الامتثال لـ Oregon Consumer Privacy Act مع ConsentX

قانون Oregon Consumer Privacy Act (OCPA) هو قانون خصوصية المستهلك الشامل في ولاية أوريغون. وقد دخل حيز التنفيذ في 1 يوليو 2024، وهو يمنح المستهلكين في أوريغون حقوقًا على بياناتهم الشخصية ويفرض التزامات على الشركات الخاضعة له.

يحق للمستهلكين في أوريغون عمومًا معرفة البيانات الشخصية التي جمعها المتحكم، والحصول على تأكيد بأن بياناتهم الشخصية تُعالج، والحصول على نسخة منها، وطلب تصحيح البيانات الشخصية غير الدقيقة، وطلب حذف بياناتهم الشخصية، والحصول على معلومات عن بعض الأطراف الثالثة التي تلقّت بياناتهم، والانسحاب من الإعلانات المستهدفة، والانسحاب من بيع البيانات الشخصية، والانسحاب من التنميط الذي يُحدث آثارًا قانونية أو آثارًا مماثلة في أهميتها. وتلخّص وزارة العدل في ولاية أوريغون هذه الحقوق عبر إطار L.O.C.K.E.D. وهو: List (السرد)، وOpt-out (الانسحاب)، وCopy (النسخ)، وKnow (المعرفة)، وEdit (التعديل)، وDelete (الحذف).

ليس لكل عمليات معالجة البيانات الشخصية. غير أنه يجب على المتحكمين الحصول على الموافقة قبل معالجة البيانات الحساسة. كما يشترط OCPA توفير آلية فعّالة تتيح للمستهلكين إلغاء موافقتهم، على أن تكون آلية السحب سهلة الاستخدام بالقدر نفسه الذي مُنحت به الموافقة على الأقل.

تشمل البيانات الحساسة معلومات معينة تكشف الخلفية العرقية أو الإثنية، أو الأصل القومي، أو المعتقدات الدينية، أو الحالة أو التشخيص النفسي أو البدني، أو التوجه الجنسي، أو كون الشخص عابرًا جنسيًا أو غير ثنائي الهوية، أو كونه ضحية جريمة، أو حالة الجنسية أو الهجرة، إضافة إلى البيانات الجينية أو البيومترية وبعض بيانات الموقع الدقيق والبيانات الشخصية للأطفال. وتُعامل البيانات الشخصية للأطفال دون 13 عامًا تحديدًا باعتبارها بيانات حساسة.

نعم. يحق للمستهلكين في أوريغون الانسحاب من معالجة بياناتهم الشخصية لأغراض الإعلانات المستهدفة.

نعم. يحق للمستهلكين الانسحاب من بيع بياناتهم الشخصية. كما يوفّر OCPA آليات يمكن من خلالها لوكيل مفوَّض أن يمارس بعض حقوق الانسحاب نيابة عن المستهلك.

نعم. يمكن للمستهلكين الانسحاب من التنميط حين يُستخدم خدمةً لقرارات تُحدث آثارًا قانونية أو آثارًا مماثلة في أهميتها.

يُلزم OCPA المتحكمين الخاضعين بتوفير آلية يمكن من خلالها للمستهلكين أو الوكلاء المفوَّضين إبلاغ تفضيلات الانسحاب باستخدام تقنية أو آلية مستوفية للشروط. ويجب أن تقتضي هذه الآلية خيارًا إيجابيًا وطوعيًا ولا لبس فيه بدلًا من الاعتماد على إعداد افتراضي. وينبغي للمؤسسات تقييم متطلبات أوريغون إلى جانب متطلبات الانسحاب الشامل في قوانين خصوصية الولايات الأخرى.

ينظّم OCPA معالجة البيانات الشخصية لا ملفات تعريف الارتباط بوصفها تقنية قائمة بذاتها. ومع ذلك، فإن ملفات تعريف الارتباط والبكسلات ووسوم الإعلانات وحِزم التطوير البرمجية وغيرها من تقنيات التتبع قد تجمع بيانات شخصية أو تعالجها أو تدعم الإعلانات المستهدفة. ولهذا السبب يمكن أن يشكّل اكتشاف أدوات التتبع وإدارة تفضيلات الخصوصية وإنفاذ خيارات المستهلكين مكوّنات مهمة في برنامج الامتثال لـ OCPA.

نعم. يجب على المتحكمين تقديم إشعار خصوصية واضح وذي مغزى وسهل الوصول بصورة معقولة، يوضّح فئات البيانات الشخصية التي تُعالج وأغراض المعالجة وحقوق المستهلكين المنطبقة وفئات البيانات التي تُشارك مع الأطراف الثالثة وفئات تلك الأطراف وطرق تقديم طلبات المستهلكين.

نعم. يجب على المتحكمين إجراء تقييمات حماية البيانات وتوثيقها لأنشطة المعالجة التي تنطوي على خطر ضرر مرتفع على المستهلكين. وقد تشمل هذه الأنشطة الإعلانات المستهدفة ومعالجة البيانات الحساسة وبيع البيانات الشخصية وأنشطة تنميط معينة.

يجب على المتحكمين عمومًا الرد على طلب المستهلك دون تأخير لا مبرر له وفي موعد أقصاه 45 يومًا من استلام الطلب. ويمكن عمومًا تمديد هذه المدة 45 يومًا إضافية عند الحاجة المعقولة، شريطة أن يخطر المتحكم المستهلك خلال مدة الرد الأولى ويوضّح سبب التمديد.

نعم. يجب على المتحكمين إنشاء آلية تتيح للمستهلكين التظلم من رفض اتخاذ إجراء بشأن طلب خصوصية. وعلى المتحكم عمومًا البت في التظلم خلال 45 يومًا وتقديم المعلومات التي تمكّن المستهلك من التواصل مع المدعي العام لولاية أوريغون في حال رفض التظلم.

نعم. يمكن للمستهلكين تعيين وكيل مفوَّض لممارسة بعض حقوق الانسحاب نيابة عنهم. كما يتيح OCPA تقديم طلبات الانسحاب عبر آليات مثل روابط الإنترنت أو إعدادات المتصفح أو إضافاته أو الإعدادات الشاملة للجهاز أو غيرها من التقنيات المستوفية للشروط.

نعم. يوفّر OCPA حمايات معززة لبيانات الأطفال. فتُعامل البيانات الشخصية للأطفال دون 13 عامًا باعتبارها بيانات حساسة، كما يتضمن القانون حمايات إضافية تتعلق بالمستهلكين دون 16 عامًا، من بينها قيود على الإعلانات المستهدفة والتنميط وبعض عمليات بيع البيانات الشخصية.

يتولى المدعي العام لولاية أوريغون إنفاذ OCPA من خلال وزارة العدل في الولاية. وقد نشرت أوريغون إرشادات للمستهلكين والشركات تشرح القانون وإطار إنفاذه.

يمكن لـ ConsentX المساعدة في تفعيل ضوابط خصوصية مهمة مثل إدارة الموافقة واكتشاف أدوات التتبع وحجب البرامج النصية قبل الموافقة وإدارة طلبات انسحاب المستهلكين ومسارات عمل طلبات الحقوق وأدلة التدقيق. غير أنه لا يوجد برنامج يمكنه وحده ضمان الامتثال القانوني. وينبغي للمؤسسات تقييم برنامج الخصوصية لديها بالكامل في ضوء OCPA وسائر القوانين المنطبقة.