최종 업데이트: 2026년 8월

사례 연구: 유럽 의약품보호청(AEPD), GDPR 제27조 EU 대표 부재 관련 Tiger Media에 벌금 부과

2025년, 스페인 데이터 보호청(AEPD)은 광고 관련 데이터 처리 및 Tiger Media Inc.의 법규 준수 여부에 대한 조사 후 해당 회사에 대한 제재 조치를 확정했습니다. GDPR 제27조 EU 대리인 요건. 이번 스페인 개인정보보호청(AEPD)의 벌금 부과는 많은 비EU 기업들이 과소평가하는 점을 분명히 보여주는 사례입니다. EU 대표 지정은 개인정보 처리방침에 묻혀있는 형식적인 절차가 아닙니다. 이는 강제적인 의무이며, 스페인 개인정보보호 당국은 이를 위반할 경우 조치를 취할 준비가 되어 있습니다.

이 기사는 해당 결정을 2025년 집행 사례(새로운 소식이 아님)로 다루고, 무엇이 잘못되었는지, AEPD가 Tiger Media의 대리인 계약을 거부한 이유, 그리고 그 결과가 무엇인지 설명합니다. EU 대표 요건 이는 실제로 다른 비EU 조직들에게는 의미하는 바입니다.

타이거 미디어 사건에서 무슨 일이 일어났는가?

AEPD는 광고 기술을 통해 처리되는 개인 데이터와 관련된 잠재적인 데이터 보호 문제를 확인한 후, 게시자와 광고주가 사용하는 광고 플랫폼 운영업체인 Tiger Media Inc.를 조사했습니다. 최종 결정에서 (AEPD 절차 PS/00480/2025AEPD는 GDPR 제6조 위반에 대한 7만 유로와 제27조 위반에 대한 5만 유로, 총 12만 유로의 벌금을 각각 확정했습니다. 타이거 미디어는 책임 인정 및 자발적 납부에 따른 감면을 신청하여 최종 납부액을 7만 2천 유로로 줄였습니다.

제6조의 핵심 요소는 광고 플랫폼을 통해 이루어지는 처리의 법적 근거에 관한 것이었습니다. 제27조의 핵심 요소는 비EU 기업을 지원하는 개인정보보호팀에게 중요한 교훈을 주는데, 이는 처리 세부 사항보다는 거버넌스에 관한 것이기 때문입니다. 즉, 해당 기업이 EU에 적법하게 임명된 대표자를 실제로 두고 있었는지 여부가 핵심입니다.

AEPD가 해당 대표를 무효로 간주한 이유는 무엇인가?

AEPD의 조사 결과에 따르면, Tiger Media는 북아일랜드에 대리인을 지정했으며 EU 회원국에 대체 대리인을 임명하는 절차를 진행 중이라고 밝혔습니다. AEPD는 따라서 Tiger Media가 현재 GDPR 목적상 유효한 EU 대리인을 두고 있지 않다고 결론 내렸습니다.

이러한 구분은 중요합니다. "진행 중인" 대리인은 서면으로 정식 임명되고, 적절한 지역에 설립되어 EU를 대면하는 연락 창구 역할을 할 수 있는 대리인과 동일하지 않습니다. AEPD의 결의안은 또한 Tiger Media가 최소 3개의 스페인 웹사이트에서 성인 광고 서비스를 제공했으며, 이는 스페인에 있는 개인과 관련된 처리 과정이며 GDPR 제3조(2)항에 따른 지역적 적용 범위 분석을 뒷받침한다는 점을 지적했습니다.

EU에 기반을 둔 대리인을 임명하겠다는 회사 측의 의사 표명에도 불구하고 이러한 결과가 나온 것은 불가피합니다. 규제 당국의 관점에서 볼 때, 이러한 결과는 예측 가능합니다. 제27조의 의무는 조사가 진행 중일 때뿐만 아니라 데이터 처리가 조사 범위에 포함되는 순간부터 적용되기 때문입니다.

EU 대표 지정 요건(제27조)은 단순한 연락처 주소 제공 이상의 의미를 지닙니다.

GDPR 제27조는 컨트롤러 또는 처리자가 EU 내에 사업장을 두고 있지 않지만 제3조(2)에 따라 GDPR의 적용을 받는 경우, 즉 일반적으로 EU 거주자에게 상품이나 서비스를 제공하거나 EU 거주자의 행동을 모니터링하는 경우에 광범위하게 적용됩니다. 이러한 경우 컨트롤러 또는 처리자는 예외적인 경우가 아닌 한, 서면으로 EU 내 대리인을 지정해야 합니다.

유럽 개인정보보호청(AEPD)은 비EU 국가의 데이터 관리자 또는 처리자를 위한 대리인은 단순히 연락 창구 역할만 하는 것이 아니라고 명확히 밝혔습니다. 대리인의 역할에는 감독 당국과의 협력 및 책임 이행 활동 지원이 포함되며, 적절하게 임명된 대리인이 없을 경우 GDPR 준수 시스템 전체에 영향을 미칠 수 있다고 AEPD는 지적했습니다.

해당 의무에 대한 자세한 설명은 다음을 참조하십시오. GDPR 제27조 EU 대표. 보다 폭넓은 배경 정보는 다음을 참조하십시오. EU 데이터 보호 담당자.

광고 및 쿠키 환경이 어떻게 격차를 드러냈는가

제27조 위반 사실이 핵심 교훈이지만, 더 광범위한 조사는 광고 관련 데이터 처리에서 시작되었습니다. 호주 광고지침청(AEPD)은 해당 플랫폼의 광고 제공 및 측정 역할을 검토하고 기기 정보, 운영 체제, 브라우저 정보, IP 주소, 웹사이트 및 추천 URL, 클릭 수, 노출 수, IP 기반 위치 정보, 쿠키 식별자 등 다양한 데이터 범주를 기록했습니다. 또한 AEPD는 해당 플랫폼을 사용하는 웹사이트에 동의 없이 쿠키가 설치되는 것을 확인했습니다.

이러한 패턴은 AEPD 집행에서 흔히 볼 수 있습니다. 당국이 쿠키, 동의 또는 법적 근거에 초점을 맞춘 검토를 시작하면, 그 검토는 조직에 유효한 EU 대표자가 있는지 여부를 포함한 거버넌스 의무로 확대됩니다.

누가 EU 대표직을 재검토해야 할까요?

EU에 사업장을 두지 않았지만 웹사이트, 앱, 구독 서비스, SaaS 플랫폼, 마켓플레이스, 광고, 분석 또는 추적 기술을 통해 EU 거주자와 의도적으로 상호 작용하는 비EU 기업은 GDPR 제27조에 따른 입장을 재검토해야 합니다. 중요한 질문은 기업이 브랜드 측면에서 "유럽 기업"인지 여부가 아니라, 해당 기업의 데이터 처리가 GDPR의 적용 범위에 해당하는지 여부입니다.

다음과 같은 사항에 해당된다면 검토해 볼 가치가 특히 높습니다.

• 귀사의 웹사이트, 앱 또는 플랫폼은 스페인 또는 기타 EU 회원국의 사용자가 이용할 수 있으며, 단순히 수동적으로 접근 가능한 수준에 그치지 않습니다.
• 언어, 통화, 마케팅 캠페인, 배송 옵션, 현지 도메인, EU 맞춤형 온보딩 또는 판매 활동을 통해 EU 사용자를 대상으로 마케팅할 수 있습니다.
• 쿠키, 픽셀, 기기 식별자, 분석, 광고 측정, 사기 탐지, 빈도 제한 또는 이와 유사한 기술을 통해 EU 내 사용자 행동을 모니터링합니다.
• 귀사는 고객, 게시자, 광고주 또는 파트너를 위한 데이터 처리자로서 EU 개인 데이터를 처리합니다.
• 귀사의 개인정보 보호 고지에는 영국, 스위스, 미국 또는 기타 비EU 국가의 연락처가 EU 제27조에 따른 대리인인 것처럼 명시되어 있습니다.
• 귀사는 브렉시트 이전 또는 기업 구조조정 이전에 대리인을 임명했으나, 그 이후로 해당 대리인 임명에 대한 확인이 이루어지지 않았습니다.
• 귀하는 "간헐적 처리" 예외 조항에 의존하면서도, 해당 조항이 실제로 적용되는 이유를 문서화하지 않았습니다.

예외 조항은 특히 주의 깊게 살펴봐야 합니다. 제27조는 모든 경우에 적용되는 것은 아니며, 개인의 권리와 자유를 침해할 가능성이 낮고 대규모의 특수 범주 데이터나 범죄 관련 데이터가 포함되지 않는 특정 간헐적 처리와 같은 예외 사항이 있습니다. 그러나 이러한 예외는 기본적으로 적용되는 것이 아니라, 신중하게 적용하고 문서화해야 합니다.

타이거 미디어 판결 이후 실질적인 규정 준수 체크리스트

이번 AEPD 벌금에 대한 올바른 대응은 단순히 긴급성을 추구하는 것이 아니라, 집중적인 규정 준수 점검을 하는 것입니다. 제27조의 미비점은 대개 쉽게 수정할 수 있으며, 대표적인 세부 정보는 공개된 개인정보 보호 고지에 나타나기 때문에 규제 기관, 사용자, 파트너 또는 신고자가 신속하게 발견할 수 있습니다.

• EU 관련 처리 활동을 지도에 표시합니다. 귀사가 EU 내 사람들에게 서비스를 제공하거나 EU 내 행동을 모니터링하는 영역을 파악하십시오.
• 귀사가 EU에 사업장을 두고 있는지 확인하십시오. 그렇지 않은 경우, 제3조(2)항이 처리를 GDPR의 영토적 범위 내에 포함시키는지 평가하십시오.
• 모든 면제 사항을 신중하게 검토하십시오. 제27조가 적용되지 않는다고 판단되는 경우, 그 이유를 기록해 두고 사업 모델이 변경될 때 다시 검토하십시오.
• 담당자의 위치를 확인하세요. 대표 기관은 EU 내에 설립되어야 합니다.
• 약속은 서면으로 하세요. 업무 범위, 협력 의무 및 대응 워크플로를 명확하게 정의하십시오.
• 공지사항을 업데이트하세요. 개인정보 보호 고지에는 정확하고 최신의 연락처 정보를 기재해야 하며, 오래된 정보는 포함하지 않아야 합니다.
• 내부 워크플로를 정렬합니다. 지원, 법률, 보안 및 개인정보 보호 팀은 EU 데이터 주체 또는 규제 기관과의 연락 방법을 알고 있어야 합니다.
• 기록을 최신 상태로 유지하십시오. 처리 기록, 쿠키 문서, 법적 근거 평가 및 공급업체 파일은 개인정보 보호 고지에 명시된 내용과 일치해야 합니다.
• 주요 변경 후 검토. 브렉시트 관련 변경 사항, 합병, 신제품 출시, 시장 확장 또는 새로운 추적 기술 도입 후에는 예약 내용을 다시 확인하십시오.

현재 예약하신 일정이 이러한 분석 기준에 부합할지 확신이 서지 않으시나요? DilicheckRep은 EU 대리인 계약이 제27조를 준수하는지 검토하고, 대리인의 위치와 권한을 확인하며, 규제 기관이 발견하기 전에 미비점을 지적합니다.

DilicheckRep에서 제27조 대리인 자격 검토를 받으세요 →

이번 AEPD 벌금 부과는 스페인 규제 당국의 기대에 대해 무엇을 시사하는가?

타이거 미디어 사건 판결은 스페인에서 데이터 보호법 집행이 실질적인 처리 문제뿐 아니라 지배구조 의무까지 포괄한다는 점을 재확인시켜 줍니다. 스페인 데이터보호청(AEPD)은 EU 대리인 지정 요건을 사소한 절차상의 문제로 취급하지 않고, 제27조에 따라 5만 유로의 벌금을 부과하고 타이거 미디어가 유효한 EU 대리인을 지정하도록 하는 등의 시정 조치를 명령했습니다.

이번 결의안은 또한 배상 및 책임 인정이 문제 해결이라는 근본적인 의무를 면제하는 것은 아니라는 점을 명확히 하고 있습니다. AEPD는 타이거 미디어에 결의안이 확정되어 집행 가능하게 된 날로부터 3개월 이내에 결정문에 명시된 시정 조치를 채택했음을 통보하도록 명령했습니다.

비EU 기업을 위한 핵심 요점

타이거 미디어 판결은 제27조를 실질적인 지배구조 문제로 재해석합니다. 즉, 회사가 EU 외부에 있지만 EU 내 사람들에게 접근하거나 그들을 감시하는 경우, 현재 유효한 EU 대표는 누구인가 하는 것입니다. 이는 회사가 임명할 계획인 사람이나 몇 년 전에 등재된 사람, 또는 EU 외부에 있는 연락처가 아니라, 적법하게 임명되어 현재 활동할 수 있는 대표를 의미합니다.

자주 묻는 질문

GDPR 제27조에 따른 EU 대리인 요건이란 무엇인가요? GDPR 제27조는 EU에 사업장이 없지만 제3조(2)에 따라 GDPR의 적용을 받는 컨트롤러 및 프로세서가 예외적인 경우가 아닌 한 EU에 서면으로 대표자를 지정하도록 요구합니다.

타이거 미디어는 호주교육보호국(AEPD)으로부터 얼마의 벌금을 부과받았습니까? AEPD는 감액 전 총 12만 유로의 제재금을 확정했습니다. 이 중 7만 유로는 GDPR 제6조 위반, 5만 유로는 GDPR 제27조 위반에 대한 것입니다. 책임 인정 및 자발적 납부로 감액된 후, Tiger Media는 7만 2천 유로를 납부했습니다.

유럽전문지침해연구소(AEPD)는 왜 타이거 미디어의 EU 대리인 자격이 없다고 판단했습니까? 타이거 미디어의 등록된 대리인은 북아일랜드에 있었고, 회사는 EU 회원국에 대리인을 임명하는 절차를 진행 중이라고 밝혔습니다. 이에 따라 AEPD는 현재 유효한 EU 대리인이 없다는 결론을 내렸습니다.

GDPR에 따라 어떤 비EU 기업이 EU 대표를 지정해야 합니까? EU에 있는 사람들에게 상품이나 서비스를 제공하거나 EU에서의 행동을 모니터링하는 비EU 기업은 일반적으로 GDPR 제3조(2)항에 따라 영토적 범위에 포함되며 문서화된 예외가 적용되지 않는 한 EU 대표를 지정해야 합니다.

DilicheckRep은 EU 및 영국 규제 기관에 대한 공식적인 대리 서비스를 제공합니다. GDPR 제27조, EU AI법, 디지털 서비스법, 데이터법 및 NIS2 연락 창구 서비스를 포함한 관련 법규를 준수하며, 위임 문서화 및 당국과 정보 주체 간의 소통을 체계적으로 처리합니다.

DilicheckRep을 통해 EU 대표 범위에 대해 검토해 보세요.

면책 조항: 본 안내서는 일반적인 정보 제공 목적으로만 작성되었으며 법률 자문을 구성하지 않습니다. EU 데이터 보호 및 기타 규제 요건의 적용은 각 조직의 구체적인 상황에 따라 달라집니다. 본 정보를 참고하거나 규정 준수 관련 결정을 내리기 전에 필요한 경우 적절한 법률 자문을 받으시기 바랍니다.

AI 안내: 이 글은 개인정보보호 전문가가 AI의 도움을 받아 작성했습니다.