Cumplimiento de la Privacy Act 2020 de Nueva Zelanda con ConsentX

Los 13 Information Privacy Principles

La Privacy Act contiene 13 Information Privacy Principles que rigen cómo las entidades manejan la información personal:

• IPP 1, finalidad de la recopilación: la información personal debe recopilarse con una finalidad lícita relacionada con las funciones o actividades de la entidad, y la recopilación debe ser necesaria para esa finalidad.
• IPP 2, fuente de la información personal: la información debe recopilarse, por regla general, directamente de la persona afectada, con sujeción a las excepciones previstas.
• IPP 3, información en la recopilación directa: cuando la información se recopila directamente de una persona, deben adoptarse en general medidas razonables para explicar por qué se recopila, quién la recibirá, si facilitarla es obligatorio o voluntario y qué ocurre si no se facilita.
• IPP 3A, información en la recopilación indirecta: desde el 1 de mayo de 2026, las organizaciones que recopilen información personal de otra fuente deben adoptar en general medidas razonables para que la persona conozca que se recopiló su información, la finalidad de la recopilación, los destinatarios previstos, los datos pertinentes de la entidad, la base legal aplicable y sus derechos de acceso y corrección, con sujeción a las excepciones.
• IPP 4, recopilación justa y razonable: la información personal debe recopilarse por medios lícitos y de un modo justo y razonable atendiendo a las circunstancias.
• IPP 5, almacenamiento y seguridad: las entidades deben adoptar salvaguardas razonables para proteger la información personal frente a pérdida, acceso no autorizado, uso, modificación, divulgación u otro uso indebido.
• IPP 6, acceso: las personas tienen en general derecho a solicitar el acceso a su información personal.
• IPP 7, corrección: las personas pueden solicitar la corrección de información personal inexacta, incompleta, engañosa o de otro modo incorrecta.
• IPP 8, exactitud: antes de usar o divulgar información personal, las entidades deben adoptar medidas razonables para asegurar que sea exacta, completa, pertinente y no engañosa.
• IPP 9, conservación: la información personal no debe conservarse más tiempo del requerido para los fines para los que pueda usarse lícitamente.
• IPP 10, uso: la información personal solo debe usarse, por regla general, para la finalidad con la que se recopiló, con sujeción a las excepciones previstas.
• IPP 11, divulgación: las entidades deben controlar la divulgación de información personal y divulgarla en general solo en las circunstancias permitidas por la Privacy Act.
• IPP 12, divulgación al extranjero: se aplican requisitos específicos cuando la información personal se divulga a organizaciones o personas fuera de Nueva Zelanda.
• IPP 13, identificadores únicos: el uso y la asignación de identificadores únicos están sujetos a requisitos adicionales.

¿Nueva Zelanda exige consentimiento?

No. La Privacy Act 2020 no impone un requisito general de consentimiento para todo tratamiento de información personal.

La ley se basa principalmente en los Information Privacy Principles. Una organización puede recopilar, usar o divulgar información personal sin obtener consentimiento cuando el IPP aplicable permita la actividad.

No obstante, la transparencia y la recopilación justa son requisitos centrales. Las organizaciones deben explicar con claridad qué información recopilan, por qué la recopilan, quién puede recibirla y cómo se utilizará.

El consentimiento puede seguir siendo relevante en circunstancias concretas, incluidas determinadas divulgaciones, transferencias al extranjero, actividades de marketing o cuando otra ley aplicable exija consentimiento.

Consentimiento de cookies y seguimiento

Nueva Zelanda no cuenta con un requisito general e independiente de consentimiento de cookies equivalente a los regímenes de consentimiento existentes en algunas otras jurisdicciones.

Sin embargo, las cookies y el seguimiento en línea pueden implicar la recopilación, el uso o la divulgación de información personal. Por ello, las organizaciones deben valorar si sus prácticas de recopilación cumplen los Information Privacy Principles, en particular los requisitos relativos a:

• Finalidad de la recopilación
• Transparencia
• Equidad
• Seguridad
• Uso y divulgación
• Conservación

Para sitios web que utilizan analítica, tecnologías publicitarias, píxeles, grabación de sesiones u otras tecnologías de seguimiento, un aviso claro de privacidad y seguimiento puede ayudar a explicar qué información se recopila y por qué.

Cuando el consentimiento sea exigible con arreglo a otra ley aplicable, un requisito contractual, una norma de plataforma o el marco de cumplimiento elegido por la organización, ConsentX también puede dar soporte a la obtención y la evidencia del consentimiento.

Avisos de privacidad y transparencia

La transparencia es un requisito central de la Privacy Act.

Al recopilar información personal directamente, las organizaciones deben explicar en general:

• Qué información se recopila
• Por qué se recopila la información
• Quién recibirá la información
• Si facilitar la información es obligatorio o voluntario
• Qué puede ocurrir si la persona no la facilita

La introducción del IPP3A desde el 1 de mayo de 2026 añade requisitos de transparencia similares para la recopilación indirecta, con sujeción a las excepciones previstas.

ConsentX puede ayudar a las organizaciones a presentar avisos concisos de recopilación y seguimiento en el punto donde se recopila la información.

Recopilación indirecta de información personal: IPP3A

Uno de los desarrollos recientes más importantes en la privacidad neozelandesa es el Information Privacy Principle 3A.

El IPP3A se aplica cuando una organización recopila información personal sobre una persona a partir de alguien o algo distinto de la propia persona.

Cuando resulta aplicable, la organización debe adoptar medidas razonables para asegurar que la persona conozca:

• El hecho de que se ha recopilado su información
• La finalidad de la recopilación
• Los destinatarios previstos
• El nombre y la dirección de la entidad que recopila
• La entidad que conserva la información
• La ley pertinente cuando la recopilación esté autorizada o exigida por ley
• Sus derechos de acceso y corrección

El IPP3A contiene excepciones, por lo que las organizaciones deben valorar si una recopilación concreta encaja en una excepción en lugar de tratar la obligación de notificación como universal.

Información personal sensible

La Privacy Act no utiliza una única categoría integral de «información personal sensible» del modo en que lo hacen algunas otras leyes de privacidad.

En su lugar, el carácter justo y razonable de la recopilación puede depender de factores como:

• La naturaleza de la información
• La finalidad de la recopilación
• La persona afectada
• Las circunstancias en las que se recopila la información
• El grado de intromisión en la privacidad

Las organizaciones deben extremar el cuidado al recopilar información que pueda generar riesgos significativos para la privacidad, incluida información de salud, financiera, biométrica, de identidad, de menores u otra información altamente personal.

Nueva Zelanda cuenta además con códigos de privacidad sectoriales, con reglas que abarcan la información sanitaria, la información de telecomunicaciones, la información crediticia y el tratamiento biométrico.

Derechos de los interesados

La Privacy Act otorga a las personas derechos importantes sobre su información personal.

Derecho de acceso. Las personas pueden solicitar acceso a la información personal que se conserve sobre ellas. Las entidades deben en general responder a las solicitudes de acceso en un plazo de 20 días hábiles, con sujeción a las disposiciones de la ley sobre prórrogas y otras circunstancias.

Derecho de corrección. Las personas pueden solicitar la corrección de información personal inexacta, incompleta, engañosa o de otro modo incorrecta.

Derecho a reclamar. Las personas pueden presentar una reclamación ante la Office of the Privacy Commissioner cuando consideren que se han vulnerado sus derechos de privacidad.

ConsentX puede dar soporte a la recepción estructurada y la gestión del flujo de trabajo de las solicitudes de acceso y corrección.

Privacidad y seguridad

Las entidades deben adoptar salvaguardas razonables para proteger la información personal frente a:

• Pérdida
• Acceso no autorizado
• Divulgación no autorizada
• Uso no autorizado
• Modificación
• Otro uso indebido

Los controles de seguridad deben ser proporcionales a la naturaleza y sensibilidad de la información y a los riesgos implicados.

Las organizaciones también deben mantener procesos para identificar, contener, investigar, documentar y responder a los incidentes de privacidad.

Violaciones de privacidad notificables

Una violación de la privacidad pasa a ser notificable cuando se ha accedido a información personal, se ha divulgado, alterado, perdido o destruido sin autorización y resulta razonable creer que la persona afectada ha sufrido, o es probable que sufra, un daño grave.

Una violación de privacidad notificable debe comunicarse a la Office of the Privacy Commissioner tan pronto como sea posible después de que la entidad tenga conocimiento de que se cumplen los criterios.

La OPC espera actualmente que la notificación se realice por lo general en un plazo de 72 horas, salvo que existan circunstancias que justifiquen un plazo distinto. La propia redacción legal emplea «tan pronto como sea posible» en lugar de establecer un plazo legal universal de 72 horas.

También puede ser necesario notificar a las personas afectadas.

ConsentX puede ayudar a mantener evidencias y registros que respalden la investigación de incidentes de privacidad y los flujos de trabajo de cumplimiento.

Transferencias de datos al extranjero

El Information Privacy Principle 12 regula determinadas divulgaciones de información personal fuera de Nueva Zelanda.

Antes de realizar una divulgación al extranjero cubierta, la organización debe en general acreditar que el destinatario:

• Está sujeto a la Privacy Act de Nueva Zelanda
• Está sujeto a leyes de privacidad que ofrecen salvaguardas comparables
• Ha aceptado proporcionar salvaguardas de privacidad adecuadas
• Está cubierto por un esquema vinculante aplicable o por un país prescrito
• O bien que la persona ha autorizado la divulgación tras haber sido informada expresamente de que la información puede no recibir una protección comparable

Es importante señalar que el IPP12 no se aplica automáticamente a todo acuerdo de almacenamiento o tratamiento en la nube en el extranjero. Cuando un proveedor extranjero actúa únicamente como agente para almacenamiento o tratamiento, la información puede seguir considerándose conservada por la entidad neozelandesa conforme a la sección 11.

Las organizaciones deben, por tanto, distinguir entre la divulgación a un destinatario extranjero y el uso de un proveedor de servicios extranjero como agente.

Conservación y eliminación de datos

El IPP9 limita durante cuánto tiempo pueden las entidades conservar información personal.

La información personal no debe conservarse más tiempo del requerido para los fines para los que pueda usarse lícitamente.

Las organizaciones deben establecer procesos adecuados de conservación y eliminación basados en:

• La finalidad del tratamiento
• Los requisitos legales y regulatorios
• Las obligaciones contractuales
• Los requisitos del negocio
• Las consideraciones de seguridad

La Privacy Act no crea un derecho de supresión general al estilo del RGPD. No obstante, la eliminación o destrucción puede ser exigible o apropiada en determinadas circunstancias.

Privacy officers

Toda entidad cubierta por la Privacy Act debe contar con un privacy officer.

El privacy officer es responsable de ayudar a la organización a cumplir la ley, atender las solicitudes de acceso y corrección y colaborar con el Privacy Commissioner durante las investigaciones.

El puesto no exige una titulación formal concreta, pero el privacy officer debe conocer las obligaciones de privacidad de la organización y sus prácticas de manejo de información.

Códigos de práctica en materia de privacidad

La Privacy Act faculta al Privacy Commissioner para dictar códigos de práctica que modifican cómo se aplican los principios de privacidad a sectores, organizaciones o tipos de información concretos.

Algunos ejemplos son:

• Health Information Privacy Code
• Credit Reporting Privacy Code
• Telecommunications Information Privacy Code
• Biometric Processing Privacy Code

Las organizaciones que operan en sectores regulados deben, por tanto, evaluar tanto la Privacy Act como cualquier código de privacidad aplicable.

Biometría y tecnologías emergentes

Nueva Zelanda ha introducido requisitos regulatorios específicos en torno al tratamiento biométrico.

El Biometric Processing Privacy Code 2025 entró en vigor el 1 de mayo de 2026, con modificaciones que reflejan la introducción del IPP3A.

Las organizaciones que utilicen reconocimiento facial, huellas dactilares, reconocimiento de voz, biometría conductual u otras tecnologías biométricas deben evaluar si el Biometric Processing Privacy Code se aplica además de los requisitos generales de la Privacy Act.