Tổng quan về Privacy Act 2020

Privacy Act 2020 được cấu trúc xung quanh mười ba Nguyên tắc Quyền riêng tư Thông tin (IPP) điều chỉnh cách các cơ quan thu thập, sử dụng, lưu trữ và tiết lộ thông tin cá nhân. Các IPP có trước Đạo luật về mặt khái niệm — chúng có nguồn gốc từ đạo luật năm 1993 — nhưng cách diễn giải và thực thi của chúng đã được hiện đại hóa đáng kể vào năm 2020. Đạo luật áp dụng cho bất kỳ cơ quan nào thu thập hoặc lưu giữ thông tin cá nhân về cư dân New Zealand, với phạm vi ngoài lãnh thổ: một nhà xuất bản nước ngoài xử lý dữ liệu khách truy cập New Zealand cũng thuộc phạm vi điều chỉnh, giống như một cơ quan EU sẽ chịu sự điều chỉnh của GDPR.

Thay đổi quan trọng nhất trong quá trình hiện đại hóa năm 2020 là việc đưa ra chế độ thông báo vi phạm quyền riêng tư bắt buộc: bất kỳ vi phạm nào có khả năng gây thiệt hại nghiêm trọng đều phải được thông báo cho OPC và các cá nhân bị ảnh hưởng. Đối với các nhà xuất bản trực tuyến, hàm ý thực tế là các sự cố liên quan đến cookie — một pixel theo dõi kích hoạt trước khi có sự đồng ý và rò rỉ định danh cho bên thứ ba, một CMP được cấu hình sai làm lộ quyết định đồng ý, một sự cố bảo mật ảnh hưởng đến nhật ký kiểm toán cookie — có thể kích hoạt nghĩa vụ thông báo vốn không tồn tại theo chế độ cũ.

Đạo luật Xử lý Cookie và Theo dõi Trực tuyến như thế nào

Đạo luật không có điều khoản dành riêng cho cookie, điều này trong lịch sử đã khiến một số nhà vận hành cho rằng cookie nằm ngoài phạm vi điều chỉnh. Hướng dẫn năm 2025 của OPC đã lấp kín khoảng trống giải thích đó một cách rõ ràng. Cookie và pixel thu thập thông tin cá nhân — và OPC định nghĩa thông tin cá nhân đủ rộng để bao gồm định danh thiết bị, địa chỉ IP kết hợp với dữ liệu hành vi và dấu vân tay thiết bị xác suất — phải tuân theo các nguyên tắc thu thập và tiết lộ của Đạo luật theo cùng cách như bất kỳ bề mặt nhận dạng nào khác.

Các IPP quan trọng nhất đối với theo dõi trực tuyến là:

• IPP 1 (mục đích thu thập) — thông tin cá nhân chỉ có thể được thu thập cho một mục đích hợp pháp liên quan đến chức năng của cơ quan, và chỉ khi việc thu thập là cần thiết cho mục đích đó.
• IPP 3 (thông tin từ cá nhân) — khi thông tin cá nhân được thu thập trực tiếp từ cá nhân, cơ quan phải thông báo cho họ về mục đích, người nhận và hậu quả của việc không cung cấp thông tin.
• IPP 4 (phương thức thu thập) — việc thu thập không được không công bằng, trái pháp luật hoặc xâm phạm quá mức. Việc thu thập bí mật mà không có thông báo thường là một khiếm khuyết.
• IPP 10 (sử dụng thông tin cá nhân) — thông tin được thu thập cho một mục đích không được sử dụng cho mục đích khác mà không có sự đồng ý hoặc cơ sở pháp lý khác.
• IPP 12 (tiết lộ ngoài New Zealand) — việc gửi thông tin cá nhân ra nước ngoài đòi hỏi phải có các biện pháp bảo vệ tương đương từ quyền tài phán của người nhận, hoặc các biện pháp bảo vệ theo hợp đồng, hoặc sự đồng ý cụ thể.

Sự kết hợp này về mặt chức năng tương tự như các quy tắc về cơ sở pháp lý, minh bạch, giới hạn mục đích và chuyển giao xuyên biên giới của GDPR, với thuật ngữ được điều chỉnh phù hợp với khung pháp lý New Zealand. OPC đã nêu rõ rằng các tiêu chuẩn phù hợp với nhau ngay cả khi ngôn ngữ pháp lý có sự khác biệt.

Những gì Hướng dẫn Theo dõi Trực tuyến năm 2025 Đã Thay đổi

OPC đã công bố hướng dẫn theo dõi trực tuyến toàn diện vào đầu năm 2025, nêu rõ các kỳ vọng cụ thể đối với banner cookie, hồ sơ đồng ý và chia sẻ dữ liệu với bên thứ ba. Bốn điểm có tác động vận hành lớn nhất.

Đồng ý khẳng định cho theo dõi không cần thiết

Hướng dẫn nêu rõ không mơ hồ rằng cuộn trang thay cho đồng ý, tiếp tục sử dụng thay cho đồng ý và đồng ý ngầm không thỏa mãn IPP 1 và IPP 3 đối với theo dõi không cần thiết. Một hành động khẳng định rõ ràng là bắt buộc. Điều này đưa New Zealand vào sự phù hợp với lập trường của EDPB Cookie Banner Taskforce.

Kiểm soát danh mục chi tiết

OPC kỳ vọng các banner phân tách cookie cần thiết tuyệt đối khỏi phân tích và khỏi tiếp thị, với khách truy cập có thể chấp nhận từng danh mục một cách độc lập. Chấp nhận tất cả theo gói mà không có tính chi tiết được coi là một khiếm khuyết.

Tài liệu hóa chuyển giao ra nước ngoài

IPP 12 có tác động mạnh hơn so với cách giải thích cũ. Đối với cookie chuyển dữ liệu đến các nhà cung cấp công nghệ quảng cáo tại Mỹ, nhà xuất bản phải có khả năng chứng minh các biện pháp bảo vệ mà quá trình chuyển giao tiến hành — thường là các biện pháp bảo vệ theo hợp đồng hoặc, khi có thể, trạng thái tương đương đầy đủ của người nhận. OPC đã chỉ ra rằng «chúng tôi sử dụng Google Analytics» không còn là câu trả lời đủ trong một cuộc điều tra.

Khả năng tiếp cận Te Reo Māori

Hướng dẫn năm 2025 bao gồm ngôn ngữ cụ thể về khả năng tiếp cận Te Reo Maori đối với các thông báo quyền riêng tư. OPC chưa đặt ra yêu cầu bắt buộc về banner song ngữ, nhưng đã gắn cờ khả năng sử dụng Te Reo Maori là một chỉ số có ý nghĩa về tuân thủ thiện chí đối với các cơ quan phục vụ cộng đồng Māori. Một số nhà xuất bản lớn của New Zealand đã chuyển sang banner song ngữ kể từ khi hướng dẫn được phát hành.

Lập trường Thực thi của Office of the Privacy Commissioner

OPC hoạt động khác với các DPA châu Âu lớn hơn theo ba cách cơ cấu có ý nghĩa đối với kế hoạch tuân thủ.

Ưu tiên dựa trên khiếu nại

OPC ưu tiên các cuộc điều tra dựa trên khiếu nại hơn là các cuộc quét chủ động. Hàm ý thực tế là con đường phổ biến nhất dẫn đến một cuộc điều tra của OPC là khiếu nại của người dùng, điều này làm cho việc xử lý khiếu nại có phản hồi và một hồ sơ kiểm toán có tài liệu trở nên đặc biệt quan trọng.

Thông báo tuân thủ trước khi phạt

Đạo luật năm 2020 trao cho OPC quyền ban hành thông báo tuân thủ yêu cầu biện pháp khắc phục cụ thể trong một khung thời gian nhất định. Hình phạt dân sự tồn tại nhưng thường là phương sách cuối cùng khi một thông báo bị bỏ qua hoặc vi phạm có chủ ý. Việc khắc phục thiện chí theo thông báo thường đóng vụ việc mà không có hậu quả tài chính.

Phối hợp với các cơ quan quản lý nước ngoài

OPC tham gia tích cực vào Global Privacy Assembly và duy trì mối quan hệ làm việc với EDPB, UK ICO và diễn đàn Asia Pacific Privacy Authorities. Các cuộc điều tra xuyên biên giới liên quan đến lưu lượng New Zealand và châu Âu ngày càng được xử lý thông qua các thủ tục phối hợp.

Danh sách Kiểm tra Tuân thủ Thực tế

Sáu câu hỏi cụ thể cần trả lời cho bất kỳ banner cookie nào phục vụ lưu lượng truy cập từ New Zealand.

• Có nút từ chối rõ ràng ở lớp đầu tiên không? Đường dẫn từ chối phải nằm trên cùng bề mặt với chấp nhận, với độ nổi bật trực quan tương đương. Cuộn trang thay cho đồng ý và chấp nhận ngầm không đáp ứng hướng dẫn năm 2025.
• Các danh mục có chi tiết không? Cần thiết, phân tích và tiếp thị phải được kiểm soát riêng biệt. Chấp nhận tất cả một lần mà không có tính chi tiết là một khiếm khuyết.
• Việc chuyển giao ra nước ngoài có được ghi chép không? Đối với mỗi cookie chuyển dữ liệu ra ngoài New Zealand, hãy xác định cơ chế IPP 12 cho phép việc chuyển giao đó.
• Thông báo quyền riêng tư có tuân thủ IPP 3 không? Xác nhận thông báo xác định mục đích, người nhận và hậu quả, và banner cookie có liên kết đến nó.
• Nhật ký đồng ý có đạt chuẩn kiểm toán không? Hồ sơ về quyết định đồng ý có dấu thời gian và phiên bản banner là thực tế cần thiết để phản hồi một cuộc điều tra của OPC.
• Quy trình phản hồi vi phạm đã được thiết lập chưa? Xác nhận rằng các sự cố liên quan đến cookie kích hoạt quy trình đánh giá vi phạm để xác định xem có cần thông báo cho OPC và các cá nhân hay không.

Vị trí của New Zealand trong Một Ngăn xếp Đa quyền tài phán

Đối với các nhà xuất bản hoạt động trên khắp thế giới nói tiếng Anh — Úc, UK, Canada, Mỹ và New Zealand — Privacy Act 2020 nằm vững chắc trong phạm vi phù hợp với GDPR mà các quyền tài phán nói tiếng Anh lớn đã hội tụ. Một kiến trúc CMP được xây dựng theo tiêu chuẩn châu Âu xử lý tuân thủ New Zealand với cấu hình nhỏ: hỗ trợ ngôn ngữ Te Reo Maori, tài liệu hóa chuyển giao IPP 12 và xử lý khiếu nại theo phong cách OPC là những bổ sung cụ thể đáng đầu tư. Giá trị chiến lược là New Zealand trong lịch sử đã được sử dụng làm «thị trường thử nghiệm» cho các lần ra mắt sản phẩm của các nhà vận hành SaaS quốc tế, điều đó có nghĩa là lập trường tuân thủ được triển khai ở đây thường là bản xem trước những gì phần còn lại của thế giới nói tiếng Anh sẽ thấy. Làm đúng ngay từ đầu là một lợi thế vận hành có ý nghĩa hơn là một bài tập bản địa hóa thông thường.