Resposta rápida: A Lei de Privacidade Australiana de 1988 regula como as organizacións recollen, usan, almacenan e divulgan información persoal. Aplícase á maioría das axencias gobernamentais australianas e ás organizacións do sector privado cunha facturación anual superior a 3 millóns de AUD, aínda que moitas entidades máis pequenas tamén están incluídas. Os 13 Principios de Privacidade Australianos (APP) da Lei forman a columna vertebral operativa do cumprimento, e as recentes modificacións de 2026 aumentaron significativamente as sancións e os poderes de execución.
Puntos clave
- A Lei de Privacidade de 1988 é administrada pola Oficina do Comisionado de Información Australiano (OAIC) e aplícase ás "entidades APP", á maioría das axencias federais e ás organizacións privadas cualificadas.
- Os 13 Principios de Privacidade Australianos abranguen todo o ciclo de vida dos datos: recollida, uso, divulgación, calidade, seguridade e dereitos de acceso individuais.
- As sancións civís máximas por infraccións graves ou reiteradas aumentaron significativamente coas recentes modificacións, aliñando a Australia máis preto da execución a nivel GDPR [4].
- O esquema de Notificación de Violacións de Datos (NDB) require que as entidades afectadas notifiquen tanto á OAIC como aos individuos afectados cando unha violación poida causar danos graves [5].
- Un delito civil estatutario por invasións graves da privacidade foi introducido pola Lei de Modificación da Privacidade e Outra Lexislación de 2024, outorgando aos individuos un recurso legal directo [4].
- Os requisitos de transparencia da toma de decisións automatizada entran en vigor o 10 de decembro de 2026, esixindo ás entidades APP que divulguen como os algoritmos afectan aos individuos [1].
- Un borrador do Código de Privacidade en Liña para Nenos foi publicado o 31 de marzo de 2026, coa execución prevista para decembro de 2026 [2].
- A OAIC ditaminou en xuño de 2026 que os provedores de saúde que utilizaban píxeles de seguimento de terceiros sen consentimento infrinxiron a Lei de Privacidade [3].
- As pequenas empresas por debaixo do limiar de facturación de 3 millóns de dólares aínda poden estar cubertas se manexan información de saúde, comercian con datos persoais ou proporcionan certos servizos contratados.
- Unha política de privacidade é legalmente requirida para todas as entidades APP e debe cumprir estándares de contido específicos baixo a APP 1.
Que son os Principios de Privacidade Australianos e como funcionan
Os 13 Principios de Privacidade Australianos (APP), establecidos no Anexo 1 da Lei de Privacidade de 1988, son as regras primarias que rexen como as entidades APP manexan a información persoal. Cada principio aborda unha fase ou aspecto distinto do manexo de datos, e o incumprimento de calquera deles pode desencadear unha acción reguladora.
Os APP agrúpanse en cinco grupos funcionais:
| Grupo | APP cubertas | Área de enfoque |
|---|---|---|
| Consideración da privacidade da información persoal | APP 1-2 | Xestión aberta, anonimato |
| Recollida de información persoal | APP 3-4 | Recollida legal, datos non solicitados |
| Tratamento da información persoal | APP 5-8 | Notificación, uso, divulgación, transferencia internacional |
| Integridade da información persoal | APP 9-10 | Calidade, seguridade |
| Acceso e corrección | APP 11-13 | Identificadores, acceso, corrección |
Como funcionan na práctica: Unha organización que recolle o enderezo de correo electrónico dun cliente debe cumprir coa APP 3 (só recoller o necesario), a APP 5 (notificar ao individuo da recollida), a APP 6 (só usalo para o propósito principal a menos que se aplique unha excepción) e a APP 11 (mantelo seguro). A violación de calquera destes de forma illada constitúe unha infracción.
Quen ten que cumprir coa Lei de Privacidade Australiana
A Lei de Privacidade aplícase ás "entidades APP", que inclúen axencias gobernamentais australianas e organizacións do sector privado cunha facturación anual superior a 3 millóns de AUD. Con todo, o limiar non é o único desencadeante.
As organizacións con facturación inferior a 3 millóns de dólares aínda están cubertas se:
- Manexan información de saúde por unha tarifa
- Comercian con información persoal (compra ou venda de datos)
- Son un provedor de servizos contratado polo Goberno australiano
- Operan unha base de datos de arrendamento residencial
- Están relacionadas cunha persoa xurídica que está cuberta
Caso límite: Unha startup que gaña 800.000 dólares anuais e vende datos de usuarios a unha empresa de análise de terceiros está case con toda seguridade cuberta, independentemente da súa facturación.
Que se considera información persoal segundo a Lei de Privacidade Australiana
A información persoal é calquera información ou opinión sobre un individuo identificado, ou un individuo que é razoablemente identificable, sexa verdadeira ou non e estea rexistrada nunha forma material ou non. Esta é unha definición ampla e tecnoloxicamente neutra.
Exemplos que cualifican:
- Nome completo, data de nacemento, enderezo, número de teléfono
- Enderezos IP e identificadores de dispositivos (en moitos contextos)
- Rexistros de saúde, detalles financeiros, datos biométricos
- Fotografías e gravacións de voz
- Opinións sobre unha persoa (aínda que sexan falsas)
A información sensible é un subconxunto que leva maiores proteccións e inclúe datos de saúde, orixe racial ou étnica, opinións políticas, crenzas relixiosas, orientación sexual e antecedentes penais. A recollida de información sensible xeralmente require consentimento explícito.
Como sei se a miña empresa necesita seguir a Lei de Privacidade Australiana
Comeza coa proba de facturación: se a túa empresa australiana ten unha facturación anual superior a 3 millóns de AUD, case con toda seguridade es unha entidade APP. Se estás por debaixo dese limiar, consulta os desencadeantes baseados en categorías listados anteriormente.
Regra de decisión:
- Facturación superior a 3 millóns de dólares: cuberto, punto final.
- Facturación inferior a 3 millóns de dólares pero manexas rexistros de saúde, vendes datos ou tes un contrato gobernamental: cuberto.
- Facturación inferior a 3 millóns de dólares, nada do anterior: probablemente exento, pero revisa a lista completa de exencións da OAIC antes de asumilo.
Ten en conta que as leis de privacidade estatais e territoriais poden impoñer obrigas adicionais non cubertas pola Lei federal, particularmente en Nova Gales do Sur, Victoria e Queensland.
Cal é a diferenza entre a Lei de Privacidade e as APP
A Lei de Privacidade de 1988 é a lexislación federal xeral. Os Principios de Privacidade Australianos son as regras específicas e aplicables que se atopan dentro desa lexislación e din ás organizacións exactamente o que deben e non deben facer coa información persoal.
Pensa na Lei de Privacidade como o estatuto e as APP como o seu regulamento operativo. Unha organización "cumpre coa Lei de Privacidade" cumprindo as 13 APP, entre outras obrigas como o esquema NDB e os próximos requisitos de toma de decisións automatizada [1].
Cales son as sancións por incumprir a Lei de Privacidade Australiana
As sancións aumentaron substancialmente. Por interferencias graves ou reiteradas coa privacidade, a sanción civil máxima para unha persoa xurídica é a maior de: 50 millóns de AUD; tres veces o valor do beneficio obtido; ou o 30% da facturación axustada da entidade durante o período da infracción [4][5].
Para os individuos, a sanción civil máxima por infraccións graves é de 2,5 millóns de AUD. A OAIC tamén ampliou os seus poderes de investigación e execución, incluíndo a capacidade de realizar investigacións por iniciativa propia e aceptar compromisos executables [4].
As modificacións de 2024 tamén introduciron un delito civil estatutario por invasións graves da privacidade, permitindo aos individuos demandar directamente nos tribunais sen pasar primeiro pola OAIC [4].
Como manexo unha violación de datos segundo a Lei de Privacidade Australiana
Segundo o esquema de Notificación de Violacións de Datos (NDB), unha entidade APP que experimenta unha "violación de datos elixible" debe notificar á OAIC e aos individuos afectados o antes posible [5]. Unha violación de datos elixible é aquela que probablemente resulte en danos graves a calquera dos individuos cuxa información estivo implicada.
Pasos de resposta:
- Conter a violación inmediatamente (revogar o acceso, illar os sistemas afectados).
- Avaliar se a violación cumpre o limiar de "danos graves probables".
- Se é así, notificar á OAIC presentando unha declaración a través do portal en liña da OAIC.
- Notificar directamente aos individuos afectados, incluíndo a natureza da violación e os pasos de protección recomendados.
- Revisar e remediar a vulnerabilidade que causou a violación.
Erro común: Atrasar a notificación mentres se realiza unha longa investigación interna. A Lei non permite períodos de avaliación indefinidos; se é probable que se produzan danos graves, notifique de inmediato.
Que dereitos teñen os australianos segundo a Lei de Privacidade
Os australianos teñen varios dereitos aplicables segundo as APP. A APP 12 outorga aos individuos o dereito a acceder á súa información persoal en poder dunha entidade APP. A APP 13 outórgalles o dereito a solicitar a corrección de información inexacta, desactualizada ou incompleta.
Os dereitos adicionais inclúen:
- O dereito a permanecer anónimo ou usar un pseudónimo cando sexa legal e practicable (APP 2)
- O dereito a saber que información se recolle e por que (APP 5)
- O dereito a optar por non recibir marketing directo (APP 7)
- O dereito a presentar unha queixa ante a OAIC se non se respectan os dereitos
Como eliminar os seus datos segundo a Lei de Privacidade Australiana
A Lei de Privacidade non contén un "dereito ao borrado" explícito equivalente ao artigo 17 do GDPR. Con todo, a APP 11.2 require que as organizacións destrúan ou desidentifiquen a información persoal que xa non sexa necesaria para calquera propósito para o que poida ser utilizada ou divulgada.
Vía práctica para os individuos: Enviar unha solicitude por escrito ao responsable de privacidade da organización. Se a organización se nega ou non responde nun prazo de 30 días, presentar unha queixa ante a OAIC. A OAIC pode investigar e, se é apropiado, ordenar á organización que tome medidas correctoras.
Canto tempo poden as organizacións conservar datos persoais segundo a Lei de Privacidade Australiana
Non existe un único período de retención estatutario na Lei de Privacidade. A APP 11.2 require que as organizacións tomen medidas razoables para destruír ou desidentificar a información persoal unha vez que xa non sexa necesaria. Con todo, outras leis, incluída a Lei de Sociedades, a lexislación fiscal e as regulacións específicas da industria, impoñen os seus propios períodos mínimos de retención que teñen precedencia.
Orientación práctica: Mapea os teus datos fronte á proba de "xa non necesarios" da Lei de Privacidade e calquera mandato de retención específico do sector. Cando exista unha obriga legal de retención, conserva os datos durante ese período e non máis.
Que debe incluír unha política de privacidade segundo a lei australiana
A APP 1.3 require que toda entidade APP teña unha política de privacidade claramente expresada e actualizada. A OAIC está actualmente realizando unha revisión de cumprimento das políticas de privacidade en todas as industrias para avaliar se cumpren este estándar [1].
Unha política de privacidade conforme debe incluír:
- Os tipos de información persoal que a entidade recolle e posúe
- Como se recolle e posúe a información persoal
- Os fins para os que se recolle, posúe, usa e divulga
- Como un individuo pode acceder e solicitar a corrección da súa información
- Como a entidade xestiona as queixas
- Se a información persoal se divulga a destinatarios no estranxeiro, e de ser así, a que países
Actualización de 2026: A partir do 10 de decembro de 2026, as políticas de privacidade tamén deben divulgar o uso de procesos de toma de decisións automatizadas que afecten significativamente aos individuos, incluídos os tipos de información persoal implicados [1].
Cal é o proceso para presentar unha queixa de privacidade en Australia
Os individuos deben primeiro presentar unha queixa directamente á organización implicada e esperar 30 días para unha resposta antes de escalar á OAIC. Se a organización non resolve a queixa satisfactoriamente, o individuo pode presentar unha queixa formal ante a OAIC sen custo.
A OAIC pode intentar a conciliación, realizar unha investigación formal ou tomar unha determinación. Se se atopa unha infracción, a OAIC pode ordenar á organización que tome medidas correctoras, se desculpe ou pague unha compensación ao reclamante.
Como se compara a Lei de Privacidade Australiana co GDPR
A Lei de Privacidade Australiana e o Regulamento Xeral de Protección de Datos (GDPR) da UE comparten obxectivos comúns pero difiren en alcance, dereitos e aplicación. A seguinte táboa resume as distincións clave.
| Característica | Lei de Privacidade Australiana | GDPR |
|---|---|---|
| Dereito explícito ao borrado | Non (só APP 11.2) | Si (Artigo 17) |
| Dereito á portabilidade dos datos | Non | Si (Artigo 20) |
| Consentimento como base principal | Unha de varias bases | Central, pero non exclusiva |
| Sanción máxima (corporativa) | 50 millóns de AUD ou baseada na facturación | 20 millóns de EUR ou 4% da facturación global |
| Autoridade supervisora | OAIC | Autoridades de protección de datos nacionais por estado membro |
| Alcance territorial | Principalmente entidades australianas | Global se se dirixe a residentes da UE |
Australia non ten actualmente unha decisión de adecuación da UE, o que significa que as transferencias de datos da UE a Australia requiren salvagardas adicionais segundo o GDPR.
As pequenas empresas necesitan seguir a Lei de Privacidade Australiana
As pequenas empresas cunha facturación anual inferior a 3 millóns de AUD están xeralmente exentas da Lei de Privacidade, pero a exención ten excepcións significativas. Calquera pequena empresa que manexe información de saúde, comercie con datos persoais ou proporcione servizos baixo un contrato co Goberno australiano perde por completo o seu estado de exención.
Elixe a vía de exención só se: a túa empresa está por debaixo do limiar, non manexa datos de saúde, non vende nin compra información persoal e non ten contratos gobernamentais. En caso de dúbida, tratar as APP como unha base de cumprimento é unha boa xestión de riscos, independentemente da obriga legal.
Xestión do consentimento e tecnoloxías de seguimento en 2026
A xestión do consentimento converteuse nun problema de cumprimento de primeira liña. En xuño de 2026, o Comisionado de Privacidade determinou que os provedores de saúde Medmate Australia e Monash IVF infrinxiron a Lei de Privacidade ao despregar píxeles de seguimento de terceiros que recollían información de saúde sensible sen o consentimento do usuario [3]. O informe publicado pola OAIC, "A túa vida, pixelada", establece recomendacións específicas para calquera organización que utilice tecnoloxías de seguimento en plataformas relacionadas coa saúde [3][6].
Para os operadores de sitios web e as axencias de marketing, esta determinación establece un precedente claro: os píxeles de seguimento, as etiquetas de análise e as ferramentas de publicidade comportamental que tocan información sensible requiren un consentimento explícito e informado antes da activación. Unha plataforma de xestión de consentimento (CMP) que captura e almacena rexistros de consentimento xa non é opcional para as entidades reguladas, é unha necesidade práctica. Biscotti CMP está deseñado para axudar ás entidades APP a cumprir estas obrigas de consentimento proporcionando rexistros de consentimento granulares e auditables aliñados cos requisitos de privacidade australianos.
Preguntas frecuentes
P: A Lei de Privacidade Australiana aplícase a empresas estranxeiras? R: Si, se a empresa estranxeira realiza negocios en Australia e recolle ou posúe información persoal de australianos, a Lei de Privacidade aplícase, independentemente de onde estea a sede da empresa.
P: É legalmente obrigatoria unha política de privacidade para todas as empresas en Australia? R: Só para as entidades APP. Con todo, as empresas que están tecnicamente exentas aínda poden beneficiarse de ter unha para a confianza do consumidor e para anticiparse a futuros cambios regulamentarios.
P: Que é unha "violación de datos elixible" segundo o esquema NDB? R: Unha violación de datos que implica información persoal onde existe un risco real de danos graves para os individuos afectados, por exemplo, acceso non autorizado a credenciais de contas financeiras ou rexistros de saúde.
P: Poden os individuos demandar directamente ás organizacións por violacións de privacidade? R: Desde a Lei de Modificación da Privacidade e Outra Lexislación de 2024, os individuos poden presentar unha demanda por delito civil estatutario por invasións graves da privacidade sen pasar primeiro pola OAIC [4].
P: Os rexistros dos empregados están cubertos pola Lei de Privacidade? R: Os rexistros dos empregados do sector privado en poder dun empregador e utilizados directamente en relación coa relación laboral están xeralmente exentos segundo a exención de rexistros dos empregados.
P: Que é o Código de Privacidade en Liña para Nenos? R: Un borrador de código publicado pola OAIC o 31 de marzo de 2026 que impoñerá obrigas específicas aos servizos en liña que recollen datos de nenos, coa aplicación a partir do 10 de decembro de 2026 [2].
P: Os píxeles de seguimento requiren consentimento segundo a lei australiana? R: Cando os píxeles recollen información sensible (como datos de saúde), si, a determinación da OAIC de xuño de 2026 confirmou que o despregamento de tales píxeles sen consentimento infrinxe a Lei de Privacidade [3].
P: Que significa a "transparencia da toma de decisións automatizada" a partir de decembro de 2026? R: As entidades APP deben divulgar nas súas políticas de privacidade cando os programas informáticos toman decisións que afectan significativamente os dereitos ou intereses dos individuos, incluíndo que información persoal se utiliza [1].
P: Canto tempo tarda a OAIC en resolver unha queixa? R: Os prazos varían. A OAIC ten como obxectivo resolver as queixas sinxelas nun prazo de 90 días, pero as investigacións complexas poden levar moito máis tempo.
P: Hai unha taxa para presentar unha queixa ante a OAIC? R: Non. As queixas ante a OAIC son gratuítas para os individuos.
Conclusión
A Lei de Privacidade Australiana: Unha Guía para as APP e o Cumprimento de Datos non é unha referencia estática, é un marco vivo que sufriu a súa transformación máis significativa en décadas. As modificacións de 2024 e 2026 elevaron considerablemente as apostas: sancións máis altas, un delito civil estatutario, divulgacións obrigatorias de toma de decisións automatizada e un Código de Privacidade en Liña para Nenos esixen programas de cumprimento activos en lugar de exercicios pasivos de verificación.
Próximos pasos accionables para as organizacións en 2026:
- Audita a túa política de privacidade fronte aos requisitos da APP 1.3 e os criterios de revisión de cumprimento actuais da OAIC [1].
- Revisa todas as tecnoloxías de seguimento no teu sitio web e asegúrate de que se obteña o consentimento explícito antes de que se recolla calquera dato sensible [3][6].
- Prepárate para os prazos de decembro de 2026, as divulgacións de toma de decisións automatizada e o Código de Privacidade en Liña para Nenos entran en vigor entón [1][2].
- Proba o teu plan de resposta a violacións de datos fronte aos requisitos de notificación do esquema NDB [5].
- Implementa unha solución de xestión de consentimento como Biscotti CMP para capturar, almacenar e demostrar rexistros de consentimento que satisfagan as obrigas de privacidade australianas.
- Busca asesoramento legal cualificado se a túa organización manexa información sensible, opera a través de fronteiras ou non está segura do seu estado de entidade APP.
O cumprimento non é un proxecto único. A postura de aplicación en expansión da OAIC en 2026 fai que a revisión continua sexa unha necesidade empresarial.
Referencias
[1] Australian Privacy Law Update What App Entities Need To Know In 2026 - https://www.landers.com.au/legal-insights-news/australian-privacy-law-update-what-app-entities-need-to-know-in-2026?utm_source=openai
[2] Draft Childrens Online Privacy Code Released 31 03 2026 - https://ministers.ag.gov.au/media-centre/draft-childrens-online-privacy-code-released-31-03-2026?utm_source=openai
[3] Privacy Commissioner Finds Privacy Breaches In Third Party Tracking Pixel Investigation - https://www.oaic.gov.au/news/media-centre/privacy-commissioner-finds-privacy-breaches-in-third-party-tracking-pixel-investigation?utm_source=openai
[4] Australian Privacy Act Reform - https://cybernion.com.au/insights/australian-privacy-act-reform/?utm_source=openai
[5] Privacy - https://www.ag.gov.au/rights-and-protections/privacy?utm_source=openai
[6] Australia Pixel Perfect The Regulator Addresses Use Of Tracking Pixels - https://privacymatters.dlapiper.com/2026/06/australia-pixel-perfect-the-regulator-addresses-use-of-tracking-pixels/?utm_source=openai