

Un controlador que procesa datos personales para publicidad dirigida o que vende datos personales debe permitir que los consumidores se excluyan mediante un mecanismo de exclusión voluntaria universal a partir del 1 de enero de 2026, según ORS 646A.578. Se trata de una señal a nivel de navegador o de dispositivo que comunica la elección del consumidor sin que este tenga que visitar a cada controlador individualmente.

El Control de Privacidad Global (GPC) es el ejemplo principal, y el Departamento de Justicia de Oregón lo ha identificado como una señal calificada. El mecanismo debe reflejar la elección afirmativa y voluntaria del consumidor, en lugar de una configuración predeterminada. Para cumplir, un controlador debe crear la capacidad técnica para detectar una señal calificada y tratarla como una exclusión voluntaria válida de la publicidad dirigida y la venta. La guía de derechos del consumidor bajo la OCPA cubre cómo esta señal interactúa con las solicitudes individuales de exclusión voluntaria.

Paso 5: Complete las evaluaciones de protección de datos

Según ORS 646A.586, un controlador debe realizar y documentar una evaluación de protección de datos para cada actividad de procesamiento que presente un riesgo elevado de daño a un consumidor. El estatuto nombra las categorías de alto riesgo: el procesamiento para publicidad dirigida, la venta de datos personales, el procesamiento de datos sensibles y cierto perfilamiento, específicamente el perfilamiento que presenta un riesgo razonablemente previsible de trato injusto o engañoso hacia los consumidores, o impacto dispar ilícito sobre ellos; lesión financiera, física o reputacional; intrusión en la soledad, el aislamiento o los asuntos privados de un consumidor que resultaría ofensiva para una persona razonable; u otro daño sustancial.

La evaluación debe sopesar los beneficios del procesamiento frente a los riesgos para el consumidor, atenuados por las salvaguardas que el controlador puede utilizar. El controlador debe conservar la evaluación y ponerla a disposición del Fiscal General de Oregón cuando este la solicite en relación con una investigación. Las evaluaciones se aplican a las actividades de procesamiento realizadas a partir de la fecha de vigencia de la ley y no son retroactivas. Debido a que el Fiscal General puede exigirlas durante una investigación, las evaluaciones funcionan tanto como una obligación de cumplimiento como una posible evidencia de aplicación.

Paso 6: Firme contratos con los encargados del procesamiento

Según ORS 646A.581, un controlador que contrata a un encargado del procesamiento para manejar datos personales en su nombre debe hacerlo mediante un contrato vinculante. El contrato debe establecer las instrucciones de procesamiento, la naturaleza y el propósito del procesamiento, el tipo de datos sujetos al procesamiento, la duración del procesamiento y los derechos y obligaciones de ambas partes.

El contrato también debe exigir que el encargado garantice que cada persona que procese los datos esté sujeta a un deber de confidencialidad, que elimine o devuelva los datos personales al final del acuerdo, que ponga a disposición la información necesaria para demostrar el cumplimiento, que permita y coopere con evaluaciones razonables, y que contrate subcontratistas solo bajo un contrato escrito que imponga las mismas obligaciones. Un controlador que comparte datos con proveedores sin estos términos contractuales vigentes tiene una brecha de cumplimiento sobre la que el Fiscal General puede actuar.

Paso 7: Cree el mecanismo de la lista de terceros específicos

La obligación distintiva de Oregón es el deber de divulgar terceros específicos. Según ORS 646A.574(1)(a)(B), un consumidor puede solicitar una lista de los terceros específicos, que no sean personas naturales, a los que el controlador haya divulgado los datos personales del consumidor, o, a opción del controlador, cualquier dato personal. Se trata de una divulgación de entidades nombradas, no de la divulgación a nivel de categoría que exigen la mayoría de las leyes estatales.

Para satisfacer esto, un controlador debe mantener registros de las divulgaciones a nivel de destinatarios identificables, no solo de grupos amplios como "socios publicitarios". Esta es una de las capacidades más difíciles de implementar de la OCPA, porque exige rastrear qué organizaciones específicas recibieron datos personales. Construir esta capacidad desde el principio, incluyendo un mapa de datos de los destinatarios y un flujo de trabajo para generar la lista a solicitud, es el núcleo práctico de la preparación para la OCPA en este punto. La descripción general de la OCPA explica por qué Oregón lideró con este derecho y por qué sigue siendo poco común.

Aplicación ahora que el período de subsanación expiró

La aplicación de la OCPA pertenece exclusivamente al Fiscal General de Oregón, actuando a través del Departamento de Justicia de Oregón. Según ORS 646A.589(7), el Fiscal General "tiene autoridad exclusiva para hacer cumplir" la OCPA, y el estatuto no crea un derecho de acción privado. Ningún consumidor puede demandar directamente a una empresa cubierta bajo la OCPA, sin importar cuán clara sea la infracción.

El cambio más importante de 2026 es el fin del período de subsanación garantizado. Hasta 2025, ORS 646A.589 exigía que el Fiscal General, antes de iniciar una acción, notificara al controlador y le concediera 30 días para corregir la infracción, pero solo cuando el Fiscal General determinara primero que la infracción era subsanable. No era un período de gracia automático para toda infracción. Esa disposición de subsanación expiró el 1 de enero de 2026. A partir de 2026, el Fiscal General aún puede optar por permitir que un controlador corrija un problema, pero ya no está obligado a ofrecer una ventana de 30 días. Un controlador ya no puede asumir que obtendrá un período de gracia antes de la aplicación.

Una excepción limitada sobrevive más allá de esa fecha. Las secciones 4 a 6, capítulo 417, Leyes de Oregón de 2025, impresas como nota a ORS 646A.589, mantienen vigente un requisito de aviso y subsanación de 30 días después del 1 de enero de 2026 para un controlador que sea una estación de radiodifusión educativa no comercial, según se define en 47 U.S.C. 397, que reciba financiamiento de la Corporation for Public Broadcasting o que sea un punto de entrada primario, primario nacional o primario estatal según 47 C.F.R. 11.18, y que distribuya su contenido periodístico sin costo para los destinatarios. La sección 6 deroga esa excepción el 1 de julio de 2026, después de lo cual ningún controlador tiene un período de subsanación garantizado.

Las sanciones civiles alcanzan hasta $7,500 por cada infracción según ORS 646A.589(4)(a). La estructura por infracción significa que una falla sistémica que afecte a muchos consumidores, como ignorar solicitudes de eliminación a gran escala o vender datos sensibles sin consentimiento, puede acumularse rápidamente. El Departamento de Justicia de Oregón también publica informes de aplicación que describen las brechas de cumplimiento más comunes que observa, los cuales las empresas pueden utilizar para priorizar sus propios programas.

Lista de verificación de cumplimiento de la OCPA de un vistazo

Más Leyes de Oregón

• Leyes de Grabación de Reuniones con IA de Oregón
• Leyes de Pensión Alimenticia de Oregón
• Leyes de Empleo a Voluntad de Oregón
• Leyes de Accidentes de Auto de Oregón
• Leyes de Asientos de Auto para Niños de Oregón
• Leyes de Custodia de Menores de Oregón
• Leyes de Manutención Infantil de Oregón
• Leyes de Matrimonio de Hecho de Oregón
• Leyes sobre Deepfakes de Oregón
• Leyes de Divorcio de Oregón
• Leyes sobre Mordeduras de Perro de Oregón
• Leyes de Emancipación de Oregón
• Leyes de Eliminación de Antecedentes Penales de Oregón
• Leyes sobre Choque y Fuga de Oregón
• Leyes de Propietarios e Inquilinos de Oregón
• Leyes de Vehículos Defectuosos (Ley del Limón) de Oregón

Guías relacionadas

• Leyes de privacidad de datos de Oregón página principal
• ¿Qué es la OCPA?
• Derechos del consumidor bajo la OCPA
• Comparación de leyes estatales de privacidad de datos
• ¿Qué es la CCPA?

Preguntas frecuentes

¿Cómo sé si mi empresa está sujeta a la OCPA?

Aplique la prueba de ORS 646A.572(1). La OCPA cubre a cualquier persona que haga negocios en Oregón o que atienda a residentes de Oregón que, durante un año calendario, controle o procese los datos personales de 100,000 o más consumidores, o de 25,000 o más consumidores mientras obtiene el 25 por ciento o más de sus ingresos brutos anuales de la venta de datos personales. Oregón no utiliza ningún umbral de ingresos en dólares, por lo que una empresa puede estar cubierta solo por volumen de datos. Excluya los datos utilizados únicamente para completar una transacción de pago al contar hacia el umbral de 100,000. Una regla aplica sin importar estos umbrales. Según ORS 646A.572(1)(b), añadido por la HB 3875 (2025), la OCPA aplica a un fabricante de vehículos motorizados, y a cualquier afiliado de un fabricante de vehículos motorizados, que controle o procese cualquier dato personal obtenido del uso que un consumidor haga de un vehículo motorizado o de cualquier componente del vehículo, sujeto a las exenciones de ORS 646A.572(2) y (3). El detonante es el dato derivado del vehículo, no simplemente ser fabricante de automóviles.

¿La OCPA exime a las instituciones financieras y a las organizaciones sin fines de lucro?

No tan ampliamente como la mayoría de los estados en el caso de HIPAA. Según ORS 646A.572(2), Oregón exime la información de salud protegida cubierta por HIPAA solo a nivel de datos, sin una exención general para las entidades de atención médica, y cubre a la mayoría de las organizaciones sin fines de lucro en lugar de eximirlas. La GLBA se trata de manera más amplia: Oregón exime los datos que cumplen con la GLBA a nivel de datos y también otorga una exención completa a nivel de entidad a las instituciones financieras y sus afiliadas y subsidiarias dedicadas a actividades financieras. Solo categorías limitadas de organizaciones sin fines de lucro, como una que detecta fraude de seguros, están excluidas. Debido a que la mayoría de las organizaciones sin fines de lucro están cubiertas, la legislatura les otorgó una fecha de vigencia retrasada al 1 de julio de 2025. Compare cada conjunto de datos y entidad con la lista de exenciones en lugar de asumir que un solo estatus elimina a toda la organización.

¿Cuándo debe mi empresa respetar una señal de exclusión voluntaria universal?

A partir del 1 de enero de 2026. Según ORS 646A.578, un controlador que procesa datos personales para publicidad dirigida o que vende datos personales debe permitir que los consumidores se excluyan mediante un mecanismo de exclusión voluntaria universal. El Departamento de Justicia de Oregón ha identificado al Control de Privacidad Global como una señal calificada. Para cumplir, cree la capacidad técnica para detectar la señal y tratarla como una exclusión voluntaria válida de la publicidad dirigida y la venta. La señal debe reflejar la elección afirmativa del consumidor, no una configuración predeterminada del navegador.

¿Qué debo construir para cumplir con el derecho a la lista de terceros específicos?

Según ORS 646A.574(1)(a)(B), un consumidor puede solicitar una lista de los terceros específicos y nombrados, que no sean personas naturales, a los que usted haya divulgado sus datos personales, o, a su opción, cualquier dato personal. A diferencia de la divulgación a nivel de categoría que exige la mayoría de los estados, esto exige rastrear las divulgaciones a nivel de destinatarios identificables. Para cumplir, mantenga un mapa de datos de qué organizaciones específicas recibieron datos personales y cree un flujo de trabajo que pueda generar la lista cuando un consumidor lo solicite. Esta es una de las capacidades más difíciles de implementar de la OCPA.

¿Cuándo se requieren evaluaciones de protección de datos según la OCPA?

Según ORS 646A.586, un controlador debe realizar y documentar una evaluación de protección de datos para cada actividad de procesamiento que presente un riesgo elevado de daño. Las categorías de alto riesgo nombradas son el procesamiento para publicidad dirigida, la venta de datos personales, el procesamiento de datos sensibles y cierto perfilamiento que arriesga un trato injusto o engañoso o impacto dispar ilícito, lesión financiera, física o reputacional, o intrusión en la soledad, el aislamiento o los asuntos privados de un consumidor. La evaluación debe sopesar los beneficios frente a los riesgos, y el Fiscal General puede solicitarla durante una investigación. Las evaluaciones no son retroactivas.

¿Qué cambió en la aplicación de la OCPA en 2026?

El derecho de subsanación de 30 días terminó el 1 de enero de 2026. Hasta 2025, el Fiscal General de Oregón tenía que notificar a un controlador y concederle 30 días para corregir una infracción antes de iniciar una acción, pero solo cuando el Fiscal General determinara primero que la infracción era subsanable. No era un período de gracia automático para toda infracción. A partir de 2026, esa ventana garantizada desapareció para las empresas ordinarias. El Fiscal General aún puede optar por permitir una subsanación, pero ya no está obligado a ofrecerla, por lo que una empresa ya no puede contar con un período de gracia antes de la aplicación. Una excepción limitada sobrevive: según las secciones 4 a 6, capítulo 417, Leyes de Oregón de 2025, un requisito de aviso y subsanación de 30 días sigue aplicando a un controlador que sea una estación de radiodifusión educativa no comercial que califique según 47 U.S.C. 397, y esa excepción es derogada a su vez el 1 de julio de 2026. Las sanciones civiles alcanzan hasta $7,500 por infracción según ORS 646A.589(4)(a).

¿Cuáles son las sanciones por infringir la OCPA?

Según ORS 646A.589(4)(a), el Fiscal General de Oregón puede buscar una sanción civil de hasta $7,500 por cada infracción. La estructura por infracción significa que una falla sistémica que afecte a muchos consumidores puede acumularse rápidamente. La aplicación es exclusiva del Fiscal General según ORS 646A.589(7); no existe derecho de acción privado, por lo que los consumidores no pueden demandar directamente a las empresas, pero pueden presentar quejas ante el Departamento de Justicia de Oregón, que puede investigar y buscar sanciones.

¿Necesito un contrato con mis encargados del procesamiento de datos?

Sí. Según ORS 646A.581, un controlador que utiliza un encargado del procesamiento debe tener un contrato vinculante que establezca las instrucciones de procesamiento, la naturaleza, el propósito, los tipos de datos y la duración, y que imponga obligaciones como confidencialidad, eliminación o devolución de datos al final del acuerdo, cooperación con evaluaciones y términos que se extiendan a cualquier subcontratista. Compartir datos personales con un proveedor sin estos términos contractuales vigentes es una brecha de cumplimiento sobre la que el Fiscal General puede actuar.