事例研究：AEPDがGDPR第27条のEU代表権の不備を理由にタイガーメディアに罰金を科す

最終更新日：2026年8月

事例研究：AEPDがGDPR第27条のEU代表権の不備を理由にタイガーメディアに罰金を科す

2025年、スペインデータ保護庁（AEPD）は、広告関連データ処理とタイガーメディア社の法令遵守に関する調査の結果、同社に対する制裁を確定した。 GDPR第27条 EU代表者要件. 今回のAEPDによる罰金は、多くの非EU企業が見落としがちな点を具体的に示すものだ。EU代表者の任命は、プライバシーポリシーの中に紛れ込ませた形式的な手続きではなく、法的拘束力のある義務であり、スペインのデータ保護当局はそれに基づいて行動する用意がある。.

この記事では、この決定を2025年の執行事例（速報ではない）として扱い、何が問題だったのか、AEPDがTiger Mediaの代表契約を拒否した理由、そして EU代表者の要件 これは、実際には他の非EU組織にも当てはまることを意味する。.

タイガー・メディア事件で何が起こったのか

AEPDは、広告技術を通じて処理される個人データに関連する潜在的なデータ保護上の問題を特定した後、出版社や広告主が使用する広告プラットフォームの運営者であるTiger Media Inc.を調査した。最終決議では（AEPD手続PS/00480/2025）、AEPDは、GDPR第6条違反で7万ユーロ、GDPR第27条違反で5万ユーロの2つの制裁を確定し、減額前の合計は12万ユーロとなった。Tiger Mediaは、責任の認識と自主的な支払いによる減額を適用し、最終的な支払額は7万2000ユーロとなった。.

第6条の要素は、広告プラットフォームを通じて行われる処理の法的根拠に関するものでした。第27条の要素は、処理の詳細ではなくガバナンスに関わるため、EU域外の組織を支援するプライバシーチームにとって重要な教訓となります。つまり、その企業は実際にEU域内に適切に任命された代表者を置いていたかどうかが問われるのです。

AEPDが代表者を無効と判断した理由

AEPDの調査結果によると、タイガーメディアは北アイルランドに代理人を置いていると述べており、EU加盟国に代替代理人を任命する手続きを進めているとしていた。AEPDは、その結果、タイガーメディアは現在、GDPRの目的上有効なEU代理人を有していないと結論付けた。.

この区別は重要です。「手続き中」の代理人は、書面で正式に任命され、適切な地域に拠点を置き、EUとの連絡窓口として活動できる代理人とは異なります。AEPDの決議では、Tiger Mediaが少なくとも3つのスペインのウェブサイトで成人向け広告サービスを提供し、処理がスペインの個人と関連付けられ、GDPR第3条(2)に基づく地域範囲分析を裏付けていることも指摘されています。.

同社がEU域内に代理人を任命する意向を表明していたにもかかわらず、今回の調査結果は覆らなかった。規制当局の立場からすれば、この結果は予測可能だ。第27条の義務は、調査が開始された後だけでなく、処理が対象範囲内に入った時点で適用されるからである。.

EU第27条の代表者要件は、単なる連絡先住所以上の意味を持つ。

GDPR第27条は、管理者または処理者がEU域内に事業所を有しない場合でも、第3条(2)に基づきGDPRの適用を受ける場合に広く適用されます。これは通常、EU域内の人々に商品やサービスを提供したり、EU域内での人々の行動を監視したりする場合に該当します。このような場合、管理者または処理者は、例外規定が適用される場合を除き、EU域内に代理人を文書で指定しなければなりません。.

AEPDは、EU域外の管理者または処理者の代理人は単なる連絡窓口ではないことを明確にした。その役割には、監督当局との協力や説明責任業務の支援が含まれ、AEPDは、適切に任命された代理人がいないと、GDPR遵守システム全体に影響を与える可能性があると指摘した。.

義務の詳細については、以下を参照してください。 GDPR第27条 EU代表. より詳しい背景については、以下を参照してください。 EUデータ保護代表者.

広告とクッキーのコンテキストがどのようにしてギャップを浮き彫りにしたか

第27条の調査結果が中心的な教訓ではあるものの、より広範な調査は広告関連の処理から始まった。AEPDは、広告の配信と測定におけるプラットフォームの役割を検証し、デバイスの詳細、オペレーティングシステム、ブラウザ情報、IPアドレス、ウェブサイトと参照元URL、クリック数、インプレッション数、IPアドレスから取得した位置情報、Cookie識別子などのデータカテゴリを記録した。AEPDはまた、プラットフォームを利用するウェブサイトで、同意なしにCookieがインストールされていることを特定した。.

このパターンはAEPDの執行においてよく見られるもので、当局がクッキー、同意、または法的根拠に焦点を当てた調査を開始し、その後、組織が有効なEU代表者を配置しているかどうかを含むガバナンス上の義務へと調査が拡大していく。.

EU代表としての立場を見直すべき人は誰か

EU域外の組織は、EU域内に事業所を持たないものの、ウェブサイト、アプリ、サブスクリプション、SaaSプラットフォーム、マーケットプレイス、広告、分析、またはトラッキング技術を通じて意図的にEU域内の人々と交流している場合、GDPR第27条に基づく自社の立場を再検討する必要があります。重要なのは、その企業がブランド名において「ヨーロッパ的」であるかどうかではなく、そのデータ処理がGDPRの適用範囲内にあるかどうかです。.

以下のような場合は、レビューを行う価値が特に高いです。

  • 貴社のウェブサイト、アプリ、またはプラットフォームは、スペインまたはその他のEU加盟国のユーザーが利用可能であり、単に受動的にアクセスできるだけではありません。.
  • 言語、通貨、マーケティングキャンペーン、配送オプション、ローカルドメイン、EU向けオンボーディング、または販売活動を通じて、EUユーザーをターゲットにします。.
  • お客様は、Cookie、ピクセル、デバイス識別子、分析、広告測定、不正検出、フリークエンシーキャップ、または類似の技術を通じて、EU域内での行動を監視します。.
  • あなたは、クライアント、出版社、広告主、またはパートナーのために、処理者としてEUの個人データを処理します。.
  • 貴社のプライバシー通知では、英国、スイス、米国、またはその他のEU域外の連絡先を、あたかもEU第27条の代表者であるかのように記載しています。.
  • 貴社は、ブレグジット前または企業再編前に代表者を任命しましたが、その後、その任命状況は確認されていません。.
  • あなたは「一時的な処理」という例外規定に依拠していますが、それが実際に適用される理由を文書化していません。.

例外規定については特に注意が必要です。第27条はあらゆる場合に適用されるわけではなく、例外規定が存在します。例外規定には、個人の権利と自由を侵害する可能性が低く、大規模な特別カテゴリーデータや犯罪データに関係しない、特定の偶発的な処理が含まれます。しかし、この例外規定は、当然のこととして適用されるのではなく、意図的に適用され、文書化されるべきです。.

タイガーメディア判決後の実践的なコンプライアンスチェックリスト

このAEPD罰金への適切な対応は、緊急性を追求することではなく、的を絞ったコンプライアンスチェックです。第27条の不備は通常、簡単に修正できます。また、代表的な詳細は公開されているプライバシー通知に記載されているため、規制当局、ユーザー、パートナー、苦情申し立て者などが迅速に発見できます。.

  • EU向け処理活動をマッピングする。. 貴組織がEU域内の人々にサービスを提供している場所、またはEU域内の行動を監視している場所を特定してください。.
  • 貴社がEU域内に事業所を有しているかどうかをご確認ください。. そうでない場合は、第3条(2)により当該処理がGDPRの適用範囲内に入るかどうかを評価してください。.
  • 免除規定については、慎重に検証してください。. 第27条が適用されないと考える場合は、その理由を記録し、事業モデルの変更に伴い再検討してください。.
  • 担当者の所在地を確認してください。. 代表者はEU域内に拠点を置いていなければならない。.
  • 予約は書面で行ってください。. 業務範囲、協力義務、および対応ワークフローを明確に定義する。.
  • 公示を更新する。. プライバシーに関する通知には、正確で最新の連絡先情報を記載し、古い情報の使用は避けるべきです。.
  • 社内ワークフローを整合させる。. サポート、法務、セキュリティ、プライバシーの各チームは、EUのデータ主体または規制当局からの連絡をどのように処理すべきかを把握しておく必要がある。.
  • 記録は常に最新の状態に保ってください。. 処理記録、クッキーに関する文書、法的根拠の評価、およびベンダーファイルは、プライバシー通知に記載されている内容と一致している必要があります。.
  • 大幅な変更後の見直し。. Brexit関連の変更、合併、新製品の発売、市場拡大、または新しい追跡技術の導入後は、任命内容を再確認してください。.

あなたの現在の任命がこの分析に耐えられるかどうか、確信が持てませんか？ DilicheckRepは、EUの代理人制度を第27条に照らして審査し、代理人の所在地と権限を確認し、規制当局が指摘する前に問題点を洗い出します。.

DilicheckRepから第27条に基づく代理人選任に関するレビューを受けましょう →

このAEPD罰金がスペインの規制当局の期待について示唆すること

Tiger Mediaに対する判決は、スペインにおけるデータ保護の執行が、実質的な処理問題とガバナンス上の義務の両方を網羅していることを改めて確認するものである。スペインデータ保護庁（AEPD）は、EU代表者の要件を些細な技術的な問題として扱わず、第27条に基づく制裁金を5万ユーロに設定し、Tiger Mediaに対し、有効なEU代表者を配置することを含む是正措置を命じた。.

この決議では、賠償金の支払いと責任の承認によって、問題解決という根本的な義務が免除されるわけではないことも明確にされている。AEPDは、タイガーメディアに対し、決議が確定し執行可能となった日から3か月以内に、決議に記載された是正措置の実施状況をAEPDに通知するよう命じた。.

EU域外企業にとっての重要なポイント

タイガーメディア判決は、第27条を実務的なガバナンスの問題として再定義した。つまり、あなたの会社がEU域外に所在しながらもEU域内の人々に接触したり、監視したりする場合、今日あなたの有効なEU代表者は誰なのか、つまり、あなたが任命しようとしている人物でも、何年も前にリストアップされた人物でも、EU域外にいる連絡先でもなく、現在適切に任命され、行動できる代表者なのか、という問題である。.

よくある質問

GDPR第27条におけるEU代理人要件とは何ですか？ GDPR第27条は、EU域内に拠点を持たないが、第3条(2)に基づきGDPRの適用を受ける管理者および処理者に対し、限定的な例外が適用される場合を除き、EU域内に代表者を文書で指定することを義務付けている。.

タイガーメディアはAEPDからいくらの罰金を科せられたのか？ AEPDは、減額前の制裁金総額12万ユーロを確認した。内訳は、GDPR第6条違反で7万ユーロ、GDPR第27条違反で5万ユーロ。責任の承認と自主的な支払いによる減額後、タイガーメディアは7万2000ユーロを支払った。.

AEPDがタイガーメディアのEU代理人を無効と判断した理由は？ タイガーメディアの登記上の代表者は北アイルランドに所在しており、同社はEU加盟国に代表者を任命する手続きを進めていると述べていた。AEPDは、これは有効なEU代表者が現在存在しないことを意味すると結論付けた。.

GDPRに基づき、EU域外の企業のうち、EU代表者を任命する必要があるのはどの企業ですか？ EU域外の企業がEU域内の人々に商品やサービスを提供したり、EU域内での人々の行動を監視したりする場合、一般的にGDPR第3条(2)に基づきその適用範囲に含まれるため、文書化された例外が適用される場合を除き、EU代表者を任命しなければなりません。.

DilicheckRepはEUおよび英国の正式な規制代理業務を提供します —GDPR第27条、EU人工知能法、デジタルサービス法、データ保護法、NIS2コンタクトポイントサービスを含む—委任文書および権限者とデータ主体間のコミュニケーションの構造化された処理。.

DilicheckRepでEUにおける代理業務の範囲を確認してください。

免責事項：本ガイドは一般的な情報提供のみを目的としており、法的助言を構成するものではありません。EUのデータ保護およびその他の規制要件の適用は、各組織の具体的な状況によって異なります。本情報に依拠したり、法令遵守に関する決定を下したりする前に、必要に応じて適切な法的助言を得てください。.

AIに関する注記：この記事は、プライバシー専門家がAIの支援を受けて作成しました。.