透明度与匿名
APP 1 和 2：有一份清晰且及时更新的隐私政策，并在可能的情况下让个人无需表明身份即可交互。
指南 · 澳大利亚法规
面向靠广告谋生者的澳大利亚 Privacy Act
澳大利亚通过一部 1988 年的法律和适用于企业与公共机构的 13 项原则来规范隐私。2024 年的改革设立了就严重侵犯隐私提起诉讼的权利、新的罚款，以及一部儿童守则。下面介绍这对有澳大利亚访客的网站意味着什么。
- ✓基于联邦法律和 OAIC 的出版物
- ✓有广告网站的示例，包括巴西网站
- ✓只读取，不修改网站
13受监管实体必须遵守的澳大利亚隐私原则数量
5000 万澳元严重干预行为的罚款上限；当获益的 3 倍或调整后营业额的 30% 更高时，则以更高者为准
300 万澳元年营业额门槛：低于此数，大多数小企业不受该法律约束
2026 年 12 月 10 日儿童在线隐私守则的登记期限
是什么
一部旧法律，新的规则
Privacy Act 1988 是澳大利亚的联邦隐私法。其核心是 13 项澳大利亚隐私原则，简称 APP，规定如何收集、使用、保存、共享和更正个人信息。负责监督的是 OAIC，即澳大利亚信息专员办公室。
该法律适用于联邦政府机构以及年营业额超过 300 万澳元的组织。一些较小的企业也被纳入，例如医疗服务提供者，以及未经同意为了某种利益向第三方提供个人数据的企业。这些组织统称为 APP 实体。
外国公司只要与澳大利亚有联系，例如在该国开展业务，也可能被涵盖。至于这是否包括一个只接待澳大利亚访客的境外网站，取决于具体情况，所以无论如何都应遵循良好做法。
个人信息是关于已识别或可合理识别的个人的任何信息或意见。敏感信息包括健康、种族出身、政治观点、宗教、性取向、犯罪记录以及基因和生物识别数据，一般只有在取得同意时才能收集。
清单
你需要做到的事项
澳大利亚法律所涵盖的、带广告的网站需要满足 Privacy Act、APPs 和 Spam Act 的哪些要求。
清晰且最新的隐私政策
政策必须清晰、保持最新、免费提供，并说明数据是否会发送到其他国家。Google 还要求政策说明，包括 Google 在内的第三方会使用 cookie 来展示广告。
收集数据时的告知
收集数据时（例如注册或订阅新闻邮件），要说明数据的用途，以及 APP 5 要求的其他内容。
示例我们只会用您的电子邮箱发送每周新闻邮件。如何访问或更正您的数据，请见隐私政策。
允许匿名
原则上，个人可以不表明身份或使用化名，除非法律另有要求或这样做不可行。
敏感信息需要同意
收集健康或宗教等敏感信息，原则上需要同意。把敏感信息用于直接营销，同样需要同意。
简单的直接营销退出方式
在直接营销中使用个人数据的一方，必须提供一种简单的方式，让对方要求不再接收。
符合 Spam Act 的电子邮件和短信
商业信息需要征得同意，正确标明发送者，并且每一条都要提供取消订阅的选项。取消请求必须在五个工作日内处理。
示例由示例公司发送。不想再收到？取消订阅。
向境外发送数据要谨慎
在向澳大利亚境外发送数据之前，要采取合理措施，确保接收方不会违反这些原则。
严重泄露要通知
当数据泄露可能造成严重伤害时，要通知受影响的人和 OAIC，OAIC 为此提供了在线表格。
实际案例
正确与错误示例
✕错误政策已经过时，没有说明数据会离开本国。 ✓正确政策中提到了 cookie、广告合作伙伴和向境外发送数据，并且每个页面都有链接。 ✕错误完全没有可以退出营销的途径。 ✓正确有一个固定链接，通向广告和营销偏好设置。 ✕错误网站收集健康数据时没有征求同意。 ✓正确网站在表单中收集健康数据之前，会先征求同意。
官方工具
经认证的 CMP 与官方链接
Google 对澳大利亚没有要求使用认证 CMP，也没有专门的消息，所以下面的链接来自 OAIC、ACMA 和 Google。
- 澳大利亚隐私原则（OAIC）13 条 APP 的全文，涵盖政策、告知、营销和向境外发送数据。www.oaic.gov.au/privacy/australian-privacy-principles/read-the-australian-privacy-principles
- 数据泄露通报计划（OAIC）说明何时需要通知 OAIC 和受影响的人。www.oaic.gov.au/privacy/notifiable-data-breaches/about-the-notifiable-data-breaches-scheme
- 如何避免发送垃圾信息（ACMA）概述 Spam Act 对同意、身份标识和取消订阅的规定。www.acma.gov.au/avoid-sending-spam
- “隐私权和消息”中的消息类型（Google）显示 Google 的工具提供面向欧洲和美国各州的消息，但没有面向澳大利亚的消息。support.google.com/adsense/answer/10923959
- 隐私政策的必备内容（Google AdSense）列出您的政策必须说明的关于 Google 和广告合作伙伴 cookie 的内容。support.google.com/adsense/answer/1348695
13 项原则
分为六个板块的 APP
这些原则沿着数据的路径展开，从收集的那一刻起，直到更正请求为止。
收集与通知
APP 3 至 5：只收集必要的数据，采用公平的方式，并告知个人谁在收集、用于什么以及与谁共享。
使用与直接营销
APP 6 和 7：将数据用于最初的目的，并在直接营销中提供一种简单的退出方式。
向境外传输
APP 8：在向境外发送数据之前，采取合理措施使接收方遵守这些原则。
标识符、质量与安全
APP 9 至 11：不将政府标识号码用作自己的标识，保持数据正确并加以保护，删除不再需要的数据。
访问与更正
APP 12 和 13：提供组织所持有的关于该个人的数据的访问，并更正错误的内容。
同意、Cookie 与营销
哪些情况下需要同意
澳大利亚没有像欧洲那样强制要求 Cookie 横幅的一般规则。该法律以通知和透明度为基础：个人必须知道正在收集数据以及收集的目的。当个人可被合理识别时，能够识别某人的 Cookie 和标识符属于这些规则的范围。
同意在特定情形下是必需的，例如收集敏感信息，以及将数据用于与最初不同的目的。根据 OAIC，同意必须是知情的、自愿的、最新的和具体的，并且个人必须有能力给予同意。
在直接营销中，APP 7 允许在个人预期会有这种使用的情况下使用个人数据，前提是存在简单的退出方式，并且退出请求得到尊重。商业电子邮件和短信还遵守 Spam Act 2003，该法要求取得同意、标明发送者，并在每条消息中提供取消订阅选项。
对于儿童，规则将变得更严格。2026 年 3 月发布的儿童在线隐私守则草案规定，在儿童可能访问的服务中，使用儿童数据进行定向广告之前须先取得同意。
2024 年改革与罚款
2024 年的法律带来了什么
Privacy and Other Legislation Amendment Act 2024 于 2024 年 12 月 10 日获得御准。部分规则在次日生效，部分规则有各自的期限。
对严重侵犯提起诉讼
自 2025 年 6 月 10 日起，个人可以起诉严重侵犯其隐私的人，无论是侵入还是不当使用信息。这也适用于不是 APP 实体的人。
儿童守则
OAIC 必须在 2026 年 12 月 10 日之前登记一部适用于社交媒体和儿童可能访问的在线服务的守则。
自动化决策
自 2026 年 12 月 10 日起，隐私政策必须说明何时使用自动化系统做出影响个人的决定。
分级罚款
除了严重干预行为的上限之外，对于没有清晰且及时更新的隐私政策等失误，还有较低的罚款档次和违规通知。
严重案件的上限
自 2022 年 12 月起，最高金额为 5000 万澳元、所获利益的 3 倍以及该期间调整后营业额的 30% 这三者中的最高值。
法院的第一笔罚款
2025 年 10 月，Australian Clinical Labs 因安全和泄露通报方面的失误，被判支付 580 万澳元。
个人的权利
澳大利亚访客可以提出什么要求
澳大利亚的法律讲的是原则，但在实践中，这些原则变成了网站必须满足的权利。
访问
要求查看组织保存的关于本人的数据。只有在法律规定的情形下才能拒绝该请求。
修复
要求更正错误、过时、不完整或具有误导性的数据。
保持匿名
在可行的情况下，无需表明身份或使用化名进行交互，例如只是阅读文章。
退出营销
要求不再接收直接营销，并询问组织从哪里获得了其数据。
向 OAIC 投诉
如果组织没有解决投诉，可将案件提交给 OAIC，OAIC 可以展开调查并决定采取措施。
提起诉讼
依据 2024 年改革设立的权利，就严重侵犯隐私向法院提起诉讼。
义务
受该法律涵盖的网站需要做什么
- 保持清晰的隐私政策说明收集哪些类型的数据、如何收集、用于什么、个人如何访问和更正数据、如何投诉，以及数据是否会传到其他国家。自 2026 年 12 月起，还要包括自动化决策。
- 在收集时告知在新闻邮件、注册或评论表单中，说明谁在收集、为什么收集，以及数据将与谁共享。
- 提供退出营销的途径每封商业电子邮件或短信都需要一种简单的取消订阅方式，并且该请求必须得到尊重。
- 保护并销毁采取合理的安全措施，并删除或匿名化不再需要的数据。
- 应对泄露迅速评估可能的泄露，在 30 天内完成，如果它可能造成严重损害，则尽快通知 OAIC 和受影响的个人。
- 注意向境外传输在向澳大利亚境外的供应商发送数据之前，采取合理措施使其遵守这些原则。供应商的所作所为，组织仍须负责。
时间线
重要日期
从最初的法律到 2026 年底开始生效的义务。
- 1988
Privacy Act 诞生
联邦隐私法获得通过，最初针对公共部门。
- 2014 年 3 月 12 日
13 项 APP 生效
澳大利亚隐私原则开始适用于政府和受监管的企业。
- 2018 年 2 月 22 日
泄露通报
要求就存在严重损害风险的泄露通知 OAIC 和个人的制度开始实施。
- 2022 年 12 月
更高的罚款
严重干预行为的上限提高到 5000 万、获益的 3 倍和调整后营业额的 30% 三者中的最高值。
- 2024 年 12 月 10 日
改革获得御准
Privacy and Other Legislation Amendment Act 2024 获得御准。新的罚款和 OAIC 的权力次日生效。
- 2025 年 6 月 10 日
对严重侵犯提起诉讼
就严重侵犯隐私提起诉讼的权利开始生效。
- 2026 年 3 月 31 日
儿童守则草案
OAIC 发布儿童在线隐私守则草案，并开放公众咨询至 6 月 5 日。
- 2026 年 12 月 10 日
守则与自动化决策
儿童守则的登记期限，以及在政策中说明自动化决策的义务开始生效。
面向使用 AdSense 或 Ad Manager 的网站
这对收入在实践中意味着什么
Google 对澳大利亚不要求认证的 CMP 或 IAB TCF。这一要求适用于欧洲经济区、英国和瑞士。澳大利亚的流量继续收到个性化广告，无需 TCF 消息。
因此，工作重点在于透明度。隐私政策必须说明网站使用 Cookie 和广告合作伙伴、数据可能传到境外，以及个人如何行使权利。一个显眼的广告偏好链接，有助于访客理解和做出选择。
设想一个巴西的葡萄牙语财经网站，接收居住在悉尼和墨尔本的巴西人。如果公司的营业额低于 300 万澳元，它可能不受该法律约束，但小企业例外并不适用于未经同意为了某种利益向第三方提供个人数据的情形。与广告合作伙伴共享标识符的网站应当仔细评估这一点。
对于儿童内容，请为 2026 年的守则做好准备。Google 在广告标签中提供按年龄处理的功能，它会对被标记为儿童的请求关闭个性化。
实际案例
在澳大利亚的允许与不允许
面向澳大利亚受众的内容、招聘和财经网站的日常示例。
可以
- 向澳大利亚访客展示 Google 的个性化广告，无需 TCF 消息
- 向已注册的人发送新闻邮件，每次发送都附有取消订阅链接
- 使用衡量类 Cookie，前提是隐私政策对此作出清楚的说明
- 让访客无需注册即可阅读文章，尊重匿名的权利
- 如果其他地区的横幅也符合澳大利亚的规则，则可沿用同一个横幅
不可以
- 未经同意且没有取消选项就发送商业邮件
- 在测验中收集健康数据而不征求同意
- 忽略退出营销的请求
- 使用不提及合作伙伴和境外传输的通用隐私政策
- 在儿童内容上进行个性化广告而不使用按年龄处理
常见错误
网站最容易出错的地方
澳大利亚流量网站的常见失误。
未经核实就依赖小企业例外
如果网站未经同意为了某种利益向第三方提供个人数据，营业额低并不够。
过期的政策
政策必须清晰且是最新的。在改革之后，未能做到这一点是可能引发违规通知的违规行为之一。
忘记 Spam Act
未经同意或没有取消订阅选项的商业新闻邮件和短信，除违反隐私原则外，还违反反垃圾邮件法。
索要敏感数据的测验和表单
有关健康、宗教或性取向的问题，需要取得同意并格外谨慎。
忽略向境外传输
数据会发送到澳大利亚境外合作伙伴的服务器。政策必须说明这一点，网站仍然要承担责任。
把儿童守则留到以后
面向儿童受众的网站应在守则登记之前（预计在 2026 年 12 月）审查定向广告和同意。
常见问题
澳大利亚需要 Cookie 横幅吗？
澳大利亚的法律不要求欧洲那样的横幅。它要求透明度，并在某些情况下要求同意。Google 也不要求为该受众使用认证的 CMP。清晰的通知和完整的政策是最低要求。
我的网站营业额很低。这部法律对我适用吗？
大多数营业额不超过 300 万澳元的企业不受约束，但也有例外，例如未经同意为了某种利益向第三方提供个人数据的企业。请评估您的情况。
什么是严重侵犯隐私的诉讼？
这是 2024 年改革设立、自 2025 年 6 月 10 日起生效的权利。个人可以起诉严重侵犯其隐私的人，法院可以命令支付赔偿、停止该行为或道歉。
儿童守则已经生效了吗？
还没有。草案于 2026 年 3 月发布，OAIC 必须在 2026 年 12 月 10 日之前登记该守则。它应适用于社交媒体和儿童可能访问的在线服务。
谁负责监管？
OAIC，即澳大利亚信息专员办公室。它接收投诉、展开调查、发出通知，并可以把严重案件提交法院以追究罚款。
数据泄露需要通报吗？
需要，当它可能造成严重损害时。组织在 30 天内评估该案件，一旦确认存在风险，就尽快通知 OAIC 和受影响的个人。
资料库
官方来源
本指南根据以下官方页面编写。请直接阅读原文：
- OAIC：Privacy Actwww.oaic.gov.au/privacy/privacy-legislation/the-privacy-act
- OAIC：严重侵犯隐私的诉讼www.oaic.gov.au/privacy/your-privacy-rights/more-privacy-rights/statutory-tort-for-serious-invasions-of-privacy
- OAIC：儿童在线隐私守则草案www.oaic.gov.au/news/media-centre/oaic-releases-exposure-draft-of-the-childrens-online-privacy-code
- OAIC：Australian Clinical Labs 被判处 Privacy Act 下的首笔罚款www.oaic.gov.au/news/media-centre/australian-clinical-labs-ordered-to-pay-penalties-in-relation-to-medlab-pathology-data-breach-in-first-for-privacy-act
- legislation.gov.au：Privacy and Other Legislation Amendment Act 2024www.legislation.gov.au/C2024A00128/latest/details
- OAIC：阅读澳大利亚隐私原则www.oaic.gov.au/privacy/australian-privacy-principles/read-the-australian-privacy-principles
查看您的网站在澳大利亚访客眼中是什么样子
审核会从澳大利亚打开网站，并显示横幅、标签和政策方面需要修复什么，不会更改任何内容。