2026 में Privacy Act 1988 की संरचना

Privacy Act 1988 ऑस्ट्रेलिया में प्राथमिक संघीय डेटा सुरक्षा क़ानून है, जो Australian Privacy Principles (APPs) द्वारा समर्थित है जो इसकी आवश्यकताओं को संचालित करता है। 2024 और 2025 के सुधार ट्रांचों ने अधिनियम को शुरू से फिर से लिखे बिना कई प्रमुख तत्वों को पुनर्संरचित किया।

पहले ट्रांच ने क्या बदला

पहला सुधार ट्रांच, जो 2024 के दौरान लागू हुआ, कई लंबे समय से प्रतीक्षित परिवर्तन लाया:

• गोपनीयता के गंभीर या बार-बार के उल्लंघनों के लिए अधिकतम दंड में पर्याप्त वृद्धि, ऑस्ट्रेलियाई दंड को GDPR स्तर के करीब लाना
• OAIC के लिए अपनी पहल पर जांच करने और उल्लंघन नोटिस जारी करने की नई शक्तियाँ
• Children's Online Privacy Code, जो उन सेवाओं पर विशिष्ट दायित्व लगाता है जिन तक बच्चों के पहुँचने की संभावना है
• उल्लंघन अधिसूचना आवश्यकताओं को मजबूत करना, जिसमें तेज अधिसूचना समयरेखाएं शामिल हैं

दूसरे ट्रांच ने क्या बदला

दूसरा सुधार ट्रांच, 2025 के दौरान और 2026 में लागू, अधिक वास्तुकला संबंधी मुद्दों को संबोधित किया:

• गोपनीयता के गंभीर उल्लंघनों का वैधानिक अपकृत्य, व्यक्तियों को गंभीर गोपनीयता उल्लंघनों के लिए सीधे कार्रवाई का अधिकार देना
• ऑनलाइन पहचानकर्ताओं और अनुमानों के उपचार को स्पष्ट करने के लिए व्यक्तिगत जानकारी की विस्तारित परिभाषाएं
• प्रत्यक्ष विपणन और लक्षित विज्ञापन के लिए उन्नत सहमति आवश्यकताएं
• स्वचालित निर्णय लेने के लिए नए पारदर्शिता दायित्व, जिसमें एक सार्थक स्पष्टीकरण का अधिकार शामिल है
• संशोधित उचित कदम दायित्वों के साथ अद्यतन सीमा-पार डेटा प्रवाह नियम

किसे विनियमित किया जाता है

Privacy Act 1988 अधिकांश ऑस्ट्रेलियाई सरकारी एजेंसियों और निजी क्षेत्र के संगठनों पर लागू होता है जिनका वार्षिक कारोबार एक सीमा से अधिक है (वर्तमान में AUD 3 मिलियन)। यह उन विदेशी संगठनों पर भी अतिक्षेत्रीय रूप से लागू होता है जो ऑस्ट्रेलिया में व्यापार करते हैं और ऑस्ट्रेलिया में व्यक्तिगत जानकारी एकत्र या रखते हैं। विदेशी प्रकाशक जो स्थानीयकृत साइटों के माध्यम से या ऑस्ट्रेलियाई IP के विरुद्ध खरीदी गई प्रोग्रामेटिक इन्वेंटरी के माध्यम से ऑस्ट्रेलियाई उपयोगकर्ताओं की सेवा करते हैं, आमतौर पर दायरे में होते हैं, और OAIC ने कई हालिया मामलों में अतिक्षेत्रीय प्रावधान का उपयोग किया है।

व्यक्तिगत जानकारी क्या मानी जाती है

Privacy Act 1988 की व्यक्तिगत जानकारी की परिभाषा को ऑनलाइन पहचानकर्ताओं के बारे में दीर्घकालिक अनिश्चितता को दूर करने के लिए सुधार प्रक्रिया में स्पष्ट किया गया था।

अद्यतन परिभाषा

व्यक्तिगत जानकारी एक पहचाने गए व्यक्ति, या उचित रूप से पहचाने जा सकने वाले व्यक्ति के बारे में जानकारी या राय है, चाहे जानकारी सच हो या भौतिक रूप में दर्ज हो। 2025 के सुधारों ने स्पष्ट किया कि इसमें ऑनलाइन पहचानकर्ता, तकनीकी डेटा और व्यवहार संबंधी डेटा से प्राप्त अनुमान शामिल हैं जब इन्हें किसी व्यक्ति से सीधे या अन्य जानकारी के साथ संयोजन द्वारा जोड़ा जा सकता है।

संवेदनशील जानकारी

अधिनियम संवेदनशील जानकारी की एक श्रेणी निर्दिष्ट करता है जिसमें स्वास्थ्य जानकारी, नस्लीय या जातीय मूल, राजनीतिक राय, राजनीतिक संघों की सदस्यता, धार्मिक विश्वास, दार्शनिक विश्वास, व्यावसायिक या व्यापार संघों की सदस्यता, ट्रेड यूनियनों की सदस्यता, यौन अभिविन्यास या प्रथाएं, आपराधिक रिकॉर्ड, बायोमेट्रिक जानकारी और बायोमेट्रिक टेम्पलेट शामिल हैं। संवेदनशील जानकारी को संसाधित करने के लिए स्पष्ट सहमति की आवश्यकता होती है और यह बढ़े हुए दायित्वों को सक्रिय करती है।

कुकी के मामले में यह क्यों महत्वपूर्ण है

एक कुकी जो एक नियमित पहचानकर्ता संग्रहीत करती है वह व्यक्तिगत जानकारी है। एक कुकी जो संवेदनशील सूची को छूने वाले दर्शक खंड को फ़ीड करती है — स्वास्थ्य रुचियां, राजनीतिक झुकाव, धार्मिक संबद्धता — संवेदनशील जानकारी प्रसंस्करण है और सामान्य विज्ञापन सहमति के बजाय उन्नत सहमति प्रवाह की आवश्यकता है। जो प्रकाशक संवेदनशील सूची के साथ ओवरलैप होने वाले दर्शक खंड चला रहे हैं, उन्हें विशेष रूप से इस सीमा के विरुद्ध अपने सहमति प्रवाह का ऑडिट करना चाहिए।

संशोधित Privacy Act 1988 के तहत कुकी सहमति

सुधार प्रक्रिया ने प्रत्यक्ष विपणन और लक्षित विज्ञापन के लिए सहमति आवश्यकताओं को उन तरीकों से स्पष्ट किया जो ऑस्ट्रेलिया को ऐतिहासिक ऑस्ट्रेलियाई व्यवस्था की तुलना में GDPR-शैली ऑप्ट-इन मॉडल के करीब लाते हैं।

अद्यतन सहमति मानक

संशोधित Privacy Act 1988 के तहत सहमति होनी चाहिए:

• स्वैच्छिक — बिना जबरदस्ती या अनुचित दबाव के दी गई
• सूचित — व्यक्ति समझता है कि कौन सा डेटा एकत्र किया जाता है, क्यों, और इसका उपयोग और खुलासा कैसे किया जाएगा
• वर्तमान — सहमति प्रस्तावित प्रसंस्करण के लिए सार्थक होने के लिए पर्याप्त रूप से ताजी है
• विशिष्ट — सामान्य छाता सहमति के बजाय स्पष्ट रूप से पहचाने गए उद्देश्यों से बंधी
• असंदिग्ध — निष्क्रियता से अनुमानित होने के बजाय एक स्पष्ट पुष्टि कार्रवाई के माध्यम से व्यक्त

अनुपालक CMP कैसा दिखता है

2026 में ऑस्ट्रेलियाई ट्रैफिक के लिए कॉन्फ़िगर किया गया CMP प्रस्तुत करना चाहिए:

• किसी भी गैर-आवश्यक कुकी या ट्रैकर के सक्रिय होने से पहले एक दृश्यमान बैनर
• स्वीकार करें, अस्वीकार करें और अनुकूलित करें के लिए समान दृश्य प्रमुखता — OAIC ने डार्क-पैटर्न बैनर डिज़ाइनों पर बढ़े हुए ध्यान का संकेत दिया है
• उद्देश्य के अनुसार विस्तृत टॉगल: एनालिटिक्स, विज्ञापन, वैयक्तिकरण, सीमा-पार स्थानांतरण, और कोई भी संवेदनशील जानकारी प्रसंस्करण
• संवेदनशील जानकारी प्रसंस्करण के लिए एक अलग, स्पष्ट रूप से लेबल किया गया प्रवाह, अपनी कार्रवाई के पीछे
• सहमति वापस लेने के लिए एक स्थायी, आसानी से सुलभ तंत्र
• OAIC शिकायत चैनल सहित पूर्ण APP-संरेखित प्रकटीकरण के साथ अंग्रेजी में एक गोपनीयता नीति

सहमति अभिलेख

सुधार ने साक्ष्य-आधारित प्रवर्तन के लिए OAIC की इच्छा बढ़ाई है, और सहमति अभिलेखों को कई हालिया मामलों में उद्धृत किया गया है। निर्यात योग्य, टाइमस्टैम्प किए गए सहमति लॉग आधारभूत अपेक्षा हैं, और अपर्याप्त सहमति अभिलेखों को औपचारिक निर्धारणों में उजागर किया गया है।

संशोधित व्यवस्था के तहत सीमा-पार प्रकटीकरण

Privacy Act 1988 ने ऐतिहासिक रूप से GDPR से अलग तरीके से सीमा-पार डेटा प्रवाह को संभाला है — ध्यान प्राप्तकर्ता क्षेत्राधिकार के पूर्व प्राधिकरण के बजाय प्रकट करने वाले संगठन की जवाबदेही पर है। 2025 के सुधारों ने इस दृष्टिकोण को परिष्कृत किया बिना इसे छोड़े।

APP 8 उचित कदम दायित्व

Australian Privacy Principle 8 की आवश्यकता है कि एक विदेशी प्राप्तकर्ता को व्यक्तिगत जानकारी प्रकट करने से पहले, प्रकट करने वाला संगठन उचित कदम उठाए ताकि यह सुनिश्चित हो सके कि प्राप्तकर्ता APPs का उल्लंघन नहीं करेगा। इसका आमतौर पर मतलब एक संविदात्मक तंत्र, प्राप्तकर्ता की गोपनीयता प्रथाओं की उचित परिश्रम समीक्षा, या गंतव्य देश में पर्याप्त रूप से समान कानूनी व्यवस्था पर निर्भरता है।

जवाबदेही बैकस्टॉप

यदि विदेशी प्राप्तकर्ता प्रकट की गई जानकारी के संबंध में APPs का उल्लंघन करता है, तो ऑस्ट्रेलियाई प्रकट करने वाले संगठन को उल्लंघन में संलग्न माना जाता है। यह जवाबदेही बैकस्टॉप सीमा-पार प्रवाह के लिए व्यावहारिक प्रवर्तन उत्तोलक है और यही वह है जो संविदात्मक तंत्र को केवल एक दस्तावेज़ीकरण अभ्यास से अधिक बनाता है।

2026 के लिए व्यावहारिक दृष्टिकोण

2026 में अधिकांश विदेशी प्रकाशकों के लिए, कार्यशील दृष्टिकोण विदेशी प्रोसेसर के साथ APP-अनुपालक डेटा स्थानांतरण समझौतों को निष्पादित करना, गोपनीयता नीति में स्थानांतरण का दस्तावेज़ीकरण करना और एक विक्रेता-उचित परिश्रम रिकॉर्ड बनाए रखना है जो यह प्रदर्शित करता है कि उचित कदम दायित्व पूरा किया गया है। यह GDPR के पूर्व-प्राधिकरण दृष्टिकोण से सार्थक रूप से सरल है लेकिन सामग्री में कम कठोर नहीं है।

डेटा विषय अधिकार और स्वचालित निर्णय-निर्माण

संशोधित अधिनियम उन अधिकारों का विस्तार करता है जिनका व्यक्ति उपयोग कर सकते हैं।

मूल अधिकार

• संगठन के पास रखी व्यक्तिगत जानकारी तक पहुँचने का अधिकार
• गलत, पुरानी, अधूरी, अप्रासंगिक, या भ्रामक जानकारी को सुधारने का अधिकार
• प्रत्यक्ष विपणन से ऑप्ट आउट करने का अधिकार
• यह जानने का अधिकार कि व्यक्तिगत जानकारी किसे प्रकट की गई है
• महत्वपूर्ण प्रभाव उत्पन्न करने वाले स्वचालित निर्णयों के सार्थक स्पष्टीकरण का अधिकार
• OAIC को शिकायत करने का अधिकार

प्रतिक्रिया समयरेखाएं

अधिनियम उचित-अवधि प्रतिक्रिया समयरेखाएं निर्धारित करता है, और OAIC मार्गदर्शन पहुँच अनुरोधों के लिए उचित को आमतौर पर 30 दिनों से अधिक नहीं के रूप में व्याख्यायित करता है। इस विंडो के लिए परिचालन तत्परता — ऑस्ट्रेलिया-विशिष्ट प्रक्रियाओं के लिए ट्यून किए गए टूलिंग और रनबुक के साथ — विदेशी प्रकाशकों के लिए एक सामान्य अंतर है।

Children's Online Privacy Code

कोड, जो 2024 के दौरान लागू हुआ, उन ऑनलाइन सेवाओं पर लागू होता है जिन तक बच्चों के पहुँचने की संभावना है और आयु-उपयुक्त डिज़ाइन, प्रतिबंधित प्रोफाइलिंग और लक्षित विज्ञापन, डिफ़ॉल्ट उच्च गोपनीयता सेटिंग्स और माता-पिता की भागीदारी आवश्यकताओं सहित विशिष्ट दायित्व लगाता है। जिन प्रकाशकों के दर्शकों में 18 वर्ष से कम के महत्वपूर्ण ट्रैफिक शामिल हैं, उन्हें आयु-जागरूक प्रवाह, अवयस्क खंड के लिए प्रतिबंधित प्रसंस्करण और कोड-संरेखित डिफ़ॉल्ट की आवश्यकता है — जिनमें से कोई भी अधिकांश विदेशी प्रकाशकों के लिए तैयार नहीं है।

2026 में दंड और प्रवर्तन मुद्रा

OAIC की प्रवर्तन गतिविधि 2024 और 2025 के दौरान सार्थक रूप से बढ़ी है, और 2026 समान प्रक्षेपवक्र पर है।

अधिकतम दंड

गोपनीयता के गंभीर या बार-बार उल्लंघन के लिए, अधिकतम दंड इनमें से सबसे अधिक है: AUD 50 मिलियन, आचरण से प्राप्त लाभ के मूल्य का तीन गुना, या प्रासंगिक अवधि में संगठन के समायोजित कारोबार का 30 प्रतिशत। यह ऑस्ट्रेलियाई दंड को निर्णायक रूप से GDPR सीमा में रखता है और पहले लागू होने वाली सौम्य व्यवस्था की विशेषता को हटाता है।

वैधानिक अपकृत्य

2025 का गोपनीयता के गंभीर उल्लंघनों का वैधानिक अपकृत्य व्यक्तियों को नियामकीय प्रवर्तन से अलग, नुकसान के लिए सीधे कार्रवाई का अधिकार देता है। वर्ग कार्रवाई एक उभरता हुआ रास्ता है, और कई 2025 के अंत और 2026 की शुरुआत में प्रमुख प्लेटफ़ॉर्म के विरुद्ध दायर किए गए हैं।

प्रवर्तन विषय

OAIC के हालिया मामले आवर्ती मुद्दों के आसपास एकत्रित होते हैं: डार्क-पैटर्न सहमति बैनर, अपर्याप्त उल्लंघन अधिसूचना, दस्तावेज़ीकृत उचित कदमों के बिना सीमा-पार प्रकटीकरण, स्पष्ट सहमति के बिना संवेदनशील जानकारी प्रसंस्करण, और उचित-अवधि विंडो के भीतर पहुँच अनुरोधों का जवाब देने में विफलता।

2026 में ऑस्ट्रेलियाई ट्रैफिक के लिए ऑडिट चेकलिस्ट

• समान दृश्य प्रमुखता के साथ स्वीकार करें, अस्वीकार करें और अनुकूलित करें के साथ CMP बैनर
• सहमति उद्देश्य विस्तृत हैं और संवेदनशील जानकारी प्रसंस्करण स्पष्ट सहमति के पीछे अलग है
• गोपनीयता नीति APP-संरेखित है जिसमें विदेशी प्राप्तकर्ताओं, उद्देश्यों, प्रतिधारण और OAIC शिकायत चैनल का पूर्ण प्रकटीकरण है
• APP 8 सीमा-पार प्रकटीकरण समझौते दस्तावेज़ीकृत विक्रेता उचित परिश्रम के साथ सभी विदेशी प्रोसेसर के साथ स्थापित हैं
• सहमति लॉग टाइमस्टैम्प किए गए, निर्यात योग्य हैं और लागू प्रतिधारण अवधि के लिए बनाए गए हैं
• डेटा विषय पहुँच वर्कफ़्लो उचित-अवधि विंडो के भीतर अंत-से-अंत तक प्रतिक्रिया दे सकता है
• Children's Online Privacy Code दायित्वों को संबोधित किया जाता है जहाँ दर्शकों में नाबालिग शामिल हैं, जिसमें आयु-उपयुक्त डिज़ाइन और प्रतिबंधित प्रोफाइलिंग शामिल है
• स्वचालित निर्णय-निर्माण स्पष्टीकरण उपलब्ध हैं जहाँ ऐसी प्रणालियों का उपयोग करके महत्वपूर्ण निर्णय लिए जाते हैं
• उल्लंघन अधिसूचना रनबुक संशोधित समयरेखाओं के अनुरूप है
• विक्रेता सूची की आवश्यकता के लिए समीक्षा की गई है, प्रकटीकरण सतह को कम करने के लिए अप्रयुक्त या अनावश्यक विक्रेताओं को हटाया गया है

2026 का दृष्टिकोण

ऑस्ट्रेलिया की गोपनीयता व्यवस्था अंततः एक लंबी सुधार प्रक्रिया से एक विश्वसनीय प्रवर्तन मुद्रा में चली गई है। अधिकतम दंड अब GDPR सीमा में हैं, OAIC के पास उन्हें लागू करने के लिए आवश्यक शक्तियाँ हैं, वैधानिक अपकृत्य व्यक्तियों को सीधे कार्रवाई का अधिकार देता है, और Children's Online Privacy Code 18 वर्ष से कम आयु के दर्शकों को छूने वाली किसी भी सेवा के लिए बार उठाती है। प्रकाशकों के लिए जो पहले से ही GDPR-ग्रेड सहमति स्टैक चला रहे हैं, Privacy Act 1988 अनुपालन के लिए अंतर आर्किटेक्चरल के बजाय परिचालन है: APP-संरेखित गोपनीयता नीति, APP 8 दस्तावेज़ीकरण, Children's Online Privacy Code डिफ़ॉल्ट और पहुँच-अनुरोध प्रतिक्रिया लय। अंतर को हफ्तों में बंद किया जा सकता है यदि इसे प्राथमिकता दी जाए। जिन प्रकाशकों ने 2023 तक ऑस्ट्रेलिया को एक अपेक्षाकृत सौम्य बाजार के रूप में माना, वे 2026 को सार्थक रूप से अधिक महंगा पा रहे हैं, और यह प्रवृत्ति जारी रहेगी। अच्छी खबर यह है कि किसी भी प्रकाशक के लिए अनुपालन अंतर छोटा है जिसने यूरोपीय काम किया है; बुरी खबर यह है कि अधिकांश प्रकाशक ठीक से कम आंकते हैं कि संशोधित ऑस्ट्रेलियाई व्यवस्था उनसे कितना अपेक्षा करती है।