Privacy Act

澳大利亚《隐私法》下的同意

并非每一次收集、使用或披露个人信息都需要同意。

相关要求取决于信息类型和处理活动。

例如，组织在处理敏感信息之前通常需要获得明示同意。对于非敏感个人信息，并不总是需要明示同意，但组织依据的任何默示同意都必须有合理依据。

同意应当：

• 自愿
• 当前有效
• 具体
• 知情
• 易于理解
• 在适用情况下可以撤回

组织应避免提出不清晰或捆绑式的同意请求，以免个人无法理解自己同意的是哪些处理活动。

敏感信息

《隐私法》为敏感信息提供额外保护。

敏感信息包括以下类别：

• 种族或民族血统
• 政治观点
• 政治团体成员身份
• 宗教信仰或宗教归属
• 哲学信仰
• 工会会员身份
• 性取向
• 犯罪记录
• 健康信息
• 遗传信息
• 用于自动化生物特征验证或识别的生物特征信息
• 生物特征模板

除非适用相关例外，组织收集敏感信息通常需要获得个人的同意。

由于敏感信息带有额外的隐私风险，组织应对其收集、使用、披露、保留和安全保持单独的控制措施。

隐私通知和收集通知

APP 5 要求组织在收集个人信息时采取合理措施，将特定事项通知个人或确保个人知悉这些事项。

相关信息可包括：

• 组织的身份和联系方式
• 收集的事实和情形
• 收集是否为法律所要求或授权
• 收集目的
• 不提供信息的后果
• 拟进行的披露
• 境外披露
• 相关隐私政策信息
• 个人如何访问或更正其信息
• 如何提出隐私投诉

隐私通知应清晰、易于获取并适合具体情形。

隐私政策要求

APP 1 要求受约束的组织保持一份表述清晰且及时更新的隐私政策。

该政策应说明组织如何管理个人信息，并提供以下信息：

• 所收集个人信息的类型
• 信息的收集方式
• 收集、使用和披露的目的
• 境外披露
• 访问和更正程序
• 投诉程序
• 隐私治理信息
• APPs 要求的其他事项

该政策应以适当形式免费提供，通常通过组织的网站提供。

数据最小化和目的限制

组织应仅在为其职能或活动合理必要时收集个人信息。

组织应评估：

• 正在收集哪些信息
• 为何需要这些信息
• 是否可以用更少的信息实现相同目的
• 信息将如何使用
• 谁将接收这些信息
• 信息将保留多长时间

除非 APPs 允许额外的使用或披露，组织还应避免将信息用于或披露于与原始收集目的不相符的目的。

APP 7 下的直接营销

APP 7 对将个人信息用于或披露于直接营销规定了具体限制。

一般而言，除非适用相关例外，组织不得将个人信息用于或披露于直接营销。

在允许直接营销的情况下，个人必须拥有有效的选择退出方式。组织必须在合理期限内执行有效的选择退出请求。根据 OAIC 指引，这一期限通常不超过30天，但数字通信可能允许更快的响应。

因此，组织应保持：

• 在适用情况下的营销同意或许可记录
• 选择退出偏好
• 屏蔽名单
• 偏好同步
• 第三方营销控制
• 已执行选择退出请求的证据

Cookie 和在线跟踪

澳大利亚《隐私法》并未设立一概而论的 Cookie 同意要求。

相反，组织应对照 APPs 评估 Cookie、像素、SDK、广告技术、分析工具和其他跟踪器所收集的信息。

相关考虑因素包括：

• 该技术是否收集个人信息
• 该信息是否属于敏感信息
• 收集目的
• 该信息是否用于直接营销
• 是否向第三方披露
• 是否转移至境外
• 特定处理是否需要同意
• 是否已适当通知个人

这意味着网站不应自动假定每个分析或广告 Cookie 都需要根据《隐私法》获得选择加入同意。

向第三方披露

APP 6 规范个人信息的使用和披露。

作为一般原则，除非适用例外，组织应仅为收集个人信息的主要目的使用或披露该信息。

当信息被用于次要目的时，可能适用额外要求。

组织应记录：

• 主要目的
• 次要目的
• 第三方接收方
• 法律依据或例外
• 必要时的同意
• 数据共享协议
• 境外接收方

跨境数据转移

APP 8 规定了个人信息跨境披露的规则。

在向境外接收方披露个人信息之前，APP 实体通常必须采取合理措施，确保接收方不会违反与该信息有关的 APPs。

澳大利亚组织可能仍需对境外接收方的某些行为或做法承担责任。

因此，组织应对以下各方进行适当的尽职调查：

• 境外供应商
• 云服务提供商
• 分析平台
• 营销服务提供商
• 客户支持服务提供商
• 集团公司
• 分处理方

境外披露的同意

APP 8 规定了一项例外：组织明确告知个人同意境外披露的后果，且个人随后表示同意。

所提供的信息应说明，如果个人同意而境外接收方随后不当处理该信息，组织可能无需就该处理承担《隐私法》下的责任，个人也可能无法获得该法下的同等救济。

为此目的使用的同意应当：

• 自愿
• 当前有效
• 具体
• 知情
• 易于理解

组织不应为未确定的未来转移寻求不必要的宽泛同意。

APP 11 下的数据安全

APP 11 要求组织采取合理措施，保护个人信息免受：

• 滥用
• 干扰
• 丢失
• 未经授权的访问
• 未经授权的修改
• 未经授权的披露

安全措施应与以下因素相称：

• 信息的敏感程度
• 信息的数量
• 潜在危害
• 组织规模和资源
• 技术环境
• 处理活动
• 第三方访问

OAIC 指引将访问控制、审计跟踪、隐私风险管理、员工培训和泄露响应程序等措施列为相关的隐私治理控制措施。

应通知数据泄露的通知

澳大利亚实行应通知数据泄露（NDB）机制。

如果组织有合理理由怀疑发生了应通知的数据泄露，必须进行评估；如果该泄露属于应通知的数据泄露，必须按要求通知受影响的个人和 OAIC。

应通知的数据泄露通常是指对个人信息的未经授权访问、披露或个人信息的丢失，且相关情形很可能对受影响的个人造成严重损害。

组织应保持：

• 泄露检测程序
• 事件响应计划
• 风险评估流程
• 遏制程序
• OAIC 通知工作流程
• 个人通知模板
• 补救记录
• 事件文档

个人信息的访问

APP 12 赋予个人请求访问组织所持有的关于其本人的个人信息的权利，但须符合适用的例外。

组织应就以下事项提供清晰且易于使用的流程：

1. 1接收访问请求
2. 2核实身份
3. 3查找相关信息
4. 4评估适用的例外
5. 5提供访问
6. 6记录答复

隐私政策应说明个人如何请求访问其信息。

个人信息的更正

根据 APP 13，个人可以请求更正不准确、过时、不完整、不相关或具有误导性的个人信息。

组织应保持以下方面的程序：

• 接收更正请求
• 核实信息
• 更新记录
• 必要时通知相关第三方
• 记录更正情况

匿名和使用假名

APP 2 使个人在可行的情况下能够以匿名或使用假名的方式与组织往来，但须符合例外规定。

因此，组织在要求提供身份信息之前，应考虑在特定互动中是否确实需要识别身份。

数据保留和销毁

组织不应在个人信息不再需要时无限期保留该信息。

APP 11 包含有关销毁或去标识化不再需要的个人信息的义务，但须符合适用的例外和保留要求。

组织应保持：

• 保留计划
• 删除程序
• 安全销毁控制措施
• 去标识化程序
• 法定保留例外
• 处置活动记录

隐私影响评估

OAIC 建议组织在推出涉及个人信息的项目或改变相关做法时，考虑开展隐私影响评估（PIA）。

PIA 有助于在系统、产品、技术或业务流程部署之前识别隐私风险。

相关项目可包括：

• 新的客户数据库
• AI 系统
• 广告技术
• 大规模分析
• 新的云平台
• 生物特征识别系统
• 数据共享计划
• 国际数据转移

OAIC 指引明确将 PIA 列为组织在其 APP 1 合规体系中应考虑的一项做法。

自动化决策

澳大利亚《隐私法》改革针对某些自动化决策引入了新的透明度要求。

自2026年12月10日起，如果 APP 实体安排计算机程序使用个人信息作出、或实质性地参与作出可合理预期会对个人权利或利益产生重大影响的决策，该实体将承担额外的隐私政策义务。

隐私政策需要就以下事项提供规定的信息：

• 计算机程序所使用的个人信息的种类
• 完全通过计算机程序作出的决策的种类
• 计算机程序实质性且直接参与作出的决策的种类

因此，使用 AI 或自动化决策系统的组织应在2026年12月开始实施日期之前审查其隐私政策。

严重侵犯隐私的法定侵权

针对严重侵犯隐私行为的法定侵权于2025年6月10日开始实施。

这一新的诉因可为个人就某些严重侵犯隐私的行为寻求救济提供一条单独的途径，包括：

• 侵扰个人的私人生活安宁
• 滥用与个人有关的信息

该侵权有其独立于一般 APP 合规的要件、抗辩、豁免和公共利益考量。法院可以给予的救济包括损害赔偿、禁令或责令道歉的命令。

这意味着组织在考虑隐私风险时，不应仅限于检查其做法是否符合 APPs。

员工记录及其他豁免

《隐私法》包含若干豁免和特殊制度。

组织应评估特定活动是否属于与以下领域相关的豁免范围：

• 员工记录
• 某些政治活动
• 新闻报道
• 小型企业
• 注册政党
• 某些其他法定活动

豁免的范围可能很窄且取决于具体事实，因此组织不应仅因某一项处理活动属于豁免范围，就假定整个业务都获得豁免。