Ouvrir l'espace

Guide · Réglementation australienne

Le Privacy Act d'Australie pour ceux qui vivent des annonces

L'Australie encadre la vie privée avec une loi de 1988 et 13 principes qui s'appliquent aux entreprises et aux organismes publics. La réforme de 2024 a créé le droit de poursuivre pour atteinte grave à la vie privée, de nouvelles amendes et un code pour les enfants. Voyez ce que cela change pour un site avec des visiteurs australiens.

Auditer la confidentialité de mon siteLire le guide
  • ✓Basé sur la législation fédérale et sur les publications de l'OAIC
  • ✓Exemples de sites avec publicités, y compris brésiliens
  • ✓Lecture sans modifier le site
13Australian Privacy Principles que les entités couvertes doivent suivre
50 M A$plafond d'amende pour atteinte grave, ou davantage lorsque 3 fois l'avantage obtenu ou 30 % du chiffre d'affaires ajusté est supérieur
3 M A$de chiffre d'affaires annuel : en dessous, la plupart des petites entreprises sont hors de la loi
10 déc. 2026date limite pour l'enregistrement du code de confidentialité en ligne pour les enfants

Définition

Une ancienne loi avec de nouvelles règles

Le Privacy Act 1988 est la loi fédérale australienne sur la vie privée. Son cœur est constitué des 13 Australian Privacy Principles, appelés APP, qui disent comment collecter, utiliser, conserver, partager et corriger les informations personnelles. L'application est assurée par l'OAIC, le bureau du commissaire australien à l'information.

La loi s'applique aux organismes du gouvernement fédéral et aux organisations dont le chiffre d'affaires annuel dépasse 3 millions de dollars australiens. Certaines petites entreprises sont couvertes quand même, comme les prestataires de services de santé et ceux qui transmettent des données personnelles à des tiers en échange d'un avantage sans consentement. Ensemble, ces organisations sont appelées entités APP.

Les entreprises étrangères peuvent aussi être concernées lorsqu'elles ont un lien avec l'Australie, par exemple en faisant des affaires dans le pays. Savoir si cela inclut un site étranger qui reçoit simplement des visiteurs australiens dépend du cas concret, il vaut donc mieux suivre les bonnes pratiques de toute façon.

Une information personnelle est toute information ou opinion sur une personne identifiée ou raisonnablement identifiable. Les informations sensibles comprennent la santé, l'origine raciale, l'opinion politique, la religion, l'orientation sexuelle, les antécédents judiciaires et les données génétiques et biométriques, et en règle générale elles ne peuvent être collectées qu'avec consentement.

Checklist

Ce que vous devez respecter

Ce que le Privacy Act, les APP et le Spam Act exigent d'un site avec des annonces couvert par la loi australienne.

  1. Politique de confidentialité claire et à jour

    La politique doit être claire, à jour, gratuite et indiquer si les données partent vers d'autres pays. Google exige aussi qu'elle précise que des tiers, comme Google, utilisent des cookies pour afficher des annonces.

  2. Avis au moment de la collecte

    Lors de la collecte de données, par exemple dans une inscription ou une newsletter, indiquez à quoi elles servent, ainsi que les autres points de l'APP 5.

    Exemple

    Nous utilisons votre e-mail uniquement pour envoyer la newsletter hebdomadaire. Consultez la politique de confidentialité pour accéder à vos données ou les corriger.

  3. Laisser rester anonyme

    En règle générale, la personne peut ne pas s'identifier ou utiliser un pseudonyme, sauf si la loi l'exige ou si ce n'est pas réalisable.

  4. Consentement pour les informations sensibles

    Collecter des informations sensibles, comme la santé ou la religion, exige en règle générale un consentement. Utiliser des informations sensibles pour du marketing direct exige aussi un consentement.

  5. Sortie simple du marketing direct

    Celui qui utilise des données personnelles pour du marketing direct doit offrir un moyen simple de demander à ne plus en recevoir.

  6. E-mails et SMS conformes au Spam Act

    Les messages commerciaux exigent un consentement, une identification correcte de l'expéditeur et une option de désinscription dans chacun d'eux. La demande de désinscription doit être traitée dans un délai de cinq jours ouvrables.

    Exemple

    Envoyé par Entreprise Exemple. Vous ne voulez plus en recevoir ? Se désinscrire.

  7. Attention à l'envoi à l'étranger

    Avant d'envoyer des données hors d'Australie, prenez des mesures raisonnables pour que le destinataire ne viole pas les principes.

  8. Signalez les fuites graves

    Quand une fuite peut causer un préjudice grave, prévenez les personnes concernées et l'OAIC, qui dispose d'un formulaire en ligne pour cela.

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige pas de CMP certifiée ni n'a de message propre pour l'Australie, donc les liens ci-dessous viennent de l'OAIC, de l'ACMA et de Google.

Les 13 principes

Les APP en six blocs

Les principes suivent le parcours de la donnée, du moment de la collecte jusqu'à la demande de correction.

Transparence et anonymat

APP 1 et 2 : avoir une politique de confidentialité claire et à jour et, quand c'est possible, laisser la personne interagir sans s'identifier.

Collecte et avis

APP 3 à 5 : ne collecter que le nécessaire, par des moyens équitables, et informer la personne de qui collecte, pourquoi et avec qui les données sont partagées.

Utilisation et marketing direct

APP 6 et 7 : utiliser les données pour la finalité d'origine et offrir, dans le marketing direct, un moyen simple de se désabonner.

Envoi à l'étranger

APP 8 : avant d'envoyer des données hors du pays, prendre des mesures raisonnables pour que le destinataire respecte les principes.

Identifiants, qualité et sécurité

APP 9 à 11 : ne pas adopter comme siens les numéros d'identification du gouvernement, garder les données exactes et les protéger, en supprimant ce qui n'est plus nécessaire.

Accès et correction

APP 12 et 13 : donner accès aux données que l'organisation détient sur la personne et corriger ce qui est erroné.

Consentement, cookies et marketing

Où le consentement est exigé

L'Australie n'a pas de règle générale imposant une bannière de cookies, comme l'européenne. La loi fonctionne avec l'avis et la transparence : la personne doit savoir que les données sont collectées et pourquoi. Les cookies et identifiants qui permettent de reconnaître quelqu'un entrent dans ces règles lorsque la personne est raisonnablement identifiable.

Le consentement est exigé dans des situations précises, comme la collecte d'informations sensibles et l'utilisation des données pour une finalité différente de l'originale. Pour l'OAIC, le consentement doit être éclairé, volontaire, actuel et spécifique, et la personne doit avoir la capacité de le donner.

Dans le marketing direct, l'APP 7 permet d'utiliser des données personnelles lorsque la personne s'attendrait à cet usage, à condition qu'il existe un moyen simple de se désabonner et que la demande soit respectée. Les e-mails et SMS commerciaux suivent aussi le Spam Act 2003, qui exige le consentement, l'identification de l'expéditeur et une option de désabonnement dans chaque message.

Pour les enfants, la règle va se durcir. Le projet de code de confidentialité en ligne pour les enfants, publié en mars 2026, prévoit un consentement avant d'utiliser les données d'enfants pour de la publicité ciblée sur des services qu'ils sont susceptibles d'utiliser.

Réforme de 2024 et amendes

Ce qu'a apporté la loi de 2024

La Privacy and Other Legislation Amendment Act 2024 a reçu la sanction le 10 décembre 2024. Une partie des règles est entrée en vigueur le lendemain et une partie a ses propres délais.

Action pour atteinte grave

Depuis le 10 juin 2025, une personne peut poursuivre celui qui a gravement porté atteinte à sa vie privée, par intrusion ou utilisation abusive d'informations. Cela vaut aussi pour ceux qui ne sont pas des entités APP.

Code pour les enfants

L'OAIC doit enregistrer d'ici le 10 décembre 2026 un code pour les réseaux sociaux et les services en ligne que les enfants sont susceptibles d'utiliser.

Décisions automatisées

À partir du 10 décembre 2026, la politique de confidentialité doit expliquer quand des décisions qui affectent la personne sont prises à l'aide de systèmes automatisés.

Amendes par paliers

Outre le plafond pour les atteintes graves, il existe des tranches plus basses et des avis d'infraction pour des manquements comme l'absence de politique de confidentialité claire et à jour.

Plafond pour les cas graves

Depuis décembre 2022, le maximum est le plus élevé entre 50 millions de dollars australiens, 3 fois l'avantage obtenu et 30 % du chiffre d'affaires ajusté sur la période.

Première amende en justice

En octobre 2025, Australian Clinical Labs a été condamnée à payer 5,8 millions de dollars australiens pour des défaillances de sécurité et de notification d'une fuite.

Droits des personnes

Ce que le visiteur australien peut demander

La loi australienne parle de principes, mais en pratique ils deviennent des droits que le site doit respecter.

Accéder

Demander les données que l'organisation conserve sur elle. La demande ne peut être refusée que dans les cas prévus par la loi.

Corriger

Demander la correction de données erronées, périmées, incomplètes ou trompeuses.

Rester anonyme

Interagir sans s'identifier ou avec un pseudonyme, lorsque c'est possible, comme pour une simple lecture d'articles.

Se désabonner du marketing

Demander à ne pas recevoir de marketing direct et demander d'où l'organisation a obtenu ses données.

Se plaindre à l'OAIC

Si l'organisation ne règle pas la plainte, porter l'affaire devant l'OAIC, qui peut enquêter et déterminer des mesures.

Poursuivre

Saisir la justice pour atteinte grave à la vie privée, sur la base du droit créé par la réforme de 2024.

Obligations

Ce que doit faire un site couvert par la loi

  1. Tenir une politique de confidentialité claireExpliquez quels types de données vous collectez, comment, pourquoi, comment la personne accède aux données et les corrige, comment elle se plaint et si les données vont dans d'autres pays. À partir de décembre 2026, incluez les décisions automatisées.
  2. Informer au moment de la collecteDans les formulaires de newsletter, d'inscription ou de commentaires, dites qui collecte, pourquoi et avec qui les données seront partagées.
  3. Offrir une sortie du marketingChaque e-mail ou SMS commercial doit avoir un moyen simple de se désabonner, et la demande doit être respectée.
  4. Protéger et supprimerAdoptez des mesures de sécurité raisonnables et supprimez ou anonymisez ce qui n'est plus nécessaire.
  5. Répondre aux fuitesÉvaluez rapidement une possible fuite, sous 30 jours, et si elle peut causer un préjudice grave, prévenez l'OAIC et les personnes concernées dès que possible.
  6. S'occuper de l'envoi à l'étrangerAvant d'envoyer des données à des fournisseurs hors d'Australie, prenez des mesures raisonnables pour qu'ils suivent les principes. L'organisation reste responsable de ce que fait le fournisseur.

Chronologie

Les dates qui comptent

De la loi d'origine aux obligations qui commencent fin 2026.

  1. 1988

    Naissance du Privacy Act

    La loi fédérale sur la vie privée est adoptée, d'abord tournée vers le secteur public.

  2. 12 mars 2014

    Entrée en vigueur des 13 APP

    Les Australian Privacy Principles s'appliquent au gouvernement et aux entreprises couvertes.

  3. 22 février 2018

    Notification des fuites

    Début du régime qui oblige à prévenir l'OAIC et les personnes en cas de fuite présentant un risque de préjudice grave.

  4. Décembre 2022

    Amendes plus élevées

    Le plafond pour les atteintes graves passe au plus élevé entre 50 millions, 3 fois l'avantage obtenu et 30 % du chiffre d'affaires ajusté.

  5. 10 décembre 2024

    Réforme promulguée

    La Privacy and Other Legislation Amendment Act 2024 est promulguée. Les nouvelles amendes et les nouveaux pouvoirs de l'OAIC s'appliquent le lendemain.

  6. 10 juin 2025

    Action pour atteinte grave

    Le droit de poursuivre pour atteinte grave à la vie privée entre en vigueur.

  7. 31 mars 2026

    Projet de code pour les enfants

    L'OAIC publie le projet de code de confidentialité en ligne pour les enfants et ouvre une consultation publique jusqu'au 5 juin.

  8. 10 décembre 2026

    Code et décisions automatisées

    Date limite pour enregistrer le code pour les enfants et début de l'obligation d'expliquer les décisions automatisées dans la politique.

Pour ceux qui ont AdSense ou Ad Manager

Ce qui change concrètement pour les revenus

Google n'exige ni CMP certifiée ni IAB TCF pour l'Australie. Cette exigence vaut pour l'Espace économique européen, le Royaume-Uni et la Suisse. Le trafic australien continue de recevoir des annonces personnalisées sans le message du TCF.

Le travail porte donc sur la transparence. La politique de confidentialité doit dire que le site utilise des cookies et des partenaires publicitaires, que les données peuvent aller hors du pays et comment la personne exerce ses droits. Un lien visible vers les préférences publicitaires aide le visiteur à comprendre et à choisir.

Pensez à un site brésilien de finance en portugais qui reçoit des Brésiliens vivant à Sydney et à Melbourne. Si l'entreprise a un chiffre d'affaires inférieur à 3 millions de dollars australiens, elle peut être hors de la loi, mais l'exception pour petite entreprise ne vaut pas pour ceux qui transmettent des données personnelles à des tiers en échange d'un avantage sans consentement. Ceux qui partagent des identifiants avec des partenaires publicitaires doivent examiner ce point avec soin.

Pour le contenu destiné aux enfants, préparez-vous au code de 2026. Google propose le traitement selon l'âge dans les balises d'annonces, qui désactive la personnalisation pour les demandes marquées comme destinées à des enfants.

En pratique

Ce qui est permis et ce qui ne l'est pas en Australie

Exemples du quotidien de sites de contenu, d'emploi et de finance avec un public australien.

Autorisé

  • Afficher des annonces personnalisées de Google sans le message du TCF aux visiteurs d'Australie
  • Envoyer une newsletter à ceux qui se sont inscrits, avec un lien de désabonnement dans chaque envoi
  • Utiliser des cookies de mesure, à condition que la politique de confidentialité l'explique clairement
  • Laisser le visiteur lire les articles sans inscription, dans le respect du droit à l'anonymat
  • Utiliser la même bannière que dans d'autres régions, si elle respecte aussi les règles australiennes

Interdit

  • Envoyer un e-mail commercial sans consentement et sans option de désabonnement
  • Collecter des données de santé dans un quiz sans demander de consentement
  • Ignorer les demandes de désabonnement du marketing
  • Utiliser une politique de confidentialité générique qui ne cite ni partenaires ni envoi à l'étranger
  • Personnaliser les annonces sur du contenu pour enfants sans utiliser le traitement selon l'âge

Erreurs courantes

Où les sites trébuchent le plus

Défaillances fréquentes sur les sites avec du trafic d'Australie.

Compter sur l'exception pour petite entreprise sans vérifier

Un faible chiffre d'affaires ne suffit pas si le site transmet des données personnelles à des tiers en échange d'un avantage sans consentement.

Politique obsolète

La politique doit être claire et à jour. Manquer à cela est l'une des infractions qui peuvent donner lieu à un avis d'infraction depuis la réforme.

Oublier le Spam Act

Les newsletters et SMS commerciaux sans consentement ou sans désabonnement violent la loi anti-spam, en plus des principes de confidentialité.

Quiz et formulaires qui demandent des données sensibles

Les questions sur la santé, la religion ou l'orientation sexuelle exigent un consentement et une attention redoublée.

Ignorer l'envoi à l'étranger

Les données vont vers des serveurs de partenaires hors d'Australie. La politique doit le dire et le site reste responsable.

Laisser le code pour les enfants pour plus tard

Les sites ayant un public d'enfants doivent revoir la publicité ciblée et le consentement avant l'enregistrement du code, prévu pour décembre 2026.

Dans ConsentMode

Ce que l'audit vérifie pour l'Australie

  • Ouvre le site comme un visiteur d'Australie et enregistre s'il y a une bannière, ce qu'elle propose et quels cookies et pixels se déclenchent avant le choix.
  • Identifie la CMP grâce au code de la page, quand elle existe, et lit les signaux Consent Mode envoyés à Google.
  • Vérifie si la politique de confidentialité contient les types de données, les finalités, les partenaires publicitaires, l'envoi à l'étranger, l'accès, la correction et la plainte.
  • Vérifie si les balises d'annonces utilisent le traitement selon l'âge sur les pages ayant un public d'enfants.
  • Fournit des captures et un plan de correction par priorité.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes

Ai-je besoin d'une bannière de cookies pour l'Australie ?

La loi australienne n'exige pas de bannière comme l'européenne. Elle exige de la transparence et, dans certains cas, un consentement. Google n'exige pas non plus de CMP certifiée pour ce public. Un avis clair et une politique complète sont le minimum.

Mon site génère peu de revenus. La loi s'applique-t-elle à moi ?

La plupart des entreprises dont le chiffre d'affaires ne dépasse pas 3 millions de dollars australiens sont hors du champ, mais il y a des exceptions, comme ceux qui transmettent des données personnelles à des tiers en échange d'un avantage sans consentement. Évaluez votre cas.

Qu'est-ce que l'action pour atteinte grave à la vie privée ?

C'est un droit créé par la réforme de 2024 et en vigueur depuis le 10 juin 2025. La personne peut poursuivre celui qui a gravement porté atteinte à sa vie privée, et la justice peut ordonner le paiement d'une indemnité, l'arrêt de la conduite ou la présentation d'excuses.

Le code pour les enfants s'applique-t-il déjà ?

Pas encore. Le projet a été publié en mars 2026 et l'OAIC doit enregistrer le code d'ici le 10 décembre 2026. Il doit s'appliquer aux réseaux sociaux et aux services en ligne que les enfants sont susceptibles d'utiliser.

Qui contrôle ?

L'OAIC, le bureau du commissaire australien à l'information. Il reçoit les plaintes, enquête, émet des avis et peut porter les cas graves devant la justice pour demander une amende.

Une fuite de données doit-elle être signalée ?

Oui, lorsqu'elle peut causer un préjudice grave. L'organisation évalue le cas sous 30 jours et, si le risque est confirmé, prévient l'OAIC et les personnes concernées dès que possible.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Voyez comment votre site apparaît à un visiteur australien

L'audit ouvre le site depuis l'Australie et montre ce qu'il faut corriger dans la bannière, les balises et la politique, sans rien modifier.

Lancer l'audit