Greitas atsakymas: Australijos privatumo įstatymas 1988 m. reglamentuoja, kaip organizacijos renka, naudoja, saugo ir atskleidžia asmeninę informaciją. Jis taikomas daugumai Australijos vyriausybių agentūrų ir privačiojo sektoriaus organizacijų, kurių metinės pajamos viršija 3 milijonus AUD, nors daugelis mažesnių subjektų taip pat yra apimami. Įstatymo 13 Australijos privatumo principų (APP) sudaro atitikties operacinę struktūrą, o neseniai 2026 m. atlikti pakeitimai žymiai padidino baudas ir vykdymo galias.
Pagrindiniai punktai
- Privatumo įstatymą 1988 m. administruoja Australijos informacijos komisijos biuras (OAIC) ir jis taikomas "APP subjektams", daugumai federalinių agentūrų ir kvalifikuotų privačių organizacijų.
- 13 Australijos privatumo principų apima visą duomenų gyvavimo ciklą: rinkimą, naudojimą, atskleidimą, kokybę, saugumą ir individualias prieigos teises.
- Maksimalios civilinės baudos už rimtus ar pakartotinius pažeidimus buvo žymiai padidintos pagal naujausius pakeitimus, artinant Australiją prie GDPR lygio vykdymo [4].
- Pranešimų apie duomenų pažeidimus (NDB) schema reikalauja, kad paveiktos organizacijos praneštų tiek OAIC, tiek paveiktiems asmenims, kai pažeidimas gali sukelti rimtą žalą [5].
- 2024 m. Privatumo ir kitų teisės aktų pakeitimų įstatymas įvedė įstatyminę deliktą už rimtus privatumo pažeidimus, suteikdamas asmenims tiesioginę teisę kreiptis į teismą [4].
- Automatizuoto sprendimų priėmimo skaidrumo reikalavimai įsigalios 2026 m. gruodžio 10 d., reikalaujant APP subjektams atskleisti, kaip algoritmai veikia asmenis [1].
- 2026 m. kovo 31 d. buvo paskelbtas vaikų interneto privatumo kodekso projektas, kurio įgyvendinimas numatytas 2026 m. gruodžio mėn. [2].
- OAIC birželio mėnesį 2026 m. nusprendė, kad sveikatos paslaugų teikėjai, naudojantys trečiųjų šalių sekimo pikselius be sutikimo, pažeidė Privatumo įstatymą [3].
- Mažos įmonės, kurių metinės pajamos yra mažesnės nei 3 milijonai AUD, gali būti apimamos, jei jos tvarko sveikatos informaciją, prekiauja asmeniniais duomenimis arba teikia tam tikras sutartines paslaugas.
- Privatumo politika yra teisiškai privaloma visiems APP subjektams ir turi atitikti konkrečius turinio standartus pagal APP 1.
Kas yra Australijos privatumo principai ir kaip jie veikia
13 Australijos privatumo principų (APP), nustatytų Privatumo įstatymo 1988 m. 1 priede, yra pagrindinės taisyklės, reglamentuojančios, kaip APP subjektai tvarko asmeninę informaciją. Kiekvienas principas apima atskirą duomenų tvarkymo etapą ar aspektą, o nesilaikymas bet kurio iš jų gali sukelti reguliavimo veiksmus.
APP yra suskirstyti į penkis funkcinius klasterius:
| Klasteris | Apimami APP | Dėmesio sritis |
|---|---|---|
| Asmeninės informacijos privatumo apsvarstymas | APP 1-2 | Atviras valdymas, anonimiškumas |
| Asmeninės informacijos rinkimas | APP 3-4 | Teisėtas rinkimas, nepageidaujami duomenys |
| Asmeninės informacijos tvarkymas | APP 5-8 | Pranešimas, naudojimas, atskleidimas, perkelimas į užsienį |
| Asmeninės informacijos vientisumas | APP 9-10 | Kokybė, saugumas |
| Prieiga ir koregavimas | APP 11-13 | Identifikatoriai, prieiga, koregavimas |
Kaip jie veikia praktikoje: Organizacija, renkantis kliento el. pašto adresą, turi laikytis APP 3 (renkti tik tai, kas būtina), APP 5 (pranešti asmeniui apie rinkimą), APP 6 (naudoti tik pagrindiniam tikslui, nebent taikoma išimtis) ir APP 11 (saugoti jį). Bet kurio iš šių pažeidimas atskirai laikomas pažeidimu.
Kas turi laikytis Australijos privatumo įstatymo
Privatumo įstatymas taikomas "APP subjektams", kurie apima Australijos vyriausybes agentūras ir privačiojo sektoriaus organizacijas, kurių metinės pajamos viršija 3 milijonus AUD. Tačiau šis slenkstis nėra vienintelis veiksnys.
Organizacijos, kurių pajamos yra mažesnės nei 3 milijonai, vis tiek gali būti apimamos, jei jos:
- Tvarko sveikatos informaciją už mokestį
- Prekiauja asmenine informacija (perka ar parduoda duomenis)
- Yra sutartinis paslaugų teikėjas Australijos vyriausybei
- Vykdo gyvenamųjų nuomos duomenų bazę
- Yra susijusi su korporatyvine struktūra, kuri pati yra apimta
Išimtinė situacija: Startuolis, uždirbantis 800 000 AUD per metus ir parduodantis vartotojų duomenis trečiajai analitikos įmonei, beveik tikrai bus apimtas, nepriklausomai nuo jo pajamų.
Kas laikoma asmenine informacija pagal Australijos privatumo įstatymą
Asmeninė informacija yra bet kokia informacija ar nuomonė apie identifikuotą asmenį arba asmenį, kuris yra protingai identifikuojamas, nesvarbu, ar ji yra teisinga, ar ne, ir nesvarbu, ar ji yra užfiksuota materialioje formoje, ar ne. Tai plati, technologijai neutrali definicija.
Kvalifikuojantys pavyzdžiai:
- Vardas, pavardė, gimimo data, adresas, telefono numeris
- IP adresai ir įrenginių identifikatoriai (daugelyje kontekstų)
- Sveikatos įrašai, finansiniai duomenys, biometriniai duomenys
- Nuotraukos ir balso įrašai
- Nuomonės apie asmenį (net jei klaidingos)
Sensyvi informacija yra subkategorija, turinti didesnę apsaugą, ir apima sveikatos duomenis, rasinę ar etninę kilmę, politines nuomones, religinius įsitikinimus, seksualinę orientaciją ir baudžiamuosius įrašus. Sensyvių duomenų rinkimas paprastai reikalauja aiškaus sutikimo.
Kaip sužinoti, ar mano verslas turi laikytis Australijos privatumo įstatymo
Pradėkite nuo pajamų testo: jei jūsų Australijos verslas turi metines pajamas, viršijančias 3 milijonus AUD, jūs beveik tikrai esate APP subjektas. Jei esate žemiau šio slenksčio, patikrinkite aukščiau išvardytus kategorijų pagrindu veikiančius veiksnius.
Sprendimo taisyklė:
- Pajamos virš 3M AUD: apimamos, taškas.
- Pajamos mažesnės nei 3M AUD, bet tvarkote sveikatos įrašus, parduodate duomenis ar turite vyriausybinį kontraktą: apimamos.
- Pajamos mažesnės nei 3M AUD, nieko iš aukščiau: greičiausiai atleistos, tačiau prieš tai darydami peržiūrėkite OAIC visą atleidimo sąrašą.
Atkreipkite dėmesį, kad valstijų ir teritorijų privatumo įstatymai gali nustatyti papildomas pareigas, kurių neapima federalinis įstatymas, ypač Naujojo Pietų Velso, Viktorijos ir Kvinslando valstijose.
Koks skirtumas tarp Privatumo įstatymo ir APP
Privatumo įstatymas 1988 m. yra bendras federalinis teisės aktas. Australijos privatumo principai yra specifinės, vykdytinos taisyklės, kurios yra šio teisės akto dalis ir nurodo organizacijoms, ką jos turi ir ko neturi daryti su asmenine informacija.
Galite galvoti apie Privatumo įstatymą kaip apie statutą, o APP kaip apie jo operacinį taisyklių rinkinį. Organizacija "laikosi Privatumo įstatymo", atitikdama visus 13 APP, be kitų pareigų, tokių kaip NDB schema ir artėjantys automatizuoto sprendimų priėmimo reikalavimai [1].
Kokios baudos už Privatumo įstatymo pažeidimus
Baudos žymiai išaugo. Už rimtus ar pakartotinius privatumo pažeidimus maksimalinė civilinė bauda juridiniams asmenims yra didesnė iš: 50 milijonų AUD; tris kartus gautos naudos vertė; arba 30% subjekto koreguotų pajamų per pažeidimo laikotarpį [4][5].
Asmenims maksimalinė civilinė bauda už rimtus pažeidimus yra 2,5 milijono AUD. OAIC taip pat gavo išplėstas tyrimo ir vykdymo galias, įskaitant galimybę atlikti savarankiškus tyrimus ir priimti vykdytinas įsipareigojimus [4].
2024 m. pakeitimai taip pat įvedė įstatyminę deliktą už rimtus privatumo pažeidimus, leidžiančią paveiktiems asmenims tiesiogiai kreiptis į teismą, nepraėjus per OAIC [4].
Kaip tvarkyti duomenų pažeidimą pagal Australijos privatumo įstatymą
Pagal Pranešimų apie duomenų pažeidimus (NDB) schemą APP subjektas, patyręs "tinkamą duomenų pažeidimą", turi pranešti OAIC ir paveiktiems asmenims kuo greičiau [5]. Tinkamas duomenų pažeidimas yra toks, kuris gali sukelti rimtą žalą bet kuriam asmeniui, kurio informacija buvo įtraukta.
Atsako žingsniai:
- Nedelsiant apriboti pažeidimą (atšaukti prieigą, izoliuoti paveiktas sistemas).
- Įvertinti, ar pažeidimas atitinka "tikėtinos rimtos žalos" slenkstį.
- Jei taip, pranešti OAIC pateikiant pareiškimą per OAIC internetinę platformą.
- Tiesiogiai pranešti paveiktiems asmenims, įskaitant pažeidimo pobūdį ir rekomenduojamas apsaugos priemones.
- Peržiūrėti ir pašalinti pažeidimo priežastį.
Dažna klaida: Pranešimo atidėjimas, kol atliekamas ilgas vidinis tyrimas. Įstatymas neleidžia neribotų vertinimo laikotarpių, jei tikėtina rimta žala, praneškite nedelsiant.
Kokios teisės turi australai pagal Privatumo įstatymą
Australai turi kelias vykdytinas teises pagal APP. APP 12 suteikia asmenims teisę prieiti prie jų asmeninės informacijos, kurią laiko APP subjektas. APP 13 suteikia teisę prašyti ištaisyti neteisingą, pasenusią ar neišsamią informaciją.
Papildomos teisės apima:
- Teisę likti anonimišku arba naudoti slapyvardį, kai tai teisėta ir įmanoma (APP 2)
- Teisę žinoti, kokia informacija renkami ir kodėl (APP 5)
- Teisę atsisakyti tiesioginės rinkodaros (APP 7)
- Teisę skųstis OAIC, jei teisės nėra gerbiamos
Kaip gauti savo duomenų ištrynimą pagal Australijos privatumo įstatymą
Privatumo įstatymas neturi aiškiai apibrėžtos "teisės į ištrynimą", kaip tai numatyta GDPR 17 straipsnyje. Tačiau APP 11.2 reikalauja, kad organizacijos sunaikintų arba deidentifikuotų asmeninę informaciją, kuri nebėra reikalinga jokiam tikslui, kuriam ji gali būti naudojama ar atskleista.
Praktinis kelias asmenims: Pateikite raštišką prašymą organizacijos privatumo pareigūnui. Jei organizacija atsisako arba nesugeba atsakyti per 30 dienų, pateikite skundą OAIC. OAIC gali atlikti tyrimą ir, jei tinkama, nurodyti organizacijai imtis taisomųjų veiksmų.
Kiek laiko organizacijos gali laikyti asmeninius duomenis pagal Australijos privatumo įstatymą
Privatumo įstatyme nėra vieno įstatyminio laikymo laikotarpio. APP 11.2 reikalauja, kad organizacijos imtųsi protingų veiksmų sunaikinti arba deidentifikuoti asmeninę informaciją, kai ji nebėra reikalinga. Tačiau kiti įstatymai, įskaitant Įmonių įstatymą, mokesčių teisę ir sektoriui specifinius reglamentus, nustato savo minimalius laikymo laikotarpius, kurie turi prioritetą.
Praktiniai patarimai: Suderinkite savo duomenis su Privatumo įstatymo "nebėra reikalinga" testu ir bet kokiais sektoriui specifiniais laikymo reikalavimais. Jei egzistuoja teisinis laikymo įsipareigojimas, laikykite duomenis tą laikotarpį ir ne ilgiau.
Ką turėtų apimti privatumo politika pagal Australijos teisę
APP 1.3 reikalauja, kad kiekvienas APP subjektas turėtų aiškiai išreikštą ir atnaujintą privatumo politiką. OAIC šiuo metu vykdo privatumo politikų atitikties patikrinimą įvairiose pramonės šakose, kad įvertintų, ar jos atitinka šį standartą [1].
Atitinkanti privatumo politika turi apimti:
- Kokią asmeninę informaciją subjektas renka ir laiko
- Kaip asmeninė informacija yra renkama ir laikoma
- Kokie tikslai, dėl kurių ji yra renkama, laikoma, naudojama ir atskleidžiama
- Kaip asmuo gali prieiti ir prašyti ištaisyti savo informaciją
- Kaip subjektas tvarko skundus
- Ar asmeninė informacija atskleidžiama užsienio gavėjams, ir jei taip, kokioms šalims
2026 m. atnaujinimas: Nuo 2026 m. gruodžio 10 d. privatumo politikos taip pat turi atskleisti automatizuoto sprendimų priėmimo procesų naudojimą, kuris žymiai veikia asmenis, įskaitant kokia asmeninė informacija yra naudojama [1].
Koks procesas skundui dėl privatumo Australijoje
Asmenys pirmiausia turi skųstis tiesiogiai organizacijai ir leisti 30 dienų atsakymui, prieš kreipdamiesi į OAIC. Jei organizacija nesprendžia skundo patenkinamai, asmuo gali nemokamai pateikti oficialų skundą OAIC.
OAIC gali bandyti susitaikyti, atlikti oficialų tyrimą arba priimti sprendimą. Jei pažeidimas nustatomas, OAIC gali nurodyti organizacijai imtis taisomųjų veiksmų, atsiprašyti arba sumokėti kompensaciją skundą pateikusiam asmeniui.
Kaip Australijos privatumo įstatymas lyginamas su GDPR
Australijos privatumo įstatymas ir ES Bendrasis duomenų apsaugos reglamentas (GDPR) turi bendrų tikslų, tačiau skiriasi apimtimi, teisėmis ir vykdymu. Žemiau pateiktoje lentelėje apibendrinami pagrindiniai skirtumai.
| Ypatybė | Australijos privatumo įstatymas | GDPR |
|---|---|---|
| Aiški teisė į ištrynimą | Ne (tik APP 11.2) | Taip (17 straipsnis) |
| Duomenų perkėlimo teisė | Ne | Taip (20 straipsnis) |
| Sutikimas kaip pagrindinė bazė | Viena iš kelių bazių | Centrinė, bet ne išskirtinė |
| Maksimali bauda (juridiniams asmenims) | 50 milijonų AUD arba pagal pajamas | 20 milijonų EUR arba 4% pasaulinių pajamų |
| Priežiūros institucija | OAIC | Nacionalinės DPAs pagal valstybę narę |
| Teritorinė aprėptis | Pirmiausia Australijos subjektai | Pasaulinė, jei taikoma ES gyventojams |
Australija šiuo metu neturi adekvatumo sprendimo iš ES, todėl duomenų perdavimams iš ES į Australiją reikia papildomų apsaugų pagal GDPR.
Ar mažos įmonės turi laikytis Australijos privatumo įstatymo
Mažos įmonės, kurių metinės pajamos yra mažesnės nei 3 milijonai AUD, paprastai yra atleistos nuo Privatumo įstatymo, tačiau atleidimas turi reikšmingų išimčių. Bet kuri maža įmonė, kuri tvarko sveikatos informaciją, prekiauja asmeniniais duomenimis arba teikia paslaugas pagal sutartį su Australijos vyriausybe, visiškai praranda savo atleidimo statusą.
Pasirinkite atleidimo kelią tik jei: jūsų verslas yra žemiau slenksčio, netvarko sveikatos duomenų, neparduoda ar neperka asmeninės informacijos ir neturi vyriausybinių sutarčių. Jei kyla abejonių, APP laikymas kaip atitikties pagrindu yra protingas rizikos valdymas, nepriklausomai nuo teisinės pareigos.
Sutikimų ir sekimo technologijų valdymas 2026 m.
Sutikimų valdymas tapo pirmo plano atitikties klausimu. 2026 m. birželio mėn. Privatumo komisaras nustatė, kad sveikatos paslaugų teikėjai Medmate Australia ir Monash IVF pažeidė Privatumo įstatymą, naudodami trečiųjų šalių sekimo pikselius, kurie rinko jautrią sveikatos informaciją be vartotojų sutikimo [3]. OAIC paskelbtas pranešimas "Tavo gyvenimas, pikseliuotas" pateikia konkrečius rekomendacijas bet kuriai organizacijai, naudojančiai sekimo technologijas sveikatos platformose [3][6].
Interneto svetainių operatoriams ir rinkodaros agentūroms šis sprendimas nustato aiškų precedentą: sekimo pikseliai, analitikos žymės ir elgesio reklamos įrankiai, kurie liečia jautrią informaciją, reikalauja aiškaus, informuoto sutikimo prieš aktyvavimą. Sutikimų valdymo platforma (CMP), kuri fiksuoja ir saugo sutikimo įrašus, nebėra neprivaloma reguliuojamiems subjektams, tai yra praktinė būtinybė. Biscotti CMP yra sukurta padėti APP subjektams atitikti šiuos sutikimo įsipareigojimus, teikiant išsamius, audituojamus sutikimo įrašus, atitinkančius Australijos privatumo reikalavimus.
DUK
K: Ar Australijos privatumo įstatymas taikomas užsienio įmonėms? A: Taip, jei užsienio įmonė vykdo verslą Australijoje ir renka ar laiko asmeninę informaciją iš australų, Privatumo įstatymas taikomas, nepriklausomai nuo to, kur įmonė yra įsikūrusi.
K: Ar privatumo politika yra teisiškai privaloma visoms įmonėms Australijoje? A: Tik APP subjektams. Tačiau techniškai atleistos įmonės vis tiek gali pasinaudoti turėdamos tokią politiką, kad užtikrintų vartotojų pasitikėjimą ir išvengtų būsimų reguliavimo pokyčių.
K: Kas yra "tinkamas duomenų pažeidimas" pagal NDB schemą? A: Duomenų pažeidimas, susijęs su asmenine informacija, kai yra reali rimtos žalos rizika paveiktiems asmenims, pavyzdžiui, neleistinas prieigos gavimas prie finansinių paskyros duomenų ar sveikatos įrašų.
K: Ar asmenys gali tiesiogiai paduoti ieškinius organizacijoms dėl privatumo pažeidimų? A: Nuo 2024 m. Privatumo ir kitų teisės aktų pakeitimų įstatymo asmenys gali pateikti įstatyminį deliktą dėl rimtų privatumo pažeidimų, nesikreipdami pirmiausia į OAIC [4].
K: Ar darbuotojų įrašai yra apimami Privatumo įstatymo? A: Privačiame sektoriuje laikomi darbuotojų įrašai, kuriuos darbdavys naudoja tiesiogiai susijusiuose su darbo santykiais, paprastai yra atleisti pagal darbuotojų įrašų atleidimo nuostatą.
K: Kas yra vaikų interneto privatumo kodeksas? A: OAIC 2026 m. kovo 31 d. paskelbtas projekto kodeksas, kuris nustatys konkrečius įsipareigojimus interneto paslaugoms, renkančioms vaikų duomenis, su įgyvendinimu, prasidėsiančiu 2026 m. gruodžio 10 d. [2].
K: Ar sekimo pikseliai reikalauja sutikimo pagal Australijos teisę? A: Jei pikseliai renka jautrią informaciją (pavyzdžiui, sveikatos duomenis), taip, 2026 m. birželio OAIC sprendimas patvirtino, kad tokių pikselių naudojimas be sutikimo pažeidžia Privatumo įstatymą [3].
K: Ką reiškia "automatizuoto sprendimų priėmimo skaidrumas" nuo 2026 m. gruodžio? A: APP subjektai turi atskleisti savo privatumo politikose, kai kompiuterinės programos priima sprendimus, kurie žymiai veikia asmenų teises ar interesus, įskaitant, kokia asmeninė informacija yra naudojama [1].
K: Kiek laiko OAIC užtrunka išspręsti skundą? A: Laikotarpiai skiriasi. OAIC siekia išspręsti paprastus skundus per 90 dienų, tačiau sudėtingi tyrimai gali užtrukti žymiai ilgiau.
K: Ar yra mokestis už skundo pateikimą OAIC? A: Ne. Skundai OAIC asmenims yra nemokami.
Išvada
Australijos privatumo įstatymas: APP ir duomenų atitikties vadovas nėra statiškas šaltinis, tai gyvas karkasas, kuris perėjo per didžiausią transformaciją per kelis dešimtmečius. 2024 ir 2026 m. pakeitimai žymiai padidino reikalavimus: didesnės baudos, įstatyminė deliktas, privalomi automatizuoto sprendimų priėmimo atskleidimai ir vaikų interneto privatumo kodeksas visi reikalauja aktyvių atitikties programų, o ne pasyvių patikros pratybų.
Veiksmingi kiti žingsniai organizacijoms 2026 m.:
- Audituokite savo privatumo politiką pagal APP 1.3 reikalavimus ir OAIC dabartinius atitikties patikrinimo kriterijus [1].
- Peržiūrėkite visas sekimo technologijas savo svetainėje ir užtikrinkite, kad būtų gautas aiškus sutikimas prieš renkant bet kokius jautrius duomenis [3][6].
- Pasiruoškite 2026 m. gruodžio mėnesio terminams, automatizuoto sprendimų priėmimo atskleidimai ir vaikų interneto privatumo kodeksas abu įsigalios tada [1][2].
- Išbandykite savo duomenų pažeidimo atsako planą pagal NDB schemos pranešimo reikalavimus [5].
- Įdiekite sutikimų valdymo sprendimą, pvz., Biscotti CMP, kad fiksuotumėte, saugotumėte ir demonstruotumėte sutikimo įrašus, kurie atitinka Australijos privatumo įsipareigojimus.
- Ieškokite kvalifikuotos teisinės pagalbos, jei jūsų organizacija tvarko jautrią informaciją, veikia tarptautiniu mastu arba nėra tikra dėl savo APP subjekto statuso.
Atitiktis nėra vienkartinis projektas. OAIC plečiantis vykdymo pozicijai 2026 m., nuolatinė peržiūra tampa verslo būtinybe.
Nuorodos
[1] Australian Privacy Law Update What App Entities Need To Know In 2026 - https://www.landers.com.au/legal-insights-news/australian-privacy-law-update-what-app-entities-need-to-know-in-2026?utm_source=openai
[2] Draft Childrens Online Privacy Code Released 31 03 2026 - https://ministers.ag.gov.au/media-centre/draft-childrens-online-privacy-code-released-31-03-2026?utm_source=openai
[3] Privacy Commissioner Finds Privacy Breaches In Third Party Tracking Pixel Investigation - https://www.oaic.gov.au/news/media-centre/privacy-commissioner-finds-privacy-breaches-in-third-party-tracking-pixel-investigation?utm_source=openai
[4] Australian Privacy Act Reform - https://cybernion.com.au/insights/australian-privacy-act-reform/?utm_source=openai
[5] Privacy - https://www.ag.gov.au/rights-and-protections/privacy?utm_source=openai
[6] Australia Pixel Perfect The Regulator Addresses Use Of Tracking Pixels - https://privacymatters.dlapiper.com/2026/06/australia-pixel-perfect-the-regulator-addresses-use-of-tracking-pixels/?utm_source=openai