Последнее обновление: август 2026 г.

Пример из практики: AEPD оштрафовала Tiger Media за нарушение статьи 27 GDPR, касающейся представительного пробела в законодательстве ЕС.

В 2025 году Испанское агентство по защите данных (AEPD) подтвердило введение санкций против компании Tiger Media Inc. после расследования обработки данных, связанных с рекламой, и соблюдения компанией законодательства. Статья 27 GDPR: требование о представителе ЕС. Этот штраф от AEPD является конкретным напоминанием о том, что многие компании, не входящие в ЕС, недооценивают: назначение представителя ЕС — это не формальность, заложенная в политике конфиденциальности. Это обязательство, подлежащее исполнению, и испанские органы по защите данных готовы действовать в соответствии с ним.

В этой статье данное решение рассматривается как пример правоприменения в 2025 году (не сенсационная новость) и объясняется, что пошло не так, почему AEPD отклонила соглашение с Tiger Media о представительстве, и что произошло дальше. требование о наличии представителя ЕС Это означает, что на практике это относится и к другим организациям, не входящим в ЕС.

Что произошло в деле компании Tiger Media?

AEPD провела расследование в отношении компании Tiger Media Inc., оператора рекламной платформы, используемой издателями и рекламодателями, после выявления потенциальных проблем с защитой данных, связанных с обработкой персональных данных с помощью рекламных технологий. В своем окончательном решении (Процедура AEPD PS/00480/2025AEPD подтвердила два отдельных санкций: 70 000 евро за нарушение статьи 6 GDPR и 50 000 евро за нарушение статьи 27 GDPR, в результате чего общая сумма до вычета убытков составила 120 000 евро. Tiger Media применила доступные скидки за признание ответственности и добровольную оплату, в результате чего окончательная сумма выплат составила 72 000 евро.

Пункт статьи 6 касался законного основания для обработки данных, осуществляемой через рекламную платформу. Пункт статьи 27 является ключевым уроком для групп по защите конфиденциальности, работающих с организациями, не входящими в ЕС, поскольку он основан на вопросах управления, а не на деталях обработки: действительно ли у компании был представитель в ЕС, должным образом назначенный?

Почему AEPD сочла представителя недействительным

Согласно выводам AEPD, компания Tiger Media определила представителя, расположенного в Северной Ирландии, и заявила, что находится в процессе назначения нового представителя в одном из государств-членов ЕС. AEPD пришла к заключению, что в результате у Tiger Media в настоящее время нет действующего представителя в ЕС для целей GDPR.

Это различие имеет значение. Представитель, “находящийся в процессе”, не то же самое, что представитель, должным образом назначенный в письменной форме, зарегистрированный на соответствующей территории и доступный для выполнения функций контактного лица в ЕС. В резолюции AEPD также отмечалось, что Tiger Media предлагала услуги по размещению рекламы для взрослых как минимум на трех испанских веб-сайтах, связывая обработку данных с физическими лицами в Испании и подтверждая анализ территориальной сферы действия в соответствии со статьей 3(2) GDPR.

Заявленное компанией намерение назначить представителя в ЕС не предотвратило вынесение решения. С точки зрения регулятора, такой исход предсказуем: обязательство по статье 27 применяется, как только обработка данных попадает под действие закона, а не только после начала расследования.

Требование о представителе ЕС согласно статье 27 — это больше, чем просто контактный адрес.

Статья 27 GDPR применяется в широком смысле в тех случаях, когда контролер или обработчик не имеет представительства в ЕС, но тем не менее подпадает под действие GDPR в соответствии со статьей 3(2) — как правило, потому что он предлагает товары или услуги лицам в ЕС или отслеживает их поведение там. В таких обстоятельствах контролер или обработчик должен в письменной форме назначить представителя в Союзе, если только не применяется узкое исключение.

AEPD четко указала, что представитель контролера или обработчика данных, не являющегося гражданином ЕС, — это не просто контактное лицо. Эта роль включает в себя сотрудничество с надзорными органами и поддержку операций по обеспечению подотчетности, и AEPD отметила, что отсутствие должным образом назначенного представителя может повлиять на систему соблюдения GDPR в целом.

Более подробное объяснение обязательства см. Статья 27 GDPR, представитель ЕС. Для получения более подробной информации см. Представитель ЕС по защите данных.

Как контекст рекламы и файлов cookie выявил этот разрыв

Хотя вывод по статье 27 является центральным уроком, более широкое расследование началось с обработки данных, связанных с рекламой. AEPD изучила роль платформы в показе и измерении эффективности рекламы и зафиксировала категории данных, включая сведения об устройстве, операционной системе, информации о браузере, IP-адресе, URL-адресах веб-сайтов и реферальных URL-адресах, кликах, показах, местоположении, определенном по IP-адресу, и идентификаторах файлов cookie. AEPD также выявила установку файлов cookie без согласия на веб-сайтах, использующих платформу.

Такая схема характерна для применения AEPD: орган власти начинает проверку, сосредоточенную на файлах cookie, согласии или законных основаниях, а затем проверка расширяется на обязательства по управлению, включая вопрос о наличии у организации действующего представителя в ЕС.

Кому следует пересмотреть свою позицию представителя ЕС?

Организациям, не входящим в ЕС, следует пересмотреть свою позицию в соответствии со статьей 27, если у них нет представительства в ЕС, но они целенаправленно взаимодействуют с людьми в ЕС через веб-сайты, приложения, подписки, SaaS-платформы, торговые площадки, рекламу, аналитику или технологии отслеживания. Вопрос заключается не в том, является ли компания “европейской” с точки зрения брендинга, а в том, подпадает ли обработка данных под территориальную сферу действия GDPR.

Проведение анализа особенно целесообразно, если выполняется хотя бы одно из следующих условий:

• Ваш веб-сайт, приложение или платформа доступны пользователям в Испании или других странах-членах ЕС, а не являются просто пассивно доступными.
• Вы ориентируетесь на пользователей из ЕС, используя язык, валюту, маркетинговые кампании, варианты доставки, локальные домены, ориентированную на ЕС процедуру регистрации или активность в сфере продаж.
• Вы отслеживаете поведение пользователей в ЕС с помощью файлов cookie, пикселей, идентификаторов устройств, аналитики, измерения эффективности рекламы, обнаружения мошенничества, ограничения частоты показов или аналогичных технологий.
• Вы обрабатываете персональные данные граждан ЕС в качестве обработчика данных для клиентов, издателей, рекламодателей или партнеров.
• В вашем уведомлении о конфиденциальности контактное лицо из Великобритании, Швейцарии, США или другой страны, не входящей в ЕС, указано так, как если бы оно являлось представителем ЕС в соответствии со статьей 27.
• Ваша организация назначила представителя до Brexit или до корпоративной реструктуризации, и с тех пор это назначение не проверялось.
• Вы полагаетесь на исключение, касающееся “эпизодической обработки”, не указав при этом, почему оно действительно применимо.

Вопрос об исключениях заслуживает особого внимания. Статья 27 применяется не во всех случаях — существуют исключения, в том числе для некоторых эпизодических обработок, которые вряд ли поставят под угрозу права и свободы отдельных лиц и не касаются больших объемов данных особых категорий или данных о преступлениях. Но это исключение должно применяться обдуманно и документально, а не предполагаться по умолчанию.

Практический контрольный список требований после решения по делу Tiger Media.

Правильным ответом на этот штраф AEPD является не стремление к срочности ради самой срочности, а целенаправленная проверка соблюдения требований. Пробелы в статье 27 обычно легко устранить — и поскольку репрезентативные данные содержатся в публичных уведомлениях о конфиденциальности, их могут быстро обнаружить регулирующие органы, пользователи, партнеры или заявители.

• Составьте карту процессов обработки данных, ориентированных на ЕС. Укажите, где ваша организация предоставляет услуги людям в ЕС или отслеживает поведение людей в ЕС.
• Уточните, зарегистрированы ли у вас представительства в ЕС. В противном случае оцените, подпадает ли статья 3(2) под территориальную сферу действия GDPR.
• Тщательно проверьте каждое исключение. Если вы считаете, что статья 27 к вам не применима, зафиксируйте обоснование и вернитесь к нему по мере изменения бизнес-модели.
• Уточните местонахождение представителя. Представитель должен быть зарегистрирован в ЕС.
• Запишитесь на прием в письменном виде. Четко определите сферу действия, обязанности по сотрудничеству и алгоритмы реагирования.
• Обновить публичные уведомления. В уведомлениях о конфиденциальности следует указывать точные и актуальные контактные данные и избегать устаревших ссылок.
• Настройте внутренние рабочие процессы. Группы поддержки, юридические, охранные и отделы по защите персональных данных должны знать, как направлять сообщения субъектам данных или регулирующим органам ЕС.
• Ведите учет в актуальном состоянии. Документация по обработке данных, файлы cookie, оценки законности оснований и файлы поставщиков должны соответствовать информации, указанной в уведомлении о конфиденциальности.
• Проверка после внесения существенных изменений. Перепроверьте запись о встрече после изменений, связанных с Brexit, слияний компаний, запуска новых продуктов, расширения рынка или внедрения новых технологий отслеживания.

Не уверены, что ваше текущее назначение выдержит этот анализ? DilicheckRep проверяет соответствие соглашений о представительстве в ЕС статье 27, проверяет местонахождение и полномочия представителя и выявляет пробелы до того, как это сделает регулирующий орган.

Получите проверку представительства в соответствии со статьей 27 от DilicheckRep →

Что означает этот штраф AEPD относительно ожиданий регулятора в Испании?

Решение по делу Tiger Media подтверждает, что обеспечение соблюдения требований по защите данных в Испании охватывает как существенные вопросы обработки данных, так и обязательства по управлению. AEPD не рассматривала требование о наличии представителя в ЕС как незначительную техническую формальность: она установила штраф по статье 27 в размере 50 000 евро и предписала принять корректирующие меры, в том числе обязать Tiger Media назначить действующего представителя в ЕС.

В резолюции также ясно указано, что выплата компенсации и признание ответственности не снимают основополагающего обязательства по устранению проблемы. AEPD обязало Tiger Media уведомить агентство в течение трех месяцев с момента вступления резолюции в силу и вступления ее в силу о принятии корректирующих мер, описанных в решении.

Главный вывод для компаний, не входящих в ЕС.

Решение по делу Tiger Media переосмысливает статью 27 как практический вопрос корпоративного управления: если ваша компания находится за пределами ЕС, но взаимодействует с людьми в ЕС или осуществляет мониторинг их деятельности, кто является вашим действительным представителем в ЕС сегодня — не тот, кого вы планируете назначить, не тот, кто был включен в списки несколько лет назад, и не контактное лицо, находящееся за пределами Союза, а представитель, должным образом назначенный и способный действовать сейчас.

Часто задаваемые вопросы

Что представляет собой требование о наличии представителя ЕС в соответствии со статьей 27 GDPR? Статья 27 GDPR требует, чтобы контролеры и обработчики, не имеющие представительства в ЕС, но подпадающие под действие GDPR в соответствии со статьей 3(2), в письменной форме назначили представителя в Союзе, если не применяется узкое исключение.

Какую сумму оштрафовала компанию Tiger Media Управление по контролю за алкоголем, табаком и огнестрельным оружием (AEPD)? AEPD подтвердила наложение санкций на общую сумму 120 000 евро до вычета удержаний: 70 000 евро за нарушение статьи 6 GDPR и 50 000 евро за нарушение статьи 27 GDPR. После вычета удержаний за признание ответственности и добровольную оплату компания Tiger Media выплатила 72 000 евро.

Почему AEPD признала представителя Tiger Media в ЕС недействительным? Указанный представитель Tiger Media находился в Северной Ирландии, и компания заявила, что находится в процессе назначения представителя в государстве-члене ЕС. AEPD пришла к выводу, что это означает отсутствие действующего представителя в ЕС на данный момент.

Какие компании, не входящие в ЕС, обязаны назначить представителя в ЕС в соответствии с GDPR? Компании, не входящие в ЕС, которые предлагают товары или услуги лицам в ЕС или отслеживают их поведение там, как правило, подпадают под территориальную сферу действия GDPR в соответствии со статьей 3(2) и должны назначить представителя ЕС, если не применяется документально подтвержденное исключение.

DilicheckRep предоставляет официальное представительство в регулирующих органах ЕС и Великобритании. — включая статью 27 GDPR, Закон ЕС об искусственном интеллекте, Закон о цифровых услугах, Закон о данных и контактные службы NIS2 — с документацией по мандату и структурированной обработкой сообщений от органов власти и субъектов данных.

Ознакомьтесь с объемом вашего представительства в ЕС на сайте DilicheckRep.

Предупреждение: Данное руководство носит исключительно информационный характер и не является юридической консультацией. Применение требований ЕС по защите данных и других нормативных актов зависит от конкретных обстоятельств каждой организации. При необходимости следует обратиться за соответствующей юридической консультацией, прежде чем полагаться на эту информацию или принимать решения о соблюдении требований.

Примечание об использовании ИИ: Данная статья подготовлена экспертом по вопросам конфиденциальности с помощью искусственного интеллекта.