Última actualización: agosto de 2026
Caso práctico: La AEPD sanciona a Tiger Media por una brecha en el artículo 27 del RGPD sobre representantes en la UE
En 2025, la Agencia Española de Protección de Datos (AEPD) confirmó sanciones contra Tiger Media Inc. tras una investigación sobre el tratamiento de datos relacionados con la publicidad y la conformidad de la empresa con la normativa vigente. Artículo 27 del RGPD: requisito de representante en la UE. Esta multa de la AEPD es un recordatorio concreto de un punto que muchas empresas no pertenecientes a la UE subestiman: nombrar un representante de la UE no es una formalidad que se oculta en una política de privacidad. Es una obligación exigible, y la autoridad española de protección de datos está dispuesta a actuar en consecuencia.
Este artículo aborda la decisión como un ejemplo de aplicación en 2025 (no es una noticia reciente) y explica qué salió mal, por qué la AEPD rechazó el acuerdo de representación de Tiger Media y qué medidas se tomaron para evitar que se repita. Requisitos para la representación de la UE significa en la práctica para otras organizaciones que no sean de la UE.
¿Qué pasó en el caso Tiger Media?
La AEPD investigó a Tiger Media Inc., la empresa propietaria de una plataforma de publicidad utilizada por editores y anunciantes, tras detectar posibles problemas de protección de datos relacionados con los datos personales procesados mediante tecnologías de publicidad. En su resolución final (Procedimiento de la AEPD PS/00480/2025), la AEPD confirmó dos sanciones distintas: 70.000 € por una cuestión relacionada con el artículo 6 del RGPD y 50.000 € por una cuestión relacionada con el artículo 27 del RGPD, lo que eleva el total a 120.000 € antes de las reducciones. Tiger Media aplicó las reducciones disponibles para el reconocimiento de responsabilidad y el pago voluntario, lo que llevó el importe final pagado a 72.000 €.
El elemento 6 del artículo se refería a la base legal para el tratamiento llevado a cabo a través de la plataforma de publicidad. El elemento 27 es la lección fundamental para los equipos de privacidad que apoyan organizaciones no pertenecientes a la UE, ya que se trata de una cuestión de gobernanza más que de detalles del tratamiento: ¿Tenía realmente la empresa un representante en la UE, nombrado debidamente?
¿Por qué la AEPD consideró inválido al representante?
Según los hallazgos de la AEPD, Tiger Media había identificado a un representante ubicado en Irlanda del Norte y declaró que estaba en proceso de nombrar a un representante sustituto en un Estado miembro de la UE. La AEPD concluyó que, como resultado, Tiger Media no tenía actualmente un representante válido de la UE para los fines del RGPD.
La distinción es importante. Un representante “en proceso” no es el mismo que un representante debidamente nombrado por escrito, establecido en el territorio correcto y disponible para actuar como punto de contacto ante la UE. La resolución de la AEPD también señaló que Tiger Media ofrecía servicios de publicidad para adultos en al menos tres sitios web españoles, conectando el procesamiento con personas en España y apoyando la análisis del ámbito territorial en virtud del artículo 3(2) del RGPD.
La intención declarada de la empresa de nombrar a un representante con sede en la UE no impidió la constatación. Desde la perspectiva de un regulador, ese resultado es predecible: la obligación del artículo 27 se aplica una vez que el tratamiento entra en el ámbito de aplicación, y no solo cuando se está llevando a cabo una investigación.
El requisito de Representante de la UE en virtud del artículo 27 es más que una dirección de contacto
El artículo 27 del RGPD se aplica, en general, cuando un responsable o encargado del tratamiento no tenga una sede en la UE pero esté sujeto al RGPD de conformidad con el artículo 3, apartado 2, —normalmente porque ofrece bienes o servicios a personas en la UE o porque supervisa su comportamiento allí—. En tales circunstancias, el responsable o encargado del tratamiento debe designar, por escrito, un representante en la Unión, salvo que se aplique una excepción restrictiva.
La AEPD dejó claro que un representante de un controlador o procesador no perteneciente a la UE no es simplemente un punto de contacto. Este papel incluye la cooperación con las autoridades de supervisión y el apoyo a las operaciones de rendición de cuentas, y la AEPD señaló que la falta de un representante debidamente nombrado puede afectar el sistema de cumplimiento del RGPD en su conjunto.
Para una explicación más completa de la obligación, véase Artículo 27 del RGPD Representante de la UE. Para obtener más información, consulte Representante de protección de datos de la UE.
Cómo el contexto de la publicidad y las cookies superó la brecha
Si bien la conclusión del artículo 27 es la lección central, la investigación más amplia comenzó con el procesamiento relacionado con la publicidad. La AEPD revisó el papel de la plataforma en la entrega y medición de anuncios y registró categorías de datos que incluían detalles del dispositivo, sistema operativo, información del navegador, dirección IP, URL de la página web y de las referencias, clics, impresiones, ubicación derivada de la IP y identificadores de cookies. La AEPD también identificó cookies que se instalaban sin consentimiento en sitios web que utilizaban la plataforma.
Este patrón es común en las acciones de la AEPD: una autoridad abre una revisión centrada en las cookies, el consentimiento o la base legal, y la revisión se amplía a las obligaciones de gobernanza —incluyendo si la organización tiene un representante válido en la UE.
¿Quién debería revisar su posición como representante de la UE?
Las organizaciones que no sean de la UE deberían reevaluar su posición en virtud del artículo 27 si no tienen una presencia en la UE pero interactúan intencionalmente con personas en la UE a través de sitios web, aplicaciones, suscripciones, plataformas SaaS, mercados, publicidad, análisis o tecnologías de seguimiento. La pregunta pertinente no es si la empresa es “europea” en términos de marca, sino si su tratamiento se encuentra dentro del ámbito territorial del RGPD.
Una revisión es particularmente recomendable si se cumplen cualquiera de los siguientes requisitos:
- Tu sitio web, aplicación o plataforma está disponible para los usuarios en España o en otros Estados miembros de la UE y no es simplemente accesible de forma pasiva.
- Dirigirás tu atención a los usuarios de la UE mediante el idioma, la moneda, las campañas de marketing, las opciones de envío, los dominios locales, la integración centrada en la UE o la actividad comercial.
- Monitora el comportamiento en la UE mediante cookies, píxeles, identificadores de dispositivos, análisis, medición de publicidad, detección de fraudes, limitación de frecuencia o tecnologías similares.
- Tratas los datos personales de los ciudadanos de la UE como procesador para clientes, editores, anunciantes o socios.
- En su aviso de privacidad se menciona a un contacto del Reino Unido, Suiza, Estados Unidos u otro país no perteneciente a la UE como si fuera un representante del artículo 27 de la UE.
- Tu organización nombró a un representante antes del Brexit o antes de una reestructuración corporativa, y desde entonces no se ha revisado la designación.
- Se confía en la excepción de “procesamiento ocasional” sin haber documentado por qué se aplica de manera genuina.
El punto de excepción merece una atención especial. El artículo 27 no se aplica en todos los casos: existen excepciones, incluidas aquellas que se aplican a ciertos procesos ocasionales que no suponen un riesgo para los derechos y libertades de las personas y que no implican datos de categorías especiales o relacionados con delitos de gran envergadura. Sin embargo, esa excepción debe aplicarse de forma deliberada y documentada, y no asumirse de forma automática.
Una lista de verificación práctica para la aplicación de la normativa tras la decisión de Tiger Media
La respuesta correcta a esta multa de la AEPD no debe ser la urgencia por su propia naturaleza, sino un control centrado de la conformidad. Las deficiencias del artículo 27 suelen ser fáciles de solucionar —y debido a que los detalles representativos aparecen en los avisos públicos de privacidad, pueden ser detectados rápidamente por los reguladores, los usuarios, los socios o los denunciantes—.
- Mapa de las actividades de procesamiento orientadas hacia la UE. Identifique dónde su organización ofrece servicios a personas en la UE o supervisa el comportamiento en la UE.
- Compruebe si tiene una sede en la UE. De no ser así, evalúe si el artículo 3, apartado 2, incluye el procesamiento en el ámbito territorial del RGPD.
- Pruebe cualquier exención cuidadosamente. Si usted cree que el artículo 27 no se aplica, escriba un razonamiento al respecto y vuelva a revisarlo a medida que el modelo de negocio cambie.
- Compruebe la ubicación del representante. El representante debe estar establecido en la UE.
- Haga la cita por escrito. Defina explícitamente el alcance, las obligaciones de cooperación y los flujos de trabajo de respuesta.
- Actualizar los anuncios públicos. Los avisos de privacidad deben incluir los datos de contacto actualizados y precisos y evitar referencias obsoletas.
- Alinear los flujos de trabajo internos. Los equipos de soporte, jurídico, de seguridad y privacidad deben saber cómo canalizar las comunicaciones de los sujetos de datos o los reguladores de la UE.
- Mantenga los registros actualizados. Los registros de procesamiento, la documentación sobre cookies, las evaluaciones de base legal y los archivos de los proveedores deben coincidir con lo que se indica en el aviso de privacidad.
- Opinión tras cambios importantes. Reverifique la programación de las reuniones tras los cambios relacionados con el Brexit, las fusiones, los nuevos lanzamientos de productos, la expansión del mercado o las nuevas tecnologías de seguimiento.
¿No está seguro de que su cita actual se pueda cumplir con esta evaluación? DilicheckRep revisa los mecanismos de representación de la UE en relación con el artículo 27, verifica la ubicación y el mandato de los representantes y señala las deficiencias antes de que lo haga un regulador.
Obtenga una revisión de la representación en virtud del artículo 27 de DilicheckRep →
¿Qué significa esta multa de AEPD respecto a las expectativas de los reguladores en España?
La decisión de Tiger Media confirma que la aplicación de la protección de datos en España abarca tanto las cuestiones de tratamiento sustantivo como las obligaciones de gobernanza. El AEPD no consideró la exigencia de un representante de la UE como una cuestión menor técnica: fijó la sanción del artículo 27 en 50.000 € y ordenó medidas correctivas, incluida la de que Tiger Media nombrara un representante válido de la UE.
La resolución también deja claro que el pago y el reconocimiento de la responsabilidad no eliminan la obligación subyacente de solucionar el problema. La AEPD ordenó a Tiger Media que notificara a la agencia, dentro de los tres meses siguientes a la fecha en que la resolución se hiciera firme y ejecutiva, la adopción de las medidas correctivas descritas en la decisión.
La clave para las empresas que no pertenecen a la UE
La decisión de Tiger Media reenfoca el artículo 27 como una cuestión práctica de gobernanza: si su empresa está fuera de la UE pero llega a personas o las vigila en la UE, ¿quién es el representante válido de la UE en la actualidad? No quien planea nombrar, ni quien estaba incluido hace años, ni un contacto ubicado fuera de la Unión, sino el representante debidamente nombrado y capaz de actuar ahora.
Preguntas frecuentes
¿Cuál es el requisito de representante de la UE en virtud del artículo 27 del RGPD? El artículo 27 del RGPD exige que los responsables y los encargados del tratamiento que no tengan establecimiento en la UE pero que estén sujetos al RGPD de conformidad con el artículo 3, apartado 2, designen por escrito un representante en la Unión, salvo que se aplique una excepción restrictiva.
¿Cuánto fue multada Tiger Media por la AEPD? La AEPD confirmó sanciones por un total de 120.000 € antes de las reducciones: 70.000 € por una cuestión relacionada con el artículo 6 del RGPD y 50.000 € por una cuestión relacionada con el artículo 27 del RGPD. Tras las reducciones por reconocimiento de responsabilidad y pago voluntario, Tiger Media pagó 72.000 €.
¿Por qué la AEPD consideró inválida la representación de Tiger Media ante la UE? La representante registrada de Tiger Media estaba ubicada en Irlanda del Norte y la empresa declaró que estaba en proceso de nombrar a un representante en un Estado miembro de la UE. La AEPD concluyó que esto significaba que no había ningún representante válido de la UE en ese momento.
¿Qué empresas no pertenecientes a la UE deben designar un representante en la UE de acuerdo con el RGPD? Las empresas que no son de la UE y ofrecen productos o servicios a personas en la UE o supervisan su comportamiento allí, generalmente se encuentran dentro del ámbito territorial del RGPD según el artículo 3(2) y deben designar un representante de la UE, a menos que se aplique una excepción documentada.
DilicheckRep ofrece representación regulatoria formal en la UE y el Reino Unido — incluyendo el artículo 27 del RGPD, la Ley de IA de la UE, la Ley de Servicios Digitales, la Ley de Datos y los servicios de puntos de contacto NIS2 — con documentación de mandato y gestión estructurada de las comunicaciones entre las autoridades y los titulares de datos.
Revisen el alcance de su representación en la UE con DilicheckRep
Exención de responsabilidad: Esta guía tiene como objetivo únicamente proporcionar información general y no constituye asesoramiento jurídico. La aplicación de las normas de protección de datos de la UE y otras obligaciones reglamentarias depende de las circunstancias específicas de cada organización. Es necesario obtener asesoramiento jurídico adecuado en caso necesario antes de confiar en esta información o tomar decisiones relativas a la conformidad.
Advertencia sobre IA: Este artículo fue preparado por un experto en privacidad con ayuda de IA.