说清楚你的生意，拿走一份能派工的义务清单

仅在与主体职能或活动合理必要的范围内收集个人信息；敏感信息（包括健康信息、生物识别信息与生物识别模板）原则上须取得个人同意且与职能或活动直接相关。OAIC 已明确：许多个人的照片或录音（含人工生成者）含有敏感信息，因而未确立同意即不得从网络抓取或从第三方数据集取得。

需留存证据：收集必要性评估记录；敏感信息识别与同意取得记录；第三方数据集来源尽调与同意链条核查；图像/音频数据集的敏感信息筛查报告

向澳大利亚境外的接收方披露个人信息前，须采取合理步骤确保该接收方不违反 APPs（法定例外情形除外）。配套的第 16C 条确立责任延伸：在若干情形下，境外接收方的违规行为被视为披露方自身的违规。把澳大利亚用户数据传至中国境内关联公司或供应商处理，须据此建立合同与监督机制。

需留存证据：境外披露清单（接收方、国家、数据类别、目的）；“合理步骤”落实证据（合同条款、尽调、审计权）；例外情形适用的判定记录；隐私政策中境外披露国家的公示

打开工具：跨境传输矩阵

采取合理步骤保护所持个人信息免于滥用、干扰、丢失、未经授权的访问、修改或披露；当该信息对任何被允许的目的均不再需要，且无须依法或依法院命令保留时，须采取合理步骤予以销毁或去识别。AI 场景须专门覆盖训练集、提示词日志与向量索引。

需留存证据：安全控制措施清单与实施证据；保留期限表（含训练集与日志）；销毁与去识别执行记录；合理步骤的风险相称性论证

在有合理理由相信发生“符合条件的数据泄露”时，须迅速向澳大利亚信息专员与受影响个人发出通知；在仅有怀疑时，须开展合理且迅速的评估以确定是否构成符合条件的数据泄露。企业须预先明确评估启动条件、责任人与对外通知模板。

需留存证据：事件响应预案（含 NDB 评估启动标准）；评估记录与结论；向专员提交的声明与回执；向受影响个人的通知文本与发送证明

AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）

按 APP 1 建立并维持一份清晰、最新且可免费获取的 APP 隐私政策，说明所收集与持有的个人信息类型、收集与持有方式、收集目的、个人如何查阅与更正、如何投诉及投诉处理方式、是否可能向境外接收方披露及可能的国家。同时建立实践、程序与系统以确保遵守 APPs 并能处理相关查询与投诉。

需留存证据：APP 隐私政策全文与版本历史；隐私管理计划与合规责任分配；查询与投诉处理台账；年度政策复核记录

在收集个人信息时或之前，或在其后尽快，采取合理步骤告知个人 APP 5.2 所列事项，包括主体身份与联系方式、收集事实与情形（尤其是从第三方而非本人处收集时）、收集目的、不提供的后果、通常会披露的对象、如何查阅更正与投诉、以及是否可能向境外接收方披露及其所在国家。

需留存证据：收集告知文本（覆盖 APP 5.2 全部事项）；间接收集场景的告知方式与合理步骤评估；告知送达证明；境外披露国家清单

新增的 APP 1.7 规定：若（a）APP 主体已安排由计算机程序作出决定，或作出与该决定具有实质且直接关联之事项；（b）该决定可合理预期对个人的权利或利益产生重大影响；且（c）该个人的个人信息被用于该计算机程序的运行以作出该决定或该关联事项——则该主体的 APP 隐私政策必须载明 APP 1.8 所涵盖的信息，即：（a）此类计算机程序运行中所使用的个人信息类型；（b）完全由此类计算机程序运行作出的此类决定的类型；（c）由此类计算机程序运行完成与决定具有实质且直接关联之事项的此类决定的类型。APP 1.9 明确：作出决定包括拒绝或不作出决定，作出某事项包括拒绝或不作出该事项。APP 1.7 同时被列入第 13K 条可发出违规通知的条款清单。

需留存证据：自动化决定清单（含“重大影响”判定与人机分工说明）；每类决定所用个人信息字段清单；更新后的 APP 隐私政策条款与生效记录；“拒绝或不作出决定”情形的覆盖性核查；模型或规则变更时的政策同步机制

在把任何数据集投入预训练或微调前，判断其中是否含个人信息（包括来源不明的数据），并据此履行隐私义务；数据公开可得或可访问本身不构成合法使用依据。必要时须采取额外措施（例如删除相关信息）以确保合规。收集环节还须遵守 APP 3 的必要性限制：只收集对其职能或活动合理必要的个人信息，为生成式 AI 编制数据集时应就“哪些数据需要纳入”制定适当参数，并建立过滤机制剔除不必要的个人信息。

需留存证据：数据集个人信息含量评估记录；数据集纳入参数与过滤规则文档；删除或去识别执行记录；来源不明数据的尽调结论

数据卡（Data Card）——训练、验证与测试数据集说明书

OAIC 明确：敏感信息的收集通常需要同意；许多个人的照片或录音（包括人工生成的）含有敏感信息，因此在未确立同意的情况下，可能不得从网络抓取或从第三方数据集中收集。计划训练人脸、人像、语音相关模型的企业，须在数据集构建阶段就建立同意链条核查，而不是在发布前补救。

需留存证据：影像与音频数据集的敏感信息筛查报告；同意链条核查记录（含第三方数据集供应商的同意证明）；无法确立同意时的排除或删除记录；人物影像用途的法务审查意见

若拟将已持有的个人信息用于训练 AI 模型，而该用途并非原收集的主要目的，则须：确认是否已就该次级 AI 用途取得同意；若无，则须能够确立该次级使用系个人在收集时的合理预期之内（须特别考虑其收集当时的预期），且与原主要目的相关（敏感信息须“直接相关”），或适用其他例外。若无法清晰确立，为避免监管风险，应就该用途取得同意，并/或向个人提供有意义且知情的退出机会。

需留存证据：次级用途评估记录（合理预期 + 相关性双要件逐项论证）；原收集时告知文本与用户预期的证据（历史隐私政策版本）；同意取得或退出机制的实现与执行记录；敏感信息“直接相关”判定的单独记录

数据卡（Data Card）——训练、验证与测试数据集说明书

OAIC 指出生成式 AI 模型具概率性、不“理解”其处理或生成的数据，已知会产生不准确或错误结果。开发者须按 APP 10 采取合理步骤确保所收集、使用与披露的个人信息准确，且该步骤须与 AI 语境下更高的风险水平相称，包括使用高质量数据集、开展适当测试并适当使用免责声明。免责声明应清楚说明模型准确性的限制（含数据集是否仅涵盖至某一日期），并在高隐私风险用途（例如用于对个人权利产生法律或类似重大影响的决定）上提示需谨慎考虑并采取额外保障措施。

需留存证据：数据集质量控制与来源评估记录；准确性测试方案与结果（含关于个人的事实性输出）；免责声明文本与展示位置截图（含数据截止日期说明）；高隐私风险用途清单与额外保障措施

使用市面可得的商用 AI 产品（含第三方模型 API、SaaS 与公开可用的聊天机器人）时，按 OAIC 使用指引落实五点：（1）输入 AI 系统的个人信息与 AI 生成的输出（含个人信息者）同样受隐私义务约束，选型阶段须开展尽调，评估该产品是否经过针对拟定用途的测试、如何嵌入人工监督、隐私与安全风险，以及谁能访问所输入或生成的个人信息；（2）更新隐私政策与告知，以清晰透明的方式说明本机构如何使用 AI，并确保面向公众的 AI 工具（如聊天机器人）向外部用户明确标识其为 AI，同时建立 AI 使用的制度与流程；（3）以 AI 生成或推断个人信息（含图像）构成 APP 3 意义上的“收集”，须确保其对本机构职能或活动合理必要且以合法公平方式进行——AI 产生的推断性、错误或人工生成信息（含幻觉与深度伪造），只要关于可识别个人即属个人信息；（4）向 AI 系统输入个人信息受 APP 6 约束，只能用于原收集的主要目的，除非取得同意或能确立该次级使用属个人合理预期之内且与主要目的相关（敏感信息须“直接相关”）；（5）OAIC 作为最佳实践建议：不要把个人信息、尤其是敏感信息输入公开可用的生成式 AI 工具。这与澳大利亚自 2026-12-10 起的 APP 1.7 自动化决定披露义务衔接：先有 AI 使用的总体透明度，再有针对自动化决定的法定披露项。

需留存证据：商用 AI 产品供应商隐私尽调记录；允许用途与禁止输入数据类型的内部政策与培训记录；更新后的隐私政策中 AI 使用说明段落；员工使用 AI 工具的审批与日志；与 APP 1.7 披露要求的映射与更新计划

供应商与分包商 ESG 与安全尽调问卷（本企业作为采购方使用）