Соответствие новозеландскому Privacy Act 2020 с ConsentX

13 Information Privacy Principles

Privacy Act содержит 13 Information Privacy Principles, определяющих, как учреждения обращаются с персональной информацией:

• IPP 1, цель сбора: персональная информация должна собираться для законной цели, связанной с функциями или деятельностью учреждения, и сбор должен быть необходим для этой цели.
• IPP 2, источник персональной информации: информацию, как правило, следует собирать непосредственно у соответствующего лица, с учётом предусмотренных исключений.
• IPP 3, уведомление при прямом сборе: когда информация собирается непосредственно у человека, как правило, должны быть предприняты разумные шаги, чтобы объяснить, зачем она собирается, кто её получит, является ли её предоставление обязательным или добровольным и что произойдёт, если она не будет предоставлена.
• IPP 3A, уведомление при косвенном сборе: с 1 мая 2026 года организации, собирающие персональную информацию из другого источника, как правило, должны предпринимать разумные шаги, чтобы человек знал о факте сбора информации, цели сбора, предполагаемых получателях, соответствующих сведениях об учреждении, применимом правовом основании, а также о своих правах на доступ и исправление, с учётом исключений.
• IPP 4, честный и разумный сбор: персональная информация должна собираться законными средствами и способом, который является честным и разумным с учётом обстоятельств.
• IPP 5, хранение и безопасность: учреждения должны принимать разумные меры защиты персональной информации от утраты, несанкционированного доступа, использования, изменения, раскрытия или иного неправомерного использования.
• IPP 6, доступ: люди, как правило, имеют право запрашивать доступ к своей персональной информации.
• IPP 7, исправление: люди могут требовать исправления персональной информации, которая является неточной, неполной, вводящей в заблуждение или иным образом неверной.
• IPP 8, точность: перед использованием или раскрытием персональной информации учреждения должны предпринять разумные шаги, чтобы убедиться, что она точна, полна, относима и не вводит в заблуждение.
• IPP 9, хранение: персональную информацию не следует хранить дольше, чем это требуется для целей, в которых она может законно использоваться.
• IPP 10, использование: персональную информацию, как правило, следует использовать только для той цели, для которой она была собрана, с учётом предусмотренных исключений.
• IPP 11, раскрытие: учреждения должны контролировать раскрытие персональной информации и, как правило, раскрывать её только в случаях, разрешённых Privacy Act.
• IPP 12, раскрытие за рубеж: при раскрытии персональной информации организациям или лицам за пределами Новой Зеландии применяются особые требования.
• IPP 13, уникальные идентификаторы: использование и присвоение уникальных идентификаторов подчиняются дополнительным требованиям.

Требует ли Новая Зеландия согласия?

Нет. Privacy Act 2020 не устанавливает всеобъемлющего требования согласия для любой обработки персональной информации.

Закон основан прежде всего на Information Privacy Principles. Организация может собирать, использовать или раскрывать персональную информацию без получения согласия, если соответствующий IPP допускает такую деятельность.

Вместе с тем прозрачность и честный сбор остаются центральными требованиями. Организациям следует ясно объяснять, какую информацию они собирают, зачем собирают, кто может её получить и как она будет использоваться.

Согласие может сохранять значение в отдельных ситуациях, включая определённые случаи раскрытия, передачу за рубеж, маркетинговую деятельность либо случаи, когда согласие требуется другим применимым законом.

Согласие на cookie и отслеживание

В Новой Зеландии нет самостоятельного всеобъемлющего требования о согласии на cookie, аналогичного режимам согласия, существующим в некоторых других юрисдикциях.

Однако cookie и онлайн-отслеживание могут быть связаны со сбором, использованием или раскрытием персональной информации. Поэтому организациям следует оценить, соответствуют ли их практики сбора Information Privacy Principles, особенно требованиям, касающимся:

• Цели сбора
• Прозрачности
• Честности
• Безопасности
• Использования и раскрытия
• Сроков хранения

Для сайтов, использующих аналитику, рекламные технологии, пиксели, запись сессий или иные технологии отслеживания, понятное уведомление о конфиденциальности и отслеживании помогает объяснить, какая информация собирается и зачем.

Если согласие требуется по другому применимому закону, договорному требованию, правилу платформы или выбранной организацией системе комплаенса, ConsentX также может поддержать сбор согласия и подтверждение его получения.

Уведомления о конфиденциальности и прозрачность

Прозрачность является центральным требованием Privacy Act.

При прямом сборе персональной информации организациям, как правило, следует объяснить:

• Какая информация собирается
• Зачем собирается информация
• Кто получит информацию
• Является ли предоставление информации обязательным или добровольным
• Что может произойти, если человек её не предоставит

Введение IPP3A с 1 мая 2026 года добавляет аналогичные требования к прозрачности для косвенного сбора, с учётом предусмотренных исключений.

ConsentX может помочь организациям показывать краткие уведомления о сборе и отслеживании именно там, где информация собирается.

Косвенный сбор персональной информации: IPP3A

Одним из важнейших недавних изменений в новозеландском праве о конфиденциальности стал Information Privacy Principle 3A.

IPP3A применяется, когда организация собирает персональную информацию о человеке у кого-либо или чего-либо, отличного от самого этого человека.

В применимых случаях организация должна предпринять разумные шаги, чтобы человек знал:

• О факте сбора его информации
• О цели сбора
• О предполагаемых получателях
• О наименовании и адресе собирающего учреждения
• Об учреждении, которое хранит информацию
• О соответствующем законе, если сбор разрешён или требуется по закону
• О своих правах на доступ и исправление информации

IPP3A содержит исключения, поэтому организациям следует оценивать, подпадает ли конкретный случай сбора под исключение, а не рассматривать обязанность уведомления как универсальную.

Чувствительная персональная информация

Privacy Act не использует единую всеобъемлющую категорию «чувствительной персональной информации» так, как это делают некоторые другие законы о конфиденциальности.

Вместо этого честность и разумность сбора могут зависеть от таких факторов, как:

• Характер информации
• Цель сбора
• Соответствующее лицо
• Обстоятельства, в которых собирается информация
• Степень вмешательства в частную жизнь

Организациям следует проявлять особую осмотрительность при сборе информации, способной создать значительные риски для частной жизни, включая сведения о здоровье, финансах, биометрии, личности, данные детей и иную крайне личную информацию.

В Новой Зеландии также действуют отраслевые кодексы конфиденциальности, включая правила в отношении медицинской информации, телекоммуникационной информации, кредитной отчётности и обработки биометрических данных.

Права субъектов данных

Privacy Act предоставляет людям важные права в отношении их персональной информации.

Право на доступ. Люди могут запросить доступ к персональной информации, которая хранится о них. Учреждения, как правило, должны ответить на запрос о доступе в течение 20 рабочих дней, с учётом положений закона о продлении сроков и иных обстоятельствах.

Право на исправление. Люди могут требовать исправления персональной информации, которая является неточной, неполной, вводящей в заблуждение или иным образом неверной.

Право на жалобу. Люди могут подать жалобу в Office of the Privacy Commissioner, если считают, что их права на конфиденциальность были нарушены.

ConsentX может поддержать структурированный приём и управление процессом обработки запросов на доступ и исправление.

Конфиденциальность и безопасность

Учреждения должны принимать разумные меры защиты персональной информации от:

• Утраты
• Несанкционированного доступа
• Несанкционированного раскрытия
• Несанкционированного использования
• Изменения
• Иного неправомерного использования

Меры безопасности должны быть соразмерны характеру и чувствительности информации, а также связанным с ней рискам.

Организациям также следует поддерживать процессы выявления, локализации, расследования, документирования и реагирования на инциденты, связанные с конфиденциальностью.

Нарушения конфиденциальности, подлежащие уведомлению

Нарушение конфиденциальности становится подлежащим уведомлению, когда к персональной информации был получен несанкционированный доступ либо она была раскрыта, изменена, утрачена или уничтожена без разрешения, и есть разумные основания полагать, что затронутое лицо понесло или, вероятно, понесёт серьёзный вред.

О подлежащем уведомлению нарушении конфиденциальности необходимо сообщить в Office of the Privacy Commissioner в кратчайший практически возможный срок после того, как учреждению стало известно о соблюдении этих критериев.

В настоящее время OPC ожидает уведомления, как правило, в течение 72 часов, если обстоятельства не оправдывают иной срок. Сама формулировка закона использует выражение «в кратчайший практически возможный срок», а не устанавливает универсальный законный срок в 72 часа.

Может также потребоваться уведомление затронутых лиц.

ConsentX может помочь вести подтверждения и записи, поддерживающие расследование инцидентов конфиденциальности и процессы комплаенса.

Передача данных за рубеж

Information Privacy Principle 12 регулирует отдельные случаи раскрытия персональной информации за пределами Новой Зеландии.

Прежде чем осуществить охватываемое раскрытие за рубеж, организация, как правило, должна установить, что получатель:

• Подпадает под действие новозеландского Privacy Act
• Подпадает под действие законов о конфиденциальности, обеспечивающих сопоставимые гарантии
• Согласился обеспечить надлежащие гарантии конфиденциальности
• Охватывается применимым обязывающим механизмом или предписанной страной
• Либо что лицо разрешило раскрытие после того, как было прямо проинформировано о том, что информация может не получить сопоставимой защиты

Важно, что IPP12 не применяется автоматически к любому зарубежному облачному хранению или обработке. Когда зарубежный поставщик действует исключительно как агент для хранения или обработки, информация может по-прежнему рассматриваться как хранящаяся у новозеландского учреждения в соответствии с разделом 11.

Поэтому организациям следует различать раскрытие зарубежному получателю и использование зарубежного поставщика услуг в качестве агента.

Хранение и удаление данных

IPP9 ограничивает срок, в течение которого учреждения могут хранить персональную информацию.

Персональную информацию не следует хранить дольше, чем это требуется для целей, в которых она может законно использоваться.

Организациям следует выстроить надлежащие процессы хранения и уничтожения, основанные на:

• Цели обработки
• Законодательных и нормативных требованиях
• Договорных обязательствах
• Потребностях бизнеса
• Соображениях безопасности

Privacy Act не создаёт всеобъемлющего права на удаление в стиле GDPR. Тем не менее удаление или уничтожение может требоваться или быть уместным в определённых обстоятельствах.

Privacy officers

Каждое учреждение, на которое распространяется Privacy Act, обязано иметь privacy officer.

Privacy officer отвечает за содействие организации в соблюдении закона, обработку запросов на доступ и исправление и взаимодействие с Privacy Commissioner в ходе расследований.

Должность не требует определённой формальной квалификации, однако privacy officer должен понимать обязанности организации в сфере конфиденциальности и её практики обращения с информацией.

Кодексы практики в сфере конфиденциальности

Privacy Act даёт Privacy Commissioner возможность издавать кодексы практики, которые изменяют порядок применения принципов конфиденциальности к отдельным отраслям, организациям или видам информации.

Примеры включают:

• Health Information Privacy Code
• Credit Reporting Privacy Code
• Telecommunications Information Privacy Code
• Biometric Processing Privacy Code

Поэтому организациям, работающим в регулируемых отраслях, следует оценивать как Privacy Act, так и любой применимый кодекс конфиденциальности.

Биометрия и новые технологии

Новая Зеландия ввела специальные регуляторные требования в отношении обработки биометрических данных.

Biometric Processing Privacy Code 2025 вступил в силу 1 мая 2026 года с изменениями, отражающими введение IPP3A.

Организациям, использующим распознавание лиц, отпечатки пальцев, распознавание голоса, поведенческую биометрию или иные биометрические технологии, следует оценить, применяется ли Biometric Processing Privacy Code в дополнение к общим требованиям Privacy Act.