Oregon Consumer Privacy Act 合规，从 ConsentX 开始

Oregon Consumer Privacy Act (OCPA) 是俄勒冈州的综合性消费者隐私法。该法于 2024 年 7 月 1 日生效，赋予俄勒冈州消费者对其个人数据的权利，同时为受监管企业设定了义务。

俄勒冈州消费者通常有权知悉控制者收集了哪些个人数据、确认其个人数据是否正在被处理、获取其个人数据的副本、请求更正不准确的个人数据、请求删除其个人数据、获取有关接收其数据的特定第三方的信息、退出定向广告、退出个人数据的出售，以及退出产生法律效果或类似重大影响的画像分析。俄勒冈州司法部以其 L.O.C.K.E.D. 框架概括这些权利：List（列示）、Opt-out（退出）、Copy（副本）、Know（知悉）、Edit（更正）和 Delete（删除）。

并非所有个人数据处理都需要同意。但控制者在处理敏感数据前必须取得同意。OCPA 还要求为消费者提供有效的同意撤销机制，且该撤回机制的易用程度至少应与取得同意时所用的机制相当。

敏感数据包括揭示种族或民族背景、国籍出身、宗教信仰、身心状况或诊断、性取向、跨性别或非二元性别身份、犯罪受害者身份、公民身份或移民身份的特定信息，以及基因或生物识别数据、特定的精确位置数据和儿童的个人数据。13 岁以下儿童的个人数据被明确视为敏感数据。

是的。俄勒冈州消费者有权退出为定向广告目的对其个人数据的处理。

可以。消费者有权退出其个人数据的出售。OCPA 还规定了授权代理人可代消费者行使特定退出权的机制。

是的。当画像分析被用于作出产生法律效果或类似重大影响的决定时，消费者可以选择退出。

OCPA 要求受监管的控制者提供相应机制，使消费者或授权代理人能够通过符合条件的技术或机制传达退出偏好。该机制必须要求作出肯定、自愿且无歧义的选择，而不能依赖默认设置。组织应结合其他州隐私法项下的通用退出要求，一并评估俄勒冈州的相关要求。

OCPA 规范的是个人数据处理，而非将 Cookie 作为一项独立技术加以规范。但 Cookie、像素、广告标签、SDK 及其他追踪技术仍可能收集或处理个人数据，或为定向广告提供支持。因此，追踪技术发现、隐私偏好管理以及消费者选择的强制执行，可以成为 OCPA 合规方案的重要组成部分。

是的。控制者必须提供合理可获取、清晰且有实质意义的隐私告知，说明所处理的个人数据类别、处理目的、适用的消费者权利、与第三方共享的数据类别、相关第三方类别，以及提交消费者请求的方式。

是的。对于对消费者存在较高损害风险的处理活动，控制者必须开展并记录数据保护评估。这可能包括定向广告、敏感数据处理、出售个人数据以及特定的画像分析活动。

控制者通常必须不无故迟延地响应消费者请求，且不得晚于收到请求后的 45 天。在合理必要的情况下，该期限通常可再延长 45 天，前提是控制者在最初的响应期限内通知消费者并说明延期理由。

是的。控制者必须建立相应流程，供消费者对拒绝处理隐私请求的决定提出申诉。控制者通常必须在 45 天内就申诉作出决定；若申诉被驳回，还须提供相关信息，使消费者能够联系俄勒冈州总检察长。

可以。消费者可以指定授权代理人代其行使特定的退出权。OCPA 还允许通过互联网链接、浏览器设置、浏览器扩展、全局设备设置或其他符合条件的技术等机制提交退出请求。

是的。OCPA 为儿童数据规定了强化保护。13 岁以下儿童的个人数据被视为敏感数据；该法还包含针对 16 岁以下消费者的额外保护措施，包括对定向广告、画像分析和特定个人数据出售的限制。

OCPA 由俄勒冈州总检察长通过俄勒冈州司法部负责执法。俄勒冈州已发布面向消费者和企业的指引，解释该法及其执法框架。

ConsentX 可以帮助落实同意管理、追踪技术发现、脚本预先拦截、消费者退出管理、权利请求工作流以及审计证据等重要隐私控制措施。但任何软件都无法单独保证法律合规。组织应对照 OCPA 及所有其他适用法律，评估其完整的隐私合规体系。