Privacy Act 2020 u pregledu

Privacy Act 2020 strukturiran je oko trinaest Načela o privatnosti informacija (IPP) koja uređuju način na koji agencije prikupljaju, koriste, pohranjuju i otkrivaju osobne podatke. IPP-ovi su konceptualno stariji od Zakona — sežu do zakonodavstva iz 1993. — ali njihovo tumačenje i provedba znatno su modernizirani 2020. Zakon se primjenjuje na svaku agenciju koja prikuplja ili čuva osobne podatke o rezidentima Novog Zelanda, s izvansudskom primjenom: offshore izdavač koji obrađuje podatke posjetitelja iz Novog Zelanda nalazi se u dosegu baš kao što bi se EU agencija nalazila pod GDPR-om.

Najvažnija promjena u modernizaciji iz 2020. bila je uvođenje obveznog sustava obavještavanja o povredama privatnosti: svaka povreda koja bi mogla uzrokovati ozbiljnu štetu mora se prijaviti OPC-u i pogođenim osobama. Za online izdavače, praktična implikacija je da incidenti vezani uz kolačiće — pikseli za praćenje koji se aktiviraju prije pristanka i propuštaju identifikatore trećoj strani, pogrešno konfiguriran CMP koji je izložio odluke o pristanku, sigurnosni incident koji je utjecao na revizijske zapisnike kolačića — mogu aktivirati obveze obavještavanja koje nisu postojale pod starim sustavom.

Kako Zakon tretira kolačiće i online praćenje

Zakon ne sadrži odredbu specifičnu za kolačiće, što je povijesno neke operatere navelo na pretpostavku da su kolačići izvan njegova dosega. Smjernica OPC-a iz 2025. izričito je zatvorila tu interpretativnu prazninu. Kolačići i pikseli koji prikupljaju osobne podatke — a OPC definira osobne podatke dovoljno široko da uključi identifikatore uređaja, IP adrese kombinirane s bihevioralnim podacima i probabilističke otiske uređaja — podliježu načelima prikupljanja i otkrivanja Zakona na isti način kao i svaka druga identifikacijska površina.

IPP-ovi koji su najvažniji za online praćenje su:

• IPP 1 (svrha prikupljanja) — osobni podaci mogu se prikupljati samo za zakonitu svrhu povezanu s funkcijom agencije, i to samo tamo gdje je prikupljanje nužno za tu svrhu.
• IPP 3 (informacije od pojedinaca) — kada se osobni podaci prikupljaju izravno od pojedinca, agencija ga mora obavijestiti o svrsi, primateljima i posljedicama uskraćivanja informacija.
• IPP 4 (način prikupljanja) — prikupljanje ne smije biti nepravično, nezakonito ili nerazumno nametljivo. Prikriveno prikupljanje bez obavijesti općenito je nedostatak.
• IPP 10 (korištenje osobnih podataka) — informacije prikupljene za jednu svrhu ne mogu se koristiti za drugu bez pristanka ili druge zakonite osnove.
• IPP 12 (otkrivanje izvan Novog Zelanda) — slanje osobnih podataka u inozemstvo zahtijeva da jurisdikcija primatelja pruži usporedive zaštitne mjere, ili ugovorne zaštitne mjere, ili poseban pristanak.

Kombinacija je funkcionalno slična pravilima GDPR-a o zakonitoj osnovi, transparentnosti, ograničenju svrhe i prekograničnim transferima, s terminologijom prilagođenom okviru Novog Zelanda. OPC je izričito naveo da se standardi usklađuju čak i tamo gdje se pravni jezik razlikuje.

Što su promijenile smjernice o online praćenju iz 2025.

OPC je u ranom 2025. objavio sveobuhvatne smjernice o online praćenju koje su artikulirale posebna očekivanja za bannere kolačića, zapise o pristanku i dijeljenje podataka s trećim stranama. Četiri točke imaju najveći operativni učinak.

Afirmativni pristanak za neesencijalno praćenje

Smjernice su nedvosmislene da pomicanje kao pristanak, nastavak korištenja kao pristanak i implicitni pristanak ne zadovoljavaju IPP 1 i IPP 3 za neesencijalno praćenje. Potrebna je izričita afirmativna radnja. Ovo je uskladilo Novi Zeland s pozicijom EDPB Cookie Banner Taskforce.

Granularne kontrole kategorija

OPC očekuje da banneri odvajaju strogo neophodne kolačiće od analitike i od marketinga, a posjetitelju omogućuju prihvaćanje kategorija neovisno. Skupno prihvati-sve bez granularnosti tretira se kao nedostatak.

Dokumentacija offshore transfera

IPP 12 ima više primjene od starije interpretacije. Za kolačiće koji usmjeravaju podatke prema dobavljačima američke reklamne tehnologije, izdavač mora biti u mogućnosti demonstrirati zaštitne mjere pod kojima se transfer provodi — obično ugovorne zaštitne mjere ili, gdje je dostupno, status ekvivalentan primjerenosti primatelja. OPC je naznačio da koristimo Google Analytics više nije dovoljan odgovor u istrazi.

Dostupnost Te Reo Māori

Smjernice iz 2025. uključuju poseban jezik o dostupnosti Te Reo Māori za privatnosne obavijesti. OPC nije učinio dvojezične bannere strogim zahtjevom, ali je dostupnost Te Reo označio kao značajan pokazatelj usklađenosti u dobroj vjeri za agencije koje opslužuju zajednice Māori. Nekoliko velikih novozelandskih izdavača prešlo je na dvojezične bannere otkad su objavljene smjernice.

Provedba Office of the Privacy Commissionera

OPC djeluje drugačije od većih europskih DPA-ova na tri strukturalna načina koji su važni za planiranje usklađenosti.

Prioritizacija temeljena na pritužbama

OPC daje prioritet istragama temeljenima na pritužbama nad proaktivnim pregledima. Praktična implikacija je da je najčešći put do istrage OPC-a pritužba korisnika, što reaktivno upravljanje pritužbama i dokumentirani revizijski trag čini posebno važnima.

Obavijesti o usklađenosti prije novčanih kazni

Zakon iz 2020. daje OPC-u ovlast da izdaje obavijesti o usklađenosti koje zahtijevaju posebno otklanjanje u navedenom vremenskom okviru. Civilne sankcije postoje, ali obično su posljednje rješenje kada se obavijest ignorira ili namjerno krši. Obnova u dobroj vjeri kao odgovor na obavijest obično zatvara predmet bez novčanih posljedica.

Koordinacija s offshore regulatorima

OPC aktivno sudjeluje u Global Privacy Assembly i održava radne odnose s EDPB-om, UK ICO-m i forumom Asia Pacific Privacy Authorities. Prekogranične istrage koje uključuju promet iz Novog Zelanda i Europe sve se češće rješavaju kroz koordinirane postupke.

Praktični kontrolni popis za usklađenost

Šest konkretnih pitanja na koja treba odgovoriti za svaki banner kolačića koji opslužuje promet iz Novog Zelanda.

• Postoji li izričito odbijanje na prvom sloju? Put odbijanja mora se nalaziti na istoj površini kao prihvaćanje, s usporedivom vizualnom istaknutošću. Pomicanje kao pristanak i implicitno prihvaćanje ne zadovoljavaju smjernicu iz 2025.
• Jesu li kategorije granularne? Nužne, analitičke i marketinške kategorije moraju biti posebno kontrolabilne. Jedno prihvati-sve bez granularnosti je nedostatak.
• Je li offshore transfer dokumentiran? Za svaki kolačić koji šalje podatke izvan Novog Zelanda, identificirajte IPP 12 mehanizam koji ovlašćuje transfer.
• Je li obavijest o privatnosti u skladu s IPP 3? Potvrdite da obavijest identificira svrhu, primatelje i posljedice, te da banner kolačića sadrži vezu na nju.
• Je li bilježenje pristanka na razini revizije? Zapisi odluka o pristanku s vremenskim žigom i verzijom bannera praktično su nužni za odgovor na upit OPC-a.
• Je li odgovor na povredu priključen? Potvrdite da incidenti vezani uz kolačiće aktiviraju tijek rada procjene povrede koji određuje je li potrebno obavijestiti OPC i pojedince.

Gdje se Novi Zeland uklapa u višejurisdikcijski skup

Za izdavače koji djeluju diljem anglofone sfere — Australija, Ujedinjeno Kraljevstvo, Kanada, SAD i Novi Zeland — Privacy Act 2020 čvrsto se nalazi unutar omotnice usklađene s GDPR-om prema kojoj su se skupile glavne jurisdikcije engleskog govornog područja. CMP arhitektura izgrađena prema europskim standardima rješava usklađenost Novog Zelanda uz manjom konfiguracijom: jezična podrška za Te Reo Māori, dokumentacija transfera IPP 12 i upravljanje pritužbama u stilu OPC-a specifični su dodaci koji vrijedi ulagati. Strateška vrijednost leži u tome što je Novi Zeland povijesno korišten kao testno tržište za lansiranje proizvoda od strane međunarodnih SaaS operatera, što znači da je stav usklađenosti raspoređen ovdje često pregled onoga što će ostatak anglofone sfere vidjeti. Točno to učiniti rano je značajna operativna prednost, a ne rutinska vježba lokalizacije.