Derechos del Consumidor bajo la OCPA: Ley de Privacidad del Consumidor de Oregón

La Ley de Privacidad del Consumidor de Oregón (OCPA), codificada en ORS 646A.570 a 646A.589, otorga a los residentes de Oregón el derecho a acceder, corregir, eliminar y portar sus datos personales, a excluirse de la publicidad dirigida, la venta de datos y cierto perfilamiento, y, de manera distintiva, a solicitar una lista de los terceros específicos que recibieron sus datos. Los controladores deben responder a una solicitud verificada en un plazo de 45 días según ORS 646A.576.

A partir de 2026, estos derechos son aplicados exclusivamente por el Fiscal General de Oregón, y el derecho de subsanación de 30 días en el que se apoyaban los controladores hasta 2025 expiró el 1 de enero de 2026. Los consumidores a quienes se les niegue una solicitud pueden apelar, y un controlador debe actuar sobre la señal de exclusión voluntaria universal a partir del 1 de enero de 2026.

Alcance jurisdiccional: Esto cubre la Ley de Privacidad del Consumidor de Oregón (ORS 646A.570 a 646A.589). Es información legal general, no asesoría legal.

El conjunto completo de derechos del consumidor bajo la OCPA

La OCPA otorga a los residentes de Oregón un conjunto completo de derechos de datos, establecidos en ORS 646A.574. El Departamento de Justicia de Oregón los resume con la regla mnemotécnica LOCKED (en inglés): List (Lista), Opt-out (Exclusión), Copy (Copia), Know (Conocer), Edit (Editar) y Delete (Eliminar). Los derechos establecidos por ley coinciden con ese esquema.

Según ORS 646A.574(1)(a)(A), un consumidor tiene derecho a la confirmación "de si el controlador está procesando o ha procesado los datos personales del consumidor y las categorías de datos personales que el controlador está procesando o ha procesado". El derecho a los datos en sí figura un subapartado después: según ORS 646A.574(1)(a)(C), el consumidor puede obtener "una copia de todos los datos personales del consumidor que el controlador ha procesado o está procesando". Según ORS 646A.574(1)(b), el consumidor puede "exigir a un controlador que corrija inexactitudes en los datos personales del consumidor", teniendo en cuenta la naturaleza y el propósito del procesamiento. Según ORS 646A.574(1)(c), el consumidor puede "exigir a un controlador que elimine los datos personales del consumidor", incluidos los datos que el consumidor proporcionó y los datos que el controlador obtuvo o recopiló de otra manera.

La portabilidad de datos se vincula al derecho de copia. Según ORS 646A.574(2), un controlador que proporciona una copia de los datos personales bajo ORS 646A.574(1)(a)(C) "debe proporcionar los datos personales en un formato portátil y, en la medida técnicamente factible, fácilmente utilizable, que permita al consumidor transmitir los datos personales a otra persona sin obstáculos". Dos detalles importan. El destinatario es "otra persona", no solo otro controlador, y Oregón no impone ninguna condición de que el procesamiento se realice por medios automatizados, a diferencia del derecho de portabilidad del RGPD.

Estos derechos aplican a los "consumidores", es decir, a los residentes de Oregón que actúan en un contexto individual o doméstico. Los datos sobre personas que actúan en un contexto comercial o laboral generalmente quedan fuera de la definición de consumidor. La guía general de la OCPA de Oregón explica cómo encajan la aplicabilidad y la definición de consumidor.

El derecho a la lista de terceros específicos, en primer plano

El derecho distintivo de Oregón es la posibilidad de conocer exactamente qué terceros recibieron los datos de un consumidor. ORS 646A.574(1)(a)(B) otorga a un consumidor el derecho a obtener "una lista de terceros específicos, distintos de personas físicas", a los que el controlador ha divulgado los datos personales del consumidor. A opción del controlador, este puede, en su lugar, proporcionar una lista de los terceros específicos a los que ha divulgado cualquier dato personal.

La frase "terceros específicos" es el lenguaje operativo. La mayoría de las leyes de privacidad estatales exigen que un controlador divulgue solo las categorías de terceros con los que comparte datos, como "redes de publicidad" o "proveedores de servicios". Oregón va más allá. Un consumidor puede solicitar las entidades nombradas, no solo las agrupaciones. La excepción para "personas físicas" significa que el controlador no necesita enumerar a personas individuales, pero debe identificar a las empresas y organizaciones que recibieron los datos.

Este derecho es una de las obligaciones más difíciles de cumplir operativamente dentro de la OCPA, porque requiere que un controlador rastree las divulgaciones a nivel de destinatarios identificables. Un controlador que comparte datos con docenas de proveedores y socios debe poder reconstruir, para un consumidor determinado o al menos a nivel del sistema, qué entidades específicas recibieron datos personales. Para los consumidores, el resultado es un nivel de transparencia que expone el flujo real de su información. Oregón fue pionero en este derecho, y a partir de 2026 sigue siendo poco común entre las leyes de privacidad estatales.

Derechos de exclusión voluntaria: publicidad dirigida, venta y perfilamiento

ORS 646A.574(1)(d) otorga a los consumidores el derecho a excluirse de tres categorías de procesamiento. La primera, según ORS 646A.574(1)(d)(A), es la publicidad dirigida, es decir, la publicidad seleccionada con base en datos personales obtenidos de las actividades del consumidor en sitios web o aplicaciones no afiliados. La segunda, según ORS 646A.574(1)(d)(B), es la venta de datos personales. La tercera, según ORS 646A.574(1)(d)(C), es el "perfilamiento del consumidor en apoyo de decisiones que produzcan efectos legales o efectos de importancia similar".

La exclusión del perfilamiento importa más en contextos de decisiones automatizadas. El perfilamiento que afecta el acceso de un consumidor al crédito, el empleo, la vivienda, el seguro, la educación u oportunidades similares queda dentro de este derecho. Un consumidor que no desee que el perfilamiento automatizado impulse tales decisiones puede excluirse.

La definición de Oregón de "venta" en ORS 646A.570(17) es amplia. Cubre "el intercambio de datos personales por contraprestación monetaria o de otro valor por parte del controlador con un tercero". La inclusión de "otra contraprestación de valor", no solo dinero, significa que los intercambios de datos y otras transacciones no monetarias pueden contar como ventas que activan el derecho de exclusión voluntaria. El estatuto enumera exclusiones, incluidas las divulgaciones a encargados del procesamiento, las divulgaciones a afiliados y las divulgaciones dirigidas por un consumidor, por lo que no toda transferencia de datos es una venta.

Plazos de respuesta: 45 días más una prórroga

Los controladores deben actuar sobre una solicitud verificada del consumidor dentro de un plazo definido. Según ORS 646A.576, un controlador debe responder a la solicitud de un consumidor sin demora indebida y, en todo caso, dentro de los 45 días posteriores a la recepción de la solicitud. Cuando sea razonablemente necesario, el controlador puede extender el período de respuesta por 45 días adicionales, para un total de 90 días, siempre que informe al consumidor de la prórroga y del motivo dentro del plazo inicial de 45 días.

Si un controlador se niega a actuar sobre una solicitud, debe informar al consumidor sin demora indebida, y dentro del plazo de 45 días, de los motivos para no actuar y de cómo el consumidor puede apelar la decisión. El controlador generalmente debe proporcionar información en respuesta a una solicitud del consumidor de forma gratuita, una vez durante cualquier período de 12 meses. Puede cobrar una tarifa razonable para cubrir el costo administrativo de una segunda solicitud o solicitudes posteriores dentro de ese mismo período de 12 meses, excepto cuando la solicitud repetida sea para verificar que el controlador efectivamente corrigió o eliminó los datos del consumidor según lo prometido, lo cual sigue siendo gratuito.

Los controladores también deben establecer un medio confiable para que los consumidores presenten solicitudes y las autentiquen. Un controlador no puede exigir a un consumidor que cree una nueva cuenta para ejercer un derecho, aunque puede exigir que el consumidor use una cuenta existente.

El mecanismo de exclusión voluntaria universal, vigente desde el 1 de enero de 2026

Oregón exige a los controladores respetar una señal de exclusión voluntaria a nivel de plataforma a partir del 1 de enero de 2026. Según ORS 646A.578, un controlador que procesa datos personales para publicidad dirigida o que vende datos personales debe permitir que un consumidor se excluya mediante un mecanismo de exclusión voluntaria universal, una tecnología que comunica la elección de exclusión del consumidor sin que este tenga que visitar a cada controlador individualmente.

El Control de Privacidad Global (Global Privacy Control, GPC), una señal a nivel de navegador compatible con un conjunto creciente de navegadores y extensiones, es el ejemplo principal de este tipo de mecanismo. El Departamento de Justicia de Oregón ha identificado el Control de Privacidad Global como una señal válida. El mecanismo debe reflejar la elección afirmativa y voluntaria del propio consumidor, y no una configuración predeterminada impuesta por un navegador o una plataforma.

El efecto práctico es significativo. Un consumidor que activa una señal válida se excluye de una sola vez ante todos los controladores participantes, en lugar de hacer clic en un enlace de exclusión en cada sitio web. A partir de 2026, los controladores que procesan datos para publicidad dirigida o que venden datos personales deben detectar y respetar estas señales. La lista de verificación de cumplimiento de la OCPA cubre lo que las empresas deben implementar para reconocerlas.

Prohibiciones absolutas añadidas por la HB 2008, vigentes desde el 1 de enero de 2026

La Ley de la Cámara 2008 (sesión de 2025), promulgada como el Capítulo 251 de las Leyes de Oregón de 2025, modifica ORS 646A.578(2) para añadir prohibiciones absolutas además de los derechos de exclusión voluntaria anteriores, vigentes desde el 1 de enero de 2026. Un controlador no puede vender datos personales, usarlos para publicidad dirigida, ni perfilar a un consumidor que sepa, o desestime deliberadamente, que es menor de 16 años. Esto reemplaza la banda de edad anterior de 13 a 15 años, que permitía esas actividades con el consentimiento del consumidor.

La HB 2008 también prohíbe la venta de datos de geolocalización precisa por completo. Desde el 1 de enero de 2026, un controlador no puede vender los datos de ubicación pasada o presente precisa de un consumidor, sin importar la edad del consumidor ni el consentimiento. A diferencia de los derechos de exclusión voluntaria, estas son prohibiciones que un consumidor no puede renunciar al no excluirse.

El proceso de apelación

La OCPA incorpora un derecho de apelación cuando un controlador niega una solicitud. Según ORS 646A.576, un controlador debe establecer un proceso para que un consumidor apele la negativa del controlador a actuar sobre una solicitud. El proceso de apelación debe estar disponible de forma visible y ser similar al proceso para presentar la solicitud original.

Dentro de los 45 días posteriores a la recepción de una apelación, el controlador debe informar por escrito al consumidor sobre cualquier acción tomada o no tomada en respuesta, junto con una explicación escrita de los motivos. Si el controlador deniega la apelación, debe proporcionar al consumidor un mecanismo en línea, si está disponible, u otro método, para contactar al Fiscal General de Oregón y presentar una queja.

Ese vínculo con el Fiscal General es importante. Debido a que la OCPA no tiene derecho de acción privado, un consumidor que considere que un controlador negó indebidamente una solicitud no puede demandar directamente al controlador. El camino conduce al Departamento de Justicia de Oregón, que puede investigar y hacer cumplir la ley. La guía general de la OCPA explica la estructura de aplicación con más detalle.

Derechos y plazos de un vistazo

Cómo se comparan los derechos de la OCPA a nivel nacional

Los derechos de Oregón siguen el patrón general que comparten la mayoría de las leyes de privacidad estatales posteriores a 2020: acceso, corrección, eliminación, portabilidad y exclusión voluntaria. Oregón se distingue en el derecho a la lista de terceros específicos y en la amplitud de su definición de datos sensibles, que alimenta el requisito de consentimiento previo cubierto en la guía general de la OCPA.

En comparación con la CCPA de California, la estructura de exclusión voluntaria de Oregón para datos sensibles es más estricta. California utiliza un derecho a limitar el uso de información personal sensible, un modelo de exclusión voluntaria, mientras que Oregón exige consentimiento previo antes de que se puedan procesar datos sensibles. En cuanto a la transparencia de divulgación, la lista de terceros nombrados de Oregón va más allá de la divulgación a nivel de categoría de la CCPA. La página de comparación de leyes estatales de privacidad de datos muestra estas diferencias en todas las leyes estatales vigentes.

Más Leyes de Oregón

• Leyes de Grabación de Reuniones con IA de Oregón
• Leyes de Pensión Alimenticia de Oregón
• Leyes de Empleo a Voluntad de Oregón
• Leyes de Accidentes de Auto de Oregón
• Leyes de Asientos de Auto para Niños de Oregón
• Leyes de Custodia de Menores de Oregón
• Leyes de Manutención Infantil de Oregón
• Leyes de Matrimonio de Hecho de Oregón
• Leyes sobre Deepfakes de Oregón
• Leyes de Divorcio de Oregón
• Leyes sobre Mordeduras de Perro de Oregón
• Leyes de Emancipación de Oregón
• Leyes de Eliminación de Antecedentes Penales de Oregón
• Leyes sobre Choque y Fuga de Oregón
• Leyes de Propietarios e Inquilinos de Oregón
• Leyes de Vehículos Defectuosos (Ley del Limón) de Oregón

Guías relacionadas

• Leyes de privacidad de datos de Oregón página principal
• ¿Qué es la OCPA?
• Lista de verificación de cumplimiento de la OCPA
• Comparación de leyes estatales de privacidad de datos
• ¿Qué es la CCPA?

Preguntas frecuentes

¿Qué derechos tienen los consumidores de Oregón bajo la OCPA?

Según ORS 646A.574, los residentes de Oregón pueden confirmar si un controlador está procesando sus datos personales y conocer las categorías involucradas, obtener una copia de todos esos datos, corregir inexactitudes y eliminar sus datos. También pueden excluirse de la publicidad dirigida, la venta de datos personales y el perfilamiento en apoyo de decisiones que produzcan efectos legales o de importancia similar. De manera distintiva, pueden solicitar una lista de los terceros específicos a los que el controlador divulgó sus datos. El Departamento de Justicia de Oregón resume esto como LOCKED: List (Lista), Opt-out (Exclusión), Copy (Copia), Know (Conocer), Edit (Editar), Delete (Eliminar).

¿Qué es el derecho a la lista de terceros específicos?

Según ORS 646A.574(1)(a)(B), un consumidor de Oregón puede solicitar una lista de los terceros específicos, distintos de personas físicas, a los que el controlador divulgó los datos personales del consumidor, o, a opción del controlador, cualquier dato personal. A diferencia de la mayoría de los estados, que solo exigen divulgación a nivel de categoría, como socios publicitarios, Oregón permite al consumidor conocer las entidades nombradas que recibieron los datos. Oregón fue pionero en este derecho, y sigue siendo poco común a nivel nacional a partir de 2026.

¿Cuánto tiempo tiene un controlador para responder a una solicitud?

Según ORS 646A.576, un controlador debe responder dentro de los 45 días posteriores a la recepción de una solicitud verificada. Puede extender el período por 45 días adicionales, para un total de 90 días, cuando sea razonablemente necesario, siempre que notifique al consumidor de la prórroga y del motivo dentro del plazo original de 45 días. Si un controlador se niega a actuar, debe indicar al consumidor el motivo y cómo apelar dentro de ese mismo plazo de 45 días.

¿En qué formato debe entregar mis datos un controlador?

Según ORS 646A.574(2), un controlador que proporciona una copia de los datos personales bajo ORS 646A.574(1)(a)(C) debe entregarlos en un formato portátil y, en la medida técnicamente factible, fácilmente utilizable, que permita al consumidor transmitir los datos personales a otra persona sin obstáculos. El estatuto dice otra persona, no solo otro controlador, y no limita el derecho a los datos que el controlador procesó por medios automatizados.

¿De qué pueden excluirse los consumidores de Oregón?

Según ORS 646A.574(1)(d), los consumidores pueden excluirse de tres cosas: la publicidad dirigida, la venta de datos personales y el perfilamiento en apoyo de decisiones que produzcan efectos legales o de importancia similar, como decisiones sobre crédito, empleo, vivienda o seguros. La definición de venta de Oregón en ORS 646A.570(17) es amplia y cubre el intercambio de datos personales por contraprestación monetaria o de otro valor, por lo que los intercambios de datos no monetarios pueden activar el derecho de exclusión voluntaria.

¿Prohíbe Oregón vender datos de ubicación o de menores de 16 años por completo, más allá de los derechos de exclusión voluntaria?

Sí. Desde el 1 de enero de 2026, la HB 2008 modificó ORS 646A.578(2) para añadir prohibiciones absolutas además de los derechos de exclusión voluntaria. Un controlador no puede vender datos personales, usarlos para publicidad dirigida ni perfilar a un consumidor que sepa, o desestime deliberadamente, que es menor de 16 años, lo que reemplaza la banda de consentimiento anterior de 13 a 15 años. Un controlador tampoco puede vender los datos de geolocalización precisa de un consumidor en absoluto, sin importar la edad o el consentimiento.

¿Exige Oregón respetar el Control de Privacidad Global?

Sí, a partir del 1 de enero de 2026. Según ORS 646A.578, los controladores que procesan datos personales para publicidad dirigida o que venden datos personales deben permitir que los consumidores se excluyan mediante un mecanismo de exclusión voluntaria universal. El Departamento de Justicia de Oregón ha identificado el Control de Privacidad Global como una señal válida. El mecanismo debe reflejar la elección afirmativa del propio consumidor y no una configuración predeterminada, y una señal válida excluye al consumidor de una sola vez ante todos los controladores participantes.

¿Puede un consumidor de Oregón apelar una solicitud denegada?

Sí. Según ORS 646A.576, un controlador debe ofrecer un proceso de apelación visible y similar a su proceso de solicitud. Dentro de los 45 días posteriores a la recepción de una apelación, el controlador debe informar por escrito al consumidor qué acción tomó y explicar los motivos. Si se deniega la apelación, el controlador debe darle al consumidor una forma de presentar una queja ante el Fiscal General de Oregón, porque la OCPA no tiene derecho de acción privado.

¿Hay una tarifa por ejercer los derechos de la OCPA?

Generalmente no. Según ORS 646A.576, un controlador debe responder a una solicitud del consumidor de forma gratuita una vez durante cualquier período de 12 meses. Puede cobrar una tarifa razonable por el costo administrativo de una segunda solicitud o solicitudes posteriores dentro de ese mismo período de 12 meses, a menos que la solicitud repetida sea para verificar que el controlador efectivamente corrigió o eliminó los datos del consumidor según lo prometido, lo cual sigue siendo gratuito. Un controlador tampoco puede obligar a un consumidor a crear una nueva cuenta para ejercer un derecho.

¿Puede un consumidor de Oregón demandar a una empresa bajo la OCPA?

No. Según ORS 646A.589(7), el Fiscal General de Oregón tiene la autoridad exclusiva para hacer cumplir la OCPA, y el estatuto no crea un derecho de acción privado. Un consumidor que considere que un controlador ignoró o negó indebidamente una solicitud de derechos no puede demandar directamente a la empresa. En cambio, el consumidor puede presentar una queja ante el Departamento de Justicia de Oregón, que puede investigar y buscar sanciones civiles de hasta $7,500 por infracción.