1. 前言

澳大利亚政府宣布修订1988年《隐私法》以增加罚款。严重侵犯或反复侵犯隐私（即违反隐私法）的最高罚款将增加到1000万澳元（约合630万欧元）的上限，处以违法所得的三倍，或澳大利亚年收入的10%，较高者为准。
澳大利亚政府总检察长部目前正在对《隐私法》进行全面审查，包括同意要求、例外和行动权。审查可能会导致《隐私法》的重大变化。

1.1. 关键法案、法规、指令

澳大利亚个人数据保护的主要立法是《隐私法》及其《澳大利亚隐私原则》（“APPs”）。
联邦政府的法律：

1988 年隐私保护法（Privacy Act 1988）
2001 年隐私保护法（Privacy Act 2001）
2003 年反垃圾邮件法（Spam Act 2003）

维多利亚州政府的法律:

2014 年隐私和数据保护法（Privacy and Data Protection Act 2014）
2018 年儿童信息共享计划规程（Child Information Sharing Scheme Regulations 2018）
2017 年数据共享法（Data Sharing Act 2017）。

1.2. 指南

由OAIC发布主要的准则和指南，可在OAIC网站上查阅，包括：

数据泄露准备和响应;
去标识化决策框架;
制定APP隐私政策指南;
个人信息保护指南;
隐私影响评估指南.

1.3. 判例法

最近获得的值得注意的隐私专员的决定和承诺包括：

专员发起对优步技术公司和优步公司（隐私）的调查 [2021] AICmr 34;
“QP”和澳大利亚联邦银行有限公司（隐私）[2019] Al Cmr 48;
澳大利亚联邦银行可执行承诺;
卫生署可执行承诺.

2. 适用范围

2.1. 个人范围

除所有联邦政府机构外，《隐私法》/APPs适用于所有私营部门组织（统称为“APP实体”），但以下情况除外：

任何时候年营业额低于300万澳元（约合190万欧元）的组织（包括其所有相关法人团体）（除非他们使用或披露个人信息以谋取利益或收集和使用健康信息）;
州或领地当局或部门，尽管须公布数据泄露条款适用于所有涉及者。

2.2. 地域范围

《隐私法》/APP适用于在澳大利亚开展业务的所有组织，包括从澳大利亚居民那里收集个人信息，或通过向澳大利亚居民推广离岸实体/网站。
请注意，即使离岸实体（例如位于澳大利亚境外的云托管提供商）不与澳大利亚的个人直接接触，不参与促进这些个人之间的交易，也不直接收集这些个人的个人信息，该实体仍然可能在澳大利亚开展业务，因为它是APP实体的服务供应商。

2.3. 数据范围

APP实体对个人信息的所有处理（即收集、使用和披露）均受《隐私法》/APP的约束。但是，《隐私法/应用程序》不涵盖对去识别化或匿名数据的处理。
不受《隐私法》/APP 约束的情况包括非商业身份的个人、雇主曾经持有的员工记录（请参阅第 13 节）、小型企业（例如低于 300 万澳元（约 190 万欧元），以及媒体组织。

3. 数据保护监管机构

3.1. 数据保护的主要监管机构

信息专员办公室（OAIC）负责调查违反《隐私法》隐私原则和信用报告规定的行为。隐私专员是《隐私法》/APPs的相关监管机构。隐私专员设在澳大利亚信息专员（目前与隐私专员是同一人）内，两者都在OAIC中。

3.2. 主要权力、职责和责任

隐私专员负责接收和解决投诉，进行主动调查，并发布有关《隐私法/APPs》的解释和执行的指导。私隐专员亦可就严重侵犯私隐或多次侵犯私隐行为进行罚款。

4. 关键定义

数据控制者：与欧洲法律不同，澳大利亚隐私法中没有数据“控制者”的概念。
数据处理者：与欧洲法律不同，澳大利亚隐私法中没有数据“处理者”的概念。
个人数据：已识别个人或可合理识别的个人的信息。
敏感数据： “敏感信息”是个人信息的子集，包括有关个人种族或民族血统、政治观点、政治协会成员资格、宗教信仰或从属关系、哲学信仰、专业或贸易协会成员资格、工会成员资格、性取向或做法的信息或意见，犯罪记录和健康信息、遗传信息和/或用于自动生物特征验证或生物特征识别的生物特征信息。
健康数据：“健康信息”是“敏感信息”的一部分，其定义包括有关健康的信息或意见，包括个人的疾病、残疾或伤害，向个人提供或将要提供的健康服务，遗传信息，以及个人对未来提供健康服务的表达愿望。
假名化：根据第2条APP规则，在可行的情况下，APP实体有义务为个人提供使用假名方式行权的选择。“假名”和“假名化”在《隐私法》中没有具体定义，在实践中，与GDPR中的定义几乎没有区别。

5. 法律依据

5.1. 同意

根据APP 3.3，收集个人的敏感信息需要“同意”。即使征得同意，也只有在实体的一项或多项业务合理必要的情况下，才能收集敏感信息。

5.2. 法律义务

“法律义务”是收集相关敏感信息必须征得同意的例外情况。但是，这并不能避免APP 5下的义务，即在收集该信息时或之前通知个人（APP 5.2）。

5.3. 数据主体的利益

类似于上述“法律义务”，实体可以免除征得个人同意收集敏感信息，如果此类信息对帮助找到据报失踪的人或减轻或防止对生命、健康、或任何个人的安全是合理必要的。

5.4. 数据控制者的合法利益

该实体可以在未经同意的情况下收集有关可疑非法活动或严重不当行为的敏感信息，以行使和捍卫合法利益。

6. 原则

根据《隐私法》/APPs，所有APP实体的主要义务包括：

实体必须以公开透明的方式管理个人信息。
个人可选择使用匿名或假名行使权利。
实体须按照标准收集个人信息和敏感信息。
实体须以特定方式处理未经请求的个人信息。
收集个人信息前展示隐私政策。
实体只能出于收集信息的目的而使用或披露个人信息。
除非例外情况，否则组织不得出于直接营销的目的使用或披露个人信息。
实体在向境外接收方披露个人信息前，应当采取合理措施，确保境外接收方不违反澳大利亚隐私原则。
除非例外情况，否则组织不得使用或披露与政府相关的标识符。
实体必须采取合理措施，确保其收集的个人信息准确、最新、完整。
组织应采取合理步骤，确保其收集的个人信息不受滥用、未经授权的访问和披露。
持有个人信息的实体必须根据要求允许个人访问该信息
个人拥有更正个人信息的权利。
关于信息安全义务，需要注意，它不是一刀切的义务。实体规模越大，收集的个人信息越多，信息越敏感，数据持有越集中等，安全义务就越大。最好参照隐私专员关于保护个人信息的指南。