¿Necesita su empresa cumplir la Ley de Privacidad del Consumidor de Oregón (OCPA)? La nueva ley de privacidad del consumidor de Oregón entra en vigor el 1 de julio de 2024.
Utilice mi sencilla lista de control de seis pasos para simplificar el cumplimiento de la OCPA.
Lista de comprobación del cumplimiento de la OCPA: Paso a paso
Para cumplir los requisitos establecidos por la OCPA, siga estos seis sencillos pasos.
Parte 1: Realice una auditoría de privacidad
Para cumplir cualquier ley de privacidad de datos, debe saber qué información personal recopila su empresa de los usuarios, por qué y cómo se utiliza.
Para determinarlo, realice una auditoría de privacidad, también llamada inventario de datos, utilizando uno de los siguientes métodos:
Parte 2: Requisitos de notificación de privacidad
La OCPA exige a las empresas que presenten a los consumidores de Oregón una política de privacidad que incluya la siguiente información:
- Qué categorías de datos personales recopila.
- La finalidad del tratamiento de los datos.
- Cómo pueden los consumidores ejercer su derecho a la intimidad y recurrir su decisión.
- Qué categorías de datos comparte con terceros, en su caso, incluidas las categorías de datos sensibles.
- Con qué categorías de terceros comparte datos personales, en su caso, y, en la medida de lo posible, cómo procesa cada uno de ellos los datos personales.
- Una dirección de correo electrónico activa u otro método en línea para que los consumidores se pongan en contacto con usted.
- Cualquier nombre comercial con el que esté registrado en la Secretaría de Estado y cualquier nombre comercial ficticio utilizado.
- Una descripción de cualquier tratamiento de datos para anuncios dirigidos o elaboración de perfiles de usuarios y cómo los usuarios pueden optar por no participar.
Parte 3: gestión del consentimiento para el tratamiento específico de datos
La OCPA afecta a las empresas gestión del consentimiento porque otorga a los consumidores el derecho a excluirse voluntariamente de determinados tipos de tratamiento de datos, entre ellos:
- Publicidad dirigida
- La venta de datos
- Perfilar al consumidor
Si procesa datos para cualquiera de los fines anteriores, debe proporcionar a sus usuarios un banner de consentimiento u otro sistema que les permita ejercer fácilmente estos derechos.
Parte 4: Obligaciones contractuales para compartir o vender datos personales
En virtud de la OCPA, los responsables y encargados del tratamiento de datos deben suscribir acuerdos contractuales que recojan todas las directrices siguientes:
- Incluya instrucciones para el tratamiento de los datos, su naturaleza y finalidad.
- Enumere el tipo de datos que se procesan y durante cuánto tiempo.
- Describa los derechos de cada parte y sus obligaciones.
- Exigir un deber de confidencialidad sobre los datos personales.
- Exigir al transformador que demuestre el cumplimiento de la OCPA.
- Exigir al encargado del tratamiento que elimine o devuelva todos los datos al final del contrato.
- Exigir al encargado del tratamiento que coopere con las evaluaciones razonables realizadas por el responsable del tratamiento.
- Exija a los subcontratistas que firmen un contrato con las mismas obligaciones.
- Permitir que el responsable del tratamiento o una persona independiente designada evalúen las políticas y los controles técnicos y organizativos del encargado del tratamiento para cumplir con sus obligaciones.
Parte 5: Derechos del consumidor y solicitudes verificables de los consumidores
La OCPA exige a las empresas que ofrezcan a los consumidores de Oregón dos o más formas de hacer valer sus derechos:
- Confirme si está tratando sus datos.
- Obtener una lista de terceros a los que se comunican sus datos (a discreción del responsable del tratamiento)
- Solicitar acceso a sus datos
- Corregir inexactitudes en sus datos.
- Obtenga una copia portátil siempre que sea posible.
- Solicitar la supresión de sus datos.
- Optar por que no se vendan o procesen sus datos para publicidad dirigida.
- Exclusión voluntaria de la elaboración de perfiles.
Su sitio web también debe respetar los mecanismos universales de exclusión voluntaria (UOOM, por sus siglas en inglés) como una solicitud verificada del consumidor para ejercer sus derechos de exclusión voluntaria antes del 1 de enero de 2026.
Considere la posibilidad de utilizar una combinación de los siguientes métodos para cumplir este requisito legal:
- Utilice un formulario de Solicitud de Acceso del Sujeto a los Datos (DSAR).
- Proporcione una dirección de correo electrónico a la que los usuarios puedan enviar sus solicitudes.
- Publique una política de cookies si implementa cookies que recopilan datos sensibles, datos que vende o datos utilizados para publicidad dirigida.
- Utilice un banner de consentimiento para que los consumidores puedan ejercer sus derechos de exclusión.
Parte 6: Procedimientos y prácticas de seguridad
La OCPA exige a las empresas cubiertas que establezcan, apliquen y mantengan prácticas de seguridad que salvaguarden los datos personales tal y como se describe a continuación:
- Protege su confidencialidad
- Protege su integridad
- Protege su accesibilidad
Algunas técnicas estándar de seguridad de datos incluyen:
- Anonimización y desidentificación de los datos
- Cifrar la información
- Controles de acceso
- Creación de un plan de copia de seguridad o recuperación de datos
FAQ sobre los requisitos de la OCPA
A continuación, lea algunas de las preguntas más frecuentes sobre la OCPA.
¿Se aplica la OCPA a mi empresa?
La OCPA se aplica a su empresa si trabaja en Oregón o destina bienes y servicios a residentes del estado y cumple alguno de los siguientes umbrales:
- Controla o procesa los datos personales de 100.000 consumidores o más, excluyendo los datos procesados únicamente para completar una transacción de pago.
- Controla o procesa los datos personales de 25.000 consumidores o más y obtiene un 25% o más de ingresos brutos anuales de la venta de datos personales.
¿Cuándo entra en vigor la OCPA?
La OCPA entrará oficialmente en vigor el 1 de julio de 2024, pero las estipulaciones relativas a las organizaciones sin ánimo de lucro serán aplicables a partir del 1 de julio de 2025.
¿Quién hace cumplir la OCPA?
La OCPA es aplicada por el fiscal general de Oregón.
¿Cuáles son las sanciones por infringir la OCPA?
Las multas por infringir la OCPA pueden alcanzar los 7.500 dólares por incidente.
¿Puede Termly ayudar a cumplir la OCPA?
Termly puede ayudar a las empresas a cumplir la OCPA proporcionándoles nuestro Generador de Política de Privacidad que incluye todos los requisitos de notificación necesarios contemplados en la OCPA.
También ofrecemos una plataforma gestión del consentimiento (CMP) configurable para ayudarle a proporcionar a los usuarios una forma de hacer un seguimiento de sus derechos de exclusión.
Viene con un formulario DSAR gratuito que puede publicar en su sitio web, permitiendo a sus usuarios de Oregón enviar de forma segura solicitudes de seguimiento de sus nuevos derechos de privacidad.
Resumen
Las empresas que deben cumplir la nueva ley de privacidad de Oregón, la OCPA, pueden utilizar esta sencilla lista de comprobación de seis pasos para simplificar el cumplimiento:
- Realice un inventario de datos para determinar todos los datos personales que recopila su empresa, por qué y cómo se utilizan.
- Presentar a los consumidores de Oregón una política de privacidad conforme.
- Utilice una plataforma gestión del consentimiento para presentar a sus usuarios un banner de consentimiento para que puedan ejercer sus derechos de exclusión.
- Si trabaja con algún procesador de datos, elabore y firme contratos compatibles que cumplan todas las obligaciones que marca la ley.
- Proporcionar a los consumidores de Oregón dos o más formas fiables de presentar solicitudes de seguimiento de sus nuevos derechos de privacidad.
- Aplique protocolos de seguridad adecuados para proteger los datos personales que recopila de accesos no autorizados y otros daños.
Póngaselo fácil a su empresa y utilice soluciones como Termly's Generador de política de privacidad y CMP para cumplir los requisitos establecidos por leyes como la OCPA y otras.
Más sobre el autor
Escrito por Josh Langeland, CIPM
Hola, soy Josh. Soy un ingeniero de privacidad apasionado por el uso de la tecnología para respetar la privacidad de los usuarios. Prospero en la intersección de la tecnología compleja y la legislación sobre privacidad en constante cambio. Si no estoy redactando una revisión de diseño o rediseñando un sistema, puede que me encuentres leyendo una biografía o haciendo senderismo en el parque nacional más cercano. Más sobre el autor
