Мой кабинет

Руководство · Австралийский закон

Privacy Act Австралии для тех, кто живёт за счёт рекламы

Австралия регулирует конфиденциальность законом 1988 года и 13 принципами, действующими для компаний и государственных органов. Реформа 2024 года создала право подавать иски за серьёзное вторжение в частную жизнь, новые штрафы и кодекс для детей. Здесь описано, что это меняет для сайта с австралийскими посетителями.

Проверить конфиденциальность моего сайтаЧитать руководство
  • ✓Основано на федеральном законодательстве и публикациях OAIC
  • ✓Примеры сайтов с рекламой, в том числе бразильских
  • ✓Проверка без изменения сайта
13Австралийских принципов конфиденциальности, которым должны следовать охваченные организации
A$ 50 млнпотолок штрафа за серьёзное вмешательство, или больше, когда 3-кратная выгода или 30% скорректированной выручки больше
A$ 3 млнгодовой выручки: ниже этого большинство малых предприятий остаются вне закона
10 дек 2026срок регистрации онлайн-кодекса конфиденциальности для детей

Что это

Старый закон с новыми правилами

Privacy Act 1988 это федеральный закон Австралии о конфиденциальности. Его основа это 13 Австралийских принципов конфиденциальности, называемых APP, которые говорят, как собирать, использовать, хранить, передавать и исправлять персональную информацию. Контроль осуществляет OAIC, офис Австралийского комиссара по информации.

Закон действует для федеральных государственных органов и для организаций с годовой выручкой выше 3 миллионов австралийских долларов. Некоторые меньшие компании подпадают всё равно, например поставщики медицинских услуг и те, кто передаёт персональные данные третьим лицам в обмен на выгоду без согласия. Вместе эти организации называются организациями APP.

Иностранные компании тоже могут подпадать, если у них есть связь с Австралией, например ведение бизнеса в стране. Охватывает ли это иностранный сайт, который лишь получает австралийских посетителей, зависит от конкретного случая, поэтому в любом случае стоит следовать лучшим практикам.

Персональная информация это любая информация или мнение об идентифицированном или разумно идентифицируемом лице. Чувствительная информация включает здоровье, расовое происхождение, политические взгляды, религию, сексуальную ориентацию, судимости, а также генетические и биометрические данные, и, как правило, может собираться только с согласия.

Чек-лист

Что нужно выполнить

Что требуют Privacy Act, APP и Spam Act от сайта с рекламой, на который распространяется закон Австралии.

  1. Понятная и актуальная политика конфиденциальности

    Политика должна быть понятной, актуальной, бесплатной и сообщать, передаются ли данные в другие страны. Google также требует, чтобы в ней говорилось, что третьи стороны, например Google, используют cookie для показа рекламы.

  2. Уведомление в момент сбора

    Когда вы собираете данные, например при регистрации или подписке на рассылку, объясните, для чего они нужны, и укажите остальные пункты APP 5.

    Пример

    Мы используем ваш e-mail только для еженедельной рассылки. В политике конфиденциальности написано, как получить доступ к своим данным или исправить их.

  3. Разрешить анонимность

    Как правило, человек может не называть себя или использовать псевдоним, кроме случаев, когда этого требует закон или это невозможно.

  4. Согласие для чувствительной информации

    Сбор чувствительной информации, например о здоровье или религии, как правило, требует согласия. Использование чувствительной информации в прямом маркетинге тоже требует согласия.

  5. Простой отказ от прямого маркетинга

    Тот, кто использует персональные данные в прямом маркетинге, должен предложить простой способ попросить больше не получать сообщения.

  6. E-mail и SMS по правилам Spam Act

    Коммерческие сообщения требуют согласия, правильного указания отправителя и возможности отписаться в каждом из них. Просьба об отписке должна быть выполнена в течение пяти рабочих дней.

    Пример

    Отправлено компанией «Пример». Больше не хотите получать письма? Отписаться.

  7. Осторожно с отправкой за границу

    Прежде чем передавать данные за пределы Австралии, примите разумные меры, чтобы получатель не нарушал принципы.

  8. Сообщайте о серьёзных утечках

    Если утечка может причинить серьёзный вред, сообщите об этом пострадавшим и в OAIC, у которого для этого есть онлайн-форма.

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Google не требует сертифицированную CMP и не имеет отдельного сообщения для Австралии, поэтому ссылки ниже ведут на OAIC, ACMA и Google.

13 принципов

APP в шести блоках

Принципы следуют за путём данных, от момента сбора до запроса на исправление.

Прозрачность и анонимность

APP 1 и 2: иметь ясную и актуальную политику конфиденциальности и, когда возможно, позволять человеку взаимодействовать без идентификации.

Сбор и уведомление

APP 3 - 5: собирать только необходимое, добросовестными способами, и уведомлять человека о том, кто собирает, зачем и с кем делится.

Использование и прямой маркетинг

APP 6 и 7: использовать данные для первоначальной цели и предлагать в прямом маркетинге простой способ выйти.

Передача за рубеж

APP 8: перед отправкой данных за пределы страны принять разумные меры, чтобы получатель соблюдал принципы.

Идентификаторы, качество и безопасность

APP 9 - 11: не использовать государственные идентификационные номера как свои, поддерживать данные верными и защищать их, удаляя то, что больше не нужно.

Доступ и исправление

APP 12 и 13: предоставлять доступ к данным, которые организация имеет о человеке, и исправлять ошибочные.

Согласие, cookie и маркетинг

Где требуется согласие

В Австралии нет общего правила, требующего баннер cookie, как в Европе. Закон работает через уведомление и прозрачность: человек должен знать, что данные собираются, и зачем. Cookie и идентификаторы, позволяющие узнать человека, подпадают под эти правила, когда человек разумно идентифицируем.

Согласие требуется в конкретных ситуациях, например при сборе чувствительной информации и использовании данных для цели, отличной от первоначальной. По мнению OAIC, согласие должно быть осознанным, добровольным, актуальным и конкретным, а человек должен быть способен его дать.

В прямом маркетинге APP 7 разрешает использовать персональные данные, когда человек ожидал такого использования, если есть простой способ выйти и запрос о выходе соблюдается. Коммерческие e-mail и SMS также подчиняются Spam Act 2003, который требует согласия, указания отправителя и возможности отписки в каждом сообщении.

С детьми правило станет жёстче. Проект онлайн-кодекса конфиденциальности для детей, опубликованный в марте 2026 года, предусматривает согласие перед использованием данных детей для таргетированной рекламы в сервисах, к которым они, вероятно, обращаются.

Реформа 2024 года и штрафы

Что принёс закон 2024 года

Privacy and Other Legislation Amendment Act 2024 получил одобрение 10 декабря 2024 года. Часть правил начала действовать на следующий день, а часть имеет собственные сроки.

Иск за серьёзное вторжение

С 10 июня 2025 года человек может подать иск против того, кто серьёзно нарушил его частную жизнь, вторжением или неправомерным использованием информации. Действует также в отношении тех, кто не является организацией APP.

Кодекс для детей

OAIC должен зарегистрировать до 10 декабря 2026 года кодекс для социальных сетей и онлайн-сервисов, к которым, вероятно, обращаются дети.

Автоматизированные решения

С 10 декабря 2026 года политика конфиденциальности должна объяснять, когда решения, затрагивающие человека, принимаются с использованием автоматизированных систем.

Штрафы по ступеням

Помимо потолка для серьёзных вмешательств есть меньшие диапазоны и уведомления о нарушении за такие недостатки, как отсутствие ясной и актуальной политики конфиденциальности.

Потолок для серьёзных случаев

С декабря 2022 года максимум это наибольшая из сумм: 50 миллионов австралийских долларов, 3-кратная полученная выгода и 30% скорректированной выручки за период.

Первый штраф через суд

В октябре 2025 года Australian Clinical Labs было приговорено выплатить 5,8 миллиона австралийских долларов за недостатки безопасности и уведомления об утечке.

Права людей

Что может потребовать австралийский посетитель

Австралийский закон говорит о принципах, но на практике они превращаются в права, которые сайт должен выполнять.

Доступ

Запросить данные, которые организация хранит о нём. В запросе можно отказать только в случаях, предусмотренных законом.

Исправить

Просить исправить неверные, устаревшие, неполные или вводящие в заблуждение данные.

Оставаться анонимным

Взаимодействовать без идентификации или под псевдонимом, когда это возможно, например при простом чтении статей.

Выйти из маркетинга

Просить не получать прямой маркетинг и спросить, откуда организация взяла его данные.

Пожаловаться в OAIC

Если организация не решает жалобу, передать дело в OAIC, который может расследовать и определить меры.

Подать иск

Обратиться в суд по поводу серьёзного вторжения в частную жизнь на основании права, созданного реформой 2024 года.

Обязанности

Что должен сделать сайт, подпадающий под закон

  1. Поддерживать ясную политику конфиденциальностиОбъясните, какие типы данных собираются, как, зачем, как человек получает доступ к данным и исправляет их, как жалуется и уходят ли данные в другие страны. С декабря 2026 года включите автоматизированные решения.
  2. Уведомлять в момент сбораВ формах рассылки, регистрации или комментариев скажите, кто собирает, зачем и с кем данные будут передаваться.
  3. Давать выход из маркетингаВ каждом коммерческом e-mail или SMS должен быть простой способ отписаться, и запрос должен соблюдаться.
  4. Защищать и удалятьПринимайте разумные меры безопасности и удаляйте или анонимизируйте то, что больше не нужно.
  5. Реагировать на утечкиБыстро оцените возможную утечку, в течение 30 дней, и, если она может причинить серьёзный вред, как можно скорее уведомите OAIC и пострадавших.
  6. Следить за передачей за рубежПеред отправкой данных поставщикам за пределами Австралии примите разумные меры, чтобы они следовали принципам. Организация остаётся ответственной за действия поставщика.

Хронология

Важные даты

От первоначального закона до обязательств, которые начинаются в конце 2026 года.

  1. 1988

    Рождение Privacy Act

    Принимается федеральный закон о конфиденциальности, первоначально направленный на государственный сектор.

  2. 12 марта 2014 года

    Вступают 13 APP

    Австралийские принципы конфиденциальности начинают действовать для правительства и охваченных компаний.

  3. 22 февраля 2018 года

    Уведомление об утечках

    Начинает действовать режим, обязывающий уведомлять OAIC и людей об утечках с риском серьёзного вреда.

  4. Декабрь 2022 года

    Более высокие штрафы

    Потолок для серьёзных вмешательств повышается до наибольшей из сумм: 50 миллионов, 3-кратная выгода и 30% скорректированной выручки.

  5. 10 декабря 2024 года

    Реформа одобрена

    Privacy and Other Legislation Amendment Act 2024 подписан. Новые штрафы и полномочия OAIC действуют на следующий день.

  6. 10 июня 2025 года

    Иск за серьёзное вторжение

    Начинает действовать право подавать иски за серьёзное вторжение в частную жизнь.

  7. 31 марта 2026 года

    Проект детского кодекса

    OAIC публикует проект онлайн-кодекса конфиденциальности для детей и открывает публичные консультации до 5 июня.

  8. 10 декабря 2026 года

    Кодекс и автоматизированные решения

    Срок регистрации детского кодекса и начало обязанности объяснять автоматизированные решения в политике.

Для тех, у кого есть AdSense или Ad Manager

Что меняется на практике для дохода

Google не требует сертифицированной CMP или IAB TCF для Австралии. Это требование действует для Европейской экономической зоны, Великобритании и Швейцарии. Австралийский трафик продолжает получать персонализированную рекламу без сообщения TCF.

Значит, работа сводится к прозрачности. Политика конфиденциальности должна говорить, что сайт использует cookie и рекламных партнёров, что данные могут уходить за пределы страны и как человек реализует свои права. Заметная ссылка на настройки рекламы помогает посетителю понять и выбрать.

Представьте бразильский финансовый сайт на португальском, который получает бразильцев, живущих в Сиднее и Мельбурне. Если выручка компании меньше 3 миллионов австралийских долларов, она может быть вне закона, но исключение для малого бизнеса не действует для тех, кто передаёт персональные данные третьим лицам в обмен на выгоду без согласия. Тому, кто делится идентификаторами с рекламными партнёрами, стоит внимательно оценить этот пункт.

Для детского контента готовьтесь к кодексу 2026 года. Google предлагает обработку по возрасту в рекламных тегах, которая отключает персонализацию для запросов, помеченных как детские.

На практике

Что можно и что нельзя в Австралии

Повседневные примеры для сайтов с контентом, вакансиями и финансами с австралийской аудиторией.

Можно

  • Показывать персонализированную рекламу Google без сообщения TCF посетителям из Австралии
  • Отправлять рассылку тем, кто подписался, со ссылкой для отписки в каждой рассылке
  • Использовать cookie для измерения, если политика конфиденциальности ясно это объясняет
  • Позволять посетителю читать статьи без регистрации, уважая право на анонимность
  • Использовать тот же баннер, что в других регионах, если он также отвечает австралийским правилам

Нельзя

  • Отправлять коммерческие e-mail без согласия и без возможности отписаться
  • Собирать данные о здоровье в тесте без запроса согласия
  • Игнорировать запросы о выходе из маркетинга
  • Использовать общую политику конфиденциальности, которая не называет партнёров и передачу за рубеж
  • Персонализировать рекламу в детском контенте без использования обработки по возрасту

Частые ошибки

Где сайты ошибаются чаще всего

Частые ошибки на сайтах с трафиком из Австралии.

Рассчитывать на исключение для малого бизнеса без проверки

Низкой выручки недостаточно, если сайт передаёт персональные данные третьим лицам в обмен на выгоду без согласия.

Устаревшая политика

Политика должна быть ясной и актуальной. Нарушение этого одно из нарушений, за которые после реформы может последовать уведомление о нарушении.

Забыть о Spam Act

Рассылка и коммерческие SMS без согласия или без возможности отписки нарушают закон о спаме, помимо принципов конфиденциальности.

Тесты и формы, запрашивающие чувствительные данные

Вопросы о здоровье, религии или сексуальной ориентации требуют согласия и повышенной осторожности.

Игнорировать передачу за рубеж

Данные уходят на серверы партнёров за пределами Австралии. Политика должна об этом сказать, а сайт остаётся ответственным.

Оставить детский кодекс на потом

Сайтам с детской аудиторией стоит пересмотреть таргетированную рекламу и согласие до регистрации кодекса, запланированной на декабрь 2026 года.

В ConsentMode

Что аудит проверяет для Австралии

  • Открывает сайт как посетитель из Австралии и фиксирует, есть ли баннер, что он предлагает и какие cookie и пиксели срабатывают до выбора.
  • Определяет CMP по коду страницы, если она есть, и читает сигналы Consent Mode, отправляемые в Google.
  • Проверяет, содержит ли политика конфиденциальности типы данных, цели, рекламных партнёров, передачу за рубеж, доступ, исправление и жалобу.
  • Проверяет, используют ли рекламные теги обработку по возрасту на страницах с детской аудиторией.
  • Выдаёт скриншоты и план исправлений по приоритету.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы

Нужен ли баннер cookie для Австралии?

Австралийский закон не требует баннера, как европейский. Он требует прозрачности и в некоторых случаях согласия. Google также не требует сертифицированной CMP для этой аудитории. Чёткое уведомление и полная политика это минимум.

У моего сайта небольшая выручка. Применяется ли ко мне закон?

Большинство компаний с выручкой до 3 миллионов австралийских долларов остаются вне закона, но есть исключения, например те, кто передаёт персональные данные третьим лицам в обмен на выгоду без согласия. Оцените свой случай.

Что такое иск за серьёзное вторжение в частную жизнь?

Это право, созданное реформой 2024 года и действующее с 10 июня 2025 года. Человек может подать иск против того, кто серьёзно нарушил его частную жизнь, а суд может обязать выплатить компенсацию, прекратить действия или извиниться.

Действует ли уже кодекс для детей?

Ещё нет. Проект был опубликован в марте 2026 года, а OAIC должен зарегистрировать кодекс до 10 декабря 2026 года. Он должен действовать для социальных сетей и онлайн-сервисов, к которым, вероятно, обращаются дети.

Кто осуществляет контроль?

OAIC, офис Австралийского комиссара по информации. Он принимает жалобы, расследует, выдаёт уведомления и может передавать серьёзные дела в суд для наложения штрафа.

Нужно ли сообщать об утечке данных?

Да, когда она может причинить серьёзный вред. Организация оценивает случай в течение 30 дней и, при подтверждении риска, как можно скорее уведомляет OAIC и пострадавших.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Посмотрите, как ваш сайт выглядит для австралийского посетителя

Аудит открывает сайт из Австралии и показывает, что исправить в баннере, тегах и политике, ничего не меняя.

Начать аудит