Kajian Kes: AEPD Mendenda Tiger Media Atas GDPR Perkara 27 Jurang Perwakilan EU

Kemas kini terakhir: Ogos 2026

Kajian Kes: AEPD Mendenda Tiger Media Atas GDPR Perkara 27 Jurang Perwakilan EU

Pada tahun 2025, Agensi Perlindungan Data Sepanyol (AEPD) mengesahkan sekatan terhadap Tiger Media Inc. susulan siasatan terhadap pemprosesan data berkaitan pengiklanan dan pematuhan syarikat dengan Keperluan perwakilan EU Perkara 27 GDPR. Denda AEPD ini merupakan peringatan konkrit tentang perkara yang dipandang remeh oleh banyak perniagaan bukan EU: melantik wakil EU bukanlah formaliti yang tersembunyi dalam dasar privasi. Ia merupakan kewajipan yang boleh dikuatkuasakan, dan penguatkuasaan perlindungan data Sepanyol bersedia untuk bertindak ke atasnya.

Artikel ini menganggap keputusan tersebut sebagai contoh penguatkuasaan 2025 (bukan berita terkini) dan menjelaskan apa yang telah berlaku, mengapa AEPD menolak pengaturan perwakilan Tiger Media, dan apa yang Keperluan perwakilan EU cara dalam praktiknya untuk organisasi bukan EU yang lain.

Apa yang Berlaku dalam Kes Tiger Media

AEPD menyiasat Tiger Media Inc., pengendali platform pengiklanan yang digunakan oleh penerbit dan pengiklan, selepas mengenal pasti potensi isu perlindungan data yang berkaitan dengan data peribadi yang diproses melalui teknologi pengiklanan. Dalam resolusi muktamadnya (Prosiding AEPD PS/00480/2025), AEPD mengesahkan dua sekatan berasingan: €70,000 untuk isu GDPR Perkara 6 dan €50,000 untuk isu GDPR Perkara 27, menjadikan jumlah keseluruhan kepada €120,000 sebelum pengurangan. Tiger Media menggunakan pengurangan yang tersedia untuk pengiktirafan tanggungjawab dan pembayaran sukarela, menjadikan jumlah akhir yang dibayar kepada €72,000.

Elemen Perkara 6 berkaitan dengan asas sah untuk pemprosesan yang dijalankan melalui platform pengiklanan. Elemen Perkara 27 merupakan pengajaran utama untuk pasukan privasi yang menyokong organisasi bukan EU kerana ia memberi tumpuan kepada tadbir urus dan bukannya pemprosesan butiran: adakah syarikat itu sebenarnya mempunyai wakil di EU, yang dilantik dengan sewajarnya?

Mengapa AEPD Menganggap Wakil Tidak Sah

Menurut penemuan AEPD, Tiger Media telah mengenal pasti seorang wakil yang terletak di Ireland Utara dan menyatakan bahawa ia sedang dalam proses melantik wakil gantian di Negara Anggota EU. AEPD menyimpulkan bahawa, akibatnya, Tiger Media pada masa ini tidak mempunyai wakil EU yang sah untuk tujuan GDPR.

Perbezaannya penting. Wakil "dalam proses" tidak sama dengan wakil yang dilantik secara bertulis, ditubuhkan di wilayah yang betul, dan tersedia untuk bertindak sebagai titik hubungan yang menghadap EU. Resolusi AEPD juga menyatakan bahawa Tiger Media menawarkan perkhidmatan pengiklanan dewasa di sekurang-kurangnya tiga laman web Sepanyol, menghubungkan pemprosesan dengan individu di Sepanyol dan menyokong analisis skop wilayah di bawah Perkara 3(2) GDPR.

Hasrat syarikat itu untuk melantik wakil yang berpangkalan di EU tidak menghalang penemuan itu. Dari perspektif pengawal selia, keputusan itu boleh diramal: kewajipan Artikel 27 terpakai sebaik sahaja pemprosesan berada dalam skop, bukan sahaja sebaik sahaja siasatan dijalankan.

Keperluan Perwakilan EU Perkara 27 Lebih Daripada Alamat Perhubungan

GDPR Perkara 27 terpakai, secara amnya, jika pengawal atau pemproses tidak mempunyai pertubuhan di EU tetapi tertakluk kepada GDPR di bawah Perkara 3(2) — biasanya kerana ia menawarkan barangan atau perkhidmatan kepada orang di EU atau memantau tingkah laku mereka di sana. Dalam keadaan tersebut, pengawal atau pemproses mesti melantik, secara bertulis, seorang wakil di Kesatuan, melainkan jika terdapat pengecualian terhad.

AEPD menyatakan secara jelas bahawa wakil untuk pengawal atau pemproses bukan EU bukan sekadar titik hubungan. Peranan tersebut merangkumi kerjasama dengan pihak berkuasa penyeliaan dan sokongan untuk operasi akauntabiliti, dan AEPD menyatakan bahawa ketiadaan wakil yang dilantik dengan betul boleh menjejaskan sistem pematuhan GDPR secara keseluruhan.

Untuk penjelasan yang lebih lengkap tentang kewajipan tersebut, sila lihat GDPR Perkara 27 Wakil EU. Untuk latar belakang yang lebih luas, lihat Wakil perlindungan data EU.

Bagaimana Konteks Pengiklanan dan Kuki Menunjukkan Jurang

Walaupun penemuan Artikel 27 merupakan pengajaran utama, siasatan yang lebih luas bermula dengan pemprosesan berkaitan pengiklanan. AEPD menyemak semula peranan platform dalam menyampaikan dan mengukur iklan dan merekodkan kategori data termasuk butiran peranti, sistem pengendalian, maklumat pelayar, alamat IP, URL laman web dan rujukan, klik, impresi, lokasi yang diperoleh daripada IP dan pengecam kuki. AEPD juga mengenal pasti kuki yang dipasang tanpa persetujuan di laman web yang menggunakan platform tersebut.

Corak ini adalah perkara biasa dalam penguatkuasaan AEPD: pihak berkuasa membuka semakan yang tertumpu pada kuki, persetujuan atau asas yang sah, dan semakan tersebut kemudiannya berkembang menjadi obligasi tadbir urus — termasuk sama ada organisasi tersebut mempunyai wakil EU yang sah.

Siapakah yang Patut Menilai Semula Kedudukan Perwakilan EU Mereka

Organisasi bukan EU harus menilai semula kedudukan Artikel 27 mereka jika mereka tidak mempunyai pertubuhan EU tetapi sengaja berinteraksi dengan orang di EU melalui laman web, aplikasi, langganan, platform SaaS, pasaran, pengiklanan, analitik atau teknologi penjejakan. Persoalan yang berkaitan bukanlah sama ada syarikat itu "Eropah" dari segi penjenamaan, tetapi sama ada pemprosesannya termasuk dalam skop wilayah GDPR.

Semakan amat berbaloi jika mana-mana yang berikut terpakai:

  • Laman web, aplikasi atau platform anda tersedia untuk pengguna di Sepanyol atau Negara Anggota EU yang lain dan bukan sekadar boleh diakses secara pasif.
  • Anda menyasarkan pengguna EU melalui bahasa, mata wang, kempen pemasaran, pilihan penghantaran, domain tempatan, onboarding yang berfokus pada EU atau aktiviti jualan.
  • Anda memantau tingkah laku di EU melalui kuki, piksel, pengecam peranti, analitik, pengukuran pengiklanan, pengesanan penipuan, pengehadan frekuensi atau teknologi yang serupa.
  • Anda memproses data peribadi EU sebagai pemproses untuk pelanggan, penerbit, pengiklan atau rakan kongsi.
  • Notis privasi anda menamakan kenalan UK, Switzerland, AS atau kenalan bukan EU yang lain seolah-olah ia adalah wakil Artikel 27 EU.
  • Organisasi anda telah melantik wakil sebelum Brexit atau sebelum penstrukturan semula korporat, dan pelantikan tersebut tidak disemak sejak itu.
  • Anda bergantung pada pengecualian "pemprosesan sekali-sekala" tanpa mendokumentasikan mengapa ia benar-benar terpakai.

Perkara pengecualian memerlukan perhatian khusus. Perkara 27 tidak terpakai dalam setiap kes — terdapat pengecualian, termasuk untuk pemprosesan sekali-sekala tertentu yang tidak mungkin membahayakan hak dan kebebasan individu dan tidak melibatkan data kategori khas atau kesalahan jenayah berskala besar. Tetapi pengecualian itu harus digunakan secara sengaja dan didokumenkan, bukan diandaikan secara lalai.

Senarai Semak Pematuhan Praktikal Selepas Keputusan Tiger Media

Tindak balas yang betul terhadap denda AEPD ini bukanlah untuk kepentingannya sendiri, tetapi untuk pemeriksaan pematuhan yang tertumpu. Kekosongan Perkara 27 biasanya mudah untuk dibaiki — dan kerana butiran perwakilan muncul dalam notis privasi awam, ia boleh dikesan dengan cepat oleh pengawal selia, pengguna, rakan kongsi atau pengadu.

  • Petakan aktiviti pemprosesan yang dihadapi EU. Kenal pasti tempat organisasi anda menawarkan perkhidmatan kepada orang di EU atau memantau tingkah laku di EU.
  • Sahkan sama ada anda mempunyai pertubuhan EU. Jika tidak, nilaikan sama ada Perkara 3(2) membawa pemprosesan tersebut ke dalam skop wilayah GDPR.
  • Uji sebarang pengecualian dengan teliti. Jika anda percaya Perkara 27 tidak terpakai, catatkan alasan tersebut dan semak semula apabila model perniagaan berubah.
  • Semak lokasi wakil. Wakil tersebut mesti ditubuhkan di EU.
  • Buat temujanji secara bertulis. Takrifkan skop, tugas kerjasama dan aliran kerja tindak balas secara jelas.
  • Kemas kini notis awam. Notis privasi hendaklah menyenaraikan butiran perhubungan yang tepat dan terkini serta mengelakkan rujukan yang ketinggalan zaman.
  • Selaraskan aliran kerja dalaman. Pasukan sokongan, perundangan, keselamatan dan privasi harus tahu cara menghalakan komunikasi subjek data atau pengawal selia EU.
  • Pastikan rekod sentiasa terkini. Rekod pemprosesan, dokumentasi kuki, penilaian berasaskan undang-undang dan fail vendor hendaklah sepadan dengan apa yang dinyatakan dalam notis privasi.
  • Semakan selepas perubahan besar. Semak semula temujanji selepas perubahan berkaitan Brexit, penggabungan, pelancaran produk baharu, pengembangan pasaran atau teknologi penjejakan baharu.

Tidak pasti temujanji semasa anda akan bertahan di bawah analisis ini? DilicheckRep menyemak semula pengaturan perwakilan EU terhadap Perkara 27, menyemak lokasi dan mandat wakil dan menandai jurang sebelum pengawal selia berbuat demikian.

Dapatkan semakan perwakilan Artikel 27 daripada DilicheckRep →

Apa yang Diberikan oleh Denda AEPD Ini Mengenai Jangkaan Pengawal Selia di Sepanyol

Keputusan Tiger Media mengesahkan bahawa penguatkuasaan perlindungan data di Sepanyol merangkumi kedua-dua isu pemprosesan substantif dan obligasi tadbir urus. AEPD tidak menganggap keperluan perwakilan EU sebagai satu perkara teknikal yang kecil: ia menetapkan sekatan Artikel 27 pada €50,000 dan mengarahkan langkah pembetulan, termasuk Tiger Media meletakkan wakil EU yang sah.

Resolusi itu juga menjelaskan bahawa pembayaran dan pengiktirafan tanggungjawab tidak menghapuskan kewajipan asas untuk menyelesaikan masalah tersebut. AEPD mengarahkan Tiger Media untuk memaklumkan agensi tersebut, dalam tempoh tiga bulan selepas resolusi itu menjadi kukuh dan boleh dikuatkuasakan, tentang penerimaan langkah-langkah pembetulan yang diterangkan dalam keputusan tersebut.

Inti pati utama untuk perniagaan bukan EU

Keputusan Tiger Media membingkai semula Perkara 27 sebagai persoalan tadbir urus yang praktikal: jika syarikat anda berada di luar EU tetapi menjangkau atau memantau orang di EU, siapakah wakil EU anda yang sah hari ini — bukan siapa yang anda rancang untuk lantik, bukan siapa yang disenaraikan bertahun-tahun yang lalu, dan bukan kenalan yang terletak di luar Kesatuan, tetapi wakil yang dilantik dengan sewajarnya dan boleh bertindak sekarang.

Soalan Lazim

Apakah keperluan perwakilan EU Artikel 27 GDPR? GDPR Perkara 27 mewajibkan pengawal dan pemproses yang tiada pertubuhan di EU, tetapi tertakluk kepada GDPR di bawah Perkara 3(2), untuk melantik secara bertulis seorang wakil di Kesatuan, melainkan jika terdapat pengecualian terhad.

Berapakah denda yang dikenakan kepada Tiger Media oleh AEPD? AEPD mengesahkan sekatan berjumlah €120,000 sebelum pengurangan: €70,000 untuk isu GDPR Perkara 6 dan €50,000 untuk isu GDPR Perkara 27. Selepas pengurangan untuk pengiktirafan tanggungjawab dan pembayaran sukarela, Tiger Media membayar €72,000.

Mengapakah AEPD mendapati wakil EU Tiger Media tidak sah? Wakil tersenarai Tiger Media terletak di Ireland Utara, dan syarikat itu menyatakan bahawa ia sedang dalam proses melantik wakil di Negara Anggota EU. AEPD menyimpulkan bahawa ini bermakna tiada wakil EU yang sah berada di tempatnya pada masa ini.

Syarikat bukan EU yang manakah perlu melantik wakil EU di bawah GDPR? Syarikat bukan EU yang menawarkan barangan atau perkhidmatan kepada orang ramai di EU, atau memantau tingkah laku mereka di sana, secara amnya termasuk dalam skop wilayah GDPR di bawah Perkara 3(2) dan mesti melantik wakil EU melainkan pengecualian yang didokumenkan terpakai.

DilicheckRep menyediakan perwakilan kawal selia rasmi EU dan UK — termasuk Perkara 27 GDPR, Akta AI EU, Akta Perkhidmatan Digital, Akta Data dan perkhidmatan titik hubungan NIS2 — dengan dokumentasi mandat dan pengendalian berstruktur komunikasi pihak berkuasa dan subjek data.

Semak skop perwakilan EU anda dengan DilicheckRep

Penafian: Panduan ini disediakan untuk tujuan maklumat umum sahaja dan bukan merupakan nasihat undang-undang. Penggunaan perlindungan data EU dan keperluan kawal selia lain bergantung pada keadaan khusus setiap organisasi. Anda harus mendapatkan nasihat undang-undang yang sesuai jika perlu sebelum bergantung pada maklumat ini atau membuat keputusan pematuhan.

Notis AI: Artikel ini disediakan oleh pakar Privasi dengan bantuan AI.