Ikhtisar Privacy Act 2020

Privacy Act 2020 terstruktur di sekitar tiga belas Prinsip Privasi Informasi (IPP) yang mengatur bagaimana lembaga mengumpulkan, menggunakan, menyimpan, dan mengungkapkan informasi pribadi. IPP mendahului undang-undang dalam konsep — berakar pada undang-undang tahun 1993 — tetapi interpretasi dan penegakannya dimodernisasi secara substansial pada tahun 2020. Undang-undang ini berlaku untuk setiap lembaga yang mengumpulkan atau menyimpan informasi pribadi tentang penduduk New Zealand, dengan jangkauan ekstrateritorial: penerbit luar negeri yang memproses data pengunjung New Zealand berada dalam cakupan sama seperti lembaga EU di bawah GDPR.

Perubahan paling signifikan dalam modernisasi 2020 adalah diperkenalkannya rezim notifikasi pelanggaran privasi wajib: setiap pelanggaran yang kemungkinan menyebabkan kerugian serius harus diberitahukan kepada OPC dan kepada individu yang terdampak. Bagi penerbit online, implikasi praktisnya adalah bahwa insiden terkait cookie — piksel pelacak yang aktif sebelum persetujuan dan membocorkan pengidentifikasi ke pihak ketiga, CMP yang salah dikonfigurasi yang mengekspos keputusan persetujuan, insiden keamanan yang memengaruhi log audit cookie — dapat memicu kewajiban notifikasi yang tidak ada di bawah rezim lama.

Bagaimana Undang-Undang Memperlakukan Cookie dan Pelacakan Online

Undang-undang ini tidak mengandung ketentuan khusus cookie, yang secara historis membuat beberapa operator berasumsi bahwa cookie berada di luar cakupannya. Panduan OPC 2025 menutup celah interpretasi tersebut secara eksplisit. Cookie dan piksel yang mengumpulkan informasi pribadi — dan OPC mendefinisikan informasi pribadi cukup luas untuk mencakup pengidentifikasi perangkat, alamat IP yang dikombinasikan dengan data perilaku, dan sidik jari perangkat probabilistik — tunduk pada prinsip pengumpulan dan pengungkapan undang-undang dengan cara yang sama seperti permukaan identifikasi lainnya.

IPP yang paling penting untuk pelacakan online adalah:

• IPP 1 (tujuan pengumpulan) — informasi pribadi hanya boleh dikumpulkan untuk tujuan yang sah yang terkait dengan fungsi lembaga, dan hanya jika pengumpulan diperlukan untuk tujuan tersebut.
• IPP 3 (informasi dari individu) — ketika informasi pribadi dikumpulkan langsung dari individu, lembaga harus memberi tahu mereka tentang tujuan, penerima, dan konsekuensi dari kegagalan memberikan informasi tersebut.
• IPP 4 (cara pengumpulan) — pengumpulan tidak boleh tidak adil, melanggar hukum, atau sangat mengganggu. Pengumpulan terselubung tanpa pemberitahuan umumnya merupakan cacat.
• IPP 10 (penggunaan informasi pribadi) — informasi yang dikumpulkan untuk satu tujuan tidak boleh digunakan untuk tujuan lain tanpa persetujuan atau dasar hukum lainnya.
• IPP 12 (pengungkapan di luar New Zealand) — pengiriman informasi pribadi ke luar negeri memerlukan yurisdiksi penerima yang memberikan perlindungan yang sebanding, atau perlindungan kontraktual, atau persetujuan khusus.

Kombinasinya secara fungsional mirip dengan basis hukum, transparansi, pembatasan tujuan, dan aturan transfer lintas batas GDPR, dengan terminologi yang disesuaikan dengan kerangka New Zealand. OPC telah secara eksplisit menyatakan bahwa standar-standar tersebut selaras meskipun bahasa hukumnya berbeda.

Apa yang Diubah Panduan Pelacakan Online 2025

OPC menerbitkan panduan pelacakan online yang komprehensif pada awal 2025 yang mengartikulasikan ekspektasi spesifik untuk banner cookie, catatan persetujuan, dan berbagi data pihak ketiga. Empat poin memiliki dampak operasional terbesar.

Persetujuan afirmatif untuk pelacakan non-esensial

Panduan ini tidak ambigu bahwa scroll-sebagai-persetujuan, penggunaan-berkelanjutan-sebagai-persetujuan, dan persetujuan tersirat tidak memenuhi IPP 1 dan IPP 3 untuk pelacakan non-esensial. Tindakan afirmatif eksplisit diperlukan. Ini membawa New Zealand ke dalam keselarasan dengan posisi EDPB Cookie Banner Taskforce.

Kontrol kategori granular

OPC mengharapkan banner untuk memisahkan cookie yang ketat diperlukan dari analitik dan dari pemasaran, dengan pengunjung mampu menerima kategori secara independen. Bundel terima-semua tanpa granularitas diperlakukan sebagai cacat.

Dokumentasi transfer luar negeri

IPP 12 memiliki gigitan lebih besar dari interpretasi lama. Untuk cookie yang mengarahkan data ke vendor ad-tech AS, penerbit harus dapat menunjukkan perlindungan yang menjadi dasar transfer berlangsung — biasanya perlindungan kontraktual atau, jika tersedia, status ekuivalen-kecukupan penerima. OPC telah menunjukkan bahwa „kami menggunakan Google Analytics" bukan lagi tanggapan yang memadai dalam penyelidikan.

Aksesibilitas Te Reo Māori

Panduan 2025 mencakup bahasa khusus tentang aksesibilitas Te Reo Māori untuk pengungkapan privasi. OPC belum menjadikan banner dwibahasa sebagai persyaratan ketat, tetapi telah menandai ketersediaan Te Reo sebagai indikator kepatuhan itikad baik yang berarti bagi lembaga yang melayani komunitas Māori. Beberapa penerbit New Zealand besar telah beralih ke banner dwibahasa sejak panduan dirilis.

Postur Penegakan Office of the Privacy Commissioner

OPC beroperasi berbeda dari otoritas perlindungan data Eropa yang lebih besar dalam tiga cara struktural yang penting untuk perencanaan kepatuhan.

Prioritisasi berbasis pengaduan

OPC memprioritaskan investigasi berbasis pengaduan daripada sapuan proaktif. Implikasi praktisnya adalah bahwa jalur paling umum ke investigasi OPC adalah pengaduan pengguna, yang membuat penanganan pengaduan yang responsif dan jejak audit yang terdokumentasi menjadi sangat penting.

Pemberitahuan kepatuhan sebelum denda

Undang-undang 2020 memberi OPC kekuatan untuk mengeluarkan pemberitahuan kepatuhan yang memerlukan remediasi spesifik dalam jangka waktu tertentu. Penalti perdata ada tetapi biasanya menjadi cadangan ketika pemberitahuan diabaikan atau dilanggar secara sengaja. Remediasi itikad baik dalam menanggapi pemberitahuan biasanya menutup masalah tanpa konsekuensi moneter.

Koordinasi dengan regulator luar negeri

OPC berpartisipasi aktif dalam Global Privacy Assembly dan mempertahankan hubungan kerja dengan EDPB, UK ICO, dan forum Asia Pacific Privacy Authorities. Investigasi lintas batas yang melibatkan lalu lintas New Zealand dan Eropa semakin ditangani melalui prosedur terkoordinasi.

Daftar Periksa Kepatuhan Praktis

Enam pertanyaan konkret untuk dijawab untuk setiap banner cookie yang melayani lalu lintas New Zealand.

• Apakah ada penolakan lapisan pertama yang eksplisit? Jalur penolakan harus berada di permukaan yang sama dengan penerimaan, dengan keunggulan visual yang sebanding. Scroll-sebagai-persetujuan dan penerimaan tersirat gagal memenuhi panduan 2025.
• Apakah kategori bersifat granular? Diperlukan, analitik, dan pemasaran harus dapat dikontrol secara terpisah. Terima-semua tunggal tanpa granularitas adalah cacat.
• Apakah transfer luar negeri terdokumentasi? Untuk setiap cookie yang mengirimkan data di luar New Zealand, identifikasi mekanisme IPP 12 yang mengotorisasi transfer tersebut.
• Apakah pemberitahuan privasi memenuhi IPP 3? Konfirmasikan bahwa pemberitahuan mengidentifikasi tujuan, penerima, dan konsekuensi, dan bahwa banner cookie menautkan ke sana.
• Apakah pencatatan persetujuan berskala audit? Catatan keputusan persetujuan dengan cap waktu dan versi banner secara praktis diperlukan untuk menanggapi pertanyaan OPC.
• Apakah respons pelanggaran sudah terhubung? Konfirmasikan bahwa insiden terkait cookie memicu alur kerja penilaian pelanggaran yang menentukan apakah notifikasi OPC dan individu diperlukan.

Di Mana New Zealand Cocok dalam Tumpukan Multi-Yurisdiksi

Bagi penerbit yang beroperasi di seluruh Anglosphere — Australia, Inggris, Kanada, Amerika Serikat, dan New Zealand — Privacy Act 2020 berada dengan kokoh dalam amplop yang selaras dengan GDPR yang telah dikonvergensi oleh yurisdiksi berbahasa Inggris utama. Arsitektur CMP yang dibangun sesuai standar Eropa menangani kepatuhan New Zealand dengan konfigurasi minor: dukungan bahasa Te Reo Māori, dokumentasi transfer IPP 12, dan penanganan pengaduan gaya OPC adalah tambahan spesifik yang layak untuk diinvestasikan. Nilai strategisnya adalah bahwa New Zealand secara historis digunakan sebagai „pasar uji" untuk peluncuran produk oleh operator SaaS internasional, yang berarti postur kepatuhan yang diterapkan di sini sering kali menjadi pratinjau dari apa yang akan dilihat sisa Anglosphere. Mendapatkannya dengan benar lebih awal adalah keunggulan operasional yang berarti daripada sekadar latihan lokalisasi rutin.