Strukturen för 2024–2026 års reform

Reformen rullas ut i två omgångar, och bara den första har landat fullt ut. Att förstå sekvenseringen är viktigt för att veta vad som är lagligt i kraft kontra vad som kommer.

Omgång 1 — I kraft från 2024–2025

Privacy and Other Legislation Amendment Act 2024, godkänd i november 2024, levererade flera förändringar som redan gäller:

• Lagstadgad skadeståndsrätt för allvarliga integritetsintrång — individer kan stämma direkt för allvarliga integritetsintrång, utan att behöva visa ett brott mot själva Privacy Act
• Nya civilrättsliga påföljder — OAIC kan söka påföljder för varje inblandning i integritet, inte bara för allvarliga eller upprepade brott
• Transparenskrav för automatiserat beslutsfattande — enheter måste informera om när betydande beslut om individer fattas med hjälp av automatiserade system
• Doxxning kriminaliserat — avsiktlig publicering av personuppgifter för att orsaka skada är nu ett brott
• Children's Online Privacy Code — OAIC är skyldig att utveckla en bindande kod för tjänster som sannolikt nås av barn, med koden beräknad till 2026

Omgång 2 — Under aktiv konsultation för 2026–2027

Den andra omgången täcker de mer strukturella förändringarna och arbetar genom regeringsöverenskommelse 2025 och 2026. Förväntade inslag inkluderar:

• Avlägsnande eller väsentlig inskränkning av undantaget för småföretag som för närvarande befriar enheter med en årlig omsättning under AUD 3 miljoner
• Ett tydligare rättvist och rimligt test som tillämpas på varje hantering av personuppgifter, oberoende av samtycke
• Explicit reglering av riktad annonsering, med opt-in-samtycke troligtvis för känsliga kategorier
• En ny rätt till radering, som för australiensisk lag närmare GDPR
• Striktare kontroller av gränsöverskridande dataöverföringar

Vad som räknas som personuppgifter enligt australiensisk lag

Den australiensiska Privacy Act definierar personuppgifter brett. Det täcker all information om en identifierad eller rimligt identifierbar individ, och OAIC tolkar rimligt identifierbar till att inkludera online-identifierare, enhets-ID, IP-adresser kombinerade med andra uppgifter och annonseringidentifierare. I praktiken behandlar cookies, pixelspårning, enhetsfingeravtryck och identitetsgrafer som används för webbplatsöverskridande annonsering alla personuppgifter enligt australiensisk lag och är fullt inom räckvidden för efterlevnad av Australian Privacy Principles (APP).

Hur cookie-samtycke fungerar enligt australiensisk lag 2026

Australiensisk lag kräver för närvarande inte en fullständig GDPR-liknande opt-in-banner för alla cookies. Men det är inte heller ett fritt fram, och flera senaste utvecklingar har höjt ribban.

APP 3 — Insamling kräver meddelande

Australian Privacy Principle 3 kräver att personuppgifter samlas in endast med lagliga och rättvisa metoder, med information om ändamålen. För cookies som samlar in personuppgifter innebär detta att ett synligt, informativt meddelande måste presenteras före eller vid insamlingstillfället. Dold spårning uppfyller inte APP 3.

APP 6 — Användning och utlämnande kräver ändamålsöverensstämmelse

Personuppgifter får bara användas för det ändamål de samlades in, för ett rimligt relaterat sekundärt ändamål, eller med individens samtycke. Delning av cookie-härledda data med en digital annonseringsplattform för kontextöverskridande beteendebaserad annonsering faller vanligtvis utanför det primära ändamålet, vilket driver det mot samtycke.

OAIC:s vägledning om spårning

OAIC:s vägledning från 2024 om spårningsteknologier är otvetydlig: enheter bör tillhandahålla en tydlig mekanism för individer att avböja spårning, och för alla användningsfall som involverar känslig information eller profilering för betydande beslut förväntar sig OAIC opt-in-samtycke. Det placerar riktad annonsering, programmatisk omriktning, sessionsuppspelning och beteendeanalys tydligt i opt-in-territorium i praktiken, även om lagstiftningen ännu inte har gjort det obligatoriskt i varje fall.

Den praktiska CMP-konfigurationen för 2026

De flesta utgivare som verkar i Australien kör nu en CMP som presenterar en trebandsbanner: Acceptera, Avvisa och Anpassa. För EU- eller UK-trafik är opt-in strikt. För australiensisk trafik är opt-in den rekommenderade standarden för riktad annonsering och sessionsuppspelning, medan analys ofta kan köras under en meddela-och-välj-modell så länge som IP-anonymisering och dataminimering finns på plats.

Den lagstadgade skadeståndsrätten — vad den faktiskt möjliggör

Den nya lagstadgade skadeståndsrätten är den mest betydande förändringen för digitala annonsörer i praktiska termer. Tidigare kunde bara OAIC verkställa integritetsrättigheter, och individuella rättsmedel var begränsade. Den lagstadgade skadeståndsrätten förändrar detta.

Vad är ett allvarligt integritetsintrång?

Skadeståndsrätten täcker avsiktligt eller hänsynslöst beteende som orsakar ett allvarligt integritetsintrång, antingen genom intrång i avskildhet eller genom missbruk av privat information. Domstolarna kommer att väga allvaret mot allmänintresset och andra överväganden.

Varför annonsörer bör bry sig

Aggressiv spårning, särskilt sessionsuppspelning som fångar tangenttryckningar och markörens beteende på känsliga sidor, fingeravtryckning som kringgår en användares opt-out, eller obehörig länkning av anonymt beteende till en namngiven identitet — allt detta är nu troliga faktiska grunder för skadeståndsanspråk. Förvänta att plainterarfirmor börjar testa gränserna 2026. Australien har inte USA:s grupptalan-kultur, men representativa åtgärder är möjliga och vissa firmor positionerar sig tydligt för dem.

Barnets onlineintegritetskod

Children's Online Privacy Code är den enskilt mest specifika nya regleringen för utgivare vars webbplatser sannolikt nås av barn.

Vem är i räckvidden

Koden gäller sociala medietjänster, relevanta elektroniska tjänster som sannolikt nås av barn och vissa utsedda internettjänster. I praktiken når detta långt bortom renodlade barnwebbplatser — alla allmänna plattformar som ett meningsfullt antal minderåriga använder fångas sannolikt, och OAIC förväntas inta en inkluderande tolkning.

Kärnskyldigheter förväntade i koden

• Högt integritetsskyddade standardinställningar för användare under 18 år
• Begränsningar av riktad annonsering till minderåriga
• Förbud mot mörka mönster som driver barn mot svagare integritetsinställningar
• Åldersanpassade förklaringar av datahantering
• Bedömningar av barnets bästa innan funktioner som behandlar deras personuppgifter driftsätts

Vad du bör förbereda nu

Utgivare vars publik inkluderar ett betydande antal besökare under 18 år bör börja granska sin spårningsstack, annonseringskonfiguration och standardinställningar innan koden slutförs. Retroaktiv anpassning är vanligtvis dyrare och mer störande än att designa efterlevnad in i stacken från start.

Verkställighetsläget 2026

OAIC har fått betydligt ökade resurser tillsammans med reformerna. Revisionsaktiviteten har ökat och kommissionären har signalerat en mer offentlig verkställighetsstrategi.

Påföljder i kraft

Den maximala civilrättsliga påföljden för allvarligt eller upprepat integritetsintrång är det högre av AUD 50 miljoner, tre gånger den vinst som erhållits från beteendet, eller 30 procent av enhetens justerade omsättning under intrångsperioden. Reformen introducerade också en andra nivå av påföljd för varje integritetsintrång som inte uppfyller allvarlighetströskeln, vilket ger OAIC mer kalibrerade verktyg.

Anmälningspliktiga dataintrång

Australien har haft ett obligatoriskt anmälningssystem för dataintrång sedan 2018, och OAIC har varit synligt aggressivt vid verkställighet efter de stora australiensiska dataintrångshändelserna 2022 och 2023. Alla cookie- eller spårningsrelaterade incidenter som leder till obehörigt utlämnande faller sannolikt inom räckvidden.

Gränsöverskridande överföringar och global trafik

Australian Privacy Principle 8 kräver att enheter vidtar rimliga åtgärder för att säkerställa att utländska mottagare hanterar personuppgifter konsekvent med APP:erna. För en utgivare som använder global annonsteknologi innebär detta antingen en jurisdiktion med väsentligt liknande lagar, ett kontraktuellt bindande åtagande från den utländska mottagaren, eller informerat samtycke från individen.

Överföringar till USA

US erkänns för närvarande inte som att ha väsentligt liknande lagar. Överföringar till US-annonstekleverantörer kräver därför antingen bindande kontraktuella åtaganden eller uttryckligt samtycke. Utgivare som förlitar sig på Data Privacy Framework-certifieringar — som täcker EU–US-överföringar — bör notera att dessa certifieringar inte automatiskt uppfyller det australiensiska APP 8-kravet.

Revisionschecklista för australiensisk trafik 2026

• CMP presenterar tydliga Acceptera-, Avvisa- och Anpassa-alternativ med lika visuell framträdande för australiensisk trafik
• Riktad annonsering, omriktning och sessionsuppspelning kräver opt-in-samtycke; analys körs under meddelande plus dataminimering
• Sekretesspolicyn identifierar tydligt cookies, pixelspårning och annonseringsidentifierare, med ett ändamålsutlåtande anpassat till APP 3 och APP 6
• Mekanismer för gränsöverskridande överföring är dokumenterade för varje icke-australiensisk personuppgiftsbiträde (leverantörslista, avtalsskydd eller samtycke)
• Automatiserat beslutsfattande redovisas där betydande beslut fattas med sådana system
• Beredskapsbedömning för Children's Online Privacy Code är klar, med högt integritetsskyddade standardinställningar tillgängliga för identifierade minderåriga användare
• Riskgranskning för doxxning är klar för all funktionalitet som kan publicera användarinlämnade personuppgifter
• Svar på dataintrångsplan är anpassad till 30-dagarsanmälningsfönstret och det aktuella OAIC-rapporteringsformatet

Utsikterna för 2026

Australien befinner sig mitt i en strukturell förändring från ett lättare integritetsregelverk till ett som allt mer liknar de europeiska och kaliforniska ramverken — med sina egna australiensiska egenskaper. Den första omgången är redan verkställbar och omformar redan rättsprocessen. Den andra omgången, inklusive inskränkningen av undantaget för småföretag och explicit reglering av riktad annonsering, förväntas träda i kraft 2026 eller 2027. Utgivare och annonsörer som har investerat i en GDPR-nivåsamtyckesstack har redan det mesta av den maskineri de behöver för att följa reglerna. De som har förlitat sig på Australiens historiskt lättare hållning träder in i det nya regelverket med kända luckor. Rätt drag är att täppa till dessa luckor nu — innan den lagstadgade skadeståndsrätten, barnkoden eller en OAIC-revision tvingar frågan på en tidslinje som ingen kontrollerar.