โครงสร้างของ Privacy Act ในปี 2026

Privacy Act เป็นกฎหมายคุ้มครองข้อมูลระดับสหพันธรัฐหลักในออสเตรเลีย รองรับโดย Australian Privacy Principles (APPs) ที่ทำให้ข้อกำหนดมีผลในทางปฏิบัติ Tranches การปฏิรูปปี 2024 และ 2025 ได้ปรับโครงสร้างองค์ประกอบสำคัญหลายส่วนโดยไม่เขียนกฎหมายใหม่ทั้งหมด

สิ่งที่ Tranche แรกเปลี่ยนแปลง

Tranche การปฏิรูปแรก ซึ่งมีผลบังคับใช้ในปี 2024 ได้นำการเปลี่ยนแปลงที่รอคอยมานานหลายประการมาใช้

• บทลงโทษสูงสุดที่เพิ่มขึ้นอย่างมีนัยสำคัญสำหรับการละเมิดความเป็นส่วนตัวที่ร้ายแรงหรือซ้ำซาก ทำให้บทลงโทษของออสเตรเลียใกล้เคียงกับระดับ GDPR มากขึ้น
• อำนาจใหม่สำหรับ OAIC ในการสืบสวนตามการริเริ่มของตนเองและออกหนังสือแจ้งการละเมิด
• Children's Online Privacy Code ที่กำหนดภาระผูกพันเฉพาะสำหรับบริการที่เด็กมีแนวโน้มจะเข้าถึง
• ข้อกำหนดการแจ้งการละเมิดที่เสริมความแข็งแกร่ง รวมถึงกรอบเวลาการแจ้งที่เร็วขึ้น

สิ่งที่ Tranche ที่สองเปลี่ยนแปลง

Tranche การปฏิรูปที่สอง ที่มีผลบังคับใช้ในปี 2025 และต่อเนื่องถึงปี 2026 ได้แก้ไขปัญหาที่เป็นโครงสร้างมากขึ้น

• การเยียวยาตามกฎหมายจากการละเมิดความเป็นส่วนตัวอย่างร้ายแรง ซึ่งให้สิทธิ์บุคคลในการฟ้องร้องโดยตรงสำหรับการละเมิดความเป็นส่วนตัวอย่างร้ายแรง
• คำจำกัดความที่ขยายเพิ่มของข้อมูลส่วนบุคคลเพื่อชี้แจงการจัดการตัวระบุออนไลน์และการอนุมาน
• ข้อกำหนดการยินยอมที่เสริมความแข็งแกร่งสำหรับการตลาดทางตรงและโฆษณาที่กำหนดเป้าหมาย
• ภาระผูกพันความโปร่งใสใหม่สำหรับการตัดสินใจอัตโนมัติ รวมถึงสิทธิ์ในการอธิบายอย่างมีความหมาย
• กฎการไหลของข้อมูลข้ามพรมแดนที่อัปเดตพร้อมภาระผูกพันขั้นตอนที่สมเหตุสมผลที่ปฏิรูปแล้ว

ใครที่ได้รับการควบคุม

Privacy Act ใช้กับหน่วยงานรัฐบาลออสเตรเลียส่วนใหญ่และองค์กรภาคเอกชนที่มีรายได้ประจำปีเกินเกณฑ์ (ปัจจุบันคือ AUD 3 ล้าน) นอกจากนี้ยังใช้นอกอาณาเขตกับองค์กรต่างชาติที่ดำเนินธุรกิจในออสเตรเลียและที่รวบรวมหรือเก็บข้อมูลส่วนบุคคลในออสเตรเลีย ผู้เผยแพร่ต่างชาติที่ให้บริการผู้ใช้ชาวออสเตรเลียผ่านไซต์ที่ปรับให้เป็นท้องถิ่นหรือสินค้าคงคลังแบบโปรแกรมที่ซื้อเทียบกับ IP ของออสเตรเลียมักอยู่ในขอบเขต และ OAIC ได้ใช้บทบัญญัตินอกอาณาเขตในเรื่องล่าสุดหลายเรื่อง

สิ่งที่นับเป็นข้อมูลส่วนบุคคล

คำจำกัดความข้อมูลส่วนบุคคลของ Privacy Act ได้รับการชี้แจงในกระบวนการปฏิรูปเพื่อแก้ไขความไม่แน่นอนที่ยาวนานเกี่ยวกับตัวระบุออนไลน์

คำจำกัดความที่อัปเดต

ข้อมูลส่วนบุคคลคือข้อมูลหรือความเห็นเกี่ยวกับบุคคลที่ระบุตัวตนได้ หรือบุคคลที่สามารถระบุตัวตนได้อย่างสมเหตุสมผล โดยไม่คำนึงถึงว่าข้อมูลนั้นเป็นความจริงหรือว่าถูกบันทึกในรูปแบบวัสดุ การปฏิรูปปี 2025 ได้ชี้แจงว่านี่รวมถึงตัวระบุออนไลน์ ข้อมูลทางเทคนิค และการอนุมานที่ได้จากข้อมูลพฤติกรรมเมื่อสิ่งเหล่านี้สามารถเชื่อมโยงกับบุคคลได้โดยตรงหรือโดยการรวมกับข้อมูลอื่น

ข้อมูลที่ละเอียดอ่อน

กฎหมายกำหนดหมวดหมู่ของ ข้อมูลที่ละเอียดอ่อน ซึ่งรวมถึงข้อมูลสุขภาพ เชื้อชาติหรือชาติพันธุ์ ความเห็นทางการเมือง การเป็นสมาชิกสมาคมการเมือง ความเชื่อทางศาสนา ความเชื่อทางปรัชญา การเป็นสมาชิกสมาคมวิชาชีพหรือการค้า การเป็นสมาชิกสหภาพแรงงาน รสนิยมทางเพศหรือแนวปฏิบัติ บันทึกอาชญากรรม ข้อมูลไบโอเมตริก และเทมเพลตไบโอเมตริก การประมวลผลข้อมูลที่ละเอียดอ่อนต้องได้รับความยินยอมอย่างชัดเจนและกระตุ้นภาระผูกพันที่เพิ่มขึ้น

เหตุใดสิ่งนี้จึงสำคัญสำหรับคุกกี้

คุกกี้ที่เก็บตัวระบุทั่วไปเป็นข้อมูลส่วนบุคคล คุกกี้ที่ป้อนข้อมูลให้กับส่วนผู้ชมที่สัมผัสรายการที่ละเอียดอ่อน ไม่ว่าจะเป็นความสนใจด้านสุขภาพ ความเกี่ยวข้องทางการเมือง ความสัมพันธ์ทางศาสนา ถือเป็นการประมวลผลข้อมูลที่ละเอียดอ่อนและต้องใช้ขั้นตอนการยินยอมที่สูงขึ้นแทนการยินยอมโฆษณาทั่วไป ผู้เผยแพร่ที่เรียกใช้ส่วนผู้ชมที่ทับซ้อนกับรายการที่ละเอียดอ่อนควรตรวจสอบขั้นตอนการยินยอมของตนโดยเฉพาะเทียบกับขอบเขตนี้

การยินยอมใช้คุกกี้ภายใต้ Privacy Act ที่ปฏิรูปแล้ว

กระบวนการปฏิรูปได้ชี้แจงข้อกำหนดการยินยอมสำหรับการตลาดทางตรงและโฆษณาที่กำหนดเป้าหมายในแบบที่ทำให้ออสเตรเลียเข้าใกล้โมเดล opt-in แบบ GDPR มากกว่าระบบออสเตรเลียในอดีต

มาตรฐานการยินยอมที่อัปเดต

การยินยอมภายใต้ Privacy Act ที่ปฏิรูปแล้วต้องเป็น

• โดยสมัครใจ — ให้โดยไม่มีการบีบบังคับหรือแรงกดดันที่ไม่สมควร
• มีข้อมูล — บุคคลเข้าใจว่าข้อมูลอะไรที่ถูกรวบรวม เพราะเหตุใด และจะถูกใช้และเปิดเผยอย่างไร
• ปัจจุบัน — การยินยอมนั้นสดใหม่พอที่จะมีความหมายสำหรับการประมวลผลที่เสนอ
• เฉพาะเจาะจง — ผูกกับวัตถุประสงค์ที่ระบุอย่างชัดเจนแทนที่จะเป็นการยินยอมแบบครอบคลุมทั่วไป
• ไม่คลุมเครือ — แสดงออกผ่านการกระทำเชิงบวกที่ชัดเจนแทนที่จะอนุมานจากความเฉื่อยชา

CMP ที่สอดคล้องดูเป็นอย่างไร

CMP ที่กำหนดค่าสำหรับการรับส่งข้อมูลของออสเตรเลียในปี 2026 ควรนำเสนอ

• แบนเนอร์ที่มองเห็นได้ก่อนที่คุกกี้หรือตัวติดตามที่ไม่จำเป็นใดๆ จะเริ่มทำงาน
• ความโดดเด่นทางภาพที่เท่าเทียมกันสำหรับยอมรับ ปฏิเสธ และปรับแต่ง OAIC ได้ส่งสัญญาณว่าให้ความสนใจกับการออกแบบแบนเนอร์ในรูปแบบมืดมากขึ้น
• การสลับแบบละเอียดตามวัตถุประสงค์ ได้แก่ การวิเคราะห์ โฆษณา การปรับแต่ง การโอนข้ามพรมแดน และการประมวลผลข้อมูลที่ละเอียดอ่อนใดๆ
• ขั้นตอนที่แยกต่างหาก มีป้ายกำกับชัดเจนสำหรับการประมวลผลข้อมูลที่ละเอียดอ่อน ซึ่งล็อกอยู่เบื้องหลังการดำเนินการของตนเอง
• กลไกถาวรที่เข้าถึงได้ง่ายในการเพิกถอนความยินยอม
• นโยบายความเป็นส่วนตัวภาษาอังกฤษพร้อมการเปิดเผยข้อมูลที่สอดคล้องกับ APP อย่างครบถ้วน รวมถึงช่องทางร้องเรียน OAIC

บันทึกการยินยอม

การปฏิรูปเพิ่มความกระตือรือร้นของ OAIC ในการบังคับใช้โดยอิงหลักฐาน และบันทึกการยินยอมถูกอ้างถึงในเรื่องล่าสุดหลายเรื่อง บันทึกการยินยอมที่ส่งออกได้และมีการประทับเวลาเป็นความคาดหวังพื้นฐาน และบันทึกการยินยอมที่ไม่เพียงพอถูกระบุในการพิจารณาอย่างเป็นทางการ

การเปิดเผยข้อมูลข้ามพรมแดนภายใต้ระบบที่ปฏิรูปแล้ว

Privacy Act ในอดีตใช้แนวทางที่แตกต่างจาก GDPR ต่อการไหลของข้อมูลข้ามพรมแดน ซึ่งเน้นที่ความรับผิดชอบขององค์กรที่เปิดเผยมากกว่าการอนุมัติล่วงหน้าของเขตอำนาจผู้รับ การปฏิรูปปี 2025 ได้ปรับปรุงแนวทางนี้โดยไม่ละทิ้ง

ภาระผูกพันขั้นตอนที่สมเหตุสมผลของ APP 8

Australian Privacy Principle 8 กำหนดให้ก่อนที่จะเปิดเผยข้อมูลส่วนบุคคลแก่ผู้รับต่างประเทศ องค์กรที่เปิดเผยต้องดำเนินขั้นตอนที่สมเหตุสมผลเพื่อให้แน่ใจว่าผู้รับไม่ละเมิด APPs ซึ่งโดยทั่วไปหมายถึงกลไกสัญญา การตรวจสอบวิเคราะห์สถานะแนวปฏิบัติด้านความเป็นส่วนตัวของผู้รับ หรือการอิงระบบกฎหมายที่คล้ายคลึงกันอย่างมีนัยสำคัญในประเทศปลายทาง

ตาข่ายความรับผิดชอบ

หากผู้รับต่างประเทศละเมิด APPs ที่เกี่ยวข้องกับข้อมูลที่เปิดเผย องค์กรออสเตรเลียที่เปิดเผยจะถูกถือว่าได้เข้าร่วมในการละเมิด ตาข่ายความรับผิดชอบนี้เป็นคันโยกการบังคับใช้จริงสำหรับการไหลข้ามพรมแดนและเป็นสิ่งที่ทำให้กลไกสัญญาไม่เป็นเพียงแบบฝึกหัดการจัดทำเอกสาร

แนวทางปฏิบัติปี 2026

สำหรับผู้เผยแพร่ต่างชาติส่วนใหญ่ในปี 2026 แนวทางปฏิบัติคือการทำข้อตกลงโอนข้อมูลที่สอดคล้องกับ APP กับผู้ประมวลผลต่างประเทศ บันทึกการโอนในนโยบายความเป็นส่วนตัว และรักษาบันทึกการตรวจสอบผู้จัดจำหน่ายที่แสดงให้เห็นว่าภาระผูกพันขั้นตอนที่สมเหตุสมผลได้รับการปฏิบัติ สิ่งนี้ง่ายกว่าแนวทางการอนุมัติล่วงหน้าของ GDPR อย่างมีนัยสำคัญแต่ไม่เคร่งครัดน้อยกว่าในเนื้อหา

สิทธิ์ของเจ้าของข้อมูลและการตัดสินใจอัตโนมัติ

กฎหมายที่ปฏิรูปแล้วขยายสิทธิ์ที่บุคคลสามารถใช้ได้

สิทธิ์หลัก

• สิทธิ์เข้าถึงข้อมูลส่วนบุคคลที่องค์กรเก็บถือ
• สิทธิ์แก้ไขข้อมูลที่ไม่ถูกต้อง ล้าสมัย ไม่ครบถ้วน ไม่เกี่ยวข้อง หรือทำให้เข้าใจผิด
• สิทธิ์ยกเลิกการรับการตลาดทางตรง
• สิทธิ์ทราบว่าข้อมูลส่วนบุคคลถูกเปิดเผยให้ใคร
• สิทธิ์ได้รับการอธิบายอย่างมีความหมายสำหรับการตัดสินใจอัตโนมัติที่ก่อให้เกิดผลกระทบสำคัญ
• สิทธิ์ร้องเรียนต่อ OAIC

ระยะเวลาการตอบสนอง

กฎหมายกำหนดกรอบเวลาการตอบสนองในช่วงเวลาที่สมเหตุสมผล และแนวทางของ OAIC ตีความว่าสมเหตุสมผลหมายถึงโดยทั่วไปไม่เกิน 30 วันสำหรับคำขอเข้าถึง ความพร้อมในการดำเนินงานสำหรับช่วงเวลานี้ด้วยเครื่องมือและ runbooks ที่ปรับให้เหมาะกับกระบวนการเฉพาะของออสเตรเลียเป็นช่องว่างทั่วไปสำหรับผู้เผยแพร่ต่างชาติ

Children's Online Privacy Code

Code ที่มีผลบังคับใช้ในปี 2024 ใช้กับบริการออนไลน์ที่เด็กมีแนวโน้มเข้าถึงและกำหนดภาระผูกพันเฉพาะรวมถึงการออกแบบที่เหมาะสมกับอายุ การสร้างโปรไฟล์และโฆษณาที่กำหนดเป้าหมายที่ถูกจำกัด การตั้งค่าความเป็นส่วนตัวเริ่มต้นสูง และข้อกำหนดการมีส่วนร่วมของผู้ปกครอง ผู้เผยแพร่ที่มีผู้ชมซึ่งรวมถึงการรับส่งข้อมูลใต้อายุ 18 ปีอย่างมีนัยสำคัญจำเป็นต้องมีขั้นตอนที่ตระหนักถึงอายุ การประมวลผลที่ถูกจำกัดสำหรับส่วนผู้เยาว์ และค่าเริ่มต้นที่สอดคล้องกับ Code ซึ่งไม่มีสิ่งใดเลยที่พร้อมใช้งานสำหรับผู้เผยแพร่ต่างชาติส่วนใหญ่

บทลงโทษและท่าทีการบังคับใช้ในปี 2026

กิจกรรมการบังคับใช้ของ OAIC ได้ยกระดับอย่างมีนัยสำคัญในช่วงปี 2024 และ 2025 และปี 2026 อยู่ในเส้นทางที่คล้ายกัน

บทลงโทษสูงสุด

สำหรับการละเมิดความเป็นส่วนตัวที่ร้ายแรงหรือซ้ำซาก บทลงโทษสูงสุดคือสิ่งที่มากที่สุดระหว่าง AUD 50 ล้าน สามเท่าของมูลค่าผลประโยชน์ที่ได้รับจากพฤติกรรม หรือ ร้อยละ 30 ของรายได้ที่ปรับแล้วขององค์กร ในช่วงเวลาที่เกี่ยวข้อง สิ่งนี้นำบทลงโทษของออสเตรเลียเข้าสู่ระดับ GDPR อย่างชัดเจนและลบลักษณะของระบบที่ผ่อนปรนซึ่งเคยนำมาใช้ก่อนหน้านี้

การเยียวยาตามกฎหมาย

การเยียวยาตามกฎหมายปี 2025 จากการละเมิดความเป็นส่วนตัวอย่างร้ายแรงให้สิทธิ์บุคคลในการฟ้องร้องโดยตรงเพื่อเรียกค่าเสียหาย แยกต่างหากจากการบังคับใช้ของหน่วยงานกำกับดูแล การฟ้องร้องแบบกลุ่มเป็นช่องทางที่กำลังเติบโต และหลายคดีถูกยื่นฟ้องต่อแพลตฟอร์มขนาดใหญ่ในช่วงปลายปี 2025 และต้นปี 2026

ธีมการบังคับใช้

เรื่องล่าสุดของ OAIC รวมกลุ่มกันรอบๆ ปัญหาที่เกิดขึ้นซ้ำๆ ได้แก่ แบนเนอร์การยินยอมในรูปแบบมืด การแจ้งการละเมิดที่ไม่เพียงพอ การเปิดเผยข้อมูลข้ามพรมแดนโดยไม่มีขั้นตอนที่สมเหตุสมผลที่บันทึกไว้ การประมวลผลข้อมูลที่ละเอียดอ่อนโดยไม่ได้รับความยินยอมอย่างชัดเจน และการไม่ตอบสนองต่อคำขอเข้าถึงภายในช่วงเวลาที่สมเหตุสมผล

รายการตรวจสอบการตรวจสอบสำหรับการรับส่งข้อมูลของออสเตรเลียในปี 2026

• แบนเนอร์ CMP พร้อมยอมรับ ปฏิเสธ และปรับแต่งในระดับความโดดเด่นทางภาพที่เท่าเทียมกัน
• วัตถุประสงค์การยินยอมมีความละเอียดและแยกการประมวลผลข้อมูลที่ละเอียดอ่อนไว้เบื้องหลังความยินยอมอย่างชัดเจน
• นโยบายความเป็นส่วนตัวสอดคล้องกับ APP พร้อมการเปิดเผยข้อมูลอย่างครบถ้วนของผู้รับต่างประเทศ วัตถุประสงค์ การเก็บรักษา และช่องทางร้องเรียน OAIC
• ข้อตกลงการเปิดเผยข้อมูลข้ามพรมแดน APP 8 อยู่ในตำแหน่งกับผู้ประมวลผลต่างประเทศทั้งหมด พร้อมการตรวจสอบผู้จัดจำหน่ายที่บันทึกไว้
• บันทึกการยินยอมมีการประทับเวลา ส่งออกได้ และเก็บรักษาไว้ตามระยะเวลาการเก็บรักษาที่ใช้บังคับ
• ขั้นตอนการทำงานการเข้าถึงของเจ้าของข้อมูลสามารถตอบสนองได้ภายในช่วงเวลาที่สมเหตุสมผลจากต้นจนจบ
• ภาระผูกพัน Children's Online Privacy Code ได้รับการแก้ไขในกรณีที่ผู้ชมรวมผู้เยาว์ รวมถึงการออกแบบที่เหมาะสมกับอายุและการสร้างโปรไฟล์ที่ถูกจำกัด
• คำอธิบายการตัดสินใจอัตโนมัติมีอยู่ในกรณีที่การตัดสินใจสำคัญถูกทำโดยใช้ระบบดังกล่าว
• Runbook การแจ้งการละเมิดปรับตัวให้เหมาะกับกรอบเวลาที่ปฏิรูปแล้ว
• รายชื่อผู้จัดจำหน่ายได้รับการตรวจสอบเพื่อความจำเป็น โดยลบผู้จัดจำหน่ายที่ไม่ได้ใช้หรือซ้ำซ้อนออกเพื่อลดพื้นที่การเปิดเผย

แนวโน้มปี 2026

ระบบความเป็นส่วนตัวของออสเตรเลียได้ย้ายจากกระบวนการปฏิรูปที่ยาวนานไปสู่ท่าทีการบังคับใช้ที่น่าเชื่อถือในที่สุด บทลงโทษสูงสุดอยู่ในระดับ GDPR แล้ว OAIC มีอำนาจที่ต้องการในการบังคับใช้ การเยียวยาตามกฎหมายให้สิทธิ์บุคคลในการฟ้องร้องโดยตรง และ Children's Online Privacy Code ยกพื้นสำหรับบริการที่สัมผัสกับผู้ชมอายุต่ำกว่า 18 ปี สำหรับผู้เผยแพร่ที่เรียกใช้ชุดการยินยอมระดับ GDPR อยู่แล้ว ช่องว่างในการปฏิบัติตาม Privacy Act เป็นเรื่องการดำเนินงานมากกว่าสถาปัตยกรรม ได้แก่ นโยบายความเป็นส่วนตัวที่สอดคล้องกับ APP เอกสาร APP 8 ค่าเริ่มต้นของ Children's Code และวงจรการตอบสนองต่อคำขอเข้าถึง ช่องว่างสามารถปิดได้ในไม่กี่สัปดาห์หากได้รับความสำคัญ ผู้เผยแพร่ที่ถือว่าออสเตรเลียเป็นตลาดที่ค่อนข้างผ่อนปรนในช่วงปี 2023 กำลังพบว่าปี 2026 มีค่าใช้จ่ายมากขึ้นอย่างมีนัยสำคัญ และแนวโน้มจะดำเนินต่อไป ข่าวดีคือช่องว่างในการปฏิบัติตามนั้นเล็กน้อยสำหรับผู้เผยแพร่ที่ทำงานของยุโรปแล้ว ข่าวร้ายคือผู้เผยแพร่ส่วนใหญ่ประเมินต่ำเกินไปว่าระบบออสเตรเลียที่ปฏิรูปแล้วคาดหวังอะไรจากพวกเขา