Бърз отговор: Австралийският закон за поверителността от 1988 г. регулира как организациите събират, използват, съхраняват и разкриват лична информация. Той се прилага за повечето австралийски правителствени агенции и организации от частния сектор с годишен оборот над 3 милиона AUD, въпреки че много по-малки субекти също са обхванати. 13-те австралийски принципа за поверителност (APPs) на Закона формират оперативната основа за съответствие, а последните изменения от 2026 г. значително увеличиха наказанията и правомощията за прилагане.
Основни изводи
- Законът за поверителността от 1988 г. се администрира от Службата на австралийския комисар по информацията (OAIC) и се прилага за "APP субекти", повечето федерални агенции и квалифицирани частни организации.
- 13-те австралийски принципа за поверителност обхващат целия жизнен цикъл на данните: събиране, използване, разкриване, качество, сигурност и права за достъп на индивидите.
- Максималните граждански наказания за сериозни или повтарящи се нарушения са значително увеличени съгласно последните изменения, което доближава Австралия до нивото на прилагане на GDPR [4].
- Схемата за уведомяване за пробиви на данни (NDB) изисква засегнатите субекти да уведомяват както OAIC, така и засегнатите лица, когато пробивът е вероятно да причини сериозна вреда [5].
- Законово нарушение за сериозни посегателства върху поверителността беше въведено съгласно Закона за изменение на поверителността и други закони от 2024 г., давайки на индивидите пряко правно средство за защита [4].
- Изискванията за прозрачност при автоматизираното вземане на решения влизат в сила на 10 декември 2026 г., като изискват от APP субектите да разкриват как алгоритмите засягат индивидите [1].
- Проект на Кодекс за онлайн поверителност на децата беше публикуван на 31 март 2026 г., като прилагането е планирано за декември 2026 г. [2].
- OAIC постанови през юни 2026 г., че доставчици на здравни услуги, използващи пиксели за проследяване на трети страни без съгласие, са нарушили Закона за поверителността [3].
- Малките предприятия под прага от 3 милиона долара оборот все още могат да бъдат обхванати, ако обработват здравна информация, търгуват с лични данни или предоставят определени договорни услуги.
- Политиката за поверителност е законово изискване за всички APP субекти и трябва да отговаря на специфични стандарти за съдържание съгласно APP 1.
Какво представляват австралийските принципи за поверителност и как работят те
13-те австралийски принципа за поверителност (APPs), изложени в Приложение 1 на Закона за поверителността от 1988 г., са основните правила, регулиращи как APP субектите обработват лична информация. Всеки принцип разглежда отделна фаза или аспект на обработката на данни, а неспазването на който и да е от тях може да доведе до регулаторни действия.
APPs са групирани в пет функционални клъстера:
| Клъстер | Обхванати APPs | Фокусна област |
|---|---|---|
| Разглеждане на поверителността на личната информация | APP 1-2 | Открито управление, анонимност |
| Събиране на лична информация | APP 3-4 | Законно събиране, нежелани данни |
| Работа с лична информация | APP 5-8 | Уведомяване, използване, разкриване, трансфер в чужбина |
| Цялост на личната информация | APP 9-10 | Качество, сигурност |
| Достъп и корекция | APP 11-13 | Идентификатори, достъп, корекция |
Как работят на практика: Организация, която събира имейл адрес на клиент, трябва да спазва APP 3 (събира само необходимото), APP 5 (уведомява лицето за събирането), APP 6 (използва го само за основната цел, освен ако не се прилага изключение) и APP 11 (съхранява го сигурно). Нарушаването на някое от тези правила само по себе си представлява нарушение.
Кой трябва да спазва австралийския закон за поверителността
Законът за поверителността се прилага за "APP субекти", които включват австралийски правителствени агенции и организации от частния сектор с годишен оборот над 3 милиона AUD. Въпреки това, прагът не е единственият фактор.
Организации с оборот под 3 милиона долара все още са обхванати, ако:
- Обработват здравна информация срещу заплащане
- Търгуват с лична информация (купуват или продават данни)
- Са доставчик на договорни услуги за австралийското правителство
- Управляват база данни за жилищни наеми
- Са свързани с корпоративно тяло, което само по себе си е обхванато
Специфичен случай: Стартъп, който печели 800 000 долара годишно и продава потребителски данни на фирма за анализ на трети страни, почти сигурно е обхванат, независимо от оборота си.
Какво се счита за лична информация съгласно австралийското законодателство за поверителност
Лична информация е всяка информация или мнение за идентифицирано лице или лице, което е разумно идентифицируемо, независимо дали е вярно или не и дали е записано в материален вид или не. Това е широко, технологично неутрално определение.
Примери, които се квалифицират:
- Пълно име, дата на раждане, адрес, телефонен номер
- IP адреси и идентификатори на устройства (в много контексти)
- Здравни досиета, финансови данни, биометрични данни
- Снимки и гласови записи
- Мнения за човек (дори ако са неверни)
Чувствителна информация е подмножество, което носи по-висока защита и включва здравни данни, расов или етнически произход, политически убеждения, религиозни вярвания, сексуална ориентация и криминални досиета. Събирането на чувствителна информация обикновено изисква изрично съгласие.
Как да разбера дали моят бизнес трябва да спазва австралийския закон за поверителността
Започнете с теста за оборот: ако вашият австралийски бизнес има годишен оборот над 3 милиона AUD, почти сигурно сте APP субект. Ако сте под този праг, проверете изброените по-горе категории.
Правило за вземане на решение:
- Оборот над 3 милиона долара: обхванати, точка.
- Оборот под 3 милиона долара, но обработвате здравни досиета, продавате данни или имате държавен договор: обхванати.
- Оборот под 3 милиона долара, нищо от гореизброеното: вероятно освободени, но прегледайте пълния списък с изключения на OAIC, преди да приемете това.
Имайте предвид, че законите за поверителност на щатите и териториите могат да налагат допълнителни задължения, които не са обхванати от федералния закон, особено в Нов Южен Уелс, Виктория и Куинсланд.
Каква е разликата между Закона за поверителността и APPs
Законът за поверителността от 1988 г. е всеобхватното федерално законодателство. Австралийските принципи за поверителност са специфичните, приложими правила, които са част от това законодателство и казват на организациите точно какво трябва и какво не трябва да правят с личната информация.
Мислете за Закона за поверителността като за статут, а за APPs като за негов оперативен правилник. Една организация "спазва Закона за поверителността", като изпълнява всички 13 APPs, наред с други задължения като схемата NDB и предстоящите изисквания за автоматизирано вземане на решения [1].
Какви са наказанията за нарушаване на австралийския закон за поверителността
Наказанията са ескалирали значително. За сериозни или повтарящи се намеси в поверителността, максималното гражданско наказание за корпоративно тяло е по-голямото от: 50 милиона AUD; три пъти стойността на получената полза; или 30% от коригирания оборот на субекта по време на периода на нарушението [4][5].
За физически лица максималното гражданско наказание за сериозни нарушения е 2,5 милиона AUD. OAIC също така има разширени правомощия за разследване и прилагане, включително възможността да провежда разследвания по собствена инициатива и да приема приложими задължения [4].
Измененията от 2024 г. също така въведоха законово нарушение за сериозни посегателства върху поверителността, което позволява на засегнатите лица да съдят директно в съда, без първо да преминават през OAIC [4].
Как да се справя с пробив на данни съгласно австралийското законодателство за поверителност
Съгласно схемата за уведомяване за пробиви на данни (NDB), APP субект, който претърпи "допустим пробив на данни", трябва да уведоми OAIC и засегнатите лица възможно най-скоро [5]. Допустим пробив на данни е такъв, който е вероятно да доведе до сериозна вреда за някое от лицата, чиято информация е била засегната.
Стъпки за реакция:
- Незабавно овладейте пробива (отменете достъпа, изолирайте засегнатите системи).
- Оценете дали пробивът отговаря на прага за "вероятна сериозна вреда".
- Ако да, уведомете OAIC, като подадете изявление чрез онлайн портала на OAIC.
- Уведомете пряко засегнатите лица, включително естеството на пробива и препоръчаните защитни мерки.
- Прегледайте и отстранете уязвимостта, която е причинила пробива.
Често срещана грешка: Забавяне на уведомяването, докато се провежда продължително вътрешно разследване. Законът не позволява неопределени периоди за оценка, ако е вероятна сериозна вреда, уведомете незабавно.
Какви права имат австралийците съгласно Закона за поверителността
Австралийците имат няколко приложими права съгласно APPs. APP 12 дава на индивидите право на достъп до тяхната лична информация, съхранявана от APP субект. APP 13 им дава право да поискат корекция на неточна, остаряла или непълна информация.
Допълнителни права включват:
- Правото да останат анонимни или да използват псевдоним, когато е законно и осъществимо (APP 2)
- Правото да знаят каква информация се събира и защо (APP 5)
- Правото да се откажат от директен маркетинг (APP 7)
- Правото да подадат жалба до OAIC, ако правата им не се спазват
Как да изтриете данните си съгласно австралийския закон за поверителността
Законът за поверителността не съдържа изрично "право на изтриване", еквивалентно на член 17 от GDPR. Въпреки това, APP 11.2 изисква организациите да унищожат или деидентифицират лична информация, която вече не е необходима за цел, за която може да бъде използвана или разкрита.
Практически път за индивидите: Подайте писмено искане до служителя по поверителност на организацията. Ако организацията откаже или не отговори в рамките на 30 дни, подайте жалба до OAIC. OAIC може да разследва и, ако е уместно, да нареди на организацията да предприеме коригиращи действия.
Колко дълго могат организациите да съхраняват лични данни съгласно австралийското законодателство за поверителност
В Закона за поверителността няма единен законов срок за съхранение. APP 11.2 изисква организациите да предприемат разумни стъпки за унищожаване или деидентифициране на лична информация, след като тя вече не е необходима. Въпреки това, други закони, включително Закона за корпорациите, данъчното законодателство и специфични за индустрията разпоредби, налагат свои собствени минимални срокове за съхранение, които имат предимство.
Практически насоки: Съпоставете данните си както с теста "вече не е необходимо" на Закона за поверителността, така и с всички специфични за сектора мандати за съхранение. Когато съществува законово задължение за съхранение, съхранявайте данните за този период и не по-дълго.
Какво трябва да съдържа политиката за поверителност съгласно австралийското законодателство
APP 1.3 изисква всеки APP субект да има ясно изразена и актуална политика за поверителност. OAIC в момента провежда проверка за съответствие на политиките за поверителност в различни индустрии, за да оцени дали те отговарят на този стандарт [1].
Съответстваща политика за поверителност трябва да включва:
- Видовете лична информация, която субектът събира и съхранява
- Как се събира и съхранява личната информация
- Целите, за които се събира, съхранява, използва и разкрива
- Как индивид може да получи достъп и да поиска корекция на своята информация
- Как субектът се справя с жалби
- Дали лична информация се разкрива на получатели в чужбина и ако да, кои държави
Актуализация за 2026 г.: От 10 декември 2026 г. политиките за поверителност трябва също така да разкриват използването на автоматизирани процеси за вземане на решения, които значително засягат индивидите, включително видовете лична информация, които се използват [1].
Какъв е процесът за подаване на жалба за поверителност в Австралия
Индивидите трябва първо да подадат жалба директно до съответната организация и да изчакат 30 дни за отговор, преди да ескалират до OAIC. Ако организацията не разреши жалбата задоволително, индивидът може да подаде официална жалба до OAIC безплатно.
OAIC може да опита помирение, да проведе официално разследване или да вземе решение. Ако се установи нарушение, OAIC може да нареди на организацията да предприеме коригиращи действия, да се извини или да плати обезщетение на жалбоподателя.
Как се сравнява австралийският закон за поверителността с GDPR
Австралийският закон за поверителността и Общият регламент за защита на данните (GDPR) на ЕС споделят общи цели, но се различават по обхват, права и прилагане. Таблицата по-долу обобщава основните разлики.
| Характеристика | Австралийски закон за поверителността | GDPR |
|---|---|---|
| Изрично право на изтриване | Не (само APP 11.2) | Да (член 17) |
| Право на преносимост на данни | Не | Да (член 20) |
| Съгласие като основно основание | Едно от няколко основания | Централно, но не изключително |
| Максимално наказание (корпоративно) | 50 милиона AUD или въз основа на оборот | 20 милиона EUR или 4% от глобалния оборот |
| Надзорен орган | OAIC | Национални органи за защита на данните за всяка държава членка |
| Териториален обхват | Предимно австралийски субекти | Глобален, ако е насочен към жители на ЕС |
Австралия понастоящем няма решение за адекватност от ЕС, което означава, че трансферите на данни от ЕС към Австралия изискват допълнителни гаранции съгласно GDPR.
Трябва ли малките предприятия да спазват австралийския закон за поверителността
Малките предприятия с годишен оборот под 3 милиона AUD обикновено са освободени от Закона за поверителността, но изключението има значими изключения. Всяко малко предприятие, което обработва здравна информация, търгува с лични данни или предоставя услуги по договор с австралийското правителство, губи изцяло статута си на освободено.
Изберете пътя на освобождаване само ако: вашият бизнес е под прага, не обработва здравни данни, не продава или купува лична информация и няма държавни договори. Когато се съмнявате, разглеждането на APPs като база за съответствие е добро управление на риска, независимо от законовото задължение.
Управление на съгласието и технологиите за проследяване през 2026 г.
Управлението на съгласието се превърна в основен проблем за съответствие. През юни 2026 г. Комисарят по поверителността установи, че доставчиците на здравни услуги Medmate Australia и Monash IVF са нарушили Закона за поверителността, като са внедрили пиксели за проследяване на трети страни, които са събирали чувствителна здравна информация без съгласието на потребителя [3]. Публикуваният доклад на OAIC, "Вашият живот, пикселиран", излага конкретни препоръки за всяка организация, използваща технологии за проследяване на платформи, свързани със здравето [3][6].
За операторите на уебсайтове и маркетинговите агенции това определение установява ясен прецедент: пикселите за проследяване, аналитичните тагове и инструментите за поведенческа реклама, които засягат чувствителна информация, изискват изрично, информирано съгласие преди активиране. Платформа за управление на съгласието (CMP), която събира и съхранява записи за съгласие, вече не е опция за регулираните субекти, тя е практическа необходимост. Biscotti CMP е проектирана да помага на APP субектите да изпълняват тези задължения за съгласие, като предоставя детайлни, одитируеми записи за съгласие, съобразени с австралийските изисквания за поверителност.
Често задавани въпроси
В: Прилага ли се австралийският закон за поверителността към чуждестранни компании? О: Да, ако чуждестранната компания извършва дейност в Австралия и събира или съхранява лична информация от австралийци, Законът за поверителността се прилага, независимо от това къде е седалището на компанията.
В: Задължителна ли е политиката за поверителност за всички бизнеси в Австралия? О: Само за APP субекти. Въпреки това, бизнесите, които са технически освободени, все още могат да се възползват от наличието на такава за доверие на потребителите и за предотвратяване на бъдещи регулаторни промени.
В: Какво е "допустим пробив на данни" съгласно схемата NDB? О: Пробив на данни, включващ лична информация, при който съществува реален риск от сериозна вреда за засегнатите лица, например неоторизиран достъп до идентификационни данни за финансови сметки или здравни досиета.
В: Могат ли индивидите да съдят директно организации за нарушения на поверителността? О: От Закона за изменение на поверителността и други закони от 2024 г. индивидите могат да предявят иск за законово нарушение за сериозни посегателства върху поверителността, без първо да преминават през OAIC [4].
В: Обхванати ли са досиетата на служителите от Закона за поверителността? О: Досиетата на служителите от частния сектор, съхранявани от работодател и използвани пряко във връзка с трудовото правоотношение, обикновено са освободени съгласно изключението за досиета на служителите.
В: Какво представлява Кодексът за онлайн поверителност на децата? О: Проект на кодекс, публикуван от OAIC на 31 март 2026 г., който ще наложи специфични задължения на онлайн услугите, които събират данни на деца, като прилагането започва на 10 декември 2026 г. [2].
В: Изискват ли пикселите за проследяване съгласие съгласно австралийското законодателство? О: Когато пикселите събират чувствителна информация (като здравни данни), да, решението на OAIC от юни 2026 г. потвърди, че внедряването на такива пиксели без съгласие нарушава Закона за поверителността [3].
В: Какво означава "прозрачност при автоматизираното вземане на решения" от декември 2026 г.? О: APP субектите трябва да разкриват в своите политики за поверителност, когато компютърни програми вземат решения, които значително засягат правата или интересите на индивидите, включително каква лична информация се използва [1].
В: Колко време отнема на OAIC да разреши жалба? О: Сроковете варират. OAIC цели да разреши прости жалби в рамките на 90 дни, но сложните разследвания могат да отнемат значително по-дълго.
В: Има ли такса за подаване на жалба до OAIC? О: Не. Жалбите до OAIC са безплатни за индивидите.
Заключение
Австралийският закон за поверителността: Ръководство за APPs и съответствие с данните не е статична справка, а жива рамка, която е претърпяла най-значителната си трансформация от десетилетия. Измененията от 2024 и 2026 г. значително повишиха залозите: по-високи наказания, законово нарушение, задължителни разкрития за автоматизирано вземане на решения и Кодекс за онлайн поверителност на децата, всички те изискват активни програми за съответствие, а не пасивни упражнения за отметка.
Действени следващи стъпки за организациите през 2026 г.:
- Одитирайте политиката си за поверителност спрямо изискванията на APP 1.3 и текущите критерии за проверка за съответствие на OAIC [1].
- Прегледайте всички технологии за проследяване на уебсайта си и се уверете, че е получено изрично съгласие, преди да се събират чувствителни данни [3][6].
- Подгответе се за крайните срокове през декември 2026 г., разкритията за автоматизирано вземане на решения и Кодексът за онлайн поверителност на децата влизат в сила тогава [1][2].
- Тествайте плана си за реакция при пробив на данни спрямо изискванията за уведомяване на схемата NDB [5].
- Внедрете решение за управление на съгласието, като Biscotti CMP, за да събирате, съхранявате и демонстрирате записи за съгласие, които отговарят на австралийските задължения за поверителност.
- Потърсете квалифицирана правна консултация, ако вашата организация обработва чувствителна информация, оперира през граници или не е сигурна относно статута си на APP субект.
Съответствието не е еднократен проект. Разширяващата се позиция на OAIC за прилагане през 2026 г. прави текущия преглед бизнес необходимост.
Източници
[1] Australian Privacy Law Update What App Entities Need To Know In 2026 - https://www.landers.com.au/legal-insights-news/australian-privacy-law-update-what-app-entities-need-to-know-in-2026?utm_source=openai
[2] Draft Childrens Online Privacy Code Released 31 03 2026 - https://ministers.ag.gov.au/media-centre/draft-childrens-online-privacy-code-released-31-03-2026?utm_source=openai
[3] Privacy Commissioner Finds Privacy Breaches In Third Party Tracking Pixel Investigation - https://www.oaic.gov.au/news/media-centre/privacy-commissioner-finds-privacy-breaches-in-third-party-tracking-pixel-investigation?utm_source=openai
[4] Australian Privacy Act Reform - https://cybernion.com.au/insights/australian-privacy-act-reform/?utm_source=openai
[5] Privacy - https://www.ag.gov.au/rights-and-protections/privacy?utm_source=openai
[6] Australia Pixel Perfect The Regulator Addresses Use Of Tracking Pixels - https://privacymatters.dlapiper.com/2026/06/australia-pixel-perfect-the-regulator-addresses-use-of-tracking-pixels/?utm_source=openai