Requisitos Legais para Websites e Apps: Austrália

Uma pequena empresa australiana genuína pode estar fora da lei principal de privacidade — sujeita a exceções específicas. O limite de faturamento de 3 milhões de dólares australianos da Lei de Privacidade (Privacy Act) não foi formalmente revogado, e a abrangência deve ser avaliada em relação às suas exceções. Enquanto isso, as partes sem limite ficaram mais rigorosas: um delito estatutário por invasões graves de privacidade desde junho de 2025, penalidades de até 50 milhões de dólares, e uma obrigação de divulgação de decisões automatizadas a partir de 10 de dezembro de 2026, além de um prazo separado para o registro do Código de Privacidade Online para Crianças. As regras distintivamente australianas são aquelas voltadas aos jovens. Desde 10 de dezembro de 2025, serviços de redes sociais com restrição de idade devem tomar medidas razoáveis para impedir o acesso de menores de 16 anos — e a definição abrange qualquer serviço cujo propósito significativo seja a interação social, não apenas as grandes plataformas. A lei do consumidor é o outro ponto a internalizar: as garantias da Lei do Consumidor Australiana não podem ser excluídas pelos seus termos, independentemente do que eles digam. Este é o capítulo sobre a Austrália da nossa lista de verificação jurídica pré-lançamento. Execute essa sequência de prompts primeiro e, em seguida, aplique esta.

Principais pontos

• A isenção para pequenas empresas de A$3M existe, mas informações de saúde, comércio de informações pessoais e uma lista crescente de serviços designados a superam.
• Os 13 Princípios de Privacidade Australianos (APPs) são a estrutura: aviso na coleta, limitação de finalidade, segurança, acesso e correção, e responsabilidade pelos dados enviados ao exterior.
• Esquema de Notificação de Violação de Dados: avalie suspeitas de violação em até 30 dias, notifique a OAIC e os indivíduos em casos elegíveis.
• Desde junho de 2025, indivíduos podem processar diretamente por invasões graves de privacidade — sem necessidade de regulador.
• 10 de dezembro de 2026: políticas de privacidade devem divulgar a tomada de decisão automatizada que afete significativamente as pessoas, enquanto o Código de Privacidade Online para Crianças deve ser finalizado e registrado; confirme sua data de início final e disposições de transição.
• Idade mínima para redes sociais de 16 anos desde 10 de dezembro de 2025, com penalidades de até A$49,5 milhões; "medidas razoáveis" significam verificação de idade em camadas, não apenas uma caixa de seleção.
• Lei de Spam (Spam Act): consentimento, identificação do remetente e cancelamento da inscrição honrado em até 5 dias úteis.

A Lei de Privacidade se aplica a você?

A Lei de Privacidade de 1988 (Privacy Act 1988) aplica-se a agências do governo australiano e a "entidades APP" — empresas com faturamento anual superior a A$3 milhões, além de um grupo de pequenas empresas independentemente do faturamento:

• qualquer pessoa que preste um serviço de saúde e detenha informações de saúde — o que pode incluir alguns serviços de bem-estar, fitness, saúde mental e telessaúde, dependendo da atividade
• empresas que comercializam informações pessoais (compra ou venda de listas ou dados)
• órgãos de relatórios de crédito, contratados da Comunidade e bancos de dados de locação residencial
• a partir de 1 de julho de 2026, provedores de certos serviços designados AML/CTF, que incluíram um grande número de pequenas empresas de serviços profissionais pela primeira vez
• qualquer pequena empresa que opte por aderir à cobertura

Dois motivos adicionais para não confiar na isenção: alterações futuras devem ser verificadas em relação à lei promulgada, e várias obrigações importantes — a Lei de Spam, a Lei do Consumidor Australiana, a Lei de Segurança Online, o delito estatutário — não possuem qualquer limite de faturamento.

Os Princípios de Privacidade Australianos que moldam sua construção

• APP 1 — gestão aberta e transparente. Uma política de privacidade clara, atualizada e livremente acessível, cobrindo o que você coleta, por que, como é mantido, como acessar e corrigir, como reclamar e se os dados vão para o exterior e para onde.
• APP 3 — coleta. Colete apenas o que for razoavelmente necessário para suas funções. Informações sensíveis (saúde, biometria, orientação sexual, religião, opiniões políticas, antecedentes criminais) geralmente precisam de consentimento.
• APP 5 — notificação na coleta. Informe as pessoas no momento da coleta ou antes — uma linha no formulário, não apenas um link para a política.
• APP 6 — uso e divulgação. Use para a finalidade pela qual coletou; usos secundários precisam de consentimento ou de uma exceção listada.
• APP 7 — marketing direto. Indivíduos podem optar por sair, e você deve oferecer uma maneira simples de fazer isso em todas as mensagens.
• APP 8 — divulgação transfronteiriça. Se você enviar informações pessoais ao exterior, deve tomar medidas razoáveis para garantir que o destinatário cumpra os APPs — e você geralmente permanece responsável por suas violações. Toda ferramenta SaaS estrangeira em sua pilha é uma questão de APP 8.
• APP 11 — segurança. Medidas técnicas e organizacionais razoáveis, além de destruição ou desidentificação quando a informação não for mais necessária. As emendas de 2024 tornaram a parte "organizacional" explícita.
• APP 12 e 13 — acesso e correção, geralmente em até 30 dias.

Notificação de Violação de Dados. Se você suspeitar de uma violação de dados elegível — acesso ou divulgação não autorizada que possa resultar em dano grave — você tem 30 dias para avaliar e, em seguida, deve notificar a OAIC e os indivíduos afetados o mais rápido possível.

Penalidades. Interferências graves ou repetidas na privacidade: até A$50 milhões, três vezes o benefício obtido ou 30% do faturamento ajustado. Penalidades civis de nível médio e avisos de infração (na casa das dezenas de milhares) agora cobrem falhas mais comuns, incluindo não ter uma política de privacidade em conformidade.

Delito estatutário. Desde junho de 2025, indivíduos podem processar diretamente por invasões graves de privacidade — intrusão na reclusão ou mau uso de informações — com danos disponíveis por sofrimento emocional e sem necessidade de o regulador agir primeiro.

Os marcos de dezembro de 2026

Transparência na tomada de decisão automatizada. A partir de 10 de dezembro de 2026, se você usar informações pessoais em um programa de computador para tomar, ou ajudar substancialmente a tomar, uma decisão que possa razoavelmente afetar significativamente os direitos ou interesses de uma pessoa, sua política de privacidade deve declarar isso — quais tipos de informações são usadas e quais tipos de decisões são tomadas. Se seu produto pontua, classifica, aprova, precifica ou filtra pessoas, comece a escrever essa seção agora.

Código de Privacidade Online para Crianças. A página de desenvolvimento atual da OAIC afirma que o código deve ser finalizado e registrado até 10 de dezembro de 2026. O rascunho diz respeito às entidades APP abrangidas e serviços online especificados. O registro não é prova suficiente da data operacional final, período de transição ou deveres; verifique o instrumento final antes de tratar o rascunho como vinculativo.

Menores de 16 anos e recursos sociais

Desde 10 de dezembro de 2025, plataformas de mídia social com restrição de idade devem tomar medidas razoáveis para evitar que australianos menores de 16 anos possuam contas. O escopo é funcional e inclui condições e exclusões estatutárias; não é estabelecido apenas porque um aplicativo possui um perfil ou comentário.

O ministro alterou as regras em março de 2026. Avalie a definição atual, exclusões e orientações, em vez de depender de uma lista estática de nomes de plataformas. Veja a página regulatória do eSafety.

Onde a verificação de idade for necessária, considere privacidade, precisão, acessibilidade e caminhos de revisão. Outros deveres de segurança online podem se aplicar independentemente da regra de idade mínima.

Se você vende

A Lei do Consumidor Australiana fornece garantias ao consumidor — qualidade aceitável, adequação ao propósito, conforme descrito, entregue em tempo razoável — que não podem ser excluídas, restringidas ou modificadas pelos seus termos. Uma política de reembolso dizendo "todas as vendas são finais" é, por si só, uma representação enganosa. Produtos digitais e assinaturas estão cobertos.

Termos contratuais injustos em contratos padrão de consumo e de pequenas empresas agora acarretam penalidades civis, não apenas nulidade. Cláusulas de renovação automática, cláusulas de variação unilateral e direitos de rescisão unilaterais são as infrações comuns em termos de SaaS.

Conduta enganosa ou ilusória (seção 18) é a disposição mais ampla no comércio australiano e cobre precificação, alegações e comparações. As regras de divulgação de preço único significam que o preço total mínimo deve ser proeminente.

Lei de Spam 2003. Consentimento (expresso ou razoavelmente inferido), identificação precisa do remetente com detalhes de contato e um cancelamento de inscrição funcional honrado em 5 dias úteis. Aplica-se a e-mail, SMS e mensagens instantâneas.

GST (Imposto sobre Bens e Serviços). Empresas não residentes que fornecem produtos ou serviços digitais a consumidores australianos devem se registrar para o GST assim que excederem A$75.000 em faturamento anual com esses fornecimentos.

Acessibilidade

A Lei de Discriminação por Deficiência de 1992 torna ilegal a discriminação na prestação de bens, serviços e instalações — o que a Comissão Australiana de Direitos Humanos aplica há muito tempo a websites. Não existe um padrão prescrito para o setor privado, mas a WCAG 2.1 Nível AA é a referência usada na política governamental e na prática. As reclamações vão para a AHRC e podem prosseguir para o Tribunal Federal.

O prompt específico para a Austrália

Execute isto após os dez prompts na lista de verificação principal:

Add Australian compliance mechanics to this app. Implement each item and report exactly what changed:

1. A privacy policy meeting APP 1: what we collect, why, how it is held, how to access and correct it, how to complain to us and then to the OAIC, and whether personal information is disclosed overseas and to which countries.
2. Collection notices at the point of collection: on every form, a short statement of purpose. List every form and confirm each has one.
3. A cross-border disclosure list: every third-party service that stores or processes personal information outside Australia, what it receives, and the country. Report the list — I need it for APP 8.
4. A list of every place the app makes an automated decision about a user, or uses personal information to substantially assist a decision — scoring, ranking, approval, pricing, eligibility, filtering, content moderation. For each: what data it uses and what the decision affects. Then add a section to the privacy policy describing them in plain language.
5. Direct marketing: a simple opt-out in every message and in account settings, an unsubscribe honoured immediately in the system, sender identification and contact details in every message, and a stored record of how consent was obtained.
6. A breach response path: an internal incident log with dates, and an admin notice reminding that suspected eligible breaches must be assessed within 30 days.
7. If the app has any social feature — profiles, following, feeds, posting to other users, direct messaging combined with public content — describe each one plainly so I can assess whether this is an age-restricted social media service. Do not assert a conclusion; give me the facts.
8. If minors could plausibly use this app: restricted defaults for accounts under 18, no profiling or targeted advertising for those accounts, and age assurance that does not rely solely on a self-declared date of birth.
9. If we sell: total minimum price shown prominently, no term that purports to exclude or limit consumer guarantees, renewal date and amount shown before purchase and in account settings, and cancellation in at most two clicks.
10. An accessibility pass against WCAG 2.1 Level AA — report findings by severity before fixing anything.

For each item report PASS or explain what blocked it.
Copiar prompt

Lista de verificação pré-lançamento — Austrália

• Cobertura da Lei de Privacidade avaliada honestamente (faturamento, informações de saúde, serviços designados)
• Política de privacidade APP 1 publicada e atualizada
• Avisos de coleta em cada formulário
• Lista de divulgação externa compilada; posição APP 8 compreendida para cada fornecedor
• Decisões automatizadas inventariadas e descritas, prontas para o dever de divulgação de 10 de dezembro de 2026
• Processo de avaliação de violação definido com o prazo de 30 dias em mente
• Recursos sociais avaliados em relação à definição de idade mínima para mídia social
• Padrões para crianças e verificação de idade implementados se menores de 18 anos puderem se inscrever
• Termos não contêm nada que pretenda excluir garantias do consumidor; sem termos contratuais injustos
• Lei de Spam: consentimento registrado, remetente identificado, cancelamento em até 5 dias úteis
• Acessibilidade auditada em relação à WCAG 2.1 AA
• Registro de GST verificado se vender produtos digitais na Austrália

O que as verificações de construção estabelecem

Os prompts são solicitações de implementação, não uma certificação legal. Controles de dois cliques e padrões de consentimento primeiro são escolhas de design práticas, não requisitos estatutários universais. Confirme jurisdição, exceções, retenção e contratos de provedores separadamente. Verifique os controles com contas de teste e comportamento real de navegador/rede; um PASS do construtor baseado apenas na inspeção de código é uma evidência incompleta.

Fontes oficiais e escopo de revisão

Atualizado em 14 de setembro de 2026. As fontes vinculadas suportam o escopo e as correções discutidas aqui; esta é uma revisão editorial, não uma opinião jurídica exaustiva ou uma certificação do seu produto. Verifique a regra operacional ao agir.

• Escopo de pequenas empresas da OAIC
• Marcos do código infantil da OAIC
• Transparência em decisões automatizadas da OAIC

A Austrália está em fase de reforma, e as datas de dezembro de 2026 já estão no calendário. Execute a lista de verificação pré-lançamento, depois o prompt da Austrália acima. Vendendo em outro lugar? Veja os Estados Unidos, a União Europeia, o Reino Unido, o Canadá, o Brasil e Israel. Você consegue construir isso.