Voldoen aan de Oregon Consumer Data Privacy Act (OCDPA)
Pandectes GDPR Compliance helpt Shopify-winkels te voldoen aan de eisen van de OCDPA door cookies te scannen, rapporten te maken en de naleving van privacyregels te bewaken.
Gratis starten
De #1 app voor cookietoestemming op Shopify, vertrouwd door 185k winkels
Wat is de OCDPA?
De Oregon Consumer Data Privacy Act (OCDPA) geeft inwoners van Oregon bepaalde rechten over hun gegevens en legt verplichtingen op aan wie gegevens beheert en verwerkt. De wet lijkt op andere staatswetten, zoals de California Privacy Rights Act (CPRA) en de Consumer Data Protection Act (CDPA) van Virginia, en is ook geïnspireerd door de Algemene verordening gegevensbescherming (AVG) van de EU.
Er zijn overeenkomsten, zoals opt-outbepalingen voor het verzamelen en verwerken van gegevens, waarborgen voor gevoelige gegevens en het beginsel van privacy by design, maar de belangrijke verschillen zitten in de details. Dat inzicht komt van Kirk Nahra, een ervaren privacyadvocaat en co-chair bij Wilmer Hale.
Zo verschillen de CPRA (Californië) en de OCDPA (Oregon) in hoe ze “gevoelige gegevens” definiëren. Zoals Nahra opmerkte, vraagt naleving van de wet om zorgvuldige aandacht voor deze verschillen. Hieronder gaan we in op de definitie van gevoelige gegevens onder de OCDPA en op de andere bepalingen van de wet.
Voor wie geldt de OCDPA?
De Oregon Consumer Data Privacy Act (OCDPA) geldt voor “verwerkingsverantwoordelijken” die zaken doen in Oregon of commerciële producten of diensten maken of leveren die bewust op inwoners van Oregon zijn gericht.
Wat gebeurt er als ik me niet aan de OCDPA houd?
De OCDPA noemt geen concrete sancties of boetes voor overtreders. Overtredingen van de wet gelden wel als misleidende handelspraktijk. Dat betekent dat ze worden afgehandeld volgens de Oregon Unlawful Trade Practices Act.
De boete per overtreding kan verschillen, afhankelijk van de specifieke omstandigheden. Overtredingen van de OCDPA kunnen ook tot strafrechtelijke vervolging leiden.
De handhaving van de OCDPA ligt bij de Attorney General van Oregon en de officieren van justitie (district attorneys), die verantwoordelijk zijn voor het opleggen van verboden, sancties en schikkingen. Belangrijk om te weten: de OCDPA geeft geen eigen vorderingsrecht, wat betekent dat mensen bedrijven niet zelf kunnen aanklagen voor het schenden van hun rechten.
Voordat de Attorney General of de district attorneys handhavingsmaatregelen kunnen nemen, moeten ze het betreffende bedrijf eerst een kennisgeving van de overtreding sturen. Die kennisgeving geeft overtreders een hersteltermijn van 60 dagen, waarin ze de overtredingen kunnen rechtzetten.
Leeft het bedrijf de regels na de hersteltermijn nog steeds niet na, dan kunnen de district attorneys of de Attorney General handhavend optreden.
Vanaf 1 januari 2025 geldt de hersteltermijn van 60 dagen niet meer. In plaats daarvan kunnen overtreders interpretatierichtlijnen en adviesbrieven aanvragen bij het kantoor van de Attorney General.
Wanneer gaat de OCDPA in?
De OCDPA belast de Attorney General van Oregon met de uitvoering en handhaving van de OCDPA, waaronder het vaststellen van nieuwe regels. De OCDPA maakt deel uit van de Unlawful Trade Practices Act van de staat Oregon en gaat in op 1 juli 2025.
Aan de OCDPA voldoen
De OCDPA is een van de uitgebreide privacywetten, en ook andere staten, zoals Indiana, Iowa, Tennessee en Colorado, voeren hun eigen privacywetten in. Omdat bedrijven in meerdere staten actief zijn, wordt het steeds lastiger om het complexe netwerk van privacywetten van de staten te overzien en na te leven.
Compliant blijven begint ermee dat je op de hoogte blijft van nieuwe wetgeving die je bedrijf kan raken. Het is belangrijk om deze wetten te volgen terwijl ze door de wetgevende organen van de staten gaan. Relevante nieuwsbrieven en bronnen kunnen daarbij helpen.
Is een nieuwe wet aangenomen maar nog niet in werking, bekijk de tekst dan samen met een jurist. Die kan beoordelen hoe je ervoor staat en je adviseren over wat je moet doen.
Om je compliance eenvoudiger te maken, kun je een Consent Management Platform (CMP) gebruiken zoals Pandectes GDPR Compliance. Een CMP ontlast je team met aanpasbaar toestemmingsbeheer, automatische afhandeling van inzageverzoeken van betrokkenen en tools om cookies en leveranciers te beheren. Pandectes GDPR Compliance is speciaal gemaakt voor Shopify-winkels en helpt je om in het steeds veranderende privacylandschap aan de regels te voldoen en te blijven voldoen.