Rychlá odpověď: Australský zákon o ochraně soukromí z roku 1988 (Australian Privacy Act 1988) upravuje, jak organizace shromažďují, používají, ukládají a zveřejňují osobní údaje. Platí pro většinu australských vládních agentur a organizací soukromého sektoru s ročním obratem nad 3 miliony AUD, ačkoli se vztahuje i na mnoho menších subjektů. 13 australských zásad ochrany soukromí (APPs) tvoří operační páteř souladu a nedávné změny z roku 2026 výrazně zvýšily sankce a pravomoci pro vymáhání.
Klíčové poznatky
- Zákon o ochraně soukromí z roku 1988 spravuje Úřad australského informačního komisaře (OAIC) a vztahuje se na „subjekty APP“, většinu federálních agentur a kvalifikované soukromé organizace.
- 13 australských zásad ochrany soukromí (APPs) pokrývá celý životní cyklus dat: shromažďování, používání, zveřejňování, kvalitu, zabezpečení a práva jednotlivců na přístup.
- Maximální občanskoprávní sankce za závažná nebo opakovaná porušení byly výrazně zvýšeny na základě nedávných změn, čímž se Austrálie přiblížila vymáhání na úrovni GDPR [4].
- Systém oznamování narušení dat (NDB) vyžaduje, aby dotčené subjekty oznámily OAIC i postiženým jednotlivcům, když je narušení pravděpodobně způsobí vážnou újmu [5].
- Zákon o ochraně soukromí a dalších právních předpisech z roku 2024 zavedl zákonné delikty za závažné narušení soukromí, což dává jednotlivcům přímý právní prostředek nápravy [4].
- Požadavky na transparentnost automatizovaného rozhodování vstoupí v platnost 10. prosince 2026 a vyžadují, aby subjekty APP zveřejňovaly, jak algoritmy ovlivňují jednotlivce [1].
- Návrh kodexu ochrany soukromí dětí online byl zveřejněn 31. března 2026, s platností od prosince 2026 [2].
- OAIC v červnu 2026 rozhodl, že poskytovatelé zdravotní péče používající sledovací pixely třetích stran bez souhlasu porušili zákon o ochraně soukromí [3].
- Malé podniky s obratem pod 3 miliony dolarů mohou být stále pokryty, pokud nakládají se zdravotními informacemi, obchodují s osobními údaji nebo poskytují určité smluvní služby.
- Zásady ochrany osobních údajů jsou právně vyžadovány pro všechny subjekty APP a musí splňovat specifické standardy obsahu podle APP 1.
Co jsou australské zásady ochrany soukromí a jak fungují
13 australských zásad ochrany soukromí (APPs), stanovených v příloze 1 zákona o ochraně soukromí z roku 1988, jsou primárními pravidly, která upravují, jak subjekty APP nakládají s osobními údaji. Každá zásada se zabývá odlišnou fází nebo aspektem nakládání s daty a nedodržení kterékoli z nich může vyvolat regulační opatření.
APPs jsou seskupeny do pěti funkčních klastrů:
| Klastr | Pokryté APPs | Oblast zaměření |
|---|---|---|
| Zvážení ochrany osobních údajů | APP 1-2 | Otevřená správa, anonymita |
| Shromažďování osobních údajů | APP 3-4 | Zákonné shromažďování, nevyžádaná data |
| Nakládání s osobními údaji | APP 5-8 | Oznámení, použití, zveřejnění, zámořský přenos |
| Integrita osobních údajů | APP 9-10 | Kvalita, zabezpečení |
| Přístup a oprava | APP 11-13 | Identifikátory, přístup, oprava |
Jak fungují v praxi: Organizace shromažďující e-mailovou adresu zákazníka musí dodržovat APP 3 (shromažďovat pouze to, co je nezbytné), APP 5 (oznámit jednotlivci shromažďování), APP 6 (používat ji pouze pro primární účel, pokud neplatí výjimka) a APP 11 (udržovat ji v bezpečí). Porušení kteréhokoli z těchto pravidel samo o sobě představuje porušení.
Kdo musí dodržovat australský zákon o ochraně soukromí
Zákon o ochraně soukromí se vztahuje na „subjekty APP“, které zahrnují australské vládní agentury a organizace soukromého sektoru s ročním obratem nad 3 miliony AUD. Nicméně, práh není jediným spouštěčem.
Organizace s obratem pod 3 miliony dolarů jsou stále pokryty, pokud:
- Nakládají se zdravotními informacemi za poplatek
- Obchodují s osobními údaji (nákup nebo prodej dat)
- Jsou smluvním poskytovatelem služeb pro australskou vládu
- Provozují databázi nájemního bydlení
- Jsou spojeny s korporací, která je sama pokryta
Okrajový případ: Startup s ročním příjmem 800 000 AUD, který prodává uživatelská data třetí straně pro analýzu, je téměř jistě pokryt, bez ohledu na jeho obrat.
Co se podle australského zákona o ochraně soukromí považuje za osobní údaje
Osobní údaje jsou jakékoli informace nebo názory o identifikované osobě nebo osobě, která je přiměřeně identifikovatelná, ať už pravdivé nebo ne, a ať už zaznamenané v materiální podobě nebo ne. Jedná se o širokou, technologicky neutrální definici.
Příklady, které se kvalifikují:
- Celé jméno, datum narození, adresa, telefonní číslo
- IP adresy a identifikátory zařízení (v mnoha kontextech)
- Zdravotní záznamy, finanční údaje, biometrická data
- Fotografie a hlasové záznamy
- Názory na osobu (i když jsou nepravdivé)
Citlivé informace jsou podskupinou s vyšší ochranou a zahrnují zdravotní údaje, rasový nebo etnický původ, politické názory, náboženské přesvědčení, sexuální orientaci a záznamy o trestné činnosti. Shromažďování citlivých informací obecně vyžaduje výslovný souhlas.
Jak zjistím, zda moje firma musí dodržovat australský zákon o ochraně soukromí
Začněte testem obratu: pokud má vaše australská firma roční obrat nad 3 miliony AUD, jste téměř jistě subjektem APP. Pokud spadnete pod tuto hranici, zkontrolujte výše uvedené spouštěče založené na kategoriích.
Pravidlo rozhodování:
- Obrat nad 3 miliony AUD: pokryto, tečka.
- Obrat pod 3 miliony AUD, ale nakládáte se zdravotními záznamy, prodáváte data nebo máte vládní smlouvu: pokryto.
- Obrat pod 3 miliony AUD, nic z výše uvedeného: pravděpodobně osvobozeno, ale předpokládejte to až po přezkoumání úplného seznamu výjimek OAIC.
Všimněte si, že státní a teritoriální zákony o ochraně soukromí mohou ukládat další povinnosti, které nejsou pokryty federálním zákonem, zejména v Novém Jižním Walesu, Victorii a Queenslandu.
Jaký je rozdíl mezi zákonem o ochraně soukromí a APPs
Zákon o ochraně soukromí z roku 1988 je zastřešující federální legislativa. Australské zásady ochrany soukromí jsou specifická, vymahatelná pravidla, která spadají pod tuto legislativu a přesně říkají organizacím, co musí a nesmí dělat s osobními údaji.
Představte si zákon o ochraně soukromí jako statut a APPs jako jeho provozní příručku. Organizace „dodržuje zákon o ochraně soukromí“ tím, že splňuje všech 13 APPs, mimo jiné povinnosti, jako je systém NDB a nadcházející požadavky na automatizované rozhodování [1].
Jaké jsou sankce za porušení australského zákona o ochraně soukromí
Sankce se podstatně zvýšily. Za závažné nebo opakované zásahy do soukromí je maximální občanskoprávní sankce pro právnickou osobu vyšší z následujících: 50 milionů AUD; trojnásobek hodnoty získaného prospěchu; nebo 30 % upraveného obratu subjektu během období porušení [4][5].
Pro jednotlivce je maximální občanskoprávní sankce za závažná porušení 2,5 milionu AUD. OAIC má také rozšířené vyšetřovací a vymáhací pravomoci, včetně schopnosti provádět vyšetřování z vlastní iniciativy a přijímat vymahatelné závazky [4].
Změny z roku 2024 rovněž zavedly zákonný delikt za závažné narušení soukromí, který umožňuje postiženým jednotlivcům žalovat přímo u soudu, aniž by nejprve prošli OAIC [4].
Jak se vypořádat s narušením dat podle australského zákona o ochraně soukromí
Podle systému oznamování narušení dat (NDB) musí subjekt APP, který zažije „způsobilé narušení dat“, oznámit OAIC a postiženým jednotlivcům co nejdříve [5]. Způsobilé narušení dat je takové, které pravděpodobně povede k vážné újmě pro kteroukoli z osob, jejichž informace byly dotčeny.
Kroky reakce:
- Okamžitě omezte narušení (zrušte přístup, izolujte postižené systémy).
- Posuďte, zda narušení splňuje práh „pravděpodobné vážné újmy“.
- Pokud ano, oznamte OAIC podáním prohlášení prostřednictvím online portálu OAIC.
- Přímo oznamte postiženým jednotlivcům, včetně povahy narušení a doporučených ochranných kroků.
- Přezkoumejte a napravte zranitelnost, která narušení způsobila.
Častá chyba: Zpoždění oznámení během provádění zdlouhavého interního vyšetřování. Zákon nepovoluje neomezené doby posuzování, pokud je pravděpodobná vážná újma, oznamte to neprodleně.
Jaká práva mají Australané podle zákona o ochraně soukromí
Australané mají několik vymahatelných práv podle APPs. APP 12 dává jednotlivcům právo na přístup k jejich osobním údajům, které drží subjekt APP. APP 13 jim dává právo požádat o opravu nepřesných, zastaralých nebo neúplných informací.
Další práva zahrnují:
- Právo zůstat v anonymitě nebo používat pseudonym, pokud je to zákonné a proveditelné (APP 2)
- Právo vědět, jaké informace jsou shromažďovány a proč (APP 5)
- Právo odhlásit se z přímého marketingu (APP 7)
- Právo stěžovat si OAIC, pokud nejsou práva respektována
Jak nechat smazat svá data podle australského zákona o ochraně soukromí
Zákon o ochraně soukromí neobsahuje výslovné „právo na výmaz“ rovnocenné článku 17 GDPR. Nicméně, APP 11.2 vyžaduje, aby organizace zničily nebo anonymizovaly osobní údaje, které již nejsou potřebné pro žádný účel, pro který by mohly být použity nebo zveřejněny.
Praktická cesta pro jednotlivce: Podejte písemnou žádost úředníkovi pro ochranu soukromí organizace. Pokud organizace odmítne nebo neodpoví do 30 dnů, podejte stížnost u OAIC. OAIC může provést šetření a v případě potřeby nařídit organizaci, aby přijala nápravná opatření.
Jak dlouho mohou organizace uchovávat osobní údaje podle australského zákona o ochraně soukromí
V zákoně o ochraně soukromí neexistuje žádná jednotná zákonná doba uchovávání. APP 11.2 vyžaduje, aby organizace přijaly přiměřené kroky k zničení nebo anonymizaci osobních údajů, jakmile již nejsou potřebné. Nicméně, jiné zákony, včetně zákona o korporacích, daňové legislativy a odvětvových předpisů, ukládají vlastní minimální doby uchovávání, které mají přednost.
Praktické pokyny: Porovnejte svá data s testem „již nepotřebné“ podle zákona o ochraně soukromí a s jakýmikoli odvětvovými mandáty pro uchovávání. Pokud existuje zákonná povinnost uchovávání, uchovávejte data po tuto dobu a ne déle.
Co by měly obsahovat zásady ochrany osobních údajů podle australského práva
APP 1.3 vyžaduje, aby každý subjekt APP měl jasně vyjádřené a aktuální zásady ochrany osobních údajů. OAIC v současné době provádí kontrolu zásad ochrany osobních údajů napříč odvětvími, aby posoudil, zda splňují tento standard [1].
Vyhovující zásady ochrany osobních údajů musí zahrnovat:
- Druhy osobních údajů, které subjekt shromažďuje a uchovává
- Jak jsou osobní údaje shromažďovány a uchovávány
- Účely, pro které jsou shromažďovány, uchovávány, používány a zveřejňovány
- Jak může jednotlivec získat přístup ke svým informacím a požádat o jejich opravu
- Jak subjekt řeší stížnosti
- Zda jsou osobní údaje zveřejňovány příjemcům v zámoří, a pokud ano, do kterých zemí
Aktualizace pro rok 2026: Od 10. prosince 2026 musí zásady ochrany osobních údajů také zveřejňovat použití automatizovaných rozhodovacích procesů, které významně ovlivňují jednotlivce, včetně typů osobních údajů, které jsou do nich zapojeny [1].
Jaký je proces podání stížnosti na ochranu soukromí v Austrálii
Jednotlivci musí nejprve podat stížnost přímo dotčené organizaci a počkat 30 dní na odpověď, než ji eskalují na OAIC. Pokud organizace stížnost uspokojivě nevyřeší, může jednotlivec podat formální stížnost u OAIC bezplatně.
OAIC se může pokusit o smír, provést formální vyšetřování nebo vydat rozhodnutí. Pokud je zjištěno porušení, OAIC může organizaci nařídit, aby přijala nápravná opatření, omluvila se nebo zaplatila stěžovateli odškodnění.
Jak se australský zákon o ochraně soukromí srovnává s GDPR
Australský zákon o ochraně soukromí a nařízení EU o ochraně osobních údajů (GDPR) sdílejí společné cíle, ale liší se rozsahem, právy a vymáháním. Níže uvedená tabulka shrnuje klíčové rozdíly.
| Funkce | Australský zákon o ochraně soukromí | GDPR |
|---|---|---|
| Výslovné právo na výmaz | Ne (pouze APP 11.2) | Ano (článek 17) |
| Právo na přenositelnost dat | Ne | Ano (článek 20) |
| Souhlas jako primární základ | Jeden z několika základů | Centrální, ale ne výhradní |
| Max. sankce (korporátní) | 50 milionů AUD nebo na základě obratu | 20 milionů EUR nebo 4 % celosvětového obratu |
| Dozorový úřad | OAIC | Národní DPA pro každý členský stát |
| Územní dosah | Primárně australské subjekty | Globální, pokud cílí na obyvatele EU |
Austrálie v současné době nemá rozhodnutí o přiměřenosti od EU, což znamená, že přenosy dat z EU do Austrálie vyžadují dodatečné záruky podle GDPR.
Musí malé podniky dodržovat australský zákon o ochraně soukromí
Malé podniky s ročním obratem pod 3 miliony AUD jsou obecně osvobozeny od zákona o ochraně soukromí, ale výjimka má významné výjimky. Každý malý podnik, který nakládá se zdravotními informacemi, obchoduje s osobními údaji nebo poskytuje služby na základě smlouvy s australskou vládou, zcela ztrácí svůj status osvobození.
Zvolte cestu osvobození pouze v případě, že: vaše firma je pod prahem, nenakládá se zdravotními údaji, neprodává ani nekupuje osobní údaje a nemá žádné vládní smlouvy. V případě pochybností je považování APPs za základ souladu rozumným řízením rizik bez ohledu na právní povinnost.
Správa souhlasu a sledovacích technologií v roce 2026
Správa souhlasu se stala klíčovou otázkou souladu. V červnu 2026 komisař pro ochranu soukromí rozhodl, že poskytovatelé zdravotní péče Medmate Australia a Monash IVF porušili zákon o ochraně soukromí nasazením sledovacích pixelů třetích stran, které shromažďovaly citlivé zdravotní informace bez souhlasu uživatele [3]. Zpráva OAIC, „Váš život, pixelovaný“, stanoví konkrétní doporučení pro jakoukoli organizaci používající sledovací technologie na platformách souvisejících se zdravím [3][6].
Pro provozovatele webových stránek a marketingové agentury toto rozhodnutí stanovuje jasný precedens: sledovací pixely, analytické značky a nástroje pro behaviorální reklamu, které se dotýkají citlivých informací, vyžadují výslovný, informovaný souhlas před aktivací. Platforma pro správu souhlasu (CMP), která zaznamenává a ukládá záznamy o souhlasu, již není pro regulované subjekty volitelná, je to praktická nutnost. Biscotti CMP je navržena tak, aby pomohla subjektům APP splnit tyto povinnosti týkající se souhlasu tím, že poskytuje podrobné, auditovatelné záznamy o souhlasu v souladu s australskými požadavky na ochranu soukromí.
FAQ
Otázka: Vztahuje se australský zákon o ochraně soukromí na zahraniční společnosti? Odpověď: Ano, pokud zahraniční společnost podniká v Austrálii a shromažďuje nebo uchovává osobní údaje od Australanů, platí zákon o ochraně soukromí, bez ohledu na to, kde má společnost sídlo.
Otázka: Jsou zásady ochrany osobních údajů právně vyžadovány pro všechny podniky v Austrálii? Odpověď: Pouze pro subjekty APP. Nicméně, podniky, které jsou technicky osvobozeny, mohou stále těžit z toho, že je mají pro důvěru spotřebitelů a pro předcházení budoucím regulačním změnám.
Otázka: Co je „způsobilé narušení dat“ podle systému NDB? Odpověď: Narušení dat zahrnující osobní údaje, kde existuje skutečné riziko vážné újmy pro postižené jednotlivce, například neoprávněný přístup k přihlašovacím údajům k finančním účtům nebo zdravotním záznamům.
Otázka: Mohou jednotlivci žalovat organizace přímo za porušení soukromí? Odpověď: Od zákona o ochraně soukromí a dalších právních předpisech z roku 2024 mohou jednotlivci podat žalobu na základě zákonného deliktu za závažné narušení soukromí, aniž by nejprve prošli OAIC [4].
Otázka: Jsou záznamy zaměstnanců pokryty zákonem o ochraně soukromí? Odpověď: Záznamy zaměstnanců soukromého sektoru, které drží zaměstnavatel a používají se přímo ve vztahu k pracovnímu poměru, jsou obecně osvobozeny podle výjimky pro záznamy zaměstnanců.
Otázka: Co je kodex ochrany soukromí dětí online? Odpověď: Návrh kodexu zveřejněný OAIC 31. března 2026, který uloží specifické povinnosti online službám, které shromažďují data dětí, s platností od 10. prosince 2026 [2].
Otázka: Vyžadují sledovací pixely souhlas podle australského práva? Odpověď: Pokud pixely shromažďují citlivé informace (jako jsou zdravotní údaje), ano, rozhodnutí OAIC z června 2026 potvrdilo, že nasazení takových pixelů bez souhlasu porušuje zákon o ochraně soukromí [3].
Otázka: Co znamená „transparentnost automatizovaného rozhodování“ od prosince 2026? Odpověď: Subjekty APP musí ve svých zásadách ochrany osobních údajů zveřejnit, kdy počítačové programy činí rozhodnutí, která významně ovlivňují práva nebo zájmy jednotlivců, včetně toho, jaké osobní údaje jsou použity [1].
Otázka: Jak dlouho trvá OAIC vyřešit stížnost? Odpověď: Časové osy se liší. OAIC si klade za cíl vyřešit jednoduché stížnosti do 90 dnů, ale složitá vyšetřování mohou trvat podstatně déle.
Otázka: Je za podání stížnosti u OAIC poplatek? Odpověď: Ne. Stížnosti u OAIC jsou pro jednotlivce bezplatné.
Závěr
Australský zákon o ochraně soukromí: Průvodce APPs a souladem s daty není statická reference, je to živý rámec, který prošel nejvýznamnější transformací za desetiletí. Změny z let 2024 a 2026 výrazně zvýšily sázky: vyšší sankce, zákonný delikt, povinné zveřejňování automatizovaného rozhodování a kodex ochrany soukromí dětí online, to vše vyžaduje aktivní programy souladu spíše než pasivní zaškrtávání políček.
Akční další kroky pro organizace v roce 2026:
- Auditujte své zásady ochrany osobních údajů proti požadavkům APP 1.3 a aktuálním kritériím kontroly souladu OAIC [1].
- Zkontrolujte všechny sledovací technologie na vašem webu a zajistěte, aby byl získán výslovný souhlas před shromažďováním jakýchkoli citlivých dat [3][6].
- Připravte se na termíny v prosinci 2026, kdy vstoupí v platnost zveřejňování automatizovaného rozhodování a kodex ochrany soukromí dětí online [1][2].
- Otestujte svůj plán reakce na narušení dat proti požadavkům na oznámení systému NDB [5].
- Implementujte řešení pro správu souhlasu, jako je Biscotti CMP, pro zaznamenávání, ukládání a prokazování záznamů o souhlasu, které splňují australské povinnosti týkající se ochrany soukromí.
- Vyhledejte kvalifikovanou právní radu, pokud vaše organizace nakládá s citlivými informacemi, působí přes hranice nebo si není jistá svým statusem subjektu APP.
Soulad není jednorázový projekt. Rozšiřující se postoj OAIC k vymáhání v roce 2026 činí průběžnou kontrolu obchodní nutností.
Reference
[1] Australian Privacy Law Update What App Entities Need To Know In 2026 - https://www.landers.com.au/legal-insights-news/australian-privacy-law-update-what-app-entities-need-to-know-in-2026?utm_source=openai
[2] Draft Childrens Online Privacy Code Released 31 03 2026 - https://ministers.ag.gov.au/media-centre/draft-childrens-online-privacy-code-released-31-03-2026?utm_source=openai
[3] Privacy Commissioner Finds Privacy Breaches In Third Party Tracking Pixel Investigation - https://www.oaic.gov.au/news/media-centre/privacy-commissioner-finds-privacy-breaches-in-third-party-tracking-pixel-investigation?utm_source=openai
[4] Australian Privacy Act Reform - https://cybernion.com.au/insights/australian-privacy-act-reform/?utm_source=openai
[5] Privacy - https://www.ag.gov.au/rights-and-protections/privacy?utm_source=openai
[6] Australia Pixel Perfect The Regulator Addresses Use Of Tracking Pixels - https://privacymatters.dlapiper.com/2026/06/australia-pixel-perfect-the-regulator-addresses-use-of-tracking-pixels/?utm_source=openai