Швидка відповідь: Австралійський закон про конфіденційність 1988 року регулює, як організації збирають, використовують, зберігають та розкривають особисту інформацію. Він застосовується до більшості державних установ Австралії та приватних організацій з річним оборотом понад 3 мільйони австралійських доларів, хоча багато менших суб'єктів також підпадають під його дію. 13 австралійських принципів конфіденційності (APP) формують операційний каркас відповідності, а нещодавні зміни 2026 року значно збільшили штрафи та повноваження щодо виконання.
Основні висновки
- Закон про конфіденційність 1988 року адмініструється Офісом австралійського комісара з інформації (OAIC) і застосовується до "суб'єктів APP", більшості федеральних агентств та кваліфікованих приватних організацій.
- 13 австралійських принципів конфіденційності охоплюють весь життєвий цикл даних: збір, використання, розкриття, якість, безпеку та права доступу особи.
- Максимальні цивільні штрафи за серйозні або повторні порушення були значно збільшені відповідно до нещодавніх поправок, що наближає Австралію до рівня виконання GDPR [4].
- Схема повідомлення про порушення даних (NDB) вимагає від постраждалих суб'єктів повідомляти як OAIC, так і постраждалих осіб, коли порушення, ймовірно, завдасть серйозної шкоди [5].
- Статутний делікт за серйозні порушення конфіденційності був введений відповідно до Закону про внесення змін до законодавства про конфіденційність та інше 2024 року, що надає особам прямий юридичний засіб [4].
- Вимоги до прозорості автоматизованого прийняття рішень набирають чинності 10 грудня 2026 року, вимагаючи від суб'єктів APP розкривати, як алгоритми впливають на осіб [1].
- Проект Кодексу конфіденційності дітей в Інтернеті був опублікований 31 березня 2026 року, з виконанням, запланованим на грудень 2026 року [2].
- OAIC ухвалив рішення в червні 2026 року, що постачальники медичних послуг, які використовують сторонні пікселі відстеження без згоди, порушують Закон про конфіденційність [3].
- Малі підприємства з оборотом нижче 3 мільйонів доларів можуть все ще підпадати під дію закону, якщо вони обробляють медичну інформацію, торгують особистими даними або надають певні контрактні послуги.
- Політика конфіденційності є юридично обов'язковою для всіх суб'єктів APP і повинна відповідати конкретним стандартам змісту відповідно до APP 1.
Що таке австралійські принципи конфіденційності та як вони працюють
13 австралійських принципів конфіденційності (APP), викладених у Додатку 1 Закону про конфіденційність 1988 року, є основними правилами, що регулюють, як суб'єкти APP обробляють особисту інформацію. Кожен принцип стосується окремої фази або аспекту обробки даних, і невиконання будь-якого з них може призвести до регуляторних дій.
APP згруповані в п'ять функціональних кластерів:
| Кластер | Покриті APP | Сфера уваги |
|---|---|---|
| Розгляд конфіденційності особистої інформації | APP 1-2 | Відкрите управління, анонімність |
| Збір особистої інформації | APP 3-4 | Законний збір, непрохані дані |
| Обробка особистої інформації | APP 5-8 | Повідомлення, використання, розкриття, міжнародний трансфер |
| Цілісність особистої інформації | APP 9-10 | Якість, безпека |
| Доступ та корекція | APP 11-13 | Ідентифікатори, доступ, корекція |
Як це працює на практиці: Організація, що збирає електронну адресу клієнта, повинна дотримуватися APP 3 (збирати лише те, що необхідно), APP 5 (повідомити особу про збір), APP 6 (використовувати її лише для первинної мети, якщо не застосовується виняток) та APP 11 (зберігати її в безпеці). Порушення будь-якого з цих принципів окремо є порушенням.
Хто повинен дотримуватися австралійського закону про конфіденційність
Закон про конфіденційність застосовується до "суб'єктів APP", до яких належать державні установи Австралії та приватні організації з річним оборотом понад 3 мільйони австралійських доларів. Однак поріг не є єдиним тригером.
Організації з оборотом нижче 3 мільйонів доларів все ще підпадають під дію закону, якщо вони:
- Обробляють медичну інформацію за плату
- Торгують особистою інформацією (купують або продають дані)
- Є контрактним постачальником послуг для уряду Австралії
- Проводять базу даних оренди житла
- Пов'язані з юридичною особою, яка сама підпадає під дію закону
Крайній випадок: Стартап, який заробляє 800 000 доларів на рік, продаючи дані користувачів сторонній аналітичній компанії, майже напевно підпадає під дію закону, незалежно від свого обороту.
Що вважається особистою інформацією відповідно до австралійського закону про конфіденційність
Особиста інформація — це будь-яка інформація або думка про ідентифіковану особу або особу, яку можна розумно ідентифікувати, незалежно від того, чи є вона правдивою, і незалежно від того, чи зафіксована вона в матеріальній формі. Це широке, технологічно нейтральне визначення.
Приклади, які підходять:
- Повне ім'я, дата народження, адреса, номер телефону
- IP-адреси та ідентифікатори пристроїв (в багатьох контекстах)
- Медичні записи, фінансові дані, біометричні дані
- Фотографії та голосові записи
- Думки про особу (навіть якщо вони хибні)
Чутлива інформація є підгрупою, яка має вищий рівень захисту і включає медичні дані, расове або етнічне походження, політичні погляди, релігійні переконання, сексуальну орієнтацію та кримінальні записи. Збір чутливої інформації зазвичай вимагає явної згоди.
Як дізнатися, чи потрібно моєму бізнесу дотримуватися австралійського закону про конфіденційність
Почніть з тесту на оборот: якщо ваш австралійський бізнес має річний оборот понад 3 мільйони австралійських доларів, ви майже напевно є суб'єктом APP. Якщо ви опиняєтеся нижче цього порогу, перевірте категорійні тригери, зазначені вище.
Правило прийняття рішення:
- Оборот понад 3 млн доларів: підпадає під дію закону, крапка.
- Оборот нижче 3 млн доларів, але ви обробляєте медичні записи, продаєте дані або маєте контракт з урядом: підпадає під дію закону.
- Оборот нижче 3 млн доларів, нічого з вищезазначеного: ймовірно, звільнений, але перегляньте повний список звільнень OAIC, перш ніж робити такі висновки.
Зверніть увагу, що закони про конфіденційність штатів і територій можуть накладати додаткові зобов'язання, які не охоплюються федеральним законом, особливо в Новому Південному Уельсі, Вікторії та Квінсленді.
У чому різниця між Законом про конфіденційність і APP
Закон про конфіденційність 1988 року є загальним федеральним законодавством. Австралійські принципи конфіденційності є конкретними, обов'язковими правилами, які містяться в цьому законодавстві і вказують організаціям, що саме вони повинні і не повинні робити з особистою інформацією.
Думайте про Закон про конфіденційність як про статут, а про APP як про його операційний посібник. Організація "дотримується Закону про конфіденційність", виконуючи всі 13 APP, серед інших зобов'язань, таких як схема NDB та майбутні вимоги до автоматизованого прийняття рішень [1].
Які штрафи за порушення австралійського закону про конфіденційність
Штрафи значно зросли. За серйозні або повторні втручання в конфіденційність максимальний цивільний штраф для юридичної особи становить більше з: 50 мільйонів австралійських доларів; трьохкратна вартість отриманої вигоди; або 30% скоригованого обороту суб'єкта протягом періоду порушення [4][5].
Для фізичних осіб максимальний цивільний штраф за серйозні порушення становить 2,5 мільйона австралійських доларів. OAIC також отримав розширені повноваження щодо розслідувань і виконання, включаючи можливість проводити розслідування за власною ініціативою та приймати обов'язкові зобов'язання [4].
Поправки 2024 року також ввели статутний делікт за серйозні порушення конфіденційності, що дозволяє постраждалим особам подавати позови безпосередньо до суду без попереднього звернення до OAIC [4].
Як я можу впоратися з порушенням даних відповідно до австралійського закону про конфіденційність
Відповідно до схеми повідомлення про порушення даних (NDB) суб'єкт APP, який зазнав "допустимого порушення даних", повинен повідомити OAIC та постраждалих осіб якомога швидше [5]. Допустиме порушення даних — це таке, яке, ймовірно, призведе до серйозної шкоди будь-якій з осіб, чия інформація була залучена.
Кроки реагування:
- Негайно локалізуйте порушення (анулюйте доступ, ізолюйте постраждалі системи).
- Оцініть, чи відповідає порушення порогу "ймовірної серйозної шкоди".
- Якщо так, повідомте OAIC, подавши заяву через онлайн-портал OAIC.
- Непосредньо повідомте постраждалих осіб, включаючи природу порушення та рекомендовані захисні заходи.
- Перегляньте та усуньте вразливість, яка спричинила порушення.
Звичайна помилка: Затримка з повідомленням під час проведення тривалого внутрішнього розслідування. Закон не дозволяє безстрокові періоди оцінки; якщо ймовірна серйозна шкода, повідомте своєчасно.
Які права мають австралійці відповідно до Закону про конфіденційність
Австралійці мають кілька обов'язкових прав відповідно до APP. APP 12 надає особам право на доступ до їх особистої інформації, що зберігається суб'єктом APP. APP 13 надає їм право вимагати корекції неточної, застарілої або неповної інформації.
Додаткові права включають:
- Право залишатися анонімним або використовувати псевдонім, де це законно та доцільно (APP 2)
- Право знати, яка інформація збирається і чому (APP 5)
- Право відмовитися від прямого маркетингу (APP 7)
- Право скаржитися до OAIC, якщо права не поважаються
Як отримати видалення своїх даних відповідно до австралійського закону про конфіденційність
Закон про конфіденційність не містить явного "права на видалення", еквівалентного статті 17 GDPR. Однак APP 11.2 вимагає від організацій знищувати або деідентифікувати особисту інформацію, яка більше не потрібна для жодної мети, для якої вона може бути використана або розкрита.
Практичний шлях для осіб: Подайте письмовий запит до відповідального за конфіденційність організації. Якщо організація відмовляє або не відповідає протягом 30 днів, подайте скаргу до OAIC. OAIC може провести розслідування і, якщо це доцільно, зобов'язати організацію вжити коригувальних заходів.
Як довго організації можуть зберігати особисті дані відповідно до австралійського закону про конфіденційність
У Законі про конфіденційність немає єдиного статутного терміну зберігання. APP 11.2 вимагає від організацій вжити розумних заходів для знищення або деідентифікації особистої інформації, як тільки вона більше не потрібна. Однак інші закони, включаючи Закон про корпорації, податкове законодавство та галузеві регуляції, накладають свої мінімальні терміни зберігання, які мають перевагу.
Практичні рекомендації: Відстежуйте свої дані відповідно до тесту "більше не потрібно" Закону про конфіденційність та будь-яких специфічних вимог до зберігання в галузі. Якщо існує юридичне зобов'язання щодо зберігання, зберігайте дані протягом цього періоду і не довше.
Що повинно бути в політиці конфіденційності відповідно до австралійського законодавства
APP 1.3 вимагає, щоб кожен суб'єкт APP мав чітко виражену та актуальну політику конфіденційності. OAIC наразі проводить перевірку політик конфіденційності в різних галузях, щоб оцінити, чи відповідають вони цьому стандарту [1].
Відповідна політика конфіденційності повинна включати:
- Види особистої інформації, які суб'єкт збирає та зберігає
- Як особиста інформація збирається та зберігається
- Цілі, для яких вона збирається, зберігається, використовується та розкривається
- Як особа може отримати доступ до своєї інформації та вимагати її корекції
- Як суб'єкт обробляє скарги
- Чи розкривається особиста інформація закордонним отримувачам, і якщо так, то яким країнам
Оновлення 2026 року: З 10 грудня 2026 року політики конфіденційності також повинні розкривати використання процесів автоматизованого прийняття рішень, які суттєво впливають на осіб, включаючи типи особистої інформації, що залучена [1].
Який процес подання скарги на конфіденційність в Австралії
Особи спочатку повинні безпосередньо скаржитися до залученої організації та дати 30 днів на відповідь, перш ніж ескалувати до OAIC. Якщо організація не вирішить скаргу задовільно, особа може подати формальну скаргу до OAIC безкоштовно.
OAIC може спробувати примирення, провести формальне розслідування або ухвалити рішення. Якщо буде виявлено порушення, OAIC може зобов'язати організацію вжити коригувальних заходів, вибачитися або виплатити компенсацію скаржнику.
Як австралійський закон про конфіденційність порівнюється з GDPR
Австралійський закон про конфіденційність та Загальний регламент захисту даних (GDPR) ЄС мають спільні цілі, але відрізняються за обсягом, правами та виконанням. Таблиця нижче підсумовує ключові відмінності.
| Особливість | Австралійський закон про конфіденційність | GDPR |
|---|---|---|
| Явне право на видалення | Ні (тільки APP 11.2) | Так (стаття 17) |
| Право на портативність даних | Ні | Так (стаття 20) |
| Згода як основна основа | Одна з кількох основ | Центральна, але не виключна |
| Макс. штраф (корпоративний) | 50 млн австралійських доларів або на основі обороту | 20 млн євро або 4% світового обороту |
| Наглядовий орган | OAIC | Національні DPA відповідно до держави-члена |
| Територіальний охоплення | Переважно австралійські суб'єкти | Глобальний, якщо націлений на резидентів ЄС |
Австралія наразі не має рішення про адекватність від ЄС, що означає, що передачі даних з ЄС до Австралії вимагають додаткових запобіжних заходів відповідно до GDPR.
Чи повинні малі підприємства дотримуватися австралійського закону про конфіденційність
Малі підприємства з річним оборотом менше 3 мільйонів австралійських доларів зазвичай звільнені від Закону про конфіденційність, але звільнення має значні винятки. Будь-яке мале підприємство, яке обробляє медичну інформацію, торгує особистими даними або надає послуги за контрактом з урядом Австралії, повністю втрачає статус звільнення.
Виберіть шлях звільнення лише якщо: ваш бізнес нижче порогу, не обробляє медичні дані, не продає або не купує особисту інформацію і не має контрактів з урядом. Коли є сумніви, розгляд APP як базового рівня відповідності є розумним управлінням ризиками, незалежно від юридичних зобов'язань.
Управління згодою та технологіями відстеження в 2026 році
Управління згодою стало питанням передового дотримання. У червні 2026 року комісар з конфіденційності визначив, що постачальники медичних послуг Medmate Australia та Monash IVF порушили Закон про конфіденційність, використовуючи сторонні пікселі відстеження, які збирали чутливу медичну інформацію без згоди користувача [3]. Опублікований звіт OAIC "Ваше життя, піксельоване" містить конкретні рекомендації для будь-якої організації, що використовує технології відстеження на платформах, пов'язаних з охороною здоров'я [3][6].
Для операторів веб-сайтів та маркетингових агентств це рішення встановлює чіткий прецедент: пікселі відстеження, аналітичні теги та інструменти поведінкової реклами, які стосуються чутливої інформації, вимагають явної, усвідомленої згоди перед активацією. Платформа управління згодою (CMP), яка фіксує та зберігає записи згоди, більше не є необов'язковою для регульованих суб'єктів, це практична необхідність. Biscotti CMP розроблена для допомоги суб'єктам APP у виконанні цих зобов'язань щодо згоди, надаючи детальні, аудиторські записи згоди, що відповідають австралійським вимогам конфіденційності.
Питання та відповіді
Q: Чи застосовується австралійський закон про конфіденційність до іноземних компаній? A: Так, якщо іноземна компанія веде бізнес в Австралії та збирає або зберігає особисту інформацію австралійців, Закон про конфіденційність застосовується, незалежно від того, де розташована компанія.
Q: Чи є політика конфіденційності юридично обов'язковою для всіх бізнесів в Австралії? A: Тільки для суб'єктів APP. Однак бізнеси, які технічно звільнені, можуть все ще отримати вигоду від наявності такої політики для довіри споживачів та щоб запобігти майбутнім регуляторним змінам.
Q: Що таке "допустиме порушення даних" відповідно до схеми NDB? A: Порушення даних, що стосується особистої інформації, де існує реальний ризик серйозної шкоди для постраждалих осіб, наприклад, несанкціонований доступ до фінансових облікових даних або медичних записів.
Q: Чи можуть особи подавати позови до організацій безпосередньо за порушення конфіденційності? A: Відповідно до Закону про внесення змін до законодавства про конфіденційність та інше 2024 року, особи можуть подавати позови за статутним деліктом за серйозні порушення конфіденційності без попереднього звернення до OAIC [4].
Q: Чи охоплюються записи працівників Законом про конфіденційність? A: Записи працівників приватного сектору, що зберігаються роботодавцем і використовуються безпосередньо у зв'язку з трудовими відносинами, зазвичай звільнені відповідно до винятку для записів працівників.
Q: Що таке Кодекс конфіденційності дітей в Інтернеті? A: Проект кодексу, опублікований OAIC 31 березня 2026 року, який накладе конкретні зобов'язання на онлайн-сервіси, що збирають дані дітей, з виконанням, що почнеться 10 грудня 2026 року [2].
Q: Чи вимагають пікселі відстеження згоди відповідно до австралійського закону? A: Якщо пікселі збирають чутливу інформацію (таку як медичні дані), так, рішення OAIC від червня 2026 року підтвердило, що використання таких пікселів без згоди порушує Закон про конфіденційність [3].
Q: Що означає "прозорість автоматизованого прийняття рішень" з грудня 2026 року? A: Суб'єкти APP повинні розкривати у своїх політиках конфіденційності, коли комп'ютерні програми приймають рішення, які суттєво впливають на права або інтереси осіб, включаючи те, яка особиста інформація використовується [1].
Q: Скільки часу OAIC витрачає на вирішення скарги? A: Термін варіюється. OAIC прагне вирішити прості скарги протягом 90 днів, але складні розслідування можуть зайняти значно більше часу.
Q: Чи є плата за подання скарги до OAIC? A: Ні. Скарги до OAIC безкоштовні для осіб.
Висновок
Австралійський закон про конфіденційність: Посібник по APP та відповідності даним не є статичним посиланням, це жива структура, яка зазнала найбільшої трансформації за десятиліття. Поправки 2024 та 2026 років значно підвищили ставки: вищі штрафи, статутний делікт, обов'язкові розкриття автоматизованого прийняття рішень та Кодекс конфіденційності дітей в Інтернеті вимагають активних програм відповідності, а не пасивних перевірок.
Дії, які слід вжити організаціям у 2026 році:
- Аудит вашої політики конфіденційності відповідно до вимог APP 1.3 та критеріїв поточної перевірки OAIC [1].
- Перегляньте всі технології відстеження на вашому веб-сайті та забезпечте отримання явної згоди перед збором будь-яких чутливих даних [3][6].
- Підготуйтеся до термінів грудня 2026 року, розкриття автоматизованого прийняття рішень та Кодекс конфіденційності дітей в Інтернеті набирають чинності в той час [1][2].
- Перевірте свій план реагування на порушення даних відповідно до вимог щодо повідомлення схеми NDB [5].
- Впровадьте рішення для управління згодою, таке як Biscotti CMP, для фіксації, зберігання та демонстрації записів згоди, які відповідають австралійським зобов'язанням щодо конфіденційності.
- Шукайте кваліфіковану юридичну консультацію, якщо ваша організація обробляє чутливу інформацію, працює за межами країни або не впевнена у своєму статусі суб'єкта APP.
Відповідність не є одноразовим проектом. Розширення повноважень виконання OAIC у 2026 році робить постійний перегляд необхідністю для бізнесу.
Посилання
[1] Australian Privacy Law Update What App Entities Need To Know In 2026 - https://www.landers.com.au/legal-insights-news/australian-privacy-law-update-what-app-entities-need-to-know-in-2026?utm_source=openai
[2] Draft Childrens Online Privacy Code Released 31 03 2026 - https://ministers.ag.gov.au/media-centre/draft-childrens-online-privacy-code-released-31-03-2026?utm_source=openai
[3] Privacy Commissioner Finds Privacy Breaches In Third Party Tracking Pixel Investigation - https://www.oaic.gov.au/news/media-centre/privacy-commissioner-finds-privacy-breaches-in-third-party-tracking-pixel-investigation?utm_source=openai
[4] Australian Privacy Act Reform - https://cybernion.com.au/insights/australian-privacy-act-reform/?utm_source=openai
[5] Privacy - https://www.ag.gov.au/rights-and-protections/privacy?utm_source=openai
[6] Australia Pixel Perfect The Regulator Addresses Use Of Tracking Pixels - https://privacymatters.dlapiper.com/2026/06/australia-pixel-perfect-the-regulator-addresses-use-of-tracking-pixels/?utm_source=openai