Dernière mise à jour : août 2026

Étude de cas : L’AEPD inflige une amende à Tiger Media pour non-respect de l’article 27 du RGPD concernant la représentation de l’UE

En 2025, l'Agence espagnole de protection des données (AEPD) a confirmé des sanctions à l'encontre de Tiger Media Inc. à la suite d'une enquête sur le traitement des données publicitaires et la conformité de l'entreprise avec la réglementation. Exigence de représentation de l'UE en vertu de l'article 27 du RGPD. Cette amende infligée par l'AEPD rappelle concrètement un point souvent sous-estimé par les entreprises non européennes : la désignation d'un représentant au sein de l'UE n'est pas une simple formalité occultée dans une politique de confidentialité. Il s'agit d'une obligation contraignante, et les autorités espagnoles chargées de la protection des données sont prêtes à la faire respecter.

Cet article traite cette décision comme un exemple d'application de la loi pour 2025 (et non comme une information de dernière minute) et explique ce qui s'est mal passé, pourquoi l'AEPD a rejeté l'accord de représentation de Tiger Media, et ce que… Exigence de représentation de l'UE cela signifie concrètement pour les autres organisations non membres de l'UE.

Que s'est-il passé dans l'affaire Tiger Media ?

L'AEPD a enquêté sur Tiger Media Inc., l'opérateur d'une plateforme publicitaire utilisée par les éditeurs et les annonceurs, après avoir identifié des problèmes potentiels de protection des données liés aux données personnelles traitées par le biais des technologies publicitaires. Dans sa résolution finale (Procédure AEPD PS/00480/2025L’AEPD a confirmé deux sanctions distinctes : 70 000 € pour une infraction à l’article 6 du RGPD et 50 000 € pour une infraction à l’article 27 du RGPD, soit un total de 120 000 € avant réductions. Tiger Media a appliqué les réductions disponibles au titre de la reconnaissance de responsabilité et du paiement volontaire, ramenant le montant final payé à 72 000 €.

L’élément de l’article 6 concernait la base juridique du traitement effectué par le biais de la plateforme publicitaire. L’élément de l’article 27 constitue l’enseignement clé pour les équipes chargées de la protection des données accompagnant des organisations non membres de l’UE, car il repose sur la gouvernance plutôt que sur les détails du traitement : l’entreprise disposait-elle effectivement d’un représentant dûment désigné au sein de l’UE ?

Pourquoi l'AEPD a jugé le représentant invalide

D'après les conclusions de l'AEPD, Tiger Media avait désigné un représentant en Irlande du Nord et indiqué être en train de nommer un remplaçant dans un État membre de l'UE. L'AEPD a conclu que, par conséquent, Tiger Media ne disposait pas actuellement d'un représentant valide au sein de l'UE au sens du RGPD.

Cette distinction est importante. Un représentant “ en cours de désignation ” n’est pas équivalent à un représentant dûment désigné par écrit, établi sur le territoire approprié et disponible pour servir de point de contact auprès de l’UE. La résolution de l’AEPD a également relevé que Tiger Media proposait des services de publicité pour adultes sur au moins trois sites web espagnols, établissant ainsi un lien entre le traitement et des personnes physiques en Espagne et justifiant l’analyse de la portée territoriale au titre de l’article 3, paragraphe 2, du RGPD.

L'intention affichée par l'entreprise de désigner un représentant basé dans l'UE n'a pas empêché la constatation. Du point de vue de l'autorité de régulation, ce résultat est prévisible : l'obligation prévue à l'article 27 s'applique dès lors que le traitement entre dans son champ d'application, et non seulement lorsqu'une enquête est en cours.

L'exigence de représentant prévue à l'article 27 de l'UE va au-delà d'une simple adresse de contact.

L’article 27 du RGPD s’applique, de manière générale, lorsqu’un responsable du traitement ou un sous-traitant n’a pas d’établissement dans l’UE mais est néanmoins soumis au RGPD en vertu de l’article 3, paragraphe 2 – généralement parce qu’il propose des biens ou des services à des personnes résidant dans l’UE ou qu’il surveille leur comportement sur place. Dans ce cas, le responsable du traitement ou le sous-traitant doit désigner par écrit un représentant dans l’Union, sauf exception limitée.

L’AEPD a clairement indiqué qu’un représentant d’un responsable du traitement ou d’un sous-traitant non-UE n’est pas un simple point de contact. Son rôle comprend la coopération avec les autorités de contrôle et le soutien aux opérations de responsabilisation. L’AEPD a souligné que l’absence d’un représentant dûment désigné peut affecter l’ensemble du système de conformité au RGPD.

Pour une explication plus complète de cette obligation, voir RGPD Article 27 Représentant de l'UE. Pour plus de détails, voir Représentant à la protection des données de l'UE.

Comment le contexte publicitaire et des cookies a révélé l'écart

Bien que la conclusion relative à l'article 27 constitue l'enseignement principal, l'enquête plus large a débuté par le traitement des données à des fins publicitaires. L'AEPD a examiné le rôle de la plateforme dans la diffusion et la mesure des publicités et a enregistré différentes catégories de données, notamment les détails de l'appareil, le système d'exploitation, les informations sur le navigateur, l'adresse IP, les URL des sites web et des sites référents, les clics, les impressions, la géolocalisation déduite de l'adresse IP et les identifiants de cookies. L'AEPD a également constaté l'installation de cookies sans consentement sur les sites web utilisant la plateforme.

Ce schéma est courant dans l'application de l'AEPD : une autorité ouvre un examen axé sur les cookies, le consentement ou la base légale, puis l'examen s'étend aux obligations de gouvernance, notamment à la question de savoir si l'organisation dispose d'un représentant valide au sein de l'UE.

Qui devrait réévaluer sa position de représentant au sein de l'UE

Les organisations non membres de l'UE doivent réévaluer leur position au regard de l'article 27 si elles ne disposent pas d'établissement dans l'UE mais interagissent intentionnellement avec des personnes résidant dans l'UE via des sites web, des applications, des abonnements, des plateformes SaaS, des places de marché, de la publicité, des outils d'analyse ou des technologies de suivi. La question pertinente n'est pas de savoir si l'entreprise est “ européenne ” en termes de marque, mais si son traitement relève du champ d'application territorial du RGPD.

Un examen est particulièrement pertinent si l'une des situations suivantes s'applique :

• Votre site web, application ou plateforme est accessible aux utilisateurs en Espagne ou dans d'autres États membres de l'UE et n'est pas simplement accessible passivement.
• Vous ciblez les utilisateurs de l'UE par le biais de la langue, de la devise, des campagnes marketing, des options de livraison, des domaines locaux, de l'intégration axée sur l'UE ou des activités commerciales.
• Vous surveillez les comportements au sein de l'UE grâce à des cookies, des pixels, des identifiants d'appareil, des outils d'analyse, la mesure de la publicité, la détection des fraudes, la limitation de la fréquence d'utilisation ou des technologies similaires.
• Vous traitez des données personnelles de l'UE en tant que sous-traitant pour des clients, des éditeurs, des annonceurs ou des partenaires.
• Votre avis de confidentialité désigne un contact au Royaume-Uni, en Suisse, aux États-Unis ou dans un autre pays hors UE comme s'il s'agissait d'un représentant de l'UE au titre de l'article 27.
• Votre organisation a désigné un représentant avant le Brexit ou avant une restructuration d'entreprise, et cette désignation n'a pas été vérifiée depuis.
• Vous vous appuyez sur l’exception de “ traitement occasionnel ” sans avoir documenté pourquoi elle s’applique réellement.

Ce point d'exception mérite une attention particulière. L'article 27 ne s'applique pas systématiquement : des exemptions existent, notamment pour certains traitements ponctuels peu susceptibles de porter atteinte aux droits et libertés des personnes et ne portant pas sur des données sensibles ou relatives à des infractions pénales à grande échelle. Toutefois, cette exception doit être appliquée de manière délibérée et documentée, et non présumée.

Liste de contrôle pratique de la conformité après la décision de Tiger Media

La réponse appropriée à cette amende de l'AEPD n'est pas l'urgence à tout prix, mais un contrôle de conformité ciblé. Les lacunes de l'article 27 sont généralement faciles à corriger et, comme des détails représentatifs figurent dans les avis de confidentialité publics, elles peuvent être rapidement repérées par les autorités de réglementation, les utilisateurs, les partenaires ou les plaignants.

• Cartographier les activités de traitement destinées à l'UE. Identifiez les domaines dans lesquels votre organisation propose des services aux personnes résidant dans l'UE ou surveille les comportements au sein de l'UE.
• Veuillez confirmer si vous disposez d'un établissement au sein de l'UE. Sinon, évaluez si l'article 3(2) fait entrer le traitement dans le champ d'application territorial du RGPD.
• Examinez attentivement toute exemption. Si vous estimez que l’article 27 ne s’applique pas, notez votre raisonnement et réexaminez-le à mesure que le modèle économique évolue.
• Vérifiez la localisation du représentant. Le représentant doit être établi dans l'UE.
• Prenez rendez-vous par écrit. Définir explicitement le périmètre, les responsabilités en matière de coopération et les flux de travail de réponse.
• Mise à jour des avis publics. Les mentions légales relatives à la protection des données personnelles doivent indiquer des coordonnées exactes et à jour et éviter les références obsolètes.
• Harmoniser les flux de travail internes. Les équipes d'assistance, juridiques, de sécurité et de protection de la vie privée doivent savoir comment acheminer les communications des personnes concernées ou des autorités de réglementation de l'UE.
• Tenir les registres à jour. Les documents relatifs au traitement des données, la documentation sur les cookies, les évaluations de la base légale et les fichiers des fournisseurs doivent correspondre aux informations contenues dans la déclaration de confidentialité.
• Révision après modifications importantes. Revérifiez la nomination après les changements liés au Brexit, les fusions, les lancements de nouveaux produits, l'expansion du marché ou les nouvelles technologies de suivi.

Votre nomination actuelle ne résisterait-elle pas à cette analyse ? DilicheckRep examine les dispositifs de représentation de l'UE au regard de l'article 27, vérifie le lieu d'implantation et le mandat du représentant et signale les lacunes avant même qu'un organisme de réglementation ne le fasse.

Obtenez une évaluation de votre représentation au titre de l'article 27 auprès de DilicheckRep →

Que révèle cette amende de l'AEPD sur les attentes des régulateurs en Espagne ?

La décision concernant Tiger Media confirme que l'application du droit de la protection des données en Espagne couvre à la fois les aspects liés au traitement des données et les obligations de gouvernance. L'AEPD n'a pas considéré l'exigence de désignation d'un représentant au sein de l'UE comme une simple formalité : elle a fixé l'amende prévue à l'article 27 à 50 000 € et a ordonné des mesures correctives, notamment la désignation d'un représentant dûment habilité au sein de l'UE par Tiger Media.

La résolution précise également que le paiement et la reconnaissance de responsabilité ne dispensent pas de l'obligation de remédier au problème. L'AEPD a ordonné à Tiger Media d'informer l'agence, dans les trois mois suivant l'entrée en vigueur de la résolution, de l'adoption des mesures correctives décrites dans la décision.

Principaux enseignements pour les entreprises hors UE

La décision Tiger Media redéfinit l'article 27 comme une question pratique de gouvernance : si votre entreprise est située hors de l'UE mais contacte ou surveille des personnes dans l'UE, qui est votre représentant valable dans l'UE aujourd'hui — pas celui que vous prévoyez de nommer, pas celui qui figurait sur la liste il y a des années, et pas un contact situé hors de l'Union, mais le représentant dûment nommé et en mesure d'agir maintenant.

Foire aux questions

Qu’est-ce que l’exigence de représentant de l’UE au titre de l’article 27 du RGPD ? L’article 27 du RGPD exige que les responsables du traitement et les sous-traitants n’ayant pas d’établissement dans l’UE, mais qui sont soumis au RGPD en vertu de l’article 3(2), désignent par écrit un représentant dans l’Union, sauf si une exception limitée s’applique.

Quel montant d'amende a été infligé à Tiger Media par l'AEPD ? L'AEPD a confirmé des sanctions d'un montant total de 120 000 € avant réductions : 70 000 € pour une infraction à l'article 6 du RGPD et 50 000 € pour une infraction à l'article 27 du RGPD. Après réduction pour reconnaissance de responsabilité et paiement volontaire, Tiger Media a payé 72 000 €.

Pourquoi l'AEPD a-t-elle jugé invalide le représentant de Tiger Media auprès de l'UE ? Le représentant déclaré de Tiger Media était situé en Irlande du Nord, et la société indiquait être en train de nommer un représentant dans un État membre de l'UE. L'AEPD en a conclu qu'aucun représentant valide n'était actuellement en fonction au sein de l'UE.

Quelles sont les entreprises non européennes qui doivent désigner un représentant au sein de l'UE en vertu du RGPD ? Les entreprises non-UE qui offrent des biens ou des services à des personnes dans l'UE, ou qui surveillent leur comportement sur place, relèvent généralement du champ d'application territorial du RGPD en vertu de l'article 3(2) et doivent désigner un représentant de l'UE, sauf si une exception documentée s'applique.

DilicheckRep assure une représentation réglementaire officielle auprès de l'UE et du Royaume-Uni — y compris l’article 27 du RGPD, la loi européenne sur l’IA, la loi sur les services numériques, la loi sur les données et les services de point de contact NIS2 — avec une documentation de mandat et une gestion structurée des communications entre l’autorité et les personnes concernées.

Vérifiez votre champ d'action en matière de représentation au sein de l'UE avec DilicheckRep.

Avertissement : Ce guide est fourni à titre d’information générale uniquement et ne constitue pas un avis juridique. L’application du règlement européen sur la protection des données et des autres exigences réglementaires dépend de la situation particulière de chaque organisation. Il est recommandé de consulter un avocat avant de se fier à ces informations ou de prendre des décisions en matière de conformité.

Avis relatif à l'IA : Cet article a été rédigé par un expert en protection de la vie privée avec l'aide de l'IA.