Le 31 août 2026, le gouvernement australien a mis en consultation l’avant-projet du Privacy Amendment (Personal Data Protection) Bill 2026, qui constitue la deuxième vague de la réforme du Privacy Act de 1988. Les contributions étaient attendues jusqu’au 18 septembre, et le dépôt au Parlement est annoncé avant la fin de l’année, selon l’analyse du cabinet Gilbert + Tobin. Pour un DPO européen, cette réforme du Privacy Act offre un miroir intéressant : elle reprend plusieurs idées du RGPD, en écarte d’autres, et formule autrement l’exigence de loyauté.
Le test « fair and reasonable »
Le cœur du texte est une nouvelle rédaction du principe australien APP 3 : toute collecte, utilisation ou communication de données personnelles doit être équitable et raisonnable dans les circonstances, en plus d’être licite. L’avant-projet énumère des critères à prendre en compte, parmi lesquels les attentes raisonnables de la personne, la possibilité d’atteindre la finalité avec moins de données, l’existence d’un choix réel, la balance entre l’atteinte à la vie privée et les bénéfices attendus, et l’intérêt supérieur de l’enfant comme considération première.
Le test s’ajoute au consentement sans s’y substituer. Un traitement consenti mais déraisonnable resterait donc interdit. Les entreprises australiennes perdraient l’argument selon lequel une case cochée couvre n’importe quel usage.
Réforme du Privacy Act et RGPD : les points de contact
Le lecteur européen reconnaît plusieurs principes. Les attentes raisonnables de la personne figurent au considérant 47 du RGPD, dans l’appréciation de l’intérêt légitime. La recherche d’une finalité atteignable avec moins de données correspond à la minimisation prévue par le RGPD à l’article 5, paragraphe 1, point c. La pondération entre l’atteinte et les bénéfices rappelle la mise en balance de l’article 6, paragraphe 1, point f.
Le RGPD pose déjà la règle selon laquelle le consentement ne suffit pas. L’article 5 s’applique à tout traitement, quelle que soit sa base légale : un traitement fondé sur le consentement doit rester loyal, proportionné et limité à sa finalité. Les lignes directrices du CEPD sur le consentement le rappellent : recueillir l’accord de la personne ne réduit en rien les obligations de l’article 5. L’Australie inscrit cette idée dans un critère unique et lisible, là où le RGPD la répartit entre plusieurs articles.
La définition du consentement converge aussi : l’avant-projet exige un accord libre, éclairé, actuel, spécifique et sans ambiguïté, ce qui se rapproche de l’article 4, point 11, du RGPD.
Les personnes que l’on peut isoler
La définition des informations personnelles change de formulation : elles « se rapportent » à une personne identifiée ou raisonnablement identifiable. Une note précise qu’une personne peut être identifiée sans que son nom soit connu, dès lors que l’information permet de la reconnaître, de l’isoler ou de la traiter comme un individu distinct. Les identifiants techniques, les données de localisation et les données comportementales sont visés.
Le droit européen va dans le même sens. Le considérant 26 du RGPD mentionne l’individualisation parmi les moyens d’identification, et le considérant 30 cite les identifiants en ligne. Un cookie publicitaire ou un identifiant d’appareil est une donnée personnelle en Europe ; l’Australie s’en rapproche.
Notification sous 72 heures
L’avant-projet impose de déclarer au Commissaire à l’information une violation susceptible de causer un préjudice grave dans les 72 heures, avec une déclaration incomplète admise dans certains cas, et d’informer les personnes concernées en parallèle. Le non-respect du délai ouvre une sanction civile. Le délai est celui de l’article 33 du RGPD. Le seuil diffère : le RGPD exige la notification à l’autorité dès qu’il existe un risque, et réserve le préjudice élevé à l’information des personnes.
Les écarts qui subsistent
L’Australie ne transpose pas les six bases juridiques de l’article 6. Le test fair and reasonable joue un rôle proche, mais sans catalogue fermé. Le texte prévoit un droit à l’effacement limité aux grandes plateformes, et il laisse en l’état les exemptions applicables aux petites entreprises et aux dossiers des salariés, que le rapport préparatoire proposait de revoir. Gilbert + Tobin relève que ce choix pourrait peser sur une éventuelle décision d’adéquation de la Commission européenne.
Ce qu’un organisme français peut en retirer
Les critères australiens forment une grille de relecture utile pour nos propres traitements, en particulier ceux fondés sur le consentement ou l’intérêt légitime.
- Pour chaque traitement fondé sur le consentement, vérifier au registre que la finalité reste proportionnée et que les données collectées sont strictement nécessaires.
- Pour l’intérêt légitime, formaliser la mise en balance par écrit, en partant des attentes raisonnables des personnes.
- Traiter les identifiants techniques et les données de localisation comme des données personnelles dans l’information et le registre.
- Si l’organisme a une activité en Australie, suivre l’adoption du texte et préparer une procédure de violation compatible avec les deux régimes.
Le réseau DPO FRANCE accompagne les organismes dans la documentation de leurs bases juridiques et de leurs analyses d’intérêt légitime. DPO SUITE conserve ces analyses avec le registre et gère les violations avec leurs délais de notification.
