Ouvrir l'espace

Guide · Loi d'un État américain

OCPA : la loi de l'Oregon expliquée pour ceux qui ont des publicités

L'Oregon s'applique aussi aux organisations à but non lucratif, donne au visiteur le droit de savoir exactement quelles entreprises ont reçu ses données et, depuis 2026, exige le respect du signal automatique de refus du navigateur. Voyez ce qui change pour un site avec publicités.

Auditer mon site pour l'OregonLire le guide
  • ✓Basé sur la loi et sur les communiqués du Département de la Justice de l'Oregon
  • ✓Exemples pensés pour les sites avec AdSense et Ad Manager
  • ✓Audit en lecture seule, sans modifier le site
100 000consommateurs de l'Oregon par an : le principal seuil pour que la loi s'applique
16âge en dessous duquel la vente de données et la publicité ciblée sont interdites depuis 2026
214plaintes reçues par l'unité de confidentialité de l'État la première année de la loi
7 500 USDamende civile maximale par violation

Définition

Une loi transparente sur qui reçoit les données

L'Oregon Consumer Privacy Act, ou OCPA, a été adoptée en 2023 et est entrée en vigueur le 1er juillet 2024 pour la plupart des entreprises. Pour les organisations à but non lucratif, elle s'applique depuis le 1er juillet 2025, un point qui la distingue de plusieurs autres États.

La structure suit le modèle de la Virginie et du Colorado : droits du consommateur, opt-out de la publicité ciblée et de la vente, consentement pour les données sensibles et évaluations de protection des données.

Ce que l'Oregon a de propre, c'est le droit de demander la liste des entreprises précises qui ont reçu les données de la personne. Pour un site avec publicités, cela signifie savoir exactement quels partenaires reçoivent les données des visiteurs.

Depuis le 1er janvier 2026, trois changements pèsent plus : le site doit respecter le signal universel de refus, le délai de 30 jours pour corriger avant l'action a pris fin et les moins de 16 ans bénéficient d'une protection totale contre la vente et la publicité ciblée.

Checklist

Ce que vous devez respecter

Si le site dépasse les seuils de l'OCPA, voici la liste de base, du plus urgent au moins urgent.

  1. Avoir un lien de refus clair et visible

    Le site a besoin d'un lien clair et visible pour que le visiteur refuse la publicité ciblée, la vente et le profilage. Le Département de la Justice avertit qu'une bannière de cookies peut ne pas suffire.

    Exemple

    Lien en pied de page : Do Not Sell or Share My Personal Information, menant à un écran de refus.

  2. Respecter le signal universel de refus

    Depuis le 1er janvier 2026, le site doit respecter les signaux de préférence envoyés par le navigateur, comme le Global Privacy Control.

    Exemple

    Visiteur avec GPC activé : arrêtez la vente et la publicité ciblée pour lui, sans rien demander de plus.

  3. Protéger les moins de 16 ans

    Depuis 2026, la loi interdit de vendre les données des moins de 16 ans et d'utiliser ces données pour de la publicité ciblée ou du profilage.

    Exemple

    Dans une zone du site pour adolescents, n'affichez que des annonces non personnalisées.

  4. Demander le consentement pour les données sensibles

    Santé, localisation précise et données d'enfants de moins de 13 ans uniquement avec consentement. Depuis 2026, vendre la localisation précise est interdit pour toute personne.

  5. Publier un avis de confidentialité complet

    L'avis décrit les données traitées, les finalités, s'il y a transmission à des tiers et comment exercer les droits. Celui qui transmet des données liste les catégories de données et de tiers.

    Exemple

    Catégories de tiers : sociétés de publicité, sociétés d'analyse de données, courtiers en données.

  6. Répondre aux demandes sous 45 jours

    Répondez sous 45 jours, avec une prolongation de 45 jours si vous en indiquez le motif. Le visiteur peut aussi demander la liste des tiers précis qui ont reçu ses données.

    Exemple

    Ayez prête la liste des partenaires publicitaires qui reçoivent des données, avec le nom de chaque entreprise.

  7. Réaliser l'évaluation de protection des données

    Avant d'utiliser des données pour de la publicité ciblée, de la vente, du profilage ou des données sensibles, l'entreprise évalue les risques par écrit.

  8. Transmettre le refus à Google

    Google n'exige pas de CMP pour les États américains. Utilisez le message de réglementations des États américains, dans Confidentialité et messages, ou activez le traitement restreint des données, le RDP, dans la balise pour ceux qui ont refusé. Avec GPP, Google lit la section US National pour l'Oregon.

    Exemple

    AdSense ou Ad Manager : Confidentialité et messages, carte Réglementations des États américains, Créer. Choisissez ensuite les sites et publiez.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige ni CMP certifiée ni GPP pour les lois des États américains. Vous pouvez utiliser le message de Google lui-même ou activer le RDP dans la balise.

À qui il s'applique

Volume de visiteurs, à but lucratif ou non

L'OCPA s'applique à ceux qui font des affaires en Oregon ou proposent des produits et services aux résidents de l'État et atteignent l'un des seuils ci-dessous sur une année.

100 000 consommateurs

Contrôler ou traiter les données d'au moins 100 000 consommateurs de l'Oregon, sans compter les données utilisées uniquement pour finaliser un paiement.

25 000 et un quart du chiffre d'affaires

Traiter les données d'au moins 25 000 consommateurs et tirer 25% ou plus du revenu brut annuel de la vente de données personnelles.

Organisations à but non lucratif

Depuis le 1er juillet 2025, les organisations à but non lucratif qui dépassent les seuils doivent aussi respecter la loi.

Constructeurs de véhicules

Depuis septembre 2025, tous les fabricants de véhicules sont couverts par la loi, quel que soit le nombre de consommateurs de l'Oregon.

Définitions

Les termes qui comptent pour ceux qui vendent des publicités

L'Oregon a une longue liste de données sensibles et définit la vente en incluant les échanges sans argent.

Donnée personnelle

Information liée ou raisonnablement liable à une personne ou à un appareil qui lui est lié. Les données anonymisées et publiques sont exclues.

Donnée sensible

Origine raciale ou ethnique, origine nationale, religion, santé, orientation sexuelle, identité transgenre ou non binaire, statut de victime d'un crime, situation migratoire, données d'enfant, génétiques, biométriques et localisation dans un rayon de 1 750 pieds.

Vente

Échange de données personnelles contre de l'argent ou une autre valeur avec un tiers. Les transferts à des sous-traitants engagés et à la demande du consommateur sont exclus.

Publicité ciblée

Publicité choisie à partir des données des activités de la personne dans le temps sur des sites et applications d'autres entreprises. La publicité contextuelle et la mesure de portée ne sont pas incluses.

Droits

Ce que le visiteur de l'Oregon peut demander

Le visiteur peut confirmer si l'entreprise traite ses données, y accéder, les corriger, les supprimer et en recevoir une copie dans un format qu'il peut emporter vers un autre service. Il peut aussi refuser la publicité ciblée, la vente de données et les profilages utilisés dans des décisions importantes.

Le droit propre à l'Oregon est de demander la liste des entreprises précises, et pas seulement des catégories, à qui l'entreprise a transmis ses données. Sur un site avec publicités, cette liste peut inclure Google, les réseaux de header bidding, les plateformes vidéo et les pixels des réseaux sociaux.

L'entreprise doit confirmer l'identité du demandeur et répondre dans le délai de 45 jours. Les demandes de suppression doivent aussi être traitées sous 45 jours, sauf exceptions.

Dans le rapport de la première année, le Département de la Justice a indiqué que le droit de suppression était celui que les résidents disaient le plus souvent s'être vu refuser.

Obligations du site

Avis de confidentialité, refus universel et mineurs

L'avis de confidentialité doit expliquer quelles données sont traitées, pourquoi, avec qui elles sont transmises et comment exercer les droits. Si le site vend des données ou fait de la publicité ciblée, il doit le dire clairement et montrer comment refuser.

Depuis le 1er janvier 2026, le site doit aussi respecter les mécanismes universels de refus, comme un réglage du navigateur ou une extension qui envoie le signal, tel que le Global Privacy Control. Celui dont le signal est activé doit être traité comme ayant refusé, sans clic supplémentaire.

Les données sensibles ne peuvent être traitées qu'avec consentement. Pour les enfants de moins de 13 ans, s'applique la loi fédérale COPPA. Depuis le 1er janvier 2026, la loi interdit de vendre les données de consommateurs de moins de 16 ans et de les utiliser pour la publicité ciblée ou le profilage. À la même date, l'interdiction de vendre la localisation précise de tout consommateur est entrée en vigueur.

La publicité ciblée, la vente de données, les données sensibles et les profilages à risque exigent une évaluation de protection des données documentée, que le procureur général peut demander lors d'une enquête.

Chronologie

Les dates de la loi de l'Oregon

Dates confirmées dans des communiqués du Département de la Justice de l'Oregon.

  1. 2023

    Loi adoptée

    L'Oregon adopte l'OCPA, avec des règles propres pour les organisations à but non lucratif.

  2. 1er juillet 2024

    Entrée en vigueur

    Les droits, l'opt-out, la liste des tiers et le délai de correction de 30 jours entrent en vigueur.

  3. 1er juillet 2025

    But non lucratif

    Les organisations à but non lucratif qui dépassent les seuils doivent désormais respecter la loi.

  4. 29 août 2025

    Rapport de la première année

    Le Département de la Justice fait état de 214 plaintes et de 38 dossiers ouverts puis clos après des avis de violation.

  5. 1er janvier 2026

    Refus universel et fin du délai de correction

    Le respect du signal universel, l'interdiction de vendre les données des moins de 16 ans et la localisation précise s'appliquent, et le délai obligatoire de 30 jours prend fin.

Contrôle et amendes

Procureur général, unité de confidentialité et amende par violation

Le procureur général de l'Oregon a compétence exclusive pour appliquer la loi, avec une unité de confidentialité dédiée au sein du Département de la Justice. Il peut enquêter, exiger des documents, demander une ordonnance judiciaire et réclamer une amende civile pouvant aller jusqu'à 7 500 USD par violation. Le citoyen ne peut pas poursuivre l'entreprise sur la base de l'OCPA.

Jusqu'au 1er janvier 2026, l'entreprise recevait un avis et avait 30 jours pour corriger avant l'action. Ce délai a pris fin, et l'État peut agir sans avis préalable.

La première année, la plupart des plaintes concernaient des courtiers en données, comme les sites qui vendent des rapports d'antécédents. Malgré cela, les leçons valent pour tout site : dire quels tiers reçoivent des données, inclure les profils marketing dans les demandes d'accès et de suppression, et garder les formulaires de droits accessibles et fonctionnels.

Selon l'État, la plupart des entreprises notifiées ont corrigé leur avis de confidentialité ou leurs mécanismes de demande juste après le contact.

AdSense et Ad Manager

Comment Google traite le visiteur de l'Oregon

L'IAB Tech Lab a une section de l'Oregon dans la string GPP, mais Google ne la liste pas parmi les sections acceptées par AdSense. Pour l'Oregon, Google lit la section US National.

Quand la US National indique un refus de la vente, du partage ou de la publicité ciblée, Google active le traitement restreint des données, le RDP, et n'affiche que des publicités non personnalisées. La US National a aussi des champs pour le consentement des mineurs, que Google utilise pour activer le RDP.

Le Message de confidentialité pour les États américains, dans AdSense et Ad Manager, inclut l'Oregon et inscrit le choix dans la section US National. Avec une autre CMP, vérifiez qu'elle envoie la US National aux visiteurs de l'Oregon et qu'elle marque le refus quand le signal universel est activé.

Pour répondre à la demande de liste de tiers, tenez à jour un inventaire des partenaires de publicité, de header bidding, de vidéo et de pixels qui reçoivent des données sur le site.

En pratique

Ce qui est permis et ce qui ne l'est pas en Oregon

Exemples pour un site avec publicités entrant dans le champ de la loi.

Autorisé

  • Afficher des publicités personnalisées aux adultes sans demander d'autorisation préalable, avec un lien de refus visible
  • Traiter le GPC comme un refus automatique depuis janvier 2026
  • Remettre au visiteur la liste des partenaires publicitaires qui ont reçu ses données
  • Afficher des publicités contextuelles aux mineurs et à ceux qui ont refusé
  • Enregistrer le refus dans la section US National du GPP

Interdit

  • Utiliser les données de moins de 16 ans pour la publicité ciblée ou le profilage
  • Vendre la localisation précise de tout visiteur
  • Répondre à la demande de liste de tiers avec de simples catégories génériques
  • Attendre un avis de correction qui n'est plus obligatoire
  • Garder un formulaire de droits qui n'envoie pas ou ne reçoit pas de réponse

Erreurs courantes

Où les sites se trompent souvent avec l'Oregon

Les leçons de la première année et les changements de 2026 pointent vers les mêmes points.

Ne pas savoir qui reçoit des données

Le site n'a pas d'inventaire des partenaires et ne peut pas établir la liste de tiers demandée par le visiteur.

GPC ignoré en Oregon

La CMP respecte le GPC en Californie et au Colorado, mais n'a pas été mise à jour pour l'Oregon en 2026.

Suppression incomplète

La demande de suppression efface l'inscription, mais conserve les profils marketing et les listes d'audience.

Section d'État sans US National

La CMP n'envoie que la section de l'Oregon, qu'AdSense n'accepte pas, et Google continue de personnaliser.

Dans ConsentMode

Ce que l'audit vérifie sur l'OCPA

  • Ouvre le site comme un visiteur de l'Oregon avec le GPC désactivé puis activé et compare les demandes de publicité.
  • Lit la string GPP et montre si la section US National est présente et indique le refus.
  • Liste les domaines de publicité, de header bidding, de vidéo et de pixels chargés, ce qui aide à établir la liste des tiers.
  • Identifie la CMP et vérifie que les balises attendent sa réponse.
  • Lit la politique de confidentialité et signale s'il manque les tiers, les droits et la façon de refuser.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes sur la loi de l'Oregon

Mon association à but non lucratif doit-elle respecter l'OCPA ?

Depuis le 1er juillet 2025, oui, si elle dépasse l'un des seuils, comme 100 000 consommateurs de l'Oregon par an.

Ai-je besoin d'une bannière de consentement pour l'Oregon ?

Pour les publicités personnalisées destinées aux adultes, non. La loi demande un opt-out. Le consentement est exigé pour les données sensibles, et pour les moins de 16 ans la vente et la publicité ciblée sont interdites.

Le GPC est-il obligatoire en Oregon ?

Oui, depuis le 1er janvier 2026. Le Département de la Justice a mis en avant cet outil lors de la Journée de la confidentialité des données 2026.

Que répondre quand on me demande la liste des tiers ?

Les noms des entreprises précises qui ont reçu les données de la personne, comme les réseaux publicitaires et les plateformes vidéo, et pas seulement des catégories génériques.

ConsentMode établit-il cette liste pour moi ?

ConsentMode montre quels domaines tiers se chargent sur le site pendant la visite, ce qui aide à établir l'inventaire. La réponse au visiteur reste de la responsabilité de l'entreprise.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Voyez si votre site est déjà prêt pour 2026

L'audit ouvre le site comme un visiteur de l'Oregon, avec et sans GPC, et montre ce qu'il faut corriger sans rien modifier.

Lancer l'audit