很多隐私法义务，早在律师看到系统之前，就已经在表结构、日志默认设置和集成代码里决定了。下面是我们从工程师的角度对《2020年隐私法》的理解。本文只是一般性信息，不构成法律意见。
少收集
IPP 1规定，只能为与机构职能相关的合法目的收集个人信息，且必须是该目的所必需。目的不需要身份信息时，就不能强制要求提供。
对工程师来说，每个必填字段和存储属性都要有理由。无意中收集的同样要当心：调试日志里的请求体、分析数据、客服截图，都算收集。
定好期限，然后自动执行
IPP 9要求保存时间不得超过目的所需。它没有规定固定年限，所以要自己确定，同时留意其他法律可能要求保留某些记录。
为每类数据定保留期和负责人，再用定时任务执行删除。别忘了副本：日志、数据仓库、用生产数据恢复的预发布库，还有备份。
为查阅和更正做好准备
IPP 6赋予个人查阅权，IPP 7涉及更正。隐私专员的请求处理指引指出，一般须在20个工作日内答复。
要在十几个系统里找全一个人的数据，没有工程准备就又慢又容易错。维护一张数据地图，记下个人信息在哪、各系统以什么为键。提前做好内部导出功能，并核实请求人身份。
弄清应通报泄露的标准
隐私泄露包括未经授权或意外的访问、披露、篡改、丢失或销毁，也包括导致机构暂时或永久无法访问信息的行为。所以即使数据没被复制，勒索软件也可能构成隐私泄露。
如果有合理理由相信泄露已对受影响的个人造成严重损害（serious harm）或可能造成严重损害，就属于应通报泄露。第113条要求考虑：
- 为降低损害风险已采取的措施。
- 信息是否敏感。
- 可能造成的损害性质。
- 谁已经或可能获得信息。
- 信息是否受安全措施保护。
- 其他相关因素。
法律要求在知悉后尽快（as soon as practicable）通知隐私专员和受影响的个人。隐私专员的指引进一步提出，期望在意识到泄露属于应通报情形后72小时内通报，并说明这只是指引。员工或代理人知道的事视同机构知道，所以工程师发现问题就可能算数，哪怕隐私官还没听说。通报可以分阶段进行，NotifyUs工具可协助评估和报告。无合理理由不通知隐私专员属于犯罪，最高罚款1万新西兰元。
访问日志应能显示哪些记录被碰过，“查不出来”会让评估难得多。加密也只有在密钥没有一并泄露时才有帮助。
境外披露
IPP 12限制向新西兰境外披露个人信息。大致上，要有合理理由相信接收方会提供与本法相当的保护，或者具备其他法定依据，比如当事人在被告知风险后授权。隐私专员发布的示范合同条款是一种做法。
云托管多数情况下另当别论。隐私专员的指引解释，根据第11条，服务商作为代理人持有的信息一般视为由你持有，除非服务商为自身目的使用或披露。无论服务器在哪，责任都在你。要留意供应商条款中关于产品改进或模型训练的内容，它们可能改变结论。
IPP 3A改变了集成工作
IPP 3A由《2025年隐私修正法》增加，自2026年5月1日起生效。从个人以外的来源收集其个人信息时，除非适用例外，须在收集后尽快采取合理措施让当事人知道：
- 信息已被收集，以及收集目的。
- 预期接收方。
- 机构的名称和地址。
- 授权或要求收集的法律（如有）。
- 其查阅和更正权利。
指引确认，该原则只适用于2026年5月1日起收集的信息，且涵盖任何间接来源。合作方API、CRM导入、数据补全服务和购买的名单都要查。例外包括当事人已知情、信息已公开等，但必须能说明依据。
实际做法是把来源、收集日期和通知状态与间接收集的记录存在一起。
本周可以做的事
- 列出所有含个人信息的入站数据源，标明由谁通知当事人。
- 在日志里搜索本不打算存储的邮箱地址和姓名。
- 选一类数据，把保留规则写进定时任务。
- 问问值班工程师，是否知道自己发现隐私泄露时，通报时限可能已经开始计算。