Conformidade com o Oregon Consumer Privacy Act usando ConsentX

O Oregon Consumer Privacy Act (OCPA) é a lei abrangente de privacidade do consumidor do Oregon. Ela entrou em vigor em 1º de julho de 2024 e garante aos consumidores do Oregon direitos sobre seus dados pessoais, ao mesmo tempo em que estabelece obrigações para as empresas abrangidas.

Em geral, os consumidores do Oregon têm o direito de saber quais dados pessoais um controlador coletou, obter a confirmação de que seus dados pessoais estão sendo tratados, obter uma cópia de seus dados pessoais, solicitar a correção de dados pessoais inexatos, solicitar a exclusão de seus dados pessoais, obter informações sobre determinados terceiros que receberam seus dados, se opor à publicidade direcionada, se opor à venda de dados pessoais e se opor ao perfilamento que produza efeitos jurídicos ou impactos igualmente significativos. O Department of Justice do Oregon resume esses direitos no marco L.O.C.K.E.D.: List (listar), Opt-out (opor-se), Copy (copiar), Know (saber), Edit (editar) e Delete (excluir).

Não para todo tratamento de dados pessoais. No entanto, os controladores devem obter consentimento antes de tratar dados sensíveis. O OCPA também exige um mecanismo eficaz para que os consumidores revoguem o consentimento, e esse mecanismo deve ser pelo menos tão fácil de usar quanto aquele pelo qual o consentimento foi concedido.

Dados sensíveis incluem determinadas informações que revelem origem racial ou étnica, nacionalidade, convicções religiosas, condição ou diagnóstico mental ou físico, orientação sexual, condição transgênero ou não binária, condição de vítima de crime, situação de cidadania ou imigração, além de dados genéticos ou biométricos, determinados dados de localização precisa e dados pessoais de crianças. Os dados pessoais de crianças com menos de 13 anos são especificamente tratados como dados sensíveis.

Sim. Os consumidores do Oregon têm o direito de se opor ao tratamento de seus dados pessoais para publicidade direcionada.

Sim. Os consumidores têm o direito de se opor à venda de seus dados pessoais. O OCPA também prevê mecanismos pelos quais um agente autorizado pode exercer determinados direitos de oposição em nome do consumidor.

Sim. Os consumidores podem se opor ao perfilamento quando ele é usado para embasar decisões que produzam efeitos jurídicos ou efeitos de significado semelhante.

O OCPA exige que os controladores abrangidos ofereçam um mecanismo pelo qual os consumidores ou agentes autorizados possam comunicar suas preferências de oposição usando tecnologias ou mecanismos qualificados. O mecanismo deve exigir uma escolha afirmativa, voluntária e inequívoca, sem se apoiar em uma configuração padrão. As organizações devem avaliar as exigências do Oregon junto com as exigências de universal opt-out de outras leis estaduais de privacidade.

O OCPA regula o tratamento de dados pessoais, e não os cookies como tecnologia isolada. Ainda assim, cookies, pixels, tags publicitárias, SDKs e outras tecnologias de rastreamento podem coletar ou tratar dados pessoais ou viabilizar publicidade direcionada. Por isso, a descoberta de rastreadores, a gestão de preferências de privacidade e a aplicação das escolhas dos consumidores podem ser componentes importantes de um programa de conformidade com o OCPA.

Sim. Os controladores devem fornecer um aviso de privacidade razoavelmente acessível, claro e significativo, descrevendo as categorias de dados pessoais tratados, as finalidades do tratamento, os direitos aplicáveis do consumidor, as categorias de dados compartilhados com terceiros, as categorias de terceiros pertinentes e os métodos para envio de solicitações.

Sim. Os controladores devem realizar e documentar avaliações de proteção de dados para atividades de tratamento que apresentem risco elevado de dano aos consumidores. Isso pode incluir publicidade direcionada, tratamento de dados sensíveis, venda de dados pessoais e determinadas atividades de perfilamento.

Em geral, os controladores devem responder a uma solicitação sem demora injustificada e em até 45 dias do seu recebimento. Esse prazo geralmente pode ser prorrogado por mais 45 dias quando razoavelmente necessário, desde que o controlador avise o consumidor dentro do prazo inicial de resposta e explique o motivo da prorrogação.

Sim. Os controladores devem estabelecer um processo pelo qual os consumidores possam recorrer da recusa em atender a uma solicitação de privacidade. Em geral, o controlador deve decidir o recurso em até 45 dias e fornecer informações que permitam ao consumidor contatar o Procurador-Geral do Oregon caso o recurso seja negado.

Sim. Os consumidores podem designar um agente autorizado para exercer determinados direitos de oposição em seu nome. O OCPA também admite solicitações de oposição por meio de mecanismos como links na internet, configurações do navegador, extensões de navegador, configurações globais do dispositivo ou outras tecnologias qualificadas.

Sim. O OCPA prevê proteções reforçadas para dados de crianças. Os dados pessoais de crianças com menos de 13 anos são tratados como dados sensíveis, e a lei também traz proteções adicionais relativas a consumidores com menos de 16 anos, incluindo restrições sobre publicidade direcionada, perfilamento e determinadas vendas de dados pessoais.

O OCPA é fiscalizado pelo Procurador-Geral do Oregon, por meio do Oregon Department of Justice. O Oregon publicou orientações para consumidores e empresas explicando a lei e seu modelo de fiscalização.

O ConsentX pode ajudar a operacionalizar controles importantes de privacidade, como gestão de consentimento, descoberta de rastreadores, bloqueio prévio de scripts, gestão de oposições dos consumidores, fluxos de solicitações de direitos e evidências de auditoria. No entanto, nenhum software garante conformidade legal por si só. As organizações devem avaliar todo o seu programa de privacidade em relação ao OCPA e a todas as demais leis aplicáveis.