Apri lo spazio

Guida · Legge statale degli USA

OCPA: la legge dell'Oregon spiegata a chi ha annunci

L'Oregon vale anche per gli enti senza scopo di lucro, dà al visitatore il diritto di sapere esattamente quali aziende hanno ricevuto i suoi dati e, dal 2026, richiede il rispetto del segnale automatico di rifiuto del browser. Scopri cosa cambia per un sito con annunci.

Fai l'audit del mio sito per l'OregonLeggi la guida
  • ✓Basato sulla legge e sui comunicati del Dipartimento di Giustizia dell'Oregon
  • ✓Esempi pensati per siti con AdSense e Ad Manager
  • ✓Audit in sola lettura, senza modificare il sito
100 milaconsumatori dell'Oregon all'anno: la soglia principale perché la legge si applichi
16età sotto la quale la vendita di dati e la pubblicità mirata sono vietate dal 2026
214reclami ricevuti dall'unità per la privacy dello stato nel primo anno della legge
7.500 USDmulta civile massima per violazione

Che cos'è

Una legge con trasparenza su chi riceve i dati

La Oregon Consumer Privacy Act, o OCPA, è stata approvata nel 2023 e ha iniziato a valere il 1° luglio 2024 per la maggior parte delle aziende. Per gli enti senza scopo di lucro vale dal 1° luglio 2025, un punto che la distingue da molti altri stati.

La struttura segue il modello della Virginia e del Colorado: diritti del consumatore, opt-out dalla pubblicità mirata e dalla vendita, consenso per i dati sensibili e valutazioni di protezione dei dati.

Ciò che l'Oregon ha di proprio è il diritto di chiedere l'elenco delle aziende specifiche che hanno ricevuto i dati della persona. Per un sito con annunci, questo significa sapere esattamente quali partner ricevono i dati dei visitatori.

Dal 1° gennaio 2026, tre cambiamenti pesano di più: il sito deve rispettare il segnale universale di rifiuto, è finito il termine di 30 giorni per correggere prima dell'azione e i minori di 16 anni hanno ottenuto una protezione totale dalla vendita e dalla pubblicità mirata.

Checklist

Cosa devi rispettare

Se il sito supera le soglie dell'OCPA, questa è la lista di base, dal più urgente al meno urgente.

  1. Avere un link di rifiuto chiaro e visibile

    Il sito ha bisogno di un link chiaro e visibile per permettere al visitatore di rifiutare annunci mirati, vendita e profilazione. Il Dipartimento di Giustizia avvisa che un banner dei cookie può non bastare.

    Esempio

    Link nel footer: Do Not Sell or Share My Personal Information, che porta a una schermata di rifiuto.

  2. Rispettare il segnale universale di rifiuto

    Dal 1º gennaio 2026, il sito deve rispettare i segnali di preferenza inviati dal browser, come il Global Privacy Control.

    Esempio

    Visitatore con GPC attivo: interrompi vendita e annunci mirati per lui, senza chiedere altro.

  3. Proteggere chi ha meno di 16 anni

    Dal 2026, la legge vieta di vendere dati di chi ha meno di 16 anni e di usare questi dati per annunci mirati o profilazione.

    Esempio

    In un'area del sito per adolescenti, mostra solo annunci non personalizzati.

  4. Chiedere il consenso per i dati sensibili

    Salute, posizione precisa e dati di bambini sotto i 13 anni solo con il consenso. Dal 2026, vendere la posizione precisa è vietato a chiunque.

  5. Pubblicare un'informativa completa sulla privacy

    L'informativa descrive i dati trattati, le finalità, se ci sono cessioni a terzi e come esercitare i diritti. Chi cede dati elenca le categorie di dati e di terzi.

    Esempio

    Categorie di terzi: aziende pubblicitarie, aziende di analisi dei dati, data broker.

  6. Rispondere alle richieste entro 45 giorni

    Rispondi entro 45 giorni, con una proroga di altri 45 se comunichi il motivo. Il visitatore può anche chiedere l'elenco dei terzi specifici che hanno ricevuto i suoi dati.

    Esempio

    Tieni pronto l'elenco dei partner pubblicitari che ricevono dati, con il nome di ogni azienda.

  7. Fare la valutazione della protezione dei dati

    Prima di usare dati per annunci mirati, vendita, profilazione o dati sensibili, l'azienda valuta i rischi per iscritto.

  8. Portare il rifiuto fino a Google

    Google non richiede una CMP per gli stati USA. Usa il messaggio per le normative statali USA, in Privacy e messaggistica, oppure attiva il trattamento limitato dei dati, l'RDP, nel tag per chi ha rifiutato. Con il GPP, Google legge la sezione US National per l'Oregon.

    Esempio

    AdSense o Ad Manager: Privacy e messaggistica, scheda Normative degli stati USA, Crea. Poi scegli i siti e pubblica.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né il GPP per le leggi statali USA. Puoi usare il messaggio di Google o attivare l'RDP nel tag.

A chi si applica

Volume di visitatori, con o senza scopo di lucro

L'OCPA vale per chi fa affari in Oregon o offre prodotti e servizi ai residenti dello stato e raggiunge una delle soglie qui sotto in un anno.

100 mila consumatori

Controllare o elaborare dati di almeno 100 mila consumatori dell'Oregon, senza contare i dati usati solo per completare un pagamento.

25 mila e un quarto del ricavo

Elaborare dati di almeno 25 mila consumatori e ricavare il 25% o più del fatturato lordo annuo dalla vendita di dati personali.

Enti senza scopo di lucro

Dal 1° luglio 2025, anche le organizzazioni senza scopo di lucro che superano le soglie devono rispettare la legge.

Case automobilistiche

Da settembre 2025, tutti i produttori di veicoli rientrano nella legge, indipendentemente dal numero di consumatori dell'Oregon.

Definizioni

I termini che contano per chi vende annunci

L'Oregon ha un ampio elenco di dati sensibili e definisce la vendita includendo gli scambi senza denaro.

Dato personale

Informazione collegata o ragionevolmente collegabile a una persona o a un dispositivo ad essa collegato. I dati anonimizzati e pubblici restano esclusi.

Dato sensibile

Origine razziale o etnica, origine nazionale, religione, salute, orientamento sessuale, identità trans o non binaria, essere vittima di reato, status migratorio, dati di minori, genetici, biometrici e posizione entro un raggio di 1.750 piedi.

Vendita

Scambio di dati personali con denaro o con un altro valore a un terzo. I trasferimenti a responsabili del trattamento incaricati e su richiesta del consumatore restano esclusi.

Pubblicità mirata

Annuncio scelto in base a dati sulle attività della persona nel tempo su siti e app di altre aziende. L'annuncio contestuale e la misurazione della portata non rientrano.

Diritti

Cosa può chiedere il visitatore dell'Oregon

Il visitatore può confermare se l'azienda tratta i suoi dati, accedere a tali dati, correggerli, cancellarli e ricevere una copia in un formato che possa portare a un altro servizio. Può anche rifiutare la pubblicità mirata, la vendita di dati e i profili usati in decisioni importanti.

Il diritto proprio dell'Oregon è chiedere l'elenco delle aziende specifiche, e non solo delle categorie, a cui l'azienda ha trasferito i suoi dati. In un sito con annunci, questo elenco può includere Google, le reti di header bidding, le piattaforme video e i pixel dei social network.

L'azienda deve confermare l'identità di chi richiede e rispondere entro 45 giorni. Anche le richieste di cancellazione devono essere gestite entro 45 giorni, salvo eccezioni.

Nel report del primo anno, il Dipartimento di Giustizia ha detto che il diritto di cancellazione è quello che i residenti hanno segnalato più spesso come negato.

Obblighi del sito

Informativa sulla privacy, rifiuto universale e minori

L'informativa sulla privacy deve spiegare quali dati vengono trattati, per cosa, con chi vengono condivisi e come esercitare i diritti. Se il sito vende dati o fa pubblicità mirata, deve dirlo in modo chiaro e mostrare come rifiutare.

Dal 1° gennaio 2026, il sito deve anche rispettare i meccanismi universali di rifiuto, come un'impostazione del browser o un'estensione che invia il segnale, come il Global Privacy Control. Chi ha il segnale attivo deve essere trattato come chi ha rifiutato, senza clic aggiuntivi.

I dati sensibili possono essere trattati solo con il consenso. Per i minori di 13 anni, vale la legge federale COPPA. Dal 1° gennaio 2026, la legge vieta di vendere i dati dei consumatori minori di 16 anni e di usarli per pubblicità mirata o profili. Alla stessa data è entrato in vigore il divieto di vendere la posizione precisa di qualsiasi consumatore.

Pubblicità mirata, vendita di dati, dati sensibili e profili a rischio richiedono una valutazione di protezione dei dati documentata, che il procuratore generale può richiedere in un'indagine.

Cronologia

Le date della legge dell'Oregon

Date confermate nei comunicati del Dipartimento di Giustizia dell'Oregon.

  1. 2023

    Legge approvata

    L'Oregon approva l'OCPA, con regole proprie per gli enti senza scopo di lucro.

  2. 1° luglio 2024

    Entrata in vigore

    Iniziano a valere i diritti, l'opt-out, l'elenco dei terzi e il termine di 30 giorni per la correzione.

  3. 1° luglio 2025

    Senza scopo di lucro

    Gli enti senza scopo di lucro che superano le soglie iniziano a rispettare la legge.

  4. 29 agosto 2025

    Report del primo anno

    Il Dipartimento di Giustizia segnala 214 reclami e 38 casi aperti e chiusi dopo avvisi di violazione.

  5. 1° gennaio 2026

    Rifiuto universale e fine del termine di correzione

    Entrano in vigore il rispetto del segnale universale, il divieto di vendere dati di minori di 16 anni e la posizione precisa, e termina il termine obbligatorio di 30 giorni.

Controlli e sanzioni

Procuratore generale, unità per la privacy e multa per violazione

Il procuratore generale dell'Oregon ha competenza esclusiva per applicare la legge, con un'unità per la privacy dedicata nel Dipartimento di Giustizia. Può indagare, richiedere documenti, chiedere un'ordinanza giudiziaria e riscuotere una multa civile fino a 7.500 USD per violazione. Il cittadino non può fare causa all'azienda in base all'OCPA.

Fino al 1° gennaio 2026, l'azienda riceveva un avviso e aveva 30 giorni per correggere prima dell'azione. Questo termine è finito, e lo stato può agire senza preavviso.

Nel primo anno, la maggior parte dei reclami ha riguardato i data broker, come i siti che vendono report sui precedenti. Ciononostante, le lezioni valgono per qualsiasi sito: dire quali terzi ricevono i dati, includere i profili di marketing nelle richieste di accesso e cancellazione, e mantenere i moduli per i diritti accessibili e funzionanti.

Secondo lo stato, la maggior parte delle aziende notificate ha corretto l'informativa sulla privacy o i meccanismi di richiesta subito dopo il contatto.

AdSense e Ad Manager

Come Google tratta il visitatore dell'Oregon

IAB Tech Lab ha una sezione dell'Oregon nella stringa GPP, ma Google non la elenca tra le sezioni accettate da AdSense. Per l'Oregon, Google legge la sezione US National.

Quando la US National indica il rifiuto di vendita, di condivisione o di pubblicità mirata, Google attiva l'elaborazione limitata dei dati, l'RDP, e mostra solo annunci non personalizzati. La US National ha anche campi per il consenso dei minori, che Google usa per attivare l'RDP.

Il Messaggio sulla privacy per gli stati USA, in AdSense e in Ad Manager, include l'Oregon e salva la scelta nella sezione US National. Con un'altra CMP, controlla che invii la US National ai visitatori dell'Oregon e che segni il rifiuto quando il segnale universale è attivo.

Per rispondere alla richiesta dell'elenco dei terzi, mantieni un inventario aggiornato dei partner di annunci, header bidding, video e pixel che ricevono dati nel sito.

In pratica

Cosa si può e cosa non si può fare in Oregon

Esempi per un sito con annunci che rispetta la legge.

Consentito

  • Mostrare annunci personalizzati agli adulti senza chiedere prima il permesso, con un link di rifiuto visibile
  • Trattare il GPC come rifiuto automatico dal gennaio 2026
  • Consegnare al visitatore l'elenco dei partner pubblicitari che hanno ricevuto i suoi dati
  • Mostrare annunci contestuali ai minori e a chi ha rifiutato
  • Salvare il rifiuto nella sezione US National del GPP

Non consentito

  • Usare dati di minori di 16 anni per pubblicità mirata o profili
  • Vendere la posizione precisa di qualsiasi visitatore
  • Rispondere alla richiesta dell'elenco dei terzi solo con categorie generiche
  • Aspettare un avviso di correzione che non è più obbligatorio
  • Mantenere un modulo per i diritti che non invia o non riceve risposta

Errori comuni

Dove i siti sbagliano di solito con l'Oregon

Le lezioni del primo anno e le modifiche del 2026 indicano gli stessi punti.

Non sapere chi riceve i dati

Il sito non ha un inventario dei partner e non riesce a costruire l'elenco dei terzi richiesto dal visitatore.

GPC ignorato in Oregon

La CMP rispetta il GPC in California e in Colorado, ma non è stata aggiornata per l'Oregon nel 2026.

Cancellazione incompleta

La richiesta di cancellazione elimina la registrazione, ma mantiene profili di marketing ed elenchi di pubblico.

Sezione statale senza US National

La CMP invia solo la sezione dell'Oregon, che AdSense non accetta, e Google continua a personalizzare.

In ConsentMode

Cosa controlla l'audit sulla OCPA

  • Apre il sito come visitatore dell'Oregon con il GPC disattivato e attivato e confronta le richieste di annunci.
  • Legge la stringa GPP e mostra se la sezione US National è presente e indica il rifiuto.
  • Elenca i domini di annunci, header bidding, video e pixel caricati, il che aiuta a costruire l'elenco dei terzi.
  • Identifica la CMP e controlla se i tag aspettano la sua risposta.
  • Legge l'informativa sulla privacy e segnala se mancano terzi, diritti e il modo di rifiutare.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti sulla legge dell'Oregon

La mia associazione senza scopo di lucro deve rispettare l'OCPA?

Dal 1° luglio 2025, sì, se supera una delle soglie, come 100 mila consumatori dell'Oregon all'anno.

Mi serve un banner di consenso per l'Oregon?

Per gli annunci personalizzati agli adulti, no. La legge richiede l'opt-out. Il consenso è richiesto per i dati sensibili, e per i minori di 16 anni la vendita e la pubblicità mirata sono vietate.

Il GPC è obbligatorio in Oregon?

Sì, dal 1° gennaio 2026. Il Dipartimento di Giustizia ha messo in evidenza questo strumento nella Giornata della privacy dei dati 2026.

Cosa rispondo quando mi chiedono l'elenco dei terzi?

I nomi delle aziende specifiche che hanno ricevuto i dati della persona, come reti pubblicitarie e piattaforme video, e non solo categorie generiche.

ConsentMode costruisce questo elenco per me?

ConsentMode mostra quali domini di terzi si caricano nel sito durante la visita, il che aiuta a costruire l'inventario. La risposta al visitatore resta responsabilità dell'azienda.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Scopri se il tuo sito è già pronto per il 2026

L'audit apre il sito come visitatore dell'Oregon, con e senza GPC, e mostra cosa correggere senza modificare nulla.

Avvia l'audit