Le Privacy Act australien : ce qu’il dit des cookies

Qu’est-ce que le Privacy Act ?

Le Privacy Act 1988 est la loi fédérale australienne sur la vie privée. Son cœur est l’ensemble des treize Australian Privacy Principles (APP), en vigueur depuis le 12 mars 2014, qui couvrent le traitement des informations personnelles de la collecte à la communication et à la sécurité. L’Office of the Australian Information Commissioner (OAIC) administre la loi. Deux modifications récentes ont changé le paysage des sanctions : le Privacy Legislation Amendment (Enforcement and Other Measures) Act 2022, qui a multiplié les sanctions maximales à partir du 13 décembre 2022, et le Privacy and Other Legislation Amendment Act 2024, sanctionné le 10 décembre 2024, qui a créé des sanctions civiles par paliers, des avis d’infraction, un délit civil (statutory tort) pour les atteintes graves à la vie privée (depuis le 10 juin 2025) et un Children’s Online Privacy Code que l’OAIC doit enregistrer d’ici décembre 2026. Une seconde tranche de réformes, dont un critère de traitement « juste et raisonnable », a été annoncée mais pas encore légiférée.

À qui s’applique le Privacy Act ?

La loi s’applique aux agences du gouvernement australien et aux organisations dont le chiffre d’affaires annuel dépasse 3 millions de dollars australiens. Les entreprises plus petites sont exemptées sauf si elles fournissent des services de santé, font commerce d’informations personnelles (les achètent ou les vendent), sont prestataires contractuels du Commonwealth, ou optent pour la loi. Les organisations hors d’Australie sont couvertes lorsqu’elles ont un lien avec l’Australie, ce qui inclut le fait d’y exercer une activité et d’y collecter des informations personnelles ; les modifications de 2022 ont supprimé l’ancienne exigence que les informations soient collectées depuis une source en Australie, de sorte qu’un site étranger qui suit des visiteurs australiens est plus clairement à portée.

Qu’exige la loi pour les cookies et les traceurs ?

Une information personnelle est une information ou une opinion sur un individu identifié, ou raisonnablement identifiable. Un identifiant de cookie seul n’identifie peut-être personne, mais combiné à un compte, un profil d’appareil ou un identifiant publicitaire, il le fait généralement, et l’OAIC traite les identifiants en ligne utilisés pour suivre et profiler les personnes comme des informations personnelles dans ce contexte.

Lorsque les cookies collectent des informations personnelles, les APP s’appliquent :

• L’APP 1 exige une politique de confidentialité à jour qui explique ce qui est collecté, comment et pourquoi, et comment se plaindre.
• L’APP 3 limite la collecte à ce qui est raisonnablement nécessaire aux fonctions de l’organisation, et exige un consentement pour collecter des informations sensibles (santé, origine ethnique, religion, orientation sexuelle, biométrie).
• L’APP 5 exige des mesures raisonnables pour informer les personnes, au moment de la collecte, avant ou dès que possible après, de qui collecte les informations, pourquoi, à qui elles sont communiquées et si elles partent à l’étranger. Pour un site, c’est l’avis sur les cookies ou la collecte.
• L’APP 6 permet l’utilisation pour la finalité première de la collecte et pour des finalités secondaires liées qu’une personne attendrait raisonnablement ; tout le reste exige un consentement.
• L’APP 7 permet la prospection directe fondée sur des informations personnelles si la personne s’y attendrait raisonnablement et peut s’y opposer facilement ; sinon, un consentement est nécessaire.
• L’APP 8 rend une organisation responsable des destinataires à l’étranger, ce qui inclut les prestataires de mesure d’audience et de publicité établis aux États-Unis.
• L’APP 11 exige une sécurité raisonnable et la destruction ou la désidentification des informations qui ne sont plus nécessaires.

Le consentement au sens de la loi doit être éclairé, volontaire, actuel et spécifique, et la personne doit avoir la capacité de le donner ; les lignes directrices de l’OAIC indiquent qu’un consentement groupé et des cases précochées ont peu de chances d’être valables. Il n’existe ni équivalent du critère européen du « strictement nécessaire », ni obligation de bloquer les cookies avant un choix. La réponse du gouvernement de 2023 à l’examen du Privacy Act a accepté dans son principe d’imposer un droit inconditionnel de s’opposer à la publicité ciblée et d’interdire le ciblage des enfants, mais ces propositions attendent la seconde tranche.

Que doit faire le bandeau ou l’avis d’un site australien ?

• Publier une politique de confidentialité qui nomme les outils de mesure d’audience et de publicité utilisés et les destinataires à l’étranger.
• Afficher un avis de collecte conforme à l’APP 5 à la première visite, avec un lien vers la politique.
• Demander un consentement avant toute collecte d’informations sensibles et avant les usages qui dépassent ce que les visiteurs attendraient, par exemple un profilage entre sites par un tiers.
• Offrir une opposition qui fonctionne à la prospection directe et, par bonne pratique, aux cookies publicitaires.
• Être honnête sur les finalités des cookies ; des déclarations trompeuses sur le suivi peuvent aussi violer l’Australian Consumer Law.

Les sites australiens qui reçoivent des visiteurs de l’UE ou du Royaume-Uni déploient de toute façon un bandeau de consentement, et les recommandations de l’OAIC considèrent une information claire et un vrai choix comme la façon de respecter les APP en ligne.

Contrôles et sanctions

L’OAIC enquête sur les plaintes et peut accepter des engagements exécutoires, rendre des décisions et, depuis décembre 2024, émettre des avis d’infraction pour les manquements mineurs, comme une politique de confidentialité non conforme. Les sanctions civiles sont demandées devant la Cour fédérale. Pour une atteinte grave à la vie privée par une personne morale, le maximum est le plus élevé de 50 millions de dollars australiens, trois fois la valeur de l’avantage obtenu ou, si l’avantage ne peut être déterminé, 30 % du chiffre d’affaires ajusté pendant la période du manquement. La loi de 2024 a ajouté une sanction intermédiaire jusqu’à 2 000 unités de pénalité pour les atteintes qui ne sont pas graves et un palier inférieur jusqu’à 200 unités pour des manquements administratifs précis ; une unité de pénalité du Commonwealth vaut 330 dollars australiens depuis le 7 novembre 2024, et le montant est multiplié par cinq pour les sociétés, de sorte que le maximum intermédiaire est de 3,3 millions de dollars australiens et le palier inférieur de 330 000 dollars australiens.

La première sanction civile au titre de la loi a été prononcée le 8 octobre 2025 : Australian Clinical Labs a accepté de payer 5,8 millions de dollars australiens pour la violation de données Medlab Pathology de 2022, calculés sur le maximum antérieur à 2022 de 2,22 millions de dollars australiens par infraction, parce que les faits précédaient l’augmentation. Des procédures contre Medibank et Optus pour leurs violations de 2022 sont en cours. Il n’y a eu aucune sanction liée aux cookies ; le suivi apparaît dans les travaux de l’OAIC surtout à travers des décisions sur les plateformes en ligne et le code pour les enfants en préparation.

Comment Cookiequiet gère l’Australie

L’Australie ne figure pas dans la liste des pays à loi sur le consentement de Cookiequiet, ce qui est exact : aucune règle de consentement aux cookies ne s’applique. Vous pouvez tout de même ajouter l’Australie à une liste personnalisée de ciblage géographique, ou afficher le bandeau partout, pour donner aux visiteurs australiens l’avis de l’APP 5 et un vrai choix sur les cookies publicitaires. Le premier niveau du bandeau porte le texte de l’avis, les catégories restent désactivées tant qu’un visiteur n’accepte pas, et le centre de préférences fournit l’opposition. Le générateur de politique de confidentialité liste les prestataires trouvés par le scan et leur localisation, ce qui couvre l’information de l’APP 8 sur les destinataires à l’étranger, sous forme de modèle, pas de conseil juridique. Voir faut-il un bandeau cookies pour décider selon votre public.