Краткий ответ: Австралийский закон о конфиденциальности 1988 года регулирует, как организации собирают, используют, хранят и раскрывают личную информацию. Он применяется к большинству государственных учреждений Австралии и частных организаций с годовым оборотом выше 3 миллионов австралийских долларов, хотя многие более мелкие организации также подпадают под его действие. 13 австралийских принципов конфиденциальности (APP) составляют операционную основу соблюдения, а недавние поправки 2026 года значительно увеличили штрафы и полномочия по принуждению.
Основные выводы
- Закон о конфиденциальности 1988 года администрируется Офисом австралийского комиссара по информации (OAIC) и применяется к "субъектам APP", большинству федеральных агентств и квалифицированных частных организаций.
- 13 австралийских принципов конфиденциальности охватывают полный жизненный цикл данных: сбор, использование, раскрытие, качество, безопасность и права доступа отдельных лиц.
- Максимальные гражданские штрафы за серьезные или повторные нарушения были значительно увеличены в соответствии с недавними поправками, что приближает Австралию к уровню принуждения GDPR [4].
- Схема уведомления о нарушениях данных (NDB) требует от затронутых организаций уведомлять как OAIC, так и пострадавших лиц, когда нарушение может причинить серьезный вред [5].
- Статутный деликт за серьезные вторжения в конфиденциальность был введен в соответствии с Законом о поправках к законодательству о конфиденциальности и другим законодательством 2024 года, предоставляя отдельным лицам прямое юридическое средство [4].
- Требования к прозрачности автоматизированного принятия решений вступают в силу 10 декабря 2026 года, требуя от субъектов APP раскрывать, как алгоритмы влияют на отдельных лиц [1].
- Проект Кодекса о конфиденциальности детей в Интернете был опубликован 31 марта 2026 года, с началом принуждения, запланированным на декабрь 2026 года [2].
- OAIC постановил в июне 2026 года, что поставщики медицинских услуг, использующие сторонние пиксели отслеживания без согласия, нарушили Закон о конфиденциальности [3].
- Малые предприятия с оборотом ниже 3 миллионов долларов могут все еще подпадать под действие закона, если они обрабатывают медицинскую информацию, торгуют личными данными или предоставляют определенные контрактные услуги.
- Политика конфиденциальности является юридически обязательной для всех субъектов APP и должна соответствовать определенным стандартам содержания в соответствии с APP 1.
Что такое австралийские принципы конфиденциальности и как они работают
13 австралийских принципов конфиденциальности (APP), изложенные в Приложении 1 Закона о конфиденциальности 1988 года, являются основными правилами, регулирующими, как субъекты APP обрабатывают личную информацию. Каждый принцип касается отдельной фазы или аспекта обработки данных, и несоблюдение любого из них может привести к регуляторным мерам.
APP сгруппированы в пять функциональных кластеров:
| Кластер | Охваченные APP | Область фокуса |
|---|---|---|
| Учет конфиденциальности личной информации | APP 1-2 | Открытое управление, анонимность |
| Сбор личной информации | APP 3-4 | Законный сбор, непрошенные данные |
| Обработка личной информации | APP 5-8 | Уведомление, использование, раскрытие, передача за границу |
| Целостность личной информации | APP 9-10 | Качество, безопасность |
| Доступ и исправление | APP 11-13 | Идентификаторы, доступ, исправление |
Как они работают на практике: Организация, собирающая адрес электронной почты клиента, должна соблюдать APP 3 (собирать только то, что необходимо), APP 5 (уведомить лицо о сборе), APP 6 (использовать его только для основной цели, если не применяется исключение) и APP 11 (сохранять его в безопасности). Нарушение любого из этих принципов в отдельности считается нарушением.
Кто должен соблюдать австралийский закон о конфиденциальности
Закон о конфиденциальности применяется к "субъектам APP", которые включают государственные учреждения Австралии и частные организации с годовым оборотом выше 3 миллионов австралийских долларов. Однако порог — это не единственный триггер.
Организации с оборотом ниже 3 миллионов долларов все еще подпадают под действие закона, если они:
- Обрабатывают медицинскую информацию за плату
- Торгуют личной информацией (покупая или продавая данные)
- Являются подрядчиками для австралийского правительства
- Управляют базой данных аренды жилья
- Связаны с юридическим лицом, которое само подпадает под действие закона
Крайний случай: Стартап, зарабатывающий 800 000 долларов в год, который продает данные пользователей третьей стороне аналитической компании, почти наверняка подпадает под действие закона, независимо от его оборота.
Что считается личной информацией в соответствии с австралийским законодательством о конфиденциальности
Личная информация — это любая информация или мнение о идентифицированном лице или о лице, которое можно разумно идентифицировать, независимо от того, является ли она истинной или ложной и независимо от того, зафиксирована ли она в материальной форме или нет. Это широкое, нейтральное по отношению к технологиям определение.
Примеры, которые подходят:
- Полное имя, дата рождения, адрес, номер телефона
- IP-адреса и идентификаторы устройств (в многих контекстах)
- Медицинские записи, финансовые данные, биометрические данные
- Фотографии и голосовые записи
- Мнения о человеке (даже если ложные)
Чувствительная информация — это подкатегория, обладающая более высокой защитой и включающая медицинские данные, расовое или этническое происхождение, политические мнения, религиозные убеждения, сексуальную ориентацию и уголовные записи. Сбор чувствительной информации обычно требует явного согласия.
Как узнать, нужно ли моему бизнесу следовать австралийскому закону о конфиденциальности
Начните с теста на оборот: если ваш австралийский бизнес имеет годовой оборот выше 3 миллионов австралийских долларов, вы почти наверняка являетесь субъектом APP. Если вы находитесь ниже этого порога, проверьте триггеры на основе категорий, перечисленные выше.
Правило принятия решения:
- Оборот выше 3 миллионов долларов: подпадает под действие, точка.
- Оборот ниже 3 миллионов долларов, но вы обрабатываете медицинские записи, продаете данные или имеете контракт с правительством: подпадает под действие.
- Оборот ниже 3 миллионов долларов, ничего из вышеперечисленного: вероятно, освобожден, но проверьте полный список освобождений OAIC, прежде чем делать такие предположения.
Обратите внимание, что законы о конфиденциальности штатов и территорий могут накладывать дополнительные обязательства, не охваченные федеральным законом, особенно в Новом Южном Уэльсе, Виктории и Квинсленде.
В чем разница между законом о конфиденциальности и APP
Закон о конфиденциальности 1988 года является основным федеральным законодательством. Австралийские принципы конфиденциальности — это конкретные, обязательные для исполнения правила, которые находятся в рамках этого законодательства и говорят организациям, что именно они должны и не должны делать с личной информацией.
Думайте о законе о конфиденциальности как о статуте, а о APP как о его операционном своде правил. Организация "соблюдает закон о конфиденциальности", выполняя все 13 APP, среди других обязательств, таких как схема NDB и предстоящие требования к автоматизированному принятию решений [1].
Каковы штрафы за нарушение австралийского закона о конфиденциальности
Штрафы значительно возросли. За серьезные или повторные вмешательства в конфиденциальность максимальный гражданский штраф для юридического лица составляет большее из: 50 миллионов австралийских долларов; трижды превышающая стоимость полученной выгоды; или 30% скорректированного оборота организации в период нарушения [4][5].
Для физических лиц максимальный гражданский штраф за серьезные нарушения составляет 2,5 миллиона австралийских долларов. OAIC также расширил полномочия по расследованию и принуждению, включая возможность проводить собственные расследования и принимать обязательства, подлежащие исполнению [4].
Поправки 2024 года также ввели статутный деликт за серьезные вторжения в конфиденциальность, позволяя пострадавшим лицам подавать иски непосредственно в суд без предварительного обращения в OAIC [4].
Как мне справиться с утечкой данных в соответствии с австралийским законодательством о конфиденциальности
В соответствии со схемой уведомления о нарушениях данных (NDB) субъект APP, который сталкивается с "допустимой утечкой данных", должен уведомить OAIC и пострадавших лиц как можно скорее [5]. Допустимая утечка данных — это такая, которая, вероятно, приведет к серьезному вреду любому из лиц, чья информация была затронута.
Шаги реагирования:
- Немедленно ограничьте утечку (отмените доступ, изолируйте затронутые системы).
- Оцените, соответствует ли утечка порогу "вероятного серьезного вреда".
- Если да, уведомите OAIC, подав заявление через онлайн-портал OAIC.
- Уведомите пострадавших лиц напрямую, включая природу утечки и рекомендуемые защитные меры.
- Проверьте и устраните уязвимость, вызвавшую утечку.
Распространенная ошибка: Задержка уведомления во время проведения длительного внутреннего расследования. Закон не допускает неопределенных периодов оценки; если вероятен серьезный вред, уведомите незамедлительно.
Какие права имеют австралийцы в соответствии с законом о конфиденциальности
Австралийцы имеют несколько обязательных прав в соответствии с APP. APP 12 предоставляет отдельным лицам право на доступ к своей личной информации, хранящейся у субъекта APP. APP 13 дает им право запрашивать исправление неточной, устаревшей или неполной информации.
Дополнительные права включают:
- Право оставаться анонимным или использовать псевдоним, где это законно и целесообразно (APP 2)
- Право знать, какая информация собирается и почему (APP 5)
- Право отказаться от прямого маркетинга (APP 7)
- Право жаловаться в OAIC, если права не соблюдаются
Как удалить свои данные в соответствии с австралийским законом о конфиденциальности
Закон о конфиденциальности не содержит явного "права на удаление", эквивалентного статье 17 GDPR. Однако APP 11.2 требует от организаций уничтожать или деидентифицировать личную информацию, которая больше не нужна для каких-либо целей, для которых она может быть использована или раскрыта.
Практический путь для отдельных лиц: Подайте письменный запрос к офицеру по конфиденциальности организации. Если организация откажет или не ответит в течение 30 дней, подайте жалобу в OAIC. OAIC может провести расследование и, если это уместно, указать организации принять корректирующие меры.
Как долго организации могут хранить личные данные в соответствии с австралийским законодательством о конфиденциальности
В законе о конфиденциальности нет единого статутного срока хранения. APP 11.2 требует от организаций принимать разумные меры для уничтожения или деидентификации личной информации, как только она больше не нужна. Однако другие законы, включая Закон о корпорациях, налоговое законодательство и отраслевые регламенты, накладывают свои минимальные сроки хранения, которые имеют приоритет.
Практическое руководство: Сопоставьте свои данные с тестом "больше не нужно" Закона о конфиденциальности и любыми специфическими требованиями к хранению в вашей отрасли. Если существует юридическое обязательство по хранению, храните данные в течение этого периода и не дольше.
Что должно быть в политике конфиденциальности в соответствии с австралийским законодательством
APP 1.3 требует от каждого субъекта APP иметь четко выраженную и актуальную политику конфиденциальности. OAIC в настоящее время проводит проверку соблюдения политик конфиденциальности в различных отраслях, чтобы оценить, соответствуют ли они этому стандарту [1].
Соответствующая политика конфиденциальности должна включать:
- Виды личной информации, которую организация собирает и хранит
- Как личная информация собирается и хранится
- Цели, для которых она собирается, хранится, используется и раскрывается
- Как отдельное лицо может получить доступ к своей информации и запросить ее исправление
- Как организация обрабатывает жалобы
- Раскрывается ли личная информация зарубежным получателям, и если да, то в какие страны
Обновление 2026 года: С 10 декабря 2026 года политики конфиденциальности также должны раскрывать использование процессов автоматизированного принятия решений, которые значительно влияют на отдельных лиц, включая типы личной информации, которые используются [1].
Каков процесс подачи жалобы на конфиденциальность в Австралии
Индивидуумы должны сначала подать жалобу непосредственно в заинтересованную организацию и дать 30 дней на ответ, прежде чем обращаться в OAIC. Если организация не решит жалобу удовлетворительно, индивидуум может подать официальную жалобу в OAIC без каких-либо затрат.
OAIC может попытаться провести примирение, провести официальное расследование или вынести решение. Если будет установлено нарушение, OAIC может приказать организации принять корректирующие меры, извиниться или выплатить компенсацию жалобщику.
Как австралийский закон о конфиденциальности соотносится с GDPR
Австралийский закон о конфиденциальности и Общий регламент защиты данных (GDPR) ЕС имеют общие цели, но различаются по объему, правам и принуждению. В таблице ниже подведены ключевые различия.
| Особенность | Австралийский закон о конфиденциальности | GDPR |
|---|---|---|
| Явное право на удаление | Нет (только APP 11.2) | Да (статья 17) |
| Право на переносимость данных | Нет | Да (статья 20) |
| Согласие как основное основание | Одно из нескольких оснований | Центральное, но не исключительное |
| Максимальный штраф (корпоративный) | 50 миллионов австралийских долларов или на основе оборота | 20 миллионов евро или 4% глобального оборота |
| Надзорный орган | OAIC | Национальные DPA в каждой стране-участнице |
| Территориальный охват | Преимущественно австралийские субъекты | Глобальный, если нацеливается на жителей ЕС |
В настоящее время Австралия не имеет решения о достаточности от ЕС, что означает, что передача данных из ЕС в Австралию требует дополнительных мер предосторожности в соответствии с GDPR.
Должны ли малые предприятия следовать австралийскому закону о конфиденциальности
Малые предприятия с годовым оборотом менее 3 миллионов австралийских долларов, как правило, освобождены от Закона о конфиденциальности, но это освобождение имеет значительные исключения. Любое малое предприятие, которое обрабатывает медицинскую информацию, торгует личными данными или предоставляет услуги по контракту с австралийским правительством, полностью теряет свой статус освобождения.
Выбирайте освобожденный путь только если: ваш бизнес находится ниже порога, не обрабатывает медицинские данные, не продает или не покупает личную информацию и не имеет контрактов с правительством. В случае сомнений разумным управлением рисками является рассматривать APP как базу для соблюдения, независимо от юридических обязательств.
Управление согласиями и технологиями отслеживания в 2026 году
Управление согласиями стало важной проблемой соблюдения. В июне 2026 года Комиссар по конфиденциальности установил, что поставщики медицинских услуг Medmate Australia и Monash IVF нарушили Закон о конфиденциальности, используя сторонние пиксели отслеживания, которые собирали чувствительную медицинскую информацию без согласия пользователя [3]. Опубликованный отчет OAIC "Ваша жизнь, пикселизированная" содержит конкретные рекомендации для любой организации, использующей технологии отслеживания на платформах, связанных со здоровьем [3][6].
Для операторов веб-сайтов и маркетинговых агентств это решение устанавливает четкий прецедент: пиксели отслеживания, аналитические теги и инструменты поведенческой рекламы, которые касаются чувствительной информации, требуют явного, информированного согласия перед активацией. Платформа управления согласиями (CMP), которая фиксирует и хранит записи согласий, больше не является опциональной для регулируемых субъектов, это практическая необходимость. Biscotti CMP предназначена для помощи субъектам APP в выполнении этих обязательств по согласиям, предоставляя детализированные, подлежащие аудиту записи согласий, соответствующие австралийским требованиям конфиденциальности.
Часто задаваемые вопросы
В: Применяется ли австралийский закон о конфиденциальности к иностранным компаниям?
О: Да, если иностранная компания ведет бизнес в Австралии и собирает или хранит личную информацию австралийцев, закон о конфиденциальности применяется, независимо от того, где находится штаб-квартира компании.
В: Является ли политика конфиденциальности юридически обязательной для всех бизнесов в Австралии?
О: Только для субъектов APP. Однако бизнесы, которые технически освобождены, могут все же извлечь выгоду от наличия такой политики для доверия потребителей и для предотвращения будущих регуляторных изменений.
В: Что такое "допустимая утечка данных" в соответствии со схемой NDB?
О: Утечка данных, касающаяся личной информации, при которой существует реальный риск серьезного вреда для затронутых лиц, например, несанкционированный доступ к учетным данным финансовых счетов или медицинским записям.
В: Могут ли отдельные лица подавать иски против организаций за нарушения конфиденциальности?
О: С тех пор как был принят Закон о поправках к законодательству о конфиденциальности и другим законодательствам 2024 года, отдельные лица могут подавать иски за серьезные вторжения в конфиденциальность без предварительного обращения в OAIC [4].
В: Подпадают ли записи сотрудников под действие Закона о конфиденциальности?
О: Записи сотрудников частного сектора, хранящиеся работодателем и используемые непосредственно в отношении трудовых отношений, как правило, освобождены в соответствии с исключением для записей сотрудников.
В: Что такое Кодекс о конфиденциальности детей в Интернете?
О: Проект кодекса, опубликованный OAIC 31 марта 2026 года, который наложит конкретные обязательства на онлайн-сервисы, собирающие данные детей, с началом принуждения с 10 декабря 2026 года [2].
В: Требуют ли пиксели отслеживания согласия в соответствии с австралийским законодательством?
О: Если пиксели собирают чувствительную информацию (например, медицинские данные), да, решение OAIC от июня 2026 года подтвердило, что развертывание таких пикселей без согласия нарушает Закон о конфиденциальности [3].
В: Что означает "прозрачность автоматизированного принятия решений" с декабря 2026 года?
О: Субъекты APP должны раскрывать в своих политиках конфиденциальности, когда компьютерные программы принимают решения, которые значительно влияют на права или интересы отдельных лиц, включая используемую личную информацию [1].
В: Сколько времени OAIC занимает для разрешения жалобы?
О: Сроки различаются. OAIC стремится разрешить простые жалобы в течение 90 дней, но сложные расследования могут занять значительно больше времени.
В: Есть ли плата за подачу жалобы в OAIC?
О: Нет. Жалобы в OAIC бесплатны для отдельных лиц.
Заключение
Австралийский закон о конфиденциальности: Руководство по APP и соблюдению данных не является статическим справочником, это живой каркас, который претерпел свои самые значительные изменения за десятилетия. Поправки 2024 и 2026 годов значительно повысили ставки: более высокие штрафы, статутный деликт, обязательные раскрытия автоматизированного принятия решений и Кодекс о конфиденциальности детей в Интернете требуют активных программ соблюдения, а не пассивных формальностей.
Действия, которые следует предпринять организациям в 2026 году:
- Аудит вашей политики конфиденциальности в соответствии с требованиями APP 1.3 и текущими критериями проверки соблюдения OAIC [1].
- Проверьте все технологии отслеживания на вашем веб-сайте и убедитесь, что явное согласие получено перед сбором любых чувствительных данных [3][6].
- Подготовьтесь к срокам декабря 2026 года, раскрытия автоматизированного принятия решений и Кодекс о конфиденциальности детей в Интернете вступают в силу тогда [1][2].
- Проверьте ваш план реагирования на утечку данных в соответствии с требованиями уведомления схемы NDB [5].
- Реализуйте решение для управления согласиями, такое как Biscotti CMP, для фиксации, хранения и демонстрации записей согласий, которые удовлетворяют австралийским обязательствам по конфиденциальности.
- Ищите квалифицированную юридическую помощь, если ваша организация обрабатывает чувствительную информацию, работает за границей или не уверена в своем статусе субъекта APP.
Соблюдение — это не одноразовый проект. Расширяющаяся позиция принуждения OAIC в 2026 году делает постоянный обзор необходимостью для бизнеса.
Ссылки
[1] Australian Privacy Law Update What App Entities Need To Know In 2026 - https://www.landers.com.au/legal-insights-news/australian-privacy-law-update-what-app-entities-need-to-know-in-2026?utm_source=openai
[2] Draft Childrens Online Privacy Code Released 31 03 2026 - https://ministers.ag.gov.au/media-centre/draft-childrens-online-privacy-code-released-31-03-2026?utm_source=openai
[3] Privacy Commissioner Finds Privacy Breaches In Third Party Tracking Pixel Investigation - https://www.oaic.gov.au/news/media-centre/privacy-commissioner-finds-privacy-breaches-in-third-party-tracking-pixel-investigation?utm_source=openai
[4] Australian Privacy Act Reform - https://cybernion.com.au/insights/australian-privacy-act-reform/?utm_source=openai
[5] Privacy - https://www.ag.gov.au/rights-and-protections/privacy?utm_source=openai
[6] Australia Pixel Perfect The Regulator Addresses Use Of Tracking Pixels - https://privacymatters.dlapiper.com/2026/06/australia-pixel-perfect-the-regulator-addresses-use-of-tracking-pixels/?utm_source=openai