Abrir workspace

Guia · Lei estadual dos EUA

OCPA: a lei do Oregon explicada para quem tem anúncios

O Oregon vale também para entidades sem fins lucrativos, dá ao visitante o direito de saber exatamente quais empresas receberam seus dados e, desde 2026, exige respeito ao sinal automático de recusa do navegador. Veja o que muda para um site com anúncios.

Auditar meu site para o OregonLer o guia
  • ✓Baseado na lei e nos comunicados do Departamento de Justiça do Oregon
  • ✓Exemplos pensados para sites com AdSense e Ad Manager
  • ✓Auditoria somente leitura, sem alterar o site
100 milconsumidores do Oregon por ano: o principal limite para a lei se aplicar
16idade abaixo da qual a venda de dados e a publicidade direcionada ficam proibidas desde 2026
214reclamações recebidas pela unidade de privacidade do estado no primeiro ano da lei
US$ 7.500multa civil máxima por violação

O que é

Uma lei com transparência sobre quem recebe os dados

A Oregon Consumer Privacy Act, ou OCPA, foi aprovada em 2023 e passou a valer em 1º de julho de 2024 para a maior parte das empresas. Para entidades sem fins lucrativos, ela vale desde 1º de julho de 2025, um ponto que a diferencia de vários outros estados.

A estrutura segue o modelo da Virgínia e do Colorado: direitos do consumidor, opt-out de publicidade direcionada e de venda, consentimento para dados sensíveis e avaliações de proteção de dados.

O que o Oregon tem de próprio é o direito de pedir a lista das empresas específicas que receberam os dados da pessoa. Para um site com anúncios, isso significa saber exatamente quais parceiros recebem dados dos visitantes.

Desde 1º de janeiro de 2026, três mudanças pesam mais: o site precisa respeitar o sinal universal de recusa, acabou o prazo de 30 dias para corrigir antes da ação e menores de 16 anos ganharam proteção total contra venda e publicidade direcionada.

Checklist

O que você precisa cumprir

Se o site passa dos limites da OCPA, esta é a lista básica, do mais urgente para o menos.

  1. Ter um link de recusa claro e visível

    O site precisa de um link claro e visível para o visitante recusar anúncio direcionado, venda e perfil. O Departamento de Justiça avisa que um banner de cookies pode não bastar.

    Exemplo

    Link no rodapé: Do Not Sell or Share My Personal Information, levando a uma tela de recusa.

  2. Respeitar o sinal universal de recusa

    Desde 1º de janeiro de 2026, o site precisa respeitar sinais de preferência enviados pelo navegador, como o Global Privacy Control.

    Exemplo

    Visitante com GPC ligado: pare a venda e o anúncio direcionado para ele, sem pedir mais nada.

  3. Proteger quem tem menos de 16 anos

    Desde 2026, a lei proíbe vender dados de quem tem menos de 16 anos e usar esses dados para anúncio direcionado ou perfil.

    Exemplo

    Em área do site para adolescentes, mostre só anúncios não personalizados.

  4. Pedir consentimento para dados sensíveis

    Saúde, localização precisa e dados de criança com menos de 13 anos só com consentimento. Desde 2026, vender localização precisa é proibido para qualquer pessoa.

  5. Publicar um aviso de privacidade completo

    O aviso descreve os dados tratados, as finalidades, se há repasse a terceiros e como exercer os direitos. Quem repassa dados lista as categorias de dados e de terceiros.

    Exemplo

    Categorias de terceiros: empresas de anúncios, empresas de análise de dados, corretores de dados.

  6. Responder pedidos em até 45 dias

    Responda em até 45 dias, com uma prorrogação de mais 45 se avisar o motivo. O visitante também pode pedir a lista dos terceiros específicos que receberam os dados dele.

    Exemplo

    Tenha pronta a lista dos parceiros de anúncios que recebem dados, com o nome de cada empresa.

  7. Fazer a avaliação de proteção de dados

    Antes de usar dados para anúncio direcionado, venda, perfil ou dados sensíveis, a empresa avalia os riscos por escrito.

  8. Levar a recusa até o Google

    O Google não exige CMP para os estados dos EUA. Use a mensagem de regulamentos estaduais dos EUA, em Privacidade e mensagens, ou ligue o processamento restrito de dados, o RDP, na tag para quem recusou. Com GPP, o Google lê a seção US National para o Oregon.

    Exemplo

    AdSense ou Ad Manager: Privacidade e mensagens, cartão Regulamentos estaduais dos EUA, Criar. Em seguida escolha os sites e publique.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada nem GPP para as leis estaduais dos EUA. Você pode usar a mensagem do próprio Google ou ligar o RDP na tag.

A quem se aplica

Volume de visitantes, com ou sem fins lucrativos

A OCPA vale para quem faz negócios no Oregon ou oferece produtos e serviços a moradores do estado e atinge um dos limites abaixo em um ano.

100 mil consumidores

Controlar ou processar dados de pelo menos 100 mil consumidores do Oregon, sem contar dados usados só para concluir um pagamento.

25 mil e um quarto da receita

Processar dados de pelo menos 25 mil consumidores e obter 25% ou mais da receita bruta anual com a venda de dados pessoais.

Entidades sem fins lucrativos

Desde 1º de julho de 2025, organizações sem fins lucrativos que passam dos limites também precisam cumprir a lei.

Montadoras de veículos

Desde setembro de 2025, todos os fabricantes de veículos estão na lei, sem importar o número de consumidores do Oregon.

Definições

Os termos que importam para quem vende anúncios

O Oregon tem uma lista ampla de dados sensíveis e define venda incluindo trocas sem dinheiro.

Dado pessoal

Informação ligada ou que possa ser razoavelmente ligada a uma pessoa ou a um aparelho ligado a ela. Dados anonimizados e públicos ficam de fora.

Dado sensível

Origem racial ou étnica, origem nacional, religião, saúde, orientação sexual, identidade trans ou não binária, ser vítima de crime, situação migratória, dados de criança, genéticos, biométricos e localização num raio de 1.750 pés.

Venda

Troca de dados pessoais por dinheiro ou por outro valor com um terceiro. Repasses a operadores contratados e a pedido do consumidor ficam de fora.

Publicidade direcionada

Anúncio escolhido com base em dados das atividades da pessoa ao longo do tempo em sites e apps de outras empresas. Anúncio contextual e medição de alcance não entram.

Direitos

O que o visitante do Oregon pode pedir

O visitante pode confirmar se a empresa trata seus dados, acessar esses dados, corrigir, excluir e receber uma cópia em formato que possa levar a outro serviço. Também pode recusar publicidade direcionada, venda de dados e perfis usados em decisões importantes.

O direito próprio do Oregon é pedir a lista das empresas específicas, e não só das categorias, para as quais a empresa repassou dados dele. Num site com anúncios, essa lista pode incluir o Google, as redes de header bidding, as plataformas de vídeo e os pixels de redes sociais.

A empresa precisa confirmar a identidade de quem pede e responder dentro do prazo de 45 dias. Pedidos de exclusão também devem ser atendidos em até 45 dias, salvo exceções.

No relatório do primeiro ano, o Departamento de Justiça disse que o direito de exclusão foi o que os moradores mais relataram ter sido negado.

Obrigações do site

Aviso de privacidade, recusa universal e menores

O aviso de privacidade deve explicar quais dados são tratados, para quê, com quem são repassados e e como exercer os direitos. Se o site vende dados ou faz publicidade direcionada, precisa dizer isso de forma clara e mostrar como recusar.

Desde 1º de janeiro de 2026, o site também precisa respeitar mecanismos universais de recusa, como uma configuração do navegador ou uma extensão que envia o sinal, como o Global Privacy Control. Quem tem o sinal ligado deve ser tratado como quem recusou, sem clique extra.

Dados sensíveis só podem ser tratados com consentimento. Para crianças menores de 13 anos, vale a lei federal COPPA. Desde 1º de janeiro de 2026, a lei proíbe vender dados de consumidores menores de 16 anos e usar os dados deles para publicidade direcionada ou perfis. Na mesma data passou a valer a proibição de vender localização precisa de qualquer consumidor.

Publicidade direcionada, venda de dados, dados sensíveis e perfis de risco exigem avaliação de proteção de dados documentada, que o procurador-geral pode pedir numa investigação.

Linha do tempo

As datas da lei do Oregon

Datas confirmadas em comunicados do Departamento de Justiça do Oregon.

  1. 2023

    Lei aprovada

    O Oregon aprova a OCPA, com regras próprias para entidades sem fins lucrativos.

  2. 1º de julho de 2024

    Entrada em vigor

    Passam a valer os direitos, o opt-out, a lista de terceiros e o prazo de 30 dias para correção.

  3. 1º de julho de 2025

    Sem fins lucrativos

    Entidades sem fins lucrativos que passam dos limites passam a cumprir a lei.

  4. 29 de agosto de 2025

    Relatório do primeiro ano

    O Departamento de Justiça informa 214 reclamações e 38 casos abertos e encerrados após avisos de violação.

  5. 1º de janeiro de 2026

    Recusa universal e fim do prazo de correção

    Valem o respeito ao sinal universal, a proibição de vender dados de menores de 16 anos e localização precisa, e acaba o prazo obrigatório de 30 dias.

Fiscalização e multas

Procurador-geral, unidade de privacidade e multa por violação

O procurador-geral do Oregon tem competência exclusiva para aplicar a lei, com uma unidade de privacidade dedicada no Departamento de Justiça. Ele pode investigar, exigir documentos, pedir ordem judicial e cobrar multa civil de até US$ 7.500 por violação. O cidadão não pode processar a empresa com base na OCPA.

Até 1º de janeiro de 2026, a empresa recebia um aviso e tinha 30 dias para corrigir antes da ação. Esse prazo acabou, e o estado pode agir sem aviso prévio.

No primeiro ano, a maior parte das reclamações envolveu corretores de dados, como sites que vendem relatórios de antecedentes. Mesmo assim, as lições valem para qualquer site: dizer quais terceiros recebem dados, incluir perfis de marketing nos pedidos de acesso e exclusão, e manter formulários de direitos acessíveis e funcionando.

Segundo o estado, a maioria das empresas notificadas corrigiu o aviso de privacidade ou os mecanismos de pedido logo depois do contato.

AdSense e Ad Manager

Como o Google trata o visitante do Oregon

O IAB Tech Lab tem uma seção do Oregon na string GPP, mas o Google não a lista entre as seções aceitas pelo AdSense. Para o Oregon, o Google lê a seção US National.

Quando a US National indica recusa de venda, de compartilhamento ou de publicidade direcionada, o Google ativa o processamento restrito de dados, o RDP, e mostra só anúncios não personalizados. A US National também tem campos para consentimento de menores, que o Google usa para ativar o RDP.

A Mensagem de privacidade para estados dos EUA, no AdSense e no Ad Manager, inclui o Oregon e grava a escolha na seção US National. Com outra CMP, confira se ela envia a US National aos visitantes do Oregon e se marca a recusa quando o sinal universal está ligado.

Para responder ao pedido de lista de terceiros, mantenha um inventário atualizado dos parceiros de anúncios, header bidding, vídeo e pixels que recebem dados no site.

Na prática

O que pode e o que não pode no Oregon

Exemplos para um site com anúncios que está dentro da lei.

Pode

  • Mostrar anúncios personalizados a adultos sem pedir permissão antes, com link de recusa visível
  • Tratar o GPC como recusa automática desde janeiro de 2026
  • Entregar ao visitante a lista dos parceiros de anúncios que receberam dados dele
  • Mostrar anúncios contextuais a menores e a quem recusou
  • Gravar a recusa na seção US National da GPP

Não pode

  • Usar dados de menores de 16 anos para publicidade direcionada ou perfis
  • Vender localização precisa de qualquer visitante
  • Responder ao pedido de lista de terceiros só com categorias genéricas
  • Esperar um aviso de correção que não é mais obrigatório
  • Manter formulário de direitos que não envia ou não recebe resposta

Erros comuns

Onde os sites costumam errar com o Oregon

As lições do primeiro ano e as mudanças de 2026 apontam para os mesmos pontos.

Não saber quem recebe dados

O site não tem inventário dos parceiros e não consegue montar a lista de terceiros que o visitante pediu.

GPC ignorado no Oregon

A CMP respeita o GPC na Califórnia e no Colorado, mas não foi atualizada para o Oregon em 2026.

Exclusão incompleta

O pedido de exclusão apaga o cadastro, mas mantém perfis de marketing e listas de público.

Seção estadual sem US National

A CMP envia só a seção do Oregon, que o AdSense não aceita, e o Google segue personalizando.

No ConsentMode

O que a auditoria confere sobre a OCPA

  • Abre o site como visitante do Oregon com o GPC desligado e ligado e compara os pedidos de anúncio.
  • Lê a string GPP e mostra se a seção US National está presente e indica a recusa.
  • Lista os domínios de anúncios, header bidding, vídeo e pixels carregados, o que ajuda a montar a lista de terceiros.
  • Identifica a CMP e confere se as tags esperam a resposta dela.
  • Lê a política de privacidade e aponta se faltam terceiros, direitos e o modo de recusar.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes sobre a lei do Oregon

Minha associação sem fins lucrativos precisa cumprir a OCPA?

Desde 1º de julho de 2025, sim, se passar de um dos limites, como 100 mil consumidores do Oregon por ano.

Preciso de banner de consentimento para o Oregon?

Para anúncios personalizados de adultos, não. A lei pede opt-out. O consentimento é exigido para dados sensíveis, e para menores de 16 anos a venda e a publicidade direcionada são proibidas.

O GPC é obrigatório no Oregon?

Sim, desde 1º de janeiro de 2026. O Departamento de Justiça destacou essa ferramenta no Dia da Privacidade de Dados de 2026.

O que respondo quando pedem a lista de terceiros?

Os nomes das empresas específicas que receberam dados da pessoa, como redes de anúncios e plataformas de vídeo, e não apenas categorias genéricas.

O ConsentMode monta essa lista para mim?

O ConsentMode mostra quais domínios de terceiros carregam no site durante a visita, o que ajuda a montar o inventário. A resposta ao visitante continua sendo responsabilidade da empresa.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Veja se o seu site já está pronto para 2026

A auditoria abre o site como visitante do Oregon, com e sem GPC, e mostra o que corrigir sem alterar nada.

Começar a auditoria