《1988 年隐私法》（联邦），经《2024 年隐私及其他立法修订法》修订
澳大利亚联邦议会 · 澳大利亚信息专员办公室（OAIC）执法 · Privacy Act 1988 (No. 119, 1988); amending Act No. 128, 2024
澳大利亚以《1988 年隐私法》与其附表 1 的澳大利亚隐私原则（APPs）为核心。2024 年改革做了三件结构性的事：一是重构民事罚则体系，除原有的“严重或反复干扰隐私”外，新增第 13H 条一般干扰隐私的民事罚则条款与第 13K 条可发出违规通知的条款，使专员对中小违规也有可用工具；二是自 2025-06-10 起引入“严重侵犯隐私”的法定侵权之诉，个人可直接索赔；三是自 2026-12-10 起新增 APP 1.7–1.9，要求在隐私政策中披露自动化决定。第 13G 条对法人的最高罚则以三者中的较高者计：5,000 万澳元、违规所获利益的 3 倍、或在无法确定该利益时按违规期间“调整后营业额”的 30%。
中国 AI 企业在以下情形须关注澳大利亚隐私法：（1）在澳大利亚设立实体或雇佣员工；（2）向澳大利亚个人或企业提供 App、SaaS、模型 API 并因此处理澳大利亚个人信息；（3）以澳大利亚个人信息训练或微调模型——OAIC 已就此发布专门指引（见 au-oaic-ai-guidance）；（4）作为 APP 主体向境外接收方（包括中国境内关联公司）披露个人信息，触发 APP 8 的跨境披露义务与随附的责任延伸。自 2026-12-10 起，若产品中存在“由计算机程序作出、或作出与决定有实质且直接关联之事项，且该决定可合理预期对个人权利或利益产生重大影响”的自动化环节，隐私政策必须披露。
重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、金融科技 AI、计算机视觉、AI 智能体
1989-01-01
《1988 年隐私法》施行（1988-12-14 御准）
合并本尾注三载明：本法为 1988 年第 119 号法，1988-12-14 御准，1989-01-01 施行（第 2 条及 1988 年第 S399 号政府公报）。下列节点为 2024 年改革的分阶段生效安排。
2024-12-10
《2024 年隐私及其他立法修订法》获御准（2024 年第 128 号法）
2024-12-11
附表 1 第 1–14 部分主体条款生效
生效表载明附表 1 第 1 至 44、49 至 67、72、73、82 至 86 项自御准次日生效，包括新的民事罚则层级（第 13G 条严重侵犯隐私、第 13H 条一般侵犯隐私、第 13K 条可发出违规通知的条款）与专员的执法工具扩充。
2025-06-10
附表 2“严重侵犯隐私”法定侵权之诉生效
个人自此可就严重侵犯隐私直接提起民事诉讼，与 OAIC 的行政执法并行，构成独立的赔偿风险敞口。
2026-12-10
附表 1 第 15 部分（自动化决定与隐私政策）生效，新增 APP 1.7–1.9
自该日起，符合条件的自动化决定须在 APP 隐私政策中披露所用个人信息类型与决定类型；该修订适用于生效后作出的决定，无论相关安排、个人信息的使用或取得发生于生效前后（附表 1 第 89 项）。相关但不同日的节点：第 26GC(10) 条要求专员在御准起 24 个月内制定并登记儿童在线隐私守则，该 24 个月期间自 2024-12-10 起算、于 2026-12-09 届满，即第 15 部分生效的前一日。
每条都写明触发条件、需要留存的证据与条款出处
按 APP 1 建立并维持一份清晰、最新且可免费获取的 APP 隐私政策，说明所收集与持有的个人信息类型、收集与持有方式、收集目的、个人如何查阅与更正、如何投诉及投诉处理方式、是否可能向境外接收方披露及可能的国家。同时建立实践、程序与系统以确保遵守 APPs 并能处理相关查询与投诉。
首次达标投入估算：5–12 人日（估算，非承诺）
新增的 APP 1.7 规定：若（a）APP 主体已安排由计算机程序作出决定，或作出与该决定具有实质且直接关联之事项；（b）该决定可合理预期对个人的权利或利益产生重大影响；且（c）该个人的个人信息被用于该计算机程序的运行以作出该决定或该关联事项——则该主体的 APP 隐私政策必须载明 APP 1.8 所涵盖的信息，即：（a）此类计算机程序运行中所使用的个人信息类型；（b）完全由此类计算机程序运行作出的此类决定的类型；（c）由此类计算机程序运行完成与决定具有实质且直接关联之事项的此类决定的类型。APP 1.9 明确：作出决定包括拒绝或不作出决定，作出某事项包括拒绝或不作出该事项。APP 1.7 同时被列入第 13K 条可发出违规通知的条款清单。
首次达标投入估算：8–20 人日（估算，非承诺）
仅在与主体职能或活动合理必要的范围内收集个人信息；敏感信息（包括健康信息、生物识别信息与生物识别模板）原则上须取得个人同意且与职能或活动直接相关。OAIC 已明确：许多个人的照片或录音（含人工生成者）含有敏感信息，因而未确立同意即不得从网络抓取或从第三方数据集取得。
首次达标投入估算：8–20 人日（估算，非承诺）
在收集个人信息时或之前，或在其后尽快，采取合理步骤告知个人 APP 5.2 所列事项，包括主体身份与联系方式、收集事实与情形（尤其是从第三方而非本人处收集时）、收集目的、不提供的后果、通常会披露的对象、如何查阅更正与投诉、以及是否可能向境外接收方披露及其所在国家。
首次达标投入估算：4–10 人日（估算，非承诺）
向澳大利亚境外的接收方披露个人信息前，须采取合理步骤确保该接收方不违反 APPs（法定例外情形除外）。配套的第 16C 条确立责任延伸：在若干情形下，境外接收方的违规行为被视为披露方自身的违规。把澳大利亚用户数据传至中国境内关联公司或供应商处理，须据此建立合同与监督机制。
首次达标投入估算：8–20 人日（估算，非承诺）
采取合理步骤保护所持个人信息免于滥用、干扰、丢失、未经授权的访问、修改或披露；当该信息对任何被允许的目的均不再需要，且无须依法或依法院命令保留时，须采取合理步骤予以销毁或去识别。AI 场景须专门覆盖训练集、提示词日志与向量索引。
首次达标投入估算：10–25 人日（估算，非承诺）
在有合理理由相信发生“符合条件的数据泄露”时，须迅速向澳大利亚信息专员与受影响个人发出通知；在仅有怀疑时，须开展合理且迅速的评估以确定是否构成符合条件的数据泄露。企业须预先明确评估启动条件、责任人与对外通知模板。
首次达标投入估算：5–15 人日（估算，非承诺）
第 13G 条（严重侵犯个人隐私）为民事罚则条款。第 13G(2) 条：非法人主体最高 250 万澳元。第 13G(3) 条：法人最高罚则取下列各项中的较高者——（a）5,000 万澳元；（b）若法院能确定该法人及任何关联法人因构成违反的行为直接或间接获得、且合理归因于该行为的利益价值，则为该利益价值的 3 倍；（c）若法院无法确定该利益价值，则为该法人在该违反之“违规营业额期间”内“调整后营业额”的 30%。“调整后营业额”（第 13G(5) 条）定义为该法人及任何关联法人在该期间已作出或可能作出的全部供给价值之和，但排除各关联法人之间的相互供给、进项已计税的供给、无对价的供给、与其经营的企业无关的供给、以及与间接税区无关联的供给。第 13G(1B) 条列出法院判断“是否严重”可考虑的因素（信息种类、敏感度、后果、受影响人数、是否涉及儿童或脆弱群体、是否反复或持续、是否未落实合规制度流程等）。第 13H 条为一般干扰隐私的民事罚则条款，第 13H(3) 条最高 2,000 个罚款单位；第 13J 条允许法院在认定构成干扰但不构成“严重”时改按第 13H 条作出罚款令；第 13K 条为可发出违规通知或合规通知的民事罚则条款，涵盖 APP 1.3、1.4、2.1、6.5、7.2(c)/7.3(c)、7.3(d)、7.7(a)、7.7(b)、13.5 与条例另行规定者，以及第 26WK(3) 条不合规的泄露声明，第 13K(4) 条最高 200 个罚款单位；自 2026-12-10 起 APP 1.7 经第 (iia) 目并入该清单。此外，自 2025-06-10 起个人可就严重侵犯隐私提起法定侵权之诉。注意：第 13G 条以澳元金额直接规定，不使用罚款单位；第 13H、13K 条使用罚款单位，其单位金额由《1914 年刑法典法》第 4AA 条规定并定期指数化，本轮未核实当期单位金额。
本轮以合并本第 104 号（编制日 2026-06-04，C2026C00227）与 2024 年第 128 号修订法原文为准，逐条核实了：第 2 条生效表与合并本尾注三所载实际生效结果、第 13G 条全部罚则金额与判断因素、第 13H/13J/13K 条条文、“调整后营业额”与“违规营业额期间”定义、APP 1.7–1.9 的条文措辞、第 13K(1)(b)(iia) 目的插入与第 89 项适用条款、第 26GC(10) 条的 24 个月期限，以及本法 1988-12-14 御准、1989-01-01 施行。未核实的包括：第 13H、13K 条所用罚款单位的当期澳元金额（由《1914 年刑法典法》第 4AA 条规定并指数化）、NDB 方案评估期限的具体天数，以及澳大利亚隐私改革第二批的立法进展。小企业豁免、雇员记录豁免等适用性问题须结合企业具体情况单独判断。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。