עודכן לאחרונה: אוגוסט 2026

מקרה בוחן: AEPD מטילה קנס על Tiger Media בגין פער ייצוגי האיחוד האירופי במסגרת סעיף 27 בתקנות ה-GDPR

בשנת 2025, אישרה הסוכנות הספרדית להגנת מידע (AEPD) סנקציות נגד חברת Tiger Media Inc. בעקבות חקירה בנוגע לעיבוד נתונים הקשורים לפרסום ועמידת החברה בתקנות. סעיף 27 בתקנות ה-GDPR דרישת נציגות האיחוד האירופי. קנס AEPD זה הוא תזכורת קונקרטית לנקודה שעסקים רבים שאינם מהאיחוד האירופי מזלזלים בה: מינוי נציג האיחוד האירופי אינו פורמליות הקבורה במדיניות פרטיות. זוהי חובה ניתנת לאכיפה, ואכיפת הגנת המידע הספרדית מוכנה לפעול על פיה.

מאמר זה מתייחס להחלטה כדוגמה לאכיפה משנת 2025 (לא חדשות מרעישות) ומסביר מה השתבש, מדוע AEPD דחתה את הסדר הייצוג של Tiger Media, ומה... דרישת נציג האיחוד האירופי פירושו בפועל עבור ארגונים אחרים שאינם שייכים לאיחוד האירופי.

מה קרה בפרשת טייגר מדיה

ה-AEPD חקרה את Tiger Media Inc., מפעילת פלטפורמת פרסום המשמשת מו"לים ומפרסמים, לאחר שזיהתה בעיות פוטנציאליות בהגנה על נתונים הקשורות לנתונים אישיים המעובדים באמצעות טכנולוגיות פרסום. בהחלטתה הסופית (הליך AEPD PS/00480/2025), אישרה ה-AEPD שתי סנקציות נפרדות: 70,000 אירו עבור נושא במסגרת סעיף 6 בתקנות ה-GDPR ו-50,000 אירו עבור נושא במסגרת סעיף 27 בתקנות ה-GDPR, מה שהביא את הסכום הכולל ל-120,000 אירו לפני הפחתות. Tiger Media יישמה את ההפחתות הזמינות עבור הכרה באחריות ותשלום מרצון, מה שהביא את הסכום הסופי ששולם ל-72,000 אירו.

סעיף 6 התייחס לבסיס החוקי לעיבוד המבוצע דרך פלטפורמת הפרסום. סעיף 27 הוא הלקח המרכזי עבור צוותי פרטיות התומכים בארגונים שאינם חברי האיחוד האירופי, משום שהוא מתמקד בממשל ולא בעיבוד פרטים: האם לחברה היה למעשה נציג באיחוד האירופי, שמונה כראוי?

מדוע ה-AEPD ראה את הנציג כבלתי חוקי

על פי ממצאי AEPD, טייגר מדיה זיהתה נציג הממוקם בצפון אירלנד והצהירה כי היא בתהליך מינוי נציג חלופי במדינה חברה באיחוד האירופי. ה-AEPD הגיעה למסקנה כי כתוצאה מכך, לטייג'ר מדיה אין כעת נציג תקף של האיחוד האירופי לצורכי GDPR.

ההבחנה חשובה. נציג "בתהליך" אינו זהה לנציג שמונה כדין בכתב, שהוקם בטריטוריה הנכונה וזמין לשמש כנקודת קשר מול האיחוד האירופי. החלטת AEPD ציינה גם כי Tiger Media הציעה שירותי פרסום למבוגרים בלבד בשלושה אתרים ספרדיים לפחות, תוך חיבור העיבוד לאנשים פרטיים בספרד ותמיכת ניתוח ההיקף הטריטוריאלי לפי סעיף 3(2) לתקנת ה-GDPR.

כוונתה המוצהרת של החברה למנות נציג מהאיחוד האירופי לא מנעה את הממצא. מנקודת מבטו של הרגולטור, תוצאה זו צפויה: חובת סעיף 27 חלה ברגע שהעיבוד נכנס לתחום, ולא רק ברגע שמתחילה חקירה.

דרישת הנציגות של האיחוד האירופי לפי סעיף 27 היא יותר מכתובת ליצירת קשר

סעיף 27 לתקנת ה-GDPR חל, באופן כללי, כאשר לבקר או למעבד אין מוסד באיחוד האירופי אך בכל זאת כפוף לתקנת ה-GDPR לפי סעיף 3(2) - בדרך כלל משום שהוא מציע סחורות או שירותים לאנשים באיחוד האירופי או עוקב אחר התנהגותם שם. בנסיבות אלה, על הבקר או המעבד למנות, בכתב, נציג באיחוד, אלא אם כן חל חריג מצומצם.

ה-AEPD הבהירה במפורש כי נציג של בקר או מעבד שאינו מהאיחוד האירופי אינו רק נקודת קשר. התפקיד כולל שיתוף פעולה עם רשויות פיקוח ותמיכה בפעולות אחריותיות, וה-AEPD ציינה כי היעדר נציג שמונה כראוי יכול להשפיע על מערכת תאימות ה-GDPR בכללותה.

להסבר מלא יותר של החובה, ראו נציג האיחוד האירופי לתקנות GDPR סעיף 27. לרקע רחב יותר, ראה נציג הגנת המידע של האיחוד האירופי.

כיצד הקשר הפרסום והעוגיות חשף את הפער

למרות שממצאי סעיף 27 הם הלקח המרכזי, החקירה הרחבה יותר החלה בעיבוד הקשור לפרסום. ה-AEPD סקרה את תפקידה של הפלטפורמה באספקה ובמדידה של פרסומות ותיעדה קטגוריות של נתונים, כולל פרטי מכשיר, מערכת הפעלה, פרטי דפדפן, כתובת IP, כתובות URL של אתרים והפניות, קליקים, חשיפות, מיקום הנגזר מכתובת IP ומזהי קובצי Cookie. ה-AEPD זיהתה גם קובצי Cookie שהותקנו ללא הסכמה באתרי אינטרנט המשתמשים בפלטפורמה.

דפוס זה נפוץ באכיפת AEPD: רשות פותחת סקירה המתמקדת בקובצי Cookie, הסכמה או בסיס חוקי, והסקירה מתרחבת לאחר מכן לחובות ממשל - כולל האם לארגון יש נציג תקף של האיחוד האירופי.

מי צריך להעריך מחדש את מעמדו כנציג האיחוד האירופי

ארגונים שאינם חברי האיחוד האירופי צריכים להעריך מחדש את עמדתם במסגרת סעיף 27 אם אין להם מוסד באיחוד האירופי אך הם מקיימים אינטראקציה מכוונת עם אנשים באיחוד האירופי באמצעות אתרי אינטרנט, אפליקציות, מנויים, פלטפורמות SaaS, שווקים, פרסום, ניתוח נתונים או טכנולוגיות מעקב. השאלה הרלוונטית אינה האם החברה היא "אירופאית" מבחינת מיתוג, אלא האם עיבוד הנתונים שלה נופל תחת היקף הטריטוריאלי של ה-GDPR.

סקירה ראויה במיוחד אם אחד מהבאים חל:

• אתר האינטרנט, האפליקציה או הפלטפורמה שלך זמינים למשתמשים בספרד או במדינות חברות אחרות באיחוד האירופי ואינם נגישים באופן פסיבי בלבד.
• אתם מכוונים למשתמשים באיחוד האירופי באמצעות שפה, מטבע, קמפיינים שיווקיים, אפשרויות משלוח, דומיינים מקומיים, קליטה ממוקדת באיחוד האירופי או פעילות מכירות.
• אתם עוקבים אחר התנהגות באיחוד האירופי באמצעות קובצי Cookie, פיקסלים, מזהי מכשירים, ניתוח נתונים, מדידת פרסום, זיהוי הונאות, הגבלת תדירות או טכנולוגיות דומות.
• אתה מעבד נתונים אישיים של האיחוד האירופי כמעבד עבור לקוחות, מו"לים, מפרסמים או שותפים.
• הודעת הפרטיות שלך מציינת איש קשר בבריטניה, שוויץ, ארה"ב או אחר שאינו האיחוד האירופי כאילו היה נציג סעיף 27 של האיחוד האירופי.
• הארגון שלך מינה נציג לפני הברקזיט או לפני ארגון מחדש של החברה, והמינוי לא נבדק מאז.
• אתה מסתמך על החריג "עיבוד מזדמן" מבלי שתיעד מדוע הוא באמת חל.

נקודת החריג ראויה לתשומת לב מיוחדת. סעיף 27 אינו חל בכל מקרה - ישנם פטורים, כולל עבור עיבוד מזדמן מסוים שאינו צפוי לסכן את זכויותיהם וחירויותיהם של אנשים ואינו כרוך בנתונים בקנה מידה גדול מקטגוריה מיוחדת או נתונים העוסקים בעבירות פליליות. אך יש להחיל חריג זה באופן מכוון ולתעד, ולא להניח אותו כברירת מחדל.

רשימת תיוג מעשית לציות לאחר החלטת Tiger Media

התגובה הנכונה לקנס AEPD זה אינה דחיפות כשלעצמה, אלא בדיקת תאימות ממוקדת. פערים בסעיף 27 בדרך כלל פשוטים לתיקון - ומכיוון שפרטים מייצגים מופיעים בהודעות פרטיות ציבוריות, הם ניתנים לאיתור במהירות על ידי רגולטורים, משתמשים, שותפים או מתלוננים.

• מיפוי פעילויות עיבוד הפונות לאיחוד האירופי. זהה היכן הארגון שלך מציע שירותים לאנשים באיחוד האירופי או מנטר התנהגות באיחוד האירופי.
• ודא אם יש לך מוסד באיחוד האירופי. אם לא, יש להעריך האם סעיף 3(2) מכניס את העיבוד לתחום התחום הטריטוריאלי של ה-GDPR.
• בדקו כל פטור בקפידה. אם אתם סבורים שסעיף 27 אינו חל, רשמו את ההנמקה ובקרו בה מחדש ככל שמודל העסקי ישתנה.
• בדוק את מיקום הנציג. הנציג חייב להיות מבוסס באיחוד האירופי.
• קבעו את הפגישה בכתב. הגדירו במפורש את היקף, חובות שיתוף הפעולה וזרימות העבודה של התגובה.
• עדכון הודעות לציבור. הודעות פרטיות צריכות לפרט פרטי קשר מדויקים ועדכניים ולהימנע מהפניות לא מעודכנות.
• יישור זרימות עבודה פנימיות. צוותי תמיכה, משפט, אבטחה ופרטיות צריכים לדעת כיצד לנתב תקשורת עם נושאי נתונים או עם רגולטורים באיחוד האירופי.
• שמרו על רישומים מעודכנים. רישומי עיבוד, תיעוד קובצי Cookie, הערכות של בסיס חוקי וקבצי ספקים צריכים להתאים למה שמצוין בהודעת הפרטיות.
• סקירה לאחר שינויים משמעותיים. יש לבדוק שוב את הפגישה לאחר שינויים הקשורים לברקזיט, מיזוגים, השקות מוצרים חדשים, הרחבת שוק או טכנולוגיות מעקב חדשות.

לא בטוח שהמינוי הנוכחי שלך יחזיק מעמד תחת ניתוח זה? DilicheckRep בוחן את הסדרי הנציגות של האיחוד האירופי מול סעיף 27, בודק את מיקומו של הנציג ואת המנדט שלו, ומסמן פערים לפני שרגולטור עושה זאת.

קבל סקירת ייצוג לפי סעיף 27 מ-DilicheckRep →

מה קנס AEPD זה מאותת על ציפיות הרגולטור בספרד

החלטת טייגר מדיה מאשרת כי אכיפת הגנת המידע בספרד מכסה הן סוגיות מהותיות של עיבוד מידע והן חובות ניהול. ה-AEPD לא התייחסה לדרישת נציג האיחוד האירופי כעניין טכני קטן: היא קבעה את הסנקציה לפי סעיף 27 על 50,000 אירו והורתה על צעדים מתקנים, כולל מינוי נציג תקף של האיחוד האירופי על ידי טייגר מדיה.

ההחלטה מבהירה גם כי תשלום והכרה באחריות אינם מסירים את החובה הבסיסית לתקן את הבעיה. ועדת AEPD הורתה ל-Tiger Media להודיע לסוכנות, תוך שלושה חודשים ממועד הפיכת ההחלטה לתקינה וניתנת לאכיפה, על אימוץ האמצעים המתקנים המתוארים בהחלטה.

הלקח המרכזי עבור עסקים שאינם מהאיחוד האירופי

החלטת טייגר מדיה מנסחת מחדש את סעיף 27 כשאלה מעשית של ממשל: אם החברה שלכם נמצאת מחוץ לאיחוד האירופי אך מגיעה או עוקבת אחר אנשים באיחוד האירופי, מי הוא נציג האיחוד האירופי התקף שלכם כיום - לא את מי אתם מתכננים למנות, לא מי היה רשום לפני שנים, ולא איש קשר שנמצא מחוץ לאיחוד, אלא הנציג שמונה כדין ומסוגל לפעול כעת.

שאלות נפוצות

מהי דרישת נציגות האיחוד האירופי לפי סעיף 27 בתקנת ה-GDPR? סעיף 27 לתקנת ה-GDPR מחייב בקרים ומעבדים שאין להם מוסד באיחוד האירופי, אך כפופים לתקנת ה-GDPR לפי סעיף 3(2), למנות בכתב נציג באיחוד, אלא אם כן חל חריג מצומצם.

כמה קנס נגזר על טייגר מדיה על ידי ה-AEPD? ה-AEPD אישרה סנקציות בסכום כולל של 120,000 אירו לפני הפחתות: 70,000 אירו עבור נושא במסגרת סעיף 6 בתקנת ה-GDPR ו-50,000 אירו עבור נושא במסגרת סעיף 27 בתקנת ה-GDPR. לאחר הפחתות בגין הכרה באחריות ותשלום מרצון, שילמה טייגר מדיה 72,000 אירו.

מדוע קבעה ה-AEPD כי נציג האיחוד האירופי של טייגר מדיה אינו תקף? הנציגה הרשומה של Tiger Media הייתה ממוקמת בצפון אירלנד, והחברה הצהירה שהיא בתהליך מינוי נציג במדינה חברה באיחוד האירופי. ה-AEPD הגיע למסקנה שמשמעות הדבר היא שאין נציג תקף של האיחוד האירופי כרגע.

אילו חברות שאינן חברות באיחוד האירופי צריכות למנות נציג מהאיחוד האירופי במסגרת ה-GDPR? חברות שאינן חברות באיחוד האירופי המציעות סחורות או שירותים לאנשים באיחוד האירופי, או עוקבות אחר התנהגותם שם, בדרך כלל נכללות במסגרת תקנת ה-GDPR לפי סעיף 3(2) וחייבות למנות נציג מהאיחוד האירופי אלא אם כן חל חריג מתועד.

DilicheckRep מספק ייצוג רגולטורי רשמי באיחוד האירופי ובבריטניה — כולל סעיף 27 בתקנות ה-GDPR, חוק הבינה המלאכותית של האיחוד האירופי, חוק השירותים הדיגיטליים, חוק הנתונים ושירותי נקודות קשר של NIS2 — עם תיעוד מנדט וטיפול מובנה בתקשורת עם נושאי נתונים ועם רשות.

בדוק את היקף הייצוג שלך באיחוד האירופי עם DilicheckRep

הצהרת אחריות: מדריך זה מסופק למטרות מידע כללי בלבד ואינו מהווה ייעוץ משפטי. יישום דרישות הגנת המידע של האיחוד האירופי ודרישות רגולטוריות אחרות תלוי בנסיבות הספציפיות של כל ארגון. עליך לקבל ייעוץ משפטי מתאים במידת הצורך לפני הסתמכות על מידע זה או קבלת החלטות בנוגע לציות.

הודעת בינה מלאכותית: מאמר זה הוכן על ידי מומחה פרטיות בסיוע בינה מלאכותית.