クイックアンサー： オーストラリアのプライバシー法1988は、組織が個人情報を収集、使用、保存、開示する方法を規定しています。これは、年間売上高が300万オーストラリアドルを超えるほとんどのオーストラリア政府機関および民間部門の組織に適用されますが、多くの小規模な団体も対象となります。この法律の13のオーストラリアプライバシー原則（APP）は、コンプライアンスの運用基盤を形成しており、最近の2026年の改正により罰則と執行権限が大幅に強化されました。
主なポイント
- プライバシー法1988はオーストラリア情報コミッショナー事務所（OAIC）によって管理され、「APPエンティティ」に適用されます。これは、ほとんどの連邦機関および適格な民間組織を含みます。
- 13のオーストラリアプライバシー原則は、データライフサイクル全体をカバーしています：収集、使用、開示、品質、セキュリティ、および個人のアクセス権。
- 重大または繰り返しの違反に対する最大民事罰は、最近の改正により大幅に引き上げられ、オーストラリアはGDPRレベルの執行に近づいています[4]。
- 通知義務のあるデータ侵害（NDB）制度は、影響を受けるエンティティが、侵害が重大な損害を引き起こす可能性がある場合、OAICおよび影響を受ける個人に通知することを要求します[5]。
- プライバシーおよびその他の法律改正法2024に基づき、重大なプライバシー侵害に対する法定不法行為が導入され、個人に直接法的救済を提供します[4]。
- 自動意思決定の透明性要件は2026年12月10日に発効し、APPエンティティはアルゴリズムが個人にどのように影響するかを開示する必要があります[1]。
- 子供のオンラインプライバシーコードの草案が2026年3月31日に発表され、2026年12月に施行される予定です[2]。
- OAICは2026年6月に、同意なしに第三者のトラッキングピクセルを使用する健康提供者がプライバシー法に違反したと判断しました[3]。
- 年間売上高が300万オーストラリアドル未満の小規模企業でも、健康情報を取り扱ったり、個人データを取引したり、特定の契約サービスを提供したりする場合は対象となる可能性があります。
- すべてのAPPエンティティには法的にプライバシーポリシーが必要であり、APP 1の下で特定の内容基準を満たす必要があります。
オーストラリアプライバシー原則とは何か、どのように機能するのか
オーストラリアプライバシー原則（APP）は、プライバシー法1988のスケジュール1に定められており、APPエンティティが個人情報を扱う際の主要なルールです。各原則はデータ処理の異なる段階または側面に対処しており、いずれかの原則に違反すると規制措置が発動される可能性があります。
APPは5つの機能的クラスターにグループ化されています：
| クラスター | 対象APP | 焦点領域 |
|---|---|---|
| 個人情報プライバシーの考慮 | APP 1-2 | オープンな管理、匿名性 |
| 個人情報の収集 | APP 3-4 | 合法的な収集、無断データ |
| 個人情報の取り扱い | APP 5-8 | 通知、使用、開示、海外移転 |
| 個人情報の整合性 | APP 9-10 | 品質、セキュリティ |
| アクセスと修正 | APP 11-13 | 識別子、アクセス、修正 |
実際の運用方法： 顧客のメールアドレスを収集する組織は、APP 3（必要なものだけを収集する）、APP 5（収集について個人に通知する）、APP 6（例外が適用されない限り主目的のためだけに使用する）、APP 11（安全に保管する）を遵守する必要があります。これらのいずれかに違反することは、違反と見なされます。
誰がオーストラリアのプライバシー法に従う必要があるのか
プライバシー法は「APPエンティティ」に適用され、これは年間売上高が300万オーストラリアドルを超えるオーストラリア政府機関および民間部門の組織を含みます。ただし、閾値だけがトリガーではありません。
300万オーストラリアドル未満の組織でも、次の条件を満たす場合は対象となります：
- 健康情報を有料で取り扱う
- 個人情報を取引する（データの購入または販売）
- オーストラリア政府への契約サービス提供者である
- 住宅賃貸データベースを運営する
- 自身が対象となる法人に関連している
エッジケース： 年間80万オーストラリアドルを稼ぐスタートアップがユーザーデータを第三者の分析会社に販売している場合、売上高に関係なくほぼ確実に対象となります。
オーストラリアのプライバシー法における個人情報とは何か
個人情報とは、特定の個人についての情報または意見、または合理的に特定可能な個人に関する情報であり、真実かどうか、物質的な形で記録されているかどうかに関係なく広範な定義です。
該当する例：
- フルネーム、生年月日、住所、電話番号
- IPアドレスおよびデバイス識別子（多くの文脈において）
- 健康記録、財務詳細、生体データ
- 写真および音声録音
- 人に関する意見（たとえそれが虚偽であっても）
センシティブ情報は、より高い保護を受けるサブセットであり、健康データ、人種または民族的起源、政治的意見、宗教的信念、性的指向、犯罪記録を含みます。センシティブ情報を収集するには、一般的に明示的な同意が必要です。
自分のビジネスがオーストラリアのプライバシー法に従う必要があるかどうかをどう判断するか
まず、売上高テストから始めます：オーストラリアのビジネスが年間売上高300万オーストラリアドルを超えている場合、ほぼ確実にAPPエンティティです。その閾値を下回る場合は、上記のカテゴリベースのトリガーを確認してください。
判断ルール：
- 売上高が300万オーストラリアドルを超える：対象。
- 売上高が300万オーストラリアドル未満だが健康記録を扱う、データを販売する、または政府契約を持つ：対象。
- 売上高が300万オーストラリアドル未満で、上記のいずれにも該当しない：おそらく免除されるが、そう仮定する前にOAICの完全な免除リストを確認してください。
州および準州のプライバシー法は、特にニューサウスウェールズ州、ビクトリア州、クイーンズランド州において、連邦法でカバーされていない追加の義務を課す場合があることに注意してください。
プライバシー法とAPPの違いは何か
プライバシー法1988は、全体的な連邦法です。オーストラリアプライバシー原則は、その法律内に位置する具体的で強制力のあるルールであり、組織が個人情報に対して何をすべきか、何をしてはいけないかを明確に示しています。
プライバシー法を法律として、APPをその運用ルールブックと考えてください。組織は、NDB制度や今後の自動意思決定要件[1]などの他の義務を満たすことによって「プライバシー法に準拠する」と言います。
オーストラリアのプライバシー法に違反した場合の罰則は何か
罰則は大幅にエスカレートしました。プライバシーに対する重大または繰り返しの干渉に対して、法人に対する最大民事罰は、次のいずれか大きい方です：5000万オーストラリアドル；得られた利益の3倍；または違反期間中のエンティティの調整後の売上高の30%[4][5]。
個人に対して、重大な違反に対する最大民事罰は250万オーストラリアドルです。OAICはまた、独自の調査を行う能力や、強制力のある約束を受け入れる能力を含む、調査および執行権限を拡大しました[4]。
2024年の改正では、重大なプライバシー侵害に対する法定不法行為も導入され、影響を受けた個人がOAICを経ずに直接裁判所に訴えることができるようになりました[4]。
オーストラリアのプライバシー法に基づくデータ侵害をどのように扱うか
通知義務のあるデータ侵害（NDB）制度の下では、「適格なデータ侵害」を経験したAPPエンティティは、できるだけ早くOAICおよび影響を受けた個人に通知する必要があります[5]。適格なデータ侵害とは、情報が関与する個人に重大な損害をもたらす可能性があるものです。
対応手順：
- 侵害を直ちに封じ込める（アクセスを取り消し、影響を受けたシステムを隔離する）。
- 侵害が「重大な損害の可能性」の閾値を満たすかどうかを評価する。
- はいの場合、OAICにオンラインポータルを通じて声明を提出して通知する。
- 影響を受けた個人に直接通知し、侵害の性質および推奨される保護手段を含める。
- 侵害を引き起こした脆弱性を見直し、修正する。
一般的な誤り： 長期的な内部調査を行っている間に通知を遅らせること。法は無期限の評価期間を許可しておらず、重大な損害の可能性がある場合は迅速に通知する必要があります。
オーストラリアのプライバシー法の下でオーストラリア人が持つ権利
オーストラリア人はAPPの下でいくつかの強制力のある権利を持っています。APP 12は、個人がAPPエンティティが保持する個人情報にアクセスする権利を与えます。APP 13は、不正確、古くなった、または不完全な情報の修正を要求する権利を与えます。
追加の権利には次が含まれます：
- 合法かつ実行可能な場合に匿名または仮名を使用する権利（APP 2）
- 収集される情報とその理由を知る権利（APP 5）
- ダイレクトマーケティングからオプトアウトする権利（APP 7）
- 権利が尊重されない場合にOAICに苦情を申し立てる権利
オーストラリアのプライバシー法に基づいてデータを削除してもらう方法
プライバシー法には、GDPRの第17条に相当する明示的な「消去の権利」は含まれていません。ただし、APP 11.2は、もはや使用または開示される目的のために必要ない個人情報を組織が破棄または非識別化することを要求しています。
個人のための実用的な道筋： 組織のプライバシー担当者に書面でリクエストを提出します。組織が拒否するか、30日以内に応答しない場合は、OAICに苦情を申し立てます。OAICは調査を行い、適切であれば組織に是正措置を指示することができます。
オーストラリアのプライバシー法の下で組織が個人データを保持できる期間
プライバシー法には単一の法定保持期間はありません。APP 11.2は、組織がもはや必要ない場合、合理的な手段を講じて個人情報を破棄または非識別化することを要求しています。ただし、会社法、税法、業界特有の規制を含む他の法律は、優先される独自の最小保持期間を課す場合があります。
実用的なガイダンス： データをプライバシー法の「もはや必要ない」テストおよび業界特有の保持義務に照らしてマッピングします。法的な保持義務が存在する場合、その期間だけデータを保持し、それ以上は保持しないでください。
オーストラリア法の下でプライバシーポリシーに含まれるべき内容
APP 1.3は、すべてのAPPエンティティに明確に表現された最新のプライバシーポリシーを持つことを要求しています。OAICは現在、業界全体のプライバシーポリシーのコンプライアンススイープを実施しており、これらの基準を満たしているかどうかを評価しています[1]。
コンプライアントなプライバシーポリシーには以下が含まれる必要があります：
- エンティティが収集し保持する個人情報の種類
- 個人情報がどのように収集され保持されるか
- 収集、保持、使用、開示される目的
- 個人が自分の情報にアクセスし、修正を求める方法
- エンティティが苦情をどのように処理するか
- 個人情報が海外の受取人に開示されるかどうか、開示される場合はどの国か
2026年の更新： 2026年12月10日から、プライバシーポリシーは、個人に大きな影響を与える自動意思決定プロセスの使用を開示する必要があります。これには、関与する個人情報の種類が含まれます[1]。
オーストラリアでプライバシーの苦情を申し立てるプロセスは？
個人はまず、関与する組織に直接苦情を申し立て、30日間の応答を待ってからOAICにエスカレーションする必要があります。組織が苦情を満足に解決しない場合、個人は無料でOAICに正式な苦情を申し立てることができます。
OAICは調停を試みたり、正式な調査を行ったり、決定を下したりすることがあります。違反が見つかった場合、OAICは組織に是正措置を取るよう命じたり、謝罪を求めたり、苦情者に補償を支払うよう命じたりすることができます。
オーストラリアのプライバシー法とGDPRの比較
オーストラリアのプライバシー法とEUの一般データ保護規則（GDPR）は共通の目標を持っていますが、範囲、権利、執行において異なります。以下の表は、主要な違いを要約しています。
| 特徴 | オーストラリアのプライバシー法 | GDPR |
|---|---|---|
| 明示的な消去の権利 | なし（APP 11.2のみ） | あり（第17条） |
| データポータビリティの権利 | なし | あり（第20条） |
| 同意を主要な根拠とする | 複数の根拠の一つ | 中心的だが独占的ではない |
| 最大罰金（法人） | 5000万オーストラリアドルまたは売上高に基づく | 2000万ユーロまたは全世界売上高の4% |
| 監督機関 | OAIC | 各加盟国の国家DPA |
| 領域的範囲 | 主にオーストラリアのエンティティ | EU居住者をターゲットにする場合はグローバル |
オーストラリアは現在、EUからの適合性決定を持っておらず、EUからオーストラリアへのデータ転送にはGDPRの下で追加の保護措置が必要です。
小規模企業はオーストラリアのプライバシー法に従う必要がありますか？
年間売上高が300万オーストラリアドル未満の小規模企業は一般的にプライバシー法から免除されますが、免除には重要な例外があります。健康情報を取り扱ったり、個人データを取引したり、オーストラリア政府との契約に基づくサービスを提供したりする小規模企業は、その免除ステータスを完全に失います。
免除の道を選ぶのは次の場合のみ： ビジネスが閾値未満で、健康データを扱わず、個人情報を売買せず、政府契約がない場合。疑問がある場合は、法的義務に関係なくAPPをコンプライアンスの基準として扱うことがリスク管理の観点から健全です。
2026年の同意管理とトラッキング技術の管理
同意管理は最前線のコンプライアンス問題となっています。2026年6月、プライバシーコミッショナーは、健康提供者であるMedmate AustraliaおよびMonash IVFがユーザーの同意なしにセンシティブな健康情報を収集する第三者のトラッキングピクセルを展開したことでプライバシー法に違反したと判断しました[3]。OAICが公開した報告書「Your life, pixelated」では、健康関連プラットフォームでトラッキング技術を使用するすべての組織に対する具体的な推奨事項が示されています[3][6]。
ウェブサイト運営者やマーケティングエージェンシーにとって、この判断は明確な前例を確立します：センシティブ情報に触れるトラッキングピクセル、分析タグ、および行動広告ツールは、起動前に明示的で情報に基づく同意を必要とします。規制対象のエンティティにとって、同意記録をキャプチャし保存する同意管理プラットフォーム（CMP）はもはやオプションではなく、実用的な必要性です。Biscotti CMPは、APPエンティティがオーストラリアのプライバシー要件に沿った詳細で監査可能な同意記録を提供することで、これらの同意義務を満たすのを支援するように設計されています。
FAQ
Q: オーストラリアのプライバシー法は外国企業に適用されますか？
A: はい、外国企業がオーストラリアでビジネスを行い、オーストラリア人から個人情報を収集または保持する場合、プライバシー法が適用されます。企業の本社がどこにあるかに関係ありません。
Q: オーストラリアのすべてのビジネスにプライバシーポリシーは法的に必要ですか？
A: APPエンティティにのみ必要です。ただし、技術的に免除されているビジネスでも、消費者の信頼を得るためや将来の規制変更に備えるために持つことが有益です。
Q: NDB制度における「適格なデータ侵害」とは何ですか？
A: 個人情報を含むデータ侵害で、影響を受ける個人に重大な損害の実際のリスクがある場合、たとえば、金融口座の認証情報や健康記録への無許可のアクセスなどです。
Q: 個人はプライバシー侵害に対して組織を直接訴えることができますか？
A: プライバシーおよびその他の法律改正法2024以降、個人はOAICを経ずに重大なプライバシー侵害に対する法定不法行為の請求を行うことができます[4]。
Q: 従業員記録はプライバシー法の対象ですか？
A: 雇用者が保持し、雇用関係に直接関連して使用される民間部門の従業員記録は、一般的に従業員記録の免除の下で免除されます。
Q: 子供のオンラインプライバシーコードとは何ですか？
A: OAICが2026年3月31日に発表した草案で、子供のデータを収集するオンラインサービスに特定の義務を課し、2026年12月から施行される予定です[2]。
Q: トラッキングピクセルはオーストラリア法の下で同意を必要としますか？
A: ピクセルがセンシティブ情報（健康データなど）を収集する場合、はい、2026年6月のOAICの判断により、同意なしにそのようなピクセルを展開することはプライバシー法に違反します[3]。
Q: 2026年12月からの「自動意思決定の透明性」とは何ですか？
A: APPエンティティは、コンピュータプログラムが個人の権利や利益に大きな影響を与える決定を行う際に、どの個人情報が使用されるかをプライバシーポリシーで開示する必要があります[1]。
Q: OAICが苦情を解決するのにどれくらいの時間がかかりますか？
A: タイムラインは異なります。OAICは簡単な苦情を90日以内に解決することを目指していますが、複雑な調査にはかなりの時間がかかることがあります。
Q: OAICに苦情を申し立てるのに費用はかかりますか？
A: いいえ。OAICへの苦情は、個人にとって無料です。
結論
オーストラリアのプライバシー法：APPとデータコンプライアンスのガイドは静的なリファレンスではなく、数十年で最も重要な変革を経た生きたフレームワークです。2024年および2026年の改正により、罰則が引き上げられ、法定不法行為が導入され、自動意思決定の開示が義務付けられ、子供のオンラインプライバシーコードが施行されることで、受動的なチェックボックスの演習ではなく、積極的なコンプライアンスプログラムが求められています。
2026年の組織に対する実行可能な次のステップ：
- プライバシーポリシーをAPP 1.3の要件およびOAICの現在のコンプライアンススイープ基準に対して監査する[1]。
- ウェブサイト上のすべてのトラッキング技術を見直し、センシティブデータが収集される前に明示的な同意を得ることを確認する[3][6]。
- 2026年12月の締切に備える。自動意思決定の開示および子供のオンラインプライバシーコードはその時点で施行されます[1][2]。
- NDB制度の通知要件に対してデータ侵害対応計画をテストする[5]。
- Biscotti CMPのような同意管理ソリューションを実装し、オーストラリアのプライバシー義務を満たす同意記録をキャプチャ、保存、示す。
- 敏感な情報を扱う、国境を越えて運営する、またはAPPエンティティのステータスに不安がある場合は、資格のある法的助言を求める。
コンプライアンスは一度限りのプロジェクトではありません。2026年のOAICの執行姿勢の拡大は、継続的なレビューをビジネスの必要性としています。
参考文献
[1] Australian Privacy Law Update What App Entities Need To Know In 2026 - https://www.landers.com.au/legal-insights-news/australian-privacy-law-update-what-app-entities-need-to-know-in-2026?utm_source=openai
[2] Draft Childrens Online Privacy Code Released 31 03 2026 - https://ministers.ag.gov.au/media-centre/draft-childrens-online-privacy-code-released-31-03-2026?utm_source=openai
[3] Privacy Commissioner Finds Privacy Breaches In Third Party Tracking Pixel Investigation - https://www.oaic.gov.au/news/media-centre/privacy-commissioner-finds-privacy-breaches-in-third-party-tracking-pixel-investigation?utm_source=openai
[4] Australian Privacy Act Reform - https://cybernion.com.au/insights/australian-privacy-act-reform/?utm_source=openai
[5] Privacy - https://www.ag.gov.au/rights-and-protections/privacy?utm_source=openai
[6] Australia Pixel Perfect The Regulator Addresses Use Of Tracking Pixels - https://privacymatters.dlapiper.com/2026/06/australia-pixel-perfect-the-regulator-addresses-use-of-tracking-pixels/?utm_source=openai