Cumplimiento de la Oregon Consumer Privacy Act con ConsentX

La Oregon Consumer Privacy Act (OCPA) es la ley integral de privacidad del consumidor de Oregón. Entró en vigor el 1 de julio de 2024 y reconoce derechos a los consumidores de Oregón sobre sus datos personales, al tiempo que establece obligaciones para las empresas sujetas.

Los consumidores de Oregón tienen, con carácter general, derecho a saber qué datos personales ha recogido un responsable del tratamiento, obtener confirmación de que sus datos se están tratando, obtener una copia de sus datos personales, solicitar la rectificación de los datos inexactos, solicitar su supresión, obtener información sobre determinados terceros que recibieron sus datos, oponerse a la publicidad dirigida, oponerse a la venta de datos personales y oponerse a la elaboración de perfiles que produzca efectos jurídicos o similarmente significativos. El Departamento de Justicia de Oregón resume estos derechos mediante su marco L.O.C.K.E.D.: List, Opt-out, Copy, Know, Edit y Delete (listar, oponerse, copiar, conocer, editar y suprimir).

No para todos los tratamientos de datos personales. No obstante, los responsables del tratamiento deben obtener el consentimiento antes de tratar datos sensibles. La OCPA también exige un mecanismo eficaz para que los consumidores revoquen su consentimiento, y ese mecanismo debe ser al menos tan fácil de usar como aquel por el que se prestó.

Los datos sensibles incluyen determinada información que revela el origen racial o étnico, la nacionalidad, las creencias religiosas, la condición o el diagnóstico físico o mental, la orientación sexual, la condición de persona transgénero o no binaria, la condición de víctima de un delito y la situación de ciudadanía o inmigración, así como los datos genéticos o biométricos, ciertos datos de localización precisa y los datos personales de menores. Los datos personales de niños menores de 13 años se tratan expresamente como datos sensibles.

Sí. Los consumidores de Oregón tienen derecho a oponerse al tratamiento de sus datos personales con fines de publicidad dirigida.

Sí. Los consumidores tienen derecho a oponerse a la venta de sus datos personales. La OCPA también prevé mecanismos para que un agente autorizado ejerza determinados derechos de oposición en nombre del consumidor.

Sí. Los consumidores pueden oponerse a la elaboración de perfiles cuando esta se utilice para decisiones que produzcan efectos jurídicos o de similar importancia.

La OCPA exige a los responsables del tratamiento sujetos ofrecer un mecanismo mediante el cual los consumidores o sus agentes autorizados puedan comunicar sus preferencias de exclusión utilizando tecnologías o mecanismos admisibles. El mecanismo debe requerir una decisión afirmativa, voluntaria e inequívoca, y no basarse en una configuración por defecto. Las organizaciones deben evaluar los requisitos de Oregón junto con los requisitos de exclusión universal de otras leyes estatales de privacidad.

La OCPA regula el tratamiento de datos personales y no las cookies como tecnología independiente. Aun así, las cookies, los píxeles, las etiquetas publicitarias, los SDK y otras tecnologías de seguimiento pueden recoger o tratar datos personales o servir de apoyo a la publicidad dirigida. Por ello, el descubrimiento de rastreadores, la gestión de preferencias de privacidad y la aplicación de las decisiones de los consumidores pueden ser componentes importantes de un programa de cumplimiento de la OCPA.

Sí. Los responsables del tratamiento deben facilitar un aviso de privacidad razonablemente accesible, claro y significativo que describa las categorías de datos personales tratados, las finalidades del tratamiento, los derechos aplicables de los consumidores, las categorías de datos compartidos con terceros, las categorías de terceros pertinentes y los métodos para presentar solicitudes.

Sí. Los responsables del tratamiento deben realizar y documentar evaluaciones de protección de datos para las actividades que presenten un riesgo elevado de perjuicio para los consumidores. Pueden incluir la publicidad dirigida, el tratamiento de datos sensibles, la venta de datos personales y determinadas actividades de elaboración de perfiles.

Los responsables del tratamiento deben responder, con carácter general, sin dilación indebida y en un plazo máximo de 45 días desde la recepción de la solicitud. Ese plazo puede prorrogarse normalmente por otros 45 días cuando sea razonablemente necesario, siempre que el responsable lo notifique al consumidor dentro del plazo inicial de respuesta y explique el motivo de la prórroga.

Sí. Los responsables del tratamiento deben establecer un proceso para que los consumidores puedan reclamar frente a la negativa a atender una solicitud de privacidad. El responsable debe resolver la reclamación, con carácter general, en un plazo de 45 días y facilitar información que permita al consumidor dirigirse a la Fiscalía General de Oregón si la reclamación se deniega.

Sí. Los consumidores pueden designar a un agente autorizado para ejercer determinados derechos de oposición en su nombre. La OCPA también admite solicitudes de exclusión a través de mecanismos como enlaces de internet, configuraciones del navegador, extensiones del navegador, ajustes globales del dispositivo u otras tecnologías admisibles.

Sí. La OCPA establece protecciones reforzadas para los datos de los menores. Los datos personales de niños menores de 13 años se tratan como datos sensibles y la norma incluye además protecciones adicionales para los consumidores menores de 16 años, con restricciones relativas a la publicidad dirigida, la elaboración de perfiles y determinadas ventas de datos personales.

La OCPA la hace cumplir la Fiscalía General de Oregón, a través del Departamento de Justicia de Oregón. Oregón ha publicado guías para consumidores y empresas que explican la norma y su marco de aplicación.

ConsentX ayuda a poner en práctica controles de privacidad importantes, como la gestión del consentimiento, el descubrimiento de rastreadores, el bloqueo previo de scripts, la gestión de exclusiones, los flujos de solicitudes de derechos y las evidencias de auditoría. No obstante, ningún software puede garantizar por sí solo el cumplimiento legal. Las organizaciones deben evaluar su programa de privacidad completo frente a la OCPA y a todas las demás normas aplicables.