Закон аб прыватнасці 2020 года ў агульных рысах

Закон аб прыватнасці 2020 года структураваны вакол трынаццаці Прынцыпаў прыватнасці інфармацыі (IPP), якія кіруюць тым, як агенцтвы збіраюць, выкарыстоўваюць, захоўваюць і раскрываюць персанальную інфармацыю. IPP папярэднічаюць Закону ў канцэпцыі — яны прасочваюцца да статута 1993 года — але іх інтэрпрэтацыя і прымяненне былі істотна мадэрнізаваны ў 2020 годзе. Закон прымяняецца да любога агенцтва, якое збірае або захоўвае персанальную інфармацыю аб рэзідэнтах Новай Зеландыі, з экстэрытарыяльным ахопам: афшорны выдавец, які апрацоўвае даныя наведвальнікаў Новай Зеландыі, у сферы дзеяння гэтак жа, як агенцтва ЕС паводле GDPR.

Самай значнай зменай у мадэрнізацыі 2020 года стала ўвядзенне абавязковага рэжыму паведамлення аб парушэннях прыватнасці: любое парушэнне, якое можа выклікаць сур'ёзную шкоду, павінна быць паведамлена OPC і закранутым асобам. Для анлайн-выдаўцоў практычны вынік у тым, што інцыдэнты, звязаныя з cookie — пiксель адсочвання, які спрацоўвае да згоды і ўцякае ідэнтыфікатары трэцяму боку, няправільна наладжаны CMP, які выкрыў рашэнні аб згодзе, інцыдэнт бяспекі, які закрануў аўдыторскія журналы cookie — могуць выклікаць абавязацельствы паведамлення, якіх не было пры старым рэжыме.

Як Закон трактуе cookie і анлайн-адсочванне

Закон не змяшчае спецыфічнага для cookie палажэння, што гістарычна прывяло некаторых аператараў да меркавання, што cookie знаходзяцца па-за яго сферай дзеяння. Кіраўніцтва OPC 2025 года яўна закрыла гэты інтэрпрэтацыйны прабел. Cookie і пiкселі, якія збіраюць персанальную інфармацыю — а OPC вызначае персанальную інфармацыю дастаткова шырока, каб уключыць ідэнтыфікатары прылад, IP-адрасы ў спалучэнні з паводзінскімі данымі і верагоднасныя лічбавыя адбіткі прылад — падпарадкоўваюцца прынцыпам збору і раскрыцця Закона гэтак жа, як любая іншая ідэнтыфікавальная паверхня.

IPP, якія найбольш важныя для анлайн-адсочвання:

• IPP 1 (мэта збору) — персанальная інфармацыя можа збірацца толькі для законнай мэты, звязанай з функцыяй агенцтва, і толькі калі збор неабходны для гэтай мэты.
• IPP 3 (інфармацыя ад асоб) — калі персанальная інфармацыя збіраецца непасрэдна ад асобы, агенцтва павінна паведаміць ёй мэту, атрымальнікаў і наступствы непрадастаўлення інфармацыі.
• IPP 4 (спосаб збору) — збор не павінен быць несправядлівым, незаконным або неабгрунтавана навязлівым. Скрыты збор без апавяшчэння звычайна з'яўляецца дэфектам.
• IPP 10 (выкарыстанне персанальнай інфармацыі) — інфармацыя, сабраная для адной мэты, не можа выкарыстоўвацца для іншай без згоды або іншай прававой асновы.
• IPP 12 (раскрыццё па-за межамі Новай Зеландыі) — адпраўка персанальнай інфармацыі за мяжу патрабуе альбо параўнальных гарантый юрысдыкцыі атрымальніка, альбо кантрактных гарантый, альбо канкрэтнай згоды.

Камбінацыя функцыянальна падобная да правілаў прававой асновы, празрыстасці, абмежавання мэты і транскордоннай перадачы GDPR з тэрміналогіяй, адаптаванай да рамак Новай Зеландыі. OPC быў яўны, што стандарты ўзгадняюцца нават там, дзе прававая мова адрозніваецца.

Што змяніла кіраўніцтва па анлайн-адсочванні 2025 года

OPC апублікаваў усёабдымнае кіраўніцтва па анлайн-адсочванні ў пачатку 2025 года, якое сфармулявала канкрэтныя чаканні для банераў cookie, запісаў згоды і абмену данымі з трэцімі бакамі. Чатыры пункты маюць найбольшы аператыўны ўплыў.

Сцвярджальная згода для неабавязковага адсочвання

Кіраўніцтва адназначнае, што пракрутка-як-згода, працяг-выкарыстання-як-згода і няяўная згода не задавальняюць IPP 1 і IPP 3 для неабавязковага адсочвання. Патрабуецца яўнае сцвярджальнае дзеянне. Гэта прывяло Новую Зеландыю ў адпаведнасць з пазіцыяй Мэтавай групы EDPB па банерах cookie.

Дэталізаваныя элементы кіравання катэгорыямі

OPC чакае, што банеры аддзеляць строга неабходныя cookie ад аналітыкі і ад маркетынгу, з магчымасцю наведвальніка прымаць катэгорыі незалежна. Аб'яднанае прыняцце ўсяго без дэталізацыі разглядаецца як дэфект.

Дакументацыя афшорнай перадачы

IPP 12 мае больш сілы, чым старая інтэрпрэтацыя. Для cookie, якія накіроўваюць даныя рэкламна-тэхналагічным пастаўшчыкам ЗША, выдавец павінен мець магчымасць прадэманстраваць гарантыі, пад якімі адбываецца перадача — звычайна кантрактныя гарантыі або, дзе даступна, статус, эквівалентны адэкватнасці атрымальніка. OPC указаў, што "мы выкарыстоўваем Google Analytics" больш не з'яўляецца дастатковым адказам у запыце.

Даступнасць на Тэ Рэа Маоры

Кіраўніцтва 2025 года ўключае канкрэтную мову аб даступнасці на Тэ Рэа Маоры для раскрыцця прыватнасці. OPC не зрабіў двухмоўныя банеры строгім патрабаваннем, але адзначыў даступнасць Тэ Рэа як значны індыкатар добрасумленнай адпаведнасці для агенцтваў, якія абслугоўваюць супольнасці Маоры. Некалькі буйных выдаўцоў Новай Зеландыі перайшлі на двухмоўныя банеры з моманту выпуску кіраўніцтва.

Пазіцыя правапрымянення Офіса ўпаўнаважанага па прыватнасці

OPC дзейнічае інакш, чым буйнейшыя еўрапейскія органы абароны даных, трыма структурнымі спосабамі, якія маюць значэнне для планавання адпаведнасці.

Прыярытызацыя на аснове скаргаў

OPC аддае прыярытэт расследаванням на аснове скаргаў перад праактыўнымі праверкамі. Практычны вынік у тым, што найбольш распаўсюджаны шлях у расследаванне OPC — гэта скарга карыстальніка, што робіць адказнае разгляданне скаргаў і дакументаваны аўдыторскі след асабліва важнымі.

Паведамленні аб адпаведнасці перад штрафамі

Закон 2020 года дае OPC паўнамоцтва выдаваць паведамленні аб адпаведнасці, якія патрабуюць канкрэтнага выпраўлення ў названыя тэрміны. Грамадзянскія спагнанні існуюць, але звычайна з'яўляюцца запасным варыянтам, калі паведамленне ігнаруецца або наўмысна парушаецца. Добрасумленнае выпраўленне ў адказ на паведамленне звычайна закрывае справу без грашовых наступстваў.

Каардынацыя з афшорнымі рэгулятарамі

OPC актыўна ўдзельнічае ў Глабальнай асамблеі прыватнасці і падтрымлівае працоўныя адносіны з EDPB, ICO Вялікабрытаніі і форумам Органаў прыватнасці Азіяцка-Ціхаакіянскага рэгіёну. Транскордонныя расследаванні, якія ўключаюць трафік Новай Зеландыі і Еўропы, усё больш апрацоўваюцца праз скаардынаваныя працэдуры.

Практычны кантрольны спіс адпаведнасці

Шэсць канкрэтных пытанняў для адказу для любога банера cookie, які абслугоўвае трафік Новай Зеландыі.

• Ці ёсць яўнае адхіленне першага слоя? Шлях адхілення павінен знаходзіцца на той жа паверхні, што і прыняцце, з параўнальнай візуальнай прыкметнасцю. Пракрутка-як-згода і няяўнае прыняцце не праходзяць кіраўніцтва 2025 года.
• Ці дэталізаваны катэгорыі? Неабходныя, аналітыка і маркетынг павінны кантралявацца асобна. Адзінае прыняцце ўсяго без дэталізацыі — дэфект.
• Ці задакументавана афшорная перадача? Для кожнага cookie, які адпраўляе даныя па-за межы Новай Зеландыі, вызначце механізм IPP 12, які аўтарызуе перадачу.
• Ці адпавядае паведамленне аб прыватнасці IPP 3? Пацвердзіце, што паведамленне вызначае мэту, атрымальнікаў і наступствы, і што банер cookie спасылаецца на яго.
• Ці з'яўляецца журналаванне згоды аўдыт-узроўню? Запісы рашэнняў аб згодзе з часавай меткай і версіяй банера практычна неабходныя для адказу на запыт OPC.
• Ці падключана рэагаванне на парушэнні? Пацвердзіце, што інцыдэнты, звязаныя з cookie, запускаюць працэс ацэнкі парушэнняў, які вызначае, ці патрабуецца паведамленне OPC і асобам.

Дзе Новая Зеландыя ўпісваецца ў шматюрысдыкцыйны стэк

Для выдаўцоў, якія працуюць праз англасферу — Аўстралія, Вялікабрытанія, Канада, ЗША і Новая Зеландыя — Закон аб прыватнасці 2020 года цвёрда знаходзіцца ў межах GDPR-узгодненага канверта, на якім сышліся буйныя англамоўныя юрысдыкцыі. Архітэктура CMP, пабудаваная пад еўрапейскія стандарты, апрацоўвае адпаведнасць Новай Зеландыі з нязначнай канфігурацыяй: моўная падтрымка Тэ Рэа Маоры, дакументацыя перадачы IPP 12 і разгляданне скаргаў у стылі OPC — гэта канкрэтныя дадаткі, у якія варта інвеставаць. Стратэгічная каштоўнасць у тым, што Новая Зеландыя гістарычна выкарыстоўвалася як "тэставы рынак" для запускаў прадуктаў міжнароднымі аператарамі SaaS, што азначае, што пазіцыя адпаведнасці, разгорнутая тут, часта з'яўляецца папярэднім праглядам таго, што ўбачыць астатняя англасфера. Зрабіць гэта правільна рана — гэта значная аператыўная перавага, а не руцінная задача лакалізацыі.