Abrir workspace

Guia · Regulamento australiano

Privacy Act da Austrália para quem vive de anúncios

A Austrália regula a privacidade com uma lei de 1988 e 13 princípios que valem para empresas e órgãos públicos. A reforma de 2024 criou o direito de processar por invasão grave de privacidade, multas novas e um código para crianças. Veja o que isso muda para um site com visitantes australianos.

Auditar a privacidade do meu siteLer o guia
  • ✓Baseado na legislação federal e nas publicações do OAIC
  • ✓Exemplos de sites com anúncios, inclusive brasileiros
  • ✓Leitura sem alterar o site
13Princípios Australianos de Privacidade que as entidades cobertas precisam seguir
A$ 50 miteto de multa por interferência grave, ou mais quando 3 vezes o benefício ou 30% do faturamento ajustado for maior
A$ 3 mide faturamento anual: abaixo disso, a maioria das pequenas empresas fica fora da lei
10 dez 2026prazo para o registro do código de privacidade online para crianças

O que é

Uma lei antiga com regras novas

O Privacy Act 1988 é a lei federal de privacidade da Austrália. O centro dela são os 13 Princípios Australianos de Privacidade, chamados de APPs, que dizem como coletar, usar, guardar, compartilhar e corrigir informações pessoais. Quem fiscaliza é o OAIC, o escritório do Comissário de Informação australiano.

A lei vale para órgãos do governo federal e para organizações com faturamento anual acima de 3 milhões de dólares australianos. Algumas empresas menores entram mesmo assim, como prestadores de serviços de saúde e quem repassa dados pessoais a terceiros em troca de algum benefício sem consentimento. Juntas, essas organizações são chamadas de entidades APP.

Empresas estrangeiras também podem ser alcançadas quando têm ligação com a Austrália, por exemplo por fazer negócios no país. Se isso inclui um site de fora que só recebe visitantes australianos depende do caso concreto, então vale seguir as boas práticas de qualquer forma.

Informação pessoal é qualquer informação ou opinião sobre uma pessoa identificada ou razoavelmente identificável. Informação sensível inclui saúde, origem racial, opinião política, religião, orientação sexual, antecedentes criminais e dados genéticos e biométricos, e em regra só pode ser coletada com consentimento.

Checklist

O que você precisa cumprir

O que o Privacy Act, os APPs e a Spam Act pedem de um site com anúncios coberto pela lei australiana.

  1. Política de privacidade clara e atualizada

    A política precisa ser clara, atualizada, gratuita e dizer se os dados vão para outros países. O Google também exige que ela diga que terceiros, como o Google, usam cookies para mostrar anúncios.

  2. Aviso no momento da coleta

    Ao coletar dados, como num cadastro ou numa newsletter, diga para que eles servem e os demais pontos do APP 5.

    Exemplo

    Usamos seu e-mail só para enviar a newsletter semanal. Veja na política de privacidade como acessar ou corrigir seus dados.

  3. Deixe ficar anônimo

    Em regra, a pessoa pode não se identificar ou usar um pseudônimo, salvo quando a lei exige ou isso não é viável.

  4. Consentimento para informação sensível

    Coletar informação sensível, como saúde ou religião, exige consentimento em regra. Usar informação sensível em marketing direto também exige consentimento.

  5. Saída simples do marketing direto

    Quem usa dados pessoais em marketing direto precisa oferecer um jeito simples de pedir para não receber mais.

  6. E-mails e SMS dentro da Spam Act

    Mensagens comerciais exigem consentimento, identificação correta do remetente e opção de cancelar em todas elas. O pedido de cancelamento deve ser atendido em até cinco dias úteis.

    Exemplo

    Enviado por Empresa Exemplo. Não quer mais receber? Cancelar inscrição.

  7. Cuidado com o envio ao exterior

    Antes de mandar dados para fora da Austrália, tome medidas razoáveis para que quem recebe não viole os princípios.

  8. Avise sobre vazamentos graves

    Quando um vazamento pode causar dano grave, avise as pessoas afetadas e o OAIC, que tem um formulário online para isso.

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada nem tem mensagem própria para a Austrália, então os links abaixo são do OAIC, da ACMA e do Google.

Os 13 princípios

Os APPs em seis blocos

Os princípios seguem o caminho do dado, do momento em que ele é coletado até o pedido de correção.

Transparência e anonimato

APP 1 e 2: ter uma política de privacidade clara e atualizada e, quando possível, deixar a pessoa interagir sem se identificar.

Coleta e aviso

APP 3 a 5: coletar só o necessário, por meios justos, e avisar a pessoa sobre quem coleta, para quê e com quem compartilha.

Uso e marketing direto

APP 6 e 7: usar os dados para a finalidade original e oferecer, no marketing direto, um jeito simples de sair.

Envio ao exterior

APP 8: antes de mandar dados para fora do país, tomar medidas razoáveis para que o destinatário respeite os princípios.

Identificadores, qualidade e segurança

APP 9 a 11: não adotar números de identificação do governo como seus, manter os dados corretos e protegê-los, apagando o que não for mais preciso.

Acesso e correção

APP 12 e 13: dar acesso aos dados que a organização tem sobre a pessoa e corrigir o que estiver errado.

Consentimento, cookies e marketing

Onde o consentimento é exigido

A Austrália não tem uma regra geral que obrigue banner de cookies, como a europeia. A lei trabalha com aviso e transparência: a pessoa precisa saber que os dados estão sendo coletados e para quê. Cookies e identificadores que permitem reconhecer alguém entram nessas regras quando a pessoa é razoavelmente identificável.

O consentimento é exigido em situações específicas, como coleta de informação sensível e uso dos dados para uma finalidade diferente da original. Para o OAIC, consentimento precisa ser informado, voluntário, atual e específico, e a pessoa precisa ter capacidade para dá-lo.

No marketing direto, o APP 7 permite usar dados pessoais quando a pessoa esperaria esse uso, desde que exista um jeito simples de sair e o pedido de saída seja respeitado. E-mails e SMS comerciais também seguem a Spam Act 2003, que exige consentimento, identificação do remetente e opção de cancelamento em cada mensagem.

Com crianças, a regra vai ficar mais dura. O rascunho do código de privacidade online para crianças, publicado em março de 2026, prevê consentimento antes de usar dados de crianças para publicidade direcionada em serviços que elas provavelmente acessam.

Reforma de 2024 e multas

O que a lei de 2024 trouxe

A Privacy and Other Legislation Amendment Act 2024 recebeu a sanção em 10 de dezembro de 2024. Parte das regras valeu no dia seguinte e parte tem prazos próprios.

Processo por invasão grave

Desde 10 de junho de 2025, uma pessoa pode processar quem invadiu gravemente a privacidade dela, por intrusão ou uso indevido de informações. Vale também para quem não é entidade APP.

Código para crianças

O OAIC precisa registrar até 10 de dezembro de 2026 um código para redes sociais e serviços online que crianças provavelmente acessam.

Decisões automatizadas

A partir de 10 de dezembro de 2026, a política de privacidade precisa explicar quando decisões que afetam a pessoa são tomadas com uso de sistemas automatizados.

Multas em degraus

Além do teto para interferências graves, há faixas menores e notificações de infração para falhas como não ter política de privacidade clara e atualizada.

Teto para casos graves

Desde dezembro de 2022, o máximo é o maior valor entre 50 milhões de dólares australianos, 3 vezes o benefício obtido e 30% do faturamento ajustado no período.

Primeira multa na Justiça

Em outubro de 2025, a Australian Clinical Labs foi condenada a pagar 5,8 milhões de dólares australianos por falhas de segurança e de notificação de vazamento.

Direitos das pessoas

O que o visitante australiano pode pedir

A lei australiana fala em princípios, mas na prática eles viram direitos que o site precisa atender.

Acessar

Pedir os dados que a organização guarda sobre ela. O pedido só pode ser negado nos casos previstos na lei.

Corrigir

Pedir a correção de dados errados, desatualizados, incompletos ou enganosos.

Ficar anônimo

Interagir sem se identificar ou com um pseudônimo, quando isso for viável, como numa simples leitura de artigos.

Sair do marketing

Pedir para não receber marketing direto e perguntar de onde a organização tirou os dados dela.

Reclamar ao OAIC

Se a organização não resolver a reclamação, levar o caso ao OAIC, que pode investigar e determinar medidas.

Processar

Entrar na Justiça por invasão grave de privacidade, com base no direito criado pela reforma de 2024.

Obrigações

O que um site coberto pela lei precisa fazer

  1. Manter uma política de privacidade claraExplique que tipos de dados coleta, como coleta, para quê, como a pessoa acessa e corrige os dados, como reclama e se os dados vão para outros países. A partir de dezembro de 2026, inclua as decisões automatizadas.
  2. Avisar no momento da coletaEm formulários de newsletter, cadastro ou comentários, diga quem coleta, por que e com quem os dados serão compartilhados.
  3. Dar saída do marketingTodo e-mail ou SMS comercial precisa de um jeito simples de cancelar, e o pedido precisa ser respeitado.
  4. Proteger e descartarAdote medidas razoáveis de segurança e apague ou anonimize o que não for mais necessário.
  5. Responder a vazamentosAvalie um possível vazamento de forma rápida, em até 30 dias, e, se ele puder causar dano grave, avise o OAIC e as pessoas afetadas assim que possível.
  6. Cuidar do envio ao exteriorAntes de mandar dados para fornecedores fora da Austrália, tome medidas razoáveis para que eles sigam os princípios. A organização continua responsável pelo que o fornecedor fizer.

Linha do tempo

As datas que importam

Da lei original às obrigações que começam no fim de 2026.

  1. 1988

    Nasce o Privacy Act

    A lei federal de privacidade é aprovada, inicialmente voltada ao setor público.

  2. 12 de março de 2014

    Entram os 13 APPs

    Os Princípios Australianos de Privacidade passam a valer para governo e empresas cobertas.

  3. 22 de fevereiro de 2018

    Notificação de vazamentos

    Começa o regime que obriga a avisar o OAIC e as pessoas sobre vazamentos com risco de dano grave.

  4. Dezembro de 2022

    Multas maiores

    O teto para interferências graves sobe para o maior valor entre 50 milhões, 3 vezes o benefício e 30% do faturamento ajustado.

  5. 10 de dezembro de 2024

    Reforma sancionada

    A Privacy and Other Legislation Amendment Act 2024 é sancionada. Novas multas e poderes do OAIC valem no dia seguinte.

  6. 10 de junho de 2025

    Processo por invasão grave

    Passa a valer o direito de processar por invasão grave de privacidade.

  7. 31 de março de 2026

    Rascunho do código infantil

    O OAIC publica o rascunho do código de privacidade online para crianças e abre consulta pública até 5 de junho.

  8. 10 de dezembro de 2026

    Código e decisões automatizadas

    Prazo para registrar o código infantil e início da obrigação de explicar decisões automatizadas na política.

Para quem tem AdSense ou Ad Manager

O que muda na prática para a receita

O Google não exige CMP certificada nem IAB TCF para a Austrália. Essa exigência vale para o Espaço Econômico Europeu, o Reino Unido e a Suíça. O tráfego australiano continua recebendo anúncios personalizados sem a mensagem do TCF.

O trabalho, então, está na transparência. A política de privacidade precisa dizer que o site usa cookies e parceiros de anúncios, que os dados podem ir para fora do país e como a pessoa exerce os direitos dela. Um link visível para as preferências de anúncios ajuda o visitante a entender e a escolher.

Pense num site brasileiro de finanças em português que recebe brasileiros morando em Sydney e Melbourne. Se a empresa fatura menos de 3 milhões de dólares australianos, pode estar fora da lei, mas a exceção de pequena empresa não vale para quem repassa dados pessoais a terceiros em troca de benefício sem consentimento. Quem compartilha identificadores com parceiros de anúncios deve avaliar esse ponto com cuidado.

Para conteúdo infantil, prepare-se para o código de 2026. O Google oferece o tratamento por idade nas tags de anúncios, que desliga a personalização para pedidos marcados como de criança.

Na prática

O que pode e o que não pode na Austrália

Exemplos do dia a dia de sites de conteúdo, vagas e finanças com público australiano.

Pode

  • Exibir anúncios personalizados do Google sem a mensagem do TCF para visitantes da Austrália
  • Enviar newsletter a quem se cadastrou, com link de cancelamento em cada envio
  • Usar cookies de medição, desde que a política de privacidade explique isso com clareza
  • Deixar o visitante ler os artigos sem cadastro, respeitando o direito ao anonimato
  • Usar o mesmo banner de outras regiões, se ele também atender às regras australianas

Não pode

  • Mandar e-mail comercial sem consentimento e sem opção de cancelar
  • Coletar dados de saúde num quiz sem pedir consentimento
  • Ignorar pedidos de saída do marketing
  • Usar uma política de privacidade genérica que não cita parceiros nem envio ao exterior
  • Personalizar anúncios em conteúdo para crianças sem usar o tratamento por idade

Erros comuns

Onde os sites mais escorregam

Falhas frequentes em sites com tráfego da Austrália.

Contar com a exceção de pequena empresa sem conferir

Faturamento baixo não basta se o site repassa dados pessoais a terceiros em troca de benefício sem consentimento.

Política desatualizada

A política precisa ser clara e atual. Falhar nisso é uma das infrações que podem gerar notificação de infração depois da reforma.

Esquecer a Spam Act

Newsletter e SMS comerciais sem consentimento ou sem cancelamento violam a lei de spam, além dos princípios de privacidade.

Quiz e formulários que pedem dados sensíveis

Perguntas sobre saúde, religião ou orientação sexual exigem consentimento e cuidado redobrado.

Ignorar o envio ao exterior

Os dados vão para servidores de parceiros fora da Austrália. A política precisa dizer isso e o site continua responsável.

Deixar o código infantil para depois

Sites com público infantil devem revisar publicidade direcionada e consentimento antes do registro do código, previsto para dezembro de 2026.

No ConsentMode

O que a auditoria confere para a Austrália

  • Abre o site como visitante da Austrália e registra se há banner, o que ele oferece e quais cookies e pixels disparam antes da escolha.
  • Identifica a CMP pelo código da página, quando existe, e lê os sinais do Consent Mode enviados ao Google.
  • Confere se a política de privacidade traz tipos de dados, finalidades, parceiros de anúncios, envio ao exterior, acesso, correção e reclamação.
  • Verifica se as tags de anúncios usam o tratamento por idade em páginas com público infantil.
  • Entrega prints e um plano de correção por prioridade.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes

Preciso de banner de cookies para a Austrália?

A lei australiana não exige um banner como o europeu. Ela exige transparência e, em alguns casos, consentimento. O Google também não exige CMP certificada para esse público. Um aviso claro e uma política completa são o mínimo.

Meu site fatura pouco. A lei vale para mim?

A maioria das empresas com faturamento até 3 milhões de dólares australianos fica fora, mas há exceções, como quem repassa dados pessoais a terceiros em troca de benefício sem consentimento. Avalie o seu caso.

O que é o processo por invasão grave de privacidade?

É um direito criado pela reforma de 2024 e em vigor desde 10 de junho de 2025. A pessoa pode processar quem invadiu gravemente a privacidade dela, e a Justiça pode mandar pagar indenização, parar a conduta ou pedir desculpas.

O código para crianças já vale?

Ainda não. O rascunho foi publicado em março de 2026 e o OAIC precisa registrar o código até 10 de dezembro de 2026. Ele deve valer para redes sociais e serviços online que crianças provavelmente acessam.

Quem fiscaliza?

O OAIC, escritório do Comissário de Informação australiano. Ele recebe reclamações, investiga, emite notificações e pode levar casos graves à Justiça para pedir multa.

Vazamento de dados precisa ser comunicado?

Sim, quando puder causar dano grave. A organização avalia o caso em até 30 dias e, confirmado o risco, avisa o OAIC e as pessoas afetadas assim que possível.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Veja como o seu site aparece para um visitante australiano

A auditoria abre o site a partir da Austrália e mostra o que corrigir em banner, tags e política, sem alterar nada.

Começar a auditoria