La réforme de la protection de la vie privée en Australie approche : ce que les filiales étrangères doivent savoir

Le 31 août 2026, le ministre australien de la Justice a publié le projet de loi de 2026 portant modification de la loi sur la protection de la vie privée (protection des données à caractère personnel), qui constitue la refonte la plus importante de la loi de 1988 sur la protection de la vie privée depuis près de quarante ans. Ce projet de loi remplace les règles actuelles en matière de collecte et de communication de données par un critère unique «équitable et raisonnable», officialise la distinction entre le responsable du traitement et le sous-traitant, instaure un délai de 72 heures pour la notification des violations de données et crée un droit d’effacement limité pour les grandes plateformes numériques. La consultation publique prend fin le 18 septembre 2026. Pour les entreprises françaises et européennes qui créent une filiale en Australie, c’est le moment d’intégrer dès le départ une gouvernance des données conforme au RGPD au sein de l’entité, plutôt que de la mettre en place a posteriori.

Pourquoi l’Australie procède-t-elle à une refonte de sa législation sur la protection de la vie privée à l’heure actuelle ?

La loi australienne sur la protection de la vie privée (Privacy Act) est restée pratiquement inchangée depuis 1988, alors même que l’économie numérique du pays s’est développée bien au-delà de ce que prévoyait le cadre initial. Une première série de réformes adoptée fin 2024 a introduit un délit civil pour les atteintes graves à la vie privée et renforcé les pouvoirs d’exécution de l’Office of the Australian Information Commissioner (OAIC), mais elle ne traitait qu’une fraction des 116 recommandations formulées dans le rapport gouvernemental de 2023 sur la révision de la loi sur la protection de la vie privée.

Le projet de loi publié le 31 août 2026 constitue la deuxième série de mesures, nettement plus ambitieuse. Il vise à aligner les normes australiennes en matière de protection des données sur celles auxquelles les entreprises européennes et britanniques sont déjà habituées dans le cadre du RGPD, ce qui revêt une importance directe si votre organisation a l'habitude d'opérer sous ce régime et s'apprête désormais à s'implanter en Australie.

Si vous vous demandez à quel moment formaliser les pratiques de votre entité australienne en matière de données, notre équipe chez Expandys peut vous aider à comprendre comment cette réforme s’inscrit dans votre stratégie globale d’entrée sur le marché.

Quels sont les principaux changements apportés par le projet de loi ?

La réforme touche pratiquement tous les aspects de la manière dont une entreprise collecte, utilise, divulgue et, à terme, détruit les données à caractère personnel. Les éléments les plus importants sont les suivants :

• Un nouveau critère de « caractère équitable et raisonnable » remplaçant les règles actuelles en matière de collecte, d’utilisation et de divulgation
• Des définitions juridiques élargies des notions de données à caractère personnel, de données sensibles, de consentement, de collecte et de divulgation
• Une distinction formelle entre le « responsable du traitement » et le « sous-traitant », dans l’esprit du RGPD
• Un délai obligatoire de 72 heures pour notifier à l’autorité de contrôle de la protection des données toute violation de données éligible
• Un droit à l’effacement, bien que son champ d’application soit limité aux grandes plateformes numériques
• Un nouveau concept de « commercialisation » exigeant le consentement préalable avant toute divulgation de données à caractère personnel à des fins lucratives ou de marketing direct

Chacun de ces éléments a des implications directes pour une filiale nouvellement créée qui met en place ses processus de traitement des données à partir de zéro.

Comment fonctionne le nouveau critère «équitable et raisonnable» ?

Au lieu d’évaluer chaque activité de collecte ou de communication à l’aune de règles strictes, les entreprises devront évaluer leurs pratiques en matière de données à la lumière de sept facteurs prévus par la loi, notamment les attentes raisonnables de la personne concernée, la proportionnalité du traitement des données par rapport à sa finalité, l’existence d’un véritable choix offert à la personne concernée et la possibilité d’obtenir le même résultat en utilisant moins de données. Aucun facteur ne détermine à lui seul le résultat. Il s’agit d’un changement significatif par rapport au recours à des justifications vagues fondées sur des finalités secondaires ou au consentement groupé, deux raccourcis courants qui ne tiendront plus la route face à la nouvelle norme.

Pour une filiale étrangère, cela signifie que la gouvernance des données ne peut pas être une réflexion après coup, ajoutée une fois que l’activité est lancée. Elle doit faire partie intégrante de la structure de l’entité dès le départ, y compris la manière dont les données clients sont collectées sur votre site web, dans votre CRM et dans tout outil marketing local.

Quels changements pour les responsables du traitement et les sous-traitants ?

Le projet de loi instaure une distinction formelle entre les responsables du traitement, qui déterminent pourquoi et comment les données à caractère personnel sont traitées, et les sous-traitants, qui agissent strictement selon les instructions documentées du responsable du traitement. Ce principe sera familier à toute entreprise opérant déjà dans le cadre du RGPD. Lorsqu’un sous-traitant agit conformément à ses instructions, la responsabilité de la conformité incombe au responsable du traitement. Lorsqu’un sous-traitant s’écarte de ces instructions, il en assume lui-même l’entière responsabilité.

Concrètement, cela signifie que chaque relation de traitement de données, y compris les accords conclus avec des prestataires locaux de gestion de paie, des plateformes marketing ou des fournisseurs informatiques, devra faire l’objet d’instructions écrites claires et d’une répartition appropriée des risques dans les contrats sous-jacents.

Quelles sont les nouvelles règles en matière de notification des violations de données ?

La norme actuelle consistant à notifier l’autorité de contrôle « dès que possible » est remplacée par un délai strict de 72 heures à compter du moment où une organisation a des motifs raisonnables de croire qu’une violation éligible s’est produite. Cela reflète des délais similaires déjà bien connus des entreprises européennes. Les entreprises devront également disposer en permanence d’un système opérationnel de réponse aux violations de données, et non pas simplement en activer un après la survenue d’un incident.

Pour une entité australienne nouvellement créée, cela fait du plan d’intervention en cas d’incident une exigence dès le premier jour, plutôt qu’un document à rédiger après la première alerte.

Existe-t-il un droit à l’effacement ?

Oui, mais il est plus restreint que le droit équivalent prévu par le RGPD. Il ne s’applique qu’aux grandes plateformes numériques, définies comme des organisations fournissant certains services en ligne qui répondent à au moins l’un des deux critères suivants : un chiffre d’affaires du groupe de 500 millions de dollars australiens, ou 2,5 millions d’utilisateurs australiens en moyenne par mois. La plupart des filiales étrangères s’implantant en Australie par le biais d’une entité commerciale ou de services classique ne seront pas concernées par ce seuil, bien que le critère plus large d’« équité et de raisonnabilité » et les règles de notification des violations s’appliquent toujours, quelle que soit la taille de l’entreprise.

Comment cela se compare-t-il au RGPD et à d’autres cadres réglementaires ?

Que doivent faire les filiales étrangères avant le 18 septembre 2026 ?

La date d’entrée en vigueur du projet de loi n’est pas encore fixée, et d’autres dispositions transitoires sont encore à venir, mais la direction à suivre est suffisamment claire pour commencer à se préparer dès maintenant. Les actions prioritaires sont les suivantes :

• Analyser la manière dont votre entité australienne collecte, utilise et communique actuellement les données à caractère personnel à la lumière des sept critères équitables et raisonnables
• Passer en revue les formulations relatives au consentement sur votre site web, dans votre CRM et sur tous vos canaux de marketing locaux, car les consentements groupés ou pré-cochés ne sont pas susceptibles de satisfaire à la nouvelle norme
• Faire le point sur les données à caractère personnel que vous détenez réellement et déterminer si elles sont toujours nécessaires
• Élaborer un plan d’intervention en cas de violation capable de respecter de manière réaliste le délai de notification de 72 heures
• Documenter toutes les relations dans lesquelles un fournisseur ou une plateforme locale agit en tant que sous-traitant pour votre compte

La consultation publique sur le projet de loi se termine le 18 septembre 2026, et les contributions sont limitées à environ 1 000 mots ; les entreprises dont les données sont fortement exposées en Australie disposent donc encore d’un délai court pour s’impliquer directement dans ce processus.

Foire aux questions

Ce projet de loi s’applique-t-il à une filiale australienne nouvellement créée d’une entreprise française ? Oui. La loi sur la protection de la vie privée et ses amendements proposés s’appliquent à toute organisation opérant en Australie qui atteint les seuils de chiffre d’affaires ou d’activité pertinents, quel que soit le lieu d’implantation de sa société mère. Une nouvelle filiale doit intégrer la conformité dans ses processus de traitement des données dès sa création, plutôt que de la considérer comme un élément à ajouter ultérieurement.

Quand le projet de loi entrera-t-il effectivement en vigueur ? Le projet de consultation publié le 31 août 2026 ne mentionne pas encore de date d’entrée en vigueur, et d’autres dispositions transitoires sont encore en cours de finalisation. La consultation prendra fin le 18 septembre 2026, après quoi le gouvernement affinera le projet de loi avant de le présenter au Parlement.

Le droit à l’effacement est-il le même que celui prévu par le RGPD ? Non. Selon le projet de loi proposé, le droit à l’effacement ne s’applique qu’aux grandes plateformes numériques atteignant certains seuils de chiffre d’affaires ou d’utilisateurs. La plupart des filiales classiques de commerce ou de services ne seront pas concernées par ce droit particulier, bien que d’autres obligations, notamment le critère d’équité et de raisonnabilité, s’appliquent de manière plus générale.

L’exemption pour les petites entreprises s’applique-t-elle toujours ? Oui, pour l’instant. Le projet de loi ne supprime pas l’exemption existante pour les organisations dont le chiffre d’affaires annuel est inférieur à 3 millions de dollars australiens, même si l’examen initial du gouvernement recommandait de la supprimer. Cela pourrait encore changer avant la finalisation du projet de loi.

Mettre en place une gouvernance des données conforme dès le premier jour

Une réforme de cette ampleur modifie la donne pour toute entreprise qui s’implantera en Australie au cours des douze prochains mois. Il est nettement plus facile de mettre en place dès le départ la bonne structure de gouvernance des données au sein de votre filiale que de la mettre en place a posteriori, une fois que les opérations locales, les systèmes marketing et les contrats avec les fournisseurs sont déjà en place. Expandys a accompagné plus de 600 clients dans le cadre de 1 200 projets d’implantation en Australie, en Inde et au Royaume-Uni, et notre équipe de Sydney peut vous aider à adapter cette réforme à votre plan d’entrée sur le marché avant la clôture de la consultation.

Contactez Expandys avant de vous implanter en Australie, et construisons ensemble votre entité sur les bases solides d’une gouvernance des données