Abrir espacio

Guía · Ley estatal de EE. UU.

OCPA: la ley de Oregón explicada para quienes tienen anuncios

La ley de Oregón se aplica también a las entidades sin fines de lucro, da al visitante el derecho de saber exactamente qué empresas recibieron sus datos y, desde 2026, exige respetar la señal automática de rechazo del navegador. Mira qué cambia para un sitio con anuncios.

Auditar mi sitio para OregónLeer la guía
  • ✓Basado en la ley y en los comunicados del Departamento de Justicia de Oregón
  • ✓Ejemplos pensados para sitios con AdSense y Ad Manager
  • ✓Auditoría de solo lectura, sin modificar el sitio
100 milconsumidores de Oregón por año: el principal umbral para que la ley se aplique
16edad por debajo de la cual la venta de datos y la publicidad dirigida están prohibidas desde 2026
214reclamaciones recibidas por la unidad de privacidad del estado en el primer año de la ley
US$ 7.500multa civil máxima por infracción

Qué es

Una ley con transparencia sobre quién recibe los datos

La Oregon Consumer Privacy Act, u OCPA, se aprobó en 2023 y entró en vigor el 1 de julio de 2024 para la mayoría de las empresas. Para las entidades sin fines de lucro, rige desde el 1 de julio de 2025, un punto que la diferencia de varios otros estados.

La estructura sigue el modelo de Virginia y Colorado: derechos del consumidor, opt-out de publicidad dirigida y de venta, consentimiento para datos sensibles y evaluaciones de protección de datos.

Lo propio de Oregón es el derecho de pedir la lista de las empresas específicas que recibieron los datos de la persona. Para un sitio con anuncios, esto significa saber exactamente qué socios reciben datos de los visitantes.

Desde el 1 de enero de 2026, pesan más tres cambios: el sitio debe respetar la señal universal de rechazo, terminó el plazo de 30 días para corregir antes de la acción y los menores de 16 años obtuvieron protección total contra la venta y la publicidad dirigida.

Lista de verificación

Lo que debes cumplir

Si el sitio supera los límites de la OCPA, esta es la lista básica, de lo más urgente a lo menos.

  1. Tener un enlace de rechazo claro y visible

    El sitio necesita un enlace claro y visible para que el visitante rechace la publicidad dirigida, la venta y los perfiles. El Departamento de Justicia avisa que un banner de cookies puede no bastar.

    Ejemplo

    Enlace en el pie de página: Do Not Sell or Share My Personal Information, que lleve a una pantalla de rechazo.

  2. Respetar la señal universal de rechazo

    Desde el 1 de enero de 2026, el sitio tiene que respetar las señales de preferencia enviadas por el navegador, como el Global Privacy Control.

    Ejemplo

    Visitante con GPC activado: detén la venta y la publicidad dirigida para él, sin pedir nada más.

  3. Proteger a quien tiene menos de 16 años

    Desde 2026, la ley prohíbe vender datos de quien tiene menos de 16 años y usar esos datos para publicidad dirigida o perfiles.

    Ejemplo

    En un área del sitio para adolescentes, muestra solo anuncios no personalizados.

  4. Pedir consentimiento para datos sensibles

    Salud, ubicación precisa y datos de niños menores de 13 años solo con consentimiento. Desde 2026, vender la ubicación precisa está prohibido para cualquier persona.

  5. Publicar un aviso de privacidad completo

    El aviso describe los datos tratados, las finalidades, si se pasan a terceros y cómo ejercer los derechos. Quien pasa datos lista las categorías de datos y de terceros.

    Ejemplo

    Categorías de terceros: empresas de anuncios, empresas de análisis de datos, corredores de datos.

  6. Responder solicitudes en un máximo de 45 días

    Responde en un máximo de 45 días, con una prórroga de otros 45 si avisas el motivo. El visitante también puede pedir la lista de los terceros específicos que recibieron sus datos.

    Ejemplo

    Ten lista la relación de socios de anuncios que reciben datos, con el nombre de cada empresa.

  7. Hacer la evaluación de protección de datos

    Antes de usar datos para publicidad dirigida, venta, perfiles o datos sensibles, la empresa evalúa los riesgos por escrito.

  8. Llevar el rechazo hasta Google

    Google no exige una CMP para los estados de EE. UU. Usa el mensaje de reglamentos estatales de EE. UU., en Privacidad y mensajes, o activa el procesamiento restringido de datos, el RDP, en la etiqueta para quien rechazó. Con GPP, Google lee la sección US National para Oregón.

    Ejemplo

    AdSense o Ad Manager: Privacidad y mensajes, tarjeta Reglamentos estatales de EE. UU., Crear. Después elige los sitios y publica.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

En la práctica

Lo correcto y lo incorrecto

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada ni GPP para las leyes estatales de EE. UU. Puedes usar el mensaje del propio Google o activar el RDP en la etiqueta.

A quién se aplica

Volumen de visitantes, con o sin fines de lucro

La OCPA se aplica a quien hace negocios en Oregón u ofrece productos y servicios a residentes del estado y alcanza uno de los umbrales siguientes en un año.

100 mil consumidores

Controlar o procesar datos de al menos 100 mil consumidores de Oregón, sin contar los datos usados solo para completar un pago.

25 mil y un cuarto de los ingresos

Procesar datos de al menos 25 mil consumidores y obtener el 25% o más de los ingresos brutos anuales de la venta de datos personales.

Entidades sin fines de lucro

Desde el 1 de julio de 2025, las organizaciones sin fines de lucro que superan los umbrales también deben cumplir la ley.

Fabricantes de vehículos

Desde septiembre de 2025, todos los fabricantes de vehículos están en la ley, sin importar el número de consumidores de Oregón.

Definiciones

Los términos que importan para quien vende anuncios

Oregón tiene una lista amplia de datos sensibles y define la venta incluyendo los intercambios sin dinero.

Dato personal

Información vinculada o que pueda vincularse razonablemente a una persona o a un dispositivo vinculado a ella. Los datos anonimizados y públicos quedan fuera.

Dato sensible

Origen racial o étnico, origen nacional, religión, salud, orientación sexual, identidad trans o no binaria, ser víctima de un delito, situación migratoria, datos de menores, genéticos, biométricos y ubicación en un radio de 1.750 pies.

Venta

Intercambio de datos personales por dinero o por otro valor con un tercero. Quedan fuera las transferencias a encargados contratados y las hechas a pedido del consumidor.

Publicidad dirigida

Anuncio elegido con base en datos de las actividades de la persona a lo largo del tiempo en sitios y apps de otras empresas. El anuncio contextual y la medición de alcance no entran.

Derechos

Qué puede pedir el visitante de Oregón

El visitante puede confirmar si la empresa trata sus datos, acceder a ellos, corregirlos, eliminarlos y recibir una copia en un formato que pueda llevar a otro servicio. También puede rechazar la publicidad dirigida, la venta de datos y los perfilados usados en decisiones importantes.

El derecho propio de Oregón es pedir la lista de las empresas específicas, y no solo de las categorías, a las que la empresa transfirió sus datos. En un sitio con anuncios, esa lista puede incluir a Google, las redes de header bidding, las plataformas de video y los píxeles de redes sociales.

La empresa debe confirmar la identidad de quien pide y responder dentro del plazo de 45 días. Las solicitudes de eliminación también deben atenderse en un máximo de 45 días, salvo excepciones.

En el informe del primer año, el Departamento de Justicia dijo que el derecho de eliminación fue el que los residentes más reportaron como denegado.

Obligaciones del sitio

Aviso de privacidad, rechazo universal y menores

El aviso de privacidad debe explicar qué datos se tratan, para qué, con quién se comparten y cómo ejercer los derechos. Si el sitio vende datos o hace publicidad dirigida, debe decirlo de forma clara y mostrar cómo rechazarlo.

Desde el 1 de enero de 2026, el sitio también debe respetar los mecanismos universales de rechazo, como una configuración del navegador o una extensión que envía la señal, como el Global Privacy Control. Quien tiene la señal activada debe ser tratado como quien rechazó, sin un clic adicional.

Los datos sensibles solo pueden tratarse con consentimiento. Para los niños menores de 13 años, rige la ley federal COPPA. Desde el 1 de enero de 2026, la ley prohíbe vender datos de consumidores menores de 16 años y usar sus datos para publicidad dirigida o perfilados. En la misma fecha empezó a regir la prohibición de vender la ubicación precisa de cualquier consumidor.

La publicidad dirigida, la venta de datos, los datos sensibles y los perfilados de riesgo exigen una evaluación de protección de datos documentada, que el fiscal general puede pedir en una investigación.

Cronología

Las fechas de la ley de Oregón

Fechas confirmadas en comunicados del Departamento de Justicia de Oregón.

  1. 2023

    Ley aprobada

    Oregón aprueba la OCPA, con reglas propias para las entidades sin fines de lucro.

  2. 1 de julio de 2024

    Entrada en vigor

    Entran en vigor los derechos, el opt-out, la lista de terceros y el plazo de 30 días para la corrección.

  3. 1 de julio de 2025

    Sin fines de lucro

    Las entidades sin fines de lucro que superan los umbrales pasan a cumplir la ley.

  4. 29 de agosto de 2025

    Informe del primer año

    El Departamento de Justicia informa 214 reclamaciones y 38 casos abiertos y cerrados tras avisos de infracción.

  5. 1 de enero de 2026

    Rechazo universal y fin del plazo de corrección

    Rigen el respeto a la señal universal, la prohibición de vender datos de menores de 16 años y la ubicación precisa, y termina el plazo obligatorio de 30 días.

Supervisión y multas

Fiscal general, unidad de privacidad y multa por infracción

El fiscal general de Oregón tiene competencia exclusiva para aplicar la ley, con una unidad de privacidad dedicada en el Departamento de Justicia. Puede investigar, exigir documentos, pedir una orden judicial y cobrar una multa civil de hasta US$ 7.500 por infracción. El ciudadano no puede demandar a la empresa con base en la OCPA.

Hasta el 1 de enero de 2026, la empresa recibía un aviso y tenía 30 días para corregir antes de la acción. Ese plazo terminó, y el estado puede actuar sin aviso previo.

En el primer año, la mayor parte de las reclamaciones involucró a corredores de datos, como sitios que venden informes de antecedentes. Aun así, las lecciones valen para cualquier sitio: decir qué terceros reciben datos, incluir los perfiles de marketing en las solicitudes de acceso y eliminación, y mantener los formularios de derechos accesibles y funcionando.

Según el estado, la mayoría de las empresas notificadas corrigió el aviso de privacidad o los mecanismos de solicitud poco después del contacto.

AdSense y Ad Manager

Cómo trata Google al visitante de Oregón

IAB Tech Lab tiene una sección de Oregón en la cadena GPP, pero Google no la incluye entre las secciones aceptadas por AdSense. Para Oregón, Google lee la sección US National.

Cuando la US National indica un rechazo de la venta, del uso compartido o de la publicidad dirigida, Google activa el procesamiento restringido de datos, el RDP, y muestra solo anuncios no personalizados. La US National también tiene campos para el consentimiento de menores, que Google usa para activar el RDP.

El mensaje de normativas estatales de EE. UU., en AdSense y Ad Manager, incluye Oregón y guarda la elección en la sección US National. Con otra CMP, comprueba que envíe la US National a los visitantes de Oregón y que marque el rechazo cuando la señal universal está activada.

Para responder a la solicitud de la lista de terceros, mantén un inventario actualizado de los socios de anuncios, header bidding, video y píxeles que reciben datos en el sitio.

En la práctica

Qué se puede y qué no en Oregón

Ejemplos para un sitio con anuncios que está dentro de la ley.

Sí se puede

  • Mostrar anuncios personalizados a adultos sin pedir permiso antes, con un enlace de rechazo visible
  • Tratar el GPC como un rechazo automático desde enero de 2026
  • Entregar al visitante la lista de los socios de anuncios que recibieron sus datos
  • Mostrar anuncios contextuales a menores y a quien rechazó
  • Guardar el rechazo en la sección US National de la GPP

No se puede

  • Usar datos de menores de 16 años para publicidad dirigida o perfilados
  • Vender la ubicación precisa de cualquier visitante
  • Responder a la solicitud de lista de terceros solo con categorías genéricas
  • Esperar un aviso de corrección que ya no es obligatorio
  • Mantener un formulario de derechos que no envía o no recibe respuesta

Errores comunes

Dónde suelen equivocarse los sitios con Oregón

Las lecciones del primer año y los cambios de 2026 apuntan a los mismos puntos.

No saber quién recibe datos

El sitio no tiene un inventario de socios y no puede armar la lista de terceros que pidió el visitante.

GPC ignorado en Oregón

La CMP respeta el GPC en California y Colorado, pero no se actualizó para Oregón en 2026.

Eliminación incompleta

La solicitud de eliminación borra el registro, pero mantiene los perfiles de marketing y las listas de audiencia.

Sección estatal sin US National

La CMP envía solo la sección de Oregón, que AdSense no acepta, y Google sigue personalizando.

En ConsentMode

Qué revisa la auditoría sobre la OCPA

  • Abre el sitio como visitante de Oregón con el GPC desactivado y activado y compara las solicitudes de anuncios.
  • Lee la cadena GPP y muestra si la sección US National está presente e indica el rechazo.
  • Lista los dominios de anuncios, header bidding, video y píxeles cargados, lo que ayuda a armar la lista de terceros.
  • Identifica la CMP y comprueba si las etiquetas esperan su respuesta.
  • Lee la política de privacidad y señala si faltan terceros, derechos y la forma de rechazar.
Hacer una auditoríaVer todo lo que se revisa

Preguntas frecuentes sobre la ley de Oregón

¿Mi asociación sin fines de lucro debe cumplir la OCPA?

Desde el 1 de julio de 2025, sí, si supera uno de los umbrales, como 100 mil consumidores de Oregón por año.

¿Necesito un banner de consentimiento para Oregón?

Para los anuncios personalizados a adultos, no. La ley pide opt-out. El consentimiento se exige para los datos sensibles, y para los menores de 16 años la venta y la publicidad dirigida están prohibidas.

¿El GPC es obligatorio en Oregón?

Sí, desde el 1 de enero de 2026. El Departamento de Justicia destacó esta herramienta en el Día de la Privacidad de Datos de 2026.

¿Qué respondo cuando piden la lista de terceros?

Los nombres de las empresas específicas que recibieron datos de la persona, como redes de anuncios y plataformas de video, y no solo categorías genéricas.

¿ConsentMode arma esa lista por mí?

ConsentMode muestra qué dominios de terceros se cargan en el sitio durante la visita, lo que ayuda a armar el inventario. La respuesta al visitante sigue siendo responsabilidad de la empresa.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Comprueba si tu sitio ya está listo para 2026

La auditoría abre el sitio como visitante de Oregón, con y sin GPC, y muestra qué corregir sin modificar nada.

Comenzar la auditoría