La structure de la réforme 2024-2026

La réforme est déployée en deux tranches, et seule la première est pleinement entrée en vigueur. Comprendre le séquençage est essentiel pour savoir ce qui est légalement en vigueur par rapport à ce qui est à venir.

Tranche 1 — En vigueur depuis 2024-2025

Le Privacy and Other Legislation Amendment Act 2024, promulgué en novembre 2024, a apporté plusieurs changements qui s'appliquent déjà :

• Délit civil statutaire pour les atteintes graves à la vie privée — les particuliers peuvent poursuivre directement en justice pour des atteintes graves à la vie privée, sans avoir à démontrer une violation du Privacy Act lui-même
• Nouvelles sanctions civiles — l'OAIC peut demander des sanctions pour toute atteinte à la vie privée, pas seulement pour les violations graves ou répétées
• Exigences de transparence pour la prise de décision automatisée — les entités doivent divulguer quand des décisions importantes concernant des individus sont prises à l'aide de systèmes automatisés
• Doxxing criminalisé — la publication intentionnelle de données personnelles pour causer un préjudice est désormais une infraction pénale
• Children's Online Privacy Code — l'OAIC est tenu de développer un code contraignant pour les services susceptibles d'être accessibles par des enfants, le code devant être publié en 2026

Tranche 2 — En consultation active pour 2026-2027

La deuxième tranche couvre les changements plus structurels et est en cours d'approbation gouvernementale en 2025 et 2026. Les éléments attendus comprennent :

• La suppression ou le rétrécissement significatif de l'exemption pour les petites entreprises qui exempte actuellement les entités dont le chiffre d'affaires annuel est inférieur à 3 millions AUD
• Un test d'équité et de raisonnabilité plus clair qui s'applique à chaque traitement de données personnelles, indépendamment du consentement
• Une réglementation explicite de la publicité ciblée, avec un consentement opt-in probable pour les catégories sensibles
• Un nouveau droit à l'effacement, rapprochant la loi australienne du GDPR
• Des contrôles plus stricts sur les transferts transfrontaliers de données

Ce qui constitue des informations personnelles en droit australien

Le Privacy Act australien définit les informations personnelles de manière large. Il couvre toute information concernant une personne identifiée ou raisonnablement identifiable, et l'OAIC interprète raisonnablement identifiable comme incluant les identifiants en ligne, les identifiants d'appareil, les adresses IP combinées avec d'autres données, et les identifiants publicitaires. En pratique, les cookies, le suivi par pixel, la prise d'empreinte numérique des appareils et les graphes d'identité utilisés pour la publicité inter-sites traitent tous des informations personnelles en vertu du droit australien et entrent pleinement dans le champ de la conformité aux Australian Privacy Principles (APP).

Comment fonctionne le consentement aux cookies en droit australien en 2026

Le droit australien n'exige pas actuellement une bannière opt-in complète à la GDPR pour tous les cookies. Mais ce n'est pas non plus une liberté totale, et plusieurs développements récents ont relevé le niveau des exigences.

APP 3 — La collecte nécessite un avis

L'Australian Privacy Principle 3 exige que les informations personnelles soient collectées uniquement par des moyens légaux et équitables, avec avis des finalités. Pour les cookies qui collectent des informations personnelles, cela signifie qu'un avis visible et informatif doit être présenté avant ou au moment de la collecte. Le suivi dissimulé ne satisfait pas à l'APP 3.

APP 6 — L'utilisation et la divulgation nécessitent une correspondance de finalité

Les informations personnelles ne peuvent être utilisées qu'aux fins pour lesquelles elles ont été collectées, à une fin secondaire raisonnablement liée, ou avec le consentement de l'individu. Le partage de données dérivées de cookies avec une plateforme de publicité numérique pour la publicité comportementale multi-contexte sort généralement de la finalité principale, ce qui la pousse vers le consentement.

Les orientations de l'OAIC sur le suivi

Les orientations 2024 de l'OAIC sur les technologies de suivi sont sans ambiguïté : les entités doivent fournir un mécanisme clair permettant aux individus de refuser le suivi, et pour tout cas d'utilisation impliquant des informations sensibles ou un profilage à des fins de décisions importantes, l'OAIC attend un consentement opt-in. Cela place la publicité ciblée, le reciblage programmatique, la lecture de session et l'analyse comportementale fermement dans le territoire opt-in en pratique, même si la loi ne l'a pas encore rendu obligatoire dans tous les cas.

La configuration pratique du CMP en 2026

La plupart des éditeurs opérant en Australie utilisent désormais un CMP qui présente une bannière à trois états : Accepter, Refuser et Personnaliser. Pour le trafic EU ou UK, l'opt-in est strict. Pour le trafic australien, l'opt-in est la valeur par défaut recommandée pour la publicité ciblée et la lecture de session, tandis que l'analytique peut souvent fonctionner sous un modèle d'avis et de choix tant que l'anonymisation IP et la minimisation des données sont en place.

Le délit civil statutaire — ce qu'il permet réellement

Le nouveau délit civil statutaire est le changement le plus significatif pour les annonceurs numériques dans les termes pratiques. Auparavant, seul l'OAIC pouvait faire respecter les droits à la vie privée, et les recours individuels étaient limités. Le délit civil statutaire change cela.

Qu'est-ce qu'une atteinte grave à la vie privée ?

Le délit couvre un comportement intentionnel ou téméraire qui cause une atteinte grave à la vie privée, soit par intrusion dans la vie privée, soit par utilisation abusive d'informations privées. Les tribunaux peseront la gravité par rapport à l'intérêt public et à d'autres considérations.

Pourquoi les annonceurs devraient s'en préoccuper

Le suivi agressif, notamment la lecture de session qui capture les frappes au clavier et le comportement du curseur sur des pages sensibles, la prise d'empreinte qui contourne le refus d'un utilisateur, ou la liaison non autorisée d'un comportement anonyme à une identité nommée — tout cela constitue désormais des bases factuelles plausibles pour une réclamation délictuelle. Attendez-vous à ce que les cabinets de demandeurs commencent à tester les limites en 2026. L'Australie n'a pas la culture des recours collectifs des États-Unis, mais les actions représentatives sont possibles et certains cabinets se positionnent clairement pour elles.

Le Children's Online Privacy Code

Le Children's Online Privacy Code est la pièce de réglementation nouvelle la plus spécifique pour les éditeurs dont les sites sont susceptibles d'être accessibles par des enfants.

Qui est dans le champ d'application

Le Code s'applique aux services de médias sociaux, aux services électroniques pertinents susceptibles d'être accessibles par des enfants, et à certains services Internet désignés. En pratique, cela va bien au-delà des sites purement destinés aux enfants — toute plateforme grand public à laquelle un nombre significatif de mineurs accède est susceptible d'être concernée, et l'OAIC devrait adopter une lecture inclusive.

Obligations fondamentales attendues dans le Code

• Paramètres de confidentialité élevés par défaut pour les utilisateurs de moins de 18 ans
• Restrictions sur la publicité ciblée envers les mineurs
• Interdictions de dark patterns qui poussent les enfants vers des paramètres de confidentialité plus faibles
• Explications adaptées à l'âge du traitement des données
• Évaluations de l'intérêt supérieur de l'enfant avant de déployer des fonctionnalités qui traitent leurs informations personnelles

Ce qu'il faut préparer maintenant

Les éditeurs dont le public comprend un nombre significatif de visiteurs de moins de 18 ans devraient commencer à auditer leur pile de suivi, leur configuration publicitaire et leurs paramètres par défaut avant que le Code soit finalisé. La mise à niveau après coup est généralement plus coûteuse et plus perturbatrice que la conception de la conformité dans la pile dès le départ.

La posture d'exécution en 2026

L'OAIC a reçu des ressources considérablement renforcées parallèlement aux réformes. L'activité d'audit a augmenté, et le Commissaire a signalé une approche d'exécution plus publique.

Sanctions en vigueur

La sanction civile maximale pour une atteinte grave ou répétée à la vie privée est la plus élevée parmi : 50 millions AUD, trois fois l'avantage tiré du comportement, ou 30 pour cent du chiffre d'affaires ajusté de l'entité pendant la période de violation. La réforme a également introduit un deuxième niveau de sanction pour toute atteinte à la vie privée qui n'atteint pas le seuil de gravité, donnant à l'OAIC des outils d'exécution plus calibrés.

Violations de données notifiables

L'Australie dispose d'un régime obligatoire de notification des violations de données depuis 2018, et l'OAIC s'est montré visiblement agressif dans l'application de la loi suite aux principaux incidents de violation de données australiens de 2022 et 2023. Tout incident lié aux cookies ou au suivi qui conduit à une divulgation non autorisée est susceptible d'être dans le champ d'application.

Transferts transfrontaliers et trafic mondial

L'Australian Privacy Principle 8 exige que les entités prennent des mesures raisonnables pour s'assurer que les destinataires à l'étranger traitent les informations personnelles de manière cohérente avec les APP. Pour un éditeur utilisant de l'ad tech mondiale, cela signifie soit une juridiction avec des lois substantiellement similaires, un engagement contractuel contraignant du destinataire à l'étranger, ou un consentement éclairé de l'individu.

Transferts vers les États-Unis

Les États-Unis ne sont pas actuellement reconnus comme ayant des lois substantiellement similaires. Les transferts vers des fournisseurs d'ad tech américains nécessitent donc soit des engagements contractuels contraignants, soit un consentement explicite. Les éditeurs qui s'appuient sur les certifications Data Privacy Framework — qui couvrent les transferts UE-États-Unis — devraient noter que ces certifications ne satisfont pas automatiquement à l'exigence australienne de l'APP 8.

Liste de contrôle d'audit pour le trafic australien en 2026

• Le CMP présente des options claires d'Acceptation, de Refus et de Personnalisation avec une importance visuelle égale sur le trafic australien
• La publicité ciblée, le reciblage et la lecture de session nécessitent un consentement opt-in ; l'analytique fonctionne sous préavis plus minimisation des données
• La politique de confidentialité identifie clairement les cookies, le suivi par pixel et les identifiants publicitaires, avec une déclaration de finalité alignée sur l'APP 3 et l'APP 6
• Les mécanismes de transfert transfrontalier sont documentés pour chaque processeur non australien (liste des fournisseurs, protections contractuelles ou consentement)
• La prise de décision automatisée est divulguée là où des décisions importantes sont prises à l'aide de tels systèmes
• L'évaluation de la préparation au Children's Online Privacy Code est complète, avec des paramètres de confidentialité élevés par défaut disponibles pour les utilisateurs mineurs détectés
• L'examen des risques de doxxing est complet pour toute fonctionnalité susceptible de publier des informations personnelles soumises par l'utilisateur
• Le plan de réponse aux violations de données est aligné sur la fenêtre de notification de 30 jours et le format de rapport OAIC actuel

Les perspectives pour 2026

L'Australie est au milieu d'un changement structurel d'un régime de protection de la vie privée plus léger vers un régime qui ressemble de plus en plus aux cadres européens et californiens — avec ses propres caractéristiques australiennes. La première tranche est déjà applicable et redéfinit déjà les litiges. La deuxième tranche, notamment le rétrécissement de l'exemption pour les petites entreprises et la réglementation explicite de la publicité ciblée, devrait entrer en vigueur en 2026 ou 2027. Les éditeurs et annonceurs qui ont investi dans une pile de consentement de niveau GDPR disposent déjà de la plupart des mécanismes nécessaires pour se conformer. Ceux qui ont misé sur la posture historiquement plus légère de l'Australie entrent dans le nouveau régime avec des lacunes connues. La bonne décision est de combler ces lacunes maintenant — avant que le délit civil statutaire, le Code des enfants, ou un audit OAIC ne force la question selon un calendrier que personne ne contrôle.