导语：2026年8月，澳大利亚税务局（Australian Taxation Office，下称“ATO”）公布了一项新的数据匹配计划：未来三个财年，将持续从内政部获取旅客入境数据，并与税务记录进行电子匹配，预计每年涉及约11.5万人。

ATO究竟在查什么？入境数据为什么能用于税务核查？隐私法又给这种政府数据匹配划了哪些红线？本文从这项最新计划出发，一次讲清澳洲政府数据匹配的用途、边界和合规启示。

一、ATO到底拿到了什么

Q1 ATO获取哪些旅客数据？“每年11.5万人”如何理解？

本项目并非将全部旅客出入境记录批量提供给ATO，而是针对ATO选定的纳税人，由内政部提取其相关移动记录进行匹配。项目预计每个财年涉及约11.5万人。但这一数字仅代表本项目的预计覆盖规模，并不意味着ATO在其他法定职权下只能获取这些人的出入境信息。

相关数据来自澳大利亚内政部的旅客移动数据库（Movement Reconstruction, 下称“MR数据库”），其中保存自1981年6月以来的旅客移动记录。内政部向ATO提供的信息主要包括：姓名、出生日期、入境及离境日期、护照信息（旅行证件ID、国家代码），以及身份类型信息（签证状态、居留权、合法身份、澳大利亚公民）。

ATO Passenger Movements Data-Data we collect under our passenger movements data-matching program

“Client identification details–individuals The following identification details of an individual will be collected:

full name；date of birth；arrival date；departure date；passport information (travel document ID, country code)；status types (visa status, residency, lawful, Australian citizen).”

因此，“11.5万人”更准确的理解是：每年约有11.5万名特定纳税人的移动记录被纳入这一数据匹配项目，而非ATO获得全部旅客数据。相较于澳大利亚整体出入境数据规模，本项目采取的是针对特定对象进行核验和匹配的模式。

Q2 ATO凭什么取得这些数据？

核心在于，ATO取得旅客出入境数据并非基于一般性的政府部门间信息共享，而是建立在明确的法定授权链条之上。

首先，旅客移动记录本身受《Migration Act 1958》严格保护。相关数据库属于受特别规制的数据库，原则上不得未经授权访问、使用或披露其中的movement records。但该法同时为特定政府机关访问此类记录预留了法定例外。《Migration Regulations 1994》及配套授权文书进一步指定了可以访问的机关、人员及使用目的，ATO即属于被明确授权的机关之一。因此，ATO能够取得相关数据的直接法律基础，来自移民法体系对特定政府机关访问旅客移动记录的授权。

其次，这种授权并不是无限制的。ATO取得并使用相关数据，必须服务于其法定税收管理职能，例如核验个人税收居民身份、境外停留情况以及相关税务义务。换言之，法律授权解决的是“ATO能不能取得”的问题，而税收管理职能和授权目的则进一步限定了“ATO为什么可以取得、取得后可以怎么用”。

与此同时，《Privacy Act 1988》继续对后续的数据使用构成约束。其作用并非赋予ATO新的数据调取权，而是要求ATO对取得后的使用、匹配和留存具有相应的合法性基础，并遵守目的限制、必要性和数据管理等要求。

因此，本项目的法律逻辑可以概括为：移民法体系提供数据访问权限，税收法律确定使用目的，Privacy Act则进一步约束取得后的处理边界。

需要特别说明的是，2026年发布的Gazette Notice本身并不是ATO取得数据的实体授权依据。它更多承担的是项目公开和透明度功能，即向社会说明数据匹配的对象、来源、字段、用途和保存安排。真正支撑ATO访问旅客移动记录的，仍然是前述法定授权体系。

二、这些数据能证明什么

有权取得数据，并不意味着这些数据本身足以得出税务结论。真正要问的是，出入境记录在税收居民认定中究竟有多大证明力。

Q3 关于澳洲税收居民身份认定的影响？

出入境记录的核心价值，是为ATO提供相对客观的物理存在证据，帮助ATO判断个人在澳大利亚的实际停留和生活重心，用于识别和评估个人税收居民身份及相关税务合规风险。但需要明确的是，出入境记录本身并不能单独证明个人税收居民身份。

澳大利亚税收居民身份的认定分为两个层面：就澳大利亚国内税法而言，根据《1936年所得税评估法》（Income Tax Assessment Act 1936）第6（1）条，澳大利亚个人税收居民主要通过四项测试认定，其中通常居住测试为主测试，满足四项测试中任何一项测试，即可能被纳入澳大利亚税收居民范围；税收协定层面，如果同时构成其他国家的税收居民，则还需要进一步适用相关税收协定，判定其税收居民身份。

回到停留天数来说，“183天”并不意味着“在澳待满183天就一定成为税收居民”。法律真正采用的表述是，在一个收入年度内实际身处澳大利亚“超过一半时间”；即使达到这一标准，如果个人的通常居所在澳大利亚境外，且无意在澳大利亚定居，仍可能不满足该项测试。

这里还有一个容易忽略的细节：通常365天的收入年度，183天即已经超过一半；但如果收入年度共有366天，则需要至少184天。本次项目持续至2028—29财年，其中2027—28收入年度包含2028年2月29日，因此当年适用这一测试时，实际天数门槛应相应增加一天。在183天测试中，入境日和离境日都将计入日期范围，且183天无需连续。

所以，对ATO而言，出入境数据真正的价值并不是“看到一个人去了哪里”，而是用一套相对客观、可验证的时间记录，用于验证纳税人的税务申报、税收居民身份的自我判断以及其他相关事实进行交叉验证，从而识别潜在的税务合规风险。

与此同时，即使在澳大利亚停留超过183天、并且构成了澳大利亚的税收居民，由于各国税收居民认定标准存在差异，同一自然人可能同时被两个或多个国家认定为本国税收居民，从而产生双重居民身份冲突，导致同一笔所得被两个国家同时征税。在此情形下，澳大利亚国内税法的认定结论很可能并非终局性的，需要进一步适用澳大利亚与相关国家之间签订的双边税收协定（Double Tax Agreement, DTA），通过协定中的加比规则（Tie-breaker Rule）对居民身份进行二次判定，以确定唯一的税收居民归属国，进而划分征税权、避免重复征税。在加比规则下，需依次判断永久性住所、重要利益中心、习惯性居处、国籍所在；若以上四个层级均无法得出唯一结论，则由缔约国双方主管税务当局通过相互协商程序（Mutual Agreement Procedure, MAP）最终确定其税收居民身份。

Q4 数据匹配之后，ATO会自动把我认定为税收居民并追税吗？

不会。出入境数据匹配解决的是“是否存在进一步核查的风险”，而不是直接作出税收居民认定或追税决定。如前所述，旅客移动数据最直接反映的是个人“何时身处澳大利亚”。但税收居民身份仍需基于resides test、domicile test、183天测试等法定标准综合判断。因此，数据匹配发现个人长期或频繁在澳停留、在澳大利亚停留时间超过183天的个人，不会直接被认定为澳大利亚税收居民，但ATO可能要求个人自行说明经常居住地、是否有在澳大利亚定居意愿等情况并提供相应证据资料，由ATO结合住所情况、在澳洲停留天数等信息最终认定。

ATO Passenger Movements Data-matching Program Protocol

“We do not use passenger movements data to initiate automated action or activities.”

ATO在本项目协议中也明确指出，旅客移动数据不会被直接用于启动自动化行政行动或自动化合规措施。匹配结果主要用于风险识别和进一步审查：当出入境记录与纳税人既有申报信息存在差异时，ATO可以将相关事项纳入后续风险分析，并结合其他税务信息进一步核验。因此，整体流程更准确地理解为：

数据匹配→发现异常或风险→进一步核验→纳税人说明或更正→必要时采取税务措施。

程序上，纳税人仍享有重要的陈述和纠错机会。ATO在依据旅客移动数据采取相关行政行动前，原则上会给予纳税人28天时间，对ATO掌握的信息进行核实并作出回应。只有在进一步核验后确认存在申报错误、少缴税款或其他税务问题，才可能进入更正申报、补税、利息、罚款乃至后续争议程序。

ATO, How we undertake data matching

“Taxpayers will have up to 28 days to verify the accuracy of the information and respond before we take administrative action.”

在少数情况下，如果属于明显、非故意的申报错误，且ATO已经掌握足以确认正确结果的数据，ATO可能直接作出更正，但这属于例外，并不改变本项目以“风险识别—进一步核验”为主的基本机制。

因此，“被数据匹配”不等于“被认定为税收居民”，更不等于“立即追税”。出入境数据真正发挥的作用，是把原本依赖纳税人申报的税收居民身份问题，转化为可以通过客观移动记录进行交叉验证的税务风险事项，对税收居民身份的判别仍需要回到四项测试，存在多重税收居民身份的个人还需关注税收协定下的判断。

三、隐私法给ATO划了什么边界

问题也由此从税法转向隐私法：既然ATO可以每天自动取得并匹配个人行程，又可以据此筛选潜在高风险纳税人，这套数据处理能力本身受到什么约束？

Q5 ATO开展数据匹配，需要遵守哪些隐私限制？

有法定权限取得数据，并不意味着ATO可以不受限制地进行匹配和使用。《Privacy Act 1988》及澳大利亚信息专员办公室（Office of the Australian Information Commissioner，下称“OAIC”）政府数据匹配指南对数据匹配的取得、使用、公开、准确性、安全、保存以及个人救济设置了贯穿数据生命周期的约束。

概括而言，ATO的数据匹配并不是“拿到数据即可使用”，而是受到“取得有依据、使用有目的、过程可核验、保存有期限、错误可纠正”的全流程约束。

Q6 这些数据到底能保存多久，90天还是5年？

OAIC《政府行政数据匹配指南》（Guidelines on Data Matching in Australian Government Administration）第7项原则针对的是匹配完成后“不再需要”的数据：没有形成匹配、且已无继续使用必要的数据，原则上应尽快并在一个匹配周期结束后90日内销毁；形成匹配的，则应在90日内决定是否进一步处理；如果最终决定不采取行动，也应原则上在该决定作出后90日内销毁。

OAIC Guidelines on Data Matching in Australian Government Administration, Guideline 7.5

“a decision as to further action in relation to each individual should be taken by an agency within 90 days of the data matching cycle.”

ATO的旅客移动数据匹配Protocol则从整个项目运行角度设置了更长的保存周期5年。其核心考虑在于，税收居民身份和申报义务往往跨越多个财年，部分申报也可能滞后发生，ATO需要将不同年度的移动记录与后续税务申报进行追溯核验。

同时还必须考虑《Archives Act 1983》。APP 11.2本身已经明确：个人信息如果属于Commonwealth record，并不当然适用“无需即销毁”的一般规则，其处置还必须符合联邦档案制度。《Archives Act》第24条要求Commonwealth records原则上只能依据法律、National Archives批准的Records Authority等合法机制进行销毁或处置。

“the information is not contained in a Commonwealth record ... destroy the information or to ensure that the information is de-identified.”

90天规则针对匹配后已经失去继续处理必要性的具体数据；较长期限解决的是仍具有税务核验必要性的项目数据；如果数据同时属于Commonwealth records，其最终删除还必须符合Archives Act的记录处置体系。

Q7 谁来监督ATO自己的数据匹配？

澳大利亚对政府机关的数据匹配采取的是“内部治理+外部监管”的双层监督机制。

首先，ATO自身受到《Privacy Act 1988》及《Privacy (Australian Government Agencies–Governance) APP Code 2017》的约束。后者要求联邦政府机构建立专门的隐私治理体系，包括制定隐私管理计划、指定Privacy Officer和Privacy Champion，并对高隐私风险项目开展隐私影响评估（Privacy Impact Assessment, PIA）。因此，数据匹配项目并非仅由业务部门自行决定，而需要纳入ATO内部的隐私风险管理和审查机制。

其次，OAIC（澳大利亚信息专员办公室）可以对ATO开展独立的隐私监管和评估。《Privacy Act 1988》第33C条赋予OAIC开展隐私评估的权限，监管并不只停留在审阅制度文件，也可以深入检查数据匹配的实际运行情况。

例如，OAIC曾对ATO与原人力服务部之间的PAYG和NEIDM数据匹配项目开展实地隐私评估，检查内容包括数据交换协议、数据泄露响应机制、系统认证和加密措施，以及员工访问权限管理等。评估发现相关制度和技术措施仍存在改进空间，并据此向ATO提出整改建议。

四、数据或结论错了怎么办

对一个已经收到ATO联系的个人而言，更实际的问题是：如果数据本身错了，或者ATO据此作出的税务判断错了，应该走哪一条救济路径？

Q8 数据错了，或ATO据此作出错误判断，怎么办？

这两类问题需要分开处理：数据错了，走信息访问和更正机制；数据没错但税务判断错了，走税务争议程序。

如果争议在于ATO掌握的基础信息本身不准确，例如出入境日期记录错误、护照号码关联错误，或者系统将其他人的移动记录错误匹配到本人，首先需要解决的是信息准确性问题。个人可以依据APP 12申请访问ATO持有的本人信息，确认错误究竟出现在哪一项记录；发现信息不准确、过时、不完整或具有误导性的，可以依据APP 13要求ATO更正。如果ATO拒绝更正，应说明拒绝理由及后续投诉渠道；个人还可以要求在相关记录中附加异议说明，并视情况向OAIC投诉，或者通过《Freedom of Information Act 1982》下的记录更正机制处理。

另一种情况是，出入境记录本身没有问题，但双方对这些事实应当产生什么税务后果存在分歧。例如，ATO掌握的实际在澳天数完全准确，并据此认为个人已经构成澳大利亚税收居民，而纳税人认为根据resides test、domicile test或183天测试的具体事实，其仍不应被认定为税收居民；或构成双重税收居民，依据税收协定应被判定为其他法域的税收居民。此时争议的已经不是“数据是否准确”，而是税法如何适用于这些事实。在ATO调查或联系阶段，纳税人应及时提交住所、家庭、工作、资产、生活安排及居住意图等材料，说明为什么相关出入境记录不足以支持ATO的税收居民身份判断。如果ATO最终形成正式、可争议的税务决定，例如作出或修改assessment，则应通过税务争议程序提出objection；对objection决定仍有异议的，再依据具体决定类型寻求后续外部复审或司法救济。

数据错了，纠正的是事实；数据没错但税收居民身份认定错了，争议的是法律结论。前者主要适用隐私和信息更正机制，后者则进入税务争议程序。

五、企业在数据匹配背景下需要做些什么？

Q9 员工税务身份变化，会反向触发哪些雇主义务？

对企业而言，员工是否属于澳大利亚税收居民，并不只是员工个人报税问题。税收居民身份变化可能改变员工在澳大利亚的应税所得范围、所得税适用税率标准等，并进一步影响公司的工资代扣、申报及福利处理。

对于存在长期外派、跨境远程办公或频繁往返澳洲人员的企业，应将员工税收居民身份变化纳入Payroll和Global Mobility管理：一旦税收居民身份发生变化，应同步复核工资发放地、PAYG代扣情况，存在多重税收居民身份时，需进一步评估适用的税收协定，而不能仅将其视为员工个人报税事项。

* 律师孙菀怡和实习生陈奕帆对本文亦有贡献。

主要参考：

1.公报C2026G00558（2026-08-24）：legislation.gov.au/C2026G00558/asmade

2.ATO数据匹配协议页（含本项目protocol）：ato.gov.au/dmprotocols

3.ATO How we use data matching；ATO Your tax residency

4.ITAA 1936（2026-07-01汇编版）；Migration Act 1958 s 488；Migration (Access to Movement Records) Instrument 2025（LIN 25/001，F2025L01143）

5.TR 2023/1（个人税收居民测试）；TR 2018/5（公司CM&C）

6.OAIC《澳大利亚政府行政数据匹配指南》（2014）；豁免决定D2018/000509

7.OAIC《隐私（澳大利亚政府机构——治理）APP守则2017》；OAIC对ATO数据匹配的隐私评估报告（2020-07-07发布）

8.NAA：records authorities类型页（GDA 24状态）；APPs与Commonwealth records

9.https://www.oaic.gov.au/privacy/privacy-assessments-and-decisions/privacy-assessments/securing-personal-information-australian-taxation-office,-data-matching-activities