Oregon
Lista de Verificación de Cumplimiento de la OCPA para Empresas de Oregón
Verificado de forma independiente contra fuentes primarias (última auditoría: 15 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 8 de agosto de 2026. · 3 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Las empresas sujetas a la Ley de Privacidad del Consumidor de Oregón (OCPA), codificada en ORS 646A.570 a 646A.589, deben realizar una prueba de aplicabilidad, publicar un aviso de privacidad conforme, obtener consentimiento previo antes de procesar datos sensibles, reconocer una señal de exclusión voluntaria universal a partir del 1 de enero de 2026, completar evaluaciones de protección de datos para el procesamiento de alto riesgo, firmar contratos con encargados del procesamiento y crear un mecanismo para divulgar los terceros específicos que recibieron los datos de un consumidor. Esta lista de verificación recorre cada paso a partir de 2026.
Los riesgos de cumplimiento aumentaron en 2026. El derecho de subsanación de 30 días en el que se apoyaban los controladores hasta 2025 expiró el 1 de enero de 2026, por lo que el Fiscal General de Oregón ahora puede iniciar una acción sin ofrecer primero una ventana garantizada para corregir el problema. Las sanciones civiles alcanzan hasta $7,500 por infracción según .
Alcance jurisdiccional: Esto cubre la Ley de Privacidad del Consumidor de Oregón (ORS 646A.570 a 646A.589). Es información legal general, no asesoría legal.
Paso 1: Realice la prueba de aplicabilidad
La primera tarea es determinar si la OCPA aplica en absoluto. Según ORS 646A.572(1), la ley cubre a una persona que hace negocios en Oregón, o que proporciona productos o servicios a residentes de Oregón, y que durante un año calendario controla o procesa los datos personales de 100,000 o más consumidores, o de 25,000 o más consumidores mientras obtiene el 25 por ciento o más de sus ingresos brutos anuales de la venta de datos personales.
La característica definitoria de esta prueba es que no utiliza ningún umbral mínimo de ingresos en dólares. A diferencia de Utah y Virginia, Oregón no exige que una empresa supere un umbral mínimo de ingresos antes de que la ley se aplique. Una empresa que cumple con el conteo de 100,000 consumidores está cubierta sin importar cuán grandes o pequeños sean sus ingresos. Una industria no tiene ningún umbral en absoluto: bajo la HB 3875 (2025), vigente desde el 26 de septiembre de 2025, todo fabricante de automóviles debe cumplir con la OCPA sin importar cuántos datos de consumidores de Oregón posea. La descripción general de la OCPA de Oregón explica por qué esta amplia red incluye a empresas que escapan de la cobertura bajo varias leyes estatales similares.
Al contar los consumidores hacia el umbral de 100,000, excluya los datos controlados o procesados "únicamente con el fin de completar una transacción de pago" según ORS 646A.572(1)(a). Una empresa también debe revisar la lista de exenciones en ORS 646A.572(2), pero no debe asumir que un solo estatus regulatorio elimina a toda la organización. Las exenciones de Oregón son más limitadas que las de la mayoría de los estados en algunos aspectos: la información de salud protegida cubierta por HIPAA está exenta solo a nivel de datos según ORS 646A.572(2)(b), sin una exención general para las entidades de atención médica, y la mayoría de las organizaciones sin fines de lucro están cubiertas en lugar de exentas, razón por la cual las organizaciones sin fines de lucro obtuvieron una fecha de vigencia retrasada al 1 de julio de 2025. La GLBA es diferente. ORS 646A.572(2) exime los datos que cumplen con la GLBA a nivel de datos y otorga por separado una exención completa a nivel de entidad a las instituciones financieras y sus afiliadas y subsidiarias dedicadas a actividades financieras.
Paso 2: Publique un aviso de privacidad conforme
Según , un controlador cubierto debe proporcionar a los consumidores un aviso de privacidad razonablemente accesible, claro y significativo. El aviso debe describir las categorías de datos personales que procesa el controlador, los propósitos del procesamiento, cómo un consumidor puede ejercer sus derechos y apelar una decisión, las categorías de datos personales que el controlador comparte con terceros y las categorías de esos terceros.
El aviso también debe identificar si el controlador vende datos personales o los procesa para publicidad dirigida, y debe explicar cómo un consumidor puede excluirse de esas actividades. A partir del 1 de enero de 2026, el aviso debe reflejar que el controlador reconoce un mecanismo de exclusión voluntaria universal. Mantenga el aviso actualizado: cuando las prácticas de procesamiento cambien de manera significativa, el aviso debe actualizarse para reflejarlo.
Paso 3: Obtenga consentimiento previo para datos sensibles
Oregón exige el consentimiento afirmativo y previo antes de que un controlador pueda procesar datos sensibles. Según , un controlador no puede procesar datos sensibles sobre un consumidor sin obtener primero el consentimiento del consumidor, y para los datos de un menor conocido, debe procesar esos datos conforme a la Ley federal de Protección de la Privacidad Infantil en Línea.
La razón por la que este paso exige atención es la amplitud de la definición de datos sensibles de Oregón. Según ORS 646A.570(18), los datos sensibles incluyen datos que revelan origen racial o étnico, origen nacional, creencias religiosas, condición o diagnóstico mental o físico, orientación sexual, estatus como persona transgénero o no binaria, estatus como víctima de un delito y estatus de ciudadanía o migratorio. También cubre los datos personales de un menor, datos genéticos o biométricos y la geolocalización precisa dentro de 1,750 pies. La inclusión expresa del estatus transgénero o no binario, el estatus de víctima de delito y el estatus migratorio hace que la puerta de Oregón sea más amplia que la de muchos estados. El consentimiento debe ser un acto afirmativo claro; las casillas premarcadas y el consentimiento inferido no califican.
Dos categorías tienen una regla más estricta que el consentimiento. Desde el 1 de enero de 2026, ORS 646A.578(2)(d), añadido por la HB 2008 (2025), prohíbe la venta de datos personales por completo cuando el controlador sabe, o desestima deliberadamente, que el consumidor es menor de 16 años, prohíbe procesar los datos de un consumidor menor de 16 años para publicidad dirigida o perfilamiento según ORS 646A.578(2)(c), y prohíbe la venta de datos de geolocalización precisa (con exactitud dentro de un radio de 1,750 pies). El consentimiento no permite estas ventas; son prohibiciones absolutas, no puertas de consentimiento como el resto de este paso.
Paso 4: Reconozca el mecanismo de exclusión voluntaria universal para el 1 de enero de 2026
Un controlador que procesa datos personales para publicidad dirigida o que vende datos personales debe permitir que los consumidores se excluyan mediante un mecanismo de exclusión voluntaria universal a partir del 1 de enero de 2026, según ORS 646A.578. Se trata de una señal a nivel de navegador o de dispositivo que comunica la elección del consumidor sin que este tenga que visitar a cada controlador individualmente.
El Control de Privacidad Global (GPC) es el ejemplo principal, y el Departamento de Justicia de Oregón lo ha identificado como una señal calificada. El mecanismo debe reflejar la elección afirmativa y voluntaria del consumidor, en lugar de una configuración predeterminada. Para cumplir, un controlador debe crear la capacidad técnica para detectar una señal calificada y tratarla como una exclusión voluntaria válida de la publicidad dirigida y la venta. La guía de derechos del consumidor bajo la OCPA cubre cómo esta señal interactúa con las solicitudes individuales de exclusión voluntaria.
Paso 5: Complete las evaluaciones de protección de datos
Según ORS 646A.586, un controlador debe realizar y documentar una evaluación de protección de datos para cada actividad de procesamiento que presente un riesgo elevado de daño a un consumidor. El estatuto nombra las categorías de alto riesgo: el procesamiento para publicidad dirigida, la venta de datos personales, el procesamiento de datos sensibles y cierto perfilamiento, específicamente el perfilamiento que presenta un riesgo razonablemente previsible de trato injusto o engañoso hacia los consumidores, o impacto dispar ilícito sobre ellos; lesión financiera, física o reputacional; intrusión en la soledad, el aislamiento o los asuntos privados de un consumidor que resultaría ofensiva para una persona razonable; u otro daño sustancial.
La evaluación debe sopesar los beneficios del procesamiento frente a los riesgos para el consumidor, atenuados por las salvaguardas que el controlador puede utilizar. El controlador debe conservar la evaluación y ponerla a disposición del Fiscal General de Oregón cuando este la solicite en relación con una investigación. Las evaluaciones se aplican a las actividades de procesamiento realizadas a partir de la fecha de vigencia de la ley y no son retroactivas. Debido a que el Fiscal General puede exigirlas durante una investigación, las evaluaciones funcionan tanto como una obligación de cumplimiento como una posible evidencia de aplicación.
Paso 6: Firme contratos con los encargados del procesamiento
Según , un controlador que contrata a un encargado del procesamiento para manejar datos personales en su nombre debe hacerlo mediante un contrato vinculante. El contrato debe establecer las instrucciones de procesamiento, la naturaleza y el propósito del procesamiento, el tipo de datos sujetos al procesamiento, la duración del procesamiento y los derechos y obligaciones de ambas partes.
El contrato también debe exigir que el encargado garantice que cada persona que procese los datos esté sujeta a un deber de confidencialidad, que elimine o devuelva los datos personales al final del acuerdo, que ponga a disposición la información necesaria para demostrar el cumplimiento, que permita y coopere con evaluaciones razonables, y que contrate subcontratistas solo bajo un contrato escrito que imponga las mismas obligaciones. Un controlador que comparte datos con proveedores sin estos términos contractuales vigentes tiene una brecha de cumplimiento sobre la que el Fiscal General puede actuar.
Paso 7: Cree el mecanismo de la lista de terceros específicos
La obligación distintiva de Oregón es el deber de divulgar terceros específicos. Según (1)(a)(B), un consumidor puede solicitar una lista de los terceros específicos, que no sean personas naturales, a los que el controlador haya divulgado los datos personales del consumidor, o, a opción del controlador, cualquier dato personal. Se trata de una divulgación de entidades nombradas, no de la divulgación a nivel de categoría que exigen la mayoría de las leyes estatales.
Para satisfacer esto, un controlador debe mantener registros de las divulgaciones a nivel de destinatarios identificables, no solo de grupos amplios como "socios publicitarios". Esta es una de las capacidades más difíciles de implementar de la OCPA, porque exige rastrear qué organizaciones específicas recibieron datos personales. Construir esta capacidad desde el principio, incluyendo un mapa de datos de los destinatarios y un flujo de trabajo para generar la lista a solicitud, es el núcleo práctico de la preparación para la OCPA en este punto. La descripción general de la OCPA explica por qué Oregón lideró con este derecho y por qué sigue siendo poco común.
Aplicación ahora que el período de subsanación expiró
La aplicación de la OCPA pertenece exclusivamente al Fiscal General de Oregón, actuando a través del Departamento de Justicia de Oregón. Según (7), el Fiscal General "tiene autoridad exclusiva para hacer cumplir" la OCPA, y el estatuto no crea un derecho de acción privado. Ningún consumidor puede demandar directamente a una empresa cubierta bajo la OCPA, sin importar cuán clara sea la infracción.
El cambio más importante de 2026 es el fin del período de subsanación garantizado. Hasta 2025, ORS 646A.589 exigía que el Fiscal General, antes de iniciar una acción, notificara al controlador y le concediera 30 días para corregir la infracción, pero solo cuando el Fiscal General determinara primero que la infracción era subsanable. No era un período de gracia automático para toda infracción. Esa disposición de subsanación expiró el 1 de enero de 2026. A partir de 2026, el Fiscal General aún puede optar por permitir que un controlador corrija un problema, pero ya no está obligado a ofrecer una ventana de 30 días. Un controlador ya no puede asumir que obtendrá un período de gracia antes de la aplicación.
Las sanciones civiles alcanzan hasta $7,500 por cada infracción según ORS 646A.589(4)(a). La estructura por infracción significa que una falla sistémica que afecte a muchos consumidores, como ignorar solicitudes de eliminación a gran escala o vender datos sensibles sin consentimiento, puede acumularse rápidamente. El Departamento de Justicia de Oregón también publica informes de aplicación que describen las brechas de cumplimiento más comunes que observa, los cuales las empresas pueden utilizar para priorizar sus propios programas.
Lista de verificación de cumplimiento de la OCPA de un vistazo
| Paso | Cita ORS | Plazo o nota clave |
|---|---|---|
| Prueba de aplicabilidad | 646A.572(1) | Sin umbral en dólares; 100,000 o 25,000 o más consumidores; los fabricantes de automóviles están cubiertos sin importar los umbrales (HB 3875) |
| Aviso de privacidad | 646A.578 | Divulgar datos, propósitos, derechos, apelaciones |
| Consentimiento previo para datos sensibles | 646A.578, 646A.570(18) | Consentimiento afirmativo antes de procesar |
| Prohibición de venta por geolocalización y menores de 16 años | 646A.578(2)(d) | Venta prohibida por completo desde el 1 de enero de 2026 (HB 2008) |
| Exclusión voluntaria universal | 646A.578 | Reconocer la señal para el 1 de enero de 2026 |
| Evaluaciones de protección de datos | 646A.586 | Procesamiento de alto riesgo; disponible para el Fiscal General |
| Contratos con encargados del procesamiento | 646A.581 | Términos requeridos con cada proveedor |
| Lista de terceros específicos | 646A.574(1)(a)(B) | Rastrear destinatarios nombrados |
| Aplicación | 646A.589 | Subsanación expiró el 1 de enero de 2026; hasta $7,500 por infracción |
Más Leyes de Oregón
- Leyes de Grabación de Reuniones con IA de Oregón
- Leyes de Pensión Alimenticia de Oregón
- Leyes de Empleo a Voluntad de Oregón
- Leyes de Accidentes de Auto de Oregón
- Leyes de Asientos de Auto para Niños de Oregón
- Leyes de Custodia de Menores de Oregón
- Leyes de Manutención Infantil de Oregón
- Leyes de Matrimonio de Hecho de Oregón
- Leyes sobre Deepfakes de Oregón
- Leyes de Divorcio de Oregón
- Leyes sobre Mordeduras de Perro de Oregón
- Leyes de Emancipación de Oregón
- Leyes de Eliminación de Antecedentes Penales de Oregón
- Leyes sobre Choque y Fuga de Oregón
- Leyes de Propietarios e Inquilinos de Oregón
- Leyes de Vehículos Defectuosos (Ley del Limón) de Oregón
Guías relacionadas
Preguntas frecuentes
¿Cómo sé si mi empresa está sujeta a la OCPA?
Aplique la prueba de ORS 646A.572(1). La OCPA cubre a cualquier persona que haga negocios en Oregón o que atienda a residentes de Oregón que, durante un año calendario, controle o procese los datos personales de 100,000 o más consumidores, o de 25,000 o más consumidores mientras obtiene el 25 por ciento o más de sus ingresos brutos anuales de la venta de datos personales. Oregón no utiliza ningún umbral de ingresos en dólares, por lo que una empresa puede estar cubierta solo por volumen de datos. Excluya los datos utilizados únicamente para completar una transacción de pago al contar hacia el umbral de 100,000. Una excepción se aplica sin importar estos umbrales: bajo la HB 3875 (2025), vigente desde el 26 de septiembre de 2025, todo fabricante de automóviles debe cumplir con la OCPA sin importar cuántos datos de consumidores de Oregón posea.
¿La OCPA exime a las instituciones financieras y a las organizaciones sin fines de lucro?
No tan ampliamente como la mayoría de los estados en el caso de HIPAA. Según ORS 646A.572(2), Oregón exime la información de salud protegida cubierta por HIPAA solo a nivel de datos, sin una exención general para las entidades de atención médica, y cubre a la mayoría de las organizaciones sin fines de lucro en lugar de eximirlas. La GLBA se trata de manera más amplia: Oregón exime los datos que cumplen con la GLBA a nivel de datos y también otorga una exención completa a nivel de entidad a las instituciones financieras y sus afiliadas y subsidiarias dedicadas a actividades financieras. Solo categorías limitadas de organizaciones sin fines de lucro, como una que detecta fraude de seguros, están excluidas. Debido a que la mayoría de las organizaciones sin fines de lucro están cubiertas, la legislatura les otorgó una fecha de vigencia retrasada al 1 de julio de 2025. Compare cada conjunto de datos y entidad con la lista de exenciones en lugar de asumir que un solo estatus elimina a toda la organización.
¿Cuándo debe mi empresa respetar una señal de exclusión voluntaria universal?
A partir del 1 de enero de 2026. Según ORS 646A.578, un controlador que procesa datos personales para publicidad dirigida o que vende datos personales debe permitir que los consumidores se excluyan mediante un mecanismo de exclusión voluntaria universal. El Departamento de Justicia de Oregón ha identificado al Control de Privacidad Global como una señal calificada. Para cumplir, cree la capacidad técnica para detectar la señal y tratarla como una exclusión voluntaria válida de la publicidad dirigida y la venta. La señal debe reflejar la elección afirmativa del consumidor, no una configuración predeterminada del navegador.
¿Qué debo construir para cumplir con el derecho a la lista de terceros específicos?
Según ORS 646A.574(1)(a)(B), un consumidor puede solicitar una lista de los terceros específicos y nombrados, que no sean personas naturales, a los que usted haya divulgado sus datos personales, o, a su opción, cualquier dato personal. A diferencia de la divulgación a nivel de categoría que exige la mayoría de los estados, esto exige rastrear las divulgaciones a nivel de destinatarios identificables. Para cumplir, mantenga un mapa de datos de qué organizaciones específicas recibieron datos personales y cree un flujo de trabajo que pueda generar la lista cuando un consumidor lo solicite. Esta es una de las capacidades más difíciles de implementar de la OCPA.
¿Cuándo se requieren evaluaciones de protección de datos según la OCPA?
Según ORS 646A.586, un controlador debe realizar y documentar una evaluación de protección de datos para cada actividad de procesamiento que presente un riesgo elevado de daño. Las categorías de alto riesgo nombradas son el procesamiento para publicidad dirigida, la venta de datos personales, el procesamiento de datos sensibles y cierto perfilamiento que arriesga un trato injusto o engañoso o impacto dispar ilícito, lesión financiera, física o reputacional, o intrusión en la soledad, el aislamiento o los asuntos privados de un consumidor. La evaluación debe sopesar los beneficios frente a los riesgos, y el Fiscal General puede solicitarla durante una investigación. Las evaluaciones no son retroactivas.
¿Qué cambió en la aplicación de la OCPA en 2026?
El derecho de subsanación de 30 días expiró el 1 de enero de 2026. Hasta 2025, el Fiscal General de Oregón tenía que notificar a un controlador y concederle 30 días para corregir una infracción antes de iniciar una acción, pero solo cuando el Fiscal General determinara primero que la infracción era subsanable. No era un período de gracia automático para toda infracción. A partir de 2026, esa ventana garantizada ha desaparecido. El Fiscal General aún puede optar por permitir una subsanación, pero ya no está obligado a ofrecerla, por lo que una empresa ya no puede contar con un período de gracia antes de la aplicación. Las sanciones civiles alcanzan hasta $7,500 por infracción según ORS 646A.589(4)(a).
¿Cuáles son las sanciones por infringir la OCPA?
Según ORS 646A.589(4)(a), el Fiscal General de Oregón puede buscar una sanción civil de hasta $7,500 por cada infracción. La estructura por infracción significa que una falla sistémica que afecte a muchos consumidores puede acumularse rápidamente. La aplicación es exclusiva del Fiscal General según ORS 646A.589(7); no existe derecho de acción privado, por lo que los consumidores no pueden demandar directamente a las empresas, pero pueden presentar quejas ante el Departamento de Justicia de Oregón, que puede investigar y buscar sanciones.
¿Necesito un contrato con mis encargados del procesamiento de datos?
Sí. Según ORS 646A.581, un controlador que utiliza un encargado del procesamiento debe tener un contrato vinculante que establezca las instrucciones de procesamiento, la naturaleza, el propósito, los tipos de datos y la duración, y que imponga obligaciones como confidencialidad, eliminación o devolución de datos al final del acuerdo, cooperación con evaluaciones y términos que se extiendan a cualquier subcontratista. Compartir datos personales con un proveedor sin estos términos contractuales vigentes es una brecha de cumplimiento sobre la que el Fiscal General puede actuar.
Actualizaciones
Verificado de forma independiente contra las fuentes primarias citadas
Se corrigió la cita de aplicación exclusiva del Fiscal General de Oregón de ORS 646A.589(8) a la subsección correcta (7).
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en 4 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
Oregon Revised Statutes, Chapter 646A: Trade Regulation
§ 646A.574Consumer requests for personal data; requirement to correct inaccuracies; requirement to delete personal data; conditions under which consumer may opt out of personal data processing; format for providing copy of personal data to consumerVigentecitada en 3 de nuestros artículos
(1) Subject to ORS 646A.576, a consumer may: (a) Obtain from a controller: (A) Confirmation as to whether the controller is processing or has processed the consumer’s personal data and the categories of personal data the controller is processing or has processed; (B) At the controller’s option, a list of specific third parties, other than natural persons, to which the controller has disclosed: (i) The consumer’s personal data; or (ii) Any personal data; and (C) A copy of all of the consumer’s personal data that the controller has processed or is processing; (b) Require a controller to correct inaccuracies in personal data about the consumer, taking into account the nature of the personal data and the controller’s purpose for processing the personal data; (c) Require a controller to delete personal data about the consumer, including personal data the consumer provided to the controller, personal data the controller obtained from another source and derived data; or (d) Opt out from a controller’s processing of personal data of the consumer that the controller processes for any of the following purposes: (A) Targeted advertising; (B) Selling…
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en oregonlegislature.gov
§ 646A.578Duties of controller; prohibitions; privacy notice to consumerVigentecitada en 3 de nuestros artículos
(1) A controller shall: (a) Specify in the privacy notice described in subsection (4) of this section the express purposes for which the controller is collecting and processing personal data; (b) Limit the controller’s collection of personal data to only the personal data that is adequate, relevant and reasonably necessary to serve the purposes the controller specified in paragraph (a) of this subsection; (c) Establish, implement and maintain for personal data the same safeguards described in ORS 646A.622 that are required for protecting personal information, as defined in ORS 646A.602, such that the controller’s safeguards protect the confidentiality, integrity and accessibility of the personal data to the extent appropriate for the volume and nature of the personal data; and (d) Provide an effective means by which a consumer may revoke consent a consumer gave under ORS 646A.570 to 646A.589 to the controller’s processing of the consumer’s personal data. The means must be at least as easy as the means by which the consumer provided consent.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en oregonlegislature.gov
§ 646A.581Duties of processor of personal data; contract between controller and processor; liabilities of controller and processorVigente
(1) A processor shall adhere to a controller’s instructions and shall assist the controller in meeting the controller’s obligations under ORS 646A.570 to 646A.589. In assisting the controller, the processor must: (a) Enable the controller to respond to requests from consumers under ORS 646A.576 by means that take into account how the processor processes personal data and the information available to the processor and that use appropriate technical and organizational measures to the extent reasonably practicable; (b) Adopt administrative, technical and physical safeguards that are reasonably designed to protect the security and confidentiality of the personal data the processor processes, taking into account how the processor processes the personal data and the information available to the processor; and (c) Provide information reasonably necessary for the controller to conduct and document data protection assessments. (2) The processor shall enter into a contract with the controller that governs how the processor processes personal data on the controller’s behalf.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en oregonlegislature.gov
§ 646A.589Investigative demand by Attorney General; representation by counsel; confidentiality of proceedings and materials; action to impose civil penalty or obtain injunction; amount of civil penalty; notice of violation; time limit on action; Attorney General’s exclusive authorityVigentecitada en 3 de nuestros artículos
(1)(a) The Attorney General may serve an investigative demand upon any person that possesses, controls or has custody of any information, document or other material that the Attorney General determines is relevant to an investigation of a violation of ORS 646A.570 to 646A.589 or that could lead to a discovery of relevant information. An investigative demand may require the person to: (A) Appear and testify under oath at the time and place specified in the investigative demand; (B) Answer written interrogatories; or (C) Produce relevant documents or physical evidence for examination at the time and place specified in the investigative demand. (b) The Attorney General shall serve an investigative demand under this section in the manner provided in ORS 646.622. The Attorney General may enforce the investigative demand as provided in ORS 646.626. (2)(a) An attorney may accompany, represent and advise in confidence a person that appears in response to a demand under subsection (1)(a)(A) of this section.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en oregonlegislature.gov
Fuentes y referencias
- ORS 646A.572: Aplicabilidad y Exenciones(oregon.public.law)
- ORS 646A.578: Deberes del Controlador, Aviso de Privacidad, Consentimiento para Datos Sensibles y Exclusión Voluntaria Universal(oregon.public.law)
- ORS 646A.581: Deberes del Encargado del Procesamiento y Contratos Controlador-Encargado(oregon.public.law)
- ORS 646A.586: Evaluaciones de Protección de Datos(oregon.public.law)
- ORS 646A.589: Aplicación por el Fiscal General y Sanciones Civiles(oregon.public.law)
- ORS 646A.574: Derechos del Consumidor, Incluida la Lista de Terceros Específicos(oregon.public.law)
- ORS 646A.570 a 646A.589: Ley de Privacidad del Consumidor de Oregón (Capítulo Completo)(oregonlegislature.gov).gov
- Departamento de Justicia de Oregón: Privacidad del Consumidor (Ley de Privacidad del Consumidor de Oregón)(doj.state.or.us).gov
- Departamento de Justicia de Oregón: Informe de un Año de Aplicación de la OCPA (2025)(doj.state.or.us).gov