オーストラリアのCOVIDSafeのPIAの パートDは、オーストラリア・プライバシー原則(APP)の適合性です。
さすがに、時間的なものとかがあるので、ここは、ダッシュでみていきます。

原則1  個人情報の公開・透明マネジメント原則

APPの遵守、プライバシーポリシー、プライバシーポリシーの可用性が原則としてあげられています。
保健省がこの原則の遵守の責任を追いますが、その実務、過程、システムの実装をはたすのに、このPIAが合理的なステップということになります。
透明性については、「プライバシー・バイ・デザイン」アプローチが採用され、アプリについて明確なアナウンスがされること、目的外の利用をなすつもりがないことが明らかに示されること、危機が去った場合には、アプリも全国COVIDSafeデータストアも終了すること(-1.5.4)、保健省が、自主性、セキュリティ措置、時限性、苦情処理などについて明らかにすること(1.6)、推奨事項6(同意)、推奨事項7(プライバシーポリシー)、推奨事項9(コミュニケーション)、推奨事項1(オープンソース等)が遵守されること(-1.10)。
プライバシーポリシーについては、推奨事項7が確認されています。

原則2 匿名性・仮名性

仮名を用いて、取り扱うこととしても、実務的ではないとはいえないことなどが議論されています(-2.6)。推奨事項13(仮名による登録)。

原則3 要求に基づく(solicited)個人情報の収集

センシティブ情報以外の個人情報については、組織の機能、活動に直接または新して、合理的に必要である場合以外には、収集してはならないとされています。機微情報については、同意がある場合、その根拠が法の求める場合、許諾された状況がある場合、などに限定がされています。
このアプリによる個人情報は、すべて、要求に基づいて収集されていると認識されていること(3.2)、収集する組織の機能・活動を明らかにすること合理的な必要か、直接に関連するかを決定すること(3.5- 3.9)。「特に合理的な必要化テスト」が採用されることが説明されている(3.10)。このテストのもと携帯電話番号(3.13.1)、年齢(3.13.2)、氏名(3.13.3)、郵便番号(3.13.4)、利用者/接触利用者のユニークID(3.13.5)、デジタルハンドシェイクの日時(3.13.6)、ブルートゥースの信号強度(3.13.7)、関連情報(3.13.8)について分析がされている。
機微情報については、同意モデルが採用されていること、保健省は、法の根拠等の例外に頼るつもりはないことが明示されています(-3.15)。情報の与えられた(informed)、自主的な(voluntary)、現行で特定された(Current/specific)、(同意)能力のある(capacity)、同意の撤回、公平かつ適法な収集(原則3.5)、個人から直接(原則3.6)、などの問題がそれぞれ論じられています。

原則4 要求に基づかない(unsolicited)個人情報の取扱い

このアプリに関しては、要求に基づく収集となるので基本的にはこの原則とは関係がないことになります。

原則5 個人情報収集にあたっての通知(notification)

これは、情報提供にあたって、取扱い者、目的、根拠などについて本人に明らかに通知するという原則です。
知らせるべき合理的なステップを踏むこと(5.2)、このアプリでは、ダウンロードの時点と陽性利用者か、ハンドシェイク情報をアップロードする時点で必要となること(5.3)、推奨事項6および7を確かにすることです。

原則6 個人情報の利用または開示

目的外利用の禁止と第三者への開示の禁止になります。
現時点においては、第二次目的のために利用されることはないが、将来において、強要される状況がある場合に許容されることが述べられています(6.12)。また、AWSが、収集していることや、開示されていることにならないことが確認されています(6.15)。

原則7 直接マーケッティングの禁止

これについては、保健省が、「組織」には該当しないということで特に問題はありません。

原則8 個人情報の国境を超えた開示

この原則は、国境う超えた開示がなされるのには、特別のステップを踏むようにというものですが、特にそのような予定はありません(8.2)。サポートのために国外からアクセスすることが考えられるが、その場合には、この原則との関係の考慮が必要になる(8.3)。書面による同意を求めるという推奨事項16がある。また、同様のものとして推奨事項12。

原則9  政府関係識別子の採用、利用、開示

この原則は、国家機関以外において政府関係識別子の採用、利用、開示を禁止するものです。保健省は、国家機関なので、この原則との関係はありません。

原則10 個人情報の質

この原則は、個人情報が正確で、最新で、完全で、関連性を有することをステップをふむことを求めています。
ここで合理的なステップについては、個人情報の機微度、組織の特性、個人情報の質が維持されなかった場合の結果、実際の問題などを含めて検討されます。
ブルートゥース技術のもたらす問題についてもふれられています(10.4-10.6)

原則11 個人情報のセキュリティ

 
この原則は、不正使用、妨害、喪失や無権限アクセス・改変および漏えいから、合理的な防護がなされなければならないというものです。
この保護は、利用者の機器レベルでの話および全国COVID safeデータストアでの話との二つのレベルで必要になります。
それ意外にもデータ漏えいの話、全国COVID Safeデータストアでデータ保持の問題なども議論されています。推奨事項15(公文書保存法)、同12(契約等の整備)を参照ください。

原則12 個人情報へのアクセス

この原則は、個人からのアクセス権を認める規定になります。国の機関の場合と一般の組織とで規定が異なります。
例外に該当しない限りは、アクセスを認めないといけないこと、法的枠組を検討すること、保健省は、プロセスを実装するべきこと、デジタルトランスフォーメーション庁へ求める必要があるかもしれないこと、などが論じられています。

原則13 個人情報の訂正

この原則は、個人情報の訂正を図るべく合理的なステップをとることを求めています。
これについては、推奨事項7(プライバシーポリシー)、同8(訂正権の様式)、同16(AWSとの取り決め)、17(DTA等との取り決め)も参考になるとされています。
ということで、個人的には、この件で、がっちりとPIAを分析したのは、初めてだったのですが、勉強になりました。データのフローが肝で、それをきちんと洗い出せれば、プライバシーとの関連は見ることができます。が、その一方で、実務的な要請と必要となる情報、その合理性という観点は、とても参考になります。
日本がはたしてどのようになるのかはわかりませんが、クラスタ対策支援のためのアプリとして、PIAもきちんと整備されて公開されるといいなあと思っています。