Ο Privacy Act 2020 σε γενικές γραμμές

Ο Privacy Act 2020 είναι δομημένος γύρω από δεκατρείς Αρχές Απορρήτου Πληροφοριών (IPPs) που διέπουν τον τρόπο με τον οποίο οι οργανισμοί συλλέγουν, χρησιμοποιούν, αποθηκεύουν και γνωστοποιούν προσωπικές πληροφορίες. Οι IPPs προηγούνται εννοιολογικά του νόμου — χρονολογούνται από τον νόμο του 1993 — αλλά η ερμηνεία και η εφαρμογή τους εκσυγχρονίστηκαν ουσιωδώς το 2020. Ο νόμος εφαρμόζεται σε κάθε οργανισμό που συλλέγει ή κατέχει προσωπικές πληροφορίες σχετικά με κατοίκους της New Zealand, με εξωεδαφική εμβέλεια: ένας υπεράκτιος εκδότης που επεξεργάζεται δεδομένα επισκεπτών από τη New Zealand εμπίπτει στο πεδίο εφαρμογής ακριβώς όπως θα εμπίπτε ένας οργανισμός της EU υπό το GDPR.

Η πιο σημαντική αλλαγή στον εκσυγχρονισμό του 2020 ήταν η εισαγωγή ενός υποχρεωτικού καθεστώτος γνωστοποίησης παραβίασης απορρήτου: κάθε παραβίαση που ενδέχεται να προκαλέσει σοβαρή βλάβη πρέπει να κοινοποιείται στον OPC και στα επηρεαζόμενα άτομα. Για τους ηλεκτρονικούς εκδότες, η πρακτική συνέπεια είναι ότι περιστατικά που σχετίζονται με cookies — ένα pixel παρακολούθησης που ενεργοποιείται πριν τη συγκατάθεση και διαρρέει αναγνωριστικά σε τρίτους, ένα εσφαλμένα διαμορφωμένο CMP που αποκάλυψε αποφάσεις συγκατάθεσης, ένα περιστατικό ασφαλείας που επηρεάζει αρχεία καταγραφής ελέγχου cookies — μπορεί να ενεργοποιήσει υποχρεώσεις κοινοποίησης που δεν υπήρχαν υπό το παλαιότερο καθεστώς.

Πώς ο νόμος αντιμετωπίζει τα cookies και την ηλεκτρονική παρακολούθηση

Ο νόμος δεν περιέχει ειδική διάταξη για τα cookies, κάτι που ιστορικά οδήγησε ορισμένους χειριστές να υποθέσουν ότι τα cookies εκτός του πεδίου εφαρμογής του. Η οδηγία OPC του 2025 κάλυψε ρητά αυτό το ερμηνευτικό κενό. Τα cookies και τα pixels που συλλέγουν προσωπικές πληροφορίες — και ο OPC ορίζει τις προσωπικές πληροφορίες αρκετά ευρέως ώστε να συμπεριλαμβάνει αναγνωριστικά συσκευών, διευθύνσεις IP σε συνδυασμό με δεδομένα συμπεριφοράς και πιθανολογικά ψηφιακά αποτυπώματα συσκευών — υπόκεινται στις αρχές συλλογής και γνωστοποίησης του νόμου με τον ίδιο τρόπο που θα υπόκειτο οποιαδήποτε άλλη επιφάνεια αναγνώρισης.

Οι IPPs που έχουν μεγαλύτερη σημασία για την ηλεκτρονική παρακολούθηση είναι:

• IPP 1 (σκοπός συλλογής) — οι προσωπικές πληροφορίες μπορούν να συλλέγονται μόνο για νόμιμο σκοπό που συνδέεται με λειτουργία του οργανισμού και μόνο όταν η συλλογή είναι απαραίτητη για αυτόν τον σκοπό.
• IPP 3 (πληροφορίες από άτομα) — όταν οι προσωπικές πληροφορίες συλλέγονται απευθείας από το άτομο, ο οργανισμός πρέπει να το ενημερώνει για τον σκοπό, τους αποδέκτες και τις συνέπειες της μη παροχής των πληροφοριών.
• IPP 4 (τρόπος συλλογής) — η συλλογή δεν πρέπει να είναι άδικη, παράνομη ή αδικαιολόγητα παρεμβατική. Η μυστική συλλογή χωρίς ειδοποίηση αποτελεί γενικά ελάττωμα.
• IPP 10 (χρήση προσωπικών πληροφοριών) — πληροφορίες που συλλέχθηκαν για έναν σκοπό δεν μπορούν να χρησιμοποιηθούν για άλλο σκοπό χωρίς συγκατάθεση ή άλλη νομική βάση.
• IPP 12 (γνωστοποίηση εκτός New Zealand) — η αποστολή προσωπικών πληροφοριών στο εξωτερικό απαιτεί είτε η δικαιοδοσία του αποδέκτη να παρέχει συγκρίσιμες εγγυήσεις, είτε συμβατικές εγγυήσεις, είτε ειδική συγκατάθεση.

Ο συνδυασμός είναι λειτουργικά παρόμοιος με τους κανόνες του GDPR για τη νομική βάση, τη διαφάνεια, τον περιορισμό του σκοπού και τη διασυνοριακή μεταφορά δεδομένων, με ορολογία προσαρμοσμένη στο πλαίσιο της New Zealand. Ο OPC έχει εκφράσει ρητά ότι τα πρότυπα είναι εναρμονισμένα ακόμα και όταν η νομική γλώσσα διαφέρει.

Τι άλλαξε η οδηγία ηλεκτρονικής παρακολούθησης του 2025

Ο OPC δημοσίευσε ολοκληρωμένη οδηγία ηλεκτρονικής παρακολούθησης στις αρχές του 2025 που διατύπωσε συγκεκριμένες προσδοκίες για banners cookies, αρχεία συγκατάθεσης και κοινοποίηση δεδομένων σε τρίτους. Τέσσερα σημεία έχουν τον μεγαλύτερο επιχειρησιακό αντίκτυπο.

Καταφατική συγκατάθεση για μη βασική παρακολούθηση

Η οδηγία είναι σαφής ότι η κύλιση ως συγκατάθεση, η συνεχής χρήση ως συγκατάθεση και η σιωπηρή συγκατάθεση δεν ικανοποιούν τις IPP 1 και IPP 3 για μη βασική παρακολούθηση. Απαιτείται ρητή καταφατική ενέργεια. Αυτό έφερε τη New Zealand σε ευθυγράμμιση με τη θέση της Ομάδας Εργασίας του EDPB για τα Banners Cookies.

Λεπτομερείς έλεγχοι κατηγοριών

Ο OPC αναμένει ότι τα banners θα διαχωρίζουν τα αυστηρώς απαραίτητα cookies από τα αναλυτικά και τα εμπορικά, με τον επισκέπτη να μπορεί να αποδέχεται κατηγορίες ανεξάρτητα. Η συνδυασμένη αποδοχή όλων χωρίς λεπτομέρεια αντιμετωπίζεται ως ελάττωμα.

Τεκμηρίωση υπεράκτιας μεταφοράς

Η IPP 12 έχει μεγαλύτερη ισχύ από την παλαιότερη ερμηνεία. Για τα cookies που δρομολογούν δεδομένα σε προμηθευτές τεχνολογίας διαφήμισης στις ΗΠΑ, ο εκδότης πρέπει να είναι σε θέση να αποδείξει τις εγγυήσεις υπό τις οποίες πραγματοποιείται η μεταφορά — συνήθως συμβατικές εγγυήσεις ή, όπου είναι διαθέσιμο, η κατάσταση ισοδύναμης επάρκειας του αποδέκτη. Ο OPC έχει επισημάνει ότι χρησιμοποιούμε Google Analytics δεν είναι πλέον επαρκής απάντηση σε έρευνα.

Προσβασιμότητα Te Reo Māori

Η οδηγία του 2025 περιλαμβάνει ειδικό κείμενο σχετικά με την προσβασιμότητα Te Reo Māori για γνωστοποιήσεις απορρήτου. Ο OPC δεν έχει καταστήσει τα δίγλωσσα banners αυστηρή απαίτηση, αλλά έχει σημαιοδοτήσει τη διαθεσιμότητα του Te Reo ως σημαντικό δείκτη συμμόρφωσης καλής πίστης για οργανισμούς που εξυπηρετούν κοινότητες Māori. Αρκετοί μεγάλοι εκδότες από τη New Zealand έχουν μεταβεί σε δίγλωσσα banners μετά τη δημοσίευση της οδηγίας.

Η στάση εκτέλεσης του Office of the Privacy Commissioner

Ο OPC λειτουργεί διαφορετικά από τις μεγαλύτερες ευρωπαϊκές Αρχές Προστασίας Δεδομένων σε τρεις δομικούς τρόπους που έχουν σημασία για τον προγραμματισμό συμμόρφωσης.

Ιεράρχηση με βάση τις καταγγελίες

Ο OPC δίνει προτεραιότητα στις έρευνες βάσει καταγγελιών έναντι των προληπτικών ελέγχων. Η πρακτική συνέπεια είναι ότι η πιο κοινή οδός προς έρευνα OPC είναι μια καταγγελία χρήστη, γεγονός που καθιστά την ανταποκρινόμενη διαχείριση καταγγελιών και μια τεκμηριωμένη διαδρομή ελέγχου ιδιαίτερα σημαντικές.

Ειδοποιήσεις συμμόρφωσης πριν από πρόστιμα

Ο νόμος του 2020 παρέχει στον OPC την εξουσία να εκδίδει ειδοποιήσεις συμμόρφωσης που απαιτούν συγκεκριμένη αποκατάσταση εντός καθορισμένου χρονικού πλαισίου. Υπάρχουν αστικές κυρώσεις αλλά είναι συνήθως εναλλακτική λύση όταν μια ειδοποίηση αγνοείται ή παραβιάζεται εσκεμμένα. Η αποκατάσταση καλής πίστης ως απάντηση σε ειδοποίηση συνήθως κλείνει το ζήτημα χωρίς χρηματικές συνέπειες.

Συντονισμός με υπεράκτιους ρυθμιστές

Ο OPC συμμετέχει ενεργά στη Global Privacy Assembly και διατηρεί σχέσεις εργασίας με τον EDPB, τον UK ICO και το φόρουμ Asia Pacific Privacy Authorities. Οι διασυνοριακές έρευνες που αφορούν κίνηση από τη New Zealand και την Ευρώπη αντιμετωπίζονται ολοένα και περισσότερο μέσω συντονισμένων διαδικασιών.

Μια πρακτική λίστα ελέγχου συμμόρφωσης

Έξι συγκεκριμένες ερωτήσεις που πρέπει να απαντηθούν για κάθε banner cookies που εξυπηρετεί κίνηση από τη New Zealand.

• Υπάρχει ρητή απόρριψη στο πρώτο επίπεδο; Η διαδρομή απόρριψης πρέπει να βρίσκεται στην ίδια επιφάνεια με την αποδοχή, με συγκρίσιμη οπτική εμφάνεια. Η κύλιση ως συγκατάθεση και η σιωπηρή αποδοχή δεν πληρούν την οδηγία του 2025.
• Είναι λεπτομερείς οι κατηγορίες; Οι απαραίτητες, αναλυτικές και εμπορικές κατηγορίες πρέπει να ελέγχονται χωριστά. Η απλή αποδοχή όλων χωρίς λεπτομέρεια αποτελεί ελάττωμα.
• Τεκμηριώνεται η υπεράκτια μεταφορά; Για κάθε cookie που αποστέλλει δεδομένα εκτός New Zealand, εντοπίστε τον μηχανισμό IPP 12 που εξουσιοδοτεί τη μεταφορά.
• Είναι η ειδοποίηση απορρήτου συμβατή με IPP 3; Επιβεβαιώστε ότι η ειδοποίηση προσδιορίζει τον σκοπό, τους αποδέκτες και τις συνέπειες, και ότι το banner cookies συνδέεται με αυτήν.
• Η καταγραφή συγκατάθεσης είναι σε επίπεδο ελέγχου; Τα αρχεία αποφάσεων συγκατάθεσης με χρονική σφραγίδα και έκδοση banner είναι πρακτικά απαραίτητα για να απαντηθεί μια έρευνα OPC.
• Είναι ενσωματωμένη η απόκριση σε παραβίαση; Επιβεβαιώστε ότι τα περιστατικά που σχετίζονται με cookies ενεργοποιούν τη ροή εργασίας αξιολόγησης παραβίασης που καθορίζει εάν απαιτείται κοινοποίηση στον OPC και στο άτομο.

Πού εντάσσεται η New Zealand σε ένα πολυδικαιοδοτικό πλαίσιο

Για τους εκδότες που δραστηριοποιούνται σε ολόκληρη την Αγγλόσφαιρα — Αυστραλία, Ηνωμένο Βασίλειο, Καναδά, ΗΠΑ και New Zealand — ο Privacy Act 2020 εντάσσεται σταθερά στο GDPR-εναρμονισμένο πλαίσιο στο οποίο έχουν συγκλίνει οι κύριες αγγλόφωνες δικαιοδοσίες. Μια αρχιτεκτονική CMP κατασκευασμένη σύμφωνα με ευρωπαϊκά πρότυπα διαχειρίζεται τη συμμόρφωση στη New Zealand με ελάχιστη διαμόρφωση: υποστήριξη γλώσσας Te Reo Māori, τεκμηρίωση μεταφοράς IPP 12 και διαχείριση καταγγελιών στυλ OPC είναι οι συγκεκριμένες προσθήκες που αξίζει να επενδυθεί. Η στρατηγική αξία έγκειται στο γεγονός ότι η New Zealand έχει χρησιμοποιηθεί ιστορικά ως αγορά δοκιμών για λανσαρίσματα προϊόντων από διεθνείς χειριστές SaaS, πράγμα που σημαίνει ότι η στάση συμμόρφωσης που αναπτύσσεται εδώ είναι συχνά μια προεπισκόπηση του τι θα δει η υπόλοιπη Αγγλόσφαιρα. Το να γίνει σωστά από νωρίς αποτελεί ουσιαστικό επιχειρησιακό πλεονέκτημα και όχι μια τυπική άσκηση τοπικοποίησης.