australia-privacy-act

澳大利亚《隐私法》合规（2024 年修正案）

概述

澳大利亚《1988 年隐私法》（联邦）是主要的联邦数据保护立法，由澳大利亚信息专员办公室（OAIC）负责管理和执法。《隐私法》适用于澳大利亚政府机构、年营业额超过 300 万澳元的私营部门组织，以及无论营业额多少均适用的某些其他组织（医疗服务提供者、从事个人信息交易的组织、信用报告机构）。

澳大利亚政府 2024 年《隐私法》改革修正案（以总检察长部 2023 年 2 月发布的《隐私法审查报告》为基础）引入了重大改革，包括针对严重侵犯隐私行为的法定诉权、加强个人权利、自动化决策透明度义务、儿童隐私准则以及强化执法权力。

澳大利亚隐私原则（APP）

13 项 APP

APP	主题	主要要求
APP 1	开放、透明地管理信息	制定清晰的隐私政策；采取合理措施落实确保合规的做法
APP 2	匿名与化名	在可行的情况下，为个人提供匿名或使用化名进行交涉的选项
APP 3	收集主动提供的个人信息	仅收集履行职能／开展活动所合理必需的信息；仅在获得同意后收集敏感信息
APP 4	处理非主动提供的个人信息	如果根据 APP 3 无法收集该非主动提供的信息，则销毁或去标识化处理
APP 5	收集通知	告知个人：身份、目的、向第三方披露的情况、向海外披露的情况、访问／更正权利以及投诉机制
APP 6	使用或披露	仅为收集信息的目的，或在合理预期范围内与该目的直接相关的次要目的使用或披露信息
APP 7	直接营销	如果个人可合理预期其信息会用于直接营销，且提供退出选项，则可将信息用于直接营销；使用敏感信息须征得同意
APP 8	跨境披露	向海外披露前，采取合理措施确保海外接收方遵守 APP
APP 9	采用、使用或披露政府标识符	不得将政府标识符用作自身标识符；仅可在有限情况下使用和披露
APP 10	个人信息质量	采取合理措施确保信息准确、最新、完整且相关
APP 11	个人信息安全	采取合理措施保护信息免遭滥用、干扰、丢失和未经授权的访问；不再需要时销毁或去标识化处理
APP 12	访问个人信息	个人提出请求时，向其提供访问其个人信息的途径
APP 13	更正个人信息	如果信息不准确、过时、不完整、不相关或具有误导性，采取合理措施予以更正

2024 年改革修正案

自动化决策透明度

要素	详情
范围	使用个人信息作出实质上自动化的决策，且该决策会对个人权利或利益产生重大影响的组织
透明度义务	必须提供有关自动化决策流程的有意义的信息，包括：已作出自动化决策这一事实、所使用的个人信息类型，以及决策的作出方式
人工复核权	个人可请求对对其产生重大影响的自动化决策进行人工复核
影响评估	组织必须在部署前评估自动化决策系统对隐私的影响
记录保存	保存自动化决策系统的记录，包括涉及的逻辑和数据输入

儿童隐私准则

要素	详情
适用范围	社交媒体服务、在线平台以及其他儿童可能会使用的服务
儿童定义	18 岁以下（与《2021 年在线安全法》中的定义一致）
儿童最佳利益原则	在所有涉及儿童个人信息的行动中，必须将儿童的最佳利益作为首要考虑因素
年龄保证	组织必须实施适当的年龄保证机制
限制	禁止将儿童个人信息用于定向广告；限制画像分析；提出针对儿童的数据最小化要求
准则制定	OAIC 负责制定并登记准则；须征询行业意见

强化个人权利

权利	2024 年状态	详情
访问权	已强化（APP 12）	明确适用范围；减少拒绝理由
更正权	已强化（APP 13）	强化收到请求后更正信息的义务
删除权	新增	当个人信息对于收集目的已不再必要、撤回同意或信息系非法收集时，有权请求删除个人信息
去标识化权	新增	无法实际删除时，可将去标识化作为替代方案
反对直接营销的权利	已强化	明确退订义务；必须在 5 个工作日内处理退订请求
请求解释的权利	新增	有权请求解释个人信息如何用于自动化决策

严重侵犯隐私的法定侵权诉讼

要素	详情
诉因	个人可就严重侵犯隐私提起诉讼
门槛	侵犯行为必须达到严重程度；法院会考虑隐私的性质以及侵犯隐私的手段
救济措施	损害赔偿（包括精神损害赔偿）、禁令、利润核算、道歉令
诉讼时效	自个人知悉（或理应知悉）侵权行为之日起 1 年
抗辩理由	该侵犯行为符合公共利益

强化执法

改进措施	详情
提高民事处罚金额	最高民事处罚金额提高至以下金额中的较高者：50 million AUD、所获利益价值的三倍，或相关期间调整后营业额的 30%
侵权通知	OAIC 可针对特定违规行为发出侵权通知
可执行承诺	强化可执行承诺制度
公共利益裁定	扩大 OAIC 作出公共利益裁定的权力

跨境披露（APP 8）

要求

在向境外接收方披露个人信息之前，组织必须：

1. 采取合理措施，确保境外接收方不会违反 APPs（APP 8.1）
2. 组织仍须对境外接收方处理该信息的行为承担责任
3. 例外情况：个人在获知 APPs 可能不适用后给予同意；澳大利亚法律要求；为执行刑法；为减轻严重威胁所必需

2024 年强化措施

改革通过以下方式强化 APP 8：

• 要求组织保留境外披露记录
• 引入隐私保护水平实质相近的国家规定名单（由 Attorney-General 制定）
• 允许向规定名单中的国家传输信息，而无需满足 APP 8.1 的合理措施要求

Zenith Global Enterprises 跨境登记表

转移流程	目的地	APP 8 合规要求	机制
客户数据 → 欧盟总部	德国	采取合理措施（合同保障）	数据处理协议，其中包含与 APP 等效的义务
员工数据 → 区域人力资源部门	新加坡	采取合理措施（合同保障）	集团内部数据共享协议
物流数据 → 亚太地区	日本	采取合理措施（合同保障）	含隐私附表的服务协议

应报告的数据泄露事件（Part IIIC）

符合条件的数据泄露事件标准

符合条件（应报告）的泄露事件需满足以下条件：

1. 未经授权访问、披露或丢失个人信息
2. 合理的人会认定，该泄露事件可能对任何个人造成严重伤害

通知要求

要素	要求
通知 OAIC	尽快通知（不得晚于实体知悉后的 30 天）
通知个人	编制声明后尽快通知
声明内容	泄露事件说明、涉及的信息、建议个人采取的措施
评估期限	自有合理理由怀疑发生泄露事件之日起 30 天

执法行动

OAIC 诉澳大利亚信息专员诉 Clearview AI（2021）

• 裁定 Clearview AI 通过从互联网上抓取澳大利亚人的生物识别数据，违反了 APP 2、3、5 和 10
• 命令其停止收集并销毁现有数据
• 重要意义：确立了 OAIC 对处理澳大利亚个人信息的海外实体的管辖权

澳大利亚信息专员诉 Facebook（Meta）（2022-持续进行）

• 针对 Cambridge Analytica 数据共享影响澳大利亚用户一事提起的民事罚款诉讼
• 联邦法院审理其违反 APP 6 和 APP 11 的诉讼
• 重要意义：检验强化后的民事罚款制度

合规计划

组成部分	详情
隐私专员（澳大利亚）	Sarah Mitchell，隐私与合规负责人 — 悉尼办公室
APP 1 隐私政策	发布于 zenithglobal.com.au/privacy
APP 3 信息收集	尽量减少收集；收集敏感信息须征得同意
APP 7 直接营销	提供选择退出机制；在 5 个工作日内处理退订
APP 8 跨境传输	与所有海外接收方签订合同保障条款
APP 11 安全	获得 ISO 27001 认证；每年进行渗透测试
APP 12-13 访问/更正	隐私门户，目标响应时间为 30 天
Part IIIC 泄露事件通知	30 天评估 + 通知工作流
自动化决策	已针对信用评分进行影响评估；可提供人工审核
儿童准则准备情况	跟踪 OAIC 准则制定进展；不直接提供面向儿童的服务