Privacy Act

オーストラリアのプライバシー法に基づく同意

個人情報のすべての収集、利用または開示に同意が必要なわけではありません。

要件は、情報の種類と処理活動によって異なります。

例えば、組織は一般に、センシティブ情報を取り扱う前に明示的な同意を得る必要があります。センシティブではない個人情報については、明示的な同意が常に必要なわけではありませんが、組織は依拠する黙示の同意について合理的な根拠を有していなければなりません。

同意は次の条件を満たす必要があります。

• 任意であること
• 現時点で有効であること
• 具体的であること
• 十分な情報に基づくこと
• 理解可能であること
• 該当する場合は撤回可能であること

組織は、個人がどの処理活動に同意しているのかを理解できなくなるような、不明確な同意要求や抱き合わせの同意要求を避けるべきです。

センシティブ情報

プライバシー法は、センシティブ情報に追加の保護を与えています。

センシティブ情報には、次のようなカテゴリーが含まれます。

• 人種または民族的出自
• 政治的意見
• 政治団体への所属
• 宗教的信条または所属
• 哲学的信条
• 労働組合への加入
• 性的指向
• 犯罪歴
• 健康情報
• 遺伝情報
• 自動化された生体認証による照合または識別に使用される生体情報
• 生体認証テンプレート

該当する例外が適用される場合を除き、組織がセンシティブ情報を収集するには、一般に本人の同意が必要です。

センシティブ情報には追加のプライバシーリスクが伴うため、組織はその収集、利用、開示、保持およびセキュリティについて個別の管理を維持すべきです。

プライバシー通知と収集通知

APP 5 は、個人情報を収集する際に、所定の事項について個人に通知するか、個人がそれを認識していることを確保するための合理的な措置を講じることを組織に求めています。

関連する情報には、次のようなものがあります。

• 組織の名称および連絡先
• 収集の事実と状況
• 収集が法律で義務付けられているか、または認められているか
• 収集の目的
• 情報を提供しない場合の結果
• 予定されている開示
• 海外への開示
• 関連するプライバシーポリシーの情報
• 個人が自分の情報にアクセスしたり訂正したりする方法
• プライバシーに関する苦情の申立て方法

プライバシー通知は、明確でアクセスしやすく、状況に適したものであるべきです。

プライバシーポリシーの要件

APP 1 は、対象となる組織に対し、明確に表現され最新の状態に保たれたプライバシーポリシーを維持することを求めています。

ポリシーでは、組織が個人情報をどのように管理しているかを説明し、次のような情報を提供すべきです。

• 収集する個人情報の種類
• 情報の収集方法
• 収集、利用および開示の目的
• 海外への開示
• アクセスおよび訂正の手続
• 苦情の手続
• プライバシーガバナンスに関する情報
• APPs が求めるその他の事項

ポリシーは適切な形式で無料で入手できるようにすべきであり、一般的には組織のウェブサイトを通じて提供されます。

データ最小化と目的の限定

組織は、その機能または活動に合理的に必要な場合に限り、個人情報を収集すべきです。

組織は次の点を評価すべきです。

• どのような情報を収集しているか
• なぜその情報が必要なのか
• より少ない情報で同じ目的を達成できないか
• 情報がどのように利用されるか
• 誰が情報を受け取るか
• 情報をどのくらいの期間保持するか

また、APPs が追加の利用または開示を認めている場合を除き、組織は当初の収集目的と相容れない目的のために情報を利用または開示することを避けるべきです。

APP 7 に基づくダイレクトマーケティング

APP 7 は、ダイレクトマーケティングのために個人情報を利用および開示することについて、特定の制限を設けています。

一般に、該当する例外が適用される場合を除き、組織はダイレクトマーケティングのために個人情報を利用または開示してはなりません。

ダイレクトマーケティングが認められる場合、個人にはオプトアウトするための有効な手段がなければなりません。組織は、有効なオプトアウト要求を合理的な期間内に反映しなければなりません。OAIC のガイダンスによれば、これは一般に30日以内とされていますが、デジタル通信ではより迅速な対応が可能な場合があります。

したがって、組織は次のものを維持すべきです。

• 該当する場合のマーケティングへの同意または許可の記録
• オプトアウトの設定
• 配信停止リスト
• 設定の同期
• 第三者によるマーケティングの管理
• オプトアウト要求が反映されたことの証拠

Cookie とオンライントラッキング

オーストラリアのプライバシー法は、Cookie について一律の同意要件を定めているわけではありません。

代わりに、組織は Cookie、ピクセル、SDK、広告技術、分析ツール、その他のトラッカーによって収集される情報を APPs に照らして評価すべきです。

関連する検討事項には、次のようなものがあります。

• その技術が個人情報を収集するかどうか
• その情報がセンシティブ情報かどうか
• 収集の目的
• その情報がダイレクトマーケティングに利用されるかどうか
• 第三者に開示されるかどうか
• 海外に移転されるかどうか
• その処理について同意が必要かどうか
• 個人に適切に通知されているかどうか

つまり、ウェブサイトは、すべての分析 Cookie や広告 Cookie についてプライバシー法上オプトイン同意が必要であると自動的に想定すべきではありません。

第三者への開示

APP 6 は、個人情報の利用および開示を規制しています。

一般原則として、組織は例外が適用される場合を除き、個人情報を収集した主たる目的のためにのみ利用または開示すべきです。

情報が副次的な目的に利用される場合には、追加の要件が適用されることがあります。

組織は次の事項を文書化すべきです。

• 主たる目的
• 副次的な目的
• 第三者である受領者
• 法的根拠または例外
• 必要な場合の同意
• データ共有契約
• 海外の受領者

国境を越えたデータ移転

APP 8 は、個人情報の国境を越えた開示に関するルールを定めています。

海外の受領者に個人情報を開示する前に、APP 対象事業体は一般に、受領者がその情報に関して APPs に違反しないよう合理的な措置を講じなければなりません。

オーストラリアの組織は、海外の受領者の特定の行為や慣行について引き続き責任を負う場合があります。

したがって、組織は次の相手について適切なデューデリジェンスを実施すべきです。

• 海外のベンダー
• クラウドプロバイダー
• 分析プラットフォーム
• マーケティングプロバイダー
• カスタマーサポートプロバイダー
• グループ会社
• 再委託先

海外への開示に対する同意

APP 8 には、組織が海外への開示に同意することの結果について個人に明示的に説明し、その後に個人が同意した場合に適用される例外があります。

提供する情報では、個人が同意し、その後に海外の受領者が情報を不適切に取り扱った場合、組織はその取扱いについてプライバシー法上の責任を負わない可能性があり、個人も同法に基づく同等の救済を受けられない可能性があることを説明すべきです。

この目的で用いる同意は、次の条件を満たす必要があります。

• 任意であること
• 現時点で有効であること
• 具体的であること
• 十分な情報に基づくこと
• 理解可能であること

組織は、将来の不特定の移転について不必要に広範な同意を求めるべきではありません。

APP 11 に基づくデータセキュリティ

APP 11 は、個人情報を次のものから保護するための合理的な措置を講じることを組織に求めています。

• 不正使用
• 干渉
• 紛失
• 不正アクセス
• 不正な改変
• 不正な開示

セキュリティ対策は、次のような要素に見合ったものであるべきです。

• 情報のセンシティブさ
• 情報の量
• 生じうる損害
• 組織の規模と資源
• 技術環境
• 処理活動
• 第三者によるアクセス

OAIC のガイダンスは、アクセス制御、監査証跡、プライバシーリスク管理、従業員研修、侵害対応手続などの措置を、関連するプライバシーガバナンスの管理策として挙げています。

通知対象となるデータ侵害の通知

オーストラリアでは、通知対象データ侵害（NDB）制度が運用されています。

組織は、通知対象となるデータ侵害が発生したと疑う合理的な根拠がある場合、評価を行わなければならず、その侵害が通知対象となるデータ侵害である場合には、必要に応じて影響を受ける個人と OAIC に通知しなければなりません。

通知対象となるデータ侵害とは、一般に、個人情報への不正アクセス、個人情報の不正な開示または紛失であって、その状況から影響を受ける個人に重大な損害が生じるおそれがあるものをいいます。

組織は次のものを維持すべきです。

• 侵害の検知手続
• インシデント対応計画
• リスク評価のプロセス
• 封じ込めの手続
• OAIC への通知のワークフロー
• 個人への通知のテンプレート
• 是正の記録
• インシデントの文書

個人情報へのアクセス

APP 12 は、該当する例外を条件として、自分について保有されている個人情報へのアクセスを求める権利を個人に与えています。

組織は、次の事項について明確でアクセスしやすいプロセスを提供すべきです。

1. 1アクセス要求の受付
2. 2本人確認
3. 3関連する情報の特定
4. 4該当する例外の評価
5. 5アクセスの提供
6. 6対応の文書化

プライバシーポリシーでは、個人が自分の情報へのアクセスを求める方法を説明すべきです。

個人情報の訂正

APP 13 に基づき、個人は、不正確、古い、不完全、無関係または誤解を招く個人情報の訂正を求めることができます。

組織は、次の事項に関する手続を維持すべきです。

• 訂正要求の受付
• 情報の確認
• 記録の更新
• 必要な場合の関連する第三者への通知
• 訂正の文書化

匿名性と仮名性

APP 2 は、例外を条件として、実行可能な場合には匿名で、または仮名を用いて組織とやり取りできるようにすることを個人に認めています。

したがって、組織は、識別情報を求める前に、特定のやり取りについて本人の特定が本当に必要かどうかを検討すべきです。

データの保持と廃棄

組織は、不要になった個人情報を無期限に保持すべきではありません。

APP 11 には、該当する例外や保持要件を条件として、不要になった個人情報の廃棄または非識別化に関する義務が含まれています。

組織は次のものを維持すべきです。

• 保持スケジュール
• 削除の手続
• 安全な廃棄のための管理
• 非識別化の手続
• 法的な保持に関する例外
• 廃棄活動の記録

プライバシー影響評価

OAIC は、個人情報に関わるプロジェクトを導入したり慣行を変更したりする際に、プライバシー影響評価（PIA）の実施を検討するよう組織に推奨しています。

PIA は、システム、製品、技術またはビジネスプロセスが導入される前に、プライバシーリスクを特定するのに役立ちます。

関連するプロジェクトには、次のようなものがあります。

• 新しい顧客データベース
• AI システム
• 広告技術
• 大規模な分析
• 新しいクラウドプラットフォーム
• 生体認証システム
• データ共有の取組み
• 国際的なデータ移転

OAIC のガイダンスは、PIA を、組織が APP 1 のコンプライアンス体制の一部として検討すべき実務として明確に位置付けています。

自動化された意思決定

オーストラリアのプライバシー法改正により、特定の自動化された決定について新たな透明性要件が導入されます。

2026年12月10日から、個人の権利または利益に重大な影響を及ぼすと合理的に予想される決定を行うため、またはその決定に実質的に寄与するために、コンピュータプログラムが個人情報を利用するよう手配する APP 対象事業体には、プライバシーポリシーに関する追加の義務が課されます。

プライバシーポリシーでは、次の事項について所定の情報を提供する必要があります。

• コンピュータプログラムが利用する個人情報の種類
• コンピュータプログラムのみによって行われる決定の種類
• コンピュータプログラムが実質的かつ直接的に寄与する決定の種類

したがって、AI や自動化された意思決定システムを利用する組織は、2026年12月の適用開始日より前にプライバシーポリシーを見直すべきです。

重大なプライバシー侵害に対する法定不法行為

重大なプライバシー侵害に対する法定不法行為は、2025年6月10日に施行されました。

この新たな訴権は、次のような特定の重大なプライバシー侵害について救済を求めるための別の手段を個人に提供する場合があります。

• 個人の私生活の平穏への侵入
• 個人に関する情報の不正使用

この不法行為には、通常の APP コンプライアンスとは別に、要件、抗弁、適用除外および公益上の考慮事項があります。裁判所は、損害賠償、差止命令、謝罪を命じる命令などの救済を認めることができます。

つまり、組織は、自らの慣行が APPs に準拠しているかどうかを確認するだけでなく、より広い観点からプライバシーリスクを検討すべきです。

従業員記録とその他の適用除外

プライバシー法には、いくつかの適用除外と特別な制度が含まれています。

組織は、特定の活動が次のような分野に関する適用除外に該当するかどうかを評価すべきです。

• 従業員記録
• 特定の政治活動
• 報道
• 小規模事業者
• 登録政党
• その他の特定の法定活動

適用除外は範囲が狭く事実関係に依存する場合があるため、組織は、1つの処理活動が適用除外に該当するというだけで事業全体が適用除外になると想定すべきではありません。