Privacy Act

الموافقة بموجب Privacy Act الأسترالي

لا تُشترط الموافقة لكل عملية جمع للمعلومات الشخصية أو استخدام لها أو إفصاح عنها.

تعتمد المتطلبات على نوع المعلومات ونشاط المعالجة.

فعلى سبيل المثال، تحتاج المؤسسات عمومًا إلى موافقة صريحة قبل التعامل مع المعلومات الحساسة. أما بالنسبة إلى المعلومات الشخصية غير الحساسة، فلا تُشترط الموافقة الصريحة دائمًا، مع أنه يجب أن يكون لدى المؤسسة أساس معقول لأي موافقة ضمنية تعتمد عليها.

ينبغي أن تكون الموافقة:

• طوعية
• سارية
• محددة
• مستنيرة
• مفهومة
• قابلة للسحب حيثما ينطبق ذلك

ينبغي للمؤسسات تجنّب طلبات الموافقة غير الواضحة أو المجمّعة التي تمنع الأفراد من فهم أنشطة المعالجة التي يوافقون عليها.

المعلومات الحساسة

يوفر Privacy Act حماية إضافية للمعلومات الحساسة.

تشمل المعلومات الحساسة فئات مثل:

• الأصل العرقي أو الإثني
• الآراء السياسية
• الانتماءات السياسية
• المعتقدات أو الانتماءات الدينية
• المعتقدات الفلسفية
• العضوية في النقابات العمالية
• التوجه الجنسي
• السجل الجنائي
• المعلومات الصحية
• المعلومات الجينية
• المعلومات البيومترية المستخدمة للتحقق البيومتري الآلي أو تحديد الهوية
• القوالب البيومترية

تحتاج المؤسسات عمومًا إلى موافقة الفرد لجمع المعلومات الحساسة، ما لم ينطبق استثناء ذو صلة.

ولأن المعلومات الحساسة تنطوي على مخاطر إضافية على الخصوصية، ينبغي للمؤسسات الحفاظ على ضوابط منفصلة لجمعها واستخدامها والإفصاح عنها والاحتفاظ بها وأمنها.

إشعارات الخصوصية وإشعارات الجمع

يُلزم APP 5 المؤسسات باتخاذ خطوات معقولة لإخطار الأفراد بأمور محددة، أو التأكد من علمهم بها، عند جمع المعلومات الشخصية.

يمكن أن تشمل المعلومات ذات الصلة ما يلي:

• هوية المؤسسة وبيانات الاتصال بها
• واقعة الجمع وظروفه
• ما إذا كان الجمع مطلوبًا أو مأذونًا به بموجب القانون
• الغرض من الجمع
• عواقب عدم تقديم المعلومات
• عمليات الإفصاح المزمعة
• الإفصاح إلى الخارج
• المعلومات ذات الصلة الواردة في سياسة الخصوصية
• كيف يمكن للأفراد الوصول إلى معلوماتهم أو تصحيحها
• كيف يمكن تقديم شكاوى الخصوصية

ينبغي أن تكون إشعارات الخصوصية واضحة وسهلة الوصول ومناسبة للظروف.

متطلبات سياسة الخصوصية

يُلزم APP 1 المؤسسات المشمولة بالحفاظ على سياسة خصوصية واضحة الصياغة ومحدَّثة.

ينبغي أن توضح السياسة كيفية إدارة المؤسسة للمعلومات الشخصية وأن تقدم معلومات مثل:

• أنواع المعلومات الشخصية التي يتم جمعها
• كيفية جمع المعلومات
• أغراض الجمع والاستخدام والإفصاح
• الإفصاح إلى الخارج
• إجراءات الوصول والتصحيح
• إجراءات الشكاوى
• معلومات حوكمة الخصوصية
• الأمور الأخرى التي تتطلبها مبادئ APPs

ينبغي أن تكون السياسة متاحة مجانًا بشكل مناسب، وعادةً عبر الموقع الإلكتروني للمؤسسة.

تقليل البيانات وتحديد الغرض

ينبغي للمؤسسات ألا تجمع المعلومات الشخصية إلا حيثما يكون ذلك ضروريًا بشكل معقول لوظائفها أو أنشطتها.

وينبغي لها تقييم:

• ما المعلومات التي يتم جمعها
• لماذا تُعد مطلوبة
• ما إذا كان يمكن تحقيق الغرض نفسه بمعلومات أقل
• كيف ستُستخدم المعلومات
• من سيتلقاها
• المدة التي سيُحتفظ بها خلالها

كما ينبغي للمؤسسات تجنّب استخدام المعلومات أو الإفصاح عنها لأغراض لا تتوافق مع الغرض الأصلي من الجمع، ما لم تسمح مبادئ APPs بالاستخدام أو الإفصاح الإضافي.

التسويق المباشر بموجب APP 7

يفرض APP 7 قيودًا محددة على استخدام المعلومات الشخصية والإفصاح عنها لأغراض التسويق المباشر.

وبوجه عام، لا يجوز للمؤسسة استخدام المعلومات الشخصية أو الإفصاح عنها لأغراض التسويق المباشر ما لم ينطبق استثناء ذو صلة.

وحيثما يكون التسويق المباشر مسموحًا به، يجب أن تتوفر للأفراد وسيلة فعالة لإلغاء الاشتراك. ويجب على المؤسسات تنفيذ طلبات إلغاء الاشتراك الصحيحة خلال مدة معقولة. وتشير إرشادات OAIC إلى أن هذه المدة لا تتجاوز عمومًا 30 يومًا، مع أن الاتصالات الرقمية قد تتيح استجابة أسرع.

لذلك ينبغي للمؤسسات الحفاظ على:

• سجلات الموافقة أو الإذن التسويقي حيثما ينطبق ذلك
• تفضيلات إلغاء الاشتراك
• قوائم الاستبعاد
• مزامنة التفضيلات
• ضوابط التسويق من قبل أطراف ثالثة
• أدلة على تنفيذ طلبات إلغاء الاشتراك

ملفات تعريف الارتباط والتتبع عبر الإنترنت

لا ينشئ Privacy Act الأسترالي متطلبًا شاملًا للموافقة على ملفات تعريف الارتباط.

وبدلًا من ذلك، ينبغي للمؤسسات تقييم المعلومات التي تجمعها ملفات تعريف الارتباط والبكسلات وSDKs وتقنيات الإعلان وأدوات التحليلات وأدوات التتبع الأخرى في ضوء مبادئ APPs.

تشمل الاعتبارات ذات الصلة ما يلي:

• ما إذا كانت التقنية تجمع معلومات شخصية
• ما إذا كانت المعلومات حساسة
• الغرض من الجمع
• ما إذا كانت المعلومات تُستخدم في التسويق المباشر
• ما إذا كان يتم الإفصاح عنها لأطراف ثالثة
• ما إذا كان يتم نقلها إلى الخارج
• ما إذا كانت الموافقة مطلوبة للمعالجة المعنية
• ما إذا تم إخطار الأفراد على النحو الصحيح

وهذا يعني أنه لا ينبغي للموقع الإلكتروني أن يفترض تلقائيًا أن كل ملف تعريف ارتباط للتحليلات أو الإعلان يتطلب موافقة مسبقة بالاشتراك بموجب Privacy Act.

الإفصاح لأطراف ثالثة

ينظّم APP 6 استخدام المعلومات الشخصية والإفصاح عنها.

وكمبدأ عام، ينبغي للمؤسسات ألا تستخدم المعلومات الشخصية أو تفصح عنها إلا للغرض الأساسي الذي جُمعت من أجله، ما لم ينطبق استثناء.

وقد تنطبق متطلبات إضافية عند استخدام المعلومات لغرض ثانوي.

ينبغي للمؤسسات توثيق:

• الغرض الأساسي
• الأغراض الثانوية
• المستلمين من الأطراف الثالثة
• الأساس القانوني أو الاستثناء
• الموافقة حيثما تكون مطلوبة
• اتفاقيات مشاركة البيانات
• المستلمين في الخارج

نقل البيانات عبر الحدود

يضع APP 8 قواعد الإفصاح عن المعلومات الشخصية عبر الحدود.

قبل الإفصاح عن المعلومات الشخصية لمستلم في الخارج، يجب على الجهة الخاضعة لمبادئ APPs عمومًا اتخاذ خطوات معقولة لضمان ألا يخالف المستلم مبادئ APPs فيما يتعلق بتلك المعلومات.

ويمكن أن تظل المؤسسة الأسترالية مسؤولة عن أفعال أو ممارسات معينة يقوم بها المستلم في الخارج.

لذلك ينبغي للمؤسسات إجراء العناية الواجبة المناسبة بشأن:

• الموردين في الخارج
• مزودي الخدمات السحابية
• منصات التحليلات
• مزودي خدمات التسويق
• مزودي خدمات دعم العملاء
• شركات المجموعة
• المعالجين من الباطن

الموافقة على الإفصاح إلى الخارج

يوجد استثناء بموجب APP 8 عندما تُبلغ المؤسسة الفرد صراحةً بعواقب الموافقة على الإفصاح إلى الخارج، ثم يوافق الفرد.

ينبغي أن توضح المعلومات المقدَّمة أنه إذا وافق الفرد ثم أساء المستلم في الخارج التعامل مع المعلومات لاحقًا، فقد لا تكون المؤسسة مسؤولة عن ذلك التعامل بموجب Privacy Act، وقد لا يتمتع الفرد بسبل الانتصاف نفسها بموجب القانون.

ينبغي أن تكون الموافقة المستخدمة لهذا الغرض:

• طوعية
• سارية
• محددة
• مستنيرة
• مفهومة

ينبغي للمؤسسات ألا تطلب موافقة واسعة بلا داعٍ على عمليات نقل مستقبلية غير محددة.

أمن البيانات بموجب APP 11

يُلزم APP 11 المؤسسات باتخاذ خطوات معقولة لحماية المعلومات الشخصية من:

• إساءة الاستخدام
• التدخل
• الفقدان
• الوصول غير المصرح به
• التعديل غير المصرح به
• الإفصاح غير المصرح به

ينبغي أن تكون التدابير الأمنية متناسبة مع عوامل مثل:

• حساسية المعلومات
• كمية المعلومات
• الضرر المحتمل
• حجم المؤسسة ومواردها
• البيئة التقنية
• أنشطة المعالجة
• وصول الأطراف الثالثة

تحدد إرشادات OAIC تدابير مثل ضوابط الوصول، وسجلات التدقيق، وإدارة مخاطر الخصوصية، وتدريب الموظفين، وإجراءات الاستجابة للخروقات بوصفها ضوابط ذات صلة بحوكمة الخصوصية.

الإخطار بخروقات البيانات المستوجبة للإخطار

تطبّق أستراليا نظامًا للإخطار بخروقات البيانات هو Notifiable Data Breaches (NDB) scheme.

عندما تكون لدى المؤسسة أسباب معقولة للاشتباه في وقوع خرق بيانات مستوجب للإخطار، يجب عليها إجراء تقييم، وإذا كان الخرق مستوجبًا للإخطار، فعليها إخطار الأفراد المتأثرين وOAIC حسب المطلوب.

ينطوي خرق البيانات المستوجب للإخطار عمومًا على وصول غير مصرح به إلى المعلومات الشخصية أو إفصاح غير مصرح به عنها أو فقدانها، حيث يُرجَّح أن تؤدي الظروف إلى ضرر جسيم للأفراد المتأثرين.

ينبغي للمؤسسات الحفاظ على:

• إجراءات اكتشاف الخروقات
• خطط الاستجابة للحوادث
• عمليات تقييم المخاطر
• إجراءات الاحتواء
• مسارات عمل الإخطار إلى OAIC
• نماذج إخطار الأفراد
• سجلات المعالجة والتصحيح
• توثيق الحوادث

الوصول إلى المعلومات الشخصية

يمنح APP 12 الأفراد الحق في طلب الوصول إلى المعلومات الشخصية المحفوظة عنهم، مع مراعاة الاستثناءات المعمول بها.

ينبغي للمؤسسات توفير عملية واضحة وسهلة الوصول من أجل:

1. 1تلقي طلبات الوصول
2. 2التحقق من الهوية
3. 3تحديد موقع المعلومات ذات الصلة
4. 4تقييم الاستثناءات المعمول بها
5. 5إتاحة الوصول
6. 6توثيق الرد

ينبغي أن توضح سياسات الخصوصية كيف يمكن للأفراد طلب الوصول إلى معلوماتهم.

تصحيح المعلومات الشخصية

بموجب APP 13، يمكن للأفراد طلب تصحيح المعلومات الشخصية غير الدقيقة أو القديمة أو غير المكتملة أو غير ذات الصلة أو المضللة.

ينبغي للمؤسسات الحفاظ على إجراءات من أجل:

• تلقي طلبات التصحيح
• التحقق من المعلومات
• تحديث السجلات
• إخطار الأطراف الثالثة المعنية حيثما يلزم
• توثيق التصحيح

إخفاء الهوية واستخدام الأسماء المستعارة

يمنح APP 2 الأفراد إمكانية التعامل مع المؤسسة دون الكشف عن هويتهم أو باستخدام اسم مستعار حيثما كان ذلك ممكنًا عمليًا، مع مراعاة الاستثناءات.

لذلك ينبغي للمؤسسات أن تنظر فيما إذا كانت الهوية ضرورية فعلًا لتعامل معين قبل طلب معلومات تحدد الهوية.

الاحتفاظ بالبيانات وإتلافها

ينبغي للمؤسسات ألا تحتفظ بالمعلومات الشخصية إلى أجل غير مسمى عندما لم تعد مطلوبة.

يتضمن APP 11 التزامات تتعلق بإتلاف المعلومات الشخصية التي لم تعد مطلوبة أو إزالة ما يحدد هوية أصحابها، مع مراعاة الاستثناءات ومتطلبات الاحتفاظ المعمول بها.

ينبغي للمؤسسات الحفاظ على:

• جداول الاحتفاظ
• إجراءات الحذف
• ضوابط الإتلاف الآمن
• إجراءات إزالة الهوية
• الاستثناءات القانونية للاحتفاظ
• سجلات عمليات التخلص

تقييمات الأثر على الخصوصية

توصي OAIC المؤسسات بالنظر في إجراء تقييم الأثر على الخصوصية (PIA) عند إطلاق مشروعات أو تغيير ممارسات تنطوي على معلومات شخصية.

يمكن أن يساعد PIA في تحديد مخاطر الخصوصية قبل نشر نظام أو منتج أو تقنية أو عملية تجارية.

يمكن أن تشمل المشروعات ذات الصلة:

• قواعد بيانات العملاء الجديدة
• أنظمة الذكاء الاصطناعي
• تقنيات الإعلان
• التحليلات واسعة النطاق
• المنصات السحابية الجديدة
• الأنظمة البيومترية
• مبادرات مشاركة البيانات
• عمليات نقل البيانات الدولية

تحدد إرشادات OAIC صراحةً تقييمات PIAs بوصفها ممارسة ينبغي للمؤسسات النظر فيها ضمن أنظمة امتثالها لـ APP 1.

اتخاذ القرارات الآلية

تُدخل إصلاحات Privacy Act الأسترالي متطلبات شفافية جديدة لبعض القرارات الآلية.

اعتبارًا من 10 ديسمبر 2026، ستخضع الجهات الخاضعة لمبادئ APPs، التي تجعل برنامجًا حاسوبيًا يستخدم المعلومات الشخصية لاتخاذ قرارات، أو للإسهام بشكل جوهري فيها، يُتوقع بشكل معقول أن تؤثر تأثيرًا كبيرًا في حقوق الفرد أو مصالحه، لالتزامات إضافية تتعلق بسياسة الخصوصية.

سيتعين أن تقدم سياسات الخصوصية معلومات محددة عن:

• أنواع المعلومات الشخصية التي يستخدمها البرنامج الحاسوبي
• أنواع القرارات التي تُتخذ حصرًا من خلال البرامج الحاسوبية
• أنواع القرارات التي تسهم فيها البرامج الحاسوبية إسهامًا جوهريًا ومباشرًا

لذلك ينبغي للمؤسسات التي تستخدم الذكاء الاصطناعي أو أنظمة القرارات الآلية مراجعة سياسات الخصوصية لديها قبل تاريخ بدء السريان في ديسمبر 2026.

الضرر التقصيري القانوني عن الانتهاكات الجسيمة للخصوصية

بدأ سريان الضرر التقصيري القانوني عن الانتهاكات الجسيمة للخصوصية في 10 يونيو 2025.

يمكن أن يوفر سبب الدعوى الجديد للأفراد سبيلًا منفصلًا لطلب الانتصاف عن بعض الانتهاكات الجسيمة للخصوصية، بما في ذلك:

• التطفل على عزلة الفرد
• إساءة استخدام المعلومات المتعلقة بالفرد

لهذا الضرر التقصيري متطلبات ودفوع واستثناءات واعتبارات تتعلق بالمصلحة العامة منفصلة عن الامتثال المعتاد لمبادئ APPs. ويمكن للمحاكم منح سبل انتصاف تشمل التعويضات أو الأوامر الزجرية أو أمرًا بتقديم اعتذار.

وهذا يعني أنه ينبغي للمؤسسات النظر في مخاطر الخصوصية بصورة أوسع من مجرد التحقق من امتثال ممارساتها لمبادئ APPs.

سجلات الموظفين والاستثناءات الأخرى

يتضمن Privacy Act عدة استثناءات وأنظمة خاصة.

ينبغي للمؤسسات تقييم ما إذا كانت أنشطة معينة تندرج ضمن استثناءات تتعلق بمجالات مثل:

• سجلات الموظفين
• بعض الأنشطة السياسية
• الصحافة
• الشركات الصغيرة
• الأحزاب السياسية المسجلة
• بعض الأنشطة القانونية الأخرى

قد تكون الاستثناءات ضيقة وتعتمد على الوقائع، لذلك ينبغي للمؤسسات ألا تفترض أن النشاط التجاري بأكمله مستثنى لمجرد أن أحد أنشطة المعالجة يندرج ضمن استثناء.