Resposta ràpida: La Llei de Privacitat Australiana de 1988 regula com les organitzacions recopilen, utilitzen, emmagatzemen i divulguen informació personal. S'aplica a la majoria d'agències governamentals australianes i organitzacions del sector privat amb una facturació anual superior a 3 milions de dòlars australians, tot i que moltes entitats més petites també estan incloses. Els 13 Principis de Privacitat Australians (APP) de la Llei formen la columna vertebral operativa del compliment, i les recents esmenes de 2026 han augmentat significativament les sancions i els poders d'aplicació.
Punts clau
- La Llei de Privacitat de 1988 és administrada per l'Oficina del Comissionat d'Informació Australià (OAIC) i s'aplica a les "entitats APP", la majoria d'agències federals i organitzacions privades qualificades.
- Els 13 Principis de Privacitat Australians cobreixen tot el cicle de vida de les dades: recollida, ús, divulgació, qualitat, seguretat i drets d'accés individuals.
- Les sancions civils màximes per infraccions greus o repetides s'han augmentat significativament amb les recents esmenes, alineant Austràlia més a prop de l'aplicació a nivell de GDPR [4].
- El règim de Notificació de Violacions de Dades (NDB) exigeix a les entitats afectades que notifiquin tant a l'OAIC com als individus afectats quan una violació pugui causar danys greus [5].
- Un dany legal per invasions greus de la privacitat es va introduir sota la Llei d'Esmena de la Privacitat i Altres Legislacions de 2024, donant als individus un recurs legal directe [4].
- Els requisits de transparència de la presa de decisions automatitzada entren en vigor el 10 de desembre de 2026, exigint a les entitats APP que divulguin com els algoritmes afecten els individus [1].
- Un esborrany del Codi de Privacitat en Línia per a Nens es va publicar el 31 de març de 2026, amb l'aplicació prevista per al desembre de 2026 [2].
- L'OAIC va dictaminar el juny de 2026 que els proveïdors de salut que utilitzaven píxels de seguiment de tercers sense consentiment van infringir la Llei de Privacitat [3].
- Les petites empreses per sota del llindar de facturació de 3 milions de dòlars encara poden estar cobertes si gestionen informació de salut, comercien amb dades personals o proporcionen certs serveis contractats.
- Una política de privacitat és legalment obligatòria per a totes les entitats APP i ha de complir estàndards de contingut específics segons l'APP 1.
Què són els Principis de Privacitat Australians i com funcionen
Els 13 Principis de Privacitat Australians (APP), establerts a l'Annex 1 de la Llei de Privacitat de 1988, són les normes principals que regeixen com les entitats APP gestionen la informació personal. Cada principi aborda una fase o aspecte diferent del maneig de dades, i l'incompliment de qualsevol d'ells pot desencadenar una acció reguladora.
Les APP s'agrupen en cinc grups funcionals:
| Grup | APP Cobertes | Àrea d'enfocament |
|---|---|---|
| Consideració de la privacitat de la informació personal | APP 1-2 | Gestió oberta, anonimat |
| Recollida d'informació personal | APP 3-4 | Recollida legal, dades no sol·licitades |
| Tractament de la informació personal | APP 5-8 | Notificació, ús, divulgació, transferència a l'estranger |
| Integritat de la informació personal | APP 9-10 | Qualitat, seguretat |
| Accés i correcció | APP 11-13 | Identificadors, accés, correcció |
Com funcionen a la pràctica: Una organització que recull l'adreça de correu electrònic d'un client ha de complir amb l'APP 3 (només recollir el que sigui necessari), l'APP 5 (notificar a l'individu la recollida), l'APP 6 (només utilitzar-la per al propòsit principal, tret que s'apliqui una excepció) i l'APP 11 (mantenir-la segura). La violació de qualsevol d'aquests de forma aïllada constitueix una infracció.
Qui ha de complir amb la Llei de Privacitat Australiana
La Llei de Privacitat s'aplica a les "entitats APP", que inclouen agències governamentals australianes i organitzacions del sector privat amb una facturació anual superior a 3 milions de dòlars australians. No obstant això, el llindar no és l'únic desencadenant.
Les organitzacions amb una facturació inferior a 3 milions de dòlars encara estan cobertes si:
- Gestionen informació de salut a canvi d'una tarifa
- Comercien amb informació personal (compra o venda de dades)
- Són un proveïdor de serveis contractat pel Govern australià
- Operen una base de dades de lloguer residencial
- Estan relacionades amb una persona jurídica que ja està coberta
Cas límit: Una startup que guanya 800.000 dòlars anuals i ven dades d'usuaris a una empresa d'anàlisi de tercers gairebé segur que està coberta, independentment de la seva facturació.
Què es considera informació personal segons la llei de privacitat australiana
La informació personal és qualsevol informació o opinió sobre un individu identificat, o un individu que és raonablement identificable, sigui verídica o no i estigui registrada en un format material o no. Aquesta és una definició àmplia i tecnològicament neutra.
Exemples que qualifiquen:
- Nom complet, data de naixement, adreça, número de telèfon
- Adreces IP i identificadors de dispositius (en molts contextos)
- Registres de salut, detalls financers, dades biomètriques
- Fotografies i enregistraments de veu
- Opinions sobre una persona (encara que siguin falses)
La informació sensible és un subconjunt que comporta proteccions més altes i inclou dades de salut, origen racial o ètnic, opinions polítiques, creences religioses, orientació sexual i antecedents penals. La recollida d'informació sensible generalment requereix un consentiment explícit.
Com sé si la meva empresa ha de complir amb la Llei de Privacitat Australiana
Comenceu amb la prova de facturació: si la vostra empresa australiana té una facturació anual superior a 3 milions de dòlars australians, gairebé segur que sou una entitat APP. Si esteu per sota d'aquest llindar, comproveu els desencadenants basats en categories esmentats anteriorment.
Regla de decisió:
- Facturació superior a 3 milions de dòlars: coberta, punt.
- Facturació inferior a 3 milions de dòlars, però gestioneu registres de salut, veneu dades o teniu un contracte governamental: coberta.
- Facturació inferior a 3 milions de dòlars, cap de les anteriors: probablement exempta, però reviseu la llista completa d'exempcions de l'OAIC abans de suposar-ho.
Tingueu en compte que les lleis de privacitat estatals i territorials poden imposar obligacions addicionals no cobertes per la Llei federal, especialment a Nova Gal·les del Sud, Victòria i Queensland.
Quina diferència hi ha entre la Llei de Privacitat i les APP
La Llei de Privacitat de 1988 és la legislació federal general. Els Principis de Privacitat Australians són les normes específiques i aplicables que es troben dins d'aquesta legislació i que indiquen a les organitzacions exactament què han de fer i què no han de fer amb la informació personal.
Penseu en la Llei de Privacitat com l'estatut i les APP com el seu manual de normes operatives. Una organització "compleix amb la Llei de Privacitat" complint totes les 13 APP, entre altres obligacions com el règim NDB i els propers requisits de presa de decisions automatitzada [1].
Quines són les sancions per incomplir la Llei de Privacitat Australiana
Les sancions han augmentat substancialment. Per a interferències greus o repetides amb la privacitat, la sanció civil màxima per a una persona jurídica és la més gran de: 50 milions de dòlars australians; tres vegades el valor del benefici obtingut; o el 30% de la facturació ajustada de l'entitat durant el període d'infracció [4][5].
Per als individus, la sanció civil màxima per infraccions greus és de 2,5 milions de dòlars australians. L'OAIC també ha ampliat els poders d'investigació i aplicació, inclosa la capacitat de dur a terme investigacions per iniciativa pròpia i acceptar compromisos executables [4].
Les esmenes de 2024 també van introduir un dany legal per invasions greus de la privacitat, que permet als individus afectats demandar directament als tribunals sense passar primer per l'OAIC [4].
Com gestiono una violació de dades segons la llei de privacitat australiana
Segons el règim de Notificació de Violacions de Dades (NDB), una entitat APP que experimenta una "violació de dades elegible" ha de notificar a l'OAIC i als individus afectats tan aviat com sigui possible [5]. Una violació de dades elegible és aquella que és probable que resulti en un dany greu a qualsevol dels individus la informació dels quals va estar implicada.
Passos de resposta:
- Contenir la violació immediatament (revocar l'accés, aïllar els sistemes afectats).
- Avaluar si la violació compleix el llindar de "dany greu probable".
- Si és així, notificar a l'OAIC enviant una declaració a través del portal en línia de l'OAIC.
- Notificar directament als individus afectats, incloent la naturalesa de la violació i els passos de protecció recomanats.
- Revisar i corregir la vulnerabilitat que va causar la violació.
Error comú: Retardar la notificació mentre es realitza una llarga investigació interna. La Llei no permet períodes d'avaluació indefinits; si és probable un dany greu, notifiqueu-ho ràpidament.
Quins drets tenen els australians segons la Llei de Privacitat
Els australians tenen diversos drets exigibles segons les APP. L'APP 12 atorga als individus el dret a accedir a la seva informació personal en poder d'una entitat APP. L'APP 13 els atorga el dret a sol·licitar la correcció d'informació inexacta, obsoleta o incompleta.
Els drets addicionals inclouen:
- El dret a romandre anònim o utilitzar un pseudònim quan sigui legal i practicable (APP 2)
- El dret a saber quina informació es recull i per què (APP 5)
- El dret a optar per no rebre màrqueting directe (APP 7)
- El dret a presentar una queixa a l'OAIC si no es respecten els drets
Com obtenir la supressió de les vostres dades segons la Llei de Privacitat Australiana
La Llei de Privacitat no conté un "dret a l'oblit" explícit equivalent a l'article 17 del GDPR. No obstant això, l'APP 11.2 exigeix a les organitzacions que destrueixin o desidentifiquin la informació personal que ja no sigui necessària per a cap propòsit per al qual pugui ser utilitzada o divulgada.
Via pràctica per als individus: Presentar una sol·licitud per escrit al responsable de privacitat de l'organització. Si l'organització es nega o no respon en un termini de 30 dies, presentar una queixa a l'OAIC. L'OAIC pot investigar i, si escau, ordenar a l'organització que prengui mesures correctores.
Quant de temps poden conservar les organitzacions les dades personals segons la llei de privacitat australiana
No hi ha un període de retenció legal únic a la Llei de Privacitat. L'APP 11.2 exigeix a les organitzacions que prenguin mesures raonables per destruir o desidentificar la informació personal un cop ja no sigui necessària. No obstant això, altres lleis, inclosa la Llei de Societats, la legislació fiscal i les regulacions específiques del sector, imposen els seus propis períodes de retenció mínims que tenen preferència.
Orientació pràctica: Mapegeu les vostres dades amb la prova de "ja no necessàries" de la Llei de Privacitat i amb qualsevol mandat de retenció específic del sector. Quan existeixi una obligació legal de retenció, conserveu les dades durant aquest període i no més.
Què ha de contenir una política de privacitat segons la llei australiana
L'APP 1.3 exigeix que cada entitat APP tingui una política de privacitat clarament expressada i actualitzada. L'OAIC està duent a terme actualment una revisió de compliment de les polítiques de privacitat en tots els sectors per avaluar si compleixen aquest estàndard [1].
Una política de privacitat compliant ha d'incloure:
- Els tipus d'informació personal que l'entitat recull i conserva
- Com es recull i es conserva la informació personal
- Els propòsits per als quals es recull, es conserva, s'utilitza i es divulga
- Com un individu pot accedir i sol·licitar la correcció de la seva informació
- Com l'entitat gestiona les queixes
- Si la informació personal es divulga a destinataris estrangers i, si és així, a quins països
Actualització de 2026: A partir del 10 de desembre de 2026, les polítiques de privacitat també han de divulgar l'ús de processos de presa de decisions automatitzades que afectin significativament els individus, inclosos els tipus d'informació personal implicats [1].
Quin és el procés per presentar una queixa de privacitat a Austràlia
Els individus han de presentar primer una queixa directament a l'organització implicada i esperar 30 dies per obtenir una resposta abans d'escalar-la a l'OAIC. Si l'organització no resol la queixa satisfactòriament, l'individu pot presentar una queixa formal a l'OAIC sense cap cost.
L'OAIC pot intentar la conciliació, dur a terme una investigació formal o prendre una decisió. Si es troba una infracció, l'OAIC pot ordenar a l'organització que prengui mesures correctores, demani disculpes o pagui una compensació al demandant.
Com es compara la Llei de Privacitat Australiana amb el GDPR
La Llei de Privacitat Australiana i el Reglament General de Protecció de Dades (GDPR) de la UE comparteixen objectius comuns, però difereixen en abast, drets i aplicació. La taula següent resumeix les principals distincions.
| Característica | Llei de Privacitat Australiana | GDPR |
|---|---|---|
| Dret explícit a l'oblit | No (només APP 11.2) | Sí (Article 17) |
| Dret a la portabilitat de dades | No | Sí (Article 20) |
| Consentiment com a base principal | Una de diverses bases | Central, però no exclusiva |
| Sanció màxima (corporativa) | 50 milions de dòlars australians o basada en la facturació | 20 milions d'euros o 4% de la facturació global |
| Autoritat de supervisió | OAIC | APD nacionals per estat membre |
| Abast territorial | Entitats australianes principalment | Global si s'orienta a residents de la UE |
Austràlia actualment no té una decisió d'adequació de la UE, la qual cosa significa que les transferències de dades de la UE a Austràlia requereixen salvaguardes addicionals segons el GDPR.
Les petites empreses han de complir amb la Llei de Privacitat Australiana?
Les petites empreses amb una facturació anual inferior a 3 milions de dòlars australians estan generalment exemptes de la Llei de Privacitat, però l'exempció té exclusions significatives. Qualsevol petita empresa que gestioni informació de salut, comercialitzi amb dades personals o proporcioni serveis sota un contracte amb el Govern australià perd completament el seu estat d'exempció.
Trieu la via exempta només si: la vostra empresa està per sota del llindar, no gestiona dades de salut, no ven ni compra informació personal i no té contractes governamentals. En cas de dubte, tractar les APP com una base de compliment és una bona gestió de riscos, independentment de l'obligació legal.
Gestió del consentiment i tecnologies de seguiment el 2026
La gestió del consentiment s'ha convertit en un problema de compliment de primera línia. El juny de 2026, el Comissionat de Privacitat va determinar que els proveïdors de salut Medmate Australia i Monash IVF van infringir la Llei de Privacitat en desplegar píxels de seguiment de tercers que recollien informació de salut sensible sense el consentiment de l'usuari [3]. L'informe publicat per l'OAIC, "Your life, pixelated", estableix recomanacions específiques per a qualsevol organització que utilitzi tecnologies de seguiment en plataformes relacionades amb la salut [3][6].
Per als operadors de llocs web i les agències de màrqueting, aquesta determinació estableix un precedent clar: els píxels de seguiment, les etiquetes d'anàlisi i les eines de publicitat conductual que afecten informació sensible requereixen un consentiment explícit i informat abans de l'activació. Una plataforma de gestió del consentiment (CMP) que captura i emmagatzema registres de consentiment ja no és opcional per a les entitats regulades, és una necessitat pràctica. Biscotti CMP està dissenyat per ajudar les entitats APP a complir aquestes obligacions de consentiment proporcionant registres de consentiment granulars i auditables alineats amb els requisits de privacitat australians.
Preguntes freqüents
P: La Llei de Privacitat Australiana s'aplica a les empreses estrangeres? R: Sí, si l'empresa estrangera realitza negocis a Austràlia i recull o conserva informació personal d'australians, la Llei de Privacitat s'aplica, independentment d'on tingui la seu l'empresa.
P: És legalment obligatòria una política de privacitat per a totes les empreses a Austràlia? R: Només per a les entitats APP. No obstant això, les empreses que estan tècnicament exemptes encara es poden beneficiar de tenir-ne una per a la confiança del consumidor i per anticipar futurs canvis normatius.
P: Què és una "violació de dades elegible" segons el règim NDB? R: Una violació de dades que implica informació personal on hi ha un risc real de dany greu per als individus afectats, per exemple, accés no autoritzat a credencials de comptes financers o registres de salut.
P: Els individus poden demandar directament les organitzacions per violacions de privacitat? R: Des de la Llei d'Esmena de la Privacitat i Altres Legislacions de 2024, els individus poden presentar una reclamació per dany legal per invasions greus de la privacitat sense passar primer per l'OAIC [4].
P: Els registres dels empleats estan coberts per la Llei de Privacitat? R: Els registres dels empleats del sector privat en poder d'un empresari i utilitzats directament en relació amb la relació laboral estan generalment exempts segons l'exempció de registres dels empleats.
P: Què és el Codi de Privacitat en Línia per a Nens? R: Un esborrany de codi publicat per l'OAIC el 31 de març de 2026 que imposarà obligacions específiques als serveis en línia que recullen dades de nens, amb l'aplicació a partir del 10 de desembre de 2026 [2].
P: Els píxels de seguiment requereixen consentiment segons la llei australiana? R: Quan els píxels recullen informació sensible (com dades de salut), sí, la determinació de l'OAIC de juny de 2026 va confirmar que el desplegament d'aquests píxels sense consentiment infringeix la Llei de Privacitat [3].
P: Què significa la "transparència de la presa de decisions automatitzada" a partir de desembre de 2026? R: Les entitats APP han de divulgar en les seves polítiques de privacitat quan els programes informàtics prenen decisions que afecten significativament els drets o interessos dels individus, inclosa la informació personal que s'utilitza [1].
P: Quant de temps triga l'OAIC a resoldre una queixa? R: Els terminis varien. L'OAIC té com a objectiu resoldre les queixes senzilles en un termini de 90 dies, però les investigacions complexes poden trigar considerablement més.
P: Hi ha una tarifa per presentar una queixa a l'OAIC? R: No. Les queixes a l'OAIC són gratuïtes per als individus.
Conclusió
La Llei de Privacitat Australiana: Una Guia per a les APP i el Compliment de Dades no és una referència estàtica, és un marc viu que ha experimentat la seva transformació més significativa en dècades. Les esmenes de 2024 i 2026 han augmentat considerablement les apostes: sancions més altes, un dany legal, divulgacions obligatòries de presa de decisions automatitzada i un Codi de Privacitat en Línia per a Nens, tot això exigeix programes de compliment actius en lloc de simples exercicis de marcatge de caselles.
Pròxims passos accionables per a les organitzacions el 2026:
- Auditeu la vostra política de privacitat segons els requisits de l'APP 1.3 i els criteris actuals de revisió de compliment de l'OAIC [1].
- Reviseu totes les tecnologies de seguiment del vostre lloc web i assegureu-vos que s'obté el consentiment explícit abans de recollir qualsevol dada sensible [3][6].
- Prepareu-vos per als terminis de desembre de 2026, les divulgacions de presa de decisions automatitzada i el Codi de Privacitat en Línia per a Nens entren en vigor aleshores [1][2].
- Proveu el vostre pla de resposta a violacions de dades segons els requisits de notificació del règim NDB [5].
- Implementeu una solució de gestió del consentiment com ara Biscotti CMP per capturar, emmagatzemar i demostrar registres de consentiment que satisfacin les obligacions de privacitat australianes.
- Busqueu assessorament legal qualificat si la vostra organització gestiona informació sensible, opera a través de fronteres o no està segura del seu estat d'entitat APP.
El compliment no és un projecte puntual. La postura d'aplicació ampliada de l'OAIC el 2026 fa que la revisió contínua sigui una necessitat empresarial.
Referències
[1] Australian Privacy Law Update What App Entities Need To Know In 2026 - https://www.landers.com.au/legal-insights-news/australian-privacy-law-update-what-app-entities-need-to-know-in-2026?utm_source=openai
[2] Draft Childrens Online Privacy Code Released 31 03 2026 - https://ministers.ag.gov.au/media-centre/draft-childrens-online-privacy-code-released-31-03-2026?utm_source=openai
[3] Privacy Commissioner Finds Privacy Breaches In Third Party Tracking Pixel Investigation - https://www.oaic.gov.au/news/media-centre/privacy-commissioner-finds-privacy-breaches-in-third-party-tracking-pixel-investigation?utm_source=openai
[4] Australian Privacy Act Reform - https://cybernion.com.au/insights/australian-privacy-act-reform/?utm_source=openai
[5] Privacy - https://www.ag.gov.au/rights-and-protections/privacy?utm_source=openai
[6] Australia Pixel Perfect The Regulator Addresses Use Of Tracking Pixels - https://privacymatters.dlapiper.com/2026/06/australia-pixel-perfect-the-regulator-addresses-use-of-tracking-pixels/?utm_source=openai