10 万名消费者
控制或处理至少 10 万名俄勒冈州消费者的数据,仅用于完成付款的数据不计入。
指南 · 美国州法律
俄勒冈州的法律也适用于非营利组织,赋予访问者确切了解哪些公司收到了其数据的权利,并且自 2026 年起要求尊重浏览器的自动拒绝信号。请了解这对有广告的网站有什么变化。
是什么
Oregon Consumer Privacy Act,简称 OCPA,于 2023 年通过,对大多数企业自 2024 年 7 月 1 日起生效。对非营利组织,自 2025 年 7 月 1 日起生效,这一点使它不同于其他许多州。
其结构沿用弗吉尼亚州和科罗拉多州的模式:消费者权利、对定向广告和数据出售的退出、敏感数据需征得同意,以及数据保护评估。
俄勒冈州自己的特色是,有权要求获得接收过该人数据的具体公司名单。对有广告的网站来说,这意味着要确切知道哪些合作伙伴收到访问者的数据。
自 2026 年 1 月 1 日起,有三项变化影响更大:网站必须尊重通用拒绝信号,30 天的整改期在采取行动前被取消,16 岁以下的未成年人获得针对数据出售和定向广告的全面保护。
清单
如果网站超过 OCPA 的门槛,这是基本清单,按紧急程度从高到低排列。
网站需要一个清晰、显眼的链接,让访客拒绝定向广告、出售和画像。司法部提醒,仅有 cookie 横幅可能不够。
页脚链接:Do Not Sell or Share My Personal Information,指向一个退出页面。
自 2026 年 1 月 1 日起,网站必须尊重浏览器发送的偏好信号,例如 Global Privacy Control。
开启 GPC 的访客:对他停止出售和定向广告,无需再要求任何操作。
自 2026 年起,该法禁止出售 16 岁以下者的数据,也禁止把这些数据用于定向广告或画像。
在网站的青少年区域,只展示非个性化广告。
健康、精确位置和 13 岁以下儿童的数据,只有取得同意后才能使用。自 2026 年起,任何人都不得出售精确位置。
通知描述所处理的数据、目的、是否向第三方提供,以及如何行使权利。提供数据的一方要列出数据和第三方的类别。
第三方类别:广告公司、数据分析公司、数据经纪人。
在 45 天内答复,如果说明原因,可再延长 45 天。访客还可以要求提供收到其数据的具体第三方的名单。
准备好接收数据的广告合作伙伴名单,并写明每家公司的名称。
在把数据用于定向广告、出售、画像或敏感数据之前,企业要以书面形式评估风险。
Google 对美国各州没有要求使用 CMP。请使用“隐私权和消息”中的美国各州法规消息,或在标签中对选择退出的访客开启受限数据处理(RDP)。使用 GPP 时,Google 对俄勒冈读取 US National 部分。
AdSense 或 Ad Manager:隐私权和消息,“美国各州法规”卡片,创建。然后选择网站并发布。
// Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true,
});实际案例
官方工具
Google 对美国各州的法律没有要求使用认证 CMP,也没有要求 GPP。您可以使用 Google 自己的消息,或在标签中开启 RDP。
适用对象
OCPA 适用于在俄勒冈州开展业务或向该州居民提供产品和服务,并且在一年内达到以下任一门槛的企业。
控制或处理至少 10 万名俄勒冈州消费者的数据,仅用于完成付款的数据不计入。
处理至少 2.5 万名消费者的数据,并且年度总收入的 25% 或以上来自出售个人数据。
自 2025 年 7 月 1 日起,超过门槛的非营利组织也必须遵守该法律。
自 2025 年 9 月起,所有汽车制造商都适用该法律,无论其俄勒冈州消费者的数量多少。
定义
俄勒冈州对敏感数据有一份很宽泛的清单,并且在定义出售时包括不涉及金钱的交换。
与某个人或与其相关联的设备相关,或可合理地与之关联的信息。匿名化数据和公开数据不包括在内。
种族或民族出身、国籍、宗教、健康、性取向、跨性别或非二元性别身份、犯罪受害者身份、移民身份、儿童数据、基因数据、生物识别数据,以及 1,750 英尺半径内的位置。
与第三方以金钱或其他价值交换个人数据。向受托处理者以及应消费者要求传递数据不包括在内。
根据个人在其他公司的网站和应用上长期活动的数据选择的广告。上下文广告和覆盖面衡量不包括在内。
权利
访问者可以确认企业是否处理其数据、访问这些数据、更正、删除,并获取可转移到其他服务的格式的副本。他们还可以拒绝定向广告、数据出售,以及用于重要决定的画像。
俄勒冈州特有的权利是,要求获得企业向其传递过数据的具体公司名单,而不只是类别。在有广告的网站上,这份名单可能包括 Google、header bidding 网络、视频平台和社交网络像素。
企业必须核实请求人的身份,并在 45 天内答复。删除请求也必须在 45 天内处理,除非有例外。
在第一年的报告中,司法部表示,居民反映被拒绝最多的是删除权。
网站的义务
隐私声明应说明处理哪些数据、用于什么、与谁共享,以及如何行使权利。如果网站出售数据或投放定向广告,必须清楚说明,并展示如何拒绝。
自 2026 年 1 月 1 日起,网站还必须尊重通用拒绝机制,比如浏览器设置,或发送信号的扩展程序,例如 Global Privacy Control。开启信号的人应被视为已拒绝,无需额外点击。
敏感数据只有在获得同意后才能处理。对于 13 岁以下的儿童,适用联邦法律 COPPA。自 2026 年 1 月 1 日起,法律禁止出售 16 岁以下消费者的数据,也禁止将其数据用于定向广告或画像。同一天起,还禁止出售任何消费者的精确位置。
定向广告、数据出售、敏感数据和高风险画像需要有记录的数据保护评估,总检察长可以在调查中要求提供。
时间线
日期已在俄勒冈州司法部的公告中得到确认。
俄勒冈州通过 OCPA,对非营利组织有专门规则。
权利、退出、第三方名单和 30 天整改期开始生效。
超过门槛的非营利组织开始遵守该法律。
司法部报告收到 214 起投诉,并在发出违规通知后开启并结束了 38 个案件。
开始尊重通用信号,禁止出售 16 岁以下者的数据和精确位置,强制性的 30 天整改期结束。
执法和罚款
俄勒冈州总检察长拥有执行该法律的专属权限,司法部设有专门的隐私部门。他可以调查、要求提供文件、申请法院命令,并收取每次违规最高 7,500 美元的民事罚款。公民不能依据 OCPA 起诉企业。
到 2026 年 1 月 1 日为止,企业会收到通知,并有 30 天时间在诉讼前纠正。这个期限已经结束,该州可以不经事先通知就采取行动。
第一年,大部分投诉涉及数据经纪人,比如出售背景调查报告的网站。即便如此,这些教训适用于任何网站:说明哪些第三方收到数据、在访问和删除请求中包含营销画像,并保持权利表单可访问且正常运作。
据该州称,大多数收到通知的企业在联系之后很快就更正了隐私声明或请求机制。
AdSense 和 Ad Manager
IAB Tech Lab 在 GPP 字符串中有俄勒冈州分段,但 Google 没有将其列入 AdSense 接受的分段中。对于俄勒冈州,Google 读取的是 US National 分段。
当 US National 显示拒绝出售、共享或定向广告时,Google 会启用受限数据处理,即 RDP,只展示非个性化广告。US National 还有关于未成年人同意的字段,Google 用它来启用 RDP。
AdSense 和 Ad Manager 的美国各州法规消息包含俄勒冈州,并将选择记录在 US National 分段中。如果使用其他 CMP,请检查它是否向俄勒冈州访问者发送 US National,以及在通用信号开启时是否标记拒绝。
要回应第三方名单的请求,请维护一份最新的清单,列出在网站上接收数据的广告、header bidding、视频和像素合作伙伴。
实际案例
适用于符合该法律要求的有广告网站的示例。
常见错误
第一年的教训和 2026 年的变化指向同样的几点。
网站没有合作伙伴清单,无法整理出访问者要求的第三方名单。
CMP 在加利福尼亚州和科罗拉多州尊重 GPC,但 2026 年没有为俄勒冈州更新。
删除请求删掉了注册信息,却保留了营销画像和受众列表。
CMP 只发送 AdSense 不接受的俄勒冈州分段,Google 仍在继续个性化。
自 2025 年 7 月 1 日起,需要,只要超过任一门槛,比如每年 10 万名俄勒冈州消费者。
对成年人的个性化广告不需要。法律要求的是退出。敏感数据需要同意,对 16 岁以下者,则禁止出售和定向广告。
是的,自 2026 年 1 月 1 日起。司法部在 2026 年数据隐私日重点介绍了这个工具。
提供接收过该人数据的具体公司名称,如广告网络和视频平台,而不只是笼统的类别。
ConsentMode 会显示访问期间网站上加载了哪些第三方域名,有助于整理清单。向访问者作出答复仍是企业自己的责任。
资料库
本指南根据以下官方页面编写。请直接阅读原文:
审核会以俄勒冈州访问者的身份、在有和没有 GPC 的情况下打开网站,并告诉你要修正什么,不会改动任何内容。