A Privacy Act 2020 em Esboço

A Privacy Act 2020 é estruturada em torno de treze Princípios de Privacidade de Informação (IPPs) que regem como as agências coletam, usam, armazenam e divulgam informações pessoais. Os IPPs precedem a lei em conceito — remontam ao estatuto de 1993 — mas sua interpretação e aplicação foram substancialmente modernizadas em 2020. A lei se aplica a qualquer agência que coleta ou retém informações pessoais sobre residentes da Nova Zelândia, com alcance extraterritorial: um editor estrangeiro que processa dados de visitantes da Nova Zelândia está no escopo assim como uma agência da EU estaria sob o GDPR.

A mudança mais consequente na modernização de 2020 foi a introdução de um regime obrigatório de notificação de violação de privacidade: qualquer violação que provavelmente cause dano grave deve ser notificada ao OPC e às pessoas afetadas. Para editores online, a implicação prática é que incidentes relacionados a cookies — um pixel de rastreamento disparando antes do consentimento e vazando identificadores para terceiros, um CMP mal configurado que expôs decisões de consentimento, um incidente de segurança afetando logs de auditoria de cookies — podem acionar obrigações de notificação que não existiam sob o regime anterior.

Como a Lei Trata Cookies e Rastreamento Online

A lei não contém uma disposição específica para cookies, o que historicamente levou alguns operadores a assumir que os cookies estavam fora de seu escopo. A orientação do OPC de 2025 fechou explicitamente essa lacuna interpretativa. Cookies e pixels que coletam informações pessoais — e o OPC define informações pessoais de forma ampla o suficiente para incluir identificadores de dispositivos, endereços IP combinados com dados comportamentais e impressões digitais probabilísticas de dispositivos — estão sujeitos aos princípios de coleta e divulgação da lei da mesma forma que qualquer outra superfície de identificação.

Os IPPs mais importantes para rastreamento online são:

• IPP 1 (finalidade da coleta) — informações pessoais só podem ser coletadas para uma finalidade legítima relacionada a uma função da agência, e somente quando a coleta é necessária para essa finalidade.
• IPP 3 (informações de indivíduos) — quando informações pessoais são coletadas diretamente do indivíduo, a agência deve informá-lo sobre a finalidade, os destinatários e as consequências de não fornecer as informações.
• IPP 4 (forma de coleta) — a coleta não deve ser injusta, ilegal ou excessivamente intrusiva. A coleta encoberta sem aviso é geralmente um defeito.
• IPP 10 (uso de informações pessoais) — informações coletadas para uma finalidade não podem ser usadas para outra sem consentimento ou outra base jurídica.
• IPP 12 (divulgação fora da Nova Zelândia) — enviar informações pessoais para o exterior requer que a jurisdição do destinatário forneça salvaguardas comparáveis, ou salvaguardas contratuais, ou consentimento específico.

A combinação é funcionalmente semelhante à base jurídica, transparência, limitação de finalidade e regras de transferência transfronteiriça do GDPR, com terminologia adaptada ao quadro da Nova Zelândia. O OPC foi explícito que os padrões se alinham mesmo quando a linguagem jurídica difere.

O que a Orientação de Rastreamento Online de 2025 Mudou

O OPC publicou orientações abrangentes sobre rastreamento online no início de 2025 que articulavam expectativas específicas para banners de cookies, registros de consentimento e compartilhamento de dados com terceiros. Quatro pontos têm o maior impacto operacional.

Consentimento afirmativo para rastreamento não essencial

As orientações são inequívocas de que rolagem como consentimento, uso continuado como consentimento e consentimento implícito não satisfazem IPP 1 e IPP 3 para rastreamento não essencial. Uma ação afirmativa explícita é necessária. Isso trouxe a Nova Zelândia em alinhamento com a posição do EDPB Cookie Banner Taskforce.

Controles de categoria granulares

O OPC espera que os banners separem cookies estritamente necessários de análise e de marketing, com o visitante podendo aceitar categorias independentemente. Aceitar tudo em conjunto sem granularidade é tratado como um defeito.

Documentação de transferência para o exterior

IPP 12 tem mais força do que a interpretação anterior. Para cookies que roteiam dados para fornecedores de tecnologia publicitária dos EUA, o editor deve ser capaz de demonstrar as salvaguardas sob as quais a transferência ocorre — tipicamente salvaguardas contratuais ou, quando disponível, o status de equivalência de adequação do destinatário. O OPC indicou que "usamos Google Analytics" não é mais uma resposta suficiente em uma investigação.

Acessibilidade do Te Reo Māori

As orientações de 2025 incluem linguagem específica sobre a acessibilidade do Te Reo Māori para divulgações de privacidade. O OPC não tornou os banners bilíngues um requisito estrito, mas sinalizou a disponibilidade do Te Reo como um indicador significativo de conformidade de boa-fé para agências que atendem comunidades Māori. Vários grandes editores da Nova Zelândia migraram para banners bilíngues desde que as orientações foram lançadas.

A Postura de Aplicação do Office of the Privacy Commissioner

O OPC opera de forma diferente das maiores autoridades de proteção de dados europeias em três maneiras estruturais que importam para o planejamento de conformidade.

Priorização orientada por reclamações

O OPC prioriza investigações baseadas em reclamações em detrimento de varreduras proativas. A implicação prática é que o caminho mais comum para uma investigação do OPC é uma reclamação de usuário, o que torna o tratamento responsivo de reclamações e uma trilha de auditoria documentada particularmente importantes.

Avisos de conformidade antes de multas

A lei de 2020 confere ao OPC o poder de emitir avisos de conformidade que exigem remediação específica dentro de um prazo determinado. Penalidades civis existem, mas são tipicamente um fallback quando um aviso é ignorado ou deliberadamente violado. A remediação de boa-fé em resposta a um aviso geralmente encerra o assunto sem consequências monetárias.

Coordenação com reguladores externos

O OPC participa ativamente da Global Privacy Assembly e mantém relações de trabalho com o EDPB, o UK ICO e o fórum Asia Pacific Privacy Authorities. Investigações transfronteiriças envolvendo tráfego da Nova Zelândia e europeu são cada vez mais tratadas por meio de procedimentos coordenados.

Uma Lista de Verificação Prática de Conformidade

Seis perguntas concretas a responder para qualquer banner de cookies que atende ao tráfego da Nova Zelândia.

• Há uma rejeição explícita na primeira camada? O caminho de rejeição deve estar na mesma superfície que aceitar, com proeminência visual comparável. Rolagem como consentimento e aceitação implícita falham nas orientações de 2025.
• As categorias são granulares? Necessário, análise e marketing devem ser controlados separadamente. Aceitar tudo único sem granularidade é um defeito.
• A transferência para o exterior está documentada? Para cada cookie que envia dados fora da Nova Zelândia, identifique o mecanismo IPP 12 que autoriza a transferência.
• O aviso de privacidade está em conformidade com IPP 3? Confirme que o aviso identifica finalidade, destinatários e consequências, e que o banner de cookies remete a ele.
• O registro de consentimento é de nível de auditoria? Registros de decisões de consentimento com carimbo de data/hora e versão do banner são praticamente necessários para responder a uma consulta do OPC.
• A resposta a violações está conectada? Confirme que incidentes relacionados a cookies acionam o fluxo de trabalho de avaliação de violação que determina se a notificação do OPC e individual é necessária.

Onde a Nova Zelândia se Encaixa em uma Pilha de Múltiplas Jurisdições

Para editores que operam em toda a anglosfera — Austrália, Reino Unido, Canadá, EUA e Nova Zelândia — a Privacy Act 2020 se enquadra firmemente no envelope alinhado ao GDPR em que as principais jurisdições de língua inglesa convergiram. Uma arquitetura de CMP construída de acordo com os padrões europeus lida com a conformidade da Nova Zelândia com configuração mínima: suporte ao idioma Te Reo Māori, documentação de transferência IPP 12 e tratamento de reclamações no estilo do OPC são as adições específicas que valem o investimento. O valor estratégico é que a Nova Zelândia tem sido historicamente usada como um "mercado de teste" para lançamentos de produtos por operadores SaaS internacionais, o que significa que a postura de conformidade implantada aqui é muitas vezes uma prévia do que o restante da anglosfera verá. Acertar cedo é uma vantagem operacional significativa, em vez de um exercício de localização rotineiro.