打开空间

指南 · 美国州法律

OCPA:写给有广告的人的俄勒冈州法律详解

俄勒冈州的法律也适用于非营利组织,赋予访问者确切了解哪些公司收到了其数据的权利,并且自 2026 年起要求尊重浏览器的自动拒绝信号。请了解这对有广告的网站有什么变化。

  • ✓基于法律和俄勒冈州司法部的公告
  • ✓为使用 AdSense 和 Ad Manager 的网站设计的示例
  • ✓只读审核,不修改网站
10 万每年的俄勒冈州消费者人数:法律适用的主要门槛
16低于此年龄,自 2026 年起禁止出售数据和定向广告
214该州隐私部门在法律实施的第一年收到的投诉数量
7,500 美元每次违规的最高民事罚款

是什么

一部对数据接收方保持透明的法律

Oregon Consumer Privacy Act,简称 OCPA,于 2023 年通过,对大多数企业自 2024 年 7 月 1 日起生效。对非营利组织,自 2025 年 7 月 1 日起生效,这一点使它不同于其他许多州。

其结构沿用弗吉尼亚州和科罗拉多州的模式:消费者权利、对定向广告和数据出售的退出、敏感数据需征得同意,以及数据保护评估。

俄勒冈州自己的特色是,有权要求获得接收过该人数据的具体公司名单。对有广告的网站来说,这意味着要确切知道哪些合作伙伴收到访问者的数据。

自 2026 年 1 月 1 日起,有三项变化影响更大:网站必须尊重通用拒绝信号,30 天的整改期在采取行动前被取消,16 岁以下的未成年人获得针对数据出售和定向广告的全面保护。

清单

你需要做到的事项

如果网站超过 OCPA 的门槛,这是基本清单,按紧急程度从高到低排列。

  1. 设置清晰、显眼的退出链接

    网站需要一个清晰、显眼的链接,让访客拒绝定向广告、出售和画像。司法部提醒,仅有 cookie 横幅可能不够。

    示例

    页脚链接:Do Not Sell or Share My Personal Information,指向一个退出页面。

  2. 尊重通用退出信号

    自 2026 年 1 月 1 日起,网站必须尊重浏览器发送的偏好信号,例如 Global Privacy Control。

    示例

    开启 GPC 的访客:对他停止出售和定向广告,无需再要求任何操作。

  3. 保护 16 岁以下的人

    自 2026 年起,该法禁止出售 16 岁以下者的数据,也禁止把这些数据用于定向广告或画像。

    示例

    在网站的青少年区域,只展示非个性化广告。

  4. 对敏感数据要求同意

    健康、精确位置和 13 岁以下儿童的数据,只有取得同意后才能使用。自 2026 年起,任何人都不得出售精确位置。

  5. 发布完整的隐私声明

    通知描述所处理的数据、目的、是否向第三方提供,以及如何行使权利。提供数据的一方要列出数据和第三方的类别。

    示例

    第三方类别:广告公司、数据分析公司、数据经纪人。

  6. 在 45 天内答复请求

    在 45 天内答复,如果说明原因,可再延长 45 天。访客还可以要求提供收到其数据的具体第三方的名单。

    示例

    准备好接收数据的广告合作伙伴名单,并写明每家公司的名称。

  7. 进行数据保护评估

    在把数据用于定向广告、出售、画像或敏感数据之前,企业要以书面形式评估风险。

  8. 把退出请求传给 Google

    Google 对美国各州没有要求使用 CMP。请使用“隐私权和消息”中的美国各州法规消息,或在标签中对选择退出的访客开启受限数据处理(RDP)。使用 GPP 时,Google 对俄勒冈读取 US National 部分。

    示例

    AdSense 或 Ad Manager:隐私权和消息,“美国各州法规”卡片,创建。然后选择网站并发布。

    // Só para o visitante que recusou
    googletag.pubads().setPrivacySettings({
      restrictDataProcessing: true,
    });

实际案例

正确与错误示例

官方工具

经认证的 CMP 与官方链接

Google 对美国各州的法律没有要求使用认证 CMP,也没有要求 GPP。您可以使用 Google 自己的消息,或在标签中开启 RDP。

适用对象

访问者数量,无论是否营利

OCPA 适用于在俄勒冈州开展业务或向该州居民提供产品和服务,并且在一年内达到以下任一门槛的企业。

10 万名消费者

控制或处理至少 10 万名俄勒冈州消费者的数据,仅用于完成付款的数据不计入。

2.5 万名和四分之一的收入

处理至少 2.5 万名消费者的数据,并且年度总收入的 25% 或以上来自出售个人数据。

非营利组织

自 2025 年 7 月 1 日起,超过门槛的非营利组织也必须遵守该法律。

汽车制造商

自 2025 年 9 月起,所有汽车制造商都适用该法律,无论其俄勒冈州消费者的数量多少。

定义

对卖广告的人重要的术语

俄勒冈州对敏感数据有一份很宽泛的清单,并且在定义出售时包括不涉及金钱的交换。

个人数据

与某个人或与其相关联的设备相关,或可合理地与之关联的信息。匿名化数据和公开数据不包括在内。

敏感数据

种族或民族出身、国籍、宗教、健康、性取向、跨性别或非二元性别身份、犯罪受害者身份、移民身份、儿童数据、基因数据、生物识别数据,以及 1,750 英尺半径内的位置。

出售

与第三方以金钱或其他价值交换个人数据。向受托处理者以及应消费者要求传递数据不包括在内。

定向广告

根据个人在其他公司的网站和应用上长期活动的数据选择的广告。上下文广告和覆盖面衡量不包括在内。

权利

俄勒冈州访问者可以提出什么请求

访问者可以确认企业是否处理其数据、访问这些数据、更正、删除,并获取可转移到其他服务的格式的副本。他们还可以拒绝定向广告、数据出售,以及用于重要决定的画像。

俄勒冈州特有的权利是,要求获得企业向其传递过数据的具体公司名单,而不只是类别。在有广告的网站上,这份名单可能包括 Google、header bidding 网络、视频平台和社交网络像素。

企业必须核实请求人的身份,并在 45 天内答复。删除请求也必须在 45 天内处理,除非有例外。

在第一年的报告中,司法部表示,居民反映被拒绝最多的是删除权。

网站的义务

隐私声明、通用拒绝和未成年人

隐私声明应说明处理哪些数据、用于什么、与谁共享,以及如何行使权利。如果网站出售数据或投放定向广告,必须清楚说明,并展示如何拒绝。

自 2026 年 1 月 1 日起,网站还必须尊重通用拒绝机制,比如浏览器设置,或发送信号的扩展程序,例如 Global Privacy Control。开启信号的人应被视为已拒绝,无需额外点击。

敏感数据只有在获得同意后才能处理。对于 13 岁以下的儿童,适用联邦法律 COPPA。自 2026 年 1 月 1 日起,法律禁止出售 16 岁以下消费者的数据,也禁止将其数据用于定向广告或画像。同一天起,还禁止出售任何消费者的精确位置。

定向广告、数据出售、敏感数据和高风险画像需要有记录的数据保护评估,总检察长可以在调查中要求提供。

时间线

俄勒冈州法律的重要日期

日期已在俄勒冈州司法部的公告中得到确认。

  1. 2023

    法律通过

    俄勒冈州通过 OCPA,对非营利组织有专门规则。

  2. 2024 年 7 月 1 日

    生效

    权利、退出、第三方名单和 30 天整改期开始生效。

  3. 2025 年 7 月 1 日

    非营利组织

    超过门槛的非营利组织开始遵守该法律。

  4. 2025 年 8 月 29 日

    第一年报告

    司法部报告收到 214 起投诉,并在发出违规通知后开启并结束了 38 个案件。

  5. 2026 年 1 月 1 日

    通用拒绝和整改期取消

    开始尊重通用信号,禁止出售 16 岁以下者的数据和精确位置,强制性的 30 天整改期结束。

执法和罚款

总检察长、隐私部门和违规罚款

俄勒冈州总检察长拥有执行该法律的专属权限,司法部设有专门的隐私部门。他可以调查、要求提供文件、申请法院命令,并收取每次违规最高 7,500 美元的民事罚款。公民不能依据 OCPA 起诉企业。

到 2026 年 1 月 1 日为止,企业会收到通知,并有 30 天时间在诉讼前纠正。这个期限已经结束,该州可以不经事先通知就采取行动。

第一年,大部分投诉涉及数据经纪人,比如出售背景调查报告的网站。即便如此,这些教训适用于任何网站:说明哪些第三方收到数据、在访问和删除请求中包含营销画像,并保持权利表单可访问且正常运作。

据该州称,大多数收到通知的企业在联系之后很快就更正了隐私声明或请求机制。

AdSense 和 Ad Manager

Google 如何对待俄勒冈州访问者

IAB Tech Lab 在 GPP 字符串中有俄勒冈州分段,但 Google 没有将其列入 AdSense 接受的分段中。对于俄勒冈州,Google 读取的是 US National 分段。

当 US National 显示拒绝出售、共享或定向广告时,Google 会启用受限数据处理,即 RDP,只展示非个性化广告。US National 还有关于未成年人同意的字段,Google 用它来启用 RDP。

AdSense 和 Ad Manager 的美国各州法规消息包含俄勒冈州,并将选择记录在 US National 分段中。如果使用其他 CMP,请检查它是否向俄勒冈州访问者发送 US National,以及在通用信号开启时是否标记拒绝。

要回应第三方名单的请求,请维护一份最新的清单,列出在网站上接收数据的广告、header bidding、视频和像素合作伙伴。

实际案例

在俄勒冈州可以做什么,不可以做什么

适用于符合该法律要求的有广告网站的示例。

可以

  • 对成年人展示个性化广告,无需事先征求许可,但要有可见的拒绝链接
  • 自 2026 年 1 月起,将 GPC 视为自动拒绝
  • 向访问者提供接收过其数据的广告合作伙伴名单
  • 对未成年人和已拒绝的人展示上下文广告
  • 将拒绝记录在 GPP 的 US National 分段中

不可以

  • 将 16 岁以下者的数据用于定向广告或画像
  • 出售任何访问者的精确位置
  • 对第三方名单的请求只用笼统的类别回答
  • 等待一个已不再是强制要求的整改通知
  • 保留发送不出去或没有回复的权利表单

常见错误

网站在俄勒冈州法律上常犯的错误

第一年的教训和 2026 年的变化指向同样的几点。

不知道谁在接收数据

网站没有合作伙伴清单,无法整理出访问者要求的第三方名单。

俄勒冈州的 GPC 被忽略

CMP 在加利福尼亚州和科罗拉多州尊重 GPC,但 2026 年没有为俄勒冈州更新。

删除不彻底

删除请求删掉了注册信息,却保留了营销画像和受众列表。

只有州分段,没有 US National

CMP 只发送 AdSense 不接受的俄勒冈州分段,Google 仍在继续个性化。

在 ConsentMode 中

审核对 OCPA 检查什么

  • 以俄勒冈州访问者的身份,在 GPC 关闭和开启的情况下各打开一次网站,并比较广告请求。
  • 读取 GPP 字符串,显示 US National 分段是否存在并标明拒绝。
  • 列出加载的广告、header bidding、视频和像素域名,有助于整理第三方名单。
  • 识别 CMP,检查标签是否等待它的回应。
  • 阅读隐私政策,指出是否缺少第三方、权利和拒绝方式。

关于俄勒冈州法律的常见问题

我的非营利协会需要遵守 OCPA 吗?

自 2025 年 7 月 1 日起,需要,只要超过任一门槛,比如每年 10 万名俄勒冈州消费者。

俄勒冈州需要用户同意横幅吗?

对成年人的个性化广告不需要。法律要求的是退出。敏感数据需要同意,对 16 岁以下者,则禁止出售和定向广告。

俄勒冈州强制要求 GPC 吗?

是的,自 2026 年 1 月 1 日起。司法部在 2026 年数据隐私日重点介绍了这个工具。

被要求提供第三方名单时,我该怎么回答?

提供接收过该人数据的具体公司名称,如广告网络和视频平台,而不只是笼统的类别。

ConsentMode 会替我整理这份名单吗?

ConsentMode 会显示访问期间网站上加载了哪些第三方域名,有助于整理清单。向访问者作出答复仍是企业自己的责任。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文:

看看你的网站是否已为 2026 年做好准备

审核会以俄勒冈州访问者的身份、在有和没有 GPC 的情况下打开网站,并告诉你要修正什么,不会改动任何内容。

开始审核