Privacy Act

호주 프라이버시법에 따른 동의

개인정보의 모든 수집, 이용 또는 공개에 동의가 필요한 것은 아닙니다.

요건은 정보의 유형과 처리 활동에 따라 달라집니다.

예를 들어, 조직은 일반적으로 민감정보를 처리하기 전에 명시적 동의를 받아야 합니다. 민감하지 않은 개인정보의 경우 명시적 동의가 항상 필요한 것은 아니지만, 조직은 의존하는 묵시적 동의에 대해 합리적인 근거를 갖추고 있어야 합니다.

동의는 다음 조건을 충족해야 합니다.

• 자발적일 것
• 현재 유효할 것
• 구체적일 것
• 충분한 정보에 기반할 것
• 이해할 수 있을 것
• 해당하는 경우 철회할 수 있을 것

조직은 개인이 어떤 처리 활동에 동의하는지 이해하지 못하게 하는 불명확하거나 묶음 형태의 동의 요청을 피해야 합니다.

민감정보

프라이버시법은 민감정보에 추가적인 보호를 제공합니다.

민감정보에는 다음과 같은 범주가 포함됩니다.

• 인종 또는 민족적 기원
• 정치적 견해
• 정치 단체 가입
• 종교적 신념 또는 소속
• 철학적 신념
• 노동조합 가입
• 성적 지향
• 범죄 경력
• 건강정보
• 유전정보
• 자동화된 생체 인증 또는 식별에 사용되는 생체정보
• 생체 인식 템플릿

해당 예외가 적용되지 않는 한, 조직이 민감정보를 수집하려면 일반적으로 정보주체의 동의가 필요합니다.

민감정보는 추가적인 프라이버시 위험을 수반하므로, 조직은 그 수집, 이용, 공개, 보존 및 보안에 대해 별도의 통제를 유지해야 합니다.

개인정보 고지 및 수집 고지

APP 5는 조직이 개인정보를 수집할 때 특정 사항을 개인에게 알리거나 개인이 이를 인지하도록 합리적인 조치를 취할 것을 요구합니다.

관련 정보에는 다음이 포함될 수 있습니다.

• 조직의 명칭 및 연락처
• 수집 사실 및 상황
• 수집이 법률에 따라 요구되거나 허용되는지 여부
• 수집 목적
• 정보를 제공하지 않을 경우의 결과
• 예정된 공개
• 해외 공개
• 관련 개인정보 처리방침 정보
• 개인이 자신의 정보를 열람하거나 정정하는 방법
• 프라이버시 관련 불만을 제기하는 방법

개인정보 고지는 명확하고 접근하기 쉬우며 상황에 적합해야 합니다.

개인정보 처리방침 요건

APP 1은 적용 대상 조직에 명확하게 표현되고 최신 상태로 유지되는 개인정보 처리방침을 유지할 것을 요구합니다.

처리방침은 조직이 개인정보를 어떻게 관리하는지 설명하고 다음과 같은 정보를 제공해야 합니다.

• 수집하는 개인정보의 유형
• 정보 수집 방법
• 수집, 이용 및 공개 목적
• 해외 공개
• 열람 및 정정 절차
• 불만 처리 절차
• 프라이버시 거버넌스 정보
• APPs가 요구하는 기타 사항

처리방침은 적절한 형태로 무료로 제공되어야 하며, 일반적으로 조직의 웹사이트를 통해 제공됩니다.

데이터 최소화 및 목적 제한

조직은 자신의 기능이나 활동에 합리적으로 필요한 경우에만 개인정보를 수집해야 합니다.

조직은 다음 사항을 평가해야 합니다.

• 어떤 정보를 수집하고 있는지
• 그 정보가 왜 필요한지
• 더 적은 정보로 같은 목적을 달성할 수 있는지
• 정보가 어떻게 이용될 것인지
• 누가 정보를 받게 되는지
• 정보를 얼마나 오래 보존할 것인지

또한 APPs가 추가적인 이용 또는 공개를 허용하지 않는 한, 조직은 최초 수집 목적과 양립할 수 없는 목적으로 정보를 이용하거나 공개하는 것을 피해야 합니다.

APP 7에 따른 다이렉트 마케팅

APP 7은 다이렉트 마케팅을 위한 개인정보의 이용 및 공개에 대해 구체적인 제한을 둡니다.

일반적으로 해당 예외가 적용되지 않는 한, 조직은 다이렉트 마케팅을 위해 개인정보를 이용하거나 공개해서는 안 됩니다.

다이렉트 마케팅이 허용되는 경우, 개인에게는 옵트아웃할 수 있는 효과적인 방법이 있어야 합니다. 조직은 유효한 옵트아웃 요청을 합리적인 기간 내에 반영해야 합니다. OAIC 지침에 따르면 이 기간은 일반적으로 30일 이내이며, 디지털 커뮤니케이션의 경우 더 신속한 대응이 가능할 수 있습니다.

따라서 조직은 다음을 유지해야 합니다.

• 해당하는 경우 마케팅 동의 또는 허락 기록
• 옵트아웃 설정
• 수신 거부 목록
• 설정 동기화
• 제3자 마케팅 통제
• 옵트아웃 요청이 반영되었다는 증빙

쿠키 및 온라인 추적

호주 프라이버시법은 쿠키에 대한 일괄적인 동의 요건을 두고 있지 않습니다.

대신, 조직은 쿠키, 픽셀, SDK, 광고 기술, 분석 도구 및 기타 트래커가 수집하는 정보를 APPs에 비추어 평가해야 합니다.

관련 고려 사항은 다음과 같습니다.

• 해당 기술이 개인정보를 수집하는지 여부
• 해당 정보가 민감정보인지 여부
• 수집 목적
• 해당 정보가 다이렉트 마케팅에 이용되는지 여부
• 제3자에게 공개되는지 여부
• 해외로 이전되는지 여부
• 해당 처리에 동의가 필요한지 여부
• 개인에게 적절히 고지되었는지 여부

즉, 웹사이트는 모든 분석 쿠키나 광고 쿠키에 대해 프라이버시법상 옵트인 동의가 필요하다고 자동으로 가정해서는 안 됩니다.

제3자에 대한 공개

APP 6은 개인정보의 이용 및 공개를 규율합니다.

일반 원칙으로서, 조직은 예외가 적용되지 않는 한 개인정보를 수집한 주된 목적을 위해서만 이용하거나 공개해야 합니다.

정보가 부차적인 목적으로 이용되는 경우에는 추가 요건이 적용될 수 있습니다.

조직은 다음 사항을 문서화해야 합니다.

• 주된 목적
• 부차적 목적
• 제3자 수령인
• 법적 근거 또는 예외
• 필요한 경우의 동의
• 데이터 공유 계약
• 해외 수령인

국외 데이터 이전

APP 8은 개인정보의 국외 공개에 관한 규칙을 정합니다.

해외 수령인에게 개인정보를 공개하기 전에, APP 적용 주체는 일반적으로 수령인이 해당 정보와 관련하여 APPs를 위반하지 않도록 합리적인 조치를 취해야 합니다.

호주 조직은 해외 수령인의 특정 행위나 관행에 대해 계속 책임을 질 수 있습니다.

따라서 조직은 다음에 대해 적절한 실사를 수행해야 합니다.

• 해외 공급업체
• 클라우드 제공업체
• 분석 플랫폼
• 마케팅 제공업체
• 고객 지원 제공업체
• 그룹 계열사
• 재수탁자

해외 공개에 대한 동의

APP 8에는 조직이 해외 공개에 동의할 경우의 결과를 개인에게 명시적으로 알리고, 그 후 개인이 동의하는 경우에 적용되는 예외가 있습니다.

제공되는 정보는 개인이 동의한 후 해외 수령인이 정보를 부적절하게 처리하는 경우, 조직이 그 처리에 대해 프라이버시법상 책임을 지지 않을 수 있으며 개인도 이 법에 따른 동일한 구제를 받지 못할 수 있다는 점을 설명해야 합니다.

이 목적으로 사용하는 동의는 다음 조건을 충족해야 합니다.

• 자발적일 것
• 현재 유효할 것
• 구체적일 것
• 충분한 정보에 기반할 것
• 이해할 수 있을 것

조직은 정해지지 않은 향후 이전에 대해 불필요하게 포괄적인 동의를 요구해서는 안 됩니다.

APP 11에 따른 데이터 보안

APP 11은 조직이 다음으로부터 개인정보를 보호하기 위해 합리적인 조치를 취할 것을 요구합니다.

• 오용
• 간섭
• 분실
• 무단 접근
• 무단 변경
• 무단 공개

보안 조치는 다음과 같은 요소에 비례해야 합니다.

• 정보의 민감도
• 정보의 양
• 발생 가능한 피해
• 조직의 규모와 자원
• 기술 환경
• 처리 활동
• 제3자의 접근

OAIC 지침은 접근 통제, 감사 추적, 프라이버시 위험 관리, 직원 교육 및 유출 대응 절차 등의 조치를 관련 프라이버시 거버넌스 통제로 제시합니다.

신고 대상 데이터 유출 통지

호주는 신고 대상 데이터 유출(NDB) 제도를 운영하고 있습니다.

조직은 신고 대상 데이터 유출이 발생했다고 의심할 합리적인 근거가 있는 경우 평가를 수행해야 하며, 해당 유출이 신고 대상 데이터 유출인 경우 필요에 따라 영향을 받는 개인과 OAIC에 통지해야 합니다.

신고 대상 데이터 유출은 일반적으로 개인정보에 대한 무단 접근, 개인정보의 무단 공개 또는 분실로서, 그 상황상 영향을 받는 개인에게 심각한 피해를 초래할 가능성이 있는 경우를 말합니다.

조직은 다음을 유지해야 합니다.

• 유출 탐지 절차
• 사고 대응 계획
• 위험 평가 프로세스
• 확산 방지 절차
• OAIC 통지 워크플로
• 개인 통지 템플릿
• 개선 조치 기록
• 사고 문서

개인정보에 대한 열람

APP 12는 해당 예외를 조건으로, 개인에게 자신에 관해 보유된 개인정보에 대한 열람을 요청할 권리를 부여합니다.

조직은 다음에 대해 명확하고 접근하기 쉬운 프로세스를 제공해야 합니다.

1. 1열람 요청 접수
2. 2신원 확인
3. 3관련 정보 확인
4. 4해당 예외 평가
5. 5열람 제공
6. 6대응 내용 문서화

개인정보 처리방침은 개인이 자신의 정보에 대한 열람을 요청하는 방법을 설명해야 합니다.

개인정보의 정정

APP 13에 따라 개인은 부정확하거나, 오래되었거나, 불완전하거나, 관련이 없거나, 오해의 소지가 있는 개인정보의 정정을 요청할 수 있습니다.

조직은 다음에 대한 절차를 유지해야 합니다.

• 정정 요청 접수
• 정보 확인
• 기록 업데이트
• 필요한 경우 관련 제3자에게 통지
• 정정 내용 문서화

익명성 및 가명성

APP 2는 예외를 조건으로, 실행 가능한 경우 개인이 익명으로 또는 가명을 사용하여 조직과 거래할 수 있도록 합니다.

따라서 조직은 식별 정보를 요구하기 전에 특정 상호작용에 신원 확인이 실제로 필요한지 검토해야 합니다.

데이터 보존 및 파기

조직은 더 이상 필요하지 않은 개인정보를 무기한 보존해서는 안 됩니다.

APP 11에는 해당 예외 및 보존 요건을 조건으로, 더 이상 필요하지 않은 개인정보의 파기 또는 비식별화에 관한 의무가 포함되어 있습니다.

조직은 다음을 유지해야 합니다.

• 보존 일정
• 삭제 절차
• 안전한 파기 통제
• 비식별화 절차
• 법적 보존 예외
• 파기 활동 기록

개인정보 영향평가

OAIC는 조직이 개인정보와 관련된 프로젝트를 도입하거나 관행을 변경할 때 개인정보 영향평가(PIA) 실시를 고려할 것을 권고합니다.

PIA는 시스템, 제품, 기술 또는 비즈니스 프로세스가 도입되기 전에 프라이버시 위험을 식별하는 데 도움이 될 수 있습니다.

관련 프로젝트에는 다음이 포함될 수 있습니다.

• 신규 고객 데이터베이스
• AI 시스템
• 광고 기술
• 대규모 분석
• 신규 클라우드 플랫폼
• 생체 인식 시스템
• 데이터 공유 이니셔티브
• 국제 데이터 이전

OAIC 지침은 PIA를 조직이 APP 1 컴플라이언스 체계의 일부로 고려해야 할 관행으로 명시하고 있습니다.

자동화된 의사결정

호주 프라이버시법 개정은 특정 자동화된 결정에 대한 새로운 투명성 요건을 도입합니다.

2026년 12월 10일부터, 개인의 권리나 이익에 중대한 영향을 미칠 것으로 합리적으로 예상되는 결정을 내리거나 그 결정에 실질적으로 기여하기 위해 컴퓨터 프로그램이 개인정보를 이용하도록 하는 APP 적용 주체에게는 개인정보 처리방침에 관한 추가 의무가 부과됩니다.

개인정보 처리방침에는 다음 사항에 관한 특정 정보가 포함되어야 합니다.

• 컴퓨터 프로그램이 이용하는 개인정보의 종류
• 컴퓨터 프로그램만으로 내려지는 결정의 종류
• 컴퓨터 프로그램이 실질적이고 직접적으로 기여하는 결정의 종류

따라서 AI 또는 자동화된 의사결정 시스템을 이용하는 조직은 2026년 12월 시행일 이전에 개인정보 처리방침을 검토해야 합니다.

중대한 프라이버시 침해에 대한 법정 불법행위

중대한 프라이버시 침해에 대한 법정 불법행위는 2025년 6월 10일에 시행되었습니다.

이 새로운 소송원인은 다음을 포함한 특정 중대한 프라이버시 침해에 대해 개인이 구제를 구할 수 있는 별도의 경로를 제공할 수 있습니다.

• 개인의 사적 영역에 대한 침입
• 개인에 관한 정보의 오용

이 불법행위에는 일반적인 APP 컴플라이언스와는 별개의 요건, 항변, 면제 및 공익적 고려 사항이 있습니다. 법원은 손해배상, 금지명령 또는 사과를 명하는 명령 등의 구제를 허용할 수 있습니다.

즉, 조직은 자신의 관행이 APPs를 준수하는지 확인하는 데 그치지 않고 프라이버시 위험을 더 폭넓게 고려해야 합니다.

직원 기록 및 기타 적용 면제

프라이버시법에는 여러 적용 면제와 특별 제도가 포함되어 있습니다.

조직은 특정 활동이 다음과 같은 영역에 관한 적용 면제에 해당하는지 평가해야 합니다.

• 직원 기록
• 특정 정치 활동
• 언론 보도
• 소규모 사업자
• 등록 정당
• 기타 특정 법정 활동

적용 면제는 범위가 좁고 사실관계에 따라 달라질 수 있으므로, 조직은 하나의 처리 활동이 적용 면제에 해당한다는 이유만으로 사업 전체가 면제된다고 가정해서는 안 됩니다.