← TOUTES LES RÉGLEMENTATIONS
Oregon Consumer Privacy Act : les règles sur les cookies, et le signal GPC.
L’Oregon autorise les sites à déposer des cookies publicitaires sans consentement préalable, mais les consommateurs doivent pouvoir s’opposer à la publicité ciblée, à la vente de leurs données et à certains profilages. Depuis le 1er janvier 2026, un signal d’opt-out universel comme Global Privacy Control (GPC) doit être respecté en tant qu’opt-out de la publicité ciblée et de la vente.
OCPA en brefOpt-out, opt-in pour certaines données
- Champ d’application
- Les entreprises, et depuis juillet 2025 les organisations à but non lucratif, qui traitent les données de 100 000 consommateurs de l’Oregon ou plus par an, ou de 25 000 ou plus tout en tirant plus de 25 % de leur chiffre d’affaires de leur vente
- En vigueur
- Juillet 2024, avec obligation de respecter les signaux d’opt-out universels depuis janvier 2026
- Autorité compétente
- Le procureur général de l’Oregon (Department of Justice)
- Sanctions
- Jusqu’à 7 500 $ par violation ; le délai de régularisation a pris fin le 1er janvier 2026
OCPA : LES EXIGENCES
Ce que l’Oregon exige d’un site qui utilise des cookies publicitaires.
LA RÈGLERespecter les signaux d’opt-out universelsDepuis le 1er janvier 2026, les responsables du traitement doivent accepter les demandes d’opt-out envoyées au moyen d’un mécanisme d’opt-out universel, et le Department of Justice cite Global Privacy Control en exemple.
AVEC KATLAKatla respecte Global Privacy Control : un visiteur dont le navigateur envoie ce signal est enregistré comme ayant refusé (opt-out), sauf s’il a déjà fait un choix.
LA RÈGLEUn lien d’opt-out clairLes sites doivent proposer un lien clair et bien visible pour s’opposer. Selon le Department of Justice, une bannière de cookies peut suffire pour certaines entreprises mais pas pour toutes, selon les données qu’elles collectent et l’usage qu’elles en font.
AVEC KATLAEn mode US State Laws (CCPA), le bouton principal de la bannière est « Ne pas vendre ni partager mes informations personnelles », et la catégorie Marketing y est présentée comme la vente ou le partage d’informations personnelles. La formulation suit la loi californienne ; il n’existe pas de libellé propre à l’Oregon.
LA RÈGLEUn consentement pour les données sensibles, et des limites pour les moins de 16 ansLe traitement de données sensibles exige un consentement. Depuis le 1er janvier 2026, un responsable du traitement ne peut ni vendre les données d’un consommateur de moins de 16 ans ni les utiliser pour de la publicité ciblée ou du profilage, et ne peut vendre la localisation précise de personne.
AVEC KATLAKatla n’a pas de parcours spécifique selon l’âge, et ses catégories décrivent la finalité des cookies, pas les types de données qu’ils transportent. Un site qui traite des données sensibles ou s’adresse à des moins de 16 ans peut utiliser Katla en mode RGPD, afin que rien de non essentiel ne soit déposé avant un opt-in.
LA RÈGLEUne déclaration de confidentialité, et une liste des tiersLa déclaration doit indiquer les catégories de données traitées et partagées, ainsi que les catégories de tiers. Les consommateurs peuvent aussi demander la liste des tiers précis qui ont reçu leurs données.
AVEC KATLAL’analyse de Katla répertorie chaque cookie trouvé avec son domaine, et la politique de cookies générée est établie à partir de cette liste. La déclaration de confidentialité elle-même, et les réponses aux demandes de liste des tiers, dépassent le rôle d’un outil de consentement.
OCPA : vos questions, nos réponses
Un résumé pour les propriétaires de sites, pas un conseil juridique. Revu le à partir des sources ci-dessous.
- Global Privacy Control est-il obligatoire en Oregon ?
- Oui. Depuis le 1er janvier 2026, les responsables du traitement doivent accepter les demandes d’opt-out envoyées au moyen d’un mécanisme d’opt-out universel, et le Department of Justice cite Global Privacy Control en exemple.
- La loi de l’Oregon s’applique-t-elle aux organisations à but non lucratif ?
- Oui. Elle s’applique à elles depuis le 1er juillet 2025, avec les mêmes seuils et les mêmes obligations que pour les entreprises.
- Existe-t-il encore un délai de régularisation ?
- Non. Depuis le 1er janvier 2026, le procureur général n’est plus tenu d’adresser une notification et de laisser la possibilité de remédier à la violation avant d’agir.
- Une bannière de cookies suffit-elle en Oregon ?
- Parfois. Selon le Department of Justice, une bannière de cookies peut suffire à certaines entreprises pour gérer les opt-out, mais pas à toutes, selon les données qu’elles collectent et l’usage qu’elles en font.
- Comment Katla traite-t-il les visiteurs de l’Oregon ?
- Le mode Auto lit le fuseau horaire du visiteur, et les fuseaux des États-Unis reçoivent la bannière CCPA avec son opt-out et sa prise en charge de GPC. Vous pouvez aussi régler le site en mode US State Laws (CCPA) pour tout le monde.
Voyez ce que votre site dépose avant qu’on vous le demande.
L’offre gratuite analyse votre site, classe chaque cookie et génère la politique, sans carte bancaire. Le vérificateur de cookies ne demande même pas de compte.