Conformità web in Australia: DDA, Privacy Act e WCAG

Informazione generale, aggiornata alla data indicata sopra. Questo testo riporta quanto affermano le fonti citate; non è consulenza legale e non è stato rivisto da un avvocato. Il diritto australiano della privacy e della non discriminazione dipende molto dalle circostanze concrete — che cosa raccogliete, da chi, e quali eccezioni si applicano. Consideratelo un orientamento e verificate la vostra posizione prima di agire.

Quasi tutti i consigli di conformità che un’impresa australiana trova online sono consigli europei con i nomi cambiati. È un problema, perché il diritto web australiano differisce dal modello UE su tre punti strutturali: non esiste alcuna legge che imponga WCAG ai siti privati, non esiste consenso preventivo per i cookie, e un’esenzione basata sul fatturato esclude gran parte delle piccole imprese dal regime privacy.

Nulla di ciò significa che un sito australiano non abbia obblighi: significa che hanno una forma diversa, e copiare una checklist GDPR fa svolgere lavoro inutile mancando ciò che genera davvero responsabilità.

I due quadri federali applicabili

• Accessibilità — Disability Discrimination Act 1992 (Cth). La section 24 rende illecita la discriminazione per disabilità nella fornitura di beni, servizi e strutture. Un sito è un servizio. Il dovere non è assoluto: la section 21B esclude la discriminazione la cui prevenzione comporterebbe una unjustifiable hardship, valutata ai sensi della section 11. SOCOG sollevò quella difesa in Maguire e la perse. L’applicazione è su reclamo, davanti all’Australian Human Rights Commission.
• Privacy — Privacy Act 1988 (Cth). Gli Australian Privacy Principles disciplinano il trattamento delle informazioni personali da parte delle APP entities. Vigila l’Office of the Australian Information Commissioner, con reali poteri di indagine e sanzione, ma solo verso i soggetti che la legge vincola.

Si noti ciò che manca: non c’è una direttiva ePrivacy australiana né un equivalente australiano dell’European Accessibility Act con una scadenza.

Il diritto di stati e territori si affianca a entrambi: ognuno ha una propria legge antidiscriminazione con un profilo beni e servizi, e Nuovo Galles del Sud, Victoria e l’ACT hanno normative sui fascicoli sanitari che vincolano i piccoli operatori sanitari indipendentemente dall’esenzione federale. Le linee guida AHRC lo dicono a pagina 14.

Accessibilità: il dovere è il DDA, non WCAG

La distinzione conta più di quanto sembri. Il dovere per cui si può finire in giudizio è la section 24 del DDA: discriminazione illecita. WCAG non è la legge; è il metro cui l’autorità rinvia spiegando che cosa la legge si attende.

Quel metro è stato aggiornato di recente e molto materiale australiano cita ancora quello vecchio. Nell’aprile 2025 l’Australian Human Rights Commission ha pubblicato le Guidelines on equal access to digital goods and services, che aggiornano espressamente la World Wide Web Access: Disability Discrimination Act Advisory Note ver 4.1 del 2014 e indicano WCAG 2.2 livello AA come minimo.

Le linee guida sono emanate ai sensi della section 67(1)(k) del DDA e della section 11(1)(n) dell’Australian Human Rights Commission Act 1986, e sono esplicite sul proprio status: a pagina 14 avvertono che un’organizzazione “may not be protected from a finding of unlawful discrimination”. La conformità è prova di buona fede, non un porto sicuro.

La decisione che ancora tutto questo è Maguire v Sydney Organising Committee for the Olympic Games (No 2) [2000] HREOCA 31, in cui il sito dei Giochi olimpici di Sydney discriminò illecitamente un utente cieco. È una decisione della Commissione (allora HREOC), non una sentenza, quindi non un precedente vincolante nel senso in cui spesso viene presentata, ma è il caso che tutti citano e su cui l’AHRC si fonda.

Cookie: l’Australia non è l’UE

Non esiste una regola australiana che imponga il consenso prima di impostare un cookie. L’articolo 5(3) della direttiva ePrivacy non ha equivalente australiano, né lo ha il requisito di parità tra rifiutare e accettare.

Si applica il Privacy Act, e solo quando un cookie raccoglie informazioni personali. Allora l’APP 5 impone l’informativa al momento della raccolta o prima — o, se non praticabile, appena possibile dopo — e l’APP 1 impone una privacy policy. Per analytics ordinarie e non sensibili sono obblighi di trasparenza, non di consenso.

C’è un’eccezione importante e con mordente. L’APP 3.3 richiede consenso espresso prima di raccogliere informazioni sensibili: salute, sfera sessuale, origine, religione, opinioni politiche, appartenenza sindacale. Nel giugno 2026 il Privacy Commissioner lo ha applicato ai pixel in Medmate Australia Pty Ltd [2026] AICmr 41 e Monash IVF Pty Ltd [2026] AICmr 40: i pixel su siti sanitari raccoglievano informazioni sensibili sui visitatori, e un banner generico non è valso come consenso, che doveva essere espresso, informato e specifico del pixel. La guida OAIC del novembre 2024 aggiunge che una raccolta occulta è verosimilmente un mezzo sleale ai sensi dell’APP 3.5.

Se un identificativo online sia “personal information” è inoltre meno assestato che nell’UE. In Privacy Commissioner v Telstra Corporation Limited [2017] FCAFC 4 la Full Federal Court esaminò se certi metadati di rete fossero informazioni about an individual. I giudici australiani non hanno semplicemente recepito la posizione europea, fermo restando che la Corte interpretava la definizione anteriore al 2014 e che le decisioni OAIC del 2026 hanno trattato indirizzi IP, dati del dispositivo e URL complete come informazioni personali quando consentivano di isolare un visitatore. La risposta pratica non cambia.

Conseguenza pratica per una PMI australiana: per analytics ordinarie probabilmente non serve un banner in stile UE per i visitatori australiani, salvo che il tracciamento tocchi informazioni sensibili, nel qual caso l’APP 3.3 richiede un consenso espresso che un banner generico non fornisce. Serve invece quasi certamente una privacy policy accurata che descriva il tracciamento realmente in uso.

Privacy: l’esenzione per le piccole imprese

La section 6D esclude uno small business operator dalla definizione di APP entity. Il test centrale è il fatturato annuo dell’esercizio precedente: 3.000.000 AUD o meno e si è fuori dalla legge. Il testo della section 6D(1) è “$3,000,000 or less”, quindi la soglia è inclusiva.

Il test opera però in una sola direzione, ed è ciò che quasi tutte le sintesi omettono. Ai sensi della section 6D(4)(a), un’impresa non è small business operator se il fatturato annuo ha superato i 3.000.000 AUD in un qualsiasi esercizio dall’inizio dell’attività.

Un’impresa esente non ha obblighi APP, compresa la pubblicazione di una privacy policy. È una differenza reale rispetto all’UE, dove il GDPR non ha soglie di fatturato.

Le eccezioni contano: si è APP entity a prescindere dalle dimensioni se si forniscono servizi sanitari conservando informazioni sanitarie, se si divulgano dati personali altrui per un vantaggio, se si prestano servizi in appalto del Commonwealth o se si è un credit reporting body. È possibile anche l’adesione volontaria.

Una correzione diffusa: il Privacy and Other Legislation Amendment Act 2024 non ha abrogato l’esenzione; l’abrogazione è stata rinviata a una tranche successiva. Le dedichiamo un articolo a parte.

Che cosa controlliamo e che cosa no

• Accessibilità. Eseguiamo axe-core sulla pagina renderizzata, più controlli propri per criteri che axe non copre. Dei sei criteri di livello A e AA aggiunti da WCAG 2.2 ne automatizziamo uno — 2.5.8 Target Size (Minimum). Gli altri cinque non li testiamo: 2.4.11 Focus Not Obscured (Minimum, AA), 2.5.7 Dragging Movements (AA), 3.3.8 Accessible Authentication (Minimum, AA), 3.2.6 Consistent Help (A) e 3.3.7 Redundant Entry (A). Ogni report australiano li nomina espressamente.
• Privacy policy. Verifichiamo che esista e sia raggiungibile. Nel set di regole AU sopprimiamo il rilievo per imprese pari o sotto la soglia della section 6D. Se non ci avete indicato il fatturato lo valutiamo comunque, con una nota.
• Cookie. Non segnaliamo cookie o tracker precedenti al consenso come violazioni australiane, perché nel diritto australiano un cookie precedente al consenso non è di per sé una violazione.

Un ordine di lavoro sensato

1. Stabilite se siete APP entity: fatturato oltre 3.000.000 AUD nell’ultimo esercizio o in uno qualsiasi dall’avvio, o una delle eccezioni.
2. Se lo siete, pubblicate una privacy policy conforme all’APP 1: chiara, aggiornata, gratuita, con che cosa raccogliete, perché, a chi lo comunicate inclusi destinatari esteri, e come accedere, rettificare o reclamare.
3. Correggete l’accessibilità rispetto a WCAG 2.2 AA, partendo dai difetti rilevabili automaticamente.
4. Fate rivedere da una persona i cinque criteri fuori portata dell’automazione e verificate che la policy corrisponda al tracciamento reale.
5. Se avete visitatori UE o UK, trattate quegli obblighi separatamente.

La posizione australiana è nel complesso meno onerosa di quella europea. È anche meno documentata, ed è per questo che tanti consigli locali sono importati e sbagliati. Il dovere del DDA è quello con una storia contenziosa alle spalle.