De Australische privacywet 2026 heeft een grote stap voorwaarts gezet met de publicatie van een conceptwetsvoorstel op 31 augustus dat zou kunnen hervormen hoe bedrijven met persoonsgegevens omgaan, niet alleen in Australië maar mogelijk ook als model voor andere landen die dit nauwlettend volgen. Het Privacywetswijzigingsvoorstel introduceert een wereldprimeur: een 'redelijk en billijk'-toets, wat betekent dat bedrijven moeten rechtvaardigen dat hun gegevensverzameling in verhouding staat tot wat ze daadwerkelijk willen bereiken, zelfs in gevallen waarin een gebruiker technisch gezien heeft ingestemd met de algemene voorwaarden van een bedrijf.

Dit is belangrijk omdat toestemming lange tijd de mazen in de wet was waar bedrijven op vertrouwden. Als een gebruiker op 'Ik ga akkoord' klikt bij een langdurig privacybeleid, werd dat traditioneel gezien als het einde van het gesprek. De nieuwe aanpak van Australië draait die logica om: toestemming alleen zal niet langer voldoende zijn om buitensporige of irrelevante gegevensverzameling te rechtvaardigen.

Een nieuwe norm voor gegevensverzameling, zelfs met toestemming

Het middelpunt van het wetsvoorstel is de redelijk en billijk-toets, die de overheid heeft gepresenteerd als een wereldwijd uniek mechanisme dat is ontworpen om de mazen te dichten die bedrijven historisch gezien gebruikten om vergaande gegevenspraktijken te rechtvaardigen. Onder deze toets moeten organisaties aantonen dat het verzamelen, gebruiken of openbaar maken van persoonsgegevens in verhouding staat tot een legitiem doel, in plaats van simpelweg te verwijzen naar een selectievakje dat een gebruiker maanden of jaren eerder heeft aangevinkt.

Minister van Justitie Michelle Rowland is het publieke gezicht van de hervorming geweest en onthulde wetgeving die ook strengere toestemmingseisen en een recht op vergetelheid omvat, waardoor individuen een duidelijkere weg krijgen om te verzoeken dat hun persoonsgegevens worden verwijderd. Naast deze consumentenbeschermingen stelt het wetsvoorstel voor om de boetes voor grote technologiebedrijven die zich niet aan de regels houden te verdubbelen, wat aangeeft dat Canberra van plan is de nieuwe regels te ondersteunen met echte financiële gevolgen in plaats van symbolische straffen.

Voor alledaagse internetgebruikers zou deze toets kunnen betekenen dat er minder gevallen zijn waarin apps en websites stilletjes locatiegegevens, contactlijsten of surfgedrag verzamelen onder het mom van vage, allesomvattende toestemmingsformulieren. Bedrijven die in Australië opereren, zullen hun gegevensverzamelingspraktijken die jarenlang onbetwist zijn gebleven, opnieuw moeten overdenken.

72-Uurs meldplicht bij datalekken en een verbod op databrokers

Naast de billijkheidstoets stelt het wetsvoorstel een strikte termijn van 72 uur vast waarbinnen bedrijven getroffen partijen moeten informeren na het ontdekken van een datalek. Snelle meldingstermijnen komen wereldwijd steeds vaker voor in privacyregelgeving, maar een strikte 72-uursklok legt druk op organisaties om al ruim vóór een incident responsplannen voor datalekken klaar te hebben, in plaats van na afloop te moeten brainstormen over meldingsverplichtingen.

Het concept introduceert ook een verbod gericht op databrokers, de vaak ondoorzichtige bedrijven die persoonsgegevens kopen, samenvoegen en doorverkopen zonder dat de meeste consumenten ooit beseffen dat hun gegevens van eigenaar zijn veranderd. Het beperken van deze praktijk richt zich op een van de minst zichtbare maar meest consequente delen van de moderne data-economie, waar informatie die voor één doel is verzameld, uiteindelijk opnieuw kan worden verpakt en verkocht voor volledig andere doeleinden.

Alles bij elkaar genomen suggereren de meldingsplicht bij datalekken en de beperkingen voor databrokers dat Australische toezichthouders proberen meerdere mazen tegelijk te dichten: hoe gegevens lekken, hoe ze worden verzameld en hoe ze achteraf circuleren op secundaire markten.

Hoe de aanpak van Australië zich wereldwijd verhoudt

De stap van Australië past in een breder patroon van landen die hun kaders voor gegevensbescherming aanscherpen, hoewel de redelijk en billijk-toets opvalt als een werkelijk nieuw mechanisme in plaats van een herhaling van bestaande modellen elders. Voor lezers die een vollediger beeld willen van het bestaande juridische landschap waarop het wetsvoorstel voortbouwt, brengt ICLG's gids voor 2026 de Australische regels voor gegevensbescherming in kaart, met aandacht voor de praktische gebieden die het meest relevant zijn voor zowel individuen als organisaties.

Het is ook de moeite waard om te onthouden dat privacywetgeving niet in isolatie opereert van andere reguleringstrends. Overheden wereldwijd werken tegelijkertijd aan kwesties zoals leeftijdsverificatievereisten, die hun eigen privacyafwegingen met zich meebrengen en vaak overlappen met dezelfde vragen over gegevensverzameling die dit wetsvoorstel behandelt. En voor iedereen wiens privacyzorgen zich uitstrekken tot hoe ze breder toegang krijgen tot het internet, blijft het begrijpen van de legaliteit van VPN's per land in 2026 een nuttige aanvulling om op de hoogte te blijven van regels voor gegevensbescherming in het algemeen.

Wat dit voor u betekent

Als u een Australische consument bent, zou dit wetsvoorstel echte veranderingen kunnen betekenen in de privacybeleidsverklaringen die u dagelijks tegenkomt. Bedrijven moeten mogelijk beperken welke gegevens ze verzamelen, duidelijkere verwijderingsopties bieden en sneller reageren als uw informatie is blootgesteld bij een datalek. Als u een bedrijf bent dat in Australië opereert of Australische klanten bedient, is nu het moment om gegevensverzamelingspraktijken te beoordelen tegen de proportionaliteitsnorm die de redelijk en billijk-toets introduceert, aangezien alleen vertrouwen op toestemmingsteksten mogelijk niet langer standhoudt.

Voor lezers buiten Australië is dit conceptwetsvoorstel de moeite waard om nauwlettend te volgen. Wereldwijd unieke juridische toetsen hebben de neiging om sjablonen te worden die andere toezichthouders bestuderen en aanpassen, net zoals eerdere privacykaders wetgeving ver buiten hun thuislanden hebben beïnvloed.

Belangrijkste punten

  • De Australische privacywet 2026 introduceert een redelijk en billijk-toets die bedrijven verplicht om gegevensverzameling te rechtvaardigen boven louter gebruikersinstemming.
  • Een meldingsklok van 72 uur bij datalekken zal organisaties dwingen om incidentresponsplannen van tevoren klaar te hebben.
  • Nieuwe beperkingen richten zich op databrokers en pakken de secundaire markt voor persoonsgegevens aan.
  • Het wetsvoorstel stelt ook voor om boetes voor grote techbedrijven te verdubbelen en een recht op vergetelheid te introduceren.
  • Consumenten moeten letten op bijgewerkte privacybeleidsverklaringen van bedrijven die in Australië opereren naarmate nalevingstermijnen naderen, en bedrijven zouden nu moeten beginnen met het auditen van gegevenspraktijken in plaats van te wachten tot het wetsvoorstel wordt aangenomen.