قانون حریم خصوصی ۲۰۲۰ به‌صورت خلاصه

قانون حریم خصوصی ۲۰۲۰ بر اساس سیزده اصل حریم خصوصی اطلاعات (IPP) ساختار یافته که نحوه جمع‌آوری، استفاده، ذخیره و افشای اطلاعات شخصی توسط آژانس‌ها را کنترل می‌کند. IPPها از نظر مفهومی از قانون قدیمی‌تر هستند — آنها به قانون ۱۹۹۳ برمی‌گردند — اما تفسیر و اجرای آنها در سال ۲۰۲۰ به‌طور قابل توجهی نوسازی شد. این قانون برای هر آژانسی که اطلاعات شخصی ساکنان نیوزیلند را جمع‌آوری یا نگهداری می‌کند اعمال می‌شود، با دسترسی فراسرزمینی: ناشر خارجی که داده‌های بازدیدکننده نیوزیلند را پردازش می‌کند به همان اندازه که یک آژانس اتحادیه اروپا تحت GDPR خواهد بود، در حوزه عمل این قانون قرار دارد.

مهم‌ترین تغییر در نوسازی ۲۰۲۰ معرفی یک رژیم اجباری اطلاع‌رسانی نقض حریم خصوصی بود: هر نقضی که احتمالاً آسیب جدی ایجاد کند باید به OPC و افراد آسیب‌دیده اطلاع داده شود. برای ناشران آنلاین، پیامد عملی این است که حوادث مرتبط با کوکی — یک پیکسل ردیابی که قبل از رضایت فعال شده و شناسه‌ها را به شخص ثالث درز می‌دهد، یک CMP اشتباه پیکربندی شده که تصمیمات رضایت را افشا کرده، یک حادثه امنیتی که لاگ‌های حسابرسی کوکی را تحت تأثیر قرار داده — می‌توانند تعهدات اطلاع‌رسانی را که در رژیم قدیمی وجود نداشتند فعال کنند.

نحوه برخورد قانون با کوکی‌ها و ردیابی آنلاین

قانون حاوی مقررات مخصوص کوکی نیست، که از نظر تاریخی برخی اپراتورها را به این فرض رساند که کوکی‌ها خارج از حوزه عمل آن هستند. راهنمای ۲۰۲۵ OPC این شکاف تفسیری را به صراحت برطرف کرد. کوکی‌ها و پیکسل‌هایی که اطلاعات شخصی جمع‌آوری می‌کنند — و OPC اطلاعات شخصی را به اندازه کافی وسیع تعریف می‌کند تا شامل شناسه‌های دستگاه، آدرس‌های IP ترکیب‌شده با داده‌های رفتاری و اثر انگشت احتمالی دستگاه شود — تابع اصول جمع‌آوری و افشای قانون هستند، همان‌طور که هر سطح شناسایی دیگری خواهد بود.

IPPهایی که بیشترین اهمیت را برای ردیابی آنلاین دارند عبارتند از:

• IPP 1 (هدف جمع‌آوری) — اطلاعات شخصی فقط می‌تواند برای هدف قانونی مرتبط با یک وظیفه آژانس جمع‌آوری شود، و تنها در جایی که جمع‌آوری برای آن هدف ضروری است.
• IPP 3 (اطلاعات از افراد) — هنگامی که اطلاعات شخصی مستقیماً از فرد جمع‌آوری می‌شود، آژانس باید آنها را از هدف، گیرندگان و عواقب عدم ارائه اطلاعات آگاه کند.
• IPP 4 (روش جمع‌آوری) — جمع‌آوری نباید ناعادلانه، غیرقانونی یا به‌طور غیرمعقول تهاجمی باشد. جمع‌آوری مخفیانه بدون اطلاع‌رسانی به‌طور کلی یک عیب است.
• IPP 10 (استفاده از اطلاعات شخصی) — اطلاعات جمع‌آوری شده برای یک هدف نمی‌تواند برای هدف دیگری بدون رضایت یا پایه قانونی دیگر استفاده شود.
• IPP 12 (افشا خارج از نیوزیلند) — ارسال اطلاعات شخصی به خارج از کشور نیاز دارد که حوزه قضایی گیرنده حفاظت‌های قابل مقایسه ارائه دهد، یا حفاظت‌های قراردادی، یا رضایت خاص.

ترکیب از نظر عملکردی مشابه قوانین مبنای قانونی، شفافیت، محدودیت هدف و انتقال فرامرزی GDPR است، با اصطلاحاتی که با چارچوب نیوزیلند سازگار شده‌اند. OPC صراحتاً اعلام کرده که استانداردها حتی در جایی که زبان قانونی متفاوت است همسو هستند.

آنچه راهنمای ردیابی آنلاین ۲۰۲۵ تغییر داد

OPC در اوایل ۲۰۲۵ راهنمای جامع ردیابی آنلاین را منتشر کرد که انتظارات خاصی برای بنرهای کوکی، سوابق رضایت و اشتراک‌گذاری داده با شخص ثالث بیان کرد. چهار نکته بیشترین تأثیر عملیاتی را دارند.

رضایت صریح برای ردیابی غیرضروری

راهنما بی‌ابهام است که اسکرول به عنوان رضایت، استفاده مستمر به عنوان رضایت و رضایت ضمنی IPP 1 و IPP 3 را برای ردیابی غیرضروری برآورده نمی‌کنند. یک اقدام تأیید صریح الزامی است. این نیوزیلند را با موضع EDPB Cookie Banner Taskforce همسو کرد.

کنترل‌های دسته‌بندی دقیق

OPC انتظار دارد بنرها کوکی‌های کاملاً ضروری را از تجزیه و تحلیل و بازاریابی جدا کنند، با اینکه بازدیدکننده بتواند دسته‌ها را به‌طور مستقل بپذیرد. پذیرش همه با هم بدون دانه‌بندی به عنوان یک نقص در نظر گرفته می‌شود.

مستندسازی انتقال خارجی

IPP 12 بیشتر از تفسیر قدیمی‌تر اعمال می‌شود. برای کوکی‌هایی که داده را به فروشندگان فناوری تبلیغات ایالات متحده هدایت می‌کنند، ناشر باید بتواند حفاظت‌هایی را که انتقال تحت آنها انجام می‌شود نشان دهد — معمولاً حفاظت‌های قراردادی یا، در صورت موجود بودن، وضعیت معادل کفایت گیرنده. OPC نشان داده که از Google Analytics استفاده می‌کنیم دیگر پاسخ کافی در یک تحقیق نیست.

دسترسی Te Reo Māori

راهنمای ۲۰۲۵ شامل زبان خاصی درباره دسترسی Te Reo Māori برای افشاهای حریم خصوصی است. OPC بنرهای دو زبانه را به عنوان الزام سختگیرانه مقرر نکرده، اما در دسترس بودن Te Reo را به عنوان شاخص مهمی از انطباق با حسن نیت برای آژانس‌هایی که جوامع Māori را خدمت می‌دهند مشخص کرده است. چندین ناشر بزرگ نیوزیلندی از زمان انتشار راهنما به بنرهای دوزبانه رفته‌اند.

موضع اجرایی Office of the Privacy Commissioner

OPC از DPAهای بزرگ‌تر اروپایی به سه روش ساختاری که برای برنامه‌ریزی انطباق مهم هستند متفاوت عمل می‌کند.

اولویت‌بندی مبتنی بر شکایت

OPC تحقیقات مبتنی بر شکایت را بر بازرسی‌های پیشگیرانه اولویت می‌دهد. پیامد عملی این است که رایج‌ترین مسیر به یک تحقیق OPC شکایت کاربر است، که این امر مدیریت پاسخگوی شکایات و مسیر حسابرسی مستند را به‌ویژه مهم می‌کند.

اطلاعیه‌های انطباق قبل از جریمه‌ها

قانون ۲۰۲۰ به OPC اختیار صدور اطلاعیه‌های انطباق که جبران خسارت خاص در یک بازه زمانی مشخص را می‌طلبند می‌دهد. مجازات‌های مدنی وجود دارند اما معمولاً به عنوان گزینه آخر زمانی که یک اطلاعیه نادیده گرفته می‌شود یا عمداً نقض می‌شود مورد استفاده قرار می‌گیرند. جبران خسارت با حسن نیت در پاسخ به اطلاعیه معمولاً موضوع را بدون عواقب مالی می‌بندد.

هماهنگی با نهادهای نظارتی خارجی

OPC به‌طور فعال در Global Privacy Assembly شرکت می‌کند و روابط کاری با EDPB، UK ICO و انجمن Asia Pacific Privacy Authorities حفظ می‌کند. تحقیقات فرامرزی که شامل ترافیک نیوزیلند و اروپا می‌شوند به‌طور فزاینده‌ای از طریق روش‌های هماهنگ مدیریت می‌شوند.

فهرست بررسی انطباق عملی

شش سؤال مشخص برای پاسخ دادن به هر بنر کوکی که ترافیک نیوزیلند را ارائه می‌دهد.

• آیا رد صریح لایه اول وجود دارد؟ مسیر رد باید روی همان سطح پذیرش، با برجستگی بصری قابل مقایسه قرار داشته باشد. اسکرول به عنوان رضایت و پذیرش ضمنی از راهنمای ۲۰۲۵ ناموفق خواهند بود.
• آیا دسته‌بندی‌ها دقیق هستند؟ ضروری، تجزیه و تحلیل و بازاریابی باید به‌طور جداگانه قابل کنترل باشند. یک پذیرش همه بدون دانه‌بندی یک نقص است.
• آیا انتقال خارجی مستند شده؟ برای هر کوکی که داده را خارج از نیوزیلند ارسال می‌کند، مکانیسم IPP 12 که انتقال را مجاز می‌کند شناسایی کنید.
• آیا اطلاعیه حریم خصوصی با IPP 3 مطابق است؟ تأیید کنید که اطلاعیه هدف، گیرندگان و عواقب را مشخص می‌کند و بنر کوکی به آن پیوند می‌دهد.
• آیا ثبت رضایت در سطح حسابرسی است؟ سوابق تصمیمات رضایت با مهر زمانی و نسخه بنر به‌طور عملی برای پاسخ به استعلام OPC ضروری هستند.
• آیا پاسخ به نقض آماده است؟ تأیید کنید که حوادث مرتبط با کوکی جریان کار ارزیابی نقض را که تعیین می‌کند آیا اطلاع‌رسانی OPC و فرد لازم است فعال می‌کنند.

جایگاه نیوزیلند در یک پشته چند حوزه قضایی

برای ناشرانی که در سراسر قلمرو زبان انگلیسی — استرالیا، انگلستان، کانادا، ایالات متحده و نیوزیلند — فعالیت می‌کنند، قانون حریم خصوصی ۲۰۲۰ به‌طور محکم در پاکت همسو با GDPR که حوزه‌های قضایی عمده انگلیسی‌زبان به آن همگرا شده‌اند قرار دارد. یک معماری CMP ساخته‌شده برای استانداردهای اروپایی انطباق نیوزیلند را با پیکربندی جزئی مدیریت می‌کند: پشتیبانی زبان Te Reo Māori، مستندسازی انتقال IPP 12 و مدیریت شکایات به سبک OPC افزودنی‌های خاصی هستند که ارزش سرمایه‌گذاری دارند. ارزش استراتژیک این است که نیوزیلند تاریخاً توسط اپراتورهای بین‌المللی SaaS به عنوان بازار آزمایشی برای عرضه محصولات استفاده شده است، به این معنی که موضع انطباق مستقر در اینجا اغلب پیش‌نمایشی از آن چیزی است که بقیه قلمرو انگلیسی‌زبان خواهند دید. درست انجام دادن آن زود یک مزیت عملیاتی معنادار است نه یک تمرین محلی‌سازی معمول.