अंतिम अद्यतन: अगस्त 2026

केस स्टडी: GDPR के अनुच्छेद 27 के उल्लंघन के मामले में AEPD ने टाइगर मीडिया पर जुर्माना लगाया (EU प्रतिनिधि का उल्लंघन)

2025 में, स्पेनिश डेटा संरक्षण एजेंसी (AEPD) ने विज्ञापन से संबंधित डेटा प्रोसेसिंग और कंपनी द्वारा नियमों के अनुपालन की जांच के बाद टाइगर मीडिया इंक. के खिलाफ प्रतिबंधों की पुष्टि की। GDPR अनुच्छेद 27 यूरोपीय संघ प्रतिनिधि आवश्यकता. एईपीडी द्वारा लगाया गया यह जुर्माना उस बात की ठोस याद दिलाता है जिसे कई गैर-यूरोपीय संघ के व्यवसाय कम आंकते हैं: यूरोपीय संघ के प्रतिनिधि की नियुक्ति गोपनीयता नीति में छिपी कोई औपचारिकता नहीं है। यह एक लागू करने योग्य दायित्व है, और स्पेनिश डेटा संरक्षण प्रवर्तन एजेंसी इस पर कार्रवाई करने के लिए तैयार है।.

यह लेख इस निर्णय को 2025 के प्रवर्तन उदाहरण के रूप में देखता है (न कि ब्रेकिंग न्यूज़ के रूप में) और बताता है कि क्या गलत हुआ, एईपीडी ने टाइगर मीडिया के प्रतिनिधि समझौते को क्यों अस्वीकार किया, और इसके क्या परिणाम हुए। यूरोपीय संघ प्रतिनिधि आवश्यकता इसका अर्थ है कि अन्य गैर-यूरोपीय संघ संगठनों के लिए व्यवहार में क्या अर्थ है।.

टाइगर मीडिया मामले में क्या हुआ?

विज्ञापन प्रौद्योगिकियों के माध्यम से संसाधित व्यक्तिगत डेटा से जुड़े संभावित डेटा सुरक्षा मुद्दों की पहचान करने के बाद, एईपीडी ने प्रकाशकों और विज्ञापनदाताओं द्वारा उपयोग किए जाने वाले विज्ञापन प्लेटफॉर्म के संचालक टाइगर मीडिया इंक. की जांच की। अपने अंतिम निर्णय में (एईपीडी कार्यवाही पीएस/00480/2025एईपीडी ने दो अलग-अलग जुर्माने की पुष्टि की: अनुच्छेद 6 जीडीपीआर उल्लंघन के लिए €70,000 और अनुच्छेद 27 जीडीपीआर उल्लंघन के लिए €50,000, जिससे कटौती से पहले कुल राशि €120,000 हो गई। टाइगर मीडिया ने जिम्मेदारी स्वीकार करने और स्वैच्छिक भुगतान के लिए उपलब्ध कटौतियों का लाभ उठाया, जिससे भुगतान की गई अंतिम राशि €72,000 हो गई।.

अनुच्छेद 6 का भाग विज्ञापन प्लेटफॉर्म के माध्यम से की गई प्रोसेसिंग के कानूनी आधार से संबंधित था। अनुच्छेद 27 का भाग गैर-यूरोपीय संघ संगठनों का समर्थन करने वाली गोपनीयता टीमों के लिए महत्वपूर्ण सबक है क्योंकि यह प्रोसेसिंग विवरण के बजाय शासन पर आधारित है: क्या कंपनी का वास्तव में यूरोपीय संघ में विधिवत नियुक्त प्रतिनिधि था?

एईपीडी ने प्रतिनिधि को अमान्य क्यों माना?

एईपीडी की जांच के अनुसार, टाइगर मीडिया ने उत्तरी आयरलैंड में स्थित एक प्रतिनिधि की पहचान की थी और बताया था कि वह यूरोपीय संघ के किसी सदस्य देश में एक प्रतिस्थापन प्रतिनिधि नियुक्त करने की प्रक्रिया में है। एईपीडी ने निष्कर्ष निकाला कि परिणामस्वरूप, वर्तमान में टाइगर मीडिया के पास जीडीपीआर के उद्देश्यों के लिए कोई वैध यूरोपीय संघ प्रतिनिधि नहीं है।.

यह अंतर महत्वपूर्ण है। "प्रक्रियाधीन" प्रतिनिधि और विधिवत रूप से लिखित रूप में नियुक्त, सही क्षेत्र में स्थापित और यूरोपीय संघ के संपर्क बिंदु के रूप में कार्य करने के लिए उपलब्ध प्रतिनिधि में अंतर होता है। एईपीडी के प्रस्ताव में यह भी उल्लेख किया गया है कि टाइगर मीडिया कम से कम तीन स्पेनिश वेबसाइटों पर वयस्क विज्ञापन सेवाएं प्रदान करता है, जिससे प्रसंस्करण स्पेन में व्यक्तियों से जुड़ा हुआ है और अनुच्छेद 3(2) जीडीपीआर के तहत क्षेत्रीय-दायरे के विश्लेषण का समर्थन करता है।.

कंपनी द्वारा यूरोपीय संघ स्थित प्रतिनिधि नियुक्त करने के घोषित इरादे से भी इस निष्कर्ष पर कोई असर नहीं पड़ा। नियामक के दृष्टिकोण से, यह परिणाम अनुमानित था: अनुच्छेद 27 का दायित्व तभी लागू होता है जब प्रसंस्करण दायरे में आता है, न कि केवल जांच शुरू होने पर।.

अनुच्छेद 27 के तहत यूरोपीय संघ के प्रतिनिधि की आवश्यकता केवल एक संपर्क पते से कहीं अधिक है।

GDPR का अनुच्छेद 27 व्यापक रूप से उन मामलों में लागू होता है जहां नियंत्रक या संसाधक का यूरोपीय संघ में कोई प्रतिष्ठान नहीं है, लेकिन फिर भी वह अनुच्छेद 3(2) के तहत GDPR के अधीन है - आमतौर पर इसलिए क्योंकि वह यूरोपीय संघ के लोगों को वस्तुएं या सेवाएं प्रदान करता है या वहां उनके व्यवहार की निगरानी करता है। इन परिस्थितियों में, नियंत्रक या संसाधक को लिखित रूप में यूरोपीय संघ में एक प्रतिनिधि नियुक्त करना होगा, जब तक कि कोई सीमित अपवाद लागू न हो।.

एईपीडी ने स्पष्ट किया कि गैर-ईयू नियंत्रक या प्रोसेसर के प्रतिनिधि की भूमिका केवल संपर्क सूत्र तक सीमित नहीं है। इस भूमिका में पर्यवेक्षी अधिकारियों के साथ सहयोग और जवाबदेही संबंधी कार्यों में सहायता शामिल है, और एईपीडी ने यह भी कहा कि विधिवत नियुक्त प्रतिनिधि की अनुपस्थिति से जीडीपीआर अनुपालन प्रणाली समग्र रूप से प्रभावित हो सकती है।.

दायित्व की विस्तृत व्याख्या के लिए, देखें जीडीपीआर अनुच्छेद 27 यूरोपीय संघ प्रतिनिधि. विस्तृत जानकारी के लिए, देखें यूरोपीय संघ के डेटा संरक्षण प्रतिनिधि.

विज्ञापन और कुकी संदर्भ ने किस प्रकार इस अंतर को उजागर किया

हालांकि अनुच्छेद 27 का निष्कर्ष मुख्य निष्कर्ष है, व्यापक जांच विज्ञापन संबंधी प्रसंस्करण से शुरू हुई। एईपीडी ने विज्ञापन देने और मापने में प्लेटफॉर्म की भूमिका की समीक्षा की और डिवाइस विवरण, ऑपरेटिंग सिस्टम, ब्राउज़र जानकारी, आईपी पता, वेबसाइट और रेफरल यूआरएल, क्लिक, इंप्रेशन, आईपी-व्युत्पन्न स्थान और कुकी पहचानकर्ताओं सहित डेटा की श्रेणियों को रिकॉर्ड किया। एईपीडी ने प्लेटफॉर्म का उपयोग करने वाली वेबसाइटों पर बिना सहमति के कुकीज़ स्थापित किए जाने की भी पहचान की।.

एईपीडी प्रवर्तन में यह पैटर्न आम है: एक प्राधिकरण कुकीज़, सहमति या कानूनी आधार पर केंद्रित समीक्षा शुरू करता है, और फिर समीक्षा शासन दायित्वों तक विस्तारित होती है - जिसमें यह भी शामिल है कि क्या संगठन के पास एक वैध यूरोपीय संघ प्रतिनिधि मौजूद है।.

किसे यूरोपीय संघ में अपने प्रतिनिधि पद का पुनर्मूल्यांकन करना चाहिए?

यदि गैर-यूरोपीय संघ के संगठनों का यूरोपीय संघ में कोई प्रतिष्ठान नहीं है, लेकिन वे वेबसाइटों, ऐप्स, सब्सक्रिप्शन, SaaS प्लेटफॉर्म, मार्केटप्लेस, विज्ञापन, एनालिटिक्स या ट्रैकिंग तकनीकों के माध्यम से जानबूझकर यूरोपीय संघ के लोगों के साथ संपर्क करते हैं, तो उन्हें अनुच्छेद 27 के तहत अपनी स्थिति का पुनर्मूल्यांकन करना चाहिए। प्रासंगिक प्रश्न यह नहीं है कि कंपनी ब्रांडिंग के संदर्भ में "यूरोपीय" है या नहीं, बल्कि यह है कि क्या उसका प्रसंस्करण GDPR के क्षेत्रीय दायरे में आता है।.

समीक्षा करना विशेष रूप से तब उपयोगी होता है जब निम्नलिखित में से कोई भी स्थिति लागू होती है:

• आपकी वेबसाइट, ऐप या प्लेटफॉर्म स्पेन या अन्य यूरोपीय संघ के सदस्य देशों के उपयोगकर्ताओं के लिए उपलब्ध है और यह केवल निष्क्रिय रूप से सुलभ नहीं है।.
• आप भाषा, मुद्रा, विपणन अभियानों, शिपिंग विकल्पों, स्थानीय डोमेन, यूरोपीय संघ-केंद्रित ऑनबोर्डिंग या बिक्री गतिविधि के माध्यम से यूरोपीय संघ के उपयोगकर्ताओं को लक्षित करते हैं।.
• आप कुकीज़, पिक्सल, डिवाइस आइडेंटिफ़ायर, एनालिटिक्स, विज्ञापन मापन, धोखाधड़ी का पता लगाने, फ़्रीक्वेंसी कैपिंग या इसी तरह की तकनीकों के माध्यम से यूरोपीय संघ में व्यवहार की निगरानी करते हैं।.
• आप ग्राहकों, प्रकाशकों, विज्ञापनदाताओं या भागीदारों के लिए प्रोसेसर के रूप में यूरोपीय संघ के व्यक्तिगत डेटा को संसाधित करते हैं।.
• आपकी गोपनीयता सूचना में यूके, स्विस, यूएस या अन्य गैर-ईयू संपर्क व्यक्ति का नाम इस प्रकार दिया गया है मानो वह ईयू अनुच्छेद 27 का प्रतिनिधि हो।.
• आपके संगठन ने ब्रेक्सिट से पहले या कॉर्पोरेट पुनर्गठन से पहले एक प्रतिनिधि नियुक्त किया था, और उस नियुक्ति की तब से जांच नहीं की गई है।.
• आप "कभी-कभार होने वाली प्रोसेसिंग" के अपवाद पर भरोसा कर रहे हैं, जबकि आपने यह दस्तावेजी रूप से नहीं बताया है कि यह वास्तव में क्यों लागू होता है।.

अपवाद बिंदु पर विशेष ध्यान देने की आवश्यकता है। अनुच्छेद 27 हर मामले में लागू नहीं होता — कुछ अपवाद हैं, जिनमें कुछ ऐसे आकस्मिक प्रसंस्करण शामिल हैं जिनसे व्यक्तियों के अधिकारों और स्वतंत्रता को खतरा होने की संभावना नहीं है और जिनमें बड़े पैमाने पर विशेष श्रेणी या आपराधिक अपराध से संबंधित डेटा शामिल नहीं है। लेकिन इस अपवाद को सोच-समझकर लागू किया जाना चाहिए और दस्तावेजीकरण किया जाना चाहिए, न कि इसे डिफ़ॉल्ट मान लिया जाना चाहिए।.

टाइगर मीडिया निर्णय के बाद व्यावहारिक अनुपालन चेकलिस्ट

एईपीडी के इस जुर्माने का सही जवाब केवल तत्परता दिखाने के लिए नहीं, बल्कि एक केंद्रित अनुपालन जाँच है। अनुच्छेद 27 की कमियों को आमतौर पर दूर करना आसान होता है — और क्योंकि प्रतिनिधि विवरण सार्वजनिक गोपनीयता सूचनाओं में दिखाई देते हैं, इसलिए नियामक, उपयोगकर्ता, भागीदार या शिकायतकर्ता इन्हें जल्दी से पहचान सकते हैं।.

• यूरोपीय संघ से संबंधित प्रसंस्करण गतिविधियों का मानचित्र बनाएं।. यह बताएं कि आपका संगठन यूरोपीय संघ में लोगों को कहां सेवाएं प्रदान करता है या यूरोपीय संघ में व्यवहार की निगरानी करता है।.
• पुष्टि करें कि क्या आपका कोई यूरोपीय संघ प्रतिष्ठान है।. यदि नहीं, तो आकलन करें कि क्या अनुच्छेद 3(2) प्रसंस्करण को GDPR के क्षेत्रीय दायरे में लाता है।.
• किसी भी छूट की सावधानीपूर्वक जांच करें।. यदि आपको लगता है कि अनुच्छेद 27 लागू नहीं होता है, तो इसके पीछे के तर्क को दर्ज करें और व्यावसायिक मॉडल में बदलाव होने पर इस पर पुनर्विचार करें।.
• प्रतिनिधि के स्थान की जाँच करें।. प्रतिनिधि का यूरोपीय संघ में स्थापित होना अनिवार्य है।.
• नियुक्ति लिखित रूप में करवाएं।. कार्यक्षेत्र, सहयोग संबंधी कर्तव्यों और प्रतिक्रिया प्रक्रियाओं को स्पष्ट रूप से परिभाषित करें।.
• सार्वजनिक सूचनाओं को अपडेट करें।. गोपनीयता संबंधी सूचनाओं में सटीक और अद्यतन संपर्क विवरण शामिल होने चाहिए और पुराने संदर्भों से बचना चाहिए।.
• आंतरिक कार्यप्रवाहों को सुव्यवस्थित करें।. सहायता, कानूनी, सुरक्षा और गोपनीयता टीमों को यह पता होना चाहिए कि यूरोपीय संघ के डेटा-विषय या नियामक के संचार को कैसे निर्देशित किया जाए।.
• रिकॉर्ड को अद्यतन रखें।. प्रोसेसिंग के रिकॉर्ड, कुकी संबंधी दस्तावेज़, कानूनी आधार मूल्यांकन और विक्रेता फाइलें गोपनीयता सूचना में उल्लिखित बातों से मेल खानी चाहिए।.
• बड़े बदलावों के बाद समीक्षा करें।. ब्रेक्सिट से संबंधित परिवर्तनों, विलय, नए उत्पाद लॉन्च, बाजार विस्तार या नई ट्रैकिंग तकनीकों के बाद नियुक्ति की पुनः जांच करें।.

क्या आपको यकीन नहीं है कि इस विश्लेषण के तहत आपकी वर्तमान नियुक्ति सही साबित होगी? DilicheckRep अनुच्छेद 27 के तहत यूरोपीय संघ के प्रतिनिधि व्यवस्थाओं की समीक्षा करता है, प्रतिनिधि के स्थान और जनादेश की जांच करता है, और नियामक द्वारा कार्रवाई करने से पहले ही कमियों को उजागर करता है।.

DilicheckRep से अनुच्छेद 27 प्रतिनिधित्व समीक्षा प्राप्त करें →

एईपीडी द्वारा लगाया गया यह जुर्माना स्पेन में नियामकों की अपेक्षाओं के बारे में क्या संकेत देता है?

टाइगर मीडिया के फैसले से यह पुष्टि होती है कि स्पेन में डेटा सुरक्षा प्रवर्तन में प्रसंस्करण संबंधी ठोस मुद्दे और शासन संबंधी दायित्व दोनों शामिल हैं। एईपीडी ने यूरोपीय संघ के प्रतिनिधि की आवश्यकता को मामूली तकनीकी खामी नहीं माना: उसने अनुच्छेद 27 के तहत 50,000 यूरो का जुर्माना निर्धारित किया और सुधारात्मक उपायों का आदेश दिया, जिसमें टाइगर मीडिया द्वारा एक वैध यूरोपीय संघ प्रतिनिधि की नियुक्ति करना भी शामिल है।.

इस प्रस्ताव में यह भी स्पष्ट किया गया है कि भुगतान और जिम्मेदारी की स्वीकृति से समस्या को ठीक करने का मूल दायित्व समाप्त नहीं होता है। एईपीडी ने टाइगर मीडिया को आदेश दिया है कि प्रस्ताव के अंतिम और लागू होने के तीन महीने के भीतर एजेंसी को सूचित करे कि उसने निर्णय में वर्णित सुधारात्मक उपायों को अपना लिया है।.

गैर-यूरोपीय संघ के व्यवसायों के लिए मुख्य निष्कर्ष

टाइगर मीडिया के फैसले ने अनुच्छेद 27 को एक व्यावहारिक शासन प्रश्न के रूप में पुनर्परिभाषित किया है: यदि आपकी कंपनी यूरोपीय संघ से बाहर है लेकिन यूरोपीय संघ में लोगों तक पहुंचती है या उनकी निगरानी करती है, तो आज आपका वैध यूरोपीय संघ प्रतिनिधि कौन है - वह नहीं जिसे आप नियुक्त करने की योजना बना रहे हैं, वह नहीं जिसे वर्षों पहले सूचीबद्ध किया गया था, और न ही संघ के बाहर स्थित कोई संपर्क व्यक्ति, बल्कि वह प्रतिनिधि जिसे विधिवत नियुक्त किया गया है और जो अभी कार्य करने में सक्षम है।.

अक्सर पूछे जाने वाले प्रश्नों

GDPR के अनुच्छेद 27 के तहत यूरोपीय संघ के प्रतिनिधि की आवश्यकता क्या है? GDPR अनुच्छेद 27 के अनुसार, यूरोपीय संघ में कोई प्रतिष्ठान न रखने वाले नियंत्रकों और प्रोसेसरों को, लेकिन जो अनुच्छेद 3(2) के तहत GDPR के अधीन हैं, संघ में लिखित रूप में एक प्रतिनिधि को नामित करना होगा, जब तक कि कोई सीमित अपवाद लागू न हो।.

टाइगर मीडिया पर एईपीडी द्वारा कितना जुर्माना लगाया गया? एईपीडी ने कटौती से पहले कुल €120,000 के जुर्माने की पुष्टि की: अनुच्छेद 6 जीडीपीआर उल्लंघन के लिए €70,000 और अनुच्छेद 27 जीडीपीआर उल्लंघन के लिए €50,000। जिम्मेदारी स्वीकार करने और स्वैच्छिक भुगतान के लिए कटौती के बाद, टाइगर मीडिया ने €72,000 का भुगतान किया।.

एईपीडी ने टाइगर मीडिया के यूरोपीय संघ प्रतिनिधि को अमान्य क्यों पाया? टाइगर मीडिया का सूचीबद्ध प्रतिनिधि उत्तरी आयरलैंड में स्थित था, और कंपनी ने बताया कि वह यूरोपीय संघ के सदस्य देश में प्रतिनिधि नियुक्त करने की प्रक्रिया में है। एईपीडी ने निष्कर्ष निकाला कि इसका मतलब है कि वर्तमान में कोई वैध यूरोपीय संघ प्रतिनिधि मौजूद नहीं है।.

किन गैर-यूरोपीय संघ कंपनियों को GDPR के तहत यूरोपीय संघ के प्रतिनिधि को नियुक्त करने की आवश्यकता है? गैर-ईयू कंपनियां जो ईयू में लोगों को सामान या सेवाएं प्रदान करती हैं, या वहां उनके व्यवहार की निगरानी करती हैं, आम तौर पर अनुच्छेद 3 (2) के तहत जीडीपीआर के क्षेत्रीय दायरे में आती हैं और उन्हें एक ईयू प्रतिनिधि नियुक्त करना होगा जब तक कि कोई दस्तावेजी अपवाद लागू न हो।.

DilicheckRep यूरोपीय संघ और ब्रिटेन में औपचारिक नियामक प्रतिनिधित्व प्रदान करता है। — जिसमें GDPR का अनुच्छेद 27, EU AI अधिनियम, डिजिटल सेवा अधिनियम, डेटा अधिनियम और NIS2 संपर्क-बिंदु सेवाएं शामिल हैं — जनादेश दस्तावेज़ीकरण और प्राधिकरण तथा डेटा विषय संचार के संरचित प्रबंधन के साथ।.

DilicheckRep के साथ अपने यूरोपीय संघ प्रतिनिधित्व के दायरे की समीक्षा करें।

अस्वीकरण: यह मार्गदर्शिका केवल सामान्य जानकारी के लिए प्रदान की गई है और इसे कानूनी सलाह नहीं माना जाना चाहिए। यूरोपीय संघ के डेटा संरक्षण और अन्य नियामक आवश्यकताओं का अनुप्रयोग प्रत्येक संगठन की विशिष्ट परिस्थितियों पर निर्भर करता है। इस जानकारी पर भरोसा करने या अनुपालन संबंधी निर्णय लेने से पहले, जहां आवश्यक हो, उचित कानूनी सलाह अवश्य लें।.

एआई सूचना: यह लेख गोपनीयता विशेषज्ञ द्वारा एआई की सहायता से तैयार किया गया है।.