Privacy Act 2020 v prehľade

Privacy Act 2020 je štruktúrovaná okolo trinástich Zásad informačného súkromia (IPPs), ktoré upravujú spôsob, akým agentúry zhromažďujú, používajú, uchovávajú a zverejňujú osobné informácie. IPPs predchádzajú zákonu v koncepte — siahajú do štatútu z roku 1993 — ale ich interpretácia a vymáhanie boli v roku 2020 podstatne modernizované. Zákon sa vzťahuje na každú agentúru, ktorá zhromažďuje alebo uchováva osobné informácie o obyvateľoch Nového Zélandu, s extrateritoriálnym dosahom: zahraničný vydavateľ spracúvajúci údaje návštevníkov Nového Zélandu je v rozsahu pôsobnosti rovnako ako agentúra EÚ by bola pod GDPR.

Najdôslednejšou zmenou pri modernizácii v roku 2020 bolo zavedenie povinného režimu oznamovania porušení súkromia: akékoľvek porušenie, ktoré pravdepodobne spôsobí vážnu škodu, musí byť oznámené OPC a dotknutým jednotlivcom. Pre online vydavateľov je praktickým dôsledkom to, že incidenty súvisiace so súbormi cookie — sledovací pixel aktivujúci sa pred súhlasom a unikajúci identifikátory tretej strane, nesprávne nakonfigurovaný CMP, ktorý odhalil rozhodnutia o súhlase, bezpečnostný incident ovplyvňujúci protokoly auditu súborov cookie — môžu spustiť oznamovacie povinnosti, ktoré za staršieho režimu neexistovali.

Ako zákon zaobchádza so súbormi cookie a online sledovaním

Zákon neobsahuje ustanovenie špecifické pre súbory cookie, čo historicky viedlo niektorých prevádzkovateľov k predpokladu, že súbory cookie sú mimo jeho rozsahu. Usmernenie OPC z roku 2025 explicitne uzavrelo túto interpretačnú medzeru. Súbory cookie a pixely, ktoré zhromažďujú osobné informácie — a OPC definuje osobné informácie dostatočne široko na zahrnutie identifikátorov zariadení, IP adries v kombinácii s behaviorálnymi údajmi a pravdepodobnostných odtlačkov zariadení — podliehajú zásadám zhromažďovania a zverejňovania zákona rovnakým spôsobom ako akýkoľvek iný identifikačný povrch.

IPPs, ktoré sú najdôležitejšie pre online sledovanie, sú:

• IPP 1 (účel zberu) — osobné informácie sa môžu zhromažďovať iba na zákonný účel súvisiaci s funkciou agentúry a iba tam, kde je zbieranie nevyhnutné na tento účel.
• IPP 3 (informácie od jednotlivcov) — keď sú osobné informácie zhromažďované priamo od jednotlivca, agentúra ho musí informovať o účele, príjemcoch a dôsledkoch neposkytnutia informácií.
• IPP 4 (spôsob zberu) — zbieranie nesmie byť nespravodlivé, nezákonné alebo neprimerane rušivé. Tajný zber bez oznámenia je vo všeobecnosti chybou.
• IPP 10 (použitie osobných informácií) — informácie zhromaždené na jeden účel sa nesmú použiť na iný bez súhlasu alebo iného zákonného základu.
• IPP 12 (zverejnenie mimo Nového Zélandu) — odosielanie osobných informácií do zahraničia vyžaduje buď aby jurisdikcia príjemcu poskytovala porovnateľné záruky, alebo zmluvné záruky, alebo špecifický súhlas.

Kombinácia je funkčne podobná zákonnému základu GDPR, transparentnosti, obmedzeniu účelu a pravidlám cezhraničného prenosu, s terminológiou prispôsobenou rámcu Nového Zélandu. OPC bol explicitný, že štandardy sú zosúladené, aj keď sa právny jazyk líši.

Čo zmenilo usmernenie o online sledovaní z roku 2025

OPC zverejnil komplexné usmernenie o online sledovaní začiatkom roku 2025, ktoré formulovalo konkrétne očakávania pre bannery súborov cookie, záznamy súhlasov a zdieľanie údajov s tretími stranami. Štyri body majú najväčší prevádzkový dopad.

Kladný súhlas pre neesenciálne sledovanie

Usmernenie je jednoznačné, že posúvanie-ako-súhlas, pokračovanie-v-používaní-ako-súhlas a implicitný súhlas nespĺňajú IPP 1 a IPP 3 pre neesenciálne sledovanie. Je potrebná explicitná kladná akcia. To priviedlo Nový Zéland do súladu s pozíciou EDPB Cookie Banner Taskforce.

Detailné kontroly kategórií

OPC očakáva, že bannery oddelia prísne nevyhnutné súbory cookie od analytiky a od marketingu, pričom návštevník môže kategórie prijímať nezávisle. Zbalené prijatie-všetkého bez granularity sa považuje za chybu.

Dokumentácia zahraničného prenosu

IPP 12 má väčší dosah ako staršia interpretácia. Pre súbory cookie, ktoré smerujú údaje k dodávateľom reklamných technológií v USA, musí vydavateľ byť schopný preukázať záruky, na základe ktorých sa prenos uskutočňuje — zvyčajne zmluvné záruky alebo, ak je to možné, ekvivalentný stav primeranosti príjemcu. OPC naznačil, že „používame Google Analytics" už nie je dostatočnou odpoveďou v rámci vyšetrovania.

Prístupnosť Te Reo Māori

Usmernenie z roku 2025 obsahuje konkrétny jazyk o prístupnosti Te Reo Māori pre zverejnenia ochrany súkromia. OPC neurobil dvojjazyčné bannery prísnou požiadavkou, ale upozornil na dostupnosť Te Reo ako na zmysluplný ukazovateľ súladu v dobrej viere pre agentúry obsluhujúce komunity Māori. Viacerí veľkí vydavatelia v Novom Zélande prešli na dvojjazyčné bannery od vydania usmernenia.

Vymáhací postoj Office of the Privacy Commissioner

OPC funguje inak ako väčšie európske orgány na ochranu údajov tromi štrukturálnymi spôsobmi, ktoré sú dôležité pre plánovanie súladu.

Prioritizácia riadená sťažnosťami

OPC uprednostňuje vyšetrovania na základe sťažností pred proaktívnymi kontrolami. Praktickým dôsledkom je, že najbežnejšou cestou do vyšetrovania OPC je sťažnosť používateľa, čo robí zodpovedné vybavovanie sťažností a zdokumentovanú auditnú stopu obzvlášť dôležitými.

Oznámenia o súlade pred pokutami

Zákon z roku 2020 dáva OPC právomoc vydávať oznámenia o súlade, ktoré vyžadujú konkrétnu nápravu v stanovenom časovom rámci. Občianskoprávne sankcie existujú, ale sú zvyčajne záložnou možnosťou, keď je oznámenie ignorované alebo úmyselne porušované. Náprava v dobrej viere v reakcii na oznámenie zvyčajne ukončí vec bez peňažných následkov.

Koordinácia so zahraničnými regulátormi

OPC sa aktívne zúčastňuje na Global Privacy Assembly a udržiava pracovné vzťahy s EDPB, UK ICO a fórom Asia Pacific Privacy Authorities. Cezhraničné vyšetrovania zahŕňajúce návštevnosť z Nového Zélandu a Európy sú čoraz viac riešené prostredníctvom koordinovaných postupov.

Praktický kontrolný zoznam súladu

Šesť konkrétnych otázok, na ktoré treba odpovedať pre akýkoľvek banner súborov cookie obsluhujúci návštevnosť z Nového Zélandu.

• Existuje explicitné odmietnutie na prvej vrstve? Cesta odmietnutia musí byť na rovnakom povrchu ako prijatie, s porovnateľnou vizuálnou výraznosťou. Posúvanie-ako-súhlas a implicitné prijatie nespĺňajú usmernenie z roku 2025.
• Sú kategórie detailné? Nevyhnutné, analytické a marketingové musia byť samostatne ovládateľné. Jediné prijatie-všetkého bez granularity je chybou.
• Je zahraničný prenos zdokumentovaný? Pre každý súbor cookie, ktorý odosiela údaje mimo Nového Zélandu, identifikujte mechanizmus IPP 12, ktorý autorizuje prenos.
• Je oznámenie o ochrane súkromia v súlade s IPP 3? Potvrďte, že oznámenie identifikuje účel, príjemcov a dôsledky a že banner súborov cookie naň odkazuje.
• Je záznamy súhlasov na úrovni auditu? Záznamy rozhodnutí o súhlase s časovou pečiatkou a verziou bannera sú prakticky nevyhnutné na odpoveď na dopyt OPC.
• Je odozva na porušenie zapojená? Potvrďte, že incidenty súvisiace so súbormi cookie spúšťajú pracovný tok hodnotenia porušenia, ktorý určuje, či je potrebné oznámenie OPC a jednotlivcovi.

Kde Nový Zéland patrí do zásobníka viacerých jurisdikcií

Pre vydavateľov pôsobiacich v anglofónnom svete — Austrálii, Spojenom kráľovstve, Kanade, USA a Novom Zélande — Privacy Act 2020 pevne stojí v rámci obálky zosúladenej s GDPR, na ktorú sa zblížili hlavné anglicky hovoriace jurisdikcie. Architektúra CMP vybudovaná podľa európskych štandardov zvláda súlad Nového Zélandu s minimálnou konfiguráciou: jazyková podpora Te Reo Māori, dokumentácia prenosu IPP 12 a spracovanie sťažností v štýle OPC sú konkrétne doplnky, do ktorých sa oplatí investovať. Strategická hodnota spočíva v tom, že Nový Zéland bol historicky používaný ako „testovací trh" pre uvedenie produktov na trh medzinárodnými prevádzkovateľmi SaaS, čo znamená, že pozícia súladu tu nasadená je často ukážkou toho, čo zvyšok anglofónneho sveta uvidí. Správne nastavenie na začiatku je zmysluplnou operačnou výhodou, nie bežným lokalizačným cvičením.