澳大利亚OAIC就2023年Latitude数据泄露发布进展：推进职权调查并接受代表制集体投诉，个人投诉暂缓以配合调查与可能的民事罚则程序
【职权调查（Commissioner-Initiated Investigation）】
**2023年5月10日**，OAIC 对 **Latitude 集团各公司**（Latitude group of companies）的**个人信息处理实践启动了调查**。该调查是在对 Latitude2023年数据泄露事件进行**初步调查（preliminary inquiries）**之后启动的，审查重点是：
① Latitude 是否采取了**合理措施**保护其持有的个人信息免遭「**误用、干扰、丢失、未授权访问、修改或披露**」；
② Latitude 是否对**不再需要的个人信息**采取了**销毁或去标识化的合理措施**。
换言之，调查同时覆盖**安全性义务（APP 11.1）**与**销毁/去标识义务（APP 11.2）**两个维度。
OAIC 说明：若认定违反了一项或多项《澳大利亚隐私原则》（Australian Privacy Principles，APP），OAIC 拥有多种执法权力，**包括但不限于就违反民事罚则条款向法院申请民事处罚令（s80W），或作出裁定（determination）**。
公告同时表示：依照 OAIC 的《隐私监管行动政策》（Privacy regulatory action policy），**在调查结束前 OAIC 不会进一步评论该调查**。
【代表制投诉（Representative Complaint）】
在职权调查之外，OAIC 已**接受一项针对 Latitude 的代表制投诉**，事由为2023年数据泄露。
该代表制投诉于**2024年2月**被接受。
所谓代表制投诉，是指由一名个人（**代表投诉人**）**代表一群人（集体成员，class members）**针对某一实体提出的投诉，前提是代表投诉人与集体成员针对该实体的**同一行为或做法**持有相同关切。
根据《隐私法》，代表投诉人**无需取得集体成员的同意**即可代为提出投诉。
OAIC 接受的代表制投诉把集体成员定义为**Latitude 的现任与前客户**。公告明确指出：**若您受到2023年Latitude数据泄露的影响，您很可能属于集体成员。**
对集体成员的后果是：OAIC 就推进该代表制投诉所作的任何决定——包括**决定不予调查**或在调查后**作出裁定**（裁定可能包括**宣布集体成员有权获得赔偿**）——**都将适用于全体集体成员**。
【个人投诉的处理安排】
OAIC 说明，当其收到的**个人隐私投诉**与某项**调查或法院程序**源于同一数据泄露事件时，个人投诉**通常会被暂停**，直至调查或相关法院程序（如民事罚则程序）**终结**。
目前 OAIC 继续**优先推进**2023年Latitude数据泄露的职权调查及与之关联的代表制投诉。
公告还提示一项重要法律效果：《隐私法》**第39条**禁止个人在其会被纳入代表制投诉集体成员的范围内**另行提出个人隐私投诉**。因此已就 Latitude 数据泄露向 OAIC 提出个人投诉的当事人，将收到 OAIC 的联系。
【对出海企业的实务含义】
①**「代表制投诉＋集体赔偿」是澳洲隐私执法的独特杠杆**：与美国集体诉讼不同，澳洲的路径是**由监管机关作出裁定并宣布集体成员有权获得赔偿**，无需逐一诉讼。这意味着一次数据泄露可能直接产生**面向全体受影响客户的统一赔偿义务**。在澳开展业务的企业应把**潜在受影响人数×单位赔偿**纳入泄露事件的风险量化模型；
②**调查历时三年仍未结案，说明澳洲执法周期长**：2023年5月立案、2026年9月公告仍在推进。对中国企业而言，**澳洲隐私事件的财务与声誉影响是长尾的**，不能按「事件平息即可」来判断；
③**APP 11.2（销毁与去标识）常被忽视**：本次调查把「是否对不再需要的个人信息采取销毁或去标识化的合理措施」列为独立审查点。出海企业常把数据保留政策写成原则性表述而**缺乏自动化的到期删除机制**，这在澳洲属于可被独立追责的义务；
④**个人投诉可能被「吸收」进集体程序**：第39条的效果是**个体无法在集体成员身份之外另行投诉**。企业客服与法务在处理澳洲用户关于泄露的投诉时，应注意该程序性后果，避免给出与 OAIC 裁定冲突的赔偿承诺；
⑤**OAIC 的「逐案公开进展」做法提高了透明度压力**：公告在调查未结时即公开调查范围与投诉机制，这与欧洲监管机关通常「结案才公告」的做法不同。在澳经营的企业一旦发生泄露可能较早进入公众视野。
来源：澳大利亚信息专员办公室（OAIC）
