Le Privacy Act 2020 néo-zélandais : ce qu’il implique pour les cookies

Qu’est-ce que le Privacy Act 2020 ?

Le Privacy Act 2020 est la loi générale néo-zélandaise sur la vie privée. Il a été promulgué le 30 juin 2020, a remplacé le Privacy Act 1993 et s’applique depuis le 1er décembre 2020. Il repose sur treize principes de protection des informations (information privacy principles, IPP), quatorze aujourd’hui, qui encadrent la manière dont les organismes collectent, conservent, utilisent et communiquent les informations personnelles. L’Office of the Privacy Commissioner (OPC) en assure la supervision. La loi de 2020 a ajouté la notification obligatoire des violations graves de la vie privée, les avis de mise en conformité et de nouvelles règles pour l’envoi d’informations à l’étranger.

Le Privacy Amendment Act 2025 (2025 No 53) est devenu loi en septembre 2025. Son principal apport est un nouveau principe, l’IPP 3A, sur les informations personnelles collectées indirectement, entré en vigueur le 1er mai 2026 et applicable aux informations personnelles collectées à partir de cette date.

À qui s’applique le Privacy Act ?

La loi s’applique aux organismes (agencies), un terme qui couvre presque toute personne ou organisation, publique ou privée, de toute taille. Il n’y a pas d’exemption pour les petites entreprises. La section 4 l’étend aux organismes étrangers pour tout acte accompli dans le cadre d’une activité exercée en Nouvelle-Zélande, quel que soit le lieu où les informations ont été collectées ou sont détenues et quel que soit le lieu où se trouve la personne concernée. La loi précise qu’un organisme peut exercer une activité en Nouvelle-Zélande sans être une entreprise commerciale, sans y avoir d’établissement, sans recevoir de paiement ni chercher à réaliser de profit. Un site étranger qui vise des clients néo-zélandais devrait considérer qu’il est couvert.

Les cookies exigent-ils un consentement en Nouvelle-Zélande ?

Non. La loi n’a pas de règle sur les cookies et, contrairement au modèle européen, aucune exigence générale d’obtenir un consentement avant de collecter des informations personnelles. Les cookies et traceurs relèvent de la loi lorsque les informations qu’ils collectent concernent une personne identifiable, ce qui est souvent le cas dès que des identifiants sont reliés à un compte, une adresse e-mail ou un profil détaillé. Les principes qui comptent sont les suivants :

• IPP 1 : ne collecter des informations personnelles que pour une finalité licite liée aux fonctions de l’organisme, et seulement si la collecte est nécessaire à cette finalité.
• IPP 3 : lors d’une collecte auprès de la personne, prendre des mesures raisonnables pour l’informer de la collecte, de sa finalité, des destinataires prévus, du nom et de l’adresse de l’organisme, du caractère facultatif ou non de la fourniture des informations, et de ses droits d’accès et de rectification. Pour un site web, ce sont la déclaration de confidentialité et tout avis de collecte.
• IPP 3A : lors d’une collecte auprès d’un tiers, informer la personne après la collecte (voir ci-dessous).
• IPP 4 : collecter par des moyens licites, loyaux et pas excessivement intrusifs, avec une attention particulière pour les enfants et les jeunes.
• IPP 10 et 11 : n’utiliser et ne communiquer les informations que pour les finalités pour lesquelles elles ont été collectées, sous réserve d’exceptions.

Le consentement figure tout de même dans la loi comme l’une des exceptions qui permettent d’autres utilisations ou communications, et comme bonne pratique pour les suivis intrusifs. Le marketing par e-mail et par SMS relève séparément de l’Unsolicited Electronic Messages Act 2007, qui exige le consentement du destinataire.

Que change l’IPP 3A ?

L’IPP 3A s’applique lorsqu’un organisme collecte des informations personnelles sur une personne auprès d’une autre source que cette personne, qu’il s’agisse d’un autre organisme, d’un partenaire de données ou d’une liste. L’organisme doit prendre des mesures raisonnables pour informer la personne de la collecte, de sa finalité, des destinataires prévus, du nom et de l’adresse des organismes qui collectent et détiennent les informations, de toute loi qui autorise la collecte, et des droits d’accès et de rectification. Cela doit se faire dès que cela est raisonnablement possible après la collecte, sauf si la personne a déjà été informée.

Les exceptions couvrent notamment les informations accessibles au public, les cas où l’absence d’information ne porterait pas atteinte aux intérêts de la personne, ceux où informer n’est pas raisonnablement possible, et ceux où les informations ne seront pas utilisées sous une forme qui identifie la personne. Les lignes directrices de l’OPC indiquent que l’exception d’absence d’atteinte ne devrait être utilisée que pour des cas courants et à faible risque. Une entreprise qui reçoit des données de clients ou d’audience de plateformes publicitaires, de courtiers en données ou de partenaires marketing devrait vérifier si elle doit désormais une information.

Comment les transferts à l’étranger sont-ils encadrés ?

L’IPP 12 régit la communication d’informations personnelles à une personne ou entité étrangère. Elle est permise lorsque la personne l’autorise après avoir été expressément informée que le destinataire pourrait ne pas protéger les informations par des garanties comparables, lorsque le destinataire exerce une activité en Nouvelle-Zélande et est soumis à la loi, lorsque le destinataire est soumis à des lois sur la vie privée offrant des garanties comparables, relève d’un dispositif contraignant ou d’un pays désignés par règlement, ou est tenu par ailleurs de protéger les informations de manière comparable, par exemple par contrat. Envoyer des données à un fournisseur de cloud qui ne fait que les stocker ou les traiter pour le compte de l’organisme n’est pas une communication, car l’organisme en reste responsable.

Qui fait appliquer la loi, et quelles sont les sanctions ?

Le Privacy Commissioner instruit les plaintes, peut émettre des avis de mise en conformité qui imposent à un organisme de faire ou de cesser de faire quelque chose, et peut renvoyer des affaires devant le Human Rights Review Tribunal, qui peut accorder des dommages-intérêts. Refuser de se conformer à un avis de mise en conformité est une infraction. Les amendes pénales de la loi sont modestes : jusqu’à 10 000 NZ$ pour le fait de ne pas notifier sans excuse raisonnable au Commissioner une violation de la vie privée à déclarer (section 118), et jusqu’à 10 000 NZ$ pour le fait d’entraver le Commissioner, d’induire un organisme en erreur pour obtenir les informations d’autrui ou de détruire des informations demandées (section 212).

Les avis de mise en conformité ont jusqu’ici porté sur la sécurité et les violations de données. Le 15 septembre 2021, l’OPC a annoncé un avis de mise en conformité adressé à la Reserve Bank of New Zealand après qu’une cyberattaque de décembre 2020 a révélé des faiblesses dans l’un de ses systèmes tiers, l’obligeant à prendre des mesures pour respecter l’IPP 5 sur la sécurité. Aucune mesure n’a visé les cookies.

Que doit faire un site qui s’adresse à la Nouvelle-Zélande ?

• Publier une déclaration de confidentialité qui nomme les outils de mesure d’audience et de publicité utilisés, ce qu’ils collectent et où vont les données.
• Ne collecter que ce dont vous avez besoin et éviter les suivis excessivement intrusifs, en particulier des jeunes.
• Vérifier si les données que vous recevez de partenaires déclenchent une information au titre de l’IPP 3A.
• Revoir les communications à des prestataires étrangers au regard de l’IPP 12.

La Nouvelle-Zélande ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet, ce qui est exact : aucune règle de consentement ne s’y applique. Le ciblage géographique est gratuit dans chaque offre : vous pouvez donc tout de même ajouter la Nouvelle-Zélande à une liste personnalisée pour donner aux visiteurs une information et un vrai choix sur les cookies publicitaires, ce choix étant conservé dans le registre des consentements. Voir le Privacy Act australien pour les règles voisines, et le RGPD si vous avez aussi des visiteurs européens.