워크스페이스 열기

가이드 · 호주 규정

광고로 수익을 내는 사람을 위한 호주 Privacy Act

호주는 1988년 법과 기업 및 공공 기관에 적용되는 13개 원칙으로 개인정보 보호를 규율합니다. 2024년 개정으로 심각한 사생활 침해에 대해 소송할 권리, 새로운 과태료, 어린이를 위한 규약이 생겼습니다. 호주 방문자가 있는 사이트에 어떤 변화가 있는지 알아보세요.

내 사이트의 개인정보 보호 감사하기가이드 읽기
  • ✓연방 법률과 OAIC의 발표 자료 기준
  • ✓브라질 사이트를 포함한 광고 사이트의 사례
  • ✓사이트를 변경하지 않는 읽기
13적용 대상 기관이 따라야 하는 호주 개인정보 보호 원칙의 수
A$ 5,000만심각한 침해에 대한 과태료 상한이며, 이득의 3배 또는 조정 매출의 30%가 더 크면 그 금액
A$ 300만연간 매출 기준: 이보다 낮으면 대부분의 소규모 기업은 법의 적용을 받지 않음
2026년 12월 10일어린이를 위한 온라인 개인정보 보호 규약 등록 기한

정의

오래된 법, 새로운 규정

Privacy Act 1988은 호주의 연방 개인정보 보호법입니다. 중심에는 개인 정보를 수집, 사용, 보관, 공유, 정정하는 방법을 정한 13개의 호주 개인정보 보호 원칙, 즉 APP가 있습니다. 집행은 호주 정보 위원 사무소인 OAIC가 맡습니다.

이 법은 연방 정부 기관과 연간 매출이 300만 호주 달러를 넘는 조직에 적용됩니다. 의료 서비스 제공자나 동의 없이 대가를 받고 개인 데이터를 제3자에게 넘기는 곳처럼, 규모가 더 작은 일부 기업도 포함됩니다. 이런 조직을 통틀어 APP 대상 기관이라고 합니다.

호주와 연결된 외국 기업도 적용될 수 있습니다. 예를 들어 호주에서 사업을 하는 경우입니다. 호주 방문자만 받는 해외 사이트가 여기에 포함되는지는 개별 사안에 따라 다르므로, 어쨌든 모범 사례를 따르는 것이 좋습니다.

개인 정보는 식별되었거나 합리적으로 식별 가능한 사람에 대한 모든 정보나 의견입니다. 민감 정보에는 건강, 인종적 출신, 정치적 견해, 종교, 성적 지향, 범죄 기록, 유전 및 생체 데이터가 포함되며, 원칙적으로 동의가 있을 때만 수집할 수 있습니다.

체크리스트

꼭 지켜야 할 것

호주법이 적용되는 광고 사이트에 Privacy Act, APP, Spam Act가 요구하는 것을 정리했어요.

  1. 명확하고 최신인 개인정보처리방침

    정책은 명확하고 최신이어야 하며, 무료로 볼 수 있어야 하고, 데이터가 다른 나라로 가는지도 밝혀야 해요. Google은 Google 같은 제3자가 광고를 보여 주려고 쿠키를 쓴다는 내용도 요구해요.

  2. 수집 시점의 안내

    가입이나 뉴스레터처럼 데이터를 수집할 때는 데이터를 어디에 쓰는지와 APP 5의 나머지 항목을 알려 주세요.

    예시

    이메일은 주간 뉴스레터를 보내는 용도로만 사용해요. 데이터를 열람하거나 정정하는 방법은 개인정보처리방침에서 확인하세요.

  3. 익명 사용 허용하기

    원칙적으로 사람은 신원을 밝히지 않거나 가명을 쓸 수 있어야 해요. 법이 요구하거나 현실적으로 불가능한 경우는 예외예요.

  4. 민감 정보에 대한 동의

    건강이나 종교 같은 민감 정보를 수집하려면 원칙적으로 동의가 필요해요. 민감 정보를 직접 마케팅에 쓸 때도 동의가 필요해요.

  5. 직접 마케팅 수신 거부를 쉽게

    개인 데이터를 직접 마케팅에 쓰는 곳은 더 이상 받지 않겠다고 요청할 수 있는 간단한 방법을 제공해야 해요.

  6. Spam Act에 맞는 이메일과 SMS

    상업용 메시지에는 동의, 정확한 발신자 표시, 모든 메시지에 수신 거부 옵션이 필요해요. 수신 거부 요청은 영업일 기준 5일 안에 처리해야 해요.

    예시

    발송: 예시 회사. 더 이상 받고 싶지 않으신가요? 구독 취소.

  7. 해외 전송 주의

    데이터를 호주 밖으로 보내기 전에, 받는 쪽이 원칙을 어기지 않도록 합리적인 조치를 하세요.

  8. 심각한 유출 알리기

    유출로 심각한 피해가 생길 수 있다면 영향을 받는 사람들과 OAIC에 알리세요. OAIC에는 이를 위한 온라인 양식이 있어요.

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 호주에 대해 인증 CMP를 요구하지 않고 전용 메시지도 없어요. 그래서 아래 링크는 OAIC, ACMA, Google 자료예요.

13개 원칙

여섯 묶음으로 보는 APP

원칙은 데이터가 수집되는 순간부터 정정 요청까지 데이터가 거치는 경로를 따릅니다.

투명성과 익명성

APP 1과 2: 명확하고 최신인 개인정보처리방침을 두고, 가능하면 본인을 밝히지 않고도 이용할 수 있게 합니다.

수집과 고지

APP 3~5: 필요한 것만 공정한 방법으로 수집하고, 누가 수집하는지, 무엇을 위해서인지, 누구와 공유하는지 알립니다.

사용과 직접 마케팅

APP 6과 7: 데이터를 원래 목적에 사용하고, 직접 마케팅에서는 간단히 수신을 끊을 방법을 제공합니다.

해외 전송

APP 8: 데이터를 국외로 보내기 전에, 받는 쪽이 원칙을 지키도록 합리적인 조치를 취합니다.

식별자, 품질, 보안

APP 9~11: 정부 식별 번호를 자체 번호로 쓰지 않고, 데이터를 정확하게 유지하고 보호하며, 더 필요하지 않은 것은 삭제합니다.

열람과 정정

APP 12와 13: 조직이 보유한 본인의 데이터를 열람하게 하고 잘못된 것은 정정합니다.

동의, 쿠키, 마케팅

동의가 요구되는 곳

호주에는 유럽처럼 쿠키 배너를 의무화하는 일반 규정이 없습니다. 이 법은 고지와 투명성으로 작동합니다. 데이터가 수집되고 있다는 것과 그 목적을 사람이 알아야 합니다. 쿠키와 사람을 알아볼 수 있게 하는 식별자는, 그 사람이 합리적으로 식별 가능한 경우 이 규정에 해당합니다.

동의는 민감 정보를 수집하거나 데이터를 원래와 다른 목적으로 사용하는 것처럼 특정한 상황에서 요구됩니다. OAIC는 동의가 충분한 정보에 기반하고, 자발적이며, 현재 유효하고, 구체적이어야 하며, 동의하는 사람에게 그럴 능력이 있어야 한다고 봅니다.

직접 마케팅에서 APP 7은 사람이 그 사용을 예상할 만한 경우 개인 데이터를 사용할 수 있게 하되, 간단히 수신을 끊을 방법이 있어야 하고 그 요청을 존중해야 합니다. 상업적 이메일과 SMS도 Spam Act 2003을 따르며, 이 법은 동의, 발신자 식별, 모든 메시지의 수신 취소 옵션을 요구합니다.

어린이에 대해서는 규정이 더 엄격해질 예정입니다. 2026년 3월에 공개된 어린이를 위한 온라인 개인정보 보호 규약 초안은 어린이가 이용할 가능성이 큰 서비스에서 타겟 광고에 어린이의 데이터를 쓰기 전에 동의를 받도록 규정합니다.

2024년 개정과 과태료

2024년 법이 가져온 것

Privacy and Other Legislation Amendment Act 2024는 2024년 12월 10일에 재가되었습니다. 일부 규정은 다음 날부터 시행되었고, 일부는 별도의 기한이 있습니다.

심각한 침해에 대한 소송

2025년 6월 10일부터 침입이나 정보의 부적절한 사용으로 자신의 사생활이 심각하게 침해된 사람은 상대방을 고소할 수 있습니다. APP 대상 기관이 아닌 곳에도 적용됩니다.

어린이를 위한 규약

OAIC는 2026년 12월 10일까지 소셜 미디어와 어린이가 이용할 가능성이 큰 온라인 서비스에 대한 규약을 등록해야 합니다.

자동화된 결정

2026년 12월 10일부터 개인정보처리방침은 자동화된 시스템을 사용해 개인에게 영향을 주는 결정을 내리는 경우를 설명해야 합니다.

단계별 과태료

심각한 침해의 상한 외에도, 명확하고 최신인 개인정보처리방침이 없는 것 같은 위반에 대해서는 더 낮은 구간과 위반 통지가 있습니다.

중대한 사건의 상한

2022년 12월부터 최대 금액은 5,000만 호주 달러, 얻은 이득의 3배, 해당 기간 조정 매출의 30% 중 가장 큰 금액입니다.

법원에서의 첫 과태료

2025년 10월, Australian Clinical Labs는 보안 문제와 유출 통지 위반으로 580만 호주 달러를 내라는 판결을 받았습니다.

개인의 권리

호주 방문자가 요청할 수 있는 것

호주 법은 원칙으로 말하지만, 실제로는 사이트가 응해야 하는 권리가 됩니다.

열람

조직이 자신에 대해 보관하는 데이터를 요청합니다. 법에 정해진 경우에만 요청이 거부될 수 있습니다.

수정

잘못되었거나, 오래되었거나, 불완전하거나, 오해를 일으키는 데이터의 정정을 요청합니다.

익명으로 남기

기사를 읽는 것처럼 가능한 경우, 신원을 밝히지 않거나 가명으로 이용합니다.

마케팅 수신 거부

직접 마케팅을 받지 않겠다고 요청하고, 조직이 자신의 데이터를 어디서 얻었는지 묻습니다.

OAIC에 불만 제기

조직이 불만을 해결하지 않으면 OAIC에 사건을 가져갈 수 있으며, OAIC는 조사하고 조치를 결정할 수 있습니다.

소송

2024년 개정으로 생긴 권리에 따라 심각한 사생활 침해로 법원에 소송을 제기합니다.

의무

법의 적용을 받는 사이트가 해야 할 일

  1. 명확한 개인정보처리방침 유지하기어떤 종류의 데이터를 수집하는지, 어떻게, 무엇을 위해서인지, 사람이 데이터를 어떻게 열람하고 정정하는지, 어떻게 불만을 제기하는지, 데이터가 다른 나라로 가는지를 설명하세요. 2026년 12월부터는 자동화된 결정도 포함하세요.
  2. 수집할 때 알리기뉴스레터, 가입, 댓글 양식에서 누가 수집하는지, 왜인지, 데이터를 누구와 공유하는지 알려 주세요.
  3. 마케팅 수신 거부 제공하기모든 상업적 이메일이나 SMS에는 간단한 구독 취소 방법이 있어야 하고, 그 요청은 존중되어야 합니다.
  4. 보호하고 폐기하기합리적인 보안 조치를 취하고, 더 필요하지 않은 것은 삭제하거나 익명화하세요.
  5. 유출에 대응하기유출 가능성을 30일 이내에 신속히 평가하고, 심각한 피해를 일으킬 수 있다면 가능한 한 빨리 OAIC와 영향을 받은 사람들에게 알리세요.
  6. 해외 전송 관리하기호주 밖의 공급업체에 데이터를 보내기 전에, 그들이 원칙을 따르도록 합리적인 조치를 취하세요. 공급업체가 하는 일에 대한 책임은 조직에 계속 있습니다.

타임라인

중요한 날짜

원래의 법에서 2026년 말에 시작되는 의무까지입니다.

  1. 1988

    Privacy Act의 탄생

    연방 개인정보 보호법이 통과되며, 처음에는 공공 부문을 대상으로 합니다.

  2. 2014년 3월 12일

    13개 APP 시행

    호주 개인정보 보호 원칙이 정부와 적용 대상 기업에 적용되기 시작합니다.

  3. 2018년 2월 22일

    유출 통지

    심각한 피해 위험이 있는 유출을 OAIC와 해당자에게 알려야 하는 제도가 시작됩니다.

  4. 2022년 12월

    더 큰 과태료

    심각한 침해의 상한이 5,000만, 이득의 3배, 조정 매출의 30% 중 가장 큰 금액으로 올라갑니다.

  5. 2024년 12월 10일

    개정안 재가

    Privacy and Other Legislation Amendment Act 2024가 재가됩니다. 새로운 과태료와 OAIC의 권한은 다음 날부터 시행됩니다.

  6. 2025년 6월 10일

    심각한 침해에 대한 소송

    심각한 사생활 침해에 대해 소송할 권리가 시행됩니다.

  7. 2026년 3월 31일

    어린이 규약 초안

    OAIC가 어린이를 위한 온라인 개인정보 보호 규약 초안을 공개하고 6월 5일까지 공개 의견을 받습니다.

  8. 2026년 12월 10일

    규약과 자동화된 결정

    어린이 규약 등록 기한이며, 방침에서 자동화된 결정을 설명할 의무가 시작됩니다.

AdSense나 Ad Manager를 쓰는 사람에게

수익에 실제로 달라지는 점

Google은 호주에 대해 인증된 CMP나 IAB TCF를 요구하지 않습니다. 이 요구는 유럽 경제 지역, 영국, 스위스에 적용됩니다. 호주 트래픽은 TCF 메시지 없이도 계속 맞춤 광고를 받습니다.

그러므로 핵심은 투명성입니다. 개인정보처리방침에는 사이트가 쿠키와 광고 파트너를 쓴다는 점, 데이터가 국외로 갈 수 있다는 점, 사람이 자신의 권리를 어떻게 행사하는지가 있어야 합니다. 광고 환경설정으로 연결되는 눈에 띄는 링크는 방문자가 이해하고 선택하는 데 도움이 됩니다.

시드니와 멜버른에 사는 브라질 사람들이 방문하는 포르투갈어 브라질 금융 사이트를 생각해 보세요. 회사 매출이 300만 호주 달러 미만이면 법의 적용을 받지 않을 수 있지만, 동의 없이 대가를 받고 개인 데이터를 제3자에게 넘기는 곳에는 소규모 기업 예외가 적용되지 않습니다. 광고 파트너와 식별자를 공유한다면 이 점을 신중히 따져 봐야 합니다.

어린이 콘텐츠라면 2026년 규약에 대비하세요. Google은 광고 태그에서 연령별 처리를 제공하며, 어린이로 표시된 요청에는 맞춤 설정이 꺼집니다.

실제 사례

호주에서 해도 되는 것과 안 되는 것

호주 방문자가 있는 콘텐츠, 구인, 금융 사이트의 일상적인 예시입니다.

허용

  • 호주 방문자에게 TCF 메시지 없이 Google 맞춤 광고 표시하기
  • 가입한 사람에게 뉴스레터를 보내되, 매번 구독 취소 링크 넣기
  • 개인정보처리방침에 이를 분명히 설명한다면 측정 쿠키 사용하기
  • 익명성 권리를 존중해서, 가입 없이 기사를 읽게 하기
  • 다른 지역과 같은 배너가 호주 규정도 충족한다면 그대로 사용하기

허용 안 됨

  • 동의도 없이 구독 취소 옵션도 없이 상업적 이메일 보내기
  • 동의를 요청하지 않고 퀴즈에서 건강 데이터 수집하기
  • 마케팅 수신 거부 요청 무시하기
  • 파트너도 해외 전송도 언급하지 않는 일반적인 개인정보처리방침 사용하기
  • 연령별 처리를 쓰지 않고 어린이 콘텐츠에서 광고 맞춤화하기

흔한 오류

사이트들이 가장 많이 실수하는 부분

호주 트래픽이 있는 사이트에서 자주 발생하는 실수입니다.

확인하지 않고 소규모 기업 예외에 기대기

동의 없이 대가를 받고 개인 데이터를 제3자에게 넘긴다면 낮은 매출만으로는 충분하지 않습니다.

오래된 방침

방침은 명확하고 최신이어야 합니다. 이를 어기는 것은 개정 이후 위반 통지를 받을 수 있는 위반 중 하나입니다.

Spam Act를 잊기

동의가 없거나 구독 취소가 없는 상업적 뉴스레터와 SMS는 개인정보 보호 원칙과 별개로 스팸 방지법을 위반합니다.

민감 데이터를 묻는 퀴즈와 양식

건강, 종교, 성적 지향에 관한 질문은 동의와 더 세심한 주의가 필요합니다.

해외 전송 무시하기

데이터가 호주 밖에 있는 파트너의 서버로 갑니다. 방침에 이를 밝혀야 하며 사이트는 계속 책임이 있습니다.

어린이 규약을 나중으로 미루기

어린이 방문자가 있는 사이트는 2026년 12월로 예정된 규약 등록 전에 타겟 광고와 동의를 점검해야 합니다.

ConsentMode에서

호주에 대해 감사에서 확인하는 항목

  • 호주 방문자로 사이트에 접속해서 배너가 있는지, 무엇을 제공하는지, 선택 전에 어떤 쿠키와 픽셀이 실행되는지 기록합니다.
  • 있는 경우 페이지 코드로 CMP를 식별하고, Google로 전송되는 Consent Mode 신호를 읽습니다.
  • 개인정보처리방침에 데이터 유형, 목적, 광고 파트너, 해외 전송, 열람, 정정, 불만 제기가 있는지 확인합니다.
  • 어린이 방문자가 있는 페이지에서 광고 태그가 연령별 처리를 쓰는지 확인합니다.
  • 캡처 화면과 우선순위가 매겨진 수정 계획을 제공합니다.
감사 실행하기확인하는 항목 모두 보기

자주 묻는 질문

호주에 쿠키 배너가 필요한가요?

호주 법은 유럽식 배너를 요구하지 않습니다. 투명성과 경우에 따라 동의를 요구합니다. Google도 이 방문자에게 인증된 CMP를 요구하지 않습니다. 분명한 안내와 완전한 개인정보처리방침이 최소한의 요건입니다.

제 사이트는 매출이 적습니다. 법이 저에게 적용되나요?

매출이 300만 호주 달러 이하인 대부분의 기업은 적용되지 않지만, 동의 없이 대가를 받고 개인 데이터를 제3자에게 넘기는 곳 같은 예외가 있습니다. 내 경우를 따져 보세요.

심각한 사생활 침해 소송이란 무엇인가요?

2024년 개정으로 생긴 권리이며 2025년 6월 10일부터 시행됩니다. 자신의 사생활이 심각하게 침해된 사람은 상대방을 고소할 수 있으며, 법원은 배상, 행위 중단, 사과를 명령할 수 있습니다.

어린이 규약은 이미 시행 중인가요?

아직 아닙니다. 초안은 2026년 3월에 공개되었고, OAIC는 2026년 12월 10일까지 규약을 등록해야 합니다. 소셜 미디어와 어린이가 이용할 가능성이 큰 온라인 서비스에 적용될 예정입니다.

누가 집행하나요?

OAIC, 즉 호주 정보 위원 사무소입니다. 민원을 접수하고, 조사하고, 통지를 발급하며, 중대한 사건은 과태료를 요청하기 위해 법원에 가져갈 수 있습니다.

데이터 유출을 알려야 하나요?

네, 심각한 피해를 일으킬 수 있는 경우입니다. 조직은 30일 이내에 사건을 평가하고, 위험이 확인되면 가능한 한 빨리 OAIC와 영향을 받은 사람들에게 알립니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

호주 방문자에게 내 사이트가 어떻게 보이는지 확인해 보세요

감사는 호주에서 사이트에 접속해, 아무것도 바꾸지 않고 배너, 태그, 방침에서 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기