快速回答： 澳大利亚1988年隐私法规定了组织如何收集、使用、存储和披露个人信息。该法适用于大多数澳大利亚政府机构和年营业额超过300万澳元的私营部门组织，尽管许多较小的实体也受到影响。该法的13项澳大利亚隐私原则（APPs）构成了合规的操作基础，最近的2026年修正案显著增加了处罚和执法权力。
关键要点
- 1988年隐私法由澳大利亚信息专员办公室（OAIC）管理，适用于“APP实体”，大多数联邦机构和符合条件的私营组织。
- 13项澳大利亚隐私原则涵盖了完整的数据生命周期：收集、使用、披露、质量、安全和个人访问权利。
- 根据最近的修正案，严重或重复违反的最高民事罚款显著增加，使澳大利亚的执法水平更接近GDPR [4]。
- 通知数据泄露（NDB）计划要求受影响的实体在泄露可能导致严重伤害时，及时通知OAIC和受影响的个人 [5]。
- 根据2024年隐私和其他立法修正法案，引入了严重侵犯隐私的法定侵权，赋予个人直接的法律救济 [4]。
- 自动决策透明度要求将于2026年12月10日生效，要求APP实体披露算法如何影响个人 [1]。
- 2026年3月31日发布了儿童在线隐私代码草案，预计于2026年12月开始实施 [2]。
- OAIC在2026年6月裁定，未经同意使用第三方跟踪像素的健康服务提供者违反了隐私法 [3]。
- 年营业额低于300万澳元的小型企业如果处理健康信息、交易个人数据或提供某些合同服务，仍可能受到覆盖。
- 所有APP实体都必须有隐私政策，并且必须符合APP 1下的特定内容标准。
澳大利亚隐私原则是什么，它们如何运作
13项澳大利亚隐私原则（APPs）列于1988年隐私法的附表1中，是管理APP实体如何处理个人信息的主要规则。每项原则针对数据处理的不同阶段或方面，违反其中任何一项都可能触发监管行动。
APPs被分为五个功能集群：
| 集群 | 涉及的APPs | 关注领域 |
|---|---|---|
| 个人信息隐私的考虑 | APP 1-2 | 公开管理，匿名性 |
| 个人信息的收集 | APP 3-4 | 合法收集，未经请求的数据 |
| 处理个人信息 | APP 5-8 | 通知、使用、披露、海外转移 |
| 个人信息的完整性 | APP 9-10 | 质量、安全 |
| 访问和更正 | APP 11-13 | 标识符、访问、更正 |
它们在实践中的运作方式： 收集客户电子邮件地址的组织必须遵守APP 3（仅收集必要的信息）、APP 5（通知个人收集）、APP 6（仅用于主要目的，除非适用例外）和APP 11（保持信息安全）。单独违反其中任何一项都构成违规。
谁需要遵守澳大利亚隐私法
隐私法适用于“APP实体”，包括年营业额超过300万澳元的澳大利亚政府机构和私营部门组织。然而，营业额并不是唯一的触发因素。
营业额低于300万澳元的组织仍然受到覆盖，如果它们：
- 收取费用处理健康信息
- 交易个人信息（购买或出售数据）
- 是澳大利亚政府的合同服务提供者
- 运营住宅租赁数据库
- 与自身受到覆盖的法人团体相关
边缘案例： 一家年收入80万澳元的初创公司，如果将用户数据出售给第三方分析公司，几乎肯定会受到覆盖，无论其营业额如何。
根据澳大利亚隐私法，什么算作个人信息
个人信息是关于已识别个人或合理可识别个人的任何信息或意见，无论其真实性如何，也无论是否以物质形式记录。这是一个广泛的、技术中立的定义。
符合条件的示例：
- 全名、出生日期、地址、电话号码
- IP地址和设备标识符（在许多情况下）
- 健康记录、财务详情、生物识别数据
- 照片和语音录音
- 关于某人的意见（即使是错误的）
敏感信息 是一个子集，具有更高的保护，包括健康数据、种族或民族来源、政治观点、宗教信仰、性取向和犯罪记录。收集敏感信息通常需要明确的同意。
我如何知道我的企业是否需要遵循澳大利亚隐私法
首先进行营业额测试：如果您的澳大利亚企业年营业额超过300万澳元，您几乎肯定是APP实体。如果低于该阈值，请检查上述基于类别的触发因素。
决策规则：
- 营业额超过300万澳元：受覆盖，没问题。
- 营业额低于300万澳元，但您处理健康记录、出售数据或持有政府合同：受覆盖。
- 营业额低于300万澳元，以上都不适用：可能豁免，但在假设之前请查看OAIC的完整豁免列表。
请注意，州和地区的隐私法可能会施加联邦法未涵盖的额外义务，特别是在新南威尔士州、维多利亚州和昆士兰州。
隐私法与APPs之间有什么区别
1988年隐私法是总体的联邦立法。澳大利亚隐私原则是具体的、可执行的规则，位于该立法之内，明确告知组织必须和不得如何处理个人信息。
可以将隐私法视为法规，而将APPs视为其操作规则手册。组织通过满足所有13项APPs以及其他义务（如NDB计划和即将到来的自动决策要求）来“遵守隐私法” [1]。
违反澳大利亚隐私法的处罚是什么
处罚已经大幅上升。对于严重或重复侵犯隐私的行为，法人团体的最高民事罚款为：5000万澳元；获得利益的三倍；或在违规期间实体调整营业额的30% [4][5]。
对于个人，严重违规的最高民事罚款为250万澳元。OAIC还扩大了调查和执法权力，包括进行主动调查和接受可执行承诺的能力 [4]。
2024年修正案还引入了严重侵犯隐私的法定侵权，允许受影响的个人直接在法庭上提起诉讼，而无需先通过OAIC [4]。
我如何根据澳大利亚隐私法处理数据泄露
根据通知数据泄露（NDB）计划，经历“合格数据泄露”的APP实体必须在可行的情况下尽快通知OAIC和受影响的个人 [5]。合格数据泄露是指可能导致任何涉及信息的个人遭受严重伤害的泄露。
响应步骤：
- 立即控制泄露（撤销访问，隔离受影响的系统）。
- 评估泄露是否符合“可能造成严重伤害”的标准。
- 如果符合，及时通过OAIC的在线门户提交声明通知OAIC。
- 直接通知受影响的个人，包括泄露的性质和建议的保护措施。
- 审查并修复导致泄露的漏洞。
常见错误： 在进行漫长的内部调查时延迟通知。该法不允许无限期的评估，如果可能造成严重伤害，请及时通知。
澳大利亚人在隐私法下拥有哪些权利
澳大利亚人在APPs下拥有多项可执行的权利。APP 12赋予个人访问APP实体持有的个人信息的权利。APP 13赋予他们请求更正不准确、过时或不完整信息的权利。
其他权利包括：
- 在合法和可行的情况下，有权保持匿名或使用化名（APP 2）
- 有权了解收集了哪些信息及其原因（APP 5）
- 有权选择退出直接营销（APP 7）
- 如果权利未得到尊重，有权向OAIC投诉
如何根据澳大利亚隐私法删除我的数据
隐私法没有明确的“删除权”，与GDPR第17条相当。然而，APP 11.2要求组织销毁或去标识化不再需要用于任何目的的个人信息。
个人的实际路径： 向组织的隐私官提交书面请求。如果组织拒绝或在30天内未作出回应，请向OAIC投诉。OAIC可以进行调查，并在适当时指示组织采取纠正措施。
根据澳大利亚隐私法，组织可以保留个人数据多长时间
隐私法中没有单一的法定保留期限。APP 11.2要求组织在不再需要个人信息时采取合理步骤进行销毁或去标识化。然而，其他法律，包括公司法、税收立法和行业特定法规，施加了优先于隐私法的最低保留期限。
实用指导： 将您的数据与隐私法的“不再需要”测试以及任何行业特定的保留要求进行映射。如果存在法律保留义务，请在该期限内保留数据，且不得超过该期限。
根据澳大利亚法律，隐私政策应包含哪些内容
APP 1.3要求每个APP实体必须有明确表达且最新的隐私政策。OAIC目前正在对各行业的隐私政策进行合规检查，以评估它们是否符合该标准 [1]。
合规的隐私政策必须包括：
- 实体收集和持有的个人信息种类
- 个人信息的收集和持有方式
- 收集、持有、使用和披露的目的
- 个人如何访问和请求更正其信息
- 实体如何处理投诉
- 是否将个人信息披露给海外接收者，如果是，涉及哪些国家
2026年更新： 从2026年12月10日起，隐私政策还必须披露显著影响个人的自动决策过程的使用，包括涉及的个人信息类型 [1]。
在澳大利亚提出隐私投诉的流程是什么
个人必须首先直接向相关组织投诉，并允许30天的时间以便其作出回应，然后再向OAIC升级。如果组织未能令人满意地解决投诉，个人可以免费向OAIC提交正式投诉。
OAIC可能尝试调解，进行正式调查或作出裁定。如果发现违规，OAIC可以命令组织采取纠正措施、道歉或向投诉人支付赔偿。
澳大利亚隐私法与GDPR的比较
澳大利亚隐私法与欧盟的通用数据保护条例（GDPR）共享共同目标，但在范围、权利和执法方面存在差异。下表总结了主要区别。
| 特征 | 澳大利亚隐私法 | GDPR |
|---|---|---|
| 明确的删除权 | 否（仅APP 11.2） | 是（第17条） |
| 数据可携带权 | 否 | 是（第20条） |
| 同意作为主要依据 | 多种依据之一 | 中心，但不是唯一 |
| 最高罚款（企业） | 5000万澳元或基于营业额 | 2000万欧元或全球营业额的4% |
| 监督机构 | OAIC | 各成员国的国家数据保护机构 |
| 领土范围 | 主要针对澳大利亚实体 | 如果针对欧盟居民则全球适用 |
澳大利亚目前没有获得欧盟的适当性决定，这意味着从欧盟到澳大利亚的数据传输需要根据GDPR采取额外的保护措施。
小型企业需要遵循澳大利亚隐私法吗
年营业额低于300万澳元的小型企业通常豁免于隐私法，但该豁免有重要的例外。任何处理健康信息、交易个人数据或与澳大利亚政府签订合同的小型企业将完全失去其豁免状态。
仅在以下情况下选择豁免路径： 您的企业低于阈值，不处理健康数据，不出售或购买个人信息，并且没有政府合同。在不确定的情况下，将APPs视为合规基准是合理的风险管理，无论法律义务如何。
在2026年管理同意和跟踪技术
同意管理已成为前线合规问题。2026年6月，隐私专员裁定，健康服务提供者Medmate Australia和Monash IVF因在未获得用户同意的情况下部署收集敏感健康信息的第三方跟踪像素而违反了隐私法 [3]。OAIC发布的报告《你的生活，像素化》为任何在健康相关平台上使用跟踪技术的组织提供了具体建议 [3][6]。
对于网站运营商和营销机构，这一裁定确立了明确的先例：收集敏感信息的跟踪像素、分析标签和行为广告工具在激活之前需要明确、知情的同意。一个捕获和存储同意记录的同意管理平台（CMP）不再是受监管实体的可选项，而是实际必要。 Biscotti CMP旨在帮助APP实体满足这些同意义务，提供与澳大利亚隐私要求相一致的细粒度、可审计的同意记录。
常见问题
问：澳大利亚隐私法适用于外国公司吗？ 答：是的，如果外国公司在澳大利亚开展业务并收集或持有来自澳大利亚人的个人信息，则隐私法适用，无论该公司总部位于何处。
问：所有澳大利亚企业都需要法律上有隐私政策吗？ 答：仅适用于APP实体。然而，技术上豁免的企业仍然可以通过拥有隐私政策来增强消费者信任，并预防未来的监管变化。
问：NDB计划下的“合格数据泄露”是什么？ 答：涉及个人信息的数据泄露，存在对受影响个人造成严重伤害的真实风险，例如，未经授权访问财务账户凭证或健康记录。
问：个人可以直接起诉组织侵犯隐私吗？ 答：自2024年隐私和其他立法修正法案以来，个人可以就严重侵犯隐私提起法定侵权诉讼，而无需先通过OAIC [4]。
问：员工记录是否受隐私法保护？ 答：雇主持有的私人部门员工记录，且直接用于与雇佣关系相关的情况，通常在员工记录豁免下是豁免的。
问：儿童在线隐私代码是什么？ 答：OAIC于2026年3月31日发布的草案代码，将对收集儿童数据的在线服务施加特定义务，预计于2026年12月开始实施 [2]。
问：根据澳大利亚法律，跟踪像素是否需要同意？ 答：如果像素收集敏感信息（例如健康数据），是的，2026年6月的OAIC裁定确认，未经同意部署此类像素违反隐私法 [3]。
问：2026年12月起，“自动决策透明度”是什么意思？ 答：APP实体必须在其隐私政策中披露计算机程序何时做出显著影响个人权利或利益的决策，包括使用了哪些个人信息 [1]。
问：OAIC处理投诉需要多长时间？ 答：时间因情况而异。OAIC旨在在90天内解决简单投诉，但复杂调查可能需要更长时间。
问：向OAIC提交投诉需要费用吗？ 答：不需要。个人向OAIC提交投诉是免费的。
结论
《澳大利亚隐私法：APP和数据合规指南》不是一个静态的参考，而是一个经历了数十年重大变革的动态框架。2024年和2026年的修正案大幅提高了合规的要求：更高的罚款、法定侵权、强制性的自动决策披露和儿童在线隐私代码都要求积极的合规程序，而不是被动的检查清单。
2026年组织可采取的可行后续步骤：
- 审核您的隐私政策，确保符合APP 1.3的要求和OAIC当前的合规检查标准 [1]。
- 审查您网站上的所有跟踪技术，确保在收集任何敏感数据之前获得明确同意 [3][6]。
- 为2026年12月的截止日期做好准备，自动决策披露和儿童在线隐私代码都将在那时生效 [1][2]。
- 测试您的数据泄露响应计划，确保符合NDB计划的通知要求 [5]。
- 实施同意管理解决方案，如Biscotti CMP，以捕获、存储和展示满足澳大利亚隐私义务的同意记录。
- 寻求合格的法律建议，如果您的组织处理敏感信息、跨境运营或对其APP实体状态不确定。
合规不是一次性的项目。OAIC在2026年日益扩大的执法态度使得持续审查成为企业的必要条件。
参考文献
[1] Australian Privacy Law Update What App Entities Need To Know In 2026 - https://www.landers.com.au/legal-insights-news/australian-privacy-law-update-what-app-entities-need-to-know-in-2026?utm_source=openai
[2] Draft Childrens Online Privacy Code Released 31 03 2026 - https://ministers.ag.gov.au/media-centre/draft-childrens-online-privacy-code-released-31-03-2026?utm_source=openai
[3] Privacy Commissioner Finds Privacy Breaches In Third Party Tracking Pixel Investigation - https://www.oaic.gov.au/news/media-centre/privacy-commissioner-finds-privacy-breaches-in-third-party-tracking-pixel-investigation?utm_source=openai
[4] Australian Privacy Act Reform - https://cybernion.com.au/insights/australian-privacy-act-reform/?utm_source=openai
[5] Privacy - https://www.ag.gov.au/rights-and-protections/privacy?utm_source=openai
[6] Australia Pixel Perfect The Regulator Addresses Use Of Tracking Pixels - https://privacymatters.dlapiper.com/2026/06/australia-pixel-perfect-the-regulator-addresses-use-of-tracking-pixels/?utm_source=openai