Strukturen i 2024-2026-reformen

Reformen indføres i to trancher, og kun den første er fuldt ud landet. At forstå sekventeringen er vigtig for at vide, hvad der er juridisk gældende versus hvad der kommer.

Tranche 1 — I kraft fra 2024-2025

Privacy and Other Legislation Amendment Act 2024, stadfæstet i november 2024, leverede adskillige ændringer, der allerede gælder:

• Lovfæstet erstatningsansvar for alvorlige krænkelser af privatlivet — enkeltpersoner kan sagsøge direkte for alvorlige krænkelser af privatlivet uden at skulle påvise en overtrædelse af selve Privacy Act
• Nye civilretlige sanktioner — OAIC kan søge sanktioner for enhver krænkelse af privatlivet, ikke kun for alvorlige eller gentagne overtrædelser
• Transparenskrav til automatiseret beslutningstagning — enheder skal oplyse, hvornår der træffes væsentlige beslutninger om enkeltpersoner ved hjælp af automatiserede systemer
• Doxxing er kriminaliseret — forsætlig offentliggørelse af personoplysninger for at forårsage skade er nu en strafbar handling
• Children's Online Privacy Code — OAIC er forpligtet til at udvikle en bindende kodeks for tjenester, der sandsynligvis tilgås af børn, og kodeksen forventes klar i 2026

Tranche 2 — Under aktiv høring for 2026-2027

Den anden tranche dækker de mere strukturelle ændringer og arbejder sig igennem regeringsaftalen i 2025 og 2026. Forventede elementer inkluderer:

• Fjernelse eller betydelig indsnævring af småvirksomhedsundtagelsen, der i øjeblikket fritager enheder med en årlig omsætning under AUD 3 millioner
• En klarere fair og rimelig test, der gælder for enhver håndtering af personoplysninger, uafhængigt af samtykke
• Eksplicit regulering af målrettet annoncering, sandsynligvis med opt-in-samtykke for følsomme kategorier
• En ny ret til sletning, der bringer australsk ret tættere på GDPR
• Strammere kontroller med grænseoverskridende dataoverførsler

Hvad der tæller som personoplysninger i henhold til australsk ret

Den australske Privacy Act definerer personoplysninger bredt. Den dækker enhver information om en identificeret eller rimeligt identificerbar person, og OAIC fortolker rimeligt identificerbar til at inkludere online-identifikatorer, enheds-ID'er, IP-adresser kombineret med andre data og reklamemæssige identifikatorer. I praksis behandler cookies, pixel-tracking, enhedsfingeraftryk og identitetsgrafik brugt til annoncering på tværs af sider personoplysninger i henhold til australsk ret og er fuldt ud inden for rammerne af Australian Privacy Principles (APP)-overholdelse.

Hvordan cookiesamtykke fungerer i henhold til australsk ret i 2026

Australsk ret kræver i øjeblikket ikke et fuldt GDPR-stil opt-in-banner for alle cookies. Men det er heller ikke en fri zone, og adskillige nylige udviklinger har strammet barren.

APP 3 — Indsamling kræver meddelelse

Australian Privacy Principle 3 kræver, at personoplysninger kun indsamles på lovlige og retfærdige måder med meddelelse om formålene. For cookies, der indsamler personoplysninger, betyder det, at en synlig, informativ meddelelse skal præsenteres før eller på tidspunktet for indsamlingen. Skjult tracking opfylder ikke APP 3.

APP 6 — Brug og videregivelse kræver formålsoverensstemmelse

Personoplysninger kan kun bruges til det formål, de blev indsamlet til, til et rimeligt relateret sekundært formål eller med den pågældendes samtykke. Deling af cookie-afledte data med en digital annonceringsplatform til adfærdsannoncering på tværs af kontekster falder typisk uden for det primære formål, hvilket skubber det hen imod samtykke.

OAIC's vejledning om tracking

OAIC's vejledning fra 2024 om trackingteknologier er utvetydig: enheder bør levere en klar mekanisme for enkeltpersoner til at fravælge tracking, og for enhver use case, der involverer følsomme oplysninger eller profilering til vigtige beslutninger, forventer OAIC opt-in-samtykke. Det placerer målrettet annoncering, programmatisk retargeting, sessionsafspilning og adfærdsanalyse fast i opt-in-territorium i praksis, selv om loven endnu ikke har gjort det obligatorisk i alle tilfælde.

Den praktiske CMP-konfiguration for 2026

De fleste udgivere, der opererer i Australien, kører nu en CMP, der præsenterer et tre-tilstands banner: Accepter, Afvis og Tilpas. For EU- eller UK-trafik er opt-in streng. For australsk trafik er opt-in den anbefalede standard for målrettet annoncering og sessionsafspilning, mens analyser ofte kan køre under en meddelelse-og-valg-model, så længe IP-anonymisering og dataminimering er på plads.

Det lovfæstede erstatningsansvar — Hvad det faktisk muliggør

Det nye lovfæstede erstatningsansvar er den mest betydningsfulde ændring for digitale annoncører i praktiske termer. Tidligere var det kun OAIC, der kunne håndhæve privatlivsrettigheder, og individuelle retsmidler var begrænsede. Det lovfæstede erstatningsansvar ændrer dette.

Hvad er en alvorlig krænkelse af privatlivet?

Erstatningsansvaret dækker forsætlig eller hensynsløs adfærd, der forårsager en alvorlig krænkelse af privatlivet, enten ved indtrængen i afsondretheden eller ved misbrug af private oplysninger. Domstolene vil veje alvorligheden op mod den offentlige interesse og andre hensyn.

Hvorfor annoncører bør bekymre sig

Aggressiv tracking, særligt sessionsafspilning, der fanger tastetryk og cursoradfærd på følsomme sider, fingeraftryk, der omgår en brugers fravalg, eller uautoriseret sammenkobling af anonym adfærd med en navngivet identitet — alt dette er nu plausible faktiske grundlag for et erstatningskrav. Forvent, at sagsøgerselskaber begynder at teste grænserne i 2026. Australien har ikke USA's søgsmålskultur, men repræsentative søgsmål er mulige, og nogle selskaber positionerer sig tydeligt for dem.

Children's Online Privacy Code

Children's Online Privacy Code er det enkelt mest specifikke stykke ny regulering for udgivere, hvis websteder sandsynligvis tilgås af børn.

Hvem er inden for rammerne

Kodeksen gælder for sociale medietjenester, relevante elektroniske tjenester, der sandsynligvis tilgås af børn, og visse designerede internettjenester. I praksis rækker dette langt ud over rene børnewebsteder — enhver platform for brede målgrupper, som et betydeligt antal mindreårige tilgår, vil sandsynligvis blive fanget, og OAIC forventes at tage en inkluderende fortolkning.

Kernepligter forventet i Kodeksen

• Høje privatlivsindstillinger som standard for brugere under 18 år
• Begrænsninger på målrettet annoncering over for mindreårige
• Forbud mod mørke mønstre, der skubber børn mod svagere privatlivsindstillinger
• Alderspassende forklaringer på datahåndtering
• Vurderinger af barnets bedste interesser inden implementering af funktioner, der behandler deres personoplysninger

Hvad der skal forberedes nu

Udgivere, hvis publikum inkluderer et betydeligt antal besøgende under 18 år, bør begynde at revidere deres trackingstak, annoncekonfiguration og standardindstillinger inden Kodeksen er afsluttet. Eftermontering er typisk dyrere og mere forstyrrende end at designe compliance ind i stakken fra starten.

Håndhævelsesposition i 2026

OAIC har modtaget markant øgede ressourcer sideløbende med reformerne. Revisionsaktiviteten er øget, og Kommissæren har signaleret en mere offentlig håndhævelsestilgang.

Gældende sanktioner

Den maksimale civilretlige sanktion for alvorlig eller gentagen krænkelse af privatlivet er det største af AUD 50 millioner, tre gange fordelen opnået fra adfærden eller 30 procent af enhedens justerede omsætning i overtrædelsesperioden. Reformen indførte også et andet niveau af sanktion for enhver krænkelse af privatlivet, der ikke opfylder alvorlighedstærsklen, og giver OAIC mere kalibrerede håndhævelsesværktøjer.

Anmeldelsespligtige databrud

Australien har haft en obligatorisk ordning for anmeldelse af databrud siden 2018, og OAIC har været synligt aggressiv med hensyn til håndhævelse i kølvandet på de store australske databrudshændelser i 2022 og 2023. Enhver cookie- eller trackingrelateret hændelse, der fører til uautoriseret videregivelse, vil sandsynligvis være inden for rammerne.

Grænseoverskridende overførsler og global trafik

Australian Privacy Principle 8 kræver, at enheder tager rimelige skridt for at sikre, at oversøiske modtagere håndterer personoplysninger i overensstemmelse med APPs. For en udgiver, der bruger globalt ad tech, betyder det enten en jurisdiktion med i det væsentlige lignende love, et kontraktuelt bindende tilsagn fra den oversøiske modtager eller informeret samtykke fra den pågældende.

Overførsler til USA

US er ikke i øjeblikket anerkendt som havende i det væsentlige lignende love. Overførsler til US-ad tech-leverandører kræver derfor enten bindende kontraktlige forpligtelser eller eksplicit samtykke. Udgivere, der er afhængige af Data Privacy Framework-certificeringer — som dækker EU-US-overførsler — bør bemærke, at disse certificeringer ikke automatisk opfylder det australske APP 8-krav.

Revisionschecklist for australsk trafik i 2026

• CMP præsenterer klare accepter, afvis og tilpas muligheder med lige visuel fremtræden for australsk trafik
• Målrettet annoncering, retargeting og sessionsafspilning kræver opt-in-samtykke; analyser kører under meddelelse og dataminimering
• Privatlivspolitikken identificerer tydeligt cookies, pixel-tracking og reklamemæssige identifikatorer med en formålserklæring tilpasset APP 3 og APP 6
• Mekanismer for grænseoverskridende overførsler er dokumenteret for enhver ikke-australsk behandler (leverandørliste, kontraktlige beskyttelser eller samtykke)
• Automatiseret beslutningstagning oplyses, hvor der træffes vigtige beslutninger ved hjælp af sådanne systemer
• Beredskabsvurdering for Children's Online Privacy Code er komplet med høj-privatlivsstandarder tilgængelige for opdagede mindreårige brugere
• Doxxing-risikorevision er komplet for enhver funktionalitet, der kan offentliggøre brugerindsendte personoplysninger
• Databrudsberedskabsplanen er tilpasset 30-dages anmeldelsesvinduet og det aktuelle OAIC-rapporteringsformat

Udsigterne for 2026

Australien er midt i et strukturelt skift fra et let privatlivsregime til et, der ligner de europæiske og californiske rammer mere og mere — med sine egne australske karakteristika. Den første tranche er allerede håndhævelig og omformer allerede retssager. Den anden tranche, herunder indsnævringen af småvirksomhedsundtagelsen og eksplicit regulering af målrettet annoncering, vil sandsynligvis træde i kraft i 2026 eller 2027. Udgivere og annoncører, der har investeret i en GDPR-niveau samtykkestak, har allerede det meste af det maskineri, de har brug for til at overholde reglerne. De, der har stolet på Australiens historisk lettere position, er ved at træde ind i det nye regime med kendte huller. Det rigtige skridt er at lukke disse huller nu — inden det lovfæstede erstatningsansvar, Børnekodeksen eller en OAIC-revision tvinger spørgsmålet på en tidslinje, som ingen kontrollerer.