Uppbygging 2024–2026 umbótarinnar

Umbótin er innleidd í tveimur hlutum og aðeins sá fyrsti hefur komið að fullu. Það skiptir máli að skilja röðina til að vita hvað er löggillt í gildi á móti hvað er að koma.

Hluti 1 — Í gildi frá 2024–2025

Privacy and Other Legislation Amendment Act 2024, sem samþykkt var í nóvember 2024, kom með nokkrar breytingar sem þegar gilda:

• Lagalegar skaðabætur fyrir alvarlegar brot á friðhelgi — einstaklingar geta farið beint í dómstóla vegna alvarlegra brota á friðhelgi, án þess að þurfa að sýna fram á brot á Privacy Act sjálfum
• Nýjar borgaralegar refsingar — OAIC getur leitað refsinga fyrir hvers konar truflanir á friðhelgi, ekki aðeins fyrir alvarlegar eða endurteknar brot
• Gagnsæiskröfur fyrir sjálfvirka ákvarðanatöku — aðilar verða að greina frá þegar mikilvægar ákvarðanir um einstaklinga eru teknar með sjálfvirkum kerfum
• Doxing gert refsivert — vísvitandi birting persónulegra gagna til að valda skaða er nú refsivert brot
• Children's Online Privacy Code — OAIC er skylt að þróa bindandi kóða fyrir þjónustu sem líklegt er að börn nái í, með kóðann sem kemur árið 2026

Hluti 2 — Í virkri ráðgjöf fyrir 2026–2027

Annar hlutinn nær yfir skipulagsbreytingarnar og er að vinna sér leið í gegnum samkomulag stjórnvalda árið 2025 og 2026. Væntanlegir þættir eru meðal annars:

• Afnám eða verulegt þrenging á undanþágu smáfyrirtækja sem nú undanþiggur aðila með árlegar tekjur undir AUD 3 milljónum
• Skýrari sanngirnis- og hóflegheitspróf sem gildir um hvers konar meðhöndlun persónuupplýsinga, óháð samþykki
• Skýr reglugerð um markvísari auglýsingar, með opt-in samþykki líklega fyrir viðkvæmar flokkar
• Nýr réttur til eyðingar, sem færir ástralsk lög nær GDPR
• Þéttari stjórn á þverlægum gagnaflutningunum

Hvað telst persónuupplýsingar samkvæmt ástralskum lögum

Ástralska Privacy Act skilgreinir persónuupplýsingar vítt. Það nær yfir allar upplýsingar um auðþekktan eða sanngjarnt hægt að auðþekkja einstakling, og OAIC túlkar sanngjarnt hægt að auðþekkja til að ná yfir netauðkenni, tækjaauðkenni, IP-tölur í samsetningu með öðrum gögnum og auglýsingaauðkenni. Í reynd meðhöndla kökur, pixelmæling, tækjaskilríki og kynslóðarit sem notuð eru fyrir auglýsingar á milli síðna allar persónuupplýsingar samkvæmt ástralskum lögum og eru að fullu í gildissviði Australian Privacy Principles (APP) samræmis.

Hvernig samþykki vafrakaka virkar samkvæmt ástralskum lögum árið 2026

Ástralsk lög krefjast ekki að fullu GDPR-stíls opt-in borða fyrir allar kökur. En það er heldur ekki frjálst fyrir alla, og nokkrar nýlegar þróanir hafa hertt á þeim viðmiðunum.

APP 3 — Söfnun krefst tilkynningar

Australian Privacy Principle 3 krefst þess að persónuupplýsingar séu aðeins safnað með löglegum og sanngjörnum leiðum, með tilkynningu um tilgang. Fyrir kökur sem safna persónuupplýsingum þýðir þetta að sjáanleg, fræðsluleg tilkynning verður að vera sett fram fyrir eða á þeim tíma sem söfnun fer fram. Falin mæling uppfyllir ekki APP 3.

APP 6 — Notkun og birting krefst tilgangssamsvörunar

Persónuupplýsingar er aðeins hægt að nota í þeim tilgangi sem þær voru safnað, í sanngjarnt tengdum aukatilgangi eða með samþykki einstaklings. Deilingu á cookie-fenginni gagna með stafrænum auglýsingavettvang fyrir hegðunarauglýsingar á milli samhengis fellur venjulega utan við aðaltilgang, sem ýtir því í átt að samþykki.

Leiðbeiningar OAIC um mælingar

Leiðbeiningar OAIC 2024 um mælingartækni eru ótvíræðar: aðilar ættu að veita skýrar leiðir fyrir einstaklinga til að afþakka mælingar, og fyrir hvers konar notkunartilfelli sem felur í sér viðkvæmar upplýsingar eða snið fyrir mikilvægar ákvarðanir, býst OAIC við opt-in samþykki. Það setur markvísari auglýsingar, forritanlegar enduráhyggjur, leiksvæðisendurspilun og hegðunargreiningu þétt í opt-in svæði í reynd, jafnvel þótt lögin hafi ekki enn gert það skyldu í öllum tilvikum.

Hagnýt CMP stilling 2026

Flestir útgefendur sem starfa í Ástralíu reka nú CMP sem kynnir þriggja ástands borða: Samþykkja, Hafna og Aðlaga. Fyrir EU eða UK umferð er opt-in strangt. Fyrir ástralska umferð er opt-in ráðlagður sjálfgefinn fyrir markvísari auglýsingar og leiksvæðisendurspilun, á meðan greiningar geta oft keyrt undir tilkynningar-og-vals líkani svo framarlega sem IP-nafnleynd og gagnalágmörkun eru til staðar.

Lagalegar skaðabætur — Hvað þær gera í raun kleift

Nýju lögbundnu skaðabæturnar eru mikilvægustu breytingin fyrir stafræna auglýsendur í praktísku tilliti. Áður gat aðeins OAIC framfylgt friðhelgisréttindum og einstaklingsbætur voru takmarkaðar. Lögbundnar skaðabætur breyta þessu.

Hvað er alvarlegt brot á friðhelgi?

Skaðabæturnar ná yfir vísvitandi eða gáleysisverk sem veldur alvarlegu broti á friðhelgi, annaðhvort með innbroti á einrúm eða gegnum misnotkun á persónulegum upplýsingum. Dómstólar munu vega alvarlegt á móti almannahagsmunum og öðrum sjónarmiðum.

Af hverju auglýsendur ættu að vera meðvitaðir

Árásargjörn mæling, sérstaklega leiksvæðisendurspilun sem fangar lyklaganir og bendilhegðun á viðkvæmum síðum, fingrafar sem sniður hjá opt-out notanda, eða óleyfileg tenging nafnlausrar hegðunar við nafngreinda auðkenni — allt þetta er nú trúverðugur grundvöllur fyrir skaðabótakröfu. Búist er við að lögfræðifyrirtæki kærenda muni byrja að prófa mörkin árið 2026. Ástralía hefur ekki flokkunarsakamálamenningu Bandaríkjanna, en fulltrúaaðgerðir eru mögulegar og sum fyrirtæki eru greinilega að ganga í stöðu fyrir þær.

Persónuverndarkóði barna á netinu

Children's Online Privacy Code er einstakasti hluti nýju reglugerðarinnar fyrir útgefendur þar sem síðurnar eru líklegar til að vera aðgengilegar börnum.

Hverjir eru í gildissviði

Kóðinn gildir um samfélagsmiðlaþjónustu, viðeigandi rafræna þjónustu sem líklegt er að börn hafi aðgang að og ákveðna tilnefnda netþjónustu. Í reynd nær þetta langt yfir hreinar barnaíðar — sérhver almennur áhorfendasvæðisvettvangur sem verulegt hlutfall minni manna hefur aðgang að er líklegt að fangast, og búist er við að OAIC taki innifalinnar lestrar.

Kjarnaskuldbindingar sem búist er við í kóðanum

• Hátt sjálfgefið friðhelgisstig fyrir notendur undir 18 ára
• Takmarkanir á markvísari auglýsingum við minni menn
• Bann á dökk mynstur sem ýta börnum í átt að veikari friðhelgisstillingum
• Aldurstillegar skýringar á meðhöndlun gagna
• Mat á bestu hagsmunum barnsins áður en þátttaka er sett upp sem vinnur persónuupplýsingar þeirra

Hvað á að undirbúa núna

Útgefendur þar sem áhorfendur eru með verulegan fjölda gesta undir 18 ára ættu að byrja að endurskoða mælingarstafla sinn, auglýsingastillingar og sjálfgefnar stillingar áður en kóðinn er fullkláraður. Að laga eftirá er venjulega dýrara og truflandi en að hanna samræmi inn í staflann frá upphafi.

Framfylgni árið 2026

OAIC hefur fengið verulega auknar bjöðgar samhliða umbótunum. Endurskoðunaraðgerðir hafa aukist og kommissarinn hefur gefið til kynna opnari framfylgni nálgun.

Refsingar í gildi

Hámarks borgaraleg refsing fyrir alvarlegar eða endurteknar truflanir á friðhelgi er það hærra af AUD 50 milljónum, þrefaldur ávinningur af hegðuninni, eða 30 prósent af leiðréttum veltu aðilans á meðan á brotí stendur. Umbótin kynnti einnig annað stigið af refsingu fyrir hvers konar truflun á friðhelgi sem uppfyllir ekki alvarlegan þröskuld, sem gefur OAIC kvarðaðri framfylgnivélbúnað.

Tilkynningaskyld gagnabrot

Ástralía hefur haft skyldu tilkynningarkerfi fyrir gagnabrot síðan 2018, og OAIC hefur verið sýnilega árásargjörn við framfylgni í kjölfar stórra ástralskra gagnabrotsatvika árið 2022 og 2023. Hvers konar atvik sem tengjast kökum eða mælingum sem leiðir til óleyfismiðlunar er líklegt að vera innan gildissviðs.

Þverlægar gagnaflutningar og alþjóðleg umferð

Australian Privacy Principle 8 krefst þess að aðilar taki sanngjarnar ráðstafanir til að tryggja að erlendir viðtakendur meðhöndli persónuupplýsingar í samræmi við APP. Fyrir útgefanda sem notar alþjóðlega auglýsingatækni þýðir þetta annaðhvort lögsögu með verulega svipaðar lög, samningsbundna bindandi skuldbindingu frá erlendum viðtakanda eða upplýst samþykki frá einstaklingi.

Flutningar til Bandaríkjanna

Bandaríkin eru ekki þekkt sem að hafa verulega svipaðar lög. Flutningar til bandarískra auglýsingatæknibirgja krefjast þess vegna annaðhvort bindandi samningsbundinna skuldbindinga eða skýrs samþykkis. Útgefendur sem treysta á Data Privacy Framework vottorð — sem ná yfir EU-US flutning — ættu að hafa í huga að þau vottorð uppfylla ekki kröfu ástralska APP 8 sjálfkrafa.

Endurskoðunarlisti fyrir ástralska umferð árið 2026

• CMP kynnir skýrar Samþykkja, Hafna og Aðlaga valkosti með jafna sjónræna áherslu á ástralska umferð
• Markvísari auglýsingar, enduráhyggjur og leiksvæðisendurspilun krefjast opt-in samþykkis; greiningar keyra undir tilkynningu plús gagnalágmörkun
• Friðhelgisstefna auðkennir skýrlega kökur, pixelmælingu og auglýsingaauðkenni, með tilgangslýsingu sem samræmist APP 3 og APP 6
• Þverlægar flutningskerfi eru skjalfestar fyrir alla aðila sem eru ekki ástralskir vinnsluaðilar (listi birgja, samningslegar vernanir eða samþykki)
• Sjálfvirk ákvarðanataka er birt þar sem mikilvægar ákvarðanir eru teknar með slíkum kerfum
• Undirbúningsmat Children's Online Privacy Code er lokið, með háum sjálfgefnum friðhelgishlutföllum tiltækum fyrir greinda minni menn notendur
• Doxinghættuúttekt er lokið fyrir hvers konar virkni sem gæti birt notandaskilaðar persónuupplýsingar
• Gagnabrotsviðbragðsáætlun er í samræmi við 30 daga tilkynningarglugga og núverandi OAIC skýrslusnið

Horfurnar 2026

Ástralía er í miðri skipulagstilfærslu frá léttara friðhelgiskerfi yfir í eitt sem líkist í auknum mæli evrópskum og Kaliforníukerfum — með sínum eigin ástralsku einkennum. Fyrsti hlutinn er þegar framfylgjanlegt og er þegar að endurskipuleggja réttarfar. Annar hlutinn, þar á meðal þrenging á smáfyrirtækjaundanþágunni og skýr reglugerð um markvísari auglýsingar, mun líklega taka gildi árið 2026 eða 2027. Útgefendur og auglýsendur sem hafa fjárfest í GDPR-stigs samþykki stafla eiga þegar flestar vélarnar sem þeir þurfa til að fara eftir reglum. Þeir sem hafa treyst á Ástralíu sögulega léttari afstöðu eru að fara inn í nýja kerfið með þekktum eyðum. Rétta aðgerðin er að loka þeim eyðum núna — áður en lögbundnar skaðabætur, Barnalegukóðinn eða OAIC endurskoðun þvinga spurninguna á tímalínu sem enginn stjórnar.