Hiter odgovor: Avstralski zakon o varstvu zasebnosti iz leta 1988 ureja, kako organizacije zbirajo, uporabljajo, shranjujejo in razkrivajo osebne podatke. Uporablja se za večino avstralskih vladnih agencij in organizacij v zasebnem sektorju z letnim prometom nad 3 milijone AUD, čeprav so zajete tudi številne manjše entitete. 13 avstralskih načel varstva zasebnosti (APP) tvori operativno osnovo skladnosti, nedavne spremembe iz leta 2026 pa so znatno povečale kazni in pooblastila za izvrševanje.
Ključne točke
- Zakon o varstvu zasebnosti iz leta 1988 upravlja Urad avstralskega komisarja za informacije (OAIC) in se uporablja za "APP entitete", večino zveznih agencij in kvalificiranih zasebnih organizacij.
- 13 avstralskih načel varstva zasebnosti pokriva celoten življenjski cikel podatkov: zbiranje, uporabo, razkrivanje, kakovost, varnost in pravice posameznikov do dostopa.
- Maksimalne civilne kazni za resne ali ponavljajoče se kršitve so bile znatno povečane z nedavnimi spremembami, kar Avstralijo bolj približuje izvrševanju na ravni GDPR [4].
- Shema obveščanja o kršitvah podatkov (NDB) zahteva, da prizadete entitete obvestijo tako OAIC kot tudi prizadete posameznike, ko je verjetno, da bo kršitev povzročila resno škodo [5].
- Statutarna tožba za resne kršitve zasebnosti je bila uvedena z Zakonom o spremembah zakonodaje o varstvu zasebnosti in drugih zakonih iz leta 2024, kar posameznikom daje neposredno pravno sredstvo [4].
- Zahteve po preglednosti avtomatiziranega odločanja začnejo veljati 10. decembra 2026, kar APP entitete zavezuje, da razkrijejo, kako algoritmi vplivajo na posameznike [1].
- Osnutek kodeksa o varstvu zasebnosti otrok na spletu je bil objavljen 31. marca 2026, z izvrševanjem predvidenim za december 2026 [2].
- OAIC je junija 2026 odločil, da so zdravstveni ponudniki, ki uporabljajo sledenje tretjih oseb brez soglasja, kršili zakon o varstvu zasebnosti [3].
- Mala podjetja pod pragom 3 milijone AUD prometa so lahko še vedno zajeta, če obravnavajo zdravstvene informacije, trgujejo z osebnimi podatki ali nudijo določene pogodbene storitve.
- Politika varstva zasebnosti je pravno obvezna za vse APP entitete in mora izpolnjevati specifične vsebinske standarde po APP 1.
Kaj so avstralska načela varstva zasebnosti in kako delujejo
13 avstralskih načel varstva zasebnosti (APP), opredeljenih v Prilogi 1 zakona o varstvu zasebnosti iz leta 1988, so osnovna pravila, ki urejajo, kako APP entitete ravnajo z osebnimi podatki. Vsako načelo se osredotoča na določen fazo ali vidik ravnanja s podatki, neupoštevanje katerega koli od njih lahko sproži regulativne ukrepe.
APP-ji so razdeljeni v pet funkcionalnih skupin:
| Skupina | Pokriti APP-ji | Osredotočenost |
|---|---|---|
| Upoštevanje zasebnosti osebnih informacij | APP 1-2 | Odprto upravljanje, anonimnost |
| Zbiranje osebnih informacij | APP 3-4 | Zakonito zbiranje, nezaželeni podatki |
| Ravnanje z osebnimi informacijami | APP 5-8 | Obveščanje, uporaba, razkrivanje, prenos v tujino |
| Integriteta osebnih informacij | APP 9-10 | Kakovost, varnost |
| Dostop in popravki | APP 11-13 | Identifikatorji, dostop, popravki |
Kako delujejo v praksi: Organizacija, ki zbira e-poštni naslov stranke, mora upoštevati APP 3 (zbirati le tisto, kar je potrebno), APP 5 (obvestiti posameznika o zbiranju), APP 6 (uporabiti ga le za primarni namen, razen če velja izjema) in APP 11 (ohraniti ga varnega). Kršitev katerega koli od teh načel v izolaciji predstavlja kršitev.
Kdo mora upoštevati avstralski zakon o varstvu zasebnosti
Zakon o varstvu zasebnosti se uporablja za "APP entitete", ki vključujejo avstralske vladne agencije in organizacije v zasebnem sektorju z letnim prometom nad 3 milijone AUD. Vendar prag ni edini sprožilec.
Organizacije pod 3 milijoni AUD prometa so še vedno zajete, če:
- Obdelujejo zdravstvene informacije za plačilo
- Trgujejo z osebnimi informacijami (kupujejo ali prodajajo podatke)
- So pogodbeni ponudnik storitev za avstralsko vlado
- Upravljajo bazo podatkov o najemnih stanovanjih
- So povezane z gospodarsko družbo, ki je sama zajeta
Mejni primer: Startup, ki letno zasluži 800.000 AUD in prodaja podatke uporabnikov tretji analitični firmi, je skoraj zagotovo zajet, ne glede na svoj promet.
Kaj šteje kot osebni podatki po avstralskem zakonu o varstvu zasebnosti
Osebni podatki so vse informacije ali mnenja o identificirani osebi ali osebi, ki je razumno identificirana, ne glede na to, ali so resnični ali ne in ne glede na to, ali so zabeleženi v materialni obliki ali ne. To je široka, tehnološko nevtralna definicija.
Primeri, ki ustrezajo:
- Polno ime, datum rojstva, naslov, telefonska številka
- IP naslovi in identifikatorji naprav (v mnogih kontekstih)
- Zdravstveni zapisi, finančni podatki, biometrični podatki
- Fotografije in zvočni posnetki
- Mnenja o osebi (tudi če so napačna)
Občutljivi podatki so podskupina, ki nosi višje zaščitne ukrepe in vključuje zdravstvene podatke, rasno ali etnično poreklo, politična mnenja, verska prepričanja, spolno usmerjenost in kazenske evidence. Zbiranje občutljivih informacij običajno zahteva izrecno soglasje.
Kako naj vem, ali moje podjetje mora upoštevati avstralski zakon o varstvu zasebnosti
Začnite s testom prometa: če vaše avstralsko podjetje ima letni promet nad 3 milijone AUD, ste skoraj zagotovo APP entiteta. Če ste pod tem pragom, preverite sprožilce, navedene zgoraj.
Pravilnik odločanja:
- Promet nad 3M AUD: zajeto, pika.
- Promet pod 3M AUD, vendar obravnavate zdravstvene zapise, prodajate podatke ali imate vladno pogodbo: zajeto.
- Promet pod 3M AUD, nič od navedenega: verjetno izvzeto, vendar pred domnevo preglejte celoten seznam izvzetij OAIC.
Upoštevajte, da lahko zakoni o varstvu zasebnosti v zveznih državah in ozemljih nalagajo dodatne obveznosti, ki niso zajete v zveznem zakonu, zlasti v Novem Južnem Walesu, Victorii in Queenslandu.
Kakšna je razlika med zakonom o varstvu zasebnosti in APP-ji
Zakon o varstvu zasebnosti iz leta 1988 je nadrejena zvezna zakonodaja. Avstralska načela varstva zasebnosti so specifična, izvršljiva pravila, ki so vključena v to zakonodajo in organizacijam natančno povedo, kaj morajo in česa ne smejo početi z osebnimi podatki.
Zakon o varstvu zasebnosti lahko razumemo kot zakon in APP-je kot njegov operativni pravilnik. Organizacija "upošteva zakon o varstvu zasebnosti", če izpolnjuje vseh 13 APP-jev, poleg drugih obveznosti, kot so shema NDB in prihajajoče zahteve po avtomatiziranem odločanju [1].
Kakšne so kazni za kršenje avstralskega zakona o varstvu zasebnosti
Kazni so se znatno povečale. Za resne ali ponavljajoče se motnje zasebnosti je maksimalna civilna kazen za pravno osebo večja od: 50 milijonov AUD; trikratna vrednost pridobljene koristi; ali 30 % prilagojenega prometa entitete v času kršitve [4][5].
Za posameznike je maksimalna civilna kazen za resne kršitve 2,5 milijona AUD. OAIC je prav tako razširil pooblastila za preiskovanje in izvrševanje, vključno z zmožnostjo izvajanja preiskav po uradni dolžnosti in sprejemanjem izvršljivih zavez [4].
Spremembe iz leta 2024 so prav tako uvedle statutarno tožbo za resne kršitve zasebnosti, kar omogoča prizadetim posameznikom, da tožijo neposredno na sodišču, ne da bi se prej obrnili na OAIC [4].
Kako ravnati s kršitvijo podatkov po avstralskem zakonu o varstvu zasebnosti
V okviru sheme obveščanja o kršitvah podatkov (NDB) mora APP entiteta, ki doživi "upravičeno kršitev podatkov", obvestiti OAIC in prizadete posameznike čim prej [5]. Upravičena kršitev podatkov je tista, ki bi lahko povzročila resno škodo kateremu koli od posameznikov, katerih informacije so bile vključene.
Koraki odziva:
- Takoj omejite kršitev (prekličite dostop, izolirajte prizadete sisteme).
- Ocenite, ali kršitev izpolnjuje prag "verjetne resne škode".
- Če da, obvestite OAIC z oddajo izjave prek spletnega portala OAIC.
- Neposredno obvestite prizadete posameznike, vključno z naravo kršitve in priporočili za zaščitne ukrepe.
- Preglejte in odpravite ranljivost, ki je povzročila kršitev.
Pogosta napaka: Zamuda pri obveščanju med dolgotrajno interno preiskavo. Zakon ne dovoljuje neskončnih obdobij ocenjevanja, če je verjetna resna škoda, obvestite takoj.
Kakšne pravice imajo Avstralci po zakonu o varstvu zasebnosti
Avstralci imajo več izvršljivih pravic po APP-ih. APP 12 daje posameznikom pravico do dostopa do svojih osebnih informacij, ki jih hrani APP entiteta. APP 13 jim daje pravico zahtevati popravek netočnih, zastarelih ali nepopolnih informacij.
Dodatne pravice vključujejo:
- Pravico do ohranjanja anonimnosti ali uporabe psevdonima, kjer je to zakonito in izvedljivo (APP 2)
- Pravico vedeti, katere informacije so zbrane in zakaj (APP 5)
- Pravico, da se izključijo iz neposrednega trženja (APP 7)
- Pravico pritožiti se OAIC, če pravice niso spoštovane
Kako dobiti izbris svojih podatkov po avstralskem zakonu o varstvu zasebnosti
Zakon o varstvu zasebnosti ne vsebuje izrecne "pravice do izbrisa", ki bi bila ekvivalentna 17. členu GDPR. Vendar APP 11.2 zahteva, da organizacije uničijo ali deidentificirajo osebne informacije, ki jih ne potrebujejo več za noben namen, za katerega bi jih lahko uporabili ali razkrili.
Praktična pot za posameznike: Predložite pisno zahtevo uradniku za varstvo zasebnosti organizacije. Če organizacija zavrne ali ne odgovori v 30 dneh, vložite pritožbo pri OAIC. OAIC lahko preišče in, če je primerno, usmeri organizacijo k sprejetju korektivnih ukrepov.
Kako dolgo lahko organizacije hranijo osebne podatke po avstralskem zakonu o varstvu zasebnosti
V zakonu o varstvu zasebnosti ni enotnega zakonskega obdobja hrambe. APP 11.2 zahteva, da organizacije sprejmejo razumne ukrepe za uničenje ali deidentifikacijo osebnih informacij, ko jih ne potrebujejo več. Vendar pa drugi zakoni, vključno z Zakonom o korporacijah, davčno zakonodajo in predpisi, specifičnimi za panoge, nalagajo svoje minimalne roke hrambe, ki imajo prednost.
Praktični nasvet: Ujemite svoje podatke z "testom več ne potrebnih" zakona o varstvu zasebnosti in kakršnimi koli predpisi o hrambi, specifičnimi za sektor. Kjer obstaja pravna obveznost hrambe, hranite podatke za to obdobje in ne dlje.
Kaj mora vsebovati politika varstva zasebnosti po avstralskem pravu
APP 1.3 zahteva, da ima vsaka APP entiteta jasno izraženo in ažurno politiko varstva zasebnosti. OAIC trenutno izvaja pregled skladnosti politik varstva zasebnosti v različnih panogah, da oceni, ali izpolnjujejo ta standard [1].
Skladna politika varstva zasebnosti mora vključevati:
- Vrste osebnih informacij, ki jih entiteta zbira in hrani
- Kako se osebne informacije zbirajo in hranijo
- Namen, za katerega so zbrane, shranjene, uporabljene in razkrite
- Kako lahko posameznik dostopa do svojih informacij in zahteva popravke
- Kako entiteta obravnava pritožbe
- Ali se osebne informacije razkrivajo tujim prejemnikom, in če da, katerim državam
Posodobitev 2026: Od 10. decembra 2026 morajo politike varstva zasebnosti prav tako razkriti uporabo avtomatiziranih odločanja, ki pomembno vplivajo na posameznike, vključno z vrstami osebnih informacij, ki so vključene [1].
Kakšen je postopek za vložitev pritožbe o varstvu zasebnosti v Avstraliji
Posamezniki se morajo najprej pritožiti neposredno organizaciji in omogočiti 30 dni za odgovor, preden se obrnejo na OAIC. Če organizacija ne reši pritožbe zadovoljivo, lahko posameznik brezplačno vloži uradno pritožbo pri OAIC.
OAIC lahko poskusi spravo, izvede formalno preiskavo ali sprejme odločitev. Če se ugotovi kršitev, lahko OAIC odredi organizaciji, da sprejme korektivne ukrepe, se opraviči ali plača odškodnino pritožniku.
Kako se avstralski zakon o varstvu zasebnosti primerja z GDPR
Avstralski zakon o varstvu zasebnosti in Splošna uredba o varstvu podatkov (GDPR) EU si delita skupne cilje, vendar se razlikujeta po obsegu, pravicah in izvrševanju. Spodnja tabela povzema ključne razlike.
| Značilnost | Avstralski zakon o varstvu zasebnosti | GDPR |
|---|---|---|
| Izrecna pravica do izbrisa | Ne (samo APP 11.2) | Da (17. člen) |
| Pravica do prenosljivosti podatkov | Ne | Da (20. člen) |
| Soglasje kot primarna osnova | Ena od več osnov | Osrednja, vendar ne izključna |
| Maksimalna kazen (korporativna) | 50 milijonov AUD ali na osnovi prometa | 20 milijonov EUR ali 4 % svetovnega prometa |
| Nadzorni organ | OAIC | Nacionalni DPA-ji po državah članicah |
| Teritorialni doseg | Predvsem avstralske entitete | Globalno, če cilja na prebivalce EU |
Avstralija trenutno nima odločbe o ustreznosti z EU, kar pomeni, da prenosi podatkov iz EU v Avstralijo zahtevajo dodatne zaščitne ukrepe po GDPR.
Ali morajo mala podjetja upoštevati avstralski zakon o varstvu zasebnosti
Mala podjetja z letnim prometom pod 3 milijoni AUD so na splošno izvzeta iz zakona o varstvu zasebnosti, vendar ima to izvzetje pomembne izjeme. Vsako malo podjetje, ki obravnava zdravstvene informacije, trguje z osebnimi podatki ali nudi storitve na podlagi pogodbe z avstralsko vlado, popolnoma izgubi svoj status izvzetja.
Izberite pot izvzetja le, če: vaše podjetje je pod pragom, ne obravnava zdravstvenih podatkov, ne prodaja ali kupuje osebnih informacij in nima vladnih pogodb. Ko ste v dvomih, je obravnavanje APP-jev kot osnovne skladnosti razumen način upravljanja tveganj ne glede na pravne obveznosti.
Upravljanje soglasja in tehnologij sledenja v letu 2026
Upravljanje soglasja je postalo vprašanje skladnosti na prvi liniji. Junija 2026 je komisar za varstvo zasebnosti ugotovil, da sta zdravstvena ponudnika Medmate Australia in Monash IVF kršila zakon o varstvu zasebnosti z uporabo sledenja tretjih oseb, ki so zbirali občutljive zdravstvene informacije brez soglasja uporabnikov [3]. Objavljeno poročilo OAIC, "Vaše življenje, pikselizirano," vsebuje specifična priporočila za vsako organizacijo, ki uporablja tehnologije sledenja na platformah, povezanih z zdravjem [3][6].
Za upravljavce spletnih strani in marketinške agencije ta odločitev postavlja jasen precedens: sledenjski piksli, analitične oznake in orodja za vedenjsko oglaševanje, ki se dotikajo občutljivih informacij, zahtevajo izrecno, informirano soglasje pred aktivacijo. Platforma za upravljanje soglasja (CMP), ki zajema in shranjuje evidence soglasja, ni več opcijska za regulirane entitete, temveč praktična nuja. Biscotti CMP je zasnovan za pomoč APP entitetam pri izpolnjevanju teh obveznosti soglasja z zagotavljanjem podrobnih, revizijskih evidenc soglasja, usklajenih z avstralskimi zahtevami za varstvo zasebnosti.
Pogosta vprašanja
Q: Ali se avstralski zakon o varstvu zasebnosti uporablja za tuje podjetja? A: Da, če tuje podjetje posluje v Avstraliji in zbira ali hrani osebne informacije Avstralcev, se zakon o varstvu zasebnosti uporablja, ne glede na to, kje ima podjetje sedež.
Q: Ali je politika varstva zasebnosti pravno obvezna za vsa podjetja v Avstraliji? A: Le za APP entitete. Vendar pa lahko podjetja, ki so tehnično izvzeta, še vedno koristijo imeti eno za zaupanje potrošnikov in za preprečevanje prihodnjih regulativnih sprememb.
Q: Kaj je "upravičena kršitev podatkov" po shemi NDB? A: Kršitev podatkov, ki vključuje osebne informacije, kjer obstaja resno tveganje za resno škodo prizadetim posameznikom, na primer, nepooblaščen dostop do podatkov o finančnih računih ali zdravstvenih zapisih.
Q: Ali lahko posamezniki tožijo organizacije neposredno zaradi kršitev zasebnosti? A: Odkar je bil sprejet Zakon o spremembah zakonodaje o varstvu zasebnosti in drugih zakonih iz leta 2024, lahko posamezniki vložijo tožbo za statutarno tožbo zaradi resnih kršitev zasebnosti, ne da bi se prej obrnili na OAIC [4].
Q: Ali so zapisi zaposlenih zajeti z zakonom o varstvu zasebnosti? A: Zasebni sektor zapisi zaposlenih, ki jih hrani delodajalec in se neposredno uporabljajo v zvezi z delovnim razmerjem, so na splošno izvzeti po izvzetju zapisov zaposlenih.
Q: Kaj je Kodeks o varstvu zasebnosti otrok na spletu? A: Osnutek kodeksa, ki ga je OAIC objavil 31. marca 2026, ki bo nalagal specifične obveznosti spletnim storitvam, ki zbirajo podatke otrok, z izvrševanjem, ki se začne 10. decembra 2026 [2].
Q: Ali sledenjski piksli zahtevajo soglasje po avstralskem pravu? A: Kjer piksli zbirajo občutljive informacije (kot so zdravstveni podatki), da, junijska odločitev OAIC je potrdila, da uporaba takih pikslov brez soglasja krši zakon o varstvu zasebnosti [3].
Q: Kaj pomeni "preglednost avtomatiziranega odločanja" od decembra 2026? A: APP entitete morajo v svojih politikah varstva zasebnosti razkriti, kdaj računalniški programi sprejemajo odločitve, ki pomembno vplivajo na pravice ali interese posameznikov, vključno s tem, katere osebne informacije se uporabljajo [1].
Q: Kako dolgo OAIC potrebuje za rešitev pritožbe? A: Časi se razlikujejo. OAIC si prizadeva rešiti preproste pritožbe v 90 dneh, vendar lahko kompleksne preiskave trajajo precej dlje.
Q: Ali je pristojbina za vložitev pritožbe pri OAIC? A: Ne. Pritožbe pri OAIC so brezplačne za posameznike.
Zaključek
Avstralski zakon o varstvu zasebnosti: Vodnik po APP-ih in skladnosti z podatki ni statična referenca, temveč živa struktura, ki je doživela svojo največjo preobrazbo v desetletjih. Spremembe iz leta 2024 in 2026 so znatno povečale tveganje: višje kazni, statutarna tožba, obvezna razkritja avtomatiziranega odločanja in Kodeks o varstvu zasebnosti otrok na spletu zahtevajo aktivne programe skladnosti namesto pasivnih preverjanj.
Izvedljivi naslednji koraki za organizacije v letu 2026:
- Preverite svojo politiko varstva zasebnosti glede zahtev APP 1.3 in trenutnih meril pregleda skladnosti OAIC [1].
- Preglejte vse tehnologije sledenja na svoji spletni strani in zagotovite, da je izrecno soglasje pridobljeno pred zbiranjem kakršnih koli občutljivih podatkov [3][6].
- Pripravite se na roke decembra 2026, razkritja avtomatiziranega odločanja in Kodeks o varstvu zasebnosti otrok na spletu bosta takrat začela veljati [1][2].
- Preizkusite svoj načrt odziva na kršitve podatkov glede na zahteve po obveščanju sheme NDB [5].
- Uvedite rešitev za upravljanje soglasja, kot je Biscotti CMP, za zajemanje, shranjevanje in dokazovanje evidenc soglasja, ki izpolnjujejo avstralske obveznosti varstva zasebnosti.
- Poiščite kvalificirano pravno svetovanje, če vaše podjetje obravnava občutljive informacije, deluje čez meje ali ni prepričano o svojem statusu APP entitete.
Skladnost ni enkratni projekt. Širitev izvršilne drže OAIC v letu 2026 pomeni, da je stalni pregled poslovna nuja.
Reference
[1] Australian Privacy Law Update What App Entities Need To Know In 2026 - https://www.landers.com.au/legal-insights-news/australian-privacy-law-update-what-app-entities-need-to-know-in-2026?utm_source=openai
[2] Draft Childrens Online Privacy Code Released 31 03 2026 - https://ministers.ag.gov.au/media-centre/draft-childrens-online-privacy-code-released-31-03-2026?utm_source=openai
[3] Privacy Commissioner Finds Privacy Breaches In Third Party Tracking Pixel Investigation - https://www.oaic.gov.au/news/media-centre/privacy-commissioner-finds-privacy-breaches-in-third-party-tracking-pixel-investigation?utm_source=openai
[4] Australian Privacy Act Reform - https://cybernion.com.au/insights/australian-privacy-act-reform/?utm_source=openai
[5] Privacy - https://www.ag.gov.au/rights-and-protections/privacy?utm_source=openai
[6] Australia Pixel Perfect The Regulator Addresses Use Of Tracking Pixels - https://privacymatters.dlapiper.com/2026/06/australia-pixel-perfect-the-regulator-addresses-use-of-tracking-pixels/?utm_source=openai