新西兰和澳大利亚的 AI 营销与隐私法：服务商必须如何对待你的数据。

01把客户数据交给 AI 营销服务商安全吗？

安全的前提是：服务商只拿一项工作需要的数据，使用不会保留或用数据做训练的 AI 工具，依据限定用途的书面合同开展工作，并能告诉你数据在哪里处理。根据新西兰和澳大利亚的隐私法，你的企业对交出去的客户信息始终负有责任。

聘请服务商，并不会把法律责任转移给对方。新西兰隐私专员（Privacy Commissioner）关于云服务的指引说得很直接：在大多数情况下，你仍要对放在服务商那里的个人信息负责。澳大利亚经由另一条路径得出相近的结论，下文关于海外处理的部分会讲到。

本指南是对监管机构公开发布的法律内容的一般性介绍，不构成法律意见。如果合同金额可观，或涉及健康信息这类敏感数据，请隐私律师审阅。在此之前该问哪些问题，选择 AI 营销服务商指南讲了匹配度、范围和价格。

02新西兰和澳大利亚适用哪些隐私法？

在新西兰，《2020 年隐私法》（Privacy Act 2020）适用于每一家处理个人信息的企业，无论规模大小；垃圾信息则由《2007 年未经请求电子信息法》（Unsolicited Electronic Messages Act 2007）管辖。在澳大利亚，《1988 年隐私法》（Privacy Act 1988）及其 13 条澳大利亚隐私原则（Australian Privacy Principles，APP）覆盖大多数营业额超过 AUD 300 万 的企业，《2003 年垃圾信息法》（Spam Act 2003）则覆盖所有人。

新西兰的《隐私法》以信息隐私原则（IPP）为基础。隐私专员列出了 14 条原则，即原有的 13 条加上 2026年5月1日起生效的 IPP 3A¹。对营销最重要的是：关于存储与安全的 IPP 5、关于使用限制的 IPP 10、关于披露的 IPP 11，以及关于向新西兰境外披露的 IPP 12。如果服务商会用其他来源补充你的客户记录，IPP 3A 就很关键：隐私专员 2025年9月的公告解释，IPP 3A 要求在信息并非从本人处收集时，采取合理措施告知本人²。

澳大利亚的门槛决定了谁受约束。澳大利亚信息专员办公室（OAIC）把小企业定义为年营业额 AUD 300 万 或以下的企业，并列出了无论规模大小都受约束的企业，包括医疗服务提供者和买卖个人信息的企业³。买卖联系人名单的营销服务商，即使规模很小，也可能落入该法的范围。服务商自身的身份和你的身份同样重要。

03AI 接触个人信息时，监管机构有什么要求？

两国监管机构都发布了关于 AI 工具的指引。新西兰隐私专员要求获得管理层批准、做隐私影响评估、保持透明，并在依据产出行事之前由人审核。澳大利亚 OAIC 建议不要把个人信息放进公开可用的 AI 工具，并核查产品条款是否允许供应商用你的输入做训练。

隐私专员 2023年6月发布的生成式 AI 要求，请各机构获得高层管理者批准、进行隐私影响评估、在依据产出行事之前由人审核，并且除非服务商已确认不会保留或披露，否则不要输入个人信息或机密信息⁴。隐私专员更全面的 AI 页面指出，《隐私法》适用于在新西兰使用 AI 工具的每一个人，并建议在拿不准时，不要用 AI 工具处理个人信息⁵。

OAIC 关于商用 AI 产品的指引于 2024年10月发布、2025年1月更新，指出隐私义务适用于输入 AI 系统的任何个人信息，并建议不要把个人信息输入公开可用的 AI 工具⁶。同一指引要求企业更新隐私政策，说明自己如何使用 AI，并提醒有些产品的条款或设置允许供应商收集输入用于进一步训练。

对营销服务商来说，这些要求可以落成一条工作规则：凡是用客户数据起草、分类或打分的智能体，都运行在关闭了训练功能的企业级 AI 账户上，任何内容在到达客户之前都由人审核。术语表中的人工把关（human in the loop）词条介绍了这个审核环节。

04AI 营销服务商需要哪些数据，哪些数据永远用不到？

大多数 AI 营销工作依靠的是企业信息、汇总数据和少量联系人字段。搭建搜索、内容或报告智能体的服务商，几乎用不到单个客户的记录。主动外联和跟进智能体需要姓名、工作邮箱和同意状态。几乎没有哪项营销工作需要支付信息、政府证件号码或健康信息。

有两个习惯能让数据保持最少。在你自己的系统里给服务商开通访问权限，用它专属的登录账号，只授予工作需要的权限，避免通过邮件发送导出文件。如果智能体只需要规律，比如哪些咨询会成交，就在数据离开 CRM 之前去掉姓名。隐私专员的指引明确提到，去除身份信息是把个人信息输入生成式 AI 工具之外的另一种做法。

05AI 供应商在海外处理你的数据时会怎样？

大多数 AI 模型运行在新西兰和澳大利亚境外的服务器上。在新西兰，把数据发给只替你处理数据的海外服务商，不构成 IPP 12 下的披露。在澳大利亚，如果合同让你保持有效控制，海外云服务安排在 APP 8 下可以算作使用，不算披露。

新西兰的立场来自隐私专员的 IPP 12 指引：使用海外云服务商或其他代理人存储或处理数据，不视为披露，只要代理人不把信息用于它自己的目的⁷。如果 AI 供应商把你的输入用于自己的目的，比如训练模型，这次传输就落入 IPP 12 的范围。这时你需要有合理依据相信接收方提供了相当的保护，通常通过合同实现，比如隐私专员的示范条款；或者在明确告知当事人其信息可能得不到新西兰标准的保护之后，取得每个人的授权。

澳大利亚对同类安排的检验更具体。OAIC 于 2025年10月更新的 APP 8 指南说明，把数据交给海外云服务商可以算作使用，条件是有约束力的合同把处理限定在这些目的之内、分包商承担同样的义务，并且企业保持有效控制⁸。如果构成披露，APP 8.1 要求采取合理措施，确保接收方不违反 APP；第 16C 条则让你的企业为接收方的违规负责。

实际操作中，问清楚服务商使用哪些 AI 供应商，各自在哪里处理数据，是否关闭了用输入做训练的功能，以及这些条款是否写在你能看到的合同里。

06反垃圾信息法如何适用于 AI 写的邮件和短信？

反垃圾信息法适用于所有商业信息，无论是怎么写出来的，所以 AI 智能体起草的邮件和手写的邮件遵守同样的规则。两国都要求获得同意、提供准确的发件人信息，并设置有效的退订方式，在五个工作日内执行退订。责任始终在营销所属的企业。

新西兰内政部（Department of Internal Affairs，DIA）列出了三个步骤：取得明示、推定或视同的同意；清楚标明负责的企业；提供有效的退订方式并在五个工作日内执行⁹。DIA 提醒，不遵守规定可能面临最高 NZD 500,000 的罚款¹⁰。

澳大利亚通信和媒体管理局（ACMA）关于《垃圾信息法》的指引说明，发送前必须获得同意，第三方代你发送时同样适用，而且不能发送电子信息来征求同意¹¹。夹带营销内容的信息也算。2026年3月，ACMA 因 Lululemon 发送了 37 万多封夹带营销内容却没有退订方式的订单和配送邮件，对其处以 AUD 702,900 的罚款¹²。AI 智能体在服务邮件里加上一条产品推荐，这封邮件就变成了商业信息。

主动外联销售自动化指南介绍了如何在外联智能体发出任何内容之前，把同意记录和退订处理搭建进去。

07应该要求 AI 营销服务商在合同里写哪些条款？

要求签一份数据处理协议，或在主合同里写入同等条款。数据处理协议是一份合同，规定服务商可以如何处理它为你经手的个人信息。它应当用你能核对的平实语言，涵盖用途、训练、地点、分包商、安全、泄露通知、删除和归属。

• 用途限制：服务商只把你的数据用于交付约定的范围，不用于它自己的任何目的。
• 禁止训练：你的数据和产出不用于训练服务商或任何供应商的模型，并确认已采用企业级设置。
• 供应商清单：每一家接触个人信息的 AI 模型供应商和分包商、各自处理数据所在的国家，以及任何变更前的通知。
• 安全：通过你系统中的具名账号访问，按最小权限授权，客户数据不进入个人账户或公开的 AI 工具。
• 泄露通知：服务商在发现泄露后的约定小时数内通知你，让你能履行自己的报告义务。
• 归还与删除：工作结束时，归还或删除你的数据，并给出书面确认。
• 归属：账户、名单、提示词、智能体指令和产出都归你的企业所有。
• 反垃圾信息合规：保留同意记录和退订处理记录，没有记录在案的同意依据，不向任何名单发送内容。

泄露条款之所以重要，是因为时限是算在你头上的。新西兰隐私专员要求，应通报的隐私泄露要尽快报告，并在知道其属于应通报情形后的 72 小时内完成¹³。澳大利亚的应通报数据泄露计划（Notifiable Data Breaches scheme）给受约束的企业 30 天评估疑似泄露，一旦认定发生了符合条件的泄露，就要求尽快通报¹⁴。

08聘请 AI 营销服务商的隐私核对清单

分享任何客户数据之前，先用这份清单逐项核对。每一行都注明了在新西兰和澳大利亚所依据的原则，如果服务商有异议，你可以找到监管机构的指引。能迅速逐行书面回答的服务商，以前做过这件事。

关于各国的具体情况，新西兰企业 AI 营销服务和澳大利亚团队 AI 营销服务两个页面介绍了塔斯曼海两岸各有哪些不同。

09澳大利亚隐私法正在发生哪些变化？

澳大利亚的两阶段改革已经进行到一半。第一阶段于 2024年底通过：针对严重侵犯隐私的法定侵权诉由于 2025年6月开始实施，自动化决策透明度要求将于 2026年12月10日开始实施。第二阶段于 2026年8月以征求意见稿形式发布，目前仍是草案。

OAIC 确认，针对严重侵犯隐私的法定侵权诉由已于 2025年6月10日开始实施¹⁵。OAIC 2026年5月的咨询确认，从 2026年12月10日起，受该法约束、并在可能影响个人权利或利益的自动化决策中使用个人信息的企业，必须在隐私政策中说明这类决策和信息的种类¹⁶。如果某个智能体决定谁能收到优惠，或某人看到什么价格，请核查它是否在范围之内。

澳大利亚总检察长部（Attorney-General's Department）于 2026年8月31日就《2026 年隐私修正（个人数据保护）法案》（Privacy Amendment (Personal Data Protection) Bill 2026）征求意见稿启动咨询，9月18日截止提交意见，并表示该草案仍有待政府进一步审议¹⁷。草案提出区分控制者和处理者，对代表控制者行事的处理者设有例外，并重写 APP 7，要求直销提供简单的退出方式。在草案通过之前，按现行法律做规划。

10Flow AI 的位置

Flow AI 为新西兰和澳大利亚的企业提供 AI 营销服务。Amber Lan 是奥克兰的 AI 营销工程师，她和你的团队一起搭建负责搜索、内容、主动外联和报告的 AI 智能体，然后交接给你。

每次搭建都从书面范围说明开始，这里正适合一起商定每个智能体可以接触哪些数据；最后以文档化交接结束，让你的团队拥有并运行这套系统。智能体模板是公开的，所以在分享任何数据之前，你就能先看看智能体是如何被指示的。正在招聘营销工程师的公司，欢迎就岗位联系 Amber。

11简短版本

把客户数据交给 AI 营销服务商是安全的，前提是服务商只拿每项工作需要的数据，不把数据放进会保留或用其训练的 AI 工具，并签署合同，限定用途、列明供应商、约定泄露通知和删除条款。在两国，责任都始终在你的企业，海外处理也包括在内。

反垃圾信息法适用于每一条 AI 写的信息，所以同意记录和有效的退订方式要在第一次发送之前到位。想了解这些如何融入更大的计划，小企业 AI 营销转型指南列出了工作的先后顺序。

想一起规划智能体搭建的范围，并从一开始就写进数据规则，和 Amber 聊聊。