ワークスペースへ

ガイド · オーストラリアの規制

広告で収益を得る人のためのオーストラリアのPrivacy Act

オーストラリアは、1988年の法律と、企業と公的機関に適用される13の原則でプライバシーを規制しています。2024年の改正で、重大なプライバシー侵害を理由に訴える権利、新しい制裁金、子ども向けのコードが設けられました。オーストラリアからの訪問者がいるサイトに何が変わるかを説明します。

自分のサイトのプライバシーを監査するガイドを読む
  • ✓連邦法と、OAICの公表資料に基づいています
  • ✓ブラジルのサイトも含めた、広告サイトの例
  • ✓サイトを変更せずに読み取ります
13対象の組織が守らなければならない、オーストラリア・プライバシー原則の数
5,000万豪ドル重大な干渉に対する制裁金の上限。ただし、利益の3倍、または調整後売上高の30%のほうが大きい場合は、それ以上
300万豪ドル年間売上高。これを下回ると、小規模な企業の大部分は法律の対象外です
2026年12月10日子ども向けオンラインプライバシーコードの登録期限

概要

古い法律に、新しいルール

Privacy Act 1988は、オーストラリアの連邦プライバシー法です。その中心は、オーストラリア・プライバシー原則(APP)と呼ばれる13の原則で、個人情報の収集、利用、保管、共有、訂正の方法を定めています。執行するのは、オーストラリア情報コミッショナー事務局のOAICです。

この法律は、連邦政府機関と、年間売上高が300万豪ドルを超える組織に適用されます。医療サービスの提供者や、同意なしに何らかの利益と引き換えに個人データを第三者に渡す事業者など、小規模な企業でも対象になる場合があります。これらの組織を合わせて、APPエンティティと呼びます。

外国の企業も、オーストラリアで事業を行うなど、オーストラリアと関連がある場合は対象になることがあります。オーストラリアの訪問者を受け入れているだけの国外のサイトが含まれるかどうかは、個別のケースによるため、いずれにしてもベストプラクティスに従うのがよいでしょう。

個人情報とは、特定された、または合理的に特定できる人物に関するあらゆる情報や意見です。センシティブ情報には、健康、人種的出身、政治的意見、宗教、性的指向、犯罪歴、遺伝や生体のデータが含まれ、原則として同意があるときだけ収集できます。

チェックリスト

満たすべきこと

広告のあるサイトがオーストラリアの法律の対象になる場合に、Privacy Act、APP、Spam Actが求めることです。

  1. 明確で最新のプライバシーポリシー

    ポリシーは明確で最新、無料で読める必要があり、データが他の国に送られるかどうかも書く必要があります。Googleは、Googleなどの第三者が広告表示にCookieを使うこともポリシーに書くよう求めています。

  2. 収集時の通知

    登録フォームやニュースレターなどでデータを集めるときは、何に使うかと、APP 5のその他の項目を伝えてください。

    例

    お客様のメールアドレスは週刊ニュースレターの配信にのみ使います。データの閲覧や訂正の方法は、プライバシーポリシーをご覧ください。

  3. 匿名でも使えるようにする

    原則として、本人は身元を明かさずに、または仮名で利用できます。法律で必要な場合や現実的でない場合は除きます。

  4. 機微情報には同意が必要

    健康や宗教などの機微情報の収集には、原則として同意が必要です。ダイレクトマーケティングで機微情報を使う場合にも同意が必要です。

  5. ダイレクトマーケティングの簡単な配信停止

    ダイレクトマーケティングで個人データを使う場合は、配信停止を簡単に申し出られる方法を用意する必要があります。

  6. Spam Actに沿ったメールとSMS

    商用メッセージには、同意、送信者の正しい表示、すべてのメッセージでの配信停止の選択肢が必要です。配信停止の依頼は5営業日以内に対応する必要があります。

    例

    サンプル社 から送信されています。今後の配信を希望しませんか？配信停止。

  7. 海外への送信に注意する

    データをオーストラリア国外に送る前に、受け取る側が原則に違反しないよう、合理的な対策をとってください。

  8. 重大な漏えいを通知する

    漏えいが重大な被害につながるおそれがある場合は、影響を受ける人とOAICに知らせてください。OAICにはそのためのオンラインフォームがあります。

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

Googleはオーストラリア向けにCMPの認定を求めておらず、専用のメッセージもないため、以下のリンクはOAIC、ACMA、Googleのものです。

13の原則

6つのまとまりで見るAPP

原則は、データが収集された瞬間から、訂正の請求までの道筋に沿っています。

透明性と匿名性

APP 1と2:明確で最新のプライバシーポリシーを用意し、可能な場合は、本人が身元を明かさずにやり取りできるようにします。

収集と通知

APP 3から5:必要なものだけを、公正な方法で収集し、誰が、何のために収集し、誰と共有するかを本人に知らせます。

利用とダイレクトマーケティング

APP 6と7:データを元の目的のために使い、ダイレクトマーケティングでは、簡単に離脱できる方法を提供します。

海外への送信

APP 8:データを国外に送る前に、受け取る側が原則を守るよう、合理的な措置をとります。

識別子、品質、セキュリティ

APP 9から11:政府の識別番号を自分のものとして採用せず、データを正確に保って守り、不要になったものは削除します。

アクセスと訂正

APP 12と13:組織が本人について持つデータへのアクセスを認め、誤りを訂正します。

同意、Cookie、マーケティング

同意が必要な場面

オーストラリアには、ヨーロッパのようにCookieバナーを義務付ける一般的なルールはありません。法律は通知と透明性で動きます。データが収集されていること、その目的を、本人が知っている必要があります。誰かを認識できるCookieや識別子は、その人が合理的に特定できる場合、これらのルールの対象になります。

同意が必要なのは、センシティブ情報の収集や、元の目的とは異なる目的でのデータ利用など、特定の場面です。OAICによると、同意は、十分な情報に基づき、自発的で、現在のもので、具体的でなければならず、同意する能力が本人にある必要があります。

ダイレクトマーケティングでは、APP 7により、本人がその利用を予想するはずの場合に個人データを使うことができます。ただし、簡単に離脱できる方法があり、離脱の請求が尊重されることが条件です。商業メールやSMSも、同意、送信者の明示、メッセージごとの配信停止の選択肢を求める、Spam Act 2003に従います。

子どもについては、ルールが厳しくなります。2026年3月に公開された、子ども向けオンラインプライバシーコードの草案は、子どもがアクセスしやすいサービスで、ターゲティング広告のために子どものデータを使う前に、同意を求めるとしています。

2024年の改正と制裁金

2024年の法律がもたらしたもの

Privacy and Other Legislation Amendment Act 2024は、2024年12月10日に裁可されました。ルールの一部はその翌日に有効になり、一部には別の期限があります。

重大な侵害を理由とする訴訟

2025年6月10日から、侵入や情報の不正な使用によって、プライバシーを重大に侵害された人は、その相手を訴えられます。APPエンティティでない相手も対象です。

子ども向けコード

OAICは、2026年12月10日までに、ソーシャルメディアと、子どもがアクセスしやすいオンラインサービス向けのコードを登録する必要があります。

自動化された決定

2026年12月10日から、プライバシーポリシーには、本人に影響する決定が自動化されたシステムで行われる場合を説明する必要があります。

段階的な制裁金

重大な干渉の上限のほかに、より低い区分と、明確で最新のプライバシーポリシーがないといった不備に対する違反通知があります。

重大な事案の上限

2022年12月から、最大額は、5,000万豪ドル、得た利益の3倍、その期間の調整後売上高の30%のうち、最も大きい金額です。

裁判での最初の制裁金

2025年10月に、Australian Clinical Labsは、セキュリティと漏えい通知の不備により、580万豪ドルの支払いを命じられました。

個人の権利

オーストラリアの訪問者が求められること

オーストラリアの法律は原則で書かれていますが、実際には、サイトが応えるべき権利になります。

アクセス

組織が自分について保有するデータを請求できます。請求を拒否できるのは、法律で定められた場合だけです。

修正する

誤った、古い、不完全な、または誤解を招くデータの訂正を求められます。

匿名でいる

記事を読むだけなど、可能な場合は、身元を明かさずに、または仮名でやり取りできます。

マーケティングを停止する

ダイレクトマーケティングを受け取らないよう求め、組織が自分のデータをどこから入手したかを尋ねられます。

OAICへの苦情

組織が苦情を解決しない場合は、調査して措置を決められるOAICに事案を持ち込めます。

訴える

2024年の改正で創設された権利に基づき、重大なプライバシー侵害を理由に、裁判に訴えられます。

義務

法律の対象となるサイトがすべきこと

  1. 明確なプライバシーポリシーを維持するどんな種類のデータを、どのように、何のために収集するか、本人がデータにアクセスして訂正する方法、苦情の申し立て方法、データが他の国に送られるかを説明します。2026年12月からは、自動化された決定も含めてください。
  2. 収集の時点で通知するニュースレター、登録、コメントのフォームで、誰が収集し、なぜ収集し、データが誰と共有されるかを示します。
  3. マーケティングの停止手段を用意する商業メールやSMSには、簡単な配信停止の方法が必要で、その請求は尊重されなければなりません。
  4. 保護して、廃棄する合理的なセキュリティ対策をとり、不要になったものは削除または匿名化します。
  5. 漏えいに対応する漏えいの可能性は、30日以内に素早く評価し、重大な被害を引き起こしうる場合は、OAICと影響を受けた人にできるだけ早く通知します。
  6. 海外への送信に注意するオーストラリア国外の取引先にデータを送る前に、その取引先が原則を守るよう、合理的な措置をとります。取引先の行為については、組織が引き続き責任を負います。

年表

重要な日付

元の法律から、2026年末に始まる義務まで。

  1. 1988

    Privacy Actの誕生

    連邦のプライバシー法が成立します。当初は公的部門が対象でした。

  2. 2014年3月12日

    13のAPPが施行

    オーストラリア・プライバシー原則が、政府と対象の企業に適用されるようになります。

  3. 2018年2月22日

    漏えい通知

    重大な被害のリスクがある漏えいについて、OAICと本人に通知することを義務付ける制度が始まります。

  4. 2022年12月

    制裁金の引き上げ

    重大な干渉の上限が、5,000万豪ドル、利益の3倍、調整後売上高の30%のうち、最も大きい金額に引き上げられます。

  5. 2024年12月10日

    改正法に裁可

    Privacy and Other Legislation Amendment Act 2024が裁可されます。新しい制裁金とOAICの権限は、翌日に有効になります。

  6. 2025年6月10日

    重大な侵害を理由とする訴訟

    重大なプライバシー侵害を理由に訴える権利が有効になります。

  7. 2026年3月31日

    子ども向けコードの草案

    OAICが、子ども向けオンラインプライバシーコードの草案を公開し、6月5日まで意見募集を行います。

  8. 2026年12月10日

    コードと自動化された決定

    子ども向けコードの登録期限であり、ポリシーで自動化された決定を説明する義務が始まる日です。

AdSenseやAd Managerを使っている場合

収益に実際にどう影響するか

Googleは、オーストラリアについて、認定CMPもIAB TCFも求めていません。この要件は、欧州経済領域、英国、スイスに適用されます。オーストラリアのトラフィックには、TCFのメッセージなしで、パーソナライズ広告が引き続き配信されます。

そのため、やるべきことは透明性です。プライバシーポリシーには、サイトがCookieと広告パートナーを使うこと、データが国外に送られることがあること、本人が権利をどう行使するかを書く必要があります。広告設定への分かりやすいリンクがあれば、訪問者が理解して選びやすくなります。

シドニーやメルボルンに住むブラジル人が訪れる、ポルトガル語のブラジルの金融サイトを考えてみてください。会社の売上が300万豪ドル未満であれば、法律の対象外かもしれませんが、同意なしに利益と引き換えに個人データを第三者に渡す場合は、小規模企業の例外は使えません。広告パートナーと識別子を共有している場合は、この点を慎重に検討してください。

子ども向けのコンテンツについては、2026年のコードに備えてください。Googleは、広告タグで年齢に応じた扱いを提供しており、子ども向けとマークされたリクエストでは、パーソナライズをオフにします。

実例

オーストラリアでできること、できないこと

オーストラリアの訪問者がいる、コンテンツ、求人、金融サイトの日々の例です。

してよいこと

  • オーストラリアの訪問者に、TCFのメッセージなしで、Googleのパーソナライズ広告を表示する
  • 登録した人にニュースレターを送り、送信のたびに配信停止のリンクを付ける
  • プライバシーポリシーで分かりやすく説明している場合に、測定用のCookieを使う
  • 匿名の権利を尊重し、登録なしで記事を読めるようにする
  • 他の地域と同じバナーを、オーストラリアのルールも満たしている場合に使う

してはいけないこと

  • 同意も配信停止の選択肢もなしで、商業メールを送る
  • クイズで、同意を求めずに健康データを集める
  • マーケティング停止の請求を無視する
  • パートナーや海外への送信に触れていない、一般的なプライバシーポリシーを使う
  • 年齢に応じた扱いをせずに、子ども向けコンテンツでパーソナライズ広告を出す

よくあるエラー

サイトが特につまずきやすい点

オーストラリアのトラフィックがあるサイトでよくある不備です。

小規模企業の例外を確認せずに頼る

売上が低いだけでは足りません。同意なしに利益と引き換えに個人データを第三者に渡す場合は当てはまりません。

古いポリシー

ポリシーは、明確で最新でなければなりません。これを怠ることは、改正後に違反通知の対象になりうる違反のひとつです。

Spam Actを忘れる

同意のない、または配信停止のないニュースレターや商業SMSは、プライバシー原則に加えて、スパム防止法にも違反します。

センシティブなデータを求めるクイズやフォーム

健康、宗教、性的指向についての質問には、同意と、より慎重な扱いが必要です。

海外への送信を無視する

データは、オーストラリア国外のパートナーのサーバーに送られます。ポリシーにそのことを書く必要があり、サイトは引き続き責任を負います。

子ども向けコードを後回しにする

子ども向けの利用者がいるサイトは、2026年12月に予定されているコードの登録の前に、ターゲティング広告と同意を見直してください。

ConsentModeでは

オーストラリアについて監査で確認すること

  • オーストラリアの訪問者としてサイトを開き、バナーの有無、バナーが提供するもの、選択の前に動作するCookieとピクセルを記録します。
  • ページのコードからCMPを特定し(ある場合)、Googleに送られるConsent Modeのシグナルを読み取ります。
  • プライバシーポリシーに、データの種類、目的、広告パートナー、海外への送信、アクセス、訂正、苦情が書かれているかを確認します。
  • 子ども向けの利用者がいるページで、広告タグが年齢に応じた扱いを使っているかを確認します。
  • スクリーンショットと、優先順位付きの修正プランを提供します。
監査を実行する確認する項目をすべて見る

よくある質問

オーストラリア向けにCookieバナーは必要ですか?

オーストラリアの法律は、ヨーロッパのようなバナーを求めていません。求めているのは、透明性と、場合によっては同意です。Googleも、この訪問者に認定CMPを求めていません。分かりやすい通知と、完全なポリシーが最低限です。

うちのサイトは売上が少ないです。法律は適用されますか?

年間売上高が300万豪ドルまでの企業の大部分は対象外ですが、同意なしに利益と引き換えに個人データを第三者に渡す場合など、例外があります。ご自身のケースを確認してください。

重大なプライバシー侵害を理由とする訴訟とは何ですか?

2024年の改正で創設され、2025年6月10日から有効な権利です。重大なプライバシー侵害を受けた人は、その相手を訴えることができ、裁判所は、損害賠償の支払い、行為の停止、謝罪を命じることができます。

子ども向けコードはもう有効ですか?

まだです。草案は2026年3月に公開され、OAICは2026年12月10日までにコードを登録する必要があります。ソーシャルメディアと、子どもがアクセスしやすいオンラインサービスに適用される予定です。

誰が執行していますか?

OAIC(オーストラリア情報コミッショナー事務局)です。苦情を受け付け、調査し、通知を出し、重大な事案は、制裁金を求めて裁判所に持ち込めます。

データ漏えいは通知する必要がありますか?

重大な被害を引き起こしうる場合は必要です。組織は30日以内に評価し、リスクが確認されたら、OAICと影響を受けた人にできるだけ早く通知します。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

オーストラリアの訪問者に、サイトがどう見えるかを確認する

監査では、オーストラリアからサイトを開き、何も変更せずに、バナー、タグ、ポリシーで直すべき点を示します。

監査を始める