Última atualização: agosto de 2026
Estudo de caso: AEPD multa a Tiger Media por falta de representatividade na UE em relação ao Artigo 27 do GDPR
Em 2025, a Agência Espanhola de Proteção de Dados (AEPD) confirmou as sanções contra a Tiger Media Inc. após uma investigação sobre o processamento de dados relacionados à publicidade e a conformidade da empresa com a legislação aplicável. Artigo 27 do RGPD: Requisito de representante da UE. Esta multa da AEPD serve como um lembrete concreto de um ponto que muitas empresas não pertencentes à UE subestimam: nomear um representante da UE não é uma formalidade escondida numa política de privacidade. É uma obrigação legal e as autoridades espanholas de proteção de dados estão preparadas para a cumprir.
Este artigo trata a decisão como um exemplo de aplicação da lei em 2025 (não é notícia de última hora) e explica o que deu errado, por que a AEPD rejeitou o acordo de representação da Tiger Media e o que... Requisito de representante da UE significa, na prática, para outras organizações não pertencentes à UE.
O que aconteceu no caso da Tiger Media?
A AEPD investigou a Tiger Media Inc., operadora de uma plataforma de publicidade utilizada por editores e anunciantes, após identificar potenciais problemas de proteção de dados relacionados com dados pessoais processados através de tecnologias de publicidade. Na sua resolução final (Processo AEPD PS/00480/2025A AEPD confirmou duas sanções distintas: €70.000 por uma infração ao Artigo 6.º do RGPD e €50.000 por uma infração ao Artigo 27.º do RGPD, elevando o total para €120.000 antes dos descontos. A Tiger Media aplicou os descontos disponíveis por reconhecimento de responsabilidade e pagamento voluntário, reduzindo o valor final pago para €72.000.
O elemento do Artigo 6 dizia respeito à base legal para o processamento realizado através da plataforma de publicidade. O elemento do Artigo 27 é a principal lição para as equipes de privacidade que apoiam organizações não pertencentes à UE, pois se concentra na governança e não nos detalhes do processamento: a empresa tinha de fato um representante na UE, devidamente nomeado?
Por que a AEPD considerou o representante inválido?
De acordo com as conclusões da AEPD, a Tiger Media havia identificado um representante localizado na Irlanda do Norte e afirmou estar em processo de nomeação de um representante substituto em um Estado-Membro da UE. A AEPD concluiu que, consequentemente, a Tiger Media não possuía atualmente um representante válido na UE para efeitos do RGPD.
A distinção é importante. Um representante “em processo” não é o mesmo que um representante devidamente nomeado por escrito, estabelecido no território correto e disponível para atuar como ponto de contato junto à UE. A resolução da AEPD também observou que a Tiger Media oferecia serviços de publicidade para adultos em pelo menos três sites espanhóis, conectando o processamento a indivíduos na Espanha e apoiando a análise do âmbito territorial nos termos do Artigo 3(2) do RGPD.
A intenção declarada da empresa de nomear um representante sediado na UE não impediu a constatação. Do ponto de vista do regulador, esse resultado é previsível: a obrigação do Artigo 27 aplica-se assim que o tratamento de dados se enquadra no âmbito de aplicação, e não apenas quando uma investigação está em curso.
O requisito do Artigo 27 da UE sobre um representante legal vai além de um simples endereço de contato.
O artigo 27.º do RGPD aplica-se, em termos gerais, quando um responsável pelo tratamento ou um subcontratante não tem estabelecimento na UE, mas está, no entanto, sujeito ao RGPD nos termos do artigo 3.º, n.º 2 — normalmente porque oferece bens ou serviços a pessoas na UE ou monitoriza o seu comportamento nessa UE. Nessas circunstâncias, o responsável pelo tratamento ou o subcontratante deve designar, por escrito, um representante na União, salvo se se aplicar uma exceção específica.
A AEPD foi explícita ao afirmar que um representante de um controlador ou processador não pertencente à UE não é simplesmente um ponto de contato. A função inclui a cooperação com as autoridades de supervisão e o apoio às operações de responsabilização, e a AEPD observou que a ausência de um representante devidamente nomeado pode afetar o sistema de conformidade com o RGPD como um todo.
Para uma explicação mais completa da obrigação, consulte Representante da UE no âmbito do Artigo 27 do RGPD. Para obter informações mais detalhadas, consulte representante da UE para a proteção de dados.
Como o contexto da publicidade e dos cookies revelou a lacuna
Embora a conclusão do Artigo 27 seja a principal lição, a investigação mais ampla começou com o processamento relacionado à publicidade. A AEPD analisou o papel da plataforma na veiculação e mensuração de anúncios e registrou categorias de dados, incluindo detalhes do dispositivo, sistema operacional, informações do navegador, endereço IP, URLs de sites e de referência, cliques, impressões, localização derivada do IP e identificadores de cookies. A AEPD também identificou cookies sendo instalados sem consentimento em sites que utilizam a plataforma.
Esse padrão é comum na aplicação da AEPD: uma autoridade inicia uma revisão focada em cookies, consentimento ou base legal, e a revisão então se expande para obrigações de governança — incluindo se a organização possui um representante válido na UE.
Quem deve reavaliar sua posição de representante na UE?
Organizações não pertencentes à UE devem reavaliar sua posição em relação ao Artigo 27 se não possuírem um estabelecimento na UE, mas interagirem intencionalmente com pessoas na UE por meio de sites, aplicativos, assinaturas, plataformas SaaS, marketplaces, publicidade, análises ou tecnologias de rastreamento. A questão relevante não é se a empresa é "europeia" em termos de marca, mas sim se o seu processamento de dados se enquadra no âmbito territorial do RGPD.
Uma avaliação é especialmente útil se alguma das seguintes situações se aplicar:
- Seu site, aplicativo ou plataforma está disponível para usuários na Espanha ou em outros Estados-Membros da UE e não é apenas acessível passivamente.
- Você segmenta usuários da UE por meio de idioma, moeda, campanhas de marketing, opções de envio, domínios locais, integração focada na UE ou atividades de vendas.
- Você monitora o comportamento na UE por meio de cookies, pixels, identificadores de dispositivos, análises, medição de publicidade, detecção de fraudes, limitação de frequência ou tecnologias semelhantes.
- Você processa dados pessoais da UE como processador de dados para clientes, editores, anunciantes ou parceiros.
- Seu aviso de privacidade menciona um contato do Reino Unido, da Suíça, dos EUA ou de outro país não pertencente à UE como se fosse um representante do Artigo 27 da UE.
- Sua organização nomeou um representante antes do Brexit ou antes de uma reestruturação corporativa, e a nomeação não foi verificada desde então.
- Você se baseia na exceção de "processamento ocasional" sem ter documentado por que ela realmente se aplica.
A questão da exceção merece atenção especial. O artigo 27 não se aplica em todos os casos — existem exceções, inclusive para certos tratamentos ocasionais que provavelmente não representam risco para os direitos e liberdades individuais e que não envolvam dados de categorias especiais ou relativos a infrações penais em larga escala. Mas essa exceção deve ser aplicada de forma deliberada e documentada, e não presumida por padrão.
Lista de verificação prática de conformidade após a decisão da Tiger Media
A resposta adequada a esta multa da AEPD não é a urgência pela urgência em si, mas sim uma verificação de conformidade focada. As lacunas do Artigo 27 são geralmente fáceis de corrigir — e, como os detalhes representativos constam nos avisos de privacidade públicos, podem ser identificadas rapidamente por reguladores, usuários, parceiros ou reclamantes.
- Mapear as atividades de processamento voltadas para a UE. Identifique onde a sua organização oferece serviços a pessoas na UE ou monitoriza o comportamento na UE.
- Confirme se você possui um estabelecimento na UE. Caso contrário, avalie se o Artigo 3(2) coloca o processamento dentro do âmbito territorial do RGPD.
- Analise cuidadosamente qualquer isenção. Se você acredita que o Artigo 27 não se aplica, registre o raciocínio e revise-o conforme o modelo de negócios mude.
- Verifique a localização do representante. O representante deve estar estabelecido na UE.
- Agende a consulta por escrito. Defina explicitamente o escopo, as responsabilidades de cooperação e os fluxos de trabalho de resposta.
- Atualizar avisos públicos. Os avisos de privacidade devem incluir informações de contato precisas e atualizadas, evitando referências desatualizadas.
- Alinhar os fluxos de trabalho internos. As equipes de suporte, jurídicas, de segurança e de privacidade devem saber como encaminhar as comunicações com titulares de dados ou reguladores da UE.
- Mantenha os registros atualizados. Os registros de processamento, a documentação de cookies, as avaliações de base legal e os arquivos de fornecedores devem corresponder ao que está declarado no aviso de privacidade.
- Revisão após alterações significativas. Reavalie a nomeação após alterações relacionadas ao Brexit, fusões, lançamentos de novos produtos, expansão de mercado ou novas tecnologias de rastreamento.
Não tem certeza se sua nomeação atual se sustentaria sob essa análise? A DilicheckRep analisa os mecanismos de representação da UE em conformidade com o Artigo 27, verifica a localização e o mandato do representante e sinaliza lacunas antes que um regulador o faça.
Obtenha uma avaliação de representação do Artigo 27 da DilicheckRep →
O que esta multa da AEPD sinaliza sobre as expectativas dos reguladores na Espanha?
A decisão no caso Tiger Media confirma que a aplicação da proteção de dados em Espanha abrange tanto as questões substantivas de tratamento como as obrigações de governação. A Autoridade Espanhola de Proteção de Dados (AEPD) não tratou o requisito do representante na UE como uma mera formalidade: fixou a sanção prevista no artigo 27.º em 50.000 euros e ordenou medidas corretivas, incluindo a nomeação de um representante válido na UE pela Tiger Media.
A resolução também deixa claro que o pagamento e o reconhecimento da responsabilidade não eliminam a obrigação fundamental de solucionar o problema. A AEPD ordenou que a Tiger Media notificasse a agência, no prazo de três meses a partir da data em que a resolução se tornasse definitiva e executória, sobre a adoção das medidas corretivas descritas na decisão.
A principal conclusão para empresas de fora da UE
A decisão no caso Tiger Media reformula o Artigo 27 como uma questão prática de governança: se sua empresa está fora da UE, mas alcança ou monitora pessoas na UE, quem é seu representante válido na UE hoje? Não quem você planeja nomear, não quem foi listado anos atrás, e não um contato localizado fora da União, mas o representante devidamente nomeado e apto a agir agora.
Perguntas frequentes
O que é o requisito do Artigo 27 do RGPD relativo ao representante da UE? O artigo 27.º do RGPD exige que os responsáveis pelo tratamento e os subcontratantes sem estabelecimento na UE, mas sujeitos ao RGPD nos termos do artigo 3.º, n.º 2, designem por escrito um representante na União, a menos que se aplique uma exceção restrita.
Qual foi o valor da multa aplicada à Tiger Media pela AEPD? A AEPD confirmou sanções no valor total de € 120.000 antes das reduções: € 70.000 por uma infração ao Artigo 6 do RGPD e € 50.000 por uma infração ao Artigo 27 do RGPD. Após as reduções por reconhecimento de responsabilidade e pagamento voluntário, a Tiger Media pagou € 72.000.
Por que a AEPD considerou o representante da Tiger Media na UE inválido? O representante legal da Tiger Media estava localizado na Irlanda do Norte, e a empresa afirmou estar em processo de nomeação de um representante em um Estado-Membro da UE. A AEPD concluiu que isso significava que não havia, no momento, nenhum representante válido na UE.
Quais empresas não pertencentes à UE precisam nomear um representante na UE de acordo com o RGPD? As empresas não pertencentes à UE que oferecem bens ou serviços a pessoas na UE, ou monitorizam o seu comportamento nesse local, estão geralmente abrangidas pelo âmbito territorial do RGPD, nos termos do artigo 3.º, n.º 2, e devem nomear um representante na UE, a menos que se aplique uma exceção documentada.
A DilicheckRep oferece representação regulatória formal na UE e no Reino Unido. — incluindo o Artigo 27 do RGPD, a Lei de IA da UE, a Lei de Serviços Digitais, a Lei de Dados e os serviços de ponto de contato NIS2 — com documentação de mandato e tratamento estruturado das comunicações com autoridades e titulares de dados.
Analise o âmbito de representação da sua empresa na UE com a DilicheckRep.
Aviso: Este guia é fornecido apenas para fins informativos gerais e não constitui aconselhamento jurídico. A aplicação da legislação da UE sobre proteção de dados e outros requisitos regulamentares depende das circunstâncias específicas de cada organização. Deverá obter aconselhamento jurídico adequado, sempre que necessário, antes de se basear nesta informação ou de tomar decisões de conformidade.
Aviso sobre IA: Este artigo foi preparado por um especialista em privacidade com auxílio de inteligência artificial.