Oregon
Derechos del Consumidor bajo la OCPA: Ley de Privacidad del Consumidor de Oregón
La Ley de Privacidad del Consumidor de Oregón (OCPA), codificada en ORS 646A.570 a 646A.589, otorga a los residentes de Oregón el derecho a acceder, corregir, eliminar y portar sus datos personales, a excluirse de la publicidad dirigida, la venta de datos y cierto perfilamiento, y, de manera distintiva, a solicitar una lista de los terceros específicos que recibieron sus datos. Los controladores deben responder a una solicitud verificada en un plazo de 45 días según ORS 646A.578.
A partir de 2026, estos derechos son aplicados exclusivamente por el Fiscal General de Oregón, y el derecho de subsanación de 30 días en el que se apoyaban los controladores hasta 2025 expiró el 1 de enero de 2026. Los consumidores a quienes se les niegue una solicitud pueden apelar, y un controlador debe actuar sobre la señal de exclusión voluntaria universal a partir del 1 de enero de 2026.
Alcance jurisdiccional: Esto cubre la Ley de Privacidad del Consumidor de Oregón (ORS 646A.570 a 646A.589). Es información legal general, no asesoría legal.
El conjunto completo de derechos del consumidor bajo la OCPA
La OCPA otorga a los residentes de Oregón un conjunto completo de derechos de datos, establecidos en ORS 646A.574. El Departamento de Justicia de Oregón los resume con la regla mnemotécnica LOCKED (en inglés): List (Lista), Opt-out (Exclusión), Copy (Copia), Know (Conocer), Edit (Editar) y Delete (Eliminar). Los derechos establecidos por ley coinciden con ese esquema.
Según ORS 646A.574(1)(a)(A), un consumidor tiene derecho a la confirmación "de si el controlador está procesando o ha procesado los datos personales del consumidor", junto con el acceso a esos datos. Según ORS 646A.574(1)(b), el consumidor puede "exigir a un controlador que corrija inexactitudes en los datos personales del consumidor", teniendo en cuenta la naturaleza y el propósito del procesamiento. Según ORS 646A.574(1)(c), el consumidor puede "exigir a un controlador que elimine los datos personales del consumidor", incluidos los datos que el consumidor proporcionó y los datos que el controlador obtuvo o recopiló de otra manera.
La portabilidad de datos forma parte del derecho de acceso. Según ORS 646A.574(2), cuando un consumidor ejerce el derecho de acceso, el controlador debe proporcionar los datos personales "en un formato portátil y, en la medida técnicamente factible, fácilmente utilizable" que permita al consumidor transmitir los datos a otro controlador sin obstáculos, cuando el procesamiento se realice por medios automatizados.
Estos derechos aplican a los "consumidores", es decir, a los residentes de Oregón que actúan en un contexto individual o doméstico. Los datos sobre personas que actúan en un contexto comercial o laboral generalmente quedan fuera de la definición de consumidor. La guía general de la OCPA de Oregón explica cómo encajan la aplicabilidad y la definición de consumidor.
El derecho a la lista de terceros específicos, en primer plano
El derecho distintivo de Oregón es la posibilidad de conocer exactamente qué terceros recibieron los datos de un consumidor. ORS 646A.574(1)(a)(B) otorga a un consumidor el derecho a obtener "una lista de terceros específicos, distintos de personas físicas", a los que el controlador ha divulgado los datos personales del consumidor. A opción del controlador, este puede, en su lugar, proporcionar una lista de los terceros específicos a los que ha divulgado cualquier dato personal.
La frase "terceros específicos" es el lenguaje operativo. La mayoría de las leyes de privacidad estatales exigen que un controlador divulgue solo las categorías de terceros con los que comparte datos, como "redes de publicidad" o "proveedores de servicios". Oregón va más allá. Un consumidor puede solicitar las entidades nombradas, no solo las agrupaciones. La excepción para "personas físicas" significa que el controlador no necesita enumerar a personas individuales, pero debe identificar a las empresas y organizaciones que recibieron los datos.
Este derecho es una de las obligaciones más difíciles de cumplir operativamente dentro de la OCPA, porque requiere que un controlador rastree las divulgaciones a nivel de destinatarios identificables. Un controlador que comparte datos con docenas de proveedores y socios debe poder reconstruir, para un consumidor determinado o al menos a nivel del sistema, qué entidades específicas recibieron datos personales. Para los consumidores, el resultado es un nivel de transparencia que expone el flujo real de su información. Oregón fue pionero en este derecho, y a partir de 2026 sigue siendo poco común entre las leyes de privacidad estatales.
Derechos de exclusión voluntaria: publicidad dirigida, venta y perfilamiento
ORS 646A.574(1)(d) otorga a los consumidores el derecho a excluirse de tres categorías de procesamiento. La primera, según ORS 646A.574(1)(d)(A), es la publicidad dirigida, es decir, la publicidad seleccionada con base en datos personales obtenidos de las actividades del consumidor en sitios web o aplicaciones no afiliados. La segunda, según ORS 646A.574(1)(d)(B), es la venta de datos personales. La tercera, según ORS 646A.574(1)(d)(C), es el "perfilamiento del consumidor en apoyo de decisiones que produzcan efectos legales o efectos de importancia similar".
La exclusión del perfilamiento importa más en contextos de decisiones automatizadas. El perfilamiento que afecta el acceso de un consumidor al crédito, el empleo, la vivienda, el seguro, la educación u oportunidades similares queda dentro de este derecho. Un consumidor que no desee que el perfilamiento automatizado impulse tales decisiones puede excluirse.
La definición de Oregón de "venta" en ORS 646A.570(17) es amplia. Cubre "el intercambio de datos personales por contraprestación monetaria o de otro valor por parte del controlador con un tercero". La inclusión de "otra contraprestación de valor", no solo dinero, significa que los intercambios de datos y otras transacciones no monetarias pueden contar como ventas que activan el derecho de exclusión voluntaria. El estatuto enumera exclusiones, incluidas las divulgaciones a encargados del procesamiento, las divulgaciones a afiliados y las divulgaciones dirigidas por un consumidor, por lo que no toda transferencia de datos es una venta.
Plazos de respuesta: 45 días más una prórroga
Los controladores deben actuar sobre una solicitud verificada del consumidor dentro de un plazo definido. Según ORS 646A.578, un controlador debe responder a la solicitud de un consumidor sin demora indebida y, en todo caso, dentro de los 45 días posteriores a la recepción de la solicitud. Cuando sea razonablemente necesario, el controlador puede extender el período de respuesta por 45 días adicionales, para un total de 90 días, siempre que informe al consumidor de la prórroga y del motivo dentro del plazo inicial de 45 días.
Si un controlador se niega a actuar sobre una solicitud, debe informar al consumidor sin demora indebida, y dentro del plazo de 45 días, de los motivos para no actuar y de cómo el consumidor puede apelar la decisión. El controlador generalmente debe proporcionar información en respuesta a una solicitud del consumidor de forma gratuita, al menos una vez durante cualquier período de 12 meses, aunque puede negarse o cobrar una tarifa razonable por solicitudes que sean manifiestamente infundadas, excesivas o repetitivas.
Los controladores también deben establecer un medio confiable para que los consumidores presenten solicitudes y las autentiquen. Un controlador no puede exigir a un consumidor que cree una nueva cuenta para ejercer un derecho, aunque puede exigir que el consumidor use una cuenta existente.
El mecanismo de exclusión voluntaria universal, vigente desde el 1 de enero de 2026
Oregón exige a los controladores respetar una señal de exclusión voluntaria a nivel de plataforma a partir del 1 de enero de 2026. Según ORS 646A.578, un controlador que procesa datos personales para publicidad dirigida o que vende datos personales debe permitir que un consumidor se excluya mediante un mecanismo de exclusión voluntaria universal, una tecnología que comunica la elección de exclusión del consumidor sin que este tenga que visitar a cada controlador individualmente.
El Control de Privacidad Global (Global Privacy Control, GPC), una señal a nivel de navegador compatible con un conjunto creciente de navegadores y extensiones, es el ejemplo principal de este tipo de mecanismo. El Departamento de Justicia de Oregón ha identificado el Control de Privacidad Global como una señal válida. El mecanismo debe reflejar la elección afirmativa y voluntaria del propio consumidor, y no una configuración predeterminada impuesta por un navegador o una plataforma.
El efecto práctico es significativo. Un consumidor que activa una señal válida se excluye de una sola vez ante todos los controladores participantes, en lugar de hacer clic en un enlace de exclusión en cada sitio web. A partir de 2026, los controladores que procesan datos para publicidad dirigida o que venden datos personales deben detectar y respetar estas señales. La lista de verificación de cumplimiento de la OCPA cubre lo que las empresas deben implementar para reconocerlas.
El proceso de apelación
La OCPA incorpora un derecho de apelación cuando un controlador niega una solicitud. Según ORS 646A.578, un controlador debe establecer un proceso para que un consumidor apele la negativa del controlador a actuar sobre una solicitud. El proceso de apelación debe estar disponible de forma visible y ser similar al proceso para presentar la solicitud original.
Dentro de los 45 días posteriores a la recepción de una apelación, el controlador debe informar por escrito al consumidor sobre cualquier acción tomada o no tomada en respuesta, junto con una explicación escrita de los motivos. Si el controlador deniega la apelación, debe proporcionar al consumidor un mecanismo en línea, si está disponible, u otro método, para contactar al Fiscal General de Oregón y presentar una queja.
Ese vínculo con el Fiscal General es importante. Debido a que la OCPA no tiene derecho de acción privado, un consumidor que considere que un controlador negó indebidamente una solicitud no puede demandar directamente al controlador. El camino conduce al Departamento de Justicia de Oregón, que puede investigar y hacer cumplir la ley. La guía general de la OCPA explica la estructura de aplicación con más detalle.
Derechos y plazos de un vistazo
| Derecho o paso | Cita de ORS | Plazo o nota |
|---|---|---|
| Confirmar y acceder a los datos | 646A.574(1)(a)(A) | Responder en 45 días |
| Lista de terceros específicos | 646A.574(1)(a)(B) | Entidades nombradas, no solo categorías |
| Corregir inexactitudes | 646A.574(1)(b) | Responder en 45 días |
| Eliminar datos personales | 646A.574(1)(c) | Responder en 45 días |
| Portabilidad de datos | 646A.574(2) | Formato portátil y fácilmente utilizable |
| Excluirse de publicidad, venta, perfilamiento | 646A.574(1)(d) | Respetar la exclusión universal antes del 1 de enero de 2026 |
| Plazo de respuesta | 646A.578 | 45 días, más una prórroga de 45 días |
| Apelar una negativa | 646A.578 | El controlador responde en 45 días |
Cómo se comparan los derechos de la OCPA a nivel nacional
Los derechos de Oregón siguen el patrón general que comparten la mayoría de las leyes de privacidad estatales posteriores a 2020: acceso, corrección, eliminación, portabilidad y exclusión voluntaria. Oregón se distingue en el derecho a la lista de terceros específicos y en la amplitud de su definición de datos sensibles, que alimenta el requisito de consentimiento previo cubierto en la guía general de la OCPA.
En comparación con la CCPA de California, la estructura de exclusión voluntaria de Oregón para datos sensibles es más estricta. California utiliza un derecho a limitar el uso de información personal sensible, un modelo de exclusión voluntaria, mientras que Oregón exige consentimiento previo antes de que se puedan procesar datos sensibles. En cuanto a la transparencia de divulgación, la lista de terceros nombrados de Oregón va más allá de la divulgación a nivel de categoría de la CCPA. La página de comparación de leyes estatales de privacidad de datos muestra estas diferencias en todas las leyes estatales vigentes.
Más Leyes de Oregón
- Leyes de Grabación de Reuniones con IA de Oregón
- Leyes de Pensión Alimenticia de Oregón
- Leyes de Empleo a Voluntad de Oregón
- Leyes de Accidentes de Auto de Oregón
- Leyes de Asientos de Auto para Niños de Oregón
- Leyes de Custodia de Menores de Oregón
- Leyes de Manutención Infantil de Oregón
- Leyes de Matrimonio de Hecho de Oregón
- Leyes sobre Deepfakes de Oregón
- Leyes de Divorcio de Oregón
- Leyes sobre Mordeduras de Perro de Oregón
- Leyes de Emancipación de Oregón
- Leyes de Eliminación de Antecedentes Penales de Oregón
- Leyes sobre Choque y Fuga de Oregón
- Leyes de Propietarios e Inquilinos de Oregón
- Leyes de Vehículos Defectuosos (Ley del Limón) de Oregón
Guías relacionadas
Preguntas frecuentes
¿Qué derechos tienen los consumidores de Oregón bajo la OCPA?
Según ORS 646A.574, los residentes de Oregón pueden confirmar y acceder a sus datos personales, corregir inexactitudes, eliminar sus datos y obtenerlos en un formato portátil. También pueden excluirse de la publicidad dirigida, la venta de datos personales y el perfilamiento en apoyo de decisiones que produzcan efectos legales o de importancia similar. De manera distintiva, pueden solicitar una lista de los terceros específicos a los que el controlador divulgó sus datos. El Departamento de Justicia de Oregón resume esto como LOCKED: List (Lista), Opt-out (Exclusión), Copy (Copia), Know (Conocer), Edit (Editar), Delete (Eliminar).
¿Qué es el derecho a la lista de terceros específicos?
Según ORS 646A.574(1)(a)(B), un consumidor de Oregón puede solicitar una lista de los terceros específicos, distintos de personas físicas, a los que el controlador divulgó los datos personales del consumidor, o, a opción del controlador, cualquier dato personal. A diferencia de la mayoría de los estados, que solo exigen divulgación a nivel de categoría, como socios publicitarios, Oregón permite al consumidor conocer las entidades nombradas que recibieron los datos. Oregón fue pionero en este derecho, y sigue siendo poco común a nivel nacional a partir de 2026.
¿Cuánto tiempo tiene un controlador para responder a una solicitud?
Según ORS 646A.578, un controlador debe responder dentro de los 45 días posteriores a la recepción de una solicitud verificada. Puede extender el período por 45 días adicionales, para un total de 90 días, cuando sea razonablemente necesario, siempre que notifique al consumidor de la prórroga y del motivo dentro del plazo original de 45 días. Si un controlador se niega a actuar, debe indicar al consumidor el motivo y cómo apelar dentro de ese mismo plazo de 45 días.
¿De qué pueden excluirse los consumidores de Oregón?
Según ORS 646A.574(1)(d), los consumidores pueden excluirse de tres cosas: la publicidad dirigida, la venta de datos personales y el perfilamiento en apoyo de decisiones que produzcan efectos legales o de importancia similar, como decisiones sobre crédito, empleo, vivienda o seguros. La definición de venta de Oregón en ORS 646A.570(17) es amplia y cubre el intercambio de datos personales por contraprestación monetaria o de otro valor, por lo que los intercambios de datos no monetarios pueden activar el derecho de exclusión voluntaria.
¿Exige Oregón respetar el Control de Privacidad Global?
Sí, a partir del 1 de enero de 2026. Según ORS 646A.578, los controladores que procesan datos personales para publicidad dirigida o que venden datos personales deben permitir que los consumidores se excluyan mediante un mecanismo de exclusión voluntaria universal. El Departamento de Justicia de Oregón ha identificado el Control de Privacidad Global como una señal válida. El mecanismo debe reflejar la elección afirmativa del propio consumidor y no una configuración predeterminada, y una señal válida excluye al consumidor de una sola vez ante todos los controladores participantes.
¿Puede un consumidor de Oregón apelar una solicitud denegada?
Sí. Según ORS 646A.578, un controlador debe ofrecer un proceso de apelación visible y similar a su proceso de solicitud. Dentro de los 45 días posteriores a la recepción de una apelación, el controlador debe informar por escrito al consumidor qué acción tomó y explicar los motivos. Si se deniega la apelación, el controlador debe darle al consumidor una forma de presentar una queja ante el Fiscal General de Oregón, porque la OCPA no tiene derecho de acción privado.
¿Hay una tarifa por ejercer los derechos de la OCPA?
Generalmente no. Según ORS 646A.578, un controlador debe responder a una solicitud del consumidor de forma gratuita al menos una vez durante cualquier período de 12 meses. Un controlador puede negarse a una solicitud o cobrar una tarifa razonable solo cuando una solicitud sea manifiestamente infundada, excesiva o repetitiva, y el controlador tiene la carga de demostrar que la solicitud cumple con ese estándar. Un controlador tampoco puede obligar a un consumidor a crear una nueva cuenta para ejercer un derecho.
¿Puede un consumidor de Oregón demandar a una empresa bajo la OCPA?
No. Según ORS 646A.589(8), el Fiscal General de Oregón tiene la autoridad exclusiva para hacer cumplir la OCPA, y el estatuto no crea un derecho de acción privado. Un consumidor que considere que un controlador ignoró o negó indebidamente una solicitud de derechos no puede demandar directamente a la empresa. En cambio, el consumidor puede presentar una queja ante el Departamento de Justicia de Oregón, que puede investigar y buscar sanciones civiles de hasta $7,500 por infracción.
Fuentes y referencias
- ORS 646A.574: Derechos del Consumidor, Incluida la Lista de Terceros Específicos(oregon.public.law)
- ORS 646A.578: Obligaciones del Controlador, Plazos de Respuesta, Apelaciones y Exclusión Voluntaria Universal(oregon.public.law)
- ORS 646A.570: Definiciones (Venta y Datos Sensibles)(oregon.public.law)
- ORS 646A.570 a 646A.589: Ley de Privacidad del Consumidor de Oregón (Capítulo Completo)(oregonlegislature.gov).gov
- Departamento de Justicia de Oregón: Privacidad del Consumidor (Ley de Privacidad del Consumidor de Oregón)(doj.state.or.us).gov
- Departamento de Justicia de Oregón: Informe de Aplicación del Primer Año de la OCPA (2025)(doj.state.or.us).gov
- ORS 646A.589: Aplicación por el Fiscal General y Sanciones Civiles(oregon.public.law)