Oregon
Derechos del Consumidor bajo la OCPA: Ley de Privacidad del Consumidor de Oregón
Verificado de forma independiente contra fuentes primarias (última auditoría: 15 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 15 de agosto de 2026. · 3 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
La Ley de Privacidad del Consumidor de Oregón (OCPA), codificada en ORS 646A.570 a 646A.589, otorga a los residentes de Oregón el derecho a acceder, corregir, eliminar y portar sus datos personales, a excluirse de la publicidad dirigida, la venta de datos y cierto perfilamiento, y, de manera distintiva, a solicitar una lista de los terceros específicos que recibieron sus datos. Los controladores deben responder a una solicitud verificada en un plazo de 45 días según .
A partir de 2026, estos derechos son aplicados exclusivamente por el Fiscal General de Oregón, y el derecho de subsanación de 30 días en el que se apoyaban los controladores hasta 2025 expiró el 1 de enero de 2026. Los consumidores a quienes se les niegue una solicitud pueden apelar, y un controlador debe actuar sobre la señal de exclusión voluntaria universal a partir del 1 de enero de 2026.
Alcance jurisdiccional: Esto cubre la Ley de Privacidad del Consumidor de Oregón (ORS 646A.570 a 646A.589). Es información legal general, no asesoría legal.
El conjunto completo de derechos del consumidor bajo la OCPA
La OCPA otorga a los residentes de Oregón un conjunto completo de derechos de datos, establecidos en . El Departamento de Justicia de Oregón los resume con la regla mnemotécnica LOCKED (en inglés): List (Lista), Opt-out (Exclusión), Copy (Copia), Know (Conocer), Edit (Editar) y Delete (Eliminar). Los derechos establecidos por ley coinciden con ese esquema.
Según (1)(a)(A), un consumidor tiene derecho a la confirmación "de si el controlador está procesando o ha procesado los datos personales del consumidor", junto con el acceso a esos datos. Según ORS 646A.574(1)(b), el consumidor puede "exigir a un controlador que corrija inexactitudes en los datos personales del consumidor", teniendo en cuenta la naturaleza y el propósito del procesamiento. Según ORS 646A.574(1)(c), el consumidor puede "exigir a un controlador que elimine los datos personales del consumidor", incluidos los datos que el consumidor proporcionó y los datos que el controlador obtuvo o recopiló de otra manera.
La portabilidad de datos forma parte del derecho de acceso. Según ORS 646A.574(2), cuando un consumidor ejerce el derecho de acceso, el controlador debe proporcionar los datos personales "en un formato portátil y, en la medida técnicamente factible, fácilmente utilizable" que permita al consumidor transmitir los datos a otro controlador sin obstáculos, cuando el procesamiento se realice por medios automatizados.
Estos derechos aplican a los "consumidores", es decir, a los residentes de Oregón que actúan en un contexto individual o doméstico. Los datos sobre personas que actúan en un contexto comercial o laboral generalmente quedan fuera de la definición de consumidor. La guía general de la OCPA de Oregón explica cómo encajan la aplicabilidad y la definición de consumidor.
El derecho a la lista de terceros específicos, en primer plano
El derecho distintivo de Oregón es la posibilidad de conocer exactamente qué terceros recibieron los datos de un consumidor. ORS 646A.574(1)(a)(B) otorga a un consumidor el derecho a obtener "una lista de terceros específicos, distintos de personas físicas", a los que el controlador ha divulgado los datos personales del consumidor. A opción del controlador, este puede, en su lugar, proporcionar una lista de los terceros específicos a los que ha divulgado cualquier dato personal.
La frase "terceros específicos" es el lenguaje operativo. La mayoría de las leyes de privacidad estatales exigen que un controlador divulgue solo las categorías de terceros con los que comparte datos, como "redes de publicidad" o "proveedores de servicios". Oregón va más allá. Un consumidor puede solicitar las entidades nombradas, no solo las agrupaciones. La excepción para "personas físicas" significa que el controlador no necesita enumerar a personas individuales, pero debe identificar a las empresas y organizaciones que recibieron los datos.
Este derecho es una de las obligaciones más difíciles de cumplir operativamente dentro de la OCPA, porque requiere que un controlador rastree las divulgaciones a nivel de destinatarios identificables. Un controlador que comparte datos con docenas de proveedores y socios debe poder reconstruir, para un consumidor determinado o al menos a nivel del sistema, qué entidades específicas recibieron datos personales. Para los consumidores, el resultado es un nivel de transparencia que expone el flujo real de su información. Oregón fue pionero en este derecho, y a partir de 2026 sigue siendo poco común entre las leyes de privacidad estatales.
Derechos de exclusión voluntaria: publicidad dirigida, venta y perfilamiento
ORS 646A.574(1)(d) otorga a los consumidores el derecho a excluirse de tres categorías de procesamiento. La primera, según ORS 646A.574(1)(d)(A), es la publicidad dirigida, es decir, la publicidad seleccionada con base en datos personales obtenidos de las actividades del consumidor en sitios web o aplicaciones no afiliados. La segunda, según ORS 646A.574(1)(d)(B), es la venta de datos personales. La tercera, según ORS 646A.574(1)(d)(C), es el "perfilamiento del consumidor en apoyo de decisiones que produzcan efectos legales o efectos de importancia similar".
La exclusión del perfilamiento importa más en contextos de decisiones automatizadas. El perfilamiento que afecta el acceso de un consumidor al crédito, el empleo, la vivienda, el seguro, la educación u oportunidades similares queda dentro de este derecho. Un consumidor que no desee que el perfilamiento automatizado impulse tales decisiones puede excluirse.
La definición de Oregón de "venta" en ORS 646A.570(17) es amplia. Cubre "el intercambio de datos personales por contraprestación monetaria o de otro valor por parte del controlador con un tercero". La inclusión de "otra contraprestación de valor", no solo dinero, significa que los intercambios de datos y otras transacciones no monetarias pueden contar como ventas que activan el derecho de exclusión voluntaria. El estatuto enumera exclusiones, incluidas las divulgaciones a encargados del procesamiento, las divulgaciones a afiliados y las divulgaciones dirigidas por un consumidor, por lo que no toda transferencia de datos es una venta.
Plazos de respuesta: 45 días más una prórroga
Los controladores deben actuar sobre una solicitud verificada del consumidor dentro de un plazo definido. Según , un controlador debe responder a la solicitud de un consumidor sin demora indebida y, en todo caso, dentro de los 45 días posteriores a la recepción de la solicitud. Cuando sea razonablemente necesario, el controlador puede extender el período de respuesta por 45 días adicionales, para un total de 90 días, siempre que informe al consumidor de la prórroga y del motivo dentro del plazo inicial de 45 días.
Si un controlador se niega a actuar sobre una solicitud, debe informar al consumidor sin demora indebida, y dentro del plazo de 45 días, de los motivos para no actuar y de cómo el consumidor puede apelar la decisión. El controlador generalmente debe proporcionar información en respuesta a una solicitud del consumidor de forma gratuita, una vez durante cualquier período de 12 meses. Puede cobrar una tarifa razonable para cubrir el costo administrativo de una segunda solicitud o solicitudes posteriores dentro de ese mismo período de 12 meses, excepto cuando la solicitud repetida sea para verificar que el controlador efectivamente corrigió o eliminó los datos del consumidor según lo prometido, lo cual sigue siendo gratuito.
Los controladores también deben establecer un medio confiable para que los consumidores presenten solicitudes y las autentiquen. Un controlador no puede exigir a un consumidor que cree una nueva cuenta para ejercer un derecho, aunque puede exigir que el consumidor use una cuenta existente.
El mecanismo de exclusión voluntaria universal, vigente desde el 1 de enero de 2026
Oregón exige a los controladores respetar una señal de exclusión voluntaria a nivel de plataforma a partir del 1 de enero de 2026. Según , un controlador que procesa datos personales para publicidad dirigida o que vende datos personales debe permitir que un consumidor se excluya mediante un mecanismo de exclusión voluntaria universal, una tecnología que comunica la elección de exclusión del consumidor sin que este tenga que visitar a cada controlador individualmente.
El Control de Privacidad Global (Global Privacy Control, GPC), una señal a nivel de navegador compatible con un conjunto creciente de navegadores y extensiones, es el ejemplo principal de este tipo de mecanismo. El Departamento de Justicia de Oregón ha identificado el Control de Privacidad Global como una señal válida. El mecanismo debe reflejar la elección afirmativa y voluntaria del propio consumidor, y no una configuración predeterminada impuesta por un navegador o una plataforma.
El efecto práctico es significativo. Un consumidor que activa una señal válida se excluye de una sola vez ante todos los controladores participantes, en lugar de hacer clic en un enlace de exclusión en cada sitio web. A partir de 2026, los controladores que procesan datos para publicidad dirigida o que venden datos personales deben detectar y respetar estas señales. La lista de verificación de cumplimiento de la OCPA cubre lo que las empresas deben implementar para reconocerlas.
Prohibiciones absolutas añadidas por la HB 2008, vigentes desde el 1 de enero de 2026
La Ley de la Cámara 2008 (sesión de 2025), promulgada como el Capítulo 251 de las Leyes de Oregón de 2025, modifica (2) para añadir prohibiciones absolutas además de los derechos de exclusión voluntaria anteriores, vigentes desde el 1 de enero de 2026. Un controlador no puede vender datos personales, usarlos para publicidad dirigida, ni perfilar a un consumidor que sepa, o desestime deliberadamente, que es menor de 16 años. Esto reemplaza la banda de edad anterior de 13 a 15 años, que permitía esas actividades con el consentimiento del consumidor.
La HB 2008 también prohíbe la venta de datos de geolocalización precisa por completo. Desde el 1 de enero de 2026, un controlador no puede vender los datos de ubicación pasada o presente precisa de un consumidor, sin importar la edad del consumidor ni el consentimiento. A diferencia de los derechos de exclusión voluntaria, estas son prohibiciones que un consumidor no puede renunciar al no excluirse.
El proceso de apelación
La OCPA incorpora un derecho de apelación cuando un controlador niega una solicitud. Según ORS 646A.576, un controlador debe establecer un proceso para que un consumidor apele la negativa del controlador a actuar sobre una solicitud. El proceso de apelación debe estar disponible de forma visible y ser similar al proceso para presentar la solicitud original.
Dentro de los 45 días posteriores a la recepción de una apelación, el controlador debe informar por escrito al consumidor sobre cualquier acción tomada o no tomada en respuesta, junto con una explicación escrita de los motivos. Si el controlador deniega la apelación, debe proporcionar al consumidor un mecanismo en línea, si está disponible, u otro método, para contactar al Fiscal General de Oregón y presentar una queja.
Ese vínculo con el Fiscal General es importante. Debido a que la OCPA no tiene derecho de acción privado, un consumidor que considere que un controlador negó indebidamente una solicitud no puede demandar directamente al controlador. El camino conduce al Departamento de Justicia de Oregón, que puede investigar y hacer cumplir la ley. La guía general de la OCPA explica la estructura de aplicación con más detalle.
Derechos y plazos de un vistazo
| Derecho o paso | Cita de ORS | Plazo o nota |
|---|---|---|
| Confirmar y acceder a los datos | 646A.574(1)(a)(A) | Responder en 45 días |
| Lista de terceros específicos | 646A.574(1)(a)(B) | Entidades nombradas, no solo categorías |
| Corregir inexactitudes | 646A.574(1)(b) | Responder en 45 días |
| Eliminar datos personales | 646A.574(1)(c) | Responder en 45 días |
| Portabilidad de datos | 646A.574(2) | Formato portátil y fácilmente utilizable |
| Excluirse de publicidad, venta, perfilamiento | 646A.574(1)(d) | Respetar la exclusión universal antes del 1 de enero de 2026 |
| Plazo de respuesta | 646A.576 | 45 días, más una prórroga de 45 días |
| Apelar una negativa | 646A.576 | El controlador responde en 45 días |
Cómo se comparan los derechos de la OCPA a nivel nacional
Los derechos de Oregón siguen el patrón general que comparten la mayoría de las leyes de privacidad estatales posteriores a 2020: acceso, corrección, eliminación, portabilidad y exclusión voluntaria. Oregón se distingue en el derecho a la lista de terceros específicos y en la amplitud de su definición de datos sensibles, que alimenta el requisito de consentimiento previo cubierto en la guía general de la OCPA.
En comparación con la CCPA de California, la estructura de exclusión voluntaria de Oregón para datos sensibles es más estricta. California utiliza un derecho a limitar el uso de información personal sensible, un modelo de exclusión voluntaria, mientras que Oregón exige consentimiento previo antes de que se puedan procesar datos sensibles. En cuanto a la transparencia de divulgación, la lista de terceros nombrados de Oregón va más allá de la divulgación a nivel de categoría de la CCPA. La página de comparación de leyes estatales de privacidad de datos muestra estas diferencias en todas las leyes estatales vigentes.
Más Leyes de Oregón
- Leyes de Grabación de Reuniones con IA de Oregón
- Leyes de Pensión Alimenticia de Oregón
- Leyes de Empleo a Voluntad de Oregón
- Leyes de Accidentes de Auto de Oregón
- Leyes de Asientos de Auto para Niños de Oregón
- Leyes de Custodia de Menores de Oregón
- Leyes de Manutención Infantil de Oregón
- Leyes de Matrimonio de Hecho de Oregón
- Leyes sobre Deepfakes de Oregón
- Leyes de Divorcio de Oregón
- Leyes sobre Mordeduras de Perro de Oregón
- Leyes de Emancipación de Oregón
- Leyes de Eliminación de Antecedentes Penales de Oregón
- Leyes sobre Choque y Fuga de Oregón
- Leyes de Propietarios e Inquilinos de Oregón
- Leyes de Vehículos Defectuosos (Ley del Limón) de Oregón
Guías relacionadas
Preguntas frecuentes
¿Qué derechos tienen los consumidores de Oregón bajo la OCPA?
Según ORS 646A.574, los residentes de Oregón pueden confirmar y acceder a sus datos personales, corregir inexactitudes, eliminar sus datos y obtenerlos en un formato portátil. También pueden excluirse de la publicidad dirigida, la venta de datos personales y el perfilamiento en apoyo de decisiones que produzcan efectos legales o de importancia similar. De manera distintiva, pueden solicitar una lista de los terceros específicos a los que el controlador divulgó sus datos. El Departamento de Justicia de Oregón resume esto como LOCKED: List (Lista), Opt-out (Exclusión), Copy (Copia), Know (Conocer), Edit (Editar), Delete (Eliminar).
¿Qué es el derecho a la lista de terceros específicos?
Según ORS 646A.574(1)(a)(B), un consumidor de Oregón puede solicitar una lista de los terceros específicos, distintos de personas físicas, a los que el controlador divulgó los datos personales del consumidor, o, a opción del controlador, cualquier dato personal. A diferencia de la mayoría de los estados, que solo exigen divulgación a nivel de categoría, como socios publicitarios, Oregón permite al consumidor conocer las entidades nombradas que recibieron los datos. Oregón fue pionero en este derecho, y sigue siendo poco común a nivel nacional a partir de 2026.
¿Cuánto tiempo tiene un controlador para responder a una solicitud?
Según ORS 646A.576, un controlador debe responder dentro de los 45 días posteriores a la recepción de una solicitud verificada. Puede extender el período por 45 días adicionales, para un total de 90 días, cuando sea razonablemente necesario, siempre que notifique al consumidor de la prórroga y del motivo dentro del plazo original de 45 días. Si un controlador se niega a actuar, debe indicar al consumidor el motivo y cómo apelar dentro de ese mismo plazo de 45 días.
¿De qué pueden excluirse los consumidores de Oregón?
Según ORS 646A.574(1)(d), los consumidores pueden excluirse de tres cosas: la publicidad dirigida, la venta de datos personales y el perfilamiento en apoyo de decisiones que produzcan efectos legales o de importancia similar, como decisiones sobre crédito, empleo, vivienda o seguros. La definición de venta de Oregón en ORS 646A.570(17) es amplia y cubre el intercambio de datos personales por contraprestación monetaria o de otro valor, por lo que los intercambios de datos no monetarios pueden activar el derecho de exclusión voluntaria.
¿Prohíbe Oregón vender datos de ubicación o de menores de 16 años por completo, más allá de los derechos de exclusión voluntaria?
Sí. Desde el 1 de enero de 2026, la HB 2008 modificó ORS 646A.578(2) para añadir prohibiciones absolutas además de los derechos de exclusión voluntaria. Un controlador no puede vender datos personales, usarlos para publicidad dirigida ni perfilar a un consumidor que sepa, o desestime deliberadamente, que es menor de 16 años, lo que reemplaza la banda de consentimiento anterior de 13 a 15 años. Un controlador tampoco puede vender los datos de geolocalización precisa de un consumidor en absoluto, sin importar la edad o el consentimiento.
¿Exige Oregón respetar el Control de Privacidad Global?
Sí, a partir del 1 de enero de 2026. Según ORS 646A.578, los controladores que procesan datos personales para publicidad dirigida o que venden datos personales deben permitir que los consumidores se excluyan mediante un mecanismo de exclusión voluntaria universal. El Departamento de Justicia de Oregón ha identificado el Control de Privacidad Global como una señal válida. El mecanismo debe reflejar la elección afirmativa del propio consumidor y no una configuración predeterminada, y una señal válida excluye al consumidor de una sola vez ante todos los controladores participantes.
¿Puede un consumidor de Oregón apelar una solicitud denegada?
Sí. Según ORS 646A.576, un controlador debe ofrecer un proceso de apelación visible y similar a su proceso de solicitud. Dentro de los 45 días posteriores a la recepción de una apelación, el controlador debe informar por escrito al consumidor qué acción tomó y explicar los motivos. Si se deniega la apelación, el controlador debe darle al consumidor una forma de presentar una queja ante el Fiscal General de Oregón, porque la OCPA no tiene derecho de acción privado.
¿Hay una tarifa por ejercer los derechos de la OCPA?
Generalmente no. Según ORS 646A.576, un controlador debe responder a una solicitud del consumidor de forma gratuita una vez durante cualquier período de 12 meses. Puede cobrar una tarifa razonable por el costo administrativo de una segunda solicitud o solicitudes posteriores dentro de ese mismo período de 12 meses, a menos que la solicitud repetida sea para verificar que el controlador efectivamente corrigió o eliminó los datos del consumidor según lo prometido, lo cual sigue siendo gratuito. Un controlador tampoco puede obligar a un consumidor a crear una nueva cuenta para ejercer un derecho.
¿Puede un consumidor de Oregón demandar a una empresa bajo la OCPA?
No. Según ORS 646A.589(7), el Fiscal General de Oregón tiene la autoridad exclusiva para hacer cumplir la OCPA, y el estatuto no crea un derecho de acción privado. Un consumidor que considere que un controlador ignoró o negó indebidamente una solicitud de derechos no puede demandar directamente a la empresa. En cambio, el consumidor puede presentar una queja ante el Departamento de Justicia de Oregón, que puede investigar y buscar sanciones civiles de hasta $7,500 por infracción.
Actualizaciones
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Se reasignó el plazo de respuesta de 45/90 días y el mecanismo de apelación de ORS 646A.578 (que no contiene esas disposiciones) a ORS 646A.576, la sección correcta; también se corrigió la cita de aplicación exclusiva del Fiscal General de ORS 646A.589(8) a la subsección correcta (7), y se actualizó la caja de fuentes.
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en 4 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
Oregon Revised Statutes, Chapter 646A: Trade Regulation
§ 646A.574Consumer requests for personal data; requirement to correct inaccuracies; requirement to delete personal data; conditions under which consumer may opt out of personal data processing; format for providing copy of personal data to consumerVigentecitada en 3 de nuestros artículos
(1) Subject to ORS 646A.576, a consumer may: (a) Obtain from a controller: (A) Confirmation as to whether the controller is processing or has processed the consumer’s personal data and the categories of personal data the controller is processing or has processed; (B) At the controller’s option, a list of specific third parties, other than natural persons, to which the controller has disclosed: (i) The consumer’s personal data; or (ii) Any personal data; and (C) A copy of all of the consumer’s personal data that the controller has processed or is processing; (b) Require a controller to correct inaccuracies in personal data about the consumer, taking into account the nature of the personal data and the controller’s purpose for processing the personal data; (c) Require a controller to delete personal data about the consumer, including personal data the consumer provided to the controller, personal data the controller obtained from another source and derived data; or (d) Opt out from a controller’s processing of personal data of the consumer that the controller processes for any of the following purposes: (A) Targeted advertising; (B) Selling…
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en oregonlegislature.gov
§ 646A.576Method for requesting personal data; persons who may request personal data on consumer’s behalf; designation by consumer; duties of controller; process for appealing controller’s refusal of consumer requestVigente
(1) A consumer may exercise the rights described in ORS 646A.574 by submitting a request to a controller using the method that the controller specifies in the privacy notice described in ORS 646A.578. (2) A controller may not require a consumer to create an account for the purpose described in subsection (1) of this section, but the controller may require the consumer to use an account the consumer created previously. (3) A parent or legal guardian may exercise the rights described in ORS 646A.574 on behalf of the parent’s child or on behalf of a child for whom the guardian has legal responsibility. A guardian or conservator may exercise the rights described in subsection (1) of this section on behalf of a consumer that is subject to a guardianship, conservatorship or other protective arrangement. (4) A consumer may designate another person to act on the consumer’s behalf as the consumer’s authorized agent for the purpose of opting out of a controller’s processing of the consumer’s personal data, as provided in ORS 646A.574 (1)(d).
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en oregonlegislature.gov
§ 646A.578Duties of controller; prohibitions; privacy notice to consumerVigentecitada en 3 de nuestros artículos
(1) A controller shall: (a) Specify in the privacy notice described in subsection (4) of this section the express purposes for which the controller is collecting and processing personal data; (b) Limit the controller’s collection of personal data to only the personal data that is adequate, relevant and reasonably necessary to serve the purposes the controller specified in paragraph (a) of this subsection; (c) Establish, implement and maintain for personal data the same safeguards described in ORS 646A.622 that are required for protecting personal information, as defined in ORS 646A.602, such that the controller’s safeguards protect the confidentiality, integrity and accessibility of the personal data to the extent appropriate for the volume and nature of the personal data; and (d) Provide an effective means by which a consumer may revoke consent a consumer gave under ORS 646A.570 to 646A.589 to the controller’s processing of the consumer’s personal data. The means must be at least as easy as the means by which the consumer provided consent.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en oregonlegislature.gov
§ 646A.589Investigative demand by Attorney General; representation by counsel; confidentiality of proceedings and materials; action to impose civil penalty or obtain injunction; amount of civil penalty; notice of violation; time limit on action; Attorney General’s exclusive authorityVigentecitada en 3 de nuestros artículos
(1)(a) The Attorney General may serve an investigative demand upon any person that possesses, controls or has custody of any information, document or other material that the Attorney General determines is relevant to an investigation of a violation of ORS 646A.570 to 646A.589 or that could lead to a discovery of relevant information. An investigative demand may require the person to: (A) Appear and testify under oath at the time and place specified in the investigative demand; (B) Answer written interrogatories; or (C) Produce relevant documents or physical evidence for examination at the time and place specified in the investigative demand. (b) The Attorney General shall serve an investigative demand under this section in the manner provided in ORS 646.622. The Attorney General may enforce the investigative demand as provided in ORS 646.626. (2)(a) An attorney may accompany, represent and advise in confidence a person that appears in response to a demand under subsection (1)(a)(A) of this section.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en oregonlegislature.gov
Fuentes y referencias
- ORS 646A.574: Derechos del Consumidor, Incluida la Lista de Terceros Específicos(oregon.public.law)
- ORS 646A.578: Obligaciones del Controlador, Aviso de Privacidad y Mecanismo de Exclusión Voluntaria Universal(oregon.public.law)
- ORS 646A.570: Definiciones (Venta y Datos Sensibles)(oregon.public.law)
- ORS 646A.570 a 646A.589: Ley de Privacidad del Consumidor de Oregón (Capítulo Completo)(oregonlegislature.gov).gov
- Departamento de Justicia de Oregón: Privacidad del Consumidor (Ley de Privacidad del Consumidor de Oregón)(doj.state.or.us).gov
- Departamento de Justicia de Oregón: Informe de Aplicación del Primer Año de la OCPA (2025)(doj.state.or.us).gov
- ORS 646A.589: Aplicación por el Fiscal General y Sanciones Civiles(oregon.public.law)
- ORS 646A.576: Plazos de Respuesta a Solicitudes del Consumidor y Apelaciones(oregon.public.law)