Brzi odgovor: Australski Zakon o privatnosti iz 1988. godine regulira način na koji organizacije prikupljaju, koriste, pohranjuju i otkrivaju lične podatke. Primjenjuje se na većinu australskih vladinih agencija i organizacija u privatnom sektoru s godišnjim prometom iznad 3 miliona AUD, iako su obuhvaćeni i mnogi manji subjekti. 13 Australskih principa privatnosti (APP) Zakona čine operativnu okosnicu usklađenosti, a nedavne izmjene iz 2026. značajno su povećale kazne i ovlasti za provođenje.
Ključne spoznaje
- Zakon o privatnosti iz 1988. godine administrira Ured australskog povjerenika za informacije (OAIC) i primjenjuje se na "APP subjekte", većinu saveznih agencija i kvalificirane privatne organizacije.
- 13 Australskih principa privatnosti pokriva cijeli životni ciklus podataka: prikupljanje, korištenje, otkrivanje, kvalitet, sigurnost i prava pojedinaca na pristup.
- Maksimalne građanske kazne za ozbiljne ili ponovljene povrede značajno su povećane prema nedavnim izmjenama, usklađujući Australiju bliže provođenju na nivou GDPR-a [4].
- Shema obavještavanja o povredama podataka (NDB) zahtijeva od pogođenih subjekata da obavijeste i OAIC i pogođene pojedince kada je povreda vjerovatno uzrokovati ozbiljnu štetu [5].
- Zakonski delikt za ozbiljne povrede privatnosti uveden je Zakonom o izmjenama i dopunama Zakona o privatnosti i drugim zakonima iz 2024. godine, dajući pojedincima direktan pravni lijek [4].
- Zahtjevi za transparentnost automatiziranog donošenja odluka stupaju na snagu 10. decembra 2026. godine, zahtijevajući od APP subjekata da otkriju kako algoritmi utječu na pojedince [1].
- Nacrt Kodeksa o privatnosti djece na internetu objavljen je 31. marta 2026. godine, a provođenje je planirano za decembar 2026. godine [2].
- OAIC je u junu 2026. godine presudio da su zdravstveni radnici koji koriste piksele za praćenje trećih strana bez pristanka prekršili Zakon o privatnosti [3].
- Mala poduzeća s prometom ispod praga od 3 miliona dolara i dalje mogu biti obuhvaćena ako rukuju zdravstvenim informacijama, trguju ličnim podacima ili pružaju određene ugovorene usluge.
- Politika privatnosti je zakonski obavezna za sve APP subjekte i mora ispunjavati specifične standarde sadržaja prema APP 1.
Šta su Australski principi privatnosti i kako funkcionišu
13 Australskih principa privatnosti (APP), navedenih u Prilogu 1 Zakona o privatnosti iz 1988. godine, su primarna pravila koja reguliraju način na koji APP subjekti rukuju ličnim podacima. Svaki princip se odnosi na posebnu fazu ili aspekt rukovanja podacima, a neusklađenost s bilo kojim od njih može pokrenuti regulatornu akciju.
APP-ovi su grupirani u pet funkcionalnih klastera:
| Klaster | Obuhvaćeni APP-ovi | Fokusno područje |
|---|---|---|
| Razmatranje privatnosti ličnih podataka | APP 1-2 | Otvoreno upravljanje, anonimnost |
| Prikupljanje ličnih podataka | APP 3-4 | Zakonito prikupljanje, neželjeni podaci |
| Postupanje s ličnim podacima | APP 5-8 | Obavještavanje, korištenje, otkrivanje, prekomorski transfer |
| Integritet ličnih podataka | APP 9-10 | Kvalitet, sigurnost |
| Pristup i ispravka | APP 11-13 | Identifikatori, pristup, ispravka |
Kako funkcionišu u praksi: Organizacija koja prikuplja e-mail adresu korisnika mora se pridržavati APP 3 (prikupljati samo ono što je potrebno), APP 5 (obavijestiti pojedinca o prikupljanju), APP 6 (koristiti je samo za primarnu svrhu osim ako se ne primjenjuje izuzetak) i APP 11 (čuvati je sigurnom). Kršenje bilo kojeg od ovih principa pojedinačno predstavlja povredu.
Ko se mora pridržavati Australskog Zakona o privatnosti
Zakon o privatnosti primjenjuje se na "APP subjekte", što uključuje australske vladine agencije i organizacije u privatnom sektoru s godišnjim prometom iznad 3 miliona AUD. Međutim, prag nije jedini okidač.
Organizacije s prometom ispod 3 miliona dolara i dalje su obuhvaćene ako:
- Rukuju zdravstvenim informacijama uz naknadu
- Trguju ličnim podacima (kupuju ili prodaju podatke)
- Su ugovorni pružatelj usluga australskoj vladi
- Upravljaju bazom podataka o stambenim najmovima
- Su povezane s korporativnim tijelom koje je samo obuhvaćeno
Granični slučaj: Startup koji godišnje zarađuje 800.000 dolara i prodaje korisničke podatke trećoj analitičkoj firmi gotovo je sigurno obuhvaćen, bez obzira na njegov promet.
Šta se smatra ličnim podacima prema Australskom zakonu o privatnosti
Lični podaci su sve informacije ili mišljenja o identificiranom pojedincu, ili pojedincu koji se može razumno identificirati, bez obzira jesu li istiniti ili ne i jesu li zabilježeni u materijalnom obliku ili ne. Ovo je široka, tehnološki neutralna definicija.
Primjeri koji se kvalificiraju:
- Puno ime, datum rođenja, adresa, broj telefona
- IP adrese i identifikatori uređaja (u mnogim kontekstima)
- Zdravstveni kartoni, finansijski podaci, biometrijski podaci
- Fotografije i glasovne snimke
- Mišljenja o osobi (čak i ako su lažna)
Osjetljive informacije su podskup koji nosi veću zaštitu i uključuje zdravstvene podatke, rasno ili etničko porijeklo, politička mišljenja, vjerska uvjerenja, seksualnu orijentaciju i krivične evidencije. Prikupljanje osjetljivih informacija općenito zahtijeva izričit pristanak.
Kako da znam da li moje poslovanje treba da se pridržava Australskog Zakona o privatnosti
Započnite s testom prometa: ako vaše australsko poslovanje ima godišnji promet iznad 3 miliona AUD, gotovo ste sigurno APP subjekt. Ako ste ispod tog praga, provjerite gore navedene okidače temeljene na kategorijama.
Pravilo odluke:
- Promet iznad 3 miliona dolara: obuhvaćeno, kraj priče.
- Promet ispod 3 miliona dolara, ali rukujete zdravstvenim kartonima, prodajete podatke ili imate vladin ugovor: obuhvaćeno.
- Promet ispod 3 miliona dolara, ništa od navedenog: vjerovatno izuzeto, ali pregledajte cijeli popis izuzeća OAIC-a prije nego što to pretpostavite.
Imajte na umu da državni i teritorijalni zakoni o privatnosti mogu nametnuti dodatne obaveze koje nisu obuhvaćene saveznim zakonom, posebno u Novom Južnom Walesu, Victoriji i Queenslandu.
Koja je razlika između Zakona o privatnosti i APP-ova
Zakon o privatnosti iz 1988. godine je sveobuhvatno savezno zakonodavstvo. Australski principi privatnosti su specifična, provediva pravila koja se nalaze unutar tog zakonodavstva i govore organizacijama tačno šta moraju, a šta ne smiju raditi s ličnim podacima.
Zakon o privatnosti zamislite kao statut, a APP-ove kao njegov operativni pravilnik. Organizacija "usklađuje se sa Zakonom o privatnosti" ispunjavanjem svih 13 APP-ova, između ostalih obaveza kao što su NDB shema i nadolazeći zahtjevi za automatizirano donošenje odluka [1].
Koje su kazne za kršenje Australskog Zakona o privatnosti
Kazne su značajno porasle. Za ozbiljne ili ponovljene povrede privatnosti, maksimalna građanska kazna za korporativno tijelo je veća od: 50 miliona AUD; tri puta veće vrijednosti ostvarene koristi; ili 30% prilagođenog prometa subjekta tokom perioda povrede [4][5].
Za pojedince, maksimalna građanska kazna za ozbiljne povrede je 2,5 miliona AUD. OAIC također ima proširene ovlasti za istragu i provođenje, uključujući mogućnost provođenja istraga po vlastitoj inicijativi i prihvaćanja provedivih obaveza [4].
Izmjene iz 2024. godine također su uvele zakonski delikt za ozbiljne povrede privatnosti, omogućavajući pogođenim pojedincima da direktno tuže na sudu bez prethodnog prolaska kroz OAIC [4].
Kako postupiti s povredom podataka prema Australskom zakonu o privatnosti
Prema shemi obavještavanja o povredama podataka (NDB), APP subjekt koji doživi "kvalificiranu povredu podataka" mora obavijestiti OAIC i pogođene pojedince što je prije moguće [5]. Kvalificirana povreda podataka je ona koja će vjerovatno rezultirati ozbiljnom štetom za bilo kojeg pojedinca čiji su podaci bili uključeni.
Koraci odgovora:
- Odmah obuzdajte povredu (opozovite pristup, izolirajte pogođene sisteme).
- Procijenite da li povreda ispunjava prag "vjerovatne ozbiljne štete".
- Ako da, obavijestite OAIC podnošenjem izjave putem online portala OAIC-a.
- Direktno obavijestite pogođene pojedince, uključujući prirodu povrede i preporučene zaštitne korake.
- Pregledajte i otklonite ranjivost koja je uzrokovala povredu.
Česta greška: Odgađanje obavijesti tokom provođenja duge interne istrage. Zakon ne dopušta neograničene periode procjene; ako je vjerovatna ozbiljna šteta, odmah obavijestite.
Koja prava imaju Australci prema Zakonu o privatnosti
Australci imaju nekoliko provedivih prava prema APP-ovima. APP 12 daje pojedincima pravo pristupa svojim ličnim podacima koje posjeduje APP subjekt. APP 13 im daje pravo da zatraže ispravku netačnih, zastarjelih ili nepotpunih informacija.
Dodatna prava uključuju:
- Pravo na anonimnost ili korištenje pseudonima gdje je to zakonito i praktično (APP 2)
- Pravo da znaju koje se informacije prikupljaju i zašto (APP 5)
- Pravo na odustajanje od direktnog marketinga (APP 7)
- Pravo na žalbu OAIC-u ako se prava ne poštuju
Kako izbrisati svoje podatke prema Australskom Zakonu o privatnosti
Zakon o privatnosti ne sadrži eksplicitno "pravo na brisanje" ekvivalentno članu 17 GDPR-a. Međutim, APP 11.2 zahtijeva od organizacija da unište ili deidentificiraju lične podatke koji više nisu potrebni za bilo koju svrhu za koju se mogu koristiti ili otkriti.
Praktičan put za pojedince: Podnesite pisani zahtjev službeniku za privatnost organizacije. Ako organizacija odbije ili ne odgovori u roku od 30 dana, podnesite žalbu OAIC-u. OAIC može istražiti i, ako je prikladno, naložiti organizaciji da poduzme korektivne mjere.
Koliko dugo organizacije mogu čuvati lične podatke prema Australskom zakonu o privatnosti
Ne postoji jedinstveni zakonski period zadržavanja u Zakonu o privatnosti. APP 11.2 zahtijeva od organizacija da poduzmu razumne korake za uništavanje ili deidentifikaciju ličnih podataka kada više nisu potrebni. Međutim, drugi zakoni, uključujući Zakon o korporacijama, porezno zakonodavstvo i propise specifične za industriju, nameću vlastite minimalne periode zadržavanja koji imaju prednost.
Praktične smjernice: Uskladite svoje podatke s testom "više nisu potrebni" iz Zakona o privatnosti i svim sektorskim mandatima zadržavanja. Tamo gdje postoji zakonska obaveza zadržavanja, čuvajte podatke za taj period i ne duže.
Šta bi trebalo biti u politici privatnosti prema Australskom zakonu
APP 1.3 zahtijeva od svakog APP subjekta da ima jasno izraženu i ažuriranu politiku privatnosti. OAIC trenutno provodi provjeru usklađenosti politika privatnosti u svim industrijama kako bi procijenio da li ispunjavaju ovaj standard [1].
Usklađena politika privatnosti mora uključivati:
- Vrste ličnih podataka koje subjekt prikuplja i posjeduje
- Kako se lični podaci prikupljaju i posjeduju
- Svrhe za koje se prikupljaju, posjeduju, koriste i otkrivaju
- Kako pojedinac može pristupiti i tražiti ispravku svojih podataka
- Kako subjekt postupa s pritužbama
- Da li se lični podaci otkrivaju prekomorskim primateljima, i ako da, kojim zemljama
Ažuriranje za 2026.: Od 10. decembra 2026. godine, politike privatnosti moraju također otkriti korištenje automatiziranih procesa donošenja odluka koji značajno utječu na pojedince, uključujući vrste uključenih ličnih podataka [1].
Kakav je proces podnošenja žalbe na privatnost u Australiji
Pojedinci se prvo moraju žaliti direktno uključenoj organizaciji i omogućiti 30 dana za odgovor prije nego što eskaliraju na OAIC. Ako organizacija ne riješi žalbu na zadovoljavajući način, pojedinac može podnijeti formalnu žalbu OAIC-u bez naknade.
OAIC može pokušati posredovanje, provesti formalnu istragu ili donijeti odluku. Ako se utvrdi povreda, OAIC može naložiti organizaciji da poduzme korektivne mjere, izvini se ili isplati odštetu podnosiocu žalbe.
Kako se Australski Zakon o privatnosti poredi sa GDPR-om
Australski Zakon o privatnosti i Opća uredba o zaštiti podataka (GDPR) EU dijele zajedničke ciljeve, ali se razlikuju u opsegu, pravima i provođenju. Tabela ispod sumira ključne razlike.
| Značajka | Australski Zakon o privatnosti | GDPR |
|---|---|---|
| Izričito pravo na brisanje | Ne (samo APP 11.2) | Da (član 17) |
| Pravo na prenosivost podataka | Ne | Da (član 20) |
| Pristanak kao primarna osnova | Jedna od nekoliko osnova | Centralna, ali ne isključiva |
| Maksimalna kazna (korporativna) | 50 miliona AUD ili na osnovu prometa | 20 miliona EUR ili 4% globalnog prometa |
| Nadzorno tijelo | OAIC | Nacionalne DPA po državi članici |
| Teritorijalni doseg | Prvenstveno australski subjekti | Globalno ako cilja stanovnike EU |
Australija trenutno nema odluku o adekvatnosti od EU, što znači da prijenosi podataka iz EU u Australiju zahtijevaju dodatne zaštitne mjere prema GDPR-u.
Da li mala poduzeća moraju slijediti Australski Zakon o privatnosti
Mala poduzeća s godišnjim prometom ispod 3 miliona AUD općenito su izuzeta od Zakona o privatnosti, ali izuzeće ima značajne izuzetke. Svako malo poduzeće koje rukuje zdravstvenim informacijama, trguje ličnim podacima ili pruža usluge prema ugovoru s australskom vladom u potpunosti gubi svoj izuzeti status.
Odaberite izuzeti put samo ako: vaše poslovanje je ispod praga, ne rukuje zdravstvenim podacima, ne prodaje ili kupuje lične podatke i nema vladine ugovore. Kada ste u nedoumici, tretiranje APP-ova kao osnove za usklađenost je dobro upravljanje rizikom bez obzira na pravnu obavezu.
Upravljanje pristankom i tehnologijama praćenja u 2026. godini
Upravljanje pristankom postalo je ključno pitanje usklađenosti. U junu 2026. godine, povjerenik za privatnost utvrdio je da su zdravstveni radnici Medmate Australia i Monash IVF prekršili Zakon o privatnosti postavljanjem piksela za praćenje trećih strana koji su prikupljali osjetljive zdravstvene informacije bez pristanka korisnika [3]. Objavljeni izvještaj OAIC-a, "Vaš život, pikseliziran", iznosi specifične preporuke za svaku organizaciju koja koristi tehnologije praćenja na platformama vezanim za zdravlje [3][6].
Za operatere web stranica i marketinške agencije, ova odluka uspostavlja jasan presedan: pikseli za praćenje, analitičke oznake i alati za bihevioralno oglašavanje koji dodiruju osjetljive informacije zahtijevaju izričit, informiran pristanak prije aktivacije. Platforma za upravljanje pristankom (CMP) koja bilježi i pohranjuje zapise o pristanku više nije opcija za regulirane subjekte, to je praktična nužnost. Biscotti CMP je dizajniran da pomogne APP subjektima da ispune ove obaveze pristanka pružanjem detaljnih, revidibilnih zapisa o pristanku usklađenih s australskim zahtjevima za privatnost.
Često postavljana pitanja
P: Da li se Australski Zakon o privatnosti primjenjuje na strane kompanije? O: Da, ako strana kompanija posluje u Australiji i prikuplja ili posjeduje lične podatke od Australaca, Zakon o privatnosti se primjenjuje, bez obzira na to gdje je sjedište kompanije.
P: Da li je politika privatnosti zakonski obavezna za sva poduzeća u Australiji? O: Samo za APP subjekte. Međutim, poduzeća koja su tehnički izuzeta i dalje mogu imati koristi od nje radi povjerenja potrošača i sprječavanja budućih regulatornih promjena.
P: Šta je "kvalificirana povreda podataka" prema NDB shemi? O: Povreda podataka koja uključuje lične podatke gdje postoji stvarni rizik od ozbiljne štete za pogođene pojedince, na primjer, neovlašteni pristup podacima o finansijskim računima ili zdravstvenim kartonima.
P: Mogu li pojedinci direktno tužiti organizacije zbog povreda privatnosti? O: Od Zakona o izmjenama i dopunama Zakona o privatnosti i drugim zakonima iz 2024. godine, pojedinci mogu podnijeti tužbu za zakonski delikt za ozbiljne povrede privatnosti bez prethodnog prolaska kroz OAIC [4].
P: Da li su evidencije zaposlenika obuhvaćene Zakonom o privatnosti? O: Evidencije zaposlenika u privatnom sektoru koje posjeduje poslodavac i koje se direktno koriste u vezi s radnim odnosom općenito su izuzete prema izuzeću za evidencije zaposlenika.
P: Šta je Kodeks o privatnosti djece na internetu? O: Nacrt kodeksa koji je objavio OAIC 31. marta 2026. godine, a koji će nametnuti specifične obaveze online uslugama koje prikupljaju podatke djece, s primjenom koja počinje 10. decembra 2026. godine [2].
P: Da li pikseli za praćenje zahtijevaju pristanak prema Australskom zakonu? O: Tamo gdje pikseli prikupljaju osjetljive informacije (kao što su zdravstveni podaci), da, odluka OAIC-a iz juna 2026. godine potvrdila je da postavljanje takvih piksela bez pristanka krši Zakon o privatnosti [3].
P: Šta znači "transparentnost automatiziranog donošenja odluka" od decembra 2026. godine? O: APP subjekti moraju u svojim politikama privatnosti otkriti kada računarski programi donose odluke koje značajno utječu na prava ili interese pojedinaca, uključujući koje se lične informacije koriste [1].
P: Koliko dugo OAIC-u treba da riješi žalbu? O: Vremenski okviri variraju. OAIC nastoji riješiti jednostavne žalbe u roku od 90 dana, ali složene istrage mogu trajati znatno duže.
P: Da li se plaća naknada za podnošenje žalbe OAIC-u? O: Ne. Žalbe OAIC-u su besplatne za pojedince.
Zaključak
Australski Zakon o privatnosti: Vodič za APP-ove i usklađenost podataka nije statična referenca, to je živi okvir koji je doživio svoju najznačajniju transformaciju u decenijama. Izmjene iz 2024. i 2026. godine značajno su podigle uloge: veće kazne, zakonski delikt, obavezna otkrivanja automatiziranog donošenja odluka i Kodeks o privatnosti djece na internetu, sve to zahtijeva aktivne programe usklađenosti, a ne pasivne vježbe označavanja.
Akcioni koraci za organizacije u 2026. godini:
- Revidirajte svoju politiku privatnosti prema zahtjevima APP 1.3 i trenutnim kriterijima provjere usklađenosti OAIC-a [1].
- Pregledajte sve tehnologije praćenja na svojoj web stranici i osigurajte da se dobije izričit pristanak prije prikupljanja bilo kakvih osjetljivih podataka [3][6].
- Pripremite se za rokove u decembru 2026. godine, tada stupaju na snagu otkrivanja automatiziranog donošenja odluka i Kodeks o privatnosti djece na internetu [1][2].
- Testirajte svoj plan odgovora na povredu podataka prema zahtjevima obavještavanja NDB sheme [5].
- Implementirajte rješenje za upravljanje pristankom kao što je Biscotti CMP za bilježenje, pohranjivanje i dokazivanje zapisa o pristanku koji zadovoljavaju australske obaveze privatnosti.
- Potražite kvalificirani pravni savjet ako vaša organizacija rukuje osjetljivim informacijama, posluje preko granica ili je nesigurna u svoj status APP subjekta.
Usklađenost nije jednokratni projekt. Prošireni stav OAIC-a o provođenju u 2026. godini čini kontinuirani pregled poslovnom nužnošću.
Reference
[1] Australian Privacy Law Update What App Entities Need To Know In 2026 - https://www.landers.com.au/legal-insights-news/australian-privacy-law-update-what-app-entities-need-to-know-in-2026?utm_source=openai
[2] Draft Childrens Online Privacy Code Released 31 03 2026 - https://ministers.ag.gov.au/media-centre/draft-childrens-online-privacy-code-released-31-03-2026?utm_source=openai
[3] Privacy Commissioner Finds Privacy Breaches In Third Party Tracking Pixel Investigation - https://www.oaic.gov.au/news/media-centre/privacy-commissioner-finds-privacy-breaches-in-third-party-tracking-pixel-investigation?utm_source=openai
[4] Australian Privacy Act Reform - https://cybernion.com.au/insights/australian-privacy-act-reform/?utm_source=openai
[5] Privacy - https://www.ag.gov.au/rights-and-protections/privacy?utm_source=openai
[6] Australia Pixel Perfect The Regulator Addresses Use Of Tracking Pixels - https://privacymatters.dlapiper.com/2026/06/australia-pixel-perfect-the-regulator-addresses-use-of-tracking-pixels/?utm_source=openai