¿Qué es la OCPA? Ley de Privacidad del Consumidor de Oregón

La Ley de Privacidad del Consumidor de Oregón (OCPA), codificada en ORS 646A.570 a 646A.589, entró en vigor el 1 de julio de 2024 para la mayoría de las empresas y el 1 de julio de 2025 para las organizaciones sin fines de lucro cubiertas. Promulgada como el Proyecto de Ley del Senado 619 y firmada por la gobernadora Tina Kotek el 18 de julio de 2023, otorga a los residentes de Oregón un conjunto completo de derechos de datos, incluida una característica que pocos otros estados igualan: el derecho a obtener una lista de los terceros específicos que recibieron datos personales, ya que el controlador decide si esa lista abarca los propios datos del consumidor o cualquier dato personal.

A partir de 2026, el Departamento de Justicia del Fiscal General de Oregón tiene la autoridad exclusiva de aplicación y puede buscar sanciones civiles de hasta $7,500 por infracción. El derecho de subsanación de 30 días en el que se apoyaban las empresas hasta 2025 expiró el 1 de enero de 2026, por lo que una empresa ya no puede contar con un período de gracia garantizado antes de que el estado actúe.

Alcance jurisdiccional: Esto cubre la Ley de Privacidad del Consumidor de Oregón (ORS 646A.570 a 646A.589). Es información legal general, no asesoría legal.

Qué es la OCPA: estatuto, promulgación y doble fecha de vigencia

La Ley de Privacidad del Consumidor de Oregón es la primera ley integral de privacidad de datos del consumidor en Oregón. Está codificada en las Secciones 646A.570 a 646A.589 de los Estatutos Revisados de Oregón y fue promulgada durante la sesión regular de 2023 como el Proyecto de Ley del Senado 619, una medida solicitada por la entonces Fiscal General Ellen Rosenblum. La gobernadora Tina Kotek firmó el SB 619 el 18 de julio de 2023.

La OCPA tiene dos fechas de vigencia, una estructura que distingue a Oregón de la mayoría de las leyes de privacidad estatales. Para la mayoría de los controladores, la ley entró en vigor el 1 de julio de 2024. Para las organizaciones sin fines de lucro cubiertas, entró en vigor un año después, el 1 de julio de 2025. Ese cronograma escalonado refleja otra distinción de Oregón: la OCPA alcanza a muchas organizaciones sin fines de lucro en absoluto. Varias otras leyes de privacidad estatales eximen por completo a las organizaciones sin fines de lucro, por lo que la comunidad sin fines de lucro en esos estados nunca tiene una fecha de cumplimiento.

La fecha diferida para las organizaciones sin fines de lucro les dio a las organizaciones benéficas, grupos de defensa y organizaciones similares tiempo adicional para construir programas de privacidad antes de que comenzaran sus obligaciones. A partir de 2026, ambas fechas de vigencia ya pasaron, por lo que cada categoría de organización cubierta, con y sin fines de lucro por igual, está ahora completamente sujeta a la OCPA.

Para conocer las obligaciones completas de controladores y encargados del procesamiento, las reglas de contenido de aviso de privacidad y los requisitos de evaluación de protección de datos, consulte la página principal de leyes de privacidad de datos de Oregón.

A quién cubre la OCPA: aplicabilidad sin umbral de ingresos

La prueba de aplicabilidad de la OCPA se encuentra en ORS 646A.572(1). La ley se aplica a una persona que hace negocios en Oregón, o que proporciona productos o servicios a residentes de Oregón, y que durante un año calendario controla o procesa los datos personales de uno de dos grupos.

El primer factor desencadenante, ORS 646A.572(1)(a)(A), es 100,000 o más consumidores, contando a todos los consumidores excepto aquellos cuyos datos se controlan o procesan "únicamente con el propósito de completar una transacción de pago". La excepción de transacción de pago significa que un minorista no cuenta cada deslizamiento de tarjeta hacia el umbral si los únicos datos involucrados son los necesarios para procesar esa única compra.

El segundo factor desencadenante, ORS 646A.572(1)(a)(B), es 25,000 o más consumidores, pero solo "mientras obtiene el 25 por ciento o más de los ingresos brutos anuales de la persona de la venta de datos personales". Este umbral menor de recuento aplica a empresas basadas en datos cuyo modelo depende de la venta de información personal.

Lo que destaca notablemente por su ausencia es cualquier piso de ingresos en dólares. Muchas leyes de privacidad estatales, incluidas las de Utah y Virginia, combinan un umbral de recuento de consumidores con un umbral de ingresos, de modo que una empresa por debajo de un nivel de ingresos anuales establecido escapa a la cobertura sin importar cuántos datos maneje. Oregón no estableció tal piso. Una empresa que cumple con el recuento de 100,000 consumidores está cubierta incluso si sus ingresos anuales son modestos. Esto hace que la red de la OCPA sea más amplia en el extremo de ingresos bajos que varios de sus estatutos pares.

La consecuencia práctica es que empresas medianas e incluso más pequeñas que procesan grandes volúmenes de datos de residentes de Oregón pueden estar cubiertas, cuando la misma empresa podría escapar a la cobertura bajo una ley que exige tanto un recuento de datos como un mínimo de ingresos.

Una industria no tiene ningún umbral en absoluto. Desde el 26 de septiembre de 2025, ORS 646A.572(1)(b), añadido por la HB 3875, aplica la OCPA a todo fabricante de vehículos motorizados y sus afiliadas que controlen o procesen datos personales obtenidos del uso que un consumidor hace de un vehículo o de un componente del vehículo, sin importar cuántos datos de consumidores de Oregón posea la empresa.

Las exenciones de Oregón: más limitadas que la mayoría de los estados

Muchas leyes de privacidad estatales otorgan amplias exenciones a nivel de entidad: si una organización es una institución financiera sujeta a la Ley Gramm-Leach-Bliley, o es una organización sin fines de lucro, toda la organización queda fuera de la ley. Oregón tomó un camino más limitado para las organizaciones sin fines de lucro y para las entidades cubiertas por HIPAA, y esa es una de las características definitorias de la OCPA.

A nivel de datos, ORS 646A.572(2) excluye la "información de salud protegida" procesada por entidades que cumplen con la HIPAA, y excluye varias categorías de datos regidas por otros marcos federales. Estas son exenciones a nivel de datos: los datos regulados específicos están exentos, no necesariamente toda la organización.

En cuanto a las instituciones financieras, Oregón en realidad otorga el mismo tipo de exención general que usan la mayoría de los estados. ORS 646A.572(2)(L) exime por completo a una institución financiera, según se define en ORS 706.008, y a cualquier afiliada o subsidiaria dedicada única y directamente a actividades financieras, de la OCPA en su totalidad, sin importar qué datos posea. Esa exención a nivel de entidad se suma a una exclusión separada a nivel de datos en ORS 646A.572(2)(k)(A) para la información manejada específicamente bajo la GLBA. Así que es el tratamiento que da Oregón a las organizaciones sin fines de lucro y a las entidades de atención médica, no a las instituciones financieras, lo que se aparta del enfoque típico de los estados.

En cuanto a las organizaciones sin fines de lucro, el contraste es más marcado. La mayoría de las leyes de privacidad estatales eximen a todas las organizaciones sin fines de lucro. Oregón no lo hace. Solo excluye categorías limitadas, como una organización sin fines de lucro que detecta y previene el fraude de seguros, y la actividad no comercial de editores y radiodifusores. El grueso de las organizaciones sin fines de lucro de Oregón está cubierto, por lo que la legislatura les dio una fecha de vigencia diferida al 1 de julio de 2025. Un grupo de defensa del consumidor, un museo o una asociación de membresía que cumpla con los umbrales de aplicabilidad generalmente está sujeto a la OCPA.

Las corporaciones públicas y los organismos públicos, incluidos organismos como la Universidad de Salud y Ciencias de Oregón y el Colegio de Abogados de Oregón, se abordan dentro de la lista de exenciones de ORS 646A.572(2). Las empresas deben mapear cada conjunto de datos y entidad frente a la lista de exenciones en lugar de asumir que un solo estatus regulatorio saca a toda la organización de la ley.

La amplia definición de datos sensibles

Los datos sensibles ocupan el centro de la OCPA porque procesarlos requiere consentimiento previo. La definición en ORS 646A.570(18) es notablemente amplia en comparación con los estados pares.

Según ORS 646A.570(18)(a)(A), los datos sensibles incluyen datos personales que "revelan el origen racial o étnico de un consumidor, origen nacional, creencias religiosas, condición o diagnóstico mental o físico, orientación sexual, condición de persona transgénero o no binaria, condición de víctima de un delito o condición de ciudadanía o inmigración". Dos de esas categorías destacan. La inclusión explícita de la "condición de persona transgénero o no binaria" es poco común en la ley de privacidad estatal, y la inclusión de la "condición de víctima de un delito" también es poco común. Muchos estados cubren la orientación sexual y la condición de inmigración, pero la mención explícita de Oregón de la condición transgénero o no binaria y la condición de víctima de un delito amplía el conjunto protegido.

La definición continúa. ORS 646A.570(18)(a)(B) cubre "los datos personales de un menor". ORS 646A.570(18)(a)(C) cubre datos de ubicación precisa, específicamente datos que "identifican con precisión, dentro de un radio de 1,750 pies, la ubicación presente o pasada de un consumidor". ORS 646A.570(18)(a)(D) cubre datos que "son genéticos o biométricos".

Debido a que los datos sensibles activan un requisito de consentimiento previo, la amplitud de la definición de Oregón tiene un peso operativo real. Un controlador que procesa datos que revelan la condición de inmigración de un consumidor o su condición transgénero, o que procesa geolocalización precisa, debe obtener consentimiento afirmativo primero. Una definición más amplia significa que más categorías de datos caen dentro de la puerta de consentimiento.

Dos de estas categorías tienen una regla más estricta que el consentimiento para un uso específico. Desde el 1 de enero de 2026, ORS 646A.578(2)(d) prohíbe la venta de datos personales por completo cuando el controlador sabe, o desestima deliberadamente, que el consumidor es menor de 16 años, y prohíbe la venta de datos de geolocalización precisa dentro de 1,750 pies. El consentimiento no permite estas ventas; a diferencia del resto de la lista de datos sensibles, se trata de una prohibición absoluta, no de una puerta de consentimiento.

El derecho a la lista de terceros específicos: la característica distintiva de Oregón

El derecho del consumidor más distintivo de la OCPA es la posibilidad de conocer exactamente qué terceros recibieron los datos de un consumidor. Según ORS 646A.574(1)(a)(B), un consumidor puede solicitar "una lista de terceros específicos, distintos de personas físicas", a los que el controlador ha divulgado los datos personales del consumidor, o, a opción del controlador, cualquier dato personal.

Esto es significativamente diferente de la divulgación que exigen la mayoría de las leyes de privacidad estatales. Bajo el modelo más común, un consumidor solo puede conocer las categorías de terceros, como "socios publicitarios" o "proveedores de análisis de datos". Oregón va más allá y permite al consumidor solicitar las entidades nombradas y específicas. Oregón fue líder al agregar este derecho, y a partir de 2026 sigue siendo poco común a nivel nacional.

Para las empresas, el derecho a la lista de terceros específicos es una de las obligaciones más difíciles de diseñar dentro de la OCPA, porque requiere rastrear las divulgaciones a nivel de destinatarios nombrados en lugar de categorías amplias. Para los consumidores, ofrece mucha más transparencia sobre a dónde realmente viajaron sus datos. La guía de derechos del consumidor de Oregón cubre este derecho y el procedimiento de respuesta en profundidad.

OCPA vs. CCPA: las diferencias clave

La OCPA de Oregón y la CCPA de California a menudo son comparadas por empresas que operan a nivel nacional. La página de comparación de leyes estatales de privacidad de datos cubre el panorama multiestatal más amplio, pero varias diferencias entre la OCPA y la CCPA de California destacan.

Las diferencias más consecuentes son la red de cobertura y el derecho a la lista de terceros. La ausencia de un piso de ingresos en dólares en Oregón atrae a empresas que el umbral de ingresos de $25 millones de la CCPA dejaría fuera, y el derecho a la lista de terceros específicos de Oregón otorga a los consumidores un nivel de transparencia que la divulgación a nivel de categoría de la CCPA no ofrece.

Las dos leyes también difieren en cuanto a los datos sensibles. California utiliza un "derecho a limitar" el uso de información personal sensible, un modelo de exclusión voluntaria. Oregón exige consentimiento previo antes de que se puedan procesar datos sensibles en absoluto, un valor predeterminado más estricto para esos datos.

Más Leyes de Oregón

• Leyes de Grabación de Reuniones con IA de Oregón
• Leyes de Pensión Alimenticia de Oregón
• Leyes de Empleo a Voluntad de Oregón
• Leyes de Accidentes de Auto de Oregón
• Leyes de Asientos de Auto para Niños de Oregón
• Leyes de Custodia de Menores de Oregón
• Leyes de Manutención Infantil de Oregón
• Leyes de Matrimonio de Hecho de Oregón
• Leyes sobre Deepfakes de Oregón
• Leyes de Divorcio de Oregón
• Leyes sobre Mordeduras de Perro de Oregón
• Leyes de Emancipación de Oregón
• Leyes de Eliminación de Antecedentes Penales de Oregón
• Leyes sobre Choque y Fuga de Oregón
• Leyes de Propietarios e Inquilinos de Oregón
• Leyes de Vehículos Defectuosos (Ley del Limón) de Oregón

Guías relacionadas

• Leyes de privacidad de datos de Oregón página principal
• Derechos del consumidor bajo la OCPA
• Lista de verificación de cumplimiento de la OCPA
• Comparación de leyes estatales de privacidad de datos
• ¿Qué es la CCPA?

Preguntas frecuentes

¿Qué es la OCPA?

La OCPA, o Ley de Privacidad del Consumidor de Oregón, es la ley integral de privacidad de datos del consumidor de Oregón, codificada en ORS 646A.570 a 646A.589. Fue promulgada como el Proyecto de Ley del Senado 619, firmada por la gobernadora Tina Kotek el 18 de julio de 2023, y entró en vigor el 1 de julio de 2024 para la mayoría de los controladores y el 1 de julio de 2025 para las organizaciones sin fines de lucro cubiertas. Otorga a los residentes de Oregón derechos sobre sus datos personales y exige a las empresas cubiertas ser transparentes sobre cómo los recopilan, usan y divulgan.

¿Cuándo entró en vigor la OCPA?

La OCPA tiene dos fechas de vigencia. Para la mayoría de los controladores, entró en vigor el 1 de julio de 2024. Para las organizaciones sin fines de lucro cubiertas, entró en vigor un año después, el 1 de julio de 2025. A partir de 2026, ambas fechas ya pasaron, por lo que cada categoría de organización cubierta está completamente sujeta a la ley. Un requisito separado de reconocer una señal de exclusión voluntaria universal entró en vigor el 1 de enero de 2026.

¿Tiene la OCPA un umbral de ingresos?

No. Según ORS 646A.572(1), la OCPA cubre a cualquier persona que haga negocios en Oregón o atienda a residentes de Oregón que controle o procese los datos personales de 100,000 o más consumidores, o de 25,000 o más consumidores mientras obtiene el 25 por ciento o más de sus ingresos brutos anuales de la venta de datos personales. A diferencia de Utah y Virginia, Oregón no establece un piso de ingresos en dólares, por lo que una empresa puede estar cubierta solo por el volumen de datos. Una industria no tiene ningún umbral en absoluto: desde el 26 de septiembre de 2025, los fabricantes de vehículos motorizados y sus afiliadas deben cumplir sin importar el recuento de consumidores, según ORS 646A.572(1)(b), añadido por la HB 3875.

¿Se aplica la OCPA a las organizaciones sin fines de lucro?

Sí, generalmente. Oregón es inusual al cubrir a muchas organizaciones sin fines de lucro, mientras que varios otros estados las eximen por completo. ORS 646A.572(2) solo excluye categorías limitadas, como una organización sin fines de lucro que detecta y previene el fraude de seguros y cierta actividad mediática no comercial. La mayoría de las organizaciones sin fines de lucro que cumplen con los umbrales de aplicabilidad están cubiertas, por lo que la legislatura les dio una fecha de vigencia diferida al 1 de julio de 2025.

¿Qué se considera dato sensible bajo la OCPA?

Según ORS 646A.570(18), los datos sensibles incluyen datos que revelan origen racial o étnico, origen nacional, creencias religiosas, condición o diagnóstico mental o físico, orientación sexual, condición de persona transgénero o no binaria, condición de víctima de un delito, y condición de ciudadanía o inmigración. También incluye los datos personales de un menor, datos genéticos o biométricos, y geolocalización precisa dentro de 1,750 pies. Procesar datos sensibles generalmente requiere consentimiento previo, pero dos categorías van más allá: desde el 1 de enero de 2026, ORS 646A.578(2)(d) prohíbe por completo la venta de los datos de geolocalización precisa de un consumidor y la venta de datos personales pertenecientes a un consumidor conocido como menor de 16 años, sin importar el consentimiento.

¿Cuál es el derecho de Oregón a la lista de terceros específicos?

Según ORS 646A.574(1)(a)(B), un consumidor de Oregón puede solicitar una lista de los terceros específicos, distintos de personas físicas, a los que el controlador divulgó los datos personales del consumidor, o, a opción del controlador, cualquier dato personal. Esto es más amplio que la divulgación a nivel de categoría que exige la mayoría de las leyes estatales, porque identifica a los destinatarios nombrados en lugar de grupos amplios. Oregón fue pionero en este derecho, y sigue siendo poco común a partir de 2026.

¿En qué se diferencia la OCPA de la CCPA?

Diferencias clave: Oregón no tiene un umbral de ingresos en dólares, mientras que la CCPA de California utiliza un piso de $25 millones en ingresos entre sus factores desencadenantes; Oregón generalmente cubre a las organizaciones sin fines de lucro, mientras que California generalmente las exime; Oregón permite a los consumidores solicitar terceros específicos nombrados, mientras que California divulga categorías; Oregón exige consentimiento previo para los datos sensibles, mientras que California utiliza un derecho de exclusión voluntaria para limitar; y California tiene un derecho de acción privado limitado para ciertas violaciones de datos, mientras que Oregón no tiene ninguno.

¿Quién hace cumplir la OCPA?

El Fiscal General de Oregón, a través del Departamento de Justicia de Oregón, tiene la autoridad exclusiva de aplicación según ORS 646A.589(7). No existe derecho de acción privado. Las sanciones civiles alcanzan hasta $7,500 por infracción según ORS 646A.589(4)(a). El derecho de subsanación de 30 días en el que se apoyaban los controladores hasta 2025 expiró el 1 de enero de 2026, por lo que ya no existe un período garantizado de subsanación.