Privacy Act

Consentimento segundo a Privacy Act australiana

O consentimento não é exigido para toda coleta, uso ou divulgação de informações pessoais.

Os requisitos dependem do tipo de informação e da atividade de tratamento.

Por exemplo, as organizações geralmente precisam de consentimento expresso antes de tratar informações sensíveis. Para informações pessoais não sensíveis, o consentimento expresso nem sempre é exigido, embora a organização deva ter uma base razoável para qualquer consentimento implícito em que se apoie.

O consentimento deve ser:

• Voluntário
• Atual
• Específico
• Informado
• Compreensível
• Passível de revogação, quando aplicável

As organizações devem evitar solicitações de consentimento pouco claras ou agrupadas que impeçam as pessoas de entender com quais atividades de tratamento estão concordando.

Informações sensíveis

A Privacy Act oferece proteção adicional às informações sensíveis.

As informações sensíveis incluem categorias como:

• Origem racial ou étnica
• Opiniões políticas
• Associações políticas
• Crenças ou afiliações religiosas
• Convicções filosóficas
• Filiação sindical
• Orientação sexual
• Antecedentes criminais
• Informações de saúde
• Informações genéticas
• Informações biométricas usadas para verificação ou identificação biométrica automatizada
• Modelos biométricos

As organizações geralmente precisam do consentimento da pessoa para coletar informações sensíveis, a menos que se aplique uma exceção.

Como as informações sensíveis envolvem riscos adicionais à privacidade, as organizações devem manter controles separados para sua coleta, uso, divulgação, retenção e segurança.

Avisos de privacidade e avisos de coleta

O APP 5 exige que as organizações tomem medidas razoáveis para notificar as pessoas, ou garantir que elas tenham conhecimento, de determinados assuntos ao coletar informações pessoais.

As informações relevantes podem incluir:

• Identidade e dados de contato da organização
• O fato e as circunstâncias da coleta
• Se a coleta é exigida ou autorizada por lei
• Finalidade da coleta
• Consequências de não fornecer as informações
• Divulgações pretendidas
• Divulgações ao exterior
• Informações relevantes sobre a política de privacidade
• Como as pessoas podem acessar ou corrigir suas informações
• Como podem ser feitas reclamações sobre privacidade

Os avisos de privacidade devem ser claros, acessíveis e adequados às circunstâncias.

Requisitos da política de privacidade

O APP 1 exige que as organizações abrangidas mantenham uma política de privacidade redigida com clareza e atualizada.

A política deve explicar como a organização gerencia informações pessoais e fornecer informações como:

• Tipos de informações pessoais coletadas
• Como as informações são coletadas
• Finalidades da coleta, do uso e da divulgação
• Divulgações ao exterior
• Procedimentos de acesso e correção
• Procedimentos de reclamação
• Informações sobre governança de privacidade
• Outros assuntos exigidos pelos APPs

A política deve estar disponível gratuitamente em formato adequado, geralmente no site da organização.

Minimização de dados e limitação de finalidade

As organizações devem coletar informações pessoais somente quando razoavelmente necessário para suas funções ou atividades.

Elas devem avaliar:

• Quais informações estão sendo coletadas
• Por que são necessárias
• Se menos informações poderiam atingir a mesma finalidade
• Como as informações serão usadas
• Quem as receberá
• Por quanto tempo serão retidas

As organizações também devem evitar usar ou divulgar informações para finalidades incompatíveis com a finalidade original da coleta, a menos que os APPs permitam o uso ou a divulgação adicional.

Marketing direto segundo o APP 7

O APP 7 impõe restrições específicas ao uso e à divulgação de informações pessoais para marketing direto.

Em geral, uma organização não deve usar nem divulgar informações pessoais para marketing direto, a menos que se aplique uma exceção.

Quando o marketing direto é permitido, as pessoas devem ter uma forma eficaz de optar por não recebê-lo. As organizações devem atender às solicitações válidas de descadastramento em um prazo razoável. As orientações do OAIC indicam que esse prazo geralmente não deve ultrapassar 30 dias, embora as comunicações digitais possam permitir uma resposta mais rápida.

Portanto, as organizações devem manter:

• Registros de consentimento ou permissão de marketing, quando aplicável
• Preferências de descadastramento
• Listas de supressão
• Sincronização de preferências
• Controles de marketing de terceiros
• Evidências de que as solicitações de descadastramento foram atendidas

Cookies e rastreamento on-line

A Privacy Act australiana não cria um requisito geral de consentimento para cookies.

Em vez disso, as organizações devem avaliar, com base nos APPs, as informações coletadas por cookies, pixels, SDKs, tecnologias de publicidade, ferramentas de análise e outros rastreadores.

As considerações relevantes incluem:

• Se a tecnologia coleta informações pessoais
• Se as informações são sensíveis
• A finalidade da coleta
• Se as informações são usadas para marketing direto
• Se são divulgadas a terceiros
• Se são transferidas ao exterior
• Se o consentimento é exigido para o tratamento específico
• Se as pessoas foram devidamente notificadas

Isso significa que um site não deve presumir automaticamente que todo cookie de análise ou de publicidade exige consentimento opt-in segundo a Privacy Act.

Divulgação a terceiros

O APP 6 regula o uso e a divulgação de informações pessoais.

Como princípio geral, as organizações devem usar ou divulgar informações pessoais somente para a finalidade principal para a qual foram coletadas, a menos que se aplique uma exceção.

Requisitos adicionais podem se aplicar quando as informações são usadas para uma finalidade secundária.

As organizações devem documentar:

• Finalidade principal
• Finalidades secundárias
• Destinatários terceiros
• Base legal ou exceção
• Consentimento quando exigido
• Acordos de compartilhamento de dados
• Destinatários no exterior

Transferências transfronteiriças de dados

O APP 8 estabelece regras para a divulgação transfronteiriça de informações pessoais.

Antes de divulgar informações pessoais a um destinatário no exterior, uma entidade sujeita aos APPs geralmente deve tomar medidas razoáveis para garantir que o destinatário não viole os APPs em relação a essas informações.

A organização australiana pode continuar responsável por determinados atos ou práticas do destinatário no exterior.

Portanto, as organizações devem realizar a devida diligência adequada sobre:

• Fornecedores no exterior
• Provedores de nuvem
• Plataformas de análise
• Fornecedores de marketing
• Prestadores de suporte ao cliente
• Empresas do grupo
• Suboperadores

Consentimento para divulgações ao exterior

Há uma exceção no APP 8 quando uma organização informa expressamente a pessoa sobre as consequências de consentir com a divulgação ao exterior e a pessoa então consente.

As informações fornecidas devem explicar que, se a pessoa consentir e o destinatário no exterior tratar indevidamente as informações posteriormente, a organização poderá não ser responsável por esse tratamento segundo a Privacy Act e a pessoa poderá não ter os mesmos meios de reparação previstos na lei.

O consentimento usado para essa finalidade deve ser:

• Voluntário
• Atual
• Específico
• Informado
• Compreensível

As organizações não devem solicitar consentimento desnecessariamente amplo para transferências futuras indefinidas.

Segurança de dados segundo o APP 11

O APP 11 exige que as organizações tomem medidas razoáveis para proteger as informações pessoais contra:

• Uso indevido
• Interferência
• Perda
• Acesso não autorizado
• Modificação não autorizada
• Divulgação não autorizada

As medidas de segurança devem ser proporcionais a fatores como:

• Sensibilidade das informações
• Quantidade de informações
• Dano potencial
• Porte e recursos da organização
• Ambiente técnico
• Atividades de tratamento
• Acesso de terceiros

As orientações do OAIC identificam medidas como controles de acesso, trilhas de auditoria, gestão de riscos de privacidade, treinamento de funcionários e procedimentos de resposta a violações como controles relevantes de governança de privacidade.

Notificação de violações de dados notificáveis

A Austrália adota um regime Notifiable Data Breaches (NDB).

Quando uma organização tem motivos razoáveis para suspeitar de uma violação de dados notificável, ela deve realizar uma avaliação e, se a violação for uma violação de dados notificável, notificar as pessoas afetadas e o OAIC, conforme exigido.

Uma violação de dados notificável geralmente envolve acesso não autorizado, divulgação não autorizada ou perda de informações pessoais em circunstâncias que provavelmente resultarão em dano grave às pessoas afetadas.

As organizações devem manter:

• Procedimentos de detecção de violações
• Planos de resposta a incidentes
• Processos de avaliação de riscos
• Procedimentos de contenção
• Fluxos de notificação ao OAIC
• Modelos de notificação às pessoas
• Registros de remediação
• Documentação de incidentes

Acesso às informações pessoais

O APP 12 garante às pessoas o direito de solicitar acesso às informações pessoais mantidas sobre elas, sujeito às exceções aplicáveis.

As organizações devem oferecer um processo claro e acessível para:

1. 1Receber solicitações de acesso
2. 2Verificar a identidade
3. 3Localizar as informações relevantes
4. 4Avaliar as exceções aplicáveis
5. 5Conceder o acesso
6. 6Documentar a resposta

As políticas de privacidade devem explicar como as pessoas podem solicitar acesso às suas informações.

Correção de informações pessoais

Segundo o APP 13, as pessoas podem solicitar a correção de informações pessoais inexatas, desatualizadas, incompletas, irrelevantes ou enganosas.

As organizações devem manter procedimentos para:

• Receber solicitações de correção
• Verificar as informações
• Atualizar os registros
• Notificar terceiros relevantes quando exigido
• Documentar a correção

Anonimato e pseudonimato

O APP 2 permite que as pessoas interajam com uma organização de forma anônima ou usando um pseudônimo quando isso for viável, sujeito a exceções.

Portanto, as organizações devem considerar se a identidade é realmente necessária para uma interação específica antes de exigir informações de identificação.

Retenção e destruição de dados

As organizações não devem reter informações pessoais indefinidamente quando elas não forem mais necessárias.

O APP 11 inclui obrigações relativas à destruição ou desidentificação de informações pessoais que não são mais necessárias, sujeitas às exceções e aos requisitos de retenção aplicáveis.

As organizações devem manter:

• Cronogramas de retenção
• Procedimentos de exclusão
• Controles de destruição segura
• Procedimentos de desidentificação
• Exceções legais de retenção
• Registros das atividades de descarte

Avaliações de impacto à privacidade

O OAIC recomenda que as organizações considerem realizar uma Avaliação de Impacto à Privacidade (PIA) ao introduzir projetos ou alterar práticas que envolvam informações pessoais.

Uma PIA pode ajudar a identificar riscos à privacidade antes da implantação de um sistema, produto, tecnologia ou processo de negócio.

Os projetos relevantes podem incluir:

• Novos bancos de dados de clientes
• Sistemas de IA
• Tecnologias de publicidade
• Análises em larga escala
• Novas plataformas de nuvem
• Sistemas biométricos
• Iniciativas de compartilhamento de dados
• Transferências internacionais de dados

As orientações do OAIC identificam especificamente as PIAs como uma prática que as organizações devem considerar como parte de seus sistemas de conformidade com o APP 1.

Tomada de decisões automatizada

As reformas da Privacy Act australiana introduzem novos requisitos de transparência para determinadas decisões automatizadas.

A partir de 10 de dezembro de 2026, as entidades sujeitas aos APPs que fizerem com que um programa de computador use informações pessoais para tomar, ou contribuir substancialmente para tomar, decisões das quais se possa razoavelmente esperar que afetem significativamente os direitos ou interesses de uma pessoa terão obrigações adicionais relativas à política de privacidade.

As políticas de privacidade precisarão fornecer informações específicas sobre:

• Tipos de informações pessoais usadas pelo programa de computador
• Tipos de decisões tomadas exclusivamente por programas de computador
• Tipos de decisões para as quais programas de computador contribuem de forma substancial e direta

Portanto, as organizações que usam IA ou sistemas de decisão automatizada devem revisar suas políticas de privacidade antes da data de entrada em vigor, em dezembro de 2026.

Responsabilidade civil legal por invasões graves de privacidade

Uma hipótese legal de responsabilidade civil por invasões graves de privacidade entrou em vigor em 10 de junho de 2025.

Essa nova causa de pedir pode oferecer às pessoas uma via separada para buscar reparação por determinadas invasões graves de privacidade, incluindo:

• Intrusão na reclusão de uma pessoa
• Uso indevido de informações relativas a uma pessoa

Essa hipótese de responsabilidade civil tem requisitos, defesas, isenções e considerações de interesse público distintos da conformidade comum com os APPs. Os tribunais podem conceder medidas como indenização por danos, liminares ou uma ordem que exija um pedido de desculpas.

Isso significa que as organizações devem considerar os riscos à privacidade de forma mais ampla do que simplesmente verificar se suas práticas estão em conformidade com os APPs.

Registros de funcionários e outras isenções

A Privacy Act contém várias isenções e regimes especiais.

As organizações devem avaliar se atividades específicas se enquadram em isenções relacionadas a áreas como:

• Registros de funcionários
• Determinadas atividades políticas
• Jornalismo
• Pequenas empresas
• Partidos políticos registrados
• Determinadas outras atividades previstas em lei

As isenções podem ser restritas e depender dos fatos, portanto as organizações não devem presumir que toda uma empresa está isenta apenas porque uma atividade de tratamento se enquadra em uma isenção.