Kratak odgovor: Australski Zakon o privatnosti iz 1988. regulira kako organizacije prikupljaju, koriste, pohranjuju i otkrivaju osobne podatke. Primjenjuje se na većinu australskih vladinih agencija i organizacija iz privatnog sektora s godišnjim prometom iznad 3 milijuna AUD, iako su obuhvaćeni i mnogi manji subjekti. 13 Australskih načela privatnosti (APP-ova) čine operativnu okosnicu usklađenosti, a nedavne izmjene iz 2026. značajno su povećale kazne i ovlasti za provedbu.
Ključne spoznaje
- Zakon o privatnosti iz 1988. administrira Ured australskog povjerenika za informacije (OAIC) i primjenjuje se na "APP subjekte", većinu saveznih agencija i kvalificirane privatne organizacije.
- 13 Australskih načela privatnosti pokrivaju cijeli životni ciklus podataka: prikupljanje, korištenje, otkrivanje, kvalitetu, sigurnost i individualna prava pristupa.
- Maksimalne građanske kazne za ozbiljne ili ponovljene povrede značajno su povećane prema nedavnim izmjenama, čime se Australija približava provedbi na razini GDPR-a [4].
- Shema obavijesti o povredama podataka (NDB) zahtijeva od pogođenih subjekata da obavijeste OAIC i pogođene pojedince kada je vjerojatno da će povreda uzrokovati ozbiljnu štetu [5].
- Zakonski delikt za ozbiljne povrede privatnosti uveden je Zakonom o izmjenama i dopunama Zakona o privatnosti i drugim zakonima iz 2024., dajući pojedincima izravan pravni lijek [4].
- Zahtjevi za transparentnost automatiziranog donošenja odluka stupaju na snagu 10. prosinca 2026., zahtijevajući od APP subjekata da otkriju kako algoritmi utječu na pojedince [1].
- Nacrt Kodeksa o privatnosti djece na internetu objavljen je 31. ožujka 2026., a provedba je predviđena za prosinac 2026. [2].
- OAIC je u lipnju 2026. presudio da su pružatelji zdravstvenih usluga koji koriste piksele za praćenje trećih strana bez pristanka prekršili Zakon o privatnosti [3].
- Mala poduzeća ispod praga prometa od 3 milijuna dolara i dalje mogu biti obuhvaćena ako rukuju zdravstvenim informacijama, trguju osobnim podacima ili pružaju određene ugovorene usluge.
- Politika privatnosti zakonski je obvezna za sve APP subjekte i mora ispunjavati specifične standarde sadržaja prema APP 1.
Što su Australska načela privatnosti i kako funkcioniraju
13 Australskih načela privatnosti (APP-ova), navedenih u Prilogu 1. Zakona o privatnosti iz 1988., primarna su pravila koja reguliraju kako APP subjekti rukuju osobnim podacima. Svako načelo obrađuje zasebnu fazu ili aspekt rukovanja podacima, a neusklađenost s bilo kojim od njih može pokrenuti regulatornu akciju.
APP-ovi su grupirani u pet funkcionalnih skupina:
| Skupina | Obuhvaćeni APP-ovi | Područje fokusa |
|---|---|---|
| Razmatranje privatnosti osobnih podataka | APP 1-2 | Otvoreno upravljanje, anonimnost |
| Prikupljanje osobnih podataka | APP 3-4 | Zakonito prikupljanje, neželjeni podaci |
| Postupanje s osobnim podacima | APP 5-8 | Obavijest, korištenje, otkrivanje, prekomorski prijenos |
| Integritet osobnih podataka | APP 9-10 | Kvaliteta, sigurnost |
| Pristup i ispravak | APP 11-13 | Identifikatori, pristup, ispravak |
Kako funkcioniraju u praksi: Organizacija koja prikuplja e-mail adresu korisnika mora se pridržavati APP 3 (prikupljati samo ono što je potrebno), APP 5 (obavijestiti pojedinca o prikupljanju), APP 6 (koristiti je samo za primarnu svrhu osim ako se ne primjenjuje iznimka) i APP 11 (čuvati je sigurnom). Kršenje bilo kojeg od ovih načela zasebno predstavlja povredu.
Tko se mora pridržavati Australskog Zakona o privatnosti
Zakon o privatnosti primjenjuje se na "APP subjekte", što uključuje australske vladine agencije i organizacije iz privatnog sektora s godišnjim prometom iznad 3 milijuna AUD. Međutim, prag nije jedini okidač.
Organizacije s prometom ispod 3 milijuna dolara i dalje su obuhvaćene ako:
- Rukuju zdravstvenim informacijama uz naknadu
- Trguju osobnim podacima (kupuju ili prodaju podatke)
- Su ugovorni pružatelj usluga australskoj vladi
- Upravljaju bazom podataka o najmu stambenih prostora
- Su povezane s korporativnim tijelom koje je samo po sebi obuhvaćeno
Granični slučaj: Startup koji godišnje zarađuje 800.000 dolara i prodaje korisničke podatke analitičkoj tvrtki treće strane gotovo je sigurno obuhvaćen, bez obzira na njegov promet.
Što se smatra osobnim podacima prema Australskom zakonu o privatnosti
Osobni podaci su sve informacije ili mišljenja o identificiranoj osobi, ili osobi koja se može razumno identificirati, bez obzira jesu li istinite ili ne i jesu li zabilježene u materijalnom obliku ili ne. Ovo je široka, tehnološki neutralna definicija.
Primjeri koji se kvalificiraju:
- Puno ime, datum rođenja, adresa, telefonski broj
- IP adrese i identifikatori uređaja (u mnogim kontekstima)
- Zdravstveni kartoni, financijski podaci, biometrijski podaci
- Fotografije i glasovne snimke
- Mišljenja o osobi (čak i ako su lažna)
Osjetljivi podaci su podskup koji nosi veću zaštitu i uključuje zdravstvene podatke, rasno ili etničko podrijetlo, politička mišljenja, vjerska uvjerenja, seksualnu orijentaciju i kaznene evidencije. Prikupljanje osjetljivih podataka općenito zahtijeva izričit pristanak.
Kako znati treba li moje poslovanje slijediti Australski Zakon o privatnosti
Započnite s testom prometa: ako vaše australsko poslovanje ima godišnji promet iznad 3 milijuna AUD, gotovo ste sigurno APP subjekt. Ako ste ispod tog praga, provjerite gore navedene okidače temeljene na kategorijama.
Pravilo odluke:
- Promet iznad 3 milijuna dolara: obuhvaćeno, točka.
- Promet ispod 3 milijuna dolara, ali rukujete zdravstvenim kartonima, prodajete podatke ili imate vladin ugovor: obuhvaćeno.
- Promet ispod 3 milijuna dolara, ništa od navedenog: vjerojatno izuzeto, ali prije nego što to pretpostavite, pregledajte cijeli popis izuzeća OAIC-a.
Imajte na umu da državni i teritorijalni zakoni o privatnosti mogu nametnuti dodatne obveze koje nisu obuhvaćene saveznim zakonom, posebno u Novom Južnom Walesu, Victoriji i Queenslandu.
Koja je razlika između Zakona o privatnosti i APP-ova
Zakon o privatnosti iz 1988. je krovni savezni zakon. Australska načela privatnosti su specifična, provediva pravila koja se nalaze unutar tog zakona i govore organizacijama točno što moraju, a što ne smiju činiti s osobnim podacima.
Zamislite Zakon o privatnosti kao statut, a APP-ove kao njegov operativni pravilnik. Organizacija "usklađuje se sa Zakonom o privatnosti" ispunjavanjem svih 13 APP-ova, među ostalim obvezama kao što su NDB shema i nadolazeći zahtjevi za automatizirano donošenje odluka [1].
Koje su kazne za kršenje Australskog Zakona o privatnosti
Kazne su znatno porasle. Za ozbiljne ili ponovljene povrede privatnosti, maksimalna građanska kazna za korporativno tijelo je veća od: 50 milijuna AUD; tri puta veće vrijednosti ostvarene koristi; ili 30% prilagođenog prometa subjekta tijekom razdoblja povrede [4][5].
Za pojedince, maksimalna građanska kazna za ozbiljne povrede iznosi 2,5 milijuna AUD. OAIC također ima proširene ovlasti za istragu i provedbu, uključujući mogućnost provođenja istraga po vlastitoj inicijativi i prihvaćanja provedivih obveza [4].
Izmjene iz 2024. također su uvele zakonski delikt za ozbiljne povrede privatnosti, omogućujući pogođenim pojedincima da izravno tuže na sudu bez prethodnog prolaska kroz OAIC [4].
Kako postupiti s povredom podataka prema Australskom zakonu o privatnosti
Prema shemi obavijesti o povredama podataka (NDB), APP subjekt koji doživi "kvalificiranu povredu podataka" mora obavijestiti OAIC i pogođene pojedince što je prije moguće [5]. Kvalificirana povreda podataka je ona za koju je vjerojatno da će rezultirati ozbiljnom štetom za bilo koju od osoba čiji su podaci bili uključeni.
Koraci odgovora:
- Odmah obuzdajte povredu (opozovite pristup, izolirajte pogođene sustave).
- Procijenite ispunjava li povreda prag "vjerojatne ozbiljne štete".
- Ako da, obavijestite OAIC podnošenjem izjave putem OAIC-ovog online portala.
- Izravno obavijestite pogođene pojedince, uključujući prirodu povrede i preporučene zaštitne korake.
- Pregledajte i otklonite ranjivost koja je uzrokovala povredu.
Uobičajena pogreška: Odgađanje obavijesti tijekom dugotrajne interne istrage. Zakon ne dopušta neodređene periode procjene; ako je vjerojatna ozbiljna šteta, obavijestite odmah.
Koja prava imaju Australci prema Zakonu o privatnosti
Australci imaju nekoliko provedivih prava prema APP-ovima. APP 12 daje pojedincima pravo pristupa svojim osobnim podacima koje posjeduje APP subjekt. APP 13 daje im pravo da zatraže ispravak netočnih, zastarjelih ili nepotpunih podataka.
Dodatna prava uključuju:
- Pravo na anonimnost ili korištenje pseudonima gdje je to zakonito i praktično (APP 2)
- Pravo znati koje se informacije prikupljaju i zašto (APP 5)
- Pravo na odustajanje od izravnog marketinga (APP 7)
- Pravo na podnošenje pritužbe OAIC-u ako se prava ne poštuju
Kako izbrisati svoje podatke prema Australskom Zakonu o privatnosti
Zakon o privatnosti ne sadrži izričito "pravo na brisanje" ekvivalentno članku 17. GDPR-a. Međutim, APP 11.2 zahtijeva od organizacija da unište ili deidentificiraju osobne podatke koji više nisu potrebni za bilo koju svrhu za koju se mogu koristiti ili otkriti.
Praktični put za pojedince: Podnesite pisani zahtjev službeniku za privatnost organizacije. Ako organizacija odbije ili ne odgovori u roku od 30 dana, podnesite pritužbu OAIC-u. OAIC može istražiti i, ako je prikladno, naložiti organizaciji da poduzme korektivne mjere.
Koliko dugo organizacije mogu čuvati osobne podatke prema Australskom zakonu o privatnosti
Ne postoji jedinstveno zakonsko razdoblje zadržavanja u Zakonu o privatnosti. APP 11.2 zahtijeva od organizacija da poduzmu razumne korake za uništavanje ili deidentifikaciju osobnih podataka nakon što više nisu potrebni. Međutim, drugi zakoni, uključujući Zakon o korporacijama, porezno zakonodavstvo i propise specifične za industriju, nameću vlastita minimalna razdoblja zadržavanja koja imaju prednost.
Praktične smjernice: Uskladite svoje podatke s testom "više nisu potrebni" Zakona o privatnosti i svim sektorskim obvezama zadržavanja. Gdje postoji zakonska obveza zadržavanja, čuvajte podatke za to razdoblje i ne dulje.
Što bi trebala sadržavati politika privatnosti prema Australskom zakonu
APP 1.3 zahtijeva od svakog APP subjekta da ima jasno izraženu i ažuriranu politiku privatnosti. OAIC trenutno provodi provjeru usklađenosti politika privatnosti u svim industrijama kako bi procijenio ispunjavaju li taj standard [1].
Usklađena politika privatnosti mora uključivati:
- Vrste osobnih podataka koje subjekt prikuplja i posjeduje
- Kako se osobni podaci prikupljaju i posjeduju
- Svrhe za koje se prikupljaju, posjeduju, koriste i otkrivaju
- Kako pojedinac može pristupiti i zatražiti ispravak svojih podataka
- Kako subjekt postupa s pritužbama
- Otkrivaju li se osobni podaci primateljima u inozemstvu, i ako da, kojim zemljama
Ažuriranje 2026.: Od 10. prosinca 2026. politike privatnosti moraju također otkriti korištenje automatiziranih procesa donošenja odluka koji značajno utječu na pojedince, uključujući vrste osobnih podataka koje su uključene [1].
Kakav je postupak podnošenja pritužbe na privatnost u Australiji
Pojedinci se prvo moraju izravno žaliti dotičnoj organizaciji i dopustiti 30 dana za odgovor prije nego što eskaliraju na OAIC. Ako organizacija ne riješi pritužbu na zadovoljavajući način, pojedinac može podnijeti formalnu pritužbu OAIC-u bez naknade.
OAIC može pokušati posredovanje, provesti formalnu istragu ili donijeti odluku. Ako se utvrdi povreda, OAIC može naložiti organizaciji da poduzme korektivne mjere, ispriča se ili isplati naknadu podnositelju pritužbe.
Kako se Australski Zakon o privatnosti uspoređuje s GDPR-om
Australski Zakon o privatnosti i Opća uredba o zaštiti podataka (GDPR) EU-a dijele zajedničke ciljeve, ali se razlikuju u opsegu, pravima i provedbi. Tablica u nastavku sažima ključne razlike.
| Značajka | Australski Zakon o privatnosti | GDPR |
|---|---|---|
| Izričito pravo na brisanje | Ne (samo APP 11.2) | Da (članak 17.) |
| Pravo na prenosivost podataka | Ne | Da (članak 20.) |
| Pristanak kao primarna osnova | Jedna od nekoliko osnova | Središnji, ali ne isključiv |
| Maksimalna kazna (korporativna) | 50 milijuna AUD ili na temelju prometa | 20 milijuna EUR ili 4% globalnog prometa |
| Nadzorno tijelo | OAIC | Nacionalna tijela za zaštitu podataka po državi članici |
| Teritorijalni doseg | Prvenstveno australski subjekti | Globalno ako cilja stanovnike EU-a |
Australija trenutno nema odluku o primjerenosti od EU-a, što znači da prijenosi podataka iz EU-a u Australiju zahtijevaju dodatne zaštitne mjere prema GDPR-u.
Moraju li mala poduzeća slijediti Australski Zakon o privatnosti
Mala poduzeća s godišnjim prometom ispod 3 milijuna AUD općenito su izuzeta od Zakona o privatnosti, ali izuzeće ima značajne iznimke. Svako malo poduzeće koje rukuje zdravstvenim informacijama, trguje osobnim podacima ili pruža usluge prema ugovoru s australskom vladom u potpunosti gubi svoj izuzeti status.
Odaberite izuzeti put samo ako: vaše poslovanje je ispod praga, ne rukuje zdravstvenim podacima, ne prodaje niti kupuje osobne podatke i nema vladine ugovore. U slučaju sumnje, tretiranje APP-ova kao osnove usklađenosti je dobro upravljanje rizikom bez obzira na zakonsku obvezu.
Upravljanje pristankom i tehnologijama praćenja u 2026.
Upravljanje pristankom postalo je ključno pitanje usklađenosti. U lipnju 2026. povjerenik za privatnost utvrdio je da su pružatelji zdravstvenih usluga Medmate Australia i Monash IVF prekršili Zakon o privatnosti postavljanjem piksela za praćenje trećih strana koji su prikupljali osjetljive zdravstvene informacije bez pristanka korisnika [3]. Objavljeno izvješće OAIC-a, "Your life, pixelated," iznosi specifične preporuke za svaku organizaciju koja koristi tehnologije praćenja na platformama povezanim sa zdravljem [3][6].
Za operatere web stranica i marketinške agencije, ova odluka uspostavlja jasan presedan: pikseli za praćenje, analitičke oznake i alati za bihevioralno oglašavanje koji dodiruju osjetljive informacije zahtijevaju izričit, informirani pristanak prije aktivacije. Platforma za upravljanje pristankom (CMP) koja bilježi i pohranjuje zapise o pristanku više nije opcionalna za regulirane subjekte, već je praktična nužnost. Biscotti CMP je dizajniran da pomogne APP subjektima u ispunjavanju ovih obveza pristanka pružanjem detaljnih, revidiranih zapisa o pristanku usklađenih s australskim zahtjevima za privatnost.
Često postavljana pitanja
P: Primjenjuje li se Australski Zakon o privatnosti na strane tvrtke? O: Da, ako strana tvrtka posluje u Australiji i prikuplja ili posjeduje osobne podatke od Australaca, Zakon o privatnosti se primjenjuje, bez obzira na to gdje je sjedište tvrtke.
P: Je li politika privatnosti zakonski obvezna za sve tvrtke u Australiji? O: Samo za APP subjekte. Međutim, tvrtke koje su tehnički izuzete i dalje mogu imati koristi od nje radi povjerenja potrošača i kako bi spriječile buduće regulatorne promjene.
P: Što je "kvalificirana povreda podataka" prema NDB shemi? O: Povreda podataka koja uključuje osobne podatke gdje postoji stvarni rizik od ozbiljne štete za pogođene pojedince, na primjer, neovlašteni pristup podacima o financijskom računu ili zdravstvenim kartonima.
P: Mogu li pojedinci izravno tužiti organizacije zbog povreda privatnosti? O: Od Zakona o izmjenama i dopunama Zakona o privatnosti i drugim zakonima iz 2024., pojedinci mogu podnijeti tužbu za zakonski delikt za ozbiljne povrede privatnosti bez prethodnog prolaska kroz OAIC [4].
P: Jesu li zapisi zaposlenika obuhvaćeni Zakonom o privatnosti? O: Zapisi zaposlenika u privatnom sektoru koje poslodavac posjeduje i izravno koristi u vezi s radnim odnosom općenito su izuzeti prema izuzeću za zapise zaposlenika.
P: Što je Kodeks o privatnosti djece na internetu? O: Nacrt kodeksa koji je objavio OAIC 31. ožujka 2026. koji će nametnuti specifične obveze online uslugama koje prikupljaju podatke djece, s provedbom koja počinje 10. prosinca 2026. [2].
P: Zahtijevaju li pikseli za praćenje pristanak prema australskom zakonu? O: Tamo gdje pikseli prikupljaju osjetljive informacije (kao što su zdravstveni podaci), da, odluka OAIC-a iz lipnja 2026. potvrdila je da postavljanje takvih piksela bez pristanka krši Zakon o privatnosti [3].
P: Što znači "transparentnost automatiziranog donošenja odluka" od prosinca 2026.? O: APP subjekti moraju u svojim politikama privatnosti otkriti kada računalni programi donose odluke koje značajno utječu na prava ili interese pojedinaca, uključujući koje se osobne informacije koriste [1].
P: Koliko dugo OAIC-u treba da riješi pritužbu? O: Vremenski okviri variraju. OAIC nastoji riješiti jednostavne pritužbe u roku od 90 dana, ali složene istrage mogu trajati znatno dulje.
P: Postoji li naknada za podnošenje pritužbe OAIC-u? O: Ne. Pritužbe OAIC-u su besplatne za pojedince.
Zaključak
Australski Zakon o privatnosti: Vodič za APP-ove i usklađenost s podacima nije statična referenca, to je živi okvir koji je prošao svoju najznačajniju transformaciju u desetljećima. Izmjene iz 2024. i 2026. značajno su podigle uloge: veće kazne, zakonski delikt, obvezna otkrivanja automatiziranog donošenja odluka i Kodeks o privatnosti djece na internetu sve zahtijevaju aktivne programe usklađenosti, a ne pasivne vježbe označavanja kućica.
Akcijski sljedeći koraci za organizacije u 2026.:
- Pregledajte svoju politiku privatnosti prema zahtjevima APP 1.3 i trenutnim kriterijima provjere usklađenosti OAIC-a [1].
- Pregledajte sve tehnologije praćenja na svojoj web stranici i osigurajte da se dobije izričit pristanak prije prikupljanja osjetljivih podataka [3][6].
- Pripremite se za rokove u prosincu 2026., otkrivanja automatiziranog donošenja odluka i Kodeks o privatnosti djece na internetu stupaju na snagu tada [1][2].
- Testirajte svoj plan odgovora na povredu podataka prema zahtjevima obavijesti NDB sheme [5].
- Implementirajte rješenje za upravljanje pristankom kao što je Biscotti CMP za bilježenje, pohranu i dokazivanje zapisa o pristanku koji zadovoljavaju australske obveze privatnosti.
- Potražite kvalificirani pravni savjet ako vaša organizacija rukuje osjetljivim informacijama, posluje preko granica ili je nesigurna u svoj status APP subjekta.
Usklađenost nije jednokratni projekt. Prošireni stav OAIC-a o provedbi u 2026. čini stalni pregled poslovnom nužnošću.
Reference
[1] Australian Privacy Law Update What App Entities Need To Know In 2026 - https://www.landers.com.au/legal-insights-news/australian-privacy-law-update-what-app-entities-need-to-know-in-2026?utm_source=openai
[2] Draft Childrens Online Privacy Code Released 31 03 2026 - https://ministers.ag.gov.au/media-centre/draft-childrens-online-privacy-code-released-31-03-2026?utm_source=openai
[3] Privacy Commissioner Finds Privacy Breaches In Third Party Tracking Pixel Investigation - https://www.oaic.gov.au/news/media-centre/privacy-commissioner-finds-privacy-breaches-in-third-party-tracking-pixel-investigation?utm_source=openai
[4] Australian Privacy Act Reform - https://cybernion.com.au/insights/australian-privacy-act-reform/?utm_source=openai
[5] Privacy - https://www.ag.gov.au/rights-and-protections/privacy?utm_source=openai
[6] Australia Pixel Perfect The Regulator Addresses Use Of Tracking Pixels - https://privacymatters.dlapiper.com/2026/06/australia-pixel-perfect-the-regulator-addresses-use-of-tracking-pixels/?utm_source=openai