Transparencia y anonimato
APP 1 y 2: tener una política de privacidad clara y actualizada y, cuando sea posible, dejar que la persona interactúe sin identificarse.
Guía · Normativa australiana
Privacy Act de Australia para quienes viven de los anuncios
Australia regula la privacidad con una ley de 1988 y 13 principios que valen para empresas y organismos públicos. La reforma de 2024 creó el derecho a demandar por una invasión grave de la privacidad, nuevas multas y un código para niños. Mira qué cambia esto para un sitio con visitantes australianos.
- ✓Basado en la legislación federal y en las publicaciones del OAIC
- ✓Ejemplos de sitios con anuncios, incluidos sitios brasileños
- ✓Lectura sin modificar el sitio
13Principios Australianos de Privacidad que deben seguir las entidades cubiertas
A$ 50 millonestope de multa por interferencia grave, o más cuando 3 veces el beneficio o el 30% de la facturación ajustada sea mayor
A$ 3 millonesde facturación anual: por debajo de eso, la mayoría de las pequeñas empresas queda fuera de la ley
10 dic 2026plazo para el registro del código de privacidad en línea para niños
Qué es
Una ley antigua con reglas nuevas
La Privacy Act 1988 es la ley federal de privacidad de Australia. Su centro son los 13 Principios Australianos de Privacidad, llamados APP, que dicen cómo recopilar, usar, guardar, compartir y corregir información personal. Quien fiscaliza es el OAIC, la oficina del Comisionado de Información australiano.
La ley rige para los organismos del gobierno federal y para las organizaciones con una facturación anual superior a 3 millones de dólares australianos. Algunas empresas más pequeñas entran de todos modos, como los prestadores de servicios de salud y quienes transfieren datos personales a terceros a cambio de algún beneficio sin consentimiento. Juntas, estas organizaciones se llaman entidades APP.
Las empresas extranjeras también pueden quedar alcanzadas cuando tienen un vínculo con Australia, por ejemplo por hacer negocios en el país. Si eso incluye a un sitio de fuera que solo recibe visitantes australianos depende del caso concreto, así que conviene seguir las buenas prácticas de todos modos.
La información personal es cualquier información u opinión sobre una persona identificada o razonablemente identificable. La información sensible incluye salud, origen racial, opinión política, religión, orientación sexual, antecedentes penales y datos genéticos y biométricos, y por regla general solo puede recopilarse con consentimiento.
Lista de verificación
Lo que debes cumplir
Lo que piden la Privacy Act, los APPs y la Spam Act a un sitio con anuncios cubierto por la ley australiana.
Política de privacidad clara y actualizada
La política tiene que ser clara, estar actualizada, ser gratuita y decir si los datos van a otros países. Google también exige que diga que terceros, como Google, usan cookies para mostrar anuncios.
Aviso en el momento de la recopilación
Al recopilar datos, por ejemplo en un registro o en un boletín, di para qué sirven y los demás puntos del APP 5.
EjemploUsamos tu correo solo para enviar el boletín semanal. Mira en la política de privacidad cómo acceder a tus datos o corregirlos.
Deja que sea anónimo
Por regla general, la persona puede no identificarse o usar un seudónimo, salvo cuando la ley lo exige o no es viable.
Consentimiento para información sensible
Recopilar información sensible, como salud o religión, exige consentimiento por regla general. Usar información sensible en marketing directo también exige consentimiento.
Salida sencilla del marketing directo
Quien usa datos personales en marketing directo tiene que ofrecer una forma sencilla de pedir que no se le envíe más.
Correos y SMS dentro de la Spam Act
Los mensajes comerciales exigen consentimiento, identificación correcta del remitente y opción de cancelar en todos ellos. La solicitud de cancelación debe atenderse en un máximo de cinco días hábiles.
EjemploEnviado por Empresa Ejemplo. ¿No quieres seguir recibiendo? Cancelar suscripción.
Cuidado con el envío al exterior
Antes de enviar datos fuera de Australia, toma medidas razonables para que quien los recibe no viole los principios.
Avisa de las filtraciones graves
Cuando una filtración puede causar un daño grave, avisa a las personas afectadas y a la OAIC, que tiene un formulario en línea para eso.
En la práctica
Lo correcto y lo incorrecto
✕IncorrectoLa política es antigua y no dice que los datos salen del país. ✓CorrectoLa política menciona las cookies, los socios de anuncios y el envío de datos al exterior, con enlace en todas las páginas. ✕IncorrectoNo existe ningún camino para salir del marketing. ✓CorrectoUn enlace fijo lleva a las preferencias de anuncios y de marketing. ✕IncorrectoEl sitio recopila datos de salud sin pedir consentimiento. ✓CorrectoEl sitio pide consentimiento antes de recopilar datos de salud en un formulario.
Herramientas oficiales
CMPs certificadas y enlaces oficiales
Google no exige una CMP certificada ni tiene un mensaje propio para Australia, así que los enlaces de abajo son de la OAIC, de la ACMA y de Google.
- Los Principios Australianos de Privacidad (OAIC)Texto de los 13 APPs, con política, aviso, marketing y envío al exterior.www.oaic.gov.au/privacy/australian-privacy-principles/read-the-australian-privacy-principles
- Esquema de notificación de filtraciones (OAIC)Explica cuándo avisar a la OAIC y a las personas afectadas.www.oaic.gov.au/privacy/notifiable-data-breaches/about-the-notifiable-data-breaches-scheme
- Cómo evitar enviar spam (ACMA)Resume las reglas de consentimiento, identificación y cancelación de la Spam Act.www.acma.gov.au/avoid-sending-spam
- Tipos de mensaje de Privacidad y mensajes (Google)Muestra que la herramienta de Google tiene mensajes para Europa y para estados de EE. UU., pero no para Australia.support.google.com/adsense/answer/10923959
- Contenido obligatorio en la política de privacidad (Google AdSense)Lista lo que tu política tiene que decir sobre las cookies de Google y de los socios de anuncios.support.google.com/adsense/answer/1348695
Los 13 principios
Los APP en seis bloques
Los principios siguen el camino del dato, desde el momento en que se recopila hasta la solicitud de corrección.
Recopilación y aviso
APP 3 a 5: recopilar solo lo necesario, por medios justos, y avisar a la persona quién recopila, para qué y con quién comparte.
Uso y marketing directo
APP 6 y 7: usar los datos para la finalidad original y ofrecer, en el marketing directo, una forma simple de darse de baja.
Envío al exterior
APP 8: antes de enviar datos fuera del país, tomar medidas razonables para que el destinatario respete los principios.
Identificadores, calidad y seguridad
APP 9 a 11: no adoptar como propios los números de identificación del gobierno, mantener los datos correctos y protegerlos, y borrar lo que ya no se necesite.
Acceso y corrección
APP 12 y 13: dar acceso a los datos que la organización tiene sobre la persona y corregir lo que esté mal.
Consentimiento, cookies y marketing
Dónde se exige el consentimiento
Australia no tiene una regla general que obligue a tener un banner de cookies, como la europea. La ley trabaja con aviso y transparencia: la persona debe saber que se están recopilando los datos y para qué. Las cookies y los identificadores que permiten reconocer a alguien entran en estas reglas cuando la persona es razonablemente identificable.
El consentimiento se exige en situaciones específicas, como la recopilación de información sensible y el uso de los datos para una finalidad distinta de la original. Para el OAIC, el consentimiento debe ser informado, voluntario, actual y específico, y la persona debe tener capacidad para darlo.
En el marketing directo, el APP 7 permite usar datos personales cuando la persona esperaría ese uso, siempre que exista una forma simple de darse de baja y que se respete la solicitud de baja. Los correos y SMS comerciales también siguen la Spam Act 2003, que exige consentimiento, identificación del remitente y opción de cancelación en cada mensaje.
Con los niños, la regla se va a endurecer. El borrador del código de privacidad en línea para niños, publicado en marzo de 2026, prevé consentimiento antes de usar datos de niños para publicidad dirigida en servicios a los que probablemente accedan.
Reforma de 2024 y multas
Lo que trajo la ley de 2024
La Privacy and Other Legislation Amendment Act 2024 recibió la sanción el 10 de diciembre de 2024. Parte de las reglas rigió al día siguiente y parte tiene plazos propios.
Demanda por invasión grave
Desde el 10 de junio de 2025, una persona puede demandar a quien invadió gravemente su privacidad, por intrusión o uso indebido de información. Vale también para quien no es una entidad APP.
Código para niños
El OAIC debe registrar hasta el 10 de diciembre de 2026 un código para redes sociales y servicios en línea a los que probablemente accedan niños.
Decisiones automatizadas
A partir del 10 de diciembre de 2026, la política de privacidad debe explicar cuándo se toman decisiones que afectan a la persona con el uso de sistemas automatizados.
Multas escalonadas
Además del tope para interferencias graves, hay franjas menores y avisos de infracción para fallas como no tener una política de privacidad clara y actualizada.
Tope para casos graves
Desde diciembre de 2022, el máximo es el mayor valor entre 50 millones de dólares australianos, 3 veces el beneficio obtenido y el 30% de la facturación ajustada en el período.
Primera multa en la justicia
En octubre de 2025, Australian Clinical Labs fue condenada a pagar 5,8 millones de dólares australianos por fallas de seguridad y de notificación de una filtración.
Derechos de las personas
Lo que puede pedir el visitante australiano
La ley australiana habla de principios, pero en la práctica se convierten en derechos que el sitio debe atender.
Acceder
Pedir los datos que la organización guarda sobre ella. La solicitud solo puede negarse en los casos previstos en la ley.
Corregir
Pedir la corrección de datos erróneos, desactualizados, incompletos o engañosos.
Permanecer anónimo
Interactuar sin identificarse o con un seudónimo, cuando sea viable, como en una simple lectura de artículos.
Salir del marketing
Pedir no recibir marketing directo y preguntar de dónde sacó la organización sus datos.
Reclamar ante el OAIC
Si la organización no resuelve la reclamación, llevar el caso al OAIC, que puede investigar y determinar medidas.
Demandar
Acudir a la justicia por una invasión grave de la privacidad, con base en el derecho creado por la reforma de 2024.
Obligaciones
Lo que debe hacer un sitio cubierto por la ley
- Mantener una política de privacidad claraExplica qué tipos de datos recopila, cómo los recopila, para qué, cómo accede la persona a los datos y los corrige, cómo reclama y si los datos van a otros países. A partir de diciembre de 2026, incluye las decisiones automatizadas.
- Avisar en el momento de la recopilaciónEn los formularios de boletín, registro o comentarios, indica quién recopila, por qué y con quién se compartirán los datos.
- Dar una salida del marketingTodo correo o SMS comercial necesita una forma simple de cancelar, y la solicitud debe respetarse.
- Proteger y descartarAdopta medidas razonables de seguridad y borra o anonimiza lo que ya no se necesite.
- Responder a las filtracionesEvalúa una posible filtración con rapidez, en un máximo de 30 días, y, si puede causar un daño grave, avisa al OAIC y a las personas afectadas lo antes posible.
- Cuidar el envío al exteriorAntes de enviar datos a proveedores fuera de Australia, toma medidas razonables para que sigan los principios. La organización sigue siendo responsable de lo que haga el proveedor.
Cronología
Las fechas que importan
De la ley original a las obligaciones que empiezan a fines de 2026.
- 1988
Nace la Privacy Act
Se aprueba la ley federal de privacidad, inicialmente dirigida al sector público.
- 12 de marzo de 2014
Entran los 13 APP
Los Principios Australianos de Privacidad pasan a regir para el gobierno y las empresas cubiertas.
- 22 de febrero de 2018
Notificación de filtraciones
Comienza el régimen que obliga a avisar al OAIC y a las personas sobre filtraciones con riesgo de daño grave.
- Diciembre de 2022
Multas mayores
El tope para interferencias graves sube al mayor valor entre 50 millones, 3 veces el beneficio y el 30% de la facturación ajustada.
- 10 de diciembre de 2024
Reforma sancionada
Se sanciona la Privacy and Other Legislation Amendment Act 2024. Las nuevas multas y poderes del OAIC rigen al día siguiente.
- 10 de junio de 2025
Demanda por invasión grave
Pasa a regir el derecho a demandar por una invasión grave de la privacidad.
- 31 de marzo de 2026
Borrador del código infantil
El OAIC publica el borrador del código de privacidad en línea para niños y abre una consulta pública hasta el 5 de junio.
- 10 de diciembre de 2026
Código y decisiones automatizadas
Plazo para registrar el código infantil e inicio de la obligación de explicar las decisiones automatizadas en la política.
Para quienes tienen AdSense o Ad Manager
Qué cambia en la práctica para los ingresos
Google no exige una CMP certificada ni el IAB TCF para Australia. Esa exigencia rige para el Espacio Económico Europeo, el Reino Unido y Suiza. El tráfico australiano sigue recibiendo anuncios personalizados sin el mensaje del TCF.
El trabajo, entonces, está en la transparencia. La política de privacidad debe decir que el sitio usa cookies y socios de anuncios, que los datos pueden ir fuera del país y cómo ejerce la persona sus derechos. Un enlace visible a las preferencias de anuncios ayuda al visitante a entender y a elegir.
Piensa en un sitio brasileño de finanzas en portugués que recibe brasileños que viven en Sídney y Melbourne. Si la empresa factura menos de 3 millones de dólares australianos, puede estar fuera de la ley, pero la excepción de pequeña empresa no vale para quien transfiere datos personales a terceros a cambio de un beneficio sin consentimiento. Quien comparte identificadores con socios de anuncios debe evaluar este punto con cuidado.
Para el contenido infantil, prepárate para el código de 2026. Google ofrece el tratamiento por edad en las etiquetas de anuncios, que desactiva la personalización para las solicitudes marcadas como de niños.
En la práctica
Qué se puede y qué no se puede en Australia
Ejemplos del día a día de sitios de contenido, empleo y finanzas con público australiano.
Sí se puede
- Mostrar anuncios personalizados de Google sin el mensaje del TCF a visitantes de Australia
- Enviar un boletín a quien se registró, con enlace de cancelación en cada envío
- Usar cookies de medición, siempre que la política de privacidad lo explique con claridad
- Dejar que el visitante lea los artículos sin registrarse, respetando el derecho al anonimato
- Usar el mismo banner de otras regiones, si también cumple las reglas australianas
No se puede
- Enviar correos comerciales sin consentimiento y sin opción de cancelar
- Recopilar datos de salud en un quiz sin pedir consentimiento
- Ignorar las solicitudes de baja del marketing
- Usar una política de privacidad genérica que no menciona socios ni envío al exterior
- Personalizar anuncios en contenido para niños sin usar el tratamiento por edad
Errores comunes
Dónde fallan más los sitios
Fallas frecuentes en sitios con tráfico de Australia.
Confiar en la excepción de pequeña empresa sin comprobarlo
Una facturación baja no basta si el sitio transfiere datos personales a terceros a cambio de un beneficio sin consentimiento.
Política desactualizada
La política debe ser clara y actual. Fallar en eso es una de las infracciones que pueden generar un aviso de infracción después de la reforma.
Olvidar la Spam Act
Los boletines y SMS comerciales sin consentimiento o sin cancelación infringen la ley contra el spam, además de los principios de privacidad.
Quizzes y formularios que piden datos sensibles
Las preguntas sobre salud, religión u orientación sexual exigen consentimiento y un cuidado redoblado.
Ignorar el envío al exterior
Los datos van a servidores de socios fuera de Australia. La política debe decirlo y el sitio sigue siendo responsable.
Dejar el código infantil para después
Los sitios con público infantil deben revisar la publicidad dirigida y el consentimiento antes del registro del código, previsto para diciembre de 2026.
En ConsentMode
Qué revisa la auditoría para Australia
- Abre el sitio como visitante de Australia y registra si hay banner, qué ofrece y qué cookies y píxeles se activan antes de la elección.
- Identifica la CMP por el código de la página, cuando existe, y lee las señales de Consent Mode enviadas a Google.
- Comprueba si la política de privacidad incluye tipos de datos, finalidades, socios de anuncios, envío al exterior, acceso, corrección y reclamación.
- Verifica si las etiquetas de anuncios usan el tratamiento por edad en páginas con público infantil.
- Entrega capturas y un plan de corrección por prioridad.
Preguntas frecuentes
¿Necesito un banner de cookies para Australia?
La ley australiana no exige un banner como el europeo. Exige transparencia y, en algunos casos, consentimiento. Google tampoco exige una CMP certificada para ese público. Un aviso claro y una política completa son lo mínimo.
Mi sitio factura poco. ¿Me afecta la ley?
La mayoría de las empresas con una facturación de hasta 3 millones de dólares australianos queda fuera, pero hay excepciones, como quien transfiere datos personales a terceros a cambio de un beneficio sin consentimiento. Evalúa tu caso.
¿Qué es la demanda por invasión grave de la privacidad?
Es un derecho creado por la reforma de 2024 y vigente desde el 10 de junio de 2025. La persona puede demandar a quien invadió gravemente su privacidad, y la justicia puede ordenar el pago de una indemnización, que cese la conducta o que se pidan disculpas.
¿El código para niños ya rige?
Todavía no. El borrador se publicó en marzo de 2026 y el OAIC debe registrar el código antes del 10 de diciembre de 2026. Debe regir para redes sociales y servicios en línea a los que probablemente accedan niños.
¿Quién fiscaliza?
El OAIC, la oficina del Comisionado de Información australiano. Recibe reclamaciones, investiga, emite notificaciones y puede llevar los casos graves a la justicia para pedir una multa.
¿Hay que comunicar una filtración de datos?
Sí, cuando pueda causar un daño grave. La organización evalúa el caso en un máximo de 30 días y, confirmado el riesgo, avisa al OAIC y a las personas afectadas lo antes posible.
Biblioteca
Fuentes oficiales
Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:
- OAIC: la Privacy Actwww.oaic.gov.au/privacy/privacy-legislation/the-privacy-act
- OAIC: demanda por invasión grave de la privacidadwww.oaic.gov.au/privacy/your-privacy-rights/more-privacy-rights/statutory-tort-for-serious-invasions-of-privacy
- OAIC: borrador del código de privacidad en línea para niñoswww.oaic.gov.au/news/media-centre/oaic-releases-exposure-draft-of-the-childrens-online-privacy-code
- OAIC: Australian Clinical Labs condenada a la primera multa de la Privacy Actwww.oaic.gov.au/news/media-centre/australian-clinical-labs-ordered-to-pay-penalties-in-relation-to-medlab-pathology-data-breach-in-first-for-privacy-act
- legislation.gov.au: Privacy and Other Legislation Amendment Act 2024www.legislation.gov.au/C2024A00128/latest/details
- OAIC: lee los Principios Australianos de Privacidadwww.oaic.gov.au/privacy/australian-privacy-principles/read-the-australian-privacy-principles
Mira cómo aparece tu sitio para un visitante australiano
La auditoría abre el sitio desde Australia y muestra qué corregir en el banner, las etiquetas y la política, sin cambiar nada.