Studi Kasus: AEPD Mendenda Tiger Media Karena Kekurangan Perwakilan Uni Eropa Berdasarkan Pasal 27 GDPR

Terakhir diperbarui: Agustus 2026

Studi Kasus: AEPD Mendenda Tiger Media Karena Kekurangan Perwakilan Uni Eropa Berdasarkan Pasal 27 GDPR

Pada tahun 2025, Badan Perlindungan Data Spanyol (AEPD) mengkonfirmasi sanksi terhadap Tiger Media Inc. setelah penyelidikan terhadap pemrosesan data terkait periklanan dan kepatuhan perusahaan terhadap peraturan yang berlaku. Persyaratan perwakilan Uni Eropa berdasarkan Pasal 27 GDPR. Denda dari AEPD ini merupakan pengingat nyata tentang poin yang sering diremehkan oleh banyak bisnis non-Uni Eropa: menunjuk perwakilan Uni Eropa bukanlah formalitas yang terkubur dalam kebijakan privasi. Ini adalah kewajiban yang dapat ditegakkan, dan penegakan perlindungan data Spanyol siap untuk bertindak sesuai dengan hal tersebut.

Artikel ini memperlakukan keputusan tersebut sebagai contoh penegakan hukum tahun 2025 (bukan berita baru) dan menjelaskan apa yang salah, mengapa AEPD menolak pengaturan perwakilan Tiger Media, dan apa yang akan terjadi selanjutnya. Persyaratan perwakilan Uni Eropa artinya dalam praktiknya bagi organisasi non-Uni Eropa lainnya.

Apa yang Terjadi dalam Kasus Tiger Media?

AEPD menyelidiki Tiger Media Inc., operator platform periklanan yang digunakan oleh penerbit dan pengiklan, setelah mengidentifikasi potensi masalah perlindungan data yang terkait dengan data pribadi yang diproses melalui teknologi periklanan. Dalam resolusi akhirnya (Proses AEPD PS/00480/2025), AEPD mengkonfirmasi dua sanksi terpisah: €70.000 untuk masalah Pasal 6 GDPR dan €50.000 untuk masalah Pasal 27 GDPR, sehingga totalnya menjadi €120.000 sebelum pengurangan. Tiger Media menerapkan pengurangan yang tersedia untuk pengakuan tanggung jawab dan pembayaran sukarela, sehingga jumlah akhir yang dibayarkan menjadi €72.000.

Unsur Pasal 6 berkaitan dengan dasar hukum untuk pemrosesan yang dilakukan melalui platform periklanan. Unsur Pasal 27 adalah pelajaran kunci bagi tim privasi yang mendukung organisasi non-UE karena hal itu bergantung pada tata kelola daripada detail pemrosesan: apakah perusahaan tersebut benar-benar memiliki perwakilan di UE, yang ditunjuk dengan benar?

Mengapa AEPD Menganggap Perwakilan Tersebut Tidak Sah

Menurut temuan AEPD, Tiger Media telah mengidentifikasi seorang perwakilan yang berlokasi di Irlandia Utara dan menyatakan bahwa mereka sedang dalam proses menunjuk perwakilan pengganti di Negara Anggota Uni Eropa. AEPD menyimpulkan bahwa, sebagai akibatnya, Tiger Media saat ini tidak memiliki perwakilan Uni Eropa yang sah untuk tujuan GDPR.

Perbedaan ini penting. Perwakilan yang “dalam proses” tidak sama dengan perwakilan yang ditunjuk secara sah dalam bentuk tertulis, berkedudukan di wilayah yang tepat, dan tersedia untuk bertindak sebagai titik kontak yang berhadapan dengan Uni Eropa. Resolusi AEPD juga mencatat bahwa Tiger Media menawarkan layanan iklan dewasa di setidaknya tiga situs web Spanyol, yang menghubungkan pemrosesan tersebut dengan individu di Spanyol dan mendukung analisis ruang lingkup teritorial berdasarkan Pasal 3(2) GDPR.

Niat perusahaan yang dinyatakan untuk menunjuk perwakilan yang berbasis di Uni Eropa tidak mencegah temuan tersebut. Dari perspektif regulator, hasil tersebut dapat diprediksi: kewajiban Pasal 27 berlaku begitu pemrosesan termasuk dalam cakupan, bukan hanya begitu investigasi sedang berlangsung.

Persyaratan Perwakilan Uni Eropa Pasal 27 Lebih dari Sekadar Alamat Kontak

Pasal 27 GDPR berlaku, secara luas, apabila pengendali atau pengolah data tidak memiliki kantor di Uni Eropa tetapi tetap tunduk pada GDPR berdasarkan Pasal 3(2) — biasanya karena menawarkan barang atau jasa kepada orang-orang di Uni Eropa atau memantau perilaku mereka di sana. Dalam keadaan tersebut, pengendali atau pengolah data harus menunjuk, secara tertulis, seorang perwakilan di Uni Eropa, kecuali berlaku pengecualian yang lebih sempit.

AEPD secara eksplisit menyatakan bahwa perwakilan untuk pengendali atau pengolah data non-UE bukan sekadar titik kontak. Peran tersebut mencakup kerja sama dengan otoritas pengawas dan dukungan untuk operasi akuntabilitas, dan AEPD mencatat bahwa ketiadaan perwakilan yang ditunjuk dengan benar dapat memengaruhi sistem kepatuhan GDPR secara keseluruhan.

Untuk penjelasan yang lebih lengkap mengenai kewajiban tersebut, lihat Perwakilan Uni Eropa Pasal 27 GDPR. Untuk informasi latar belakang yang lebih luas, lihat... Perwakilan perlindungan data Uni Eropa.

Bagaimana Konteks Periklanan dan Cookie Mengungkap Kesenjangan Tersebut

Meskipun temuan Pasal 27 merupakan pelajaran utama, investigasi yang lebih luas dimulai dengan pemrosesan terkait periklanan. AEPD meninjau peran platform dalam menyampaikan dan mengukur iklan serta mencatat kategori data termasuk detail perangkat, sistem operasi, informasi peramban, alamat IP, URL situs web dan rujukan, klik, tayangan, lokasi yang diperoleh dari IP, dan pengidentifikasi cookie. AEPD juga mengidentifikasi cookie yang dipasang tanpa persetujuan di situs web yang menggunakan platform tersebut.

Pola ini umum terjadi dalam penegakan AEPD: otoritas membuka tinjauan yang berfokus pada cookie, persetujuan, atau dasar hukum, dan tinjauan tersebut kemudian meluas ke kewajiban tata kelola — termasuk apakah organisasi tersebut memiliki perwakilan Uni Eropa yang sah.

Siapa yang Harus Menilai Kembali Posisi Perwakilan Uni Eropa Mereka

Organisasi non-UE harus menilai kembali posisi mereka berdasarkan Pasal 27 jika mereka tidak memiliki kantor cabang di UE tetapi secara sengaja berinteraksi dengan orang-orang di UE melalui situs web, aplikasi, langganan, platform SaaS, pasar online, periklanan, analitik, atau teknologi pelacakan. Pertanyaan yang relevan bukanlah apakah perusahaan tersebut "Eropa" dalam hal merek, tetapi apakah pemrosesan datanya termasuk dalam cakupan teritorial GDPR.

Peninjauan sangat bermanfaat jika salah satu dari hal berikut berlaku:

  • Situs web, aplikasi, atau platform Anda tersedia bagi pengguna di Spanyol atau Negara Anggota Uni Eropa lainnya dan tidak hanya dapat diakses secara pasif.
  • Anda menargetkan pengguna Uni Eropa melalui bahasa, mata uang, kampanye pemasaran, opsi pengiriman, domain lokal, proses pendaftaran yang berfokus pada Uni Eropa, atau aktivitas penjualan.
  • Anda memantau perilaku di Uni Eropa melalui cookie, piksel, pengidentifikasi perangkat, analitik, pengukuran iklan, deteksi penipuan, pembatasan frekuensi, atau teknologi serupa.
  • Anda memproses data pribadi Uni Eropa sebagai pengolah data untuk klien, penerbit, pengiklan, atau mitra.
  • Pemberitahuan privasi Anda menyebutkan kontak dari Inggris, Swiss, AS, atau negara non-UE lainnya seolah-olah itu adalah perwakilan Pasal 27 UE.
  • Organisasi Anda menunjuk seorang perwakilan sebelum Brexit atau sebelum restrukturisasi perusahaan, dan penunjukan tersebut belum diperiksa sejak saat itu.
  • Anda mengandalkan pengecualian "pemrosesan sesekali" tanpa mendokumentasikan mengapa pengecualian tersebut benar-benar berlaku.

Poin pengecualian ini perlu mendapat perhatian khusus. Pasal 27 tidak berlaku dalam setiap kasus — ada pengecualian, termasuk untuk pemrosesan insidental tertentu yang kecil kemungkinannya membahayakan hak dan kebebasan individu dan tidak melibatkan data kategori khusus skala besar atau data tindak pidana. Namun, pengecualian tersebut harus diterapkan secara sengaja dan didokumentasikan, bukan diasumsikan secara otomatis.

Daftar Periksa Kepatuhan Praktis Setelah Keputusan Tiger Media

Tanggapan yang tepat terhadap denda AEPD ini bukanlah urgensi demi urgensi semata, melainkan pemeriksaan kepatuhan yang terfokus. Celah Pasal 27 biasanya mudah diperbaiki — dan karena detail yang representatif muncul dalam pemberitahuan privasi publik, celah tersebut dapat dengan cepat ditemukan oleh regulator, pengguna, mitra, atau pengadu.

  • Petakan aktivitas pemrosesan yang berorientasi pada Uni Eropa. Identifikasi di mana organisasi Anda menawarkan layanan kepada orang-orang di Uni Eropa atau memantau perilaku di Uni Eropa.
  • Konfirmasikan apakah Anda memiliki kantor cabang di Uni Eropa. Jika tidak, nilai apakah Pasal 3(2) membawa pemrosesan tersebut ke dalam cakupan teritorial GDPR.
  • Uji setiap pengecualian dengan cermat. Jika Anda yakin Pasal 27 tidak berlaku, catat alasannya dan tinjau kembali seiring perubahan model bisnis.
  • Periksa lokasi perwakilan tersebut. Perwakilan tersebut harus berkedudukan di Uni Eropa.
  • Buat janji temu secara tertulis. Definisikan ruang lingkup, tugas kerja sama, dan alur kerja respons secara eksplisit.
  • Perbarui pengumuman publik. Pemberitahuan privasi harus mencantumkan detail kontak yang akurat dan terkini serta menghindari referensi yang sudah usang.
  • Menyelaraskan alur kerja internal. Tim dukungan, hukum, keamanan, dan privasi harus mengetahui cara mengarahkan komunikasi subjek data atau regulator Uni Eropa.
  • Pastikan catatan selalu diperbarui. Catatan pemrosesan, dokumentasi cookie, penilaian dasar hukum, dan file vendor harus sesuai dengan apa yang dinyatakan dalam pemberitahuan privasi.
  • Lakukan peninjauan setelah perubahan besar. Periksa kembali janji temu setelah perubahan terkait Brexit, merger, peluncuran produk baru, ekspansi pasar, atau teknologi pelacakan baru.

Tidak yakin apakah penunjukan Anda saat ini akan lolos analisis ini? DilicheckRep meninjau pengaturan perwakilan Uni Eropa berdasarkan Pasal 27, memeriksa lokasi dan mandat perwakilan, dan menandai celah sebelum regulator melakukannya.

Dapatkan ulasan representasi Pasal 27 dari DilicheckRep →

Apa yang Disindir Denda AEPD Ini Tentang Ekspektasi Regulator di Spanyol?

Keputusan Tiger Media menegaskan bahwa penegakan perlindungan data di Spanyol mencakup baik masalah pemrosesan substantif maupun kewajiban tata kelola. AEPD tidak menganggap persyaratan perwakilan Uni Eropa sebagai hal teknis kecil: mereka menetapkan sanksi Pasal 27 sebesar €50.000 dan memerintahkan tindakan korektif, termasuk agar Tiger Media menunjuk perwakilan Uni Eropa yang sah.

Resolusi tersebut juga memperjelas bahwa pembayaran dan pengakuan tanggung jawab tidak menghilangkan kewajiban mendasar untuk memperbaiki masalah tersebut. AEPD memerintahkan Tiger Media untuk memberitahukan kepada lembaga tersebut, dalam waktu tiga bulan sejak resolusi tersebut menjadi tetap dan dapat diberlakukan, tentang penerapan langkah-langkah perbaikan yang dijelaskan dalam keputusan tersebut.

Poin Penting bagi Bisnis di Luar Uni Eropa

Keputusan Tiger Media merumuskan kembali Pasal 27 sebagai pertanyaan tata kelola praktis: jika perusahaan Anda berada di luar Uni Eropa tetapi menjangkau atau memantau orang-orang di Uni Eropa, siapa perwakilan Uni Eropa Anda yang sah saat ini — bukan orang yang Anda rencanakan untuk tunjuk, bukan orang yang terdaftar bertahun-tahun yang lalu, dan bukan kontak yang berlokasi di luar Uni Eropa, tetapi perwakilan yang ditunjuk dengan benar dan dapat bertindak sekarang.

Pertanyaan yang Sering Diajukan

Apa persyaratan perwakilan Uni Eropa berdasarkan Pasal 27 GDPR? Pasal 27 GDPR mewajibkan pengendali dan pengolah data yang tidak memiliki kantor di Uni Eropa, tetapi tunduk pada GDPR berdasarkan Pasal 3(2), untuk menunjuk perwakilan di Uni Eropa secara tertulis, kecuali berlaku pengecualian yang sempit.

Berapa besar denda yang dikenakan AEPD kepada Tiger Media? AEPD mengkonfirmasi sanksi total sebesar €120.000 sebelum pengurangan: €70.000 untuk masalah Pasal 6 GDPR dan €50.000 untuk masalah Pasal 27 GDPR. Setelah pengurangan karena pengakuan tanggung jawab dan pembayaran sukarela, Tiger Media membayar €72.000.

Mengapa AEPD menyatakan perwakilan Tiger Media di Uni Eropa tidak sah? Perwakilan resmi Tiger Media terdaftar di Irlandia Utara, dan perusahaan tersebut menyatakan sedang dalam proses menunjuk perwakilan di Negara Anggota Uni Eropa. AEPD menyimpulkan bahwa ini berarti saat ini tidak ada perwakilan Uni Eropa yang sah.

Perusahaan non-Uni Eropa mana yang perlu menunjuk perwakilan Uni Eropa berdasarkan GDPR? Perusahaan non-UE yang menawarkan barang atau jasa kepada orang-orang di UE, atau memantau perilaku mereka di sana, umumnya termasuk dalam cakupan teritorial GDPR berdasarkan Pasal 3(2) dan harus menunjuk perwakilan UE kecuali berlaku pengecualian yang didokumentasikan.

DilicheckRep menyediakan representasi regulasi resmi Uni Eropa dan Inggris. — termasuk Pasal 27 GDPR, Undang-Undang AI Uni Eropa, Undang-Undang Layanan Digital, Undang-Undang Data, dan layanan titik kontak NIS2 — dengan dokumentasi mandat dan penanganan terstruktur atas komunikasi otoritas dan subjek data.

Tinjau ruang lingkup perwakilan Uni Eropa Anda dengan DilicheckRep.

Penafian: Panduan ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat hukum. Penerapan perlindungan data Uni Eropa dan persyaratan peraturan lainnya bergantung pada keadaan spesifik masing-masing organisasi. Anda harus mendapatkan nasihat hukum yang sesuai jika diperlukan sebelum mengandalkan informasi ini atau membuat keputusan kepatuhan.

Pemberitahuan AI: Artikel ini disusun oleh pakar Privasi dengan bantuan AI.