Le cadre juridique
L'Australie encadre les données personnelles au moyen du Privacy Act 1988 et des Australian Privacy Principles, sous la supervision du Bureau du Commissaire australien à l'information.
La position est hybride. La collecte est régie par l'obligation d'information et le principe de limitation des finalités, et le consentement est réservé aux cas sensibles, ce qui rend le marketing first-party plus praticable ici que sur des marchés strictement opt-in.
Principaux textes
Privacy Act 1988 + APPs
Treize Australian Privacy Principles : gestion ouverte et transparente, limites à la collecte, règles d'utilisation et de communication, marketing direct (APP 7), responsabilité transfrontière (APP 8), sécurité et droits d'accès. S'applique aux entreprises dont le chiffre d'affaires dépasse 3 millions AUD, ainsi qu'aux exceptions énumérées.
Privacy and Other Legislation Amendment Act 2024
Premier volet de la réforme : délit civil prévu par la loi pour atteintes graves à la vie privée (à compter de juin 2025), transparence des décisions automatisées dans les politiques de confidentialité (à compter du 10 décembre 2026), un Code de protection de la vie privée en ligne des mineurs (à faire enregistrer d'ici le 10 décembre 2026), infractions de doxxing, pouvoirs élargis de l'OAIC et paliers de sanctions.
Spam Act 2003
Consentement opt-in (exprès ou déduit) pour les e-mails et SMS commerciaux, identification de l'expéditeur et désabonnement fonctionnel ; l'ACMA sanctionne régulièrement de grandes marques pour des défaillances de désabonnement.
Marketing et publicité
La collecte obéit aux règles d'information et de collecte loyale, le consentement étant requis pour les informations sensibles. L'APP 7 permet le marketing direct sur la base d'un opt-out lorsque les données proviennent de la personne elle-même, et d'un opt-in dans les autres cas. Le Spam Act impose l'opt-in pour l'e-mail et le SMS. La plupart des décisions relatives aux canaux découlent de cette règle de consentement.
Transferts transfrontaliers
Responsabilité au titre de l'APP 8 : l'entité qui communique les données reste responsable à l'égard des destinataires situés à l'étranger, sauf exception applicable.
Application et sanctions
Pour les atteintes graves : le montant le plus élevé entre 50 millions AUD, trois fois le bénéfice tiré de l'infraction, ou 30 % du chiffre d'affaires ajusté ; une refonte des sanctions au milieu des années 2020, avec des paliers pour les infractions moins graves.