如果您在澳大利亚经营企业，过去几个月里您很可能收到过这样的邮件：Privacy Act（《隐私法》）的小企业豁免将于 2026 年 12 月 10 日取消，250 万家企业即将受到监管，您应该立即预约合规审计。
日期是真的。这句话里的其他内容几乎都不是。
这类警告我们读过很多，大多由 IT 服务商发布，套路如出一辙：把两项完全不同的改革，一项已经立法、一项仍是草案，合并成同一个截止日期。结果是企业为一项尚不存在的义务购买合规项目，却忽视了一项自去年起就已可以强制执行的义务。
简要版本
- 法律，2026 年 12 月 10 日起生效：在隐私政策中披露自动化决策。
- 法律，自 2025 年 6 月 10 日起已经生效：一项法定侵权，允许个人直接起诉您，无论是否享有豁免。
- 不是法律：取消小企业豁免。仍是征求意见稿。
四处流传的说法
标准说法大致是：“自 2026 年 12 月 10 日起，AUD 300 万的小企业豁免将被取消，约 250 万家澳大利亚企业必须遵守全部 13 条 Australian Privacy Principles（澳大利亚隐私原则）。”
取消豁免确实是一项政策承诺，也是 Attorney-General's Department（联邦总检察长部）对 Privacy Act Review（隐私法审查）作出的已同意回应之一。但同意去做和已经做到并不是一回事。豁免规定在 Privacy Act 1988（《1988 年隐私法》）中，取消它需要修订法律，而截至 2026 年 9 月，相关修订尚未通过。
实际存在的是一份征求意见稿，即 Privacy Amendment (Personal Data Protection) Bill 2026（《2026 年隐私修正（个人数据保护）法案》），其中包含约四十项提案，包括针对收集、使用和披露的单一“公平合理”测试。该草案已公开征求意见，而且本月仍在征求中。征求意见稿是政府就某项提案征求意见，而不是生效日期。
2026 年 12 月 10 日真正生效的法律是什么
真正的截止日期来自 Privacy and Other Legislation Amendment Act 2024（《2024 年隐私及其他法律修正法》），该法于 2024 年底通过。其中大部分内容立即或很快生效。有一项重要内容被刻意推迟了 24 个月，以便各组织有时间准备，这正是在 2026 年 12 月 10 日到来的部分：自动化决策的透明度。
自该日起，如果您是 APP 实体，并在计算机程序中使用个人信息来作出或实质性辅助作出可合理预期会对个人权利或利益产生重大影响的决定，您的隐私政策就必须披露：
- 这些决定中使用的个人信息种类，以及
- 利用这些信息作出的决定种类。
请注意这项义务的性质。它是一项披露要求，不是禁令，也不是同意要求。法律没有告诉您不能使用自动化决策，只是要求您承认自己在使用。
自动化决策是否涉及您？
在这一点上，大多数企业会在两个方向上都猜错。“自动化决策”听起来像是指机器学习模型，所以没有数据科学团队的企业以为与己无关。实际上触发条件要宽泛得多，而且通常是由您购买的软件、而非自己开发的软件所满足的。
三个条件必须同时满足：涉及个人信息；计算机程序作出或实质性辅助作出决定；该决定可能对某人的权利或利益产生重大影响。经常符合条件的情况包括：
| 系统 | 它驱动的决定 | 可能在范围内？ |
|---|---|---|
| 带候选人排名功能的招聘平台 | 谁进入面试 | 是，影响就业 |
| 信用或开户申请评分 | 是否给予付款条件 | 是，影响获得金融服务 |
| 保险或报价引擎 | 价格或资格 | 是 |
| 租赁或申请人筛选工具 | 谁能获得房源 | 是 |
| 会封锁账户的欺诈或风控引擎 | 能否使用某项服务 | 是 |
| 营销细分 | 某人收到哪封邮件 | 通常不在，影响小 |
| 垃圾邮件过滤、负载均衡 | 不涉及对个人的决定 | 否 |
棘手的是那些名义上有人参与的情况。“实质性辅助”在这一定义中起着实际作用。如果系统生成一个评分，而审批人在没有认真审查输入的情况下就批准了结果，那仍然属于实质性辅助。橡皮图章不是人的决定。
实际操作并不光鲜：列出所有接触个人信息的系统，逐一询问它产生什么决定，以及这个决定是否会改变某人获得工作、资金、住房、服务的机会或其声誉。大多数企业会找到零到三个。不少企业确实一个也找不到，对它们来说，12 月这个日期毫无意义，这一点值得在为项目付费之前弄清楚。
已经发生的变化
下面这部分几乎没有得到那些警告 12 月的电子通讯的关注，而它恰恰是我们首先会担心的。
2025 年 6 月 10 日，针对严重侵犯隐私的法定侵权开始生效。在澳大利亚法律中，个人首次可以就严重侵犯隐私的行为直接提起诉讼。
关键细节在于它适用于谁。这项侵权不限于 APP 实体，也不会因小企业豁免而失效。营业额低于 AUD 300 万门槛的企业、承包商、员工个人：都可能被直接起诉。原告要胜诉，必须证明自己对隐私有合理期待、侵犯情节严重，且其隐私利益大于任何相抗衡的公共利益。原告无需证明经济损失。
每一家目前依赖小企业豁免的企业，都已经面临被直接起诉的风险。自 2025 年 6 月起就是如此。
所以，诚实的说法几乎与营销说法正好相反。一年多来，豁免并没有保护您免于被起诉。豁免最终是否会从 Privacy Act（《隐私法》）中消失，是一个关于监管机构监督和 13 条 Australian Privacy Principles（澳大利亚隐私原则）的问题：这是一个真实的问题，但与已经存在的法律责任相比，是次要问题。
哪些仍只是草案
明确说一下，因为混为一谈正是问题所在：
| 变化 | 状态 | 日期 |
|---|---|---|
| 针对严重侵犯隐私的法定侵权 | 已生效 | 2025 年 6 月 10 日 |
| 自动化决策透明度 | 已立法，即将生效 | 2026 年 12 月 10 日 |
| Children's Online Privacy Code（儿童网络隐私守则） | 由 OAIC（澳大利亚信息专员办公室）制定中 | 进行中 |
| 取消小企业豁免 | 仅为征求意见稿 | 无生效日期 |
| 针对收集和使用的“公平合理”测试 | 仅为征求意见稿 | 无生效日期 |
豁免最终会被取消吗？很可能会。它多年来饱受批评，澳大利亚是少数保留这种豁免的国家之一，政府也已承诺取消。如果真的取消，合理的预期是会有过渡期，而不是一夜之间切换；政策初衷一直是给小企业留出时间。
但“很可能、最终、有过渡期”与“您只有到 12 月的时间”是截然不同的规划依据。前者值得您养成良好习惯，后者则意味着要拨出紧急预算。
从现在到 12 月，真正该做什么
我们给客户的建议变化不大，因为值得做的事情，无论哪项改革落地都值得做。
1. 盘点自动化决策。对大多数企业来说，这是半天的工作。列出存有个人信息的系统，找出哪些系统产生会对人造成重大影响的决定，并把答案记录下来。如果答案是“没有”，就记录下您已经检查过；这份记录本身就是有用的成果。
2. 如果您确实使用 ADM，在 12 月前更新隐私政策。这是一项文字起草工作，不是工程项目。用浅白的语言描述信息的种类和决定的种类。
3. 把安全基础当作真正的截止日期。2025 年，澳大利亚各组织共通报了 1,205 起数据泄露事件，比上一年增加 8%，是自 2018 年实行强制通报以来的最高年度数字。约三分之二由恶意或犯罪攻击造成。勒索软件通报增加了 24%。约四分之一的泄露事件，根本原因是凭证被盗用。
最后这个数字值得好好思考。四分之一的已通报泄露事件，都可以追溯到有人获取并使用了某个凭证。在邮箱、远程访问和管理员账户上启用多重身份验证并不只是一项合规控制措施；对大多数企业来说，它是回报最高的单项安全改进，而且针对的正是实际通报事件中最常见的原因。
4. 准备一份您真正大声读过的数据泄露应对计划。如果豁免被取消，Notifiable Data Breaches（应通报数据泄露）机制将扩展到新纳入的企业，而完成评估的时限很短。在需要之前就清楚谁打电话给谁、谁能把系统下线、备份在哪里，比一份没人打开过的政策文件更有价值。
5. 对“12 月式”的紧迫感保持怀疑。如果有服务商向您报价 Privacy Act（《隐私法》）合规工作，一个合理的问题是：具体是哪项义务，出自哪部法律，在哪一天生效？好的服务商会毫不犹豫地回答。如果答案含糊，那就是截止日期在帮忙推销。
不构成法律意见
本文是一家工程公司截至 2026 年 9 月对公开资料的解读，之所以撰写，是因为客户一直在问。隐私义务取决于我们在这里无法看到的具体情况，而且第二批改革正在积极推进。如需针对您具体情况的意见，请咨询隐私律师。权威立场请以 OAIC（澳大利亚信息专员办公室）为准。
真正有用的工作（了解您持有哪些个人信息、存放在哪里、谁能接触到，以及出问题时会发生什么）在这些改革的任何版本下都会有回报。它恰好也是让您不出现在数据泄露统计中的工作，这比“合规却被攻破”要好得多。
Privacy Act（《隐私法》）的小企业豁免会在 2026 年 12 月 10 日结束吗？
不会。截至 2026 年 9 月，取消小企业豁免尚未成为法律。它属于第二批改革，目前以征求意见稿的形式存在，即 Privacy Amendment (Personal Data Protection) Bill 2026（《2026 年隐私修正（个人数据保护）法案》），本月仍在公开征求意见。真正在 2026 年 12 月 10 日生效的，是 Privacy and Other Legislation Amendment Act 2024（《2024 年隐私及其他法律修正法》）规定的自动化决策透明度义务，这项义务已经立法。
根据 Privacy Act（《隐私法》），2026 年 12 月 10 日起生效的是什么？
自动化决策（ADM）透明度要求。自该日起，如果 APP 实体在计算机程序中使用个人信息来作出或实质性辅助作出可合理预期会对个人权利或利益产生重大影响的决定，就必须在其隐私政策中说明这一点，包括所使用的个人信息种类以及涉及的决定种类。
我的企业年营业额低于 AUD 300 万。我受 Privacy Act（《隐私法》）约束吗？
在小企业豁免之下，一般暂时不受约束，但有一些由来已久的例外情形已经覆盖了许多小型经营者，包括医疗服务提供者、买卖个人信息的企业、信用报告机构，以及履行联邦政府合同的承包商。另外，自 2025 年 6 月 10 日起，针对严重侵犯隐私的法定侵权适用于任何个人或企业，无论是否享有豁免。
在澳大利亚，有人能因隐私泄露直接起诉我的企业吗？
能。针对严重侵犯隐私的法定侵权已于 2025 年 6 月 10 日生效。它赋予个人直接起诉的权利，而且不限于 APP 实体：小企业、承包商乃至员工个人都可能被起诉。原告必须证明自己对隐私有合理期待、侵犯情节严重，且其隐私利益大于任何相抗衡的公共利益。原告无需证明经济损失。
严重隐私违规的最高罚款是多少？
对于严重或屡次干涉隐私的行为，法人团体的最高民事罚款为以下三者中的最高者：AUD 5,000 万；从该行为中所获利益的三倍；或相关期间调整后营业额的 30%。
企业在 2026 年 12 月之前应该做什么？
弄清楚您是否在使用自动化决策，包括为人打分、排序或筛选的第三方 SaaS；如果是，就更新隐私政策加以说明。另外，无论是否享有豁免，都要把安全基础打牢：处处启用 MFA、及时打补丁、拥有真正恢复过的备份，以及一份书面的数据泄露应对计划。这些措施能降低当下的真实风险，而不是为一部可能不会到来的法律做准备。