Мой кабинет

Руководство · Закон штата США

OCPA: закон Орегона простыми словами для тех, у кого есть реклама

Закон Орегона действует и для некоммерческих организаций, дает посетителю право знать, какие именно компании получили его данные, и с 2026 года требует соблюдать автоматический сигнал отказа браузера. Узнайте, что меняется для сайта с рекламой.

Проверить мой сайт для ОрегонаЧитать руководство
  • ✓По закону и сообщениям Министерства юстиции Орегона
  • ✓Примеры для сайтов с AdSense и Ad Manager
  • ✓Проверка только для чтения, без изменения сайта
100 тысячпотребителей из Орегона в год: основной порог применения закона
16возраст, младше которого продажа данных и таргетированная реклама запрещены с 2026 года
214жалоб, полученных подразделением штата по конфиденциальности в первый год действия закона
7 500 долл. СШАмаксимальный гражданский штраф за нарушение

Что это

Закон с прозрачностью в вопросе, кто получает данные

Oregon Consumer Privacy Act, или OCPA, принят в 2023 году и вступил в силу 1 июля 2024 года для большинства компаний. Для некоммерческих организаций он действует с 1 июля 2025 года, и этим отличается от многих других штатов.

Структура следует модели Вирджинии и Колорадо: права потребителей, отказ от таргетированной рекламы и продажи, согласие на чувствительные данные и оценки защиты данных.

Собственная особенность Орегона: право запросить список конкретных компаний, получивших данные человека. Для сайта с рекламой это значит знать, какие именно партнеры получают данные посетителей.

С 1 января 2026 года важнее всего три изменения: сайт должен соблюдать универсальный сигнал отказа, закончился 30-дневный срок на исправление перед иском, а лица младше 16 лет получили полную защиту от продажи и таргетированной рекламы.

Чек-лист

Что нужно выполнить

Если сайт превышает пороги OCPA, вот базовый список, от самого срочного к менее срочному.

  1. Иметь понятную и заметную ссылку для отказа

    Сайту нужна понятная и заметная ссылка, чтобы посетитель мог отказаться от таргетированной рекламы, продажи и профилирования. Министерство юстиции предупреждает, что баннера cookie может быть недостаточно.

    Пример

    Ссылка в подвале: Do Not Sell or Share My Personal Information, ведущая на экран отказа.

  2. Соблюдать универсальный сигнал отказа

    С 1 января 2026 года сайт должен соблюдать сигналы предпочтений, отправляемые браузером, например Global Privacy Control.

    Пример

    Посетитель с включённым GPC: остановите продажу и таргетированную рекламу для него, ничего больше не спрашивая.

  3. Защищать лиц младше 16 лет

    С 2026 года закон запрещает продавать данные тех, кому нет 16 лет, и использовать эти данные для таргетированной рекламы или профилирования.

    Пример

    В разделе сайта для подростков показывайте только неперсонализированную рекламу.

  4. Запрашивать согласие для чувствительных данных

    Данные о здоровье, точное местоположение и данные ребёнка младше 13 лет только с согласия. С 2026 года продажа точного местоположения запрещена для любого человека.

  5. Опубликовать полное уведомление о конфиденциальности

    Уведомление описывает обрабатываемые данные, цели, передаются ли они третьим лицам и как реализовать права. Тот, кто передаёт данные, перечисляет категории данных и третьих лиц.

    Пример

    Категории третьих лиц: рекламные компании, компании по анализу данных, брокеры данных.

  6. Отвечать на запросы в течение 45 дней

    Отвечайте в течение 45 дней, с продлением ещё на 45, если сообщите причину. Посетитель также может запросить список конкретных третьих лиц, получивших его данные.

    Пример

    Держите наготове список рекламных партнёров, получающих данные, с названием каждой компании.

  7. Проводить оценку защиты данных

    Прежде чем использовать данные для таргетированной рекламы, продажи, профилирования или чувствительных данных, компания письменно оценивает риски.

  8. Передавать отказ в Google

    Google не требует CMP для штатов США. Используйте сообщение о правилах штатов США в разделе «Конфиденциальность и сообщения» или включите в теге ограниченную обработку данных, RDP, для тех, кто отказался. С GPP Google читает раздел US National для Орегона.

    Пример

    AdSense или Ad Manager: Конфиденциальность и сообщения, карточка «Правила штатов США», Создать. Затем выберите сайты и опубликуйте.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Google не требует ни сертифицированной CMP, ни GPP для законов штатов США. Можно использовать сообщение самого Google или включить RDP в теге.

К кому относится

Объем посетителей, коммерческие и некоммерческие

OCPA действует для тех, кто ведет бизнес в Орегоне или предлагает товары и услуги жителям штата и достигает одного из порогов ниже за год.

100 тысяч потребителей

Контролировать или обрабатывать данные не менее 100 тысяч потребителей из Орегона, не считая данных, используемых только для завершения платежа.

25 тысяч и четверть выручки

Обрабатывать данные не менее 25 тысяч потребителей и получать 25% и более годовой валовой выручки от продажи персональных данных.

Некоммерческие организации

С 1 июля 2025 года некоммерческие организации, превышающие пороги, также должны соблюдать закон.

Автопроизводители

С сентября 2025 года все производители транспортных средств подпадают под закон, независимо от числа потребителей из Орегона.

Определения

Термины, важные для тех, кто продает рекламу

В Орегоне широкий список чувствительных данных, а продажа определяется с учетом обменов без денег.

Персональные данные

Информация, связанная или разумно способная быть связанной с человеком или с устройством, связанным с ним. Анонимизированные и общедоступные данные не входят.

Чувствительные данные

Расовое или этническое происхождение, национальное происхождение, религия, здоровье, сексуальная ориентация, статус трансгендерного или небинарного человека, статус жертвы преступления, миграционный статус, данные ребенка, генетические, биометрические данные и местоположение в радиусе 1750 футов.

Продажа

Обмен персональных данных на деньги или другую ценность с третьим лицом. Передача нанятым обработчикам и по просьбе потребителя сюда не входит.

Таргетированная реклама

Реклама, выбранная на основе данных о действиях человека с течением времени на сайтах и в приложениях других компаний. Контекстная реклама и измерение охвата не входят.

Права

Что может запросить посетитель из Орегона

Посетитель может узнать, обрабатывает ли компания его данные, получить к ним доступ, исправить, удалить и получить копию в формате, который можно перенести в другой сервис. Он также может отказаться от таргетированной рекламы, продажи данных и профилей, используемых в важных решениях.

Собственное право Орегона: запросить список конкретных компаний, а не только категорий, которым компания передала его данные. На сайте с рекламой такой список может включать Google, сети header bidding, видеоплатформы и пиксели соцсетей.

Компания должна подтвердить личность того, кто обращается, и ответить в течение 45 дней. Запросы на удаление также нужно выполнять в течение 45 дней, за исключением особых случаев.

В отчете за первый год Министерство юстиции сообщило, что именно в праве на удаление жители чаще всего сообщали об отказе.

Обязанности сайта

Уведомление о конфиденциальности, универсальный отказ и несовершеннолетние

В уведомлении о конфиденциальности должно быть объяснено, какие данные обрабатываются, зачем, кому передаются и как осуществить права. Если сайт продает данные или показывает таргетированную рекламу, об этом нужно сказать ясно и показать, как отказаться.

С 1 января 2026 года сайт также должен соблюдать универсальные механизмы отказа, такие как настройка браузера или расширение, отправляющее сигнал, например Global Privacy Control. С тем, у кого сигнал включен, нужно обращаться как с отказавшимся, без лишних кликов.

Чувствительные данные можно обрабатывать только с согласия. Для детей младше 13 лет действует федеральный закон COPPA. С 1 января 2026 года закон запрещает продавать данные потребителей младше 16 лет и использовать их для таргетированной рекламы или профилирования. В ту же дату вступил в силу запрет на продажу точного местоположения любого потребителя.

Таргетированная реклама, продажа данных, чувствительные данные и рискованное профилирование требуют документированной оценки защиты данных, которую генеральный прокурор может запросить при расследовании.

Хронология

Даты закона Орегона

Даты подтверждены сообщениями Министерства юстиции Орегона.

  1. 2023

    Закон принят

    Орегон принимает OCPA, с отдельными правилами для некоммерческих организаций.

  2. 1 июля 2024 года

    Вступление в силу

    Вступают в силу права, отказ, список третьих лиц и 30-дневный срок на исправление.

  3. 1 июля 2025 года

    Некоммерческие организации

    Некоммерческие организации, превышающие пороги, начинают соблюдать закон.

  4. 29 августа 2025 года

    Отчет за первый год

    Министерство юстиции сообщает о 214 жалобах и 38 делах, открытых и закрытых после уведомлений о нарушении.

  5. 1 января 2026 года

    Универсальный отказ и конец срока на исправление

    Действуют соблюдение универсального сигнала, запрет на продажу данных лиц младше 16 лет и точного местоположения, а обязательный 30-дневный срок заканчивается.

Контроль и штрафы

Генеральный прокурор, подразделение по конфиденциальности и штраф за нарушение

Генеральный прокурор Орегона обладает исключительной компетенцией по применению закона, с отдельным подразделением по конфиденциальности в Министерстве юстиции. Он может расследовать, запрашивать документы, обращаться за судебным приказом и взыскивать гражданский штраф до 7 500 долл. США за нарушение. Гражданин не может подать иск против компании на основании OCPA.

До 1 января 2026 года компания получала уведомление и имела 30 дней на исправление перед иском. Этот срок закончился, и штат может действовать без предварительного уведомления.

В первый год большая часть жалоб касалась брокеров данных, например сайтов, продающих отчеты о прошлом. Тем не менее уроки подходят любому сайту: сообщать, какие третьи лица получают данные, включать маркетинговые профили в запросы на доступ и удаление и поддерживать формы запросов доступными и рабочими.

По словам штата, большинство уведомленных компаний исправили уведомление о конфиденциальности или механизмы запросов вскоре после обращения.

AdSense и Ad Manager

Как Google обрабатывает посетителя из Орегона

У IAB Tech Lab есть раздел Орегона в строке GPP, но Google не включает его в разделы, принимаемые AdSense. Для Орегона Google читает раздел US National.

Когда US National указывает на отказ от продажи, передачи или таргетированной рекламы, Google включает ограниченную обработку данных, RDP, и показывает только неперсонализированную рекламу. В US National также есть поля для согласия несовершеннолетних, которые Google использует для включения RDP.

Сообщение о конфиденциальности для штатов США в AdSense и Ad Manager включает Орегон и записывает выбор в раздел US National. С другой CMP проверьте, отправляет ли она US National посетителям из Орегона и отмечает ли отказ, когда универсальный сигнал включен.

Чтобы отвечать на запрос списка третьих лиц, ведите актуальный перечень рекламных партнеров, header bidding, видео и пикселей, которые получают данные на сайте.

На практике

Что можно и что нельзя в Орегоне

Примеры для сайта с рекламой, который соблюдает закон.

Можно

  • Показывать персонализированную рекламу взрослым без предварительного запроса разрешения, при видимой ссылке для отказа
  • Считать GPC автоматическим отказом с января 2026 года
  • Выдавать посетителю список рекламных партнеров, получивших его данные
  • Показывать контекстную рекламу несовершеннолетним и тем, кто отказался
  • Записывать отказ в раздел US National в GPP

Нельзя

  • Использовать данные лиц младше 16 лет для таргетированной рекламы или профилирования
  • Продавать точное местоположение любого посетителя
  • Отвечать на запрос списка третьих лиц только общими категориями
  • Ждать уведомления об исправлении, которое больше не обязательно
  • Держать форму запроса прав, которая не отправляется или не получает ответа

Частые ошибки

Где сайты обычно ошибаются с Орегоном

Уроки первого года и изменения 2026 года указывают на одни и те же места.

Не знать, кто получает данные

У сайта нет перечня партнеров, и он не может составить список третьих лиц, который запросил посетитель.

GPC игнорируется в Орегоне

CMP соблюдает GPC в Калифорнии и Колорадо, но не была обновлена для Орегона в 2026 году.

Неполное удаление

Запрос на удаление стирает регистрацию, но сохраняет маркетинговые профили и списки аудиторий.

Региональный раздел без US National

CMP отправляет только раздел Орегона, который AdSense не принимает, и Google продолжает персонализировать.

В ConsentMode

Что аудит проверяет в части OCPA

  • Открывает сайт как посетитель из Орегона с выключенным и включенным GPC и сравнивает рекламные запросы.
  • Читает строку GPP и показывает, есть ли раздел US National и указывает ли он на отказ.
  • Перечисляет домены рекламы, header bidding, видео и пикселей, которые загружаются, что помогает составить список третьих лиц.
  • Определяет CMP и проверяет, ждут ли теги ее ответа.
  • Читает политику конфиденциальности и указывает, не хватает ли третьих лиц, прав и способа отказа.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы о законе Орегона

Должна ли моя некоммерческая ассоциация соблюдать OCPA?

С 1 июля 2025 года да, если она превышает один из порогов, например 100 тысяч потребителей из Орегона в год.

Нужен ли мне баннер согласия для Орегона?

Для персонализированной рекламы взрослым нет. Закон требует opt-out. Согласие требуется для чувствительных данных, а для лиц младше 16 лет продажа и таргетированная реклама запрещены.

Обязателен ли GPC в Орегоне?

Да, с 1 января 2026 года. Министерство юстиции особо отметило этот инструмент в День конфиденциальности данных 2026 года.

Что отвечать, когда просят список третьих лиц?

Названия конкретных компаний, получивших данные человека, например рекламных сетей и видеоплатформ, а не только общие категории.

Составляет ли ConsentMode этот список за меня?

ConsentMode показывает, какие домены третьих лиц загружаются на сайте во время визита, что помогает составить перечень. Ответ посетителю остается на ответственности компании.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Узнайте, готов ли ваш сайт к 2026 году

Аудит открывает сайт как посетитель из Орегона, с GPC и без него, и показывает, что исправить, ничего не меняя.

Начать аудит