【BambrickLegal 法律专栏】Optus 数据泄露后，OAIC 加强隐私执法力度

Bambrick

Optus 数据泄露后，OAIC 加强隐私执法力度

随着澳大利亚信息专员办公室（OAIC） 最近采取的一系列监管行动，隐私合规再次成为监管重点。这些行动表明，根据 《1988年隐私法》（Privacy Act 1988 (Cth)），监管机构正采取更为严格的执法态度。

OAIC 已启动其首次大规模隐私政策合规审查（privacy policy compliance sweep），重点关注其认为风险较高的行业，包括：

• 房地产及租赁服务
• 药房
• 持牌营业场所（licensed venues）
• 汽车租赁企业
• 汽车经销商
• 二手交易商
  

此次审查主要评估企业的隐私政策是否符合澳大利亚隐私原则（Australian Privacy Principles）中关于透明度及内容披露的要求。

对于未达标企业，后果可能十分严重。2024 年底通过的立法修正案提高了违规处罚力度，对于某些违规行为，罚款现已最高可达 330,000 澳元。根据 OAIC 的说明，此次审查的目的不仅在于执法，更在于推动企业建立更强的隐私治理机制，并以更清晰的方式向客户说明其信息处理方式。

Optus 诉讼背景

理解这一监管趋势，必须结合 OAIC 于 2025 年 8 月对 Optus 提起民事罚款诉讼 的背景。该诉讼源于 2022 年广受关注的 Optus 数据泄露事件，影响约 950 万名现有及前客户。

泄露的个人信息范围非常广泛。除姓名及联系方式外，部分客户的政府签发身份证明信息也遭泄露，包括驾照号码和护照号码。OAIC 指控 Optus 未采取合理措施保护这些信息，违反了 澳大利亚隐私原则 11.1（APP 11.1） 的要求。

信息专员认为，这些失误显著增加了受影响个人遭遇身份盗用和欺诈风险。 如果 Optus 采取更完善的安全防护措施，本次数据泄露的影响本可以被减轻。

未来将进入更严厉的监管时代

按照事件发生适用的法律，严重或重复侵犯隐私的行为，每项违规最高可处罚 220 万澳元以上（$2.22 million）。在 Optus 案中，OAIC 主张将 每一位受影响个人视为一项独立违规行为，最终结果仍有待联邦法院裁定。

如果类似事件发生在今天，企业面临的风险将远高于当时。监管机构现已拥有更广泛的权力，可以强制要求提供信息、进入营业场所、发出合规通知，并要求采取补救措施。自 2025 年 6 月起，如相关行为属于故意或鲁莽，个人亦获得了就严重侵犯隐私行为提起索赔的权利，即使无法证明存在任何经济损失，仍可获得损害赔偿。此外，自 2025 年中起，个人还获得了就严重侵犯隐私行为提起民事索赔的权利。即使没有实际经济损失，只要行为属于故意或鲁莽（intentional or reckless），受害者仍可主张损害赔偿。

对企业意味着什么

综合来看，Optus 诉讼程序及 OAIC 的合规审查传递了一个明确的信息：隐私合规已不再只是后台行政事务。 监管机构期望企业主动了解个人信息在其系统中的存放位置、该等信息如何受到保护，以及由谁负责管理相关风险。

定期进行安全审查、明确内部对隐私义务的责任归属、审慎监督第三方服务提供商，以及建立经过测试的事件应对预案，已不再仅仅属于最佳实践，而正逐渐成为基本合规要求。

对于许多机构而言，现在正是重新审视隐私政策、治理框架及数据安全安排的适当时机，以免在监管机构上门审查时措手不及。

关于这个博客的更多信息，请联系我们Bambrick Legal。 我们提供免费、无义务的30分钟咨询。

请拨打电话： (08) 8362 5269

也可以添加我们的微信 BambrickLegal

地址：133-135 Rundle Street, Kent Town SA 5067