Szybka odpowiedź: Ustawa o prywatności w Australii z 1988 roku reguluje sposób, w jaki organizacje zbierają, używają, przechowują i ujawniają dane osobowe. Dotyczy większości agencji rządowych Australii oraz organizacji sektora prywatnego z rocznym obrotem powyżej 3 milionów AUD, chociaż wiele mniejszych podmiotów również podlega tym przepisom. 13 Australijskich Zasad Prywatności (APP) stanowi operacyjną podstawę zgodności, a niedawne zmiany w 2026 roku znacznie zwiększyły kary i uprawnienia egzekucyjne.
Kluczowe informacje
- Ustawa o prywatności z 1988 roku jest zarządzana przez Biuro Australijskiego Komisarza ds. Informacji (OAIC) i dotyczy "podmiotów APP", większości agencji federalnych oraz kwalifikujących się organizacji prywatnych.
- 13 Australijskich Zasad Prywatności obejmuje pełny cykl życia danych: zbieranie, używanie, ujawnianie, jakość, bezpieczeństwo i prawa dostępu jednostek.
- Maksymalne kary cywilne za poważne lub powtarzające się naruszenia zostały znacznie zwiększone w wyniku ostatnich zmian, co zbliża Australię do egzekucji na poziomie GDPR [4].
- Schemat Zgłaszania Naruszeń Danych (NDB) wymaga od podmiotów, które doświadczyły naruszenia, powiadomienia zarówno OAIC, jak i osób dotkniętych, gdy naruszenie może spowodować poważne szkody [5].
- Wprowadzono ustawowy delikt za poważne naruszenia prywatności na mocy Ustawy o zmianie przepisów dotyczących prywatności i innych ustaw z 2024 roku, dając jednostkom bezpośrednią możliwość dochodzenia roszczeń prawnych [4].
- Wymogi dotyczące przejrzystości w zakresie automatycznego podejmowania decyzji wejdą w życie 10 grudnia 2026 roku, wymagając od podmiotów APP ujawnienia, w jaki sposób algorytmy wpływają na jednostki [1].
- Projekt Kodeksu Prywatności Dzieci w Internecie został opublikowany 31 marca 2026 roku, a jego egzekucja planowana jest na grudzień 2026 roku [2].
- OAIC orzekł w czerwcu 2026 roku, że dostawcy usług zdrowotnych, którzy używali zewnętrznych pikseli śledzących bez zgody, naruszyli Ustawę o prywatności [3].
- Małe firmy, które nie przekraczają progu 3 milionów AUD obrotu, mogą być nadal objęte przepisami, jeśli zajmują się informacjami zdrowotnymi, handlują danymi osobowymi lub świadczą określone usługi na zlecenie.
- Polityka prywatności jest prawnie wymagana dla wszystkich podmiotów APP i musi spełniać określone standardy treści zgodnie z APP 1.
Czym są Australijskie Zasady Prywatności i jak działają
13 Australijskich Zasad Prywatności (APP), określonych w Załączniku 1 Ustawy o prywatności z 1988 roku, to podstawowe zasady regulujące, jak podmioty APP obsługują dane osobowe. Każda zasada dotyczy odrębnej fazy lub aspektu przetwarzania danych, a nieprzestrzeganie którejkolwiek z nich może wywołać działania regulacyjne.
Zasady APP są pogrupowane w pięć funkcjonalnych klastrów:
| Klastr | Objete APP | Obszar fokusowy |
|---|---|---|
| Rozważenie prywatności danych osobowych | APP 1-2 | Otwarte zarządzanie, anonimowość |
| Zbieranie danych osobowych | APP 3-4 | Legalne zbieranie, niezamówione dane |
| Obsługa danych osobowych | APP 5-8 | Powiadomienie, użycie, ujawnienie, transfer za granicę |
| Integralność danych osobowych | APP 9-10 | Jakość, bezpieczeństwo |
| Dostęp i poprawa | APP 11-13 | Identyfikatory, dostęp, poprawa |
Jak to działa w praktyce: Organizacja zbierająca adres e-mail klienta musi przestrzegać APP 3 (zbierać tylko to, co jest niezbędne), APP 5 (powiadomić jednostkę o zbieraniu), APP 6 (używać go tylko do głównego celu, chyba że zastosowanie ma wyjątek) oraz APP 11 (utrzymywać go w bezpieczeństwie). Naruszenie któregokolwiek z tych punktów w izolacji stanowi naruszenie.
Kto musi przestrzegać Ustawy o prywatności w Australii
Ustawa o prywatności dotyczy "podmiotów APP", które obejmują agencje rządowe Australii oraz organizacje sektora prywatnego z rocznym obrotem powyżej 3 milionów AUD. Jednak próg nie jest jedynym czynnikiem decydującym.
Organizacje poniżej 3 milionów AUD obrotu są nadal objęte przepisami, jeśli:
- Obsługują informacje zdrowotne za opłatą
- Handlują danymi osobowymi (kupując lub sprzedając dane)
- Są dostawcą usług na zlecenie rządu Australii
- Prowadzą bazę danych najmu mieszkań
- Są związane z podmiotem prawnym, który sam jest objęty przepisami
Przykład graniczny: Startup, który zarabia 800 000 AUD rocznie i sprzedaje dane użytkowników firmie analitycznej, jest prawie na pewno objęty przepisami, niezależnie od swojego obrotu.
Co liczy się jako dane osobowe zgodnie z australijskim prawem o prywatności
Dane osobowe to wszelkie informacje lub opinie dotyczące zidentyfikowanej jednostki lub jednostki, która jest rozsądnie identyfikowalna, niezależnie od tego, czy są prawdziwe, czy nie, oraz niezależnie od tego, czy są zapisane w formie materialnej, czy nie. To szeroka, neutralna definicja technologiczna.
Przykłady, które kwalifikują się:
- Pełne imię i nazwisko, data urodzenia, adres, numer telefonu
- Adresy IP i identyfikatory urządzeń (w wielu kontekstach)
- Akta zdrowotne, dane finansowe, dane biometryczne
- Zdjęcia i nagrania głosowe
- Opinie o osobie (nawet jeśli fałszywe)
Informacje wrażliwe to podzbiór, który ma wyższe zabezpieczenia i obejmuje dane zdrowotne, pochodzenie rasowe lub etniczne, opinie polityczne, przekonania religijne, orientację seksualną i wyroki karne. Zbieranie informacji wrażliwych zazwyczaj wymaga wyraźnej zgody.
Jak dowiedzieć się, czy moja firma musi przestrzegać Ustawy o prywatności w Australii
Zacznij od testu obrotu: jeśli Twoja australijska firma ma roczny obrót powyżej 3 milionów AUD, prawie na pewno jesteś podmiotem APP. Jeśli jesteś poniżej tego progu, sprawdź wymienione powyżej czynniki decydujące.
Zasada decyzyjna:
- Obrót powyżej 3M AUD: objęty, koniec kropka.
- Obrót poniżej 3M AUD, ale obsługujesz akta zdrowotne, sprzedajesz dane lub masz kontrakt z rządem: objęty.
- Obrót poniżej 3M AUD, żadna z powyższych: prawdopodobnie zwolniony, ale sprawdź pełną listę zwolnień OAIC przed przyjęciem takiego założenia.
Należy pamiętać, że przepisy dotyczące prywatności w stanach i terytoriach mogą nakładać dodatkowe obowiązki, które nie są objęte ustawą federalną, szczególnie w Nowej Południowej Walii, Wiktorii i Queenslandzie.
Jaka jest różnica między Ustawą o prywatności a APP
Ustawa o prywatności z 1988 roku jest nadrzędnym prawem federalnym. Australijskie Zasady Prywatności to konkretne, egzekwowalne zasady, które znajdują się w tym prawie i mówią organizacjom dokładnie, co muszą i czego nie mogą robić z danymi osobowymi.
Myśl o Ustawie o prywatności jako o ustawie, a o APP jako o jej operacyjnym podręczniku zasad. Organizacja "przestrzega Ustawy o prywatności", spełniając wszystkie 13 APP, obok innych obowiązków, takich jak schemat NDB i nadchodzące wymagania dotyczące automatycznego podejmowania decyzji [1].
Jakie są kary za naruszenie Ustawy o prywatności w Australii
Kary znacznie wzrosły. Za poważne lub powtarzające się naruszenia prywatności maksymalna kara cywilna dla podmiotu prawnego wynosi: 50 milionów AUD; trzy razy wartość uzyskanej korzyści; lub 30% skorygowanego obrotu podmiotu w okresie naruszenia [4][5].
Dla osób fizycznych maksymalna kara cywilna za poważne naruszenia wynosi 2,5 miliona AUD. OAIC zyskał również rozszerzone uprawnienia do prowadzenia dochodzeń i egzekwowania przepisów, w tym możliwość przeprowadzania dochodzeń z urzędu i przyjmowania zobowiązań egzekwowalnych [4].
Zmiany w 2024 roku wprowadziły również ustawowy delikt za poważne naruszenia prywatności, umożliwiając osobom dotkniętym bezpośrednie dochodzenie roszczeń w sądzie bez wcześniejszego przechodzenia przez OAIC [4].
Jak postępować w przypadku naruszenia danych zgodnie z australijskim prawem o prywatności
Zgodnie z schematem Zgłaszania Naruszeń Danych (NDB), podmiot APP, który doświadcza "kwalifikowanego naruszenia danych", musi powiadomić OAIC i osoby dotknięte tak szybko, jak to możliwe [5]. Kwalifikowane naruszenie danych to takie, które prawdopodobnie spowoduje poważne szkody dla którejkolwiek z osób, których informacje były zaangażowane.
Kroki odpowiedzi:
- Natychmiast ogranicz naruszenie (cofnij dostęp, izoluj dotknięte systemy).
- Oceń, czy naruszenie spełnia próg "prawdopodobnej poważnej szkody".
- Jeśli tak, powiadom OAIC, składając oświadczenie za pośrednictwem internetowego portalu OAIC.
- Powiadom bezpośrednio osoby dotknięte, w tym o charakterze naruszenia i zalecanych krokach ochronnych.
- Przejrzyj i napraw lukę, która spowodowała naruszenie.
Typowy błąd: Opóźnianie powiadomienia podczas przeprowadzania długotrwałego dochodzenia wewnętrznego. Ustawa nie zezwala na nieograniczone okresy oceny; jeśli prawdopodobna jest poważna szkoda, powiadom niezwłocznie.
Jakie prawa mają Australijczycy na mocy Ustawy o prywatności
Australijczycy mają kilka egzekwowalnych praw na mocy APP. APP 12 daje jednostkom prawo dostępu do ich danych osobowych przechowywanych przez podmiot APP. APP 13 daje im prawo do żądania poprawy nieprawidłowych, przestarzałych lub niekompletnych informacji.
Dodatkowe prawa obejmują:
- Prawo do pozostania anonimowym lub używania pseudonimu, gdzie jest to zgodne z prawem i praktyczne (APP 2)
- Prawo do wiedzy, jakie informacje są zbierane i dlaczego (APP 5)
- Prawo do rezygnacji z marketingu bezpośredniego (APP 7)
- Prawo do złożenia skargi do OAIC, jeśli prawa nie są respektowane
Jak usunąć swoje dane na mocy Ustawy o prywatności w Australii
Ustawa o prywatności nie zawiera wyraźnego "prawa do usunięcia" odpowiadającego artykułowi 17 GDPR. Jednak APP 11.2 wymaga od organizacji zniszczenia lub zanonimizowania danych osobowych, które nie są już potrzebne do żadnego celu, do którego mogą być używane lub ujawniane.
Praktyczna ścieżka dla jednostek: Złóż pisemny wniosek do inspektora prywatności organizacji. Jeśli organizacja odmówi lub nie odpowie w ciągu 30 dni, złóż skargę do OAIC. OAIC może przeprowadzić dochodzenie i, jeśli to stosowne, nakazać organizacji podjęcie działań naprawczych.
Jak długo organizacje mogą przechowywać dane osobowe zgodnie z australijskim prawem o prywatności
Nie ma jednego ustawowego okresu przechowywania w Ustawie o prywatności. APP 11.2 wymaga od organizacji podjęcia rozsądnych kroków w celu zniszczenia lub zanonimizowania danych osobowych, gdy nie są one już potrzebne. Jednak inne przepisy, w tym Ustawa o korporacjach, przepisy podatkowe i regulacje specyficzne dla branży, nakładają własne minimalne okresy przechowywania, które mają pierwszeństwo.
Praktyczne wskazówki: Zmapuj swoje dane w odniesieniu do testu "nie jest już potrzebne" w Ustawie o prywatności oraz wszelkich sektorowych wymogów dotyczących przechowywania. Gdzie istnieje prawny obowiązek przechowywania, przechowuj dane przez ten okres i nie dłużej.
Co powinno znaleźć się w polityce prywatności zgodnie z australijskim prawem
APP 1.3 wymaga, aby każdy podmiot APP miał jasno wyrażoną i aktualną politykę prywatności. OAIC obecnie przeprowadza kontrolę zgodności polityk prywatności w różnych branżach, aby ocenić, czy spełniają ten standard [1].
Zgodna polityka prywatności musi zawierać:
- Rodzaje danych osobowych, które podmiot zbiera i przechowuje
- Jak dane osobowe są zbierane i przechowywane
- Cele, dla których są zbierane, przechowywane, używane i ujawniane
- Jak jednostka może uzyskać dostęp do swoich informacji i żądać ich poprawy
- Jak podmiot radzi sobie ze skargami
- Czy dane osobowe są ujawniane zagranicznym odbiorcom, a jeśli tak, to którym krajom
Aktualizacja z 2026 roku: Od 10 grudnia 2026 roku polityki prywatności muszą również ujawniać użycie procesów automatycznego podejmowania decyzji, które znacząco wpływają na jednostki, w tym rodzaje danych osobowych, które są zaangażowane [1].
Jaki jest proces składania skargi dotyczącej prywatności w Australii
Jednostki muszą najpierw złożyć skargę bezpośrednio do zaangażowanej organizacji i dać 30 dni na odpowiedź, zanim eskalują sprawę do OAIC. Jeśli organizacja nie rozwiąże skargi w sposób satysfakcjonujący, jednostka może złożyć formalną skargę do OAIC bez opłat.
OAIC może spróbować mediacji, przeprowadzić formalne dochodzenie lub wydać orzeczenie. Jeśli naruszenie zostanie stwierdzone, OAIC może nakazać organizacji podjęcie działań naprawczych, przeproszenie lub wypłatę odszkodowania skarżącemu.
Jak Ustawa o prywatności w Australii ma się do GDPR
Ustawa o prywatności w Australii i ogólne rozporządzenie o ochronie danych (GDPR) w UE mają wspólne cele, ale różnią się zakresem, prawami i egzekwowaniem. Poniższa tabela podsumowuje kluczowe różnice.
| Cecha | Ustawa o prywatności w Australii | GDPR |
|---|---|---|
| Wyraźne prawo do usunięcia | Nie (tylko APP 11.2) | Tak (artykuł 17) |
| Prawo do przenoszenia danych | Nie | Tak (artykuł 20) |
| Zgoda jako podstawowa podstawa | Jedna z kilku podstaw | Centralna, ale nie wyłączna |
| Maksymalna kara (korporacyjna) | 50 mln AUD lub na podstawie obrotu | 20 mln EUR lub 4% globalnego obrotu |
| Organ nadzorczy | OAIC | Krajowe DPA w każdym państwie członkowskim |
| Zasięg terytorialny | Głównie podmioty australijskie | Globalny, jeśli celuje w mieszkańców UE |
Australia obecnie nie ma decyzji o adekwatności od UE, co oznacza, że transfery danych z UE do Australii wymagają dodatkowych zabezpieczeń zgodnie z GDPR.
Czy małe firmy muszą przestrzegać Ustawy o prywatności w Australii
Małe firmy z rocznym obrotem poniżej 3 milionów AUD są generalnie zwolnione z Ustawy o prywatności, ale zwolnienie ma istotne wyjątki. Każda mała firma, która obsługuje informacje zdrowotne, handluje danymi osobowymi lub świadczy usługi na podstawie umowy z rządem Australii, całkowicie traci status zwolniony.
Wybierz ścieżkę zwolnienia tylko jeśli: Twoja firma jest poniżej progu, nie obsługuje danych zdrowotnych, nie sprzedaje ani nie kupuje danych osobowych i nie ma kontraktów rządowych. W razie wątpliwości traktowanie APP jako podstawy zgodności jest rozsądne zarządzanie ryzykiem, niezależnie od obowiązków prawnych.
Zarządzanie zgodą i technologiami śledzenia w 2026 roku
Zarządzanie zgodą stało się kluczowym zagadnieniem zgodności. W czerwcu 2026 roku Komisarz ds. Prywatności orzekł, że dostawcy usług zdrowotnych Medmate Australia i Monash IVF naruszyli Ustawę o prywatności, wdrażając zewnętrzne pikseli śledzące, które zbierały wrażliwe informacje zdrowotne bez zgody użytkownika [3]. Opublikowany raport OAIC "Twoje życie, pikselowane" przedstawia konkretne zalecenia dla każdej organizacji korzystającej z technologii śledzenia na platformach związanych ze zdrowiem [3][6].
Dla operatorów stron internetowych i agencji marketingowych to orzeczenie ustanawia jasny precedens: piksele śledzące, tagi analityczne i narzędzia reklamowe oparte na zachowaniach, które dotykają wrażliwych informacji, wymagają wyraźnej, świadomej zgody przed aktywacją. Platforma zarządzania zgodą (CMP), która rejestruje i przechowuje zapisy zgody, nie jest już opcjonalna dla regulowanych podmiotów, jest praktyczną koniecznością. Biscotti CMP jest zaprojektowana, aby pomóc podmiotom APP spełnić te obowiązki dotyczące zgody, zapewniając szczegółowe, audytowalne zapisy zgody zgodne z australijskimi wymaganiami dotyczącymi prywatności.
FAQ
Q: Czy Ustawa o prywatności w Australii dotyczy zagranicznych firm?
A: Tak, jeśli zagraniczna firma prowadzi działalność w Australii i zbiera lub przechowuje dane osobowe Australijczyków, Ustawa o prywatności ma zastosowanie, niezależnie od tego, gdzie firma ma siedzibę.
Q: Czy polityka prywatności jest prawnie wymagana dla wszystkich firm w Australii?
A: Tylko dla podmiotów APP. Jednak firmy, które są technicznie zwolnione, mogą nadal skorzystać na jej posiadaniu dla zaufania konsumentów i aby zapobiec przyszłym zmianom regulacyjnym.
Q: Co to jest "kwalifikowane naruszenie danych" w ramach schematu NDB?
A: Naruszenie danych dotyczące danych osobowych, w którym istnieje rzeczywiste ryzyko poważnej szkody dla dotkniętych osób, na przykład nieautoryzowany dostęp do danych logowania do konta finansowego lub akt zdrowotnych.
Q: Czy jednostki mogą pozywać organizacje bezpośrednio za naruszenia prywatności?
A: Od czasu Ustawy o zmianie przepisów dotyczących prywatności i innych ustaw z 2024 roku, jednostki mogą wnieść roszczenie deliktowe za poważne naruszenia prywatności bez wcześniejszego przechodzenia przez OAIC [4].
Q: Czy akta pracownicze są objęte Ustawą o prywatności?
A: Akta pracownicze sektora prywatnego przechowywane przez pracodawcę i używane bezpośrednio w związku z relacją zatrudnienia są generalnie zwolnione na mocy zwolnienia dotyczącego akt pracowniczych.
Q: Czym jest Kodeks Prywatności Dzieci w Internecie?
A: Projekt kodeksu opublikowany przez OAIC 31 marca 2026 roku, który nałoży konkretne obowiązki na usługi internetowe zbierające dane dzieci, z egzekucją rozpoczynającą się 10 grudnia 2026 roku [2].
Q: Czy piksele śledzące wymagają zgody zgodnie z prawem australijskim?
A: Gdy piksele zbierają wrażliwe informacje (takie jak dane zdrowotne), tak, orzeczenie OAIC z czerwca 2026 roku potwierdziło, że wdrażanie takich pikseli bez zgody narusza Ustawę o prywatności [3].
Q: Co oznacza "przejrzystość automatycznego podejmowania decyzji" od grudnia 2026 roku?
A: Podmioty APP muszą ujawniać w swoich politykach prywatności, kiedy programy komputerowe podejmują decyzje, które znacząco wpływają na prawa lub interesy jednostek, w tym jakie dane osobowe są używane [1].
Q: Jak długo OAIC zajmuje się rozwiązywaniem skarg?
A: Czas rozwiązywania skarg jest różny. OAIC dąży do rozwiązania prostych skarg w ciągu 90 dni, ale złożone dochodzenia mogą zająć znacznie dłużej.
Q: Czy istnieje opłata za złożenie skargi do OAIC?
A: Nie. Skargi do OAIC są bezpłatne dla jednostek.
Podsumowanie
Ustawa o prywatności w Australii: Przewodnik po APP i zgodności z danymi nie jest statycznym odniesieniem, jest żywym ramowym dokumentem, który przeszedł swoją największą transformację od dziesięcioleci. Zmiany w 2024 i 2026 roku znacznie podniosły stawkę: wyższe kary, ustawowy delikt, obowiązkowe ujawnienia dotyczące automatycznego podejmowania decyzji oraz Kodeks Prywatności Dzieci w Internecie wymagają aktywnych programów zgodności, a nie pasywnych działań na zasadzie "odznaczania".
Wykonalne kroki dla organizacji w 2026 roku:
- Audytuj swoją politykę prywatności w odniesieniu do wymagań APP 1.3 i aktualnych kryteriów kontroli zgodności OAIC [1].
- Przejrzyj wszystkie technologie śledzenia na swojej stronie internetowej i upewnij się, że uzyskujesz wyraźną zgodę przed zbieraniem jakichkolwiek wrażliwych danych [3][6].
- Przygotuj się na terminy grudnia 2026 roku, ujawnienia dotyczące automatycznego podejmowania decyzji oraz Kodeks Prywatności Dzieci w Internecie wejdą w życie [1][2].
- Przetestuj swój plan reakcji na naruszenie danych w odniesieniu do wymogów powiadamiania schematu NDB [5].
- Wdroż rozwiązanie do zarządzania zgodą, takie jak Biscotti CMP, aby rejestrować, przechowywać i demonstrować zapisy zgody, które spełniają australijskie obowiązki dotyczące prywatności.
- Skonsultuj się z wykwalifikowanym doradcą prawnym, jeśli Twoja organizacja obsługuje wrażliwe informacje, działa na rynkach międzynarodowych lub nie jest pewna swojego statusu jako podmiotu APP.
Zgodność to nie jednorazowy projekt. Rozszerzająca się postawa egzekucyjna OAIC w 2026 roku sprawia, że ciągła kontrola jest koniecznością biznesową.
Źródła
[1] Australian Privacy Law Update What App Entities Need To Know In 2026 - https://www.landers.com.au/legal-insights-news/australian-privacy-law-update-what-app-entities-need-to-know-in-2026?utm_source=openai
[2] Draft Childrens Online Privacy Code Released 31 03 2026 - https://ministers.ag.gov.au/media-centre/draft-childrens-online-privacy-code-released-31-03-2026?utm_source=openai
[3] Privacy Commissioner Finds Privacy Breaches In Third Party Tracking Pixel Investigation - https://www.oaic.gov.au/news/media-centre/privacy-commissioner-finds-privacy-breaches-in-third-party-tracking-pixel-investigation?utm_source=openai
[4] Australian Privacy Act Reform - https://cybernion.com.au/insights/australian-privacy-act-reform/?utm_source=openai
[5] Privacy - https://www.ag.gov.au/rights-and-protections/privacy?utm_source=openai
[6] Australia Pixel Perfect The Regulator Addresses Use Of Tracking Pixels - https://privacymatters.dlapiper.com/2026/06/australia-pixel-perfect-the-regulator-addresses-use-of-tracking-pixels/?utm_source=openai