Apri lo spazio

Guida · Normativa australiana

Il Privacy Act dell'Australia per chi vive di annunci

L'Australia regola la privacy con una legge del 1988 e 13 principi che valgono per le aziende e gli enti pubblici. La riforma del 2024 ha creato il diritto di fare causa per grave violazione della privacy, nuove sanzioni e un codice per i minori. Scopri cosa cambia per un sito con visitatori australiani.

Controlla la privacy del mio sitoLeggi la guida
  • ✓Basato sulla legislazione federale e sulle pubblicazioni dell'OAIC
  • ✓Esempi di siti con annunci, anche brasiliani
  • ✓Lettura senza modificare il sito
13Principi australiani sulla privacy che le entità coperte devono seguire
50 mln A$tetto della sanzione per interferenza grave, o più quando 3 volte il beneficio o il 30% del fatturato rettificato è maggiore
3 mln A$di fatturato annuo: sotto questa soglia, la maggior parte delle piccole imprese resta fuori dalla legge
10 dic 2026termine per la registrazione del codice sulla privacy online per i minori

Che cos'è

Una legge antica con regole nuove

Il Privacy Act 1988 è la legge federale sulla privacy dell'Australia. Il suo centro sono i 13 Principi australiani sulla privacy, detti APP, che indicano come raccogliere, usare, conservare, condividere e correggere le informazioni personali. A far rispettare la legge è l'OAIC, l'ufficio del Commissario australiano per l'informazione.

La legge vale per gli enti del governo federale e per le organizzazioni con fatturato annuo superiore a 3 milioni di dollari australiani. Alcune aziende più piccole rientrano comunque, come i fornitori di servizi sanitari e chi cede dati personali a terzi in cambio di un beneficio senza consenso. Insieme, queste organizzazioni sono chiamate entità APP.

Anche le aziende straniere possono essere coinvolte quando hanno un legame con l'Australia, ad esempio facendo affari nel paese. Se questo include un sito estero che riceve solo visitatori australiani dipende dal caso concreto, quindi conviene seguire comunque le buone pratiche.

Informazione personale è qualsiasi informazione o opinione su una persona identificata o ragionevolmente identificabile. Le informazioni sensibili comprendono salute, origine razziale, opinioni politiche, religione, orientamento sessuale, precedenti penali e dati genetici e biometrici, e di regola possono essere raccolte solo con il consenso.

Checklist

Cosa devi rispettare

Cosa richiedono il Privacy Act, gli APP e lo Spam Act a un sito con annunci coperto dalla legge australiana.

  1. Informativa sulla privacy chiara e aggiornata

    L'informativa deve essere chiara, aggiornata, gratuita e dire se i dati vanno in altri paesi. Google richiede anche che dica che terzi, come Google, usano i cookie per mostrare annunci.

  2. Avviso al momento della raccolta

    Quando raccogli dati, ad esempio con una registrazione o una newsletter, dì a cosa servono e gli altri punti dell'APP 5.

    Esempio

    Usiamo la tua e-mail solo per inviare la newsletter settimanale. Nell'informativa sulla privacy trovi come accedere ai tuoi dati o correggerli.

  3. Permetti di restare anonimi

    Di regola, la persona può non identificarsi o usare uno pseudonimo, salvo quando la legge lo impone o non è fattibile.

  4. Consenso per le informazioni sensibili

    Raccogliere informazioni sensibili, come salute o religione, richiede di regola il consenso. Anche usare informazioni sensibili nel marketing diretto richiede il consenso.

  5. Uscita semplice dal marketing diretto

    Chi usa dati personali nel marketing diretto deve offrire un modo semplice per chiedere di non riceverlo più.

  6. E-mail e SMS in regola con lo Spam Act

    I messaggi commerciali richiedono consenso, identificazione corretta del mittente e un'opzione di disiscrizione in ognuno. La richiesta di disiscrizione va gestita entro cinque giorni lavorativi.

    Esempio

    Inviato da Empresa Exemplo. Non vuoi più riceverlo? Annulla l'iscrizione.

  7. Attenzione all'invio all'estero

    Prima di inviare dati fuori dall'Australia, prendi misure ragionevoli perché chi li riceve non violi i principi.

  8. Segnala le violazioni gravi

    Quando una violazione può causare un danno grave, avvisa le persone coinvolte e l'OAIC, che ha un modulo online per questo.

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né ha un messaggio dedicato per l'Australia, quindi i link qui sotto sono di OAIC, ACMA e Google.

I 13 principi

Gli APP in sei blocchi

I principi seguono il percorso del dato, dal momento in cui viene raccolto fino alla richiesta di correzione.

Trasparenza e anonimato

APP 1 e 2: avere un'informativa sulla privacy chiara e aggiornata e, quando possibile, lasciare che la persona interagisca senza identificarsi.

Raccolta e avviso

APP da 3 a 5: raccogliere solo il necessario, con mezzi leciti, e informare la persona su chi raccoglie, per cosa e con chi condivide.

Uso e marketing diretto

APP 6 e 7: usare i dati per la finalità originale e offrire, nel marketing diretto, un modo semplice per uscire.

Invio all'estero

APP 8: prima di inviare dati fuori dal paese, adottare misure ragionevoli perché il destinatario rispetti i principi.

Identificatori, qualità e sicurezza

APP da 9 a 11: non adottare come propri i numeri di identificazione del governo, mantenere i dati corretti e proteggerli, cancellando ciò che non serve più.

Accesso e correzione

APP 12 e 13: dare accesso ai dati che l'organizzazione ha sulla persona e correggere ciò che è errato.

Consenso, cookie e marketing

Dove è richiesto il consenso

L'Australia non ha una regola generale che imponga un banner dei cookie, come quella europea. La legge funziona con avviso e trasparenza: la persona deve sapere che i dati vengono raccolti e per cosa. I cookie e gli identificatori che permettono di riconoscere qualcuno rientrano in queste regole quando la persona è ragionevolmente identificabile.

Il consenso è richiesto in situazioni specifiche, come la raccolta di informazioni sensibili e l'uso dei dati per una finalità diversa da quella originale. Per l'OAIC, il consenso deve essere informato, volontario, attuale e specifico, e la persona deve avere la capacità di darlo.

Nel marketing diretto, l'APP 7 consente di usare dati personali quando la persona si aspetterebbe quell'uso, purché esista un modo semplice per uscire e la richiesta di uscita sia rispettata. Anche le e-mail e gli SMS commerciali seguono lo Spam Act 2003, che richiede consenso, identificazione del mittente e opzione di disiscrizione in ogni messaggio.

Per i minori, la regola diventerà più dura. La bozza del codice sulla privacy online per i minori, pubblicata a marzo 2026, prevede il consenso prima di usare dati di minori per la pubblicità mirata nei servizi a cui probabilmente accedono.

Riforma del 2024 e sanzioni

Cosa ha portato la legge del 2024

La Privacy and Other Legislation Amendment Act 2024 ha ricevuto la sanzione il 10 dicembre 2024. Una parte delle regole è entrata in vigore il giorno dopo e una parte ha termini propri.

Causa per grave violazione

Dal 10 giugno 2025, una persona può fare causa a chi ha violato gravemente la sua privacy, per intrusione o uso improprio di informazioni. Vale anche per chi non è un'entità APP.

Codice per i minori

L'OAIC deve registrare entro il 10 dicembre 2026 un codice per i social network e i servizi online a cui i minori probabilmente accedono.

Decisioni automatizzate

Dal 10 dicembre 2026, l'informativa sulla privacy deve spiegare quando le decisioni che riguardano la persona sono prese con l'uso di sistemi automatizzati.

Sanzioni a gradini

Oltre al tetto per le interferenze gravi, ci sono fasce minori e avvisi di violazione per carenze come non avere un'informativa sulla privacy chiara e aggiornata.

Tetto per i casi gravi

Da dicembre 2022, il massimo è il valore più alto tra 50 milioni di dollari australiani, 3 volte il beneficio ottenuto e il 30% del fatturato rettificato nel periodo.

Prima sanzione in tribunale

A ottobre 2025, la Australian Clinical Labs è stata condannata a pagare 5,8 milioni di dollari australiani per carenze di sicurezza e di notifica di una violazione dei dati.

Diritti delle persone

Cosa può chiedere il visitatore australiano

La legge australiana parla di principi, ma in pratica diventano diritti che il sito deve rispettare.

Accedere

Chiedere i dati che l'organizzazione conserva su di lei. La richiesta può essere negata solo nei casi previsti dalla legge.

Correggi

Chiedere la correzione di dati errati, non aggiornati, incompleti o fuorvianti.

Restare anonimo

Interagire senza identificarsi o con uno pseudonimo, quando è possibile, come nella semplice lettura di articoli.

Uscire dal marketing

Chiedere di non ricevere marketing diretto e domandare da dove l'organizzazione ha preso i suoi dati.

Reclamare all'OAIC

Se l'organizzazione non risolve il reclamo, portare il caso all'OAIC, che può indagare e stabilire misure.

Fare causa

Rivolgersi al tribunale per grave violazione della privacy, in base al diritto creato dalla riforma del 2024.

Obblighi

Cosa deve fare un sito coperto dalla legge

  1. Mantenere un'informativa sulla privacy chiaraSpiega quali tipi di dati raccoglie, come li raccoglie, per cosa, come la persona accede ai dati e li corregge, come reclama e se i dati vanno in altri paesi. Da dicembre 2026, includi le decisioni automatizzate.
  2. Informare al momento della raccoltaNei moduli di newsletter, iscrizione o commenti, indica chi raccoglie, perché e con chi i dati saranno condivisi.
  3. Offrire l'uscita dal marketingOgni e-mail o SMS commerciale deve avere un modo semplice per disiscriversi, e la richiesta deve essere rispettata.
  4. Proteggere ed eliminareAdotta misure di sicurezza ragionevoli e cancella o anonimizza ciò che non serve più.
  5. Rispondere alle violazioniValuta rapidamente una possibile violazione, entro 30 giorni, e, se può causare un danno grave, avvisa l'OAIC e le persone coinvolte il prima possibile.
  6. Curare l'invio all'esteroPrima di inviare dati a fornitori fuori dall'Australia, adotta misure ragionevoli perché seguano i principi. L'organizzazione resta responsabile di ciò che fa il fornitore.

Cronologia

Le date che contano

Dalla legge originale agli obblighi che iniziano a fine 2026.

  1. 1988

    Nasce il Privacy Act

    La legge federale sulla privacy viene approvata, inizialmente rivolta al settore pubblico.

  2. 12 marzo 2014

    Entrano in vigore i 13 APP

    I Principi australiani sulla privacy iniziano a valere per il governo e per le aziende coperte.

  3. 22 febbraio 2018

    Notifica delle violazioni

    Inizia il regime che obbliga ad avvisare l'OAIC e le persone delle violazioni con rischio di danno grave.

  4. Dicembre 2022

    Sanzioni più alte

    Il tetto per le interferenze gravi sale al valore più alto tra 50 milioni, 3 volte il beneficio e il 30% del fatturato rettificato.

  5. 10 dicembre 2024

    Riforma promulgata

    La Privacy and Other Legislation Amendment Act 2024 viene promulgata. Le nuove sanzioni e i nuovi poteri dell'OAIC valgono dal giorno dopo.

  6. 10 giugno 2025

    Causa per grave violazione

    Entra in vigore il diritto di fare causa per grave violazione della privacy.

  7. 31 marzo 2026

    Bozza del codice per i minori

    L'OAIC pubblica la bozza del codice sulla privacy online per i minori e apre una consultazione pubblica fino al 5 giugno.

  8. 10 dicembre 2026

    Codice e decisioni automatizzate

    Termine per registrare il codice per i minori e inizio dell'obbligo di spiegare le decisioni automatizzate nell'informativa.

Per chi ha AdSense o Ad Manager

Cosa cambia in pratica per i ricavi

Google non richiede una CMP certificata né l'IAB TCF per l'Australia. Questo requisito vale per lo Spazio economico europeo, il Regno Unito e la Svizzera. Il traffico australiano continua a ricevere annunci personalizzati senza il messaggio TCF.

Il lavoro, quindi, sta nella trasparenza. L'informativa sulla privacy deve dire che il sito usa cookie e partner pubblicitari, che i dati possono andare fuori dal paese e come la persona esercita i propri diritti. Un link visibile alle preferenze sugli annunci aiuta il visitatore a capire e a scegliere.

Pensa a un sito brasiliano di finanza in portoghese che riceve brasiliani che vivono a Sydney e Melbourne. Se l'azienda fattura meno di 3 milioni di dollari australiani, può essere fuori dalla legge, ma l'eccezione per le piccole imprese non vale per chi cede dati personali a terzi in cambio di un beneficio senza consenso. Chi condivide identificatori con partner pubblicitari deve valutare questo punto con attenzione.

Per i contenuti per minori, preparati al codice del 2026. Google offre il trattamento per età nei tag degli annunci, che disattiva la personalizzazione per le richieste contrassegnate come riferite a minori.

In pratica

Cosa è consentito e cosa no in Australia

Esempi quotidiani di siti di contenuti, offerte di lavoro e finanza con pubblico australiano.

Consentito

  • Mostrare annunci personalizzati di Google senza il messaggio TCF ai visitatori dell'Australia
  • Inviare la newsletter a chi si è iscritto, con link di disiscrizione in ogni invio
  • Usare cookie di misurazione, purché l'informativa sulla privacy lo spieghi con chiarezza
  • Lasciare che il visitatore legga gli articoli senza registrarsi, rispettando il diritto all'anonimato
  • Usare lo stesso banner di altre regioni, se rispetta anche le regole australiane

Non consentito

  • Inviare e-mail commerciali senza consenso e senza opzione di disiscrizione
  • Raccogliere dati sanitari in un quiz senza chiedere il consenso
  • Ignorare le richieste di uscita dal marketing
  • Usare un'informativa sulla privacy generica che non cita partner né invio all'estero
  • Personalizzare gli annunci nei contenuti per minori senza usare il trattamento per età

Errori comuni

Dove i siti sbagliano di più

Errori frequenti nei siti con traffico dall'Australia.

Contare sull'eccezione per le piccole imprese senza verificare

Un fatturato basso non basta se il sito cede dati personali a terzi in cambio di un beneficio senza consenso.

Informativa non aggiornata

L'informativa deve essere chiara e attuale. Non rispettarlo è una delle violazioni che possono dare luogo a un avviso di violazione dopo la riforma.

Dimenticare lo Spam Act

Newsletter e SMS commerciali senza consenso o senza disiscrizione violano la legge anti-spam, oltre ai principi sulla privacy.

Quiz e moduli che richiedono dati sensibili

Le domande su salute, religione o orientamento sessuale richiedono il consenso e una cura maggiore.

Ignorare l'invio all'estero

I dati vanno ai server di partner fuori dall'Australia. L'informativa deve dirlo e il sito resta responsabile.

Rimandare il codice per i minori

I siti con pubblico di minori devono rivedere pubblicità mirata e consenso prima della registrazione del codice, prevista per dicembre 2026.

In ConsentMode

Cosa controlla l'audit per l'Australia

  • Apre il sito come visitatore dell'Australia e registra se c'è un banner, cosa offre e quali cookie e pixel si attivano prima della scelta.
  • Identifica la CMP dal codice della pagina, quando esiste, e legge i segnali di Consent Mode inviati a Google.
  • Verifica se l'informativa sulla privacy riporta tipi di dati, finalità, partner pubblicitari, invio all'estero, accesso, correzione e reclamo.
  • Controlla se i tag degli annunci usano il trattamento per età nelle pagine con pubblico di minori.
  • Consegna screenshot e un piano di correzione per priorità.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti

Mi serve un banner dei cookie per l'Australia?

La legge australiana non richiede un banner come quello europeo. Richiede trasparenza e, in alcuni casi, consenso. Anche Google non richiede una CMP certificata per questo pubblico. Un avviso chiaro e un'informativa completa sono il minimo.

Il mio sito fattura poco. La legge si applica a me?

La maggior parte delle aziende con fatturato fino a 3 milioni di dollari australiani resta fuori, ma ci sono eccezioni, come chi cede dati personali a terzi in cambio di un beneficio senza consenso. Valuta il tuo caso.

Cos'è la causa per grave violazione della privacy?

È un diritto creato dalla riforma del 2024 e in vigore dal 10 giugno 2025. La persona può fare causa a chi ha violato gravemente la sua privacy, e il tribunale può ordinare di pagare un risarcimento, di cessare la condotta o di porgere scuse.

Il codice per i minori è già in vigore?

Non ancora. La bozza è stata pubblicata a marzo 2026 e l'OAIC deve registrare il codice entro il 10 dicembre 2026. Dovrebbe valere per i social network e i servizi online a cui i minori probabilmente accedono.

Chi controlla?

L'OAIC, l'ufficio del Commissario australiano per l'informazione. Riceve reclami, indaga, emette avvisi e può portare i casi gravi in tribunale per chiedere una sanzione.

Una violazione dei dati va comunicata?

Sì, quando può causare un danno grave. L'organizzazione valuta il caso entro 30 giorni e, confermato il rischio, avvisa l'OAIC e le persone coinvolte il prima possibile.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Scopri come appare il tuo sito a un visitatore australiano

L'audit apre il sito dall'Australia e mostra cosa correggere in banner, tag e informativa, senza modificare nulla.

Avvia l'audit