Privacy Act 2020-ის მიმოხილვა

Privacy Act 2020 სტრუქტურირებულია ინფორმაციის კონფიდენციალობის ცამეტი პრინციპის (IPP) ირგვლივ, რომლებიც არეგულირებს, თუ როგორ ახდენენ სააგენტოები პერსონალური ინფორმაციის შეგროვებას, გამოყენებას, შენახვასა და გამჟღავნებას. IPP-ები კონცეფციაში კანონზე ადრინდელია — ისინი 1993 წლის კანონამდე მიდის — მაგრამ მათი ინტერპრეტაცია და აღსრულება 2020 წელს მნიშვნელოვნად განახლდა. კანონი ვრცელდება ნებისმიერ სააგენტოზე, რომელიც New Zealand-ის მცხოვრებთა შესახებ პერსონალურ ინფორმაციას გროვებს ან ინახავს, ტერიტორიულ სასაზღვრო გავლენასთან ერთად: offshore გამომცემელი, რომელიც New Zealand-ის ვიზიტორთა მონაცემებს ამუშავებს, GDPR-ის ქვეშ EU სააგენტოს მსგავსად ექვემდებარება.

2020 წლის მოდერნიზაციის ყველაზე მნიშვნელოვანი ცვლილება კონფიდენციალობის დარღვევის სავალდებულო შეტყობინების რეჟიმის შემოღება იყო: ნებისმიერი დარღვევა, რომელიც სავარაუდოდ სერიოზულ ზიანს გამოიწვევს, OPC-ს და დაზარალებულ პირებს უნდა ეცნობოს. ონლაინ გამომცემლებისთვის პრაქტიკული შედეგი ის არის, რომ cookie-თან დაკავშირებული ინციდენტები — თვალთვალის პიქსელი, რომელიც თანხმობამდე ააქტიურდება და მისამართებს ავლენს მესამე მხარეს, არასწორად კონფიგურირებული CMP, რომელმაც თანხმობის გადაწყვეტილებები გამოააშკარავა, cookie-ების სანქციის ჟურნალებზე მოქმედი უსაფრთხოების ინციდენტი — შეიძლება გამოიწვიოს შეტყობინების ვალდებულებები, რომლებიც ძველ რეჟიმში არ არსებობდა.

როგორ ეპყრობა კანონი Cookie-ებს და ონლაინ თვალთვალს

კანონი არ შეიცავს cookie-ის სპეციფიკურ დებულებას, რამაც ისტორიულად ზოგიერთ ოპერატორს ის ვარაუდი შეუქმნა, რომ cookie-ები მის გამოყენების სფეროს გარეთ იყო. OPC-ის 2025 წლის სახელმძღვანელომ ეს ინტერპრეტაციული ხარვეზი მკაფიოდ შეავსო. Cookie-ები და პიქსელები, რომლებიც პერსონალურ ინფორმაციას გროვებს — OPC-ი პერსონალურ ინფორმაციას საკმარისად ფართოდ განსაზღვრავს, რომ მოიცვას მოწყობილობის იდენტიფიკატორები, ქცევის მონაცემებთან ერთად IP მისამართები და ალბათური მოწყობილობის თითის ანაბეჭდები — კანონის შეგროვებისა და გამჟღავნების პრინციპებს ექვემდებარება ნებისმიერი სხვა იდენტიფიკაციის ზედაპირის მსგავსად.

ონლაინ თვალთვალისთვის ყველაზე მნიშვნელოვანი IPP-ები:

• IPP 1 (შეგროვების მიზანი) — პერსონალური ინფორმაციის შეგროვება შეიძლება მხოლოდ სააგენტოს ფუნქციასთან დაკავშირებული კანონიერი მიზნებისთვის, და მხოლოდ სადაც შეგროვება ამ მიზნისთვის აუცილებელია.
• IPP 3 (ინდივიდთა ინფორმაცია) — როდესაც პერსონალური ინფორმაცია პირდაპირ ინდივიდისგან გროვდება, სააგენტომ მათ უნდა აცნობოს მიზნის, მიმღებების და ინფორმაციის მიუწოდებლობის შედეგების შესახებ.
• IPP 4 (შეგროვების წესი) — შეგროვება არ უნდა იყოს არასამართლიანი, უკანონო ან გაუმართლებლად ჩარევა. შეტყობინების გარეშე ფარული შეგროვება ზოგადად ნაკლია.
• IPP 10 (პერსონალური ინფორმაციის გამოყენება) — ერთი მიზნისთვის შეგროვებული ინფორმაცია სხვა მიზნისთვის ვერ გამოიყენება თანხმობის ან სხვა კანონიერი საფუძვლის გარეშე.
• IPP 12 (New Zealand-ის გარეთ გამჟღავნება) — პერსონალური ინფორმაციის საზღვარგარეთ გაგზავნა მოითხოვს, რომ მიმღების იურისდიქციამ შესადარი გარანტიები მოგვაწოდოს, ან სახელშეკრულებო გარანტიები, ან კონკრეტული თანხმობა.

კომბინაცია ფუნქციონალურად ჰგავს GDPR-ის კანონიერ საფუძველს, გამჭვირვალობას, მიზნის შეზღუდვას და საზღვართ გადამკვეთი გადაცემის წესებს, ტერმინოლოგია New Zealand-ის ჩარჩოზე ადაპტირებულია. OPC-მ მკაფიოდ განაცხადა, რომ სტანდარტები ემთხვევა, მაშინაც კი, როდესაც სამართლებრივი ენა განსხვავებულია.

რა შეცვალა 2025 წლის ონლაინ თვალთვალის სახელმძღვანელომ

OPC-მ 2025 წლის დასაწყისში გამოაქვეყნა ყოვლისმომცველი ონლაინ თვალთვალის სახელმძღვანელო, რომელმაც cookie ბანერების, თანხმობის ჩანაწერების და მესამე მხარეებთან მონაცემების გაზიარების სპეციფიკური მოლოდინები ჩამოაყალიბა. ოთხ პუნქტს ყველაზე მეტი ოპერაციული გავლენა აქვს.

დამადასტურებელი თანხმობა არაარსებითი თვალთვალისთვის

სახელმძღვანელო ცხადად მიუთითებს, რომ გადახვევა-როგორც-თანხმობა, გამოყენების-გაგრძელება-როგორც-თანხმობა და ნაგულვები თანხმობა არ აკმაყოფილებს IPP 1 და IPP 3-ს არაარსებითი თვალთვალისთვის. საჭიროა მკაფიო დადებითი მოქმედება. ამან New Zealand EDPB Cookie Banner Taskforce-ის პოზიციასთან შეუსაბამა.

დეტალური კატეგორიის კონტროლი

OPC ელოდება ბანერებს, რომ მკაცრად აუცილებელი cookie-ები ანალიტიკიდან და მარკეტინგიდან გამოყოფილ იქნეს, ვიზიტორს კი კატეგორიების დამოუკიდებლად მიღება შეეძლოს. გაერთიანებული ყველაფრის-მიღება დეტალურობის გარეშე ნაკლად ითვლება.

offshore გადაცემის დოკუმენტაცია

IPP 12 ძველ ინტერპრეტაციაზე მეტ ძალას ატარებს. cookie-ებისთვის, რომლებიც მონაცემებს აშშ-ის ad-tech გამყიდველებისთვის გადასცემენ, გამომცემელს უნდა შეეძლოს გამჟღავნოს გარანტიები, რომლის ქვეშ ხდება გადაცემა — ჩვეულებრივ სახელშეკრულებო გარანტიები ან, სადაც ხელმისაწვდომია, მიმღების ადეკვატობა-ექვივალენტური სტატუსი. OPC-მ მიუთითა, რომ „Google Analytics-ს ვიყენებთ" გამოძიებაში საკმარისი პასუხი აღარ არის.

Te Reo Māori ხელმისაწვდომობა

2025 წლის სახელმძღვანელო კონფიდენციალობის გამჟღავნებისთვის Te Reo Māori ხელმისაწვდომობის სპეციფიკურ ენას შეიცავს. OPC-ს ორენოვანი ბანერები მკაცრ მოთხოვნად არ გაუხდია, მაგრამ Te Reo-ს ხელმისაწვდომობა Māori თემებს მომსახურე სააგენტოებისთვის კეთილი ნებით შესაბამისობის მნიშვნელოვან ინდიკატორად აღნიშნა. New Zealand-ის რამდენიმე დიდმა გამომცემელმა სახელმძღვანელოს გამოქვეყნების შემდეგ ორენოვანი ბანერებზე გადაინაცვლა.

Office of the Privacy Commissioner-ის სამართალდამცავი პოზიცია

OPC განსხვავებულად ოპერირებს შესაბამისობის დაგეგმვისთვის მნიშვნელოვანი სამი სტრუქტურული გზით, ვიდრე უფრო დიდი ევროპული DPA-ები.

საჩივრებზე დაფუძნებული პრიორიტეტი

OPC საჩივარზე დაფუძნებულ გამოძიებებს უპირატესობას ანიჭებს პროაქტიულ შემოწმებებზე. პრაქტიკული შედეგი ის არის, რომ OPC-ის გამოძიებაში ყველაზე გავრცელებული გზა მომხმარებლის საჩივარია, რაც საჩივრებზე ოპერატიულ პასუხს და დოკუმენტირებულ შემოწმების კვალს განსაკუთრებით მნიშვნელოვანს ხდის.

ჯარიმებამდე შესაბამისობის შეტყობინებები

2020 წლის კანონი OPC-ს შესაბამისობის შეტყობინებების გამოცემის უფლებამოსილებას ანიჭებს, რომლებიც განსაზღვრული ვადის განმავლობაში კონკრეტულ გამოსწორებას მოითხოვს. სამოქალაქო ჯარიმები არსებობს, მაგრამ ჩვეულებრივ სარეზერვო ზომად გვევლინება, როდესაც შეტყობინება იგნორირებულ ან განზრახ დარღვეულ ხდება. შეტყობინებაზე კეთილი ნებით გამოსწორება ჩვეულებრივ ფულადი შედეგის გარეშე ხურავს საქმეს.

offshore მარეგულირებლებთან კოორდინაცია

OPC აქტიურად მონაწილეობს Global Privacy Assembly-ში და EDPB-სთან, UK ICO-სთან და Asia Pacific Privacy Authorities ფორუმთან სამუშაო ურთიერთობებს ინარჩუნებს. New Zealand-ისა და ევროპული ტრაფიკის მოიცვა სასაზღვრო გამოძიებები სულ უფრო მეტად კოორდინირებული პროცედურებით განიხილება.

პრაქტიკული შესაბამისობის სია

ექვსი კონკრეტული კითხვა, რომელიც New Zealand ტრაფიკზე მომუშავე ნებისმიერი cookie ბანერისთვის უნდა გაეცეს პასუხი.

• პირველ დონეზე არის მკაფიო უარყოფა? უარყოფის გზა მიღებასთან ერთ ზედაპირზე უნდა მდებარეობდეს, შესადარი ვიზუალური გამოჩენით. გადახვევა-როგორც-თანხმობა და ნაგულვები მიღება 2025 წლის სახელმძღვანელოს ვერ პასუხობს.
• კატეგორიები დეტალურია? აუცილებელი, ანალიტიკური და მარკეტინგული ცალ-ცალკე უნდა მართვადი იყოს. ერთი ყველაფრის-მიღება დეტალურობის გარეშე ნაკლია.
• offshore გადაცემა დოკუმენტირებულია? ყოველი cookie-სთვის, რომელიც New Zealand-ის გარეთ მონაცემებს გზავნის, განსაზღვრეთ IPP 12 მექანიზმი, რომელიც გადაცემას ნებართვას ანიჭებს.
• კონფიდენციალობის შეტყობინება IPP 3-ს შეესაბამება? დაადასტურეთ, რომ შეტყობინება მიზნებს, მიმღებებს და შედეგებს ადგენს, და რომ cookie ბანერი მასთან არის დაკავშირებული.
• თანხმობის ჩაწერა შემოწმების დონისაა? timestamp-ითა და ბანერის ვერსიით თანხმობის გადაწყვეტილებების ჩანაწერები OPC-ის შეკითხვაზე პასუხისთვის პრაქტიკულად აუცილებელია.
• დარღვევაზე პასუხი ჩართულია? დაადასტურეთ, რომ cookie-თან დაკავშირებული ინციდენტები დარღვევის შეფასების სამუშაო პროცესს ააქტიურებს, რომელიც განსაზღვრავს, საჭიროა OPC-სა და ინდივიდებისთვის შეტყობინება.

სად ჯდება New Zealand მულტი-იურისდიქციული სტეკში

Anglosphere-ში — ავსტრალია, გაერთიანებული სამეფო, კანადა, აშშ და New Zealand — მოღვაწე გამომცემლებისთვის Privacy Act 2020 მყარად არის GDPR-თან შეთანხმებულ კონვერტში, რომელზეც ძირითადი ინგლისური ენის იურისდიქციები შეიყარნენ. ევროპული სტანდარტებისთვის შექმნილი CMP არქიტექტურა მცირე კონფიგურაციით New Zealand-ის შესაბამისობას ამუშავებს: Te Reo Māori ენობრივი მხარდაჭერა, IPP 12 გადაცემის დოკუმენტაცია და OPC-სტილის საჩივრების მართვა ინვესტიციის ღირსი სპეციფიკური დამატებებია. სტრატეგიული ღირებულება ის არის, რომ New Zealand ისტორიულად საერთაშორისო SaaS ოპერატორების მიერ „საცდელ ბაზრად" გამოიყენებოდა პროდუქტის გაშვებებისთვის, რაც ნიშნავს, რომ აქ გამოყენებული შესაბამისობის პოზიცია ხშირად Anglosphere-ის დარჩენილი ნაწილის ნახვის წინასწარ გადახედვაა. ადრეული სწორი მიდგომა მნიშვნელოვანი ოპერაციული უპირატესობაა, არა ჩვეულებრივი ლოკალიზაციის სავარჯიშო.