[IN CONFIDENCE RELEASE EXTERNAL] 
 
25OIA1317 
 
 
 
03 October 2024 
 
Shane Gibson 
[FYI request #28360 email] 
 
Dear Shane Gibson 
 
 
Thank you for your request made under the Official Information Act 1982 (OIA), received on 11 
September 2024. You requested the following:  
Please provide a copy of the Privacy Impact Assessment that was done as part of this 
data sharing arrangement. 
Inland Revenue takes privacy very seriously. We have not leaked or sold any taxpayer 
information.   
We advertise on social media because it is an effective tool to inform customers of their tax 
obligations or entitlements like Working for Families and FamilyBoost. Using custom audience 
lists on social media allows organisations to securely upload de-identified information (referred 
to as hashed information) for direct marketing purposes. We have used custom audience lists 
on Meta (Facebook and Instagram), LinkedIn and Google. 
On 12 September we paused the use of custom audience lists while we undertake an internal 
review of this practice (undertaken by our Chief Information Security Office (CISO)). We did this 
due to public concern and to provide reassurance that we take the public’s concerns seriously. 
We are also working with the Office of the Privacy Commissioner who are assessing whether 
there are any privacy issues with hashing. 
The New Zealand Information Security manual, which is maintained by the Government 
Communications Security Bureau (GCSB), has guidelines on information assurance and systems 
security. Our standards with relation to hashing operate within these guidelines. 
More information on our use of custom audience lists,  including  how  this complies with the 
Privacy Act 2020, is on our website at www.ird.govt.nz/customaudiencelists. This page will be 
updated when the review has been completed or if we have further information to share. 
Information requested 
A privacy impact assessment helps identify whether a project will impact on people and their 
information, how any risk can be reduced and ensures the project complies with the Privacy Act 
2020. 
The following privacy impact assessments are enclosed as Appendix A: 
Page 1 of 2 

---

[IN CONFIDENCE RELEASE EXTERNAL] 
 
25OIA1317 
 
Date 
Document Title 
Decision 
1.    September 2016 
Use of Facebook’s Custom Audience for 
Released in full. 
advertising campaigns – Brief Privacy 
Analysis 
2.    September 2024 
Use of Custom Audience on social media for  Released in full. 
advertising campaigns – Privacy Threshold 
Assessment 
Inland Revenue conducted a privacy impact assessment in 2016. In September 2024, Inland 
Revenue conducted a new privacy impact assessment to assess the use of custom audience on 
social media for advertising campaigns. This version contains more detail, but the privacy impact 
rating is the same. 
Right of review 
If you disagree with my decision on your OIA request, you can ask an Inland Revenue review 
officer to review my decision. To ask for an internal review, please email the Commissioner of 
Inland Revenue at: [email address].  
Alternatively, under section 28(3) of the OIA, you have the right to ask the Ombudsman to 
investigate and review my decision. You can contact the office of the Ombudsman by email at: 
[email address].  
If you choose to have an internal review, you can still ask the Ombudsman for a review.
Thank you again for your request.  
 
Yours sincerely 
 
 
 
 
 
Pip Knight 
Service Leader, Marketing & Communications 
Page 2 of 2 

---