Privacy Act

Согласие по австралийскому Privacy Act

Согласие не требуется для каждого случая сбора, использования или раскрытия персональной информации.

Требования зависят от типа информации и вида обработки.

Например, организациям, как правило, необходимо явное согласие, прежде чем обращаться с чувствительной информацией. В отношении не чувствительной персональной информации явное согласие требуется не всегда, однако у организации должно быть разумное основание для любого подразумеваемого согласия, на которое она полагается.

Согласие должно быть:

• Добровольным
• Актуальным
• Конкретным
• Информированным
• Понятным
• Отзываемым, где это применимо

Организациям следует избегать неясных или объединенных запросов согласия, которые не позволяют людям понять, на какие виды обработки они соглашаются.

Чувствительная информация

Privacy Act предоставляет дополнительную защиту чувствительной информации.

К чувствительной информации относятся такие категории, как:

• Расовое или этническое происхождение
• Политические взгляды
• Политические объединения
• Религиозные убеждения или принадлежность
• Философские убеждения
• Членство в профсоюзе
• Сексуальная ориентация
• Судимость
• Информация о здоровье
• Генетическая информация
• Биометрическая информация, используемая для автоматизированной биометрической верификации или идентификации
• Биометрические шаблоны

Для сбора чувствительной информации организациям, как правило, необходимо согласие лица, если не применяется соответствующее исключение.

Поскольку чувствительная информация сопряжена с дополнительными рисками для конфиденциальности, организациям следует поддерживать отдельные меры контроля в отношении ее сбора, использования, раскрытия, хранения и безопасности.

Уведомления о конфиденциальности и уведомления о сборе

APP 5 обязывает организации при сборе персональной информации принимать разумные меры, чтобы уведомить людей об определенных обстоятельствах или обеспечить их осведомленность о них.

Соответствующая информация может включать:

• Наименование и контактные данные организации
• Факт и обстоятельства сбора
• Требуется ли сбор законом или разрешен ли он законом
• Цель сбора
• Последствия непредоставления информации
• Предполагаемое раскрытие
• Раскрытие за рубеж
• Соответствующие сведения из политики конфиденциальности
• Как люди могут получить доступ к своей информации или исправить ее
• Как можно подать жалобу в сфере конфиденциальности

Уведомления о конфиденциальности должны быть понятными, доступными и соответствовать обстоятельствам.

Требования к политике конфиденциальности

APP 1 обязывает подпадающие под действие закона организации поддерживать четко изложенную и актуальную политику конфиденциальности.

Политика должна объяснять, как организация управляет персональной информацией, и содержать такие сведения, как:

• Виды собираемой персональной информации
• Способы сбора информации
• Цели сбора, использования и раскрытия
• Раскрытие за рубеж
• Процедуры доступа и исправления
• Процедуры рассмотрения жалоб
• Сведения об управлении конфиденциальностью
• Иные сведения, требуемые APP

Политика должна быть доступна бесплатно в надлежащей форме, как правило на веб-сайте организации.

Минимизация данных и ограничение целью

Организациям следует собирать персональную информацию только в тех случаях, когда это разумно необходимо для их функций или деятельности.

Им следует оценивать:

• Какая информация собирается
• Почему она необходима
• Можно ли достичь той же цели с меньшим объемом информации
• Как будет использоваться информация
• Кто ее получит
• Как долго она будет храниться

Организациям также следует избегать использования или раскрытия информации в целях, несовместимых с первоначальной целью сбора, если APP не допускают такое дополнительное использование или раскрытие.

Прямой маркетинг по APP 7

APP 7 устанавливает особые ограничения на использование и раскрытие персональной информации для прямого маркетинга.

Как правило, организация не вправе использовать или раскрывать персональную информацию для прямого маркетинга, если не применяется соответствующее исключение.

Если прямой маркетинг допускается, у людей должна быть действенная возможность отказаться от него (opt-out). Организации должны выполнять действительные запросы об отказе в течение разумного срока. Согласно руководству OAIC, как правило, это не более 30 дней, хотя цифровые коммуникации могут позволять реагировать быстрее.

Поэтому организациям следует вести:

• Записи о согласии или разрешении на маркетинг, где это применимо
• Предпочтения об отказе
• Списки исключений
• Синхронизацию предпочтений
• Контроль маркетинга третьих лиц
• Доказательства выполнения запросов об отказе

Cookie и онлайн-отслеживание

Австралийский Privacy Act не устанавливает всеобщего требования о согласии на cookie.

Вместо этого организациям следует оценивать информацию, собираемую cookie, пикселями, SDKs, рекламными технологиями, инструментами аналитики и другими трекерами, на соответствие APP.

К значимым соображениям относятся:

• Собирает ли технология персональную информацию
• Является ли информация чувствительной
• Цель сбора
• Используется ли информация для прямого маркетинга
• Раскрывается ли она третьим лицам
• Передается ли она за рубеж
• Требуется ли согласие для конкретной обработки
• Были ли люди надлежащим образом уведомлены

Это означает, что веб-сайту не следует автоматически исходить из того, что каждый аналитический или рекламный cookie требует согласия по модели opt-in согласно Privacy Act.

Раскрытие третьим лицам

APP 6 регулирует использование и раскрытие персональной информации.

По общему правилу организациям следует использовать или раскрывать персональную информацию только для основной цели, ради которой она была собрана, если не применяется исключение.

Если информация используется для второстепенной цели, могут применяться дополнительные требования.

Организациям следует документировать:

• Основную цель
• Второстепенные цели
• Получателей — третьих лиц
• Правовое основание или исключение
• Согласие там, где оно требуется
• Соглашения об обмене данными
• Зарубежных получателей

Трансграничная передача данных

APP 8 устанавливает правила трансграничного раскрытия персональной информации.

Прежде чем раскрыть персональную информацию зарубежному получателю, субъект APP, как правило, должен принять разумные меры, чтобы получатель не нарушил APP в отношении этой информации.

Австралийская организация может оставаться ответственной за определенные действия или практики зарубежного получателя.

Поэтому организациям следует проводить надлежащую проверку:

• Зарубежных поставщиков
• Облачных провайдеров
• Аналитических платформ
• Поставщиков маркетинговых услуг
• Поставщиков услуг поддержки клиентов
• Компаний группы
• Субобработчиков

Согласие на раскрытие за рубеж

Согласно APP 8 существует исключение, когда организация прямо информирует лицо о последствиях согласия на раскрытие за рубеж и лицо затем дает согласие.

Предоставляемая информация должна разъяснять, что если лицо даст согласие, а зарубежный получатель впоследствии ненадлежащим образом обойдется с информацией, организация может не нести ответственности за такое обращение согласно Privacy Act, а у лица может не быть тех же средств правовой защиты по закону.

Согласие, используемое для этой цели, должно быть:

• Добровольным
• Актуальным
• Конкретным
• Информированным
• Понятным

Организациям не следует запрашивать неоправданно широкое согласие на неопределенные будущие передачи.

Безопасность данных по APP 11

APP 11 обязывает организации принимать разумные меры для защиты персональной информации от:

• Неправомерного использования
• Вмешательства
• Утраты
• Несанкционированного доступа
• Несанкционированного изменения
• Несанкционированного раскрытия

Меры безопасности должны быть соразмерны таким факторам, как:

• Чувствительность информации
• Объем информации
• Возможный вред
• Размер и ресурсы организации
• Техническая среда
• Виды обработки
• Доступ третьих лиц

Руководство OAIC называет такие меры, как контроль доступа, журналы аудита, управление рисками конфиденциальности, обучение сотрудников и процедуры реагирования на утечки, значимыми мерами контроля в сфере управления конфиденциальностью.

Уведомление о подлежащих уведомлению утечках данных

В Австралии действует система уведомления об утечках данных — Notifiable Data Breaches (NDB) scheme.

Если у организации есть разумные основания подозревать подлежащую уведомлению утечку данных, она должна провести оценку и, если утечка является подлежащей уведомлению, уведомить затронутых лиц и OAIC в установленном порядке.

Подлежащая уведомлению утечка данных, как правило, включает несанкционированный доступ к персональной информации, ее несанкционированное раскрытие или утрату, когда обстоятельства могут привести к серьезному вреду для затронутых лиц.

Организациям следует поддерживать:

• Процедуры обнаружения утечек
• Планы реагирования на инциденты
• Процессы оценки рисков
• Процедуры локализации
• Процессы уведомления OAIC
• Шаблоны уведомлений для физических лиц
• Записи об устранении последствий
• Документацию инцидентов

Доступ к персональной информации

APP 12 предоставляет людям право запрашивать доступ к хранящейся о них персональной информации с учетом применимых исключений.

Организациям следует обеспечить понятный и доступный процесс для:

1. 1Получения запросов на доступ
2. 2Проверки личности
3. 3Поиска соответствующей информации
4. 4Оценки применимых исключений
5. 5Предоставления доступа
6. 6Документирования ответа

Политики конфиденциальности должны объяснять, как люди могут запросить доступ к своей информации.

Исправление персональной информации

Согласно APP 13 люди могут запросить исправление персональной информации, которая является неточной, устаревшей, неполной, неактуальной или вводящей в заблуждение.

Организациям следует поддерживать процедуры для:

• Получения запросов на исправление
• Проверки информации
• Обновления записей
• Уведомления соответствующих третьих лиц, где это требуется
• Документирования исправления

Анонимность и псевдонимность

APP 2 предоставляет людям возможность взаимодействовать с организацией анонимно или под псевдонимом, где это практически осуществимо, с учетом исключений.

Поэтому организациям следует оценивать, действительно ли для конкретного взаимодействия необходимо установление личности, прежде чем запрашивать идентифицирующую информацию.

Хранение и уничтожение данных

Организациям не следует хранить персональную информацию бессрочно, если она больше не нужна.

APP 11 включает обязанности по уничтожению или обезличиванию персональной информации, которая больше не нужна, с учетом применимых исключений и требований о хранении.

Организациям следует поддерживать:

• Графики хранения
• Процедуры удаления
• Меры контроля надежного уничтожения
• Процедуры обезличивания
• Законные исключения из правил хранения
• Записи об утилизации

Оценка воздействия на конфиденциальность

OAIC рекомендует организациям рассматривать проведение оценки воздействия на конфиденциальность (PIA) при запуске проектов или изменении практик, связанных с персональной информацией.

PIA может помочь выявить риски для конфиденциальности до внедрения системы, продукта, технологии или бизнес-процесса.

К соответствующим проектам могут относиться:

• Новые клиентские базы данных
• Системы ИИ
• Рекламные технологии
• Масштабная аналитика
• Новые облачные платформы
• Биометрические системы
• Инициативы по обмену данными
• Международная передача данных

Руководство OAIC прямо называет PIA практикой, которую организациям следует рассматривать в рамках своих систем соблюдения APP 1.

Автоматизированное принятие решений

Реформы австралийского Privacy Act вводят новые требования прозрачности для определенных автоматизированных решений.

С 10 декабря 2026 года субъекты APP, которые поручают компьютерной программе использовать персональную информацию для принятия решений или существенного участия в принятии решений, которые, как можно разумно ожидать, существенно затронут права или интересы лица, будут нести дополнительные обязанности в отношении политики конфиденциальности.

Политики конфиденциальности должны будут содержать установленные сведения о:

• Видах персональной информации, используемой компьютерной программой
• Видах решений, принимаемых исключительно компьютерными программами
• Видах решений, в принятие которых компьютерные программы вносят существенный и непосредственный вклад

Поэтому организациям, использующим ИИ или системы автоматизированного принятия решений, следует пересмотреть свои политики конфиденциальности до даты вступления требований в силу в декабре 2026 года.

Установленный законом деликт за серьезное вторжение в частную жизнь

Установленный законом деликт за серьезное вторжение в частную жизнь вступил в силу 10 июня 2025 года.

Новое основание иска может предоставить людям отдельный путь для получения правовой защиты в случае определенных серьезных вторжений в частную жизнь, включая:

• Вторжение в уединение лица
• Неправомерное использование информации, относящейся к лицу

Для этого деликта установлены требования, возражения, исключения и соображения общественного интереса, отдельные от обычного соблюдения APP. Суды могут применять средства правовой защиты, включая возмещение убытков, судебные запреты или приказ о принесении извинений.

Это означает, что организациям следует рассматривать риски для конфиденциальности шире, чем просто проверку соответствия своих практик APP.

Документы о работниках и другие исключения

Privacy Act содержит ряд исключений и специальных режимов.

Организациям следует оценивать, подпадают ли определенные виды деятельности под исключения, относящиеся к таким областям, как:

• Документы о работниках
• Определенная политическая деятельность
• Журналистика
• Малый бизнес
• Зарегистрированные политические партии
• Определенные иные виды деятельности, предусмотренные законом

Исключения могут быть узкими и зависеть от конкретных обстоятельств, поэтому организациям не следует полагать, что весь бизнес освобожден от требований только потому, что один вид обработки подпадает под исключение.