Oregon Consumer Privacy Act : les règles cookies pour les visiteurs de l’Oregon

Qu’est-ce que l’Oregon Consumer Privacy Act ?

L’Oregon Consumer Privacy Act (OCPA), Senate Bill 619, a été adopté en juin 2023 à la suite des travaux de la Consumer Privacy Task Force du procureur général, et il est codifié aux ORS 646A.570 à 646A.589. Il est entré en vigueur pour la plupart des organisations le 1er juillet 2024 et pour les organisations à but non lucratif le 1er juillet 2025. La Privacy Unit de l’Oregon Department of Justice le fait appliquer et publie des rapports de contrôle réguliers, ce qui fait de l’Oregon l’un des États les plus transparents sur ce qu’il vérifie.

Trois modifications de la session législative de 2025 ont changé la donne : le House Bill 3875, en vigueur depuis septembre 2025, étend la loi aux constructeurs automobiles quelle que soit leur taille ; le House Bill 2008, en vigueur depuis le 1er janvier 2026, interdit la vente de deux catégories de données ; et la disposition sur le signal universel d’opposition inscrite dans la loi d’origine est aussi entrée en vigueur le 1er janvier 2026. Pour une comparaison avec les autres États, voir les lois des États américains sur la vie privée.

À qui s’applique l’OCPA ?

La loi s’applique à toute personne qui exerce une activité en Oregon ou fournit des produits ou des services aux résidents de l’Oregon et qui, au cours d’une année civile, contrôle ou traite les données personnelles :

• d’au moins 100 000 consommateurs, ou
• d’au moins 25 000 consommateurs en tirant plus de 25 % de son chiffre d’affaires annuel brut de la vente de données personnelles.

Contrairement à la Virginie et au Texas, l’Oregon n’a pas d’exemption générale pour les organisations à but non lucratif, qui sont couvertes depuis le 1er juillet 2025. Les constructeurs automobiles et certaines de leurs sociétés affiliées sont couverts quels que soient leurs chiffres. Le Department of Justice avertit que des sociétés liées, comme une société mère et ses filiales, peuvent devoir additionner leurs nombres de consommateurs. Les administrations publiques, les institutions financières au sens du droit de l’Oregon et certains assureurs sont exclus, et les données couvertes par des lois comme HIPAA sont exemptées. Les données des salariés et des candidats à l’emploi sont hors du champ de la loi.

Qu’exige l’OCPA pour les cookies et les traceurs ?

Au sens de l’OCPA, les données personnelles comprennent les informations liées ou raisonnablement associables à une personne ou à un appareil : les identifiants de cookies et les identifiants d’appareil sont donc couverts. Pour les sites web, les obligations sont les suivantes :

• Opposition à la publicité ciblée, à la vente et au profilage. La publicité ciblée couvre les publicités choisies à partir de l’activité d’un consommateur sur des sites et applications non affiliés, ce que font les pixels de remarketing et les cookies des réseaux publicitaires. Une vente est un échange de données personnelles contre une contrepartie monétaire ou une autre contrepartie de valeur ; le Department of Justice donne l’exemple d’un échange de listes de clients avec une autre société.
• Un lien d’opposition clair et visible sur le site, qui selon le Department doit rester en place même maintenant que les signaux d’opposition sont respectés.
• Le consentement pour les données sensibles : données révélant l’origine raciale ou ethnique, l’origine nationale, les croyances religieuses, la santé mentale ou physique, l’orientation sexuelle, la nationalité ou le statut migratoire, le statut transgenre ou non binaire, ou le statut de victime d’une infraction, données génétiques ou biométriques, données d’un enfant de moins de 13 ans, et localisation précise passée ou présente.
• Le consentement pour les finalités secondaires. Utiliser des données pour une finalité qui n’est ni raisonnablement nécessaire ni compatible avec les finalités indiquées dans l’avis de confidentialité exige un consentement. L’exemple du Department est celui d’un site de restaurant qui collecte des données pour exécuter les commandes et ne peut pas les vendre à des annonceurs sans consentement.

Ventes interdites depuis le 1er janvier 2026. Le House Bill 2008 rend illégale la vente des données de géolocalisation précise de tout consommateur (dans un rayon de 1 750 pieds) et la vente des données personnelles d’un consommateur de moins de 16 ans. Les responsables de traitement ne peuvent pas non plus traiter les données d’une personne de moins de 16 ans à des fins de publicité ciblée ou de profilage.

Une liste des tiers nommément désignés. L’Oregon donne aux consommateurs le droit d’obtenir la liste des tiers précis, et pas seulement de leurs catégories, auxquels leurs données ont été communiquées. Le rapport du Department sur la première année rappelle aux entreprises qu’elles doivent proposer ce droit, y compris pour les données qui ont été vendues.

La mesure d’audience interne pour les statistiques du site n’est ni de la publicité ciblée ni une vente, et doit seulement être décrite dans l’avis de confidentialité.

Dois-je respecter Global Privacy Control en Oregon ?

Oui, depuis le 1er janvier 2026. Les entreprises et organisations à but non lucratif assujetties doivent traiter les signaux de préférence d’opposition qui respectent les exigences techniques de la loi comme des demandes valables d’opposition à la vente de données personnelles et à la publicité ciblée. Le Department of Justice cite Global Privacy Control en exemple et explique aux consommateurs qu’une fois le signal activé, les entreprises peuvent encore collecter et conserver des données, mais ne peuvent ni les vendre ni les utiliser pour de la publicité ciblée. Le guide Global Privacy Control traite de la détection et de la journalisation.

Contrôles et sanctions

Le procureur général est seul compétent pour faire appliquer la loi, et il n’y a pas de droit d’action privé. Jusqu’au 31 décembre 2025, le Department of Justice devait laisser 30 jours pour régulariser une infraction avant d’agir. Ce délai a pris fin : le Department peut désormais passer directement à une demande d’enquête civile (civil investigative demand) ou à une action en justice. Les sanctions vont jusqu’à 7 500 $ par infraction, et le procureur général peut aussi demander des injonctions, la restitution et la restitution des profits.

Les contrôles ont jusqu’ici reposé sur des courriers de régularisation plutôt que sur des amendes. Au cours de sa première année, la Privacy Unit a reçu 214 plaintes, portant surtout sur des courtiers en données en ligne et des demandes d’effacement refusées, et a ouvert et clos 38 dossiers après des notifications d’infraction et des demandes d’information ; au 30 septembre 2025, les plaintes avaient atteint 265. Son rapport trimestriel d’octobre 2025 prévient les entreprises qu’elles doivent s’attendre à des demandes d’enquête civile une fois le délai de régularisation terminé, et indique que l’Oregon se coordonne avec d’autres États au sein du Consortium of Privacy Regulators.

Comment Cookiequiet gère l’Oregon

Avec le ciblage géographique, inclus dans chaque offre y compris l’offre gratuite, Cookiequiet peut montrer aux visiteurs de l’Oregon un avis d’opposition avec un lien « Do not sell or share my personal information » (ne pas vendre ni partager mes informations personnelles), tandis que les visiteurs de l’UE et du Royaume-Uni voient le bandeau de consentement préalable, et il respecte Global Privacy Control comme une opposition. Le bandeau s’installe avec une balise script en environ cinq minutes ; voir les tarifs. Les modèles de politique sont rédigés pour le CCPA/CPRA et ne produisent pas la liste des tiers nommément désignés exigée en Oregon : préparez cette liste vous-même.