อัปเดตล่าสุด: สิงหาคม 2569

กรณีศึกษา: AEPD ปรับ Tiger Media เนื่องจากการละเมิดช่องว่างตัวแทนตามมาตรา 27 ของ GDPR ในสหภาพยุโรป

ในปี 2025 สำนักงานคุ้มครองข้อมูลแห่งสเปน (AEPD) ได้ยืนยันการลงโทษบริษัท Tiger Media Inc. หลังจากการตรวจสอบเกี่ยวกับการประมวลผลข้อมูลที่เกี่ยวข้องกับการโฆษณาและการปฏิบัติตามกฎระเบียบของบริษัท ข้อกำหนดเกี่ยวกับตัวแทนของสหภาพยุโรป ตามมาตรา 27 ของ GDPR. ค่าปรับจาก AEPD นี้เป็นเครื่องเตือนใจที่ชัดเจนถึงประเด็นที่ธุรกิจนอกสหภาพยุโรปหลายแห่งมองข้ามไป นั่นคือ การแต่งตั้งตัวแทนในสหภาพยุโรปไม่ใช่เพียงแค่พิธีการที่ซ่อนอยู่ในนโยบายความเป็นส่วนตัว แต่เป็นข้อผูกพันที่สามารถบังคับใช้ได้ และหน่วยงานบังคับใช้กฎหมายคุ้มครองข้อมูลของสเปนก็พร้อมที่จะดำเนินการตามนั้น.

บทความนี้ใช้การตัดสินใจดังกล่าวเป็นตัวอย่างการบังคับใช้กฎหมายในปี 2025 (ไม่ใช่ข่าวใหม่) และอธิบายว่าอะไรผิดพลาด ทำไม AEPD จึงปฏิเสธข้อตกลงตัวแทนของ Tiger Media และผลที่ตามมาคืออะไร ข้อกำหนดตัวแทนสหภาพยุโรป หมายถึงในทางปฏิบัติสำหรับองค์กรอื่นๆ ที่ไม่ใช่สมาชิกสหภาพยุโรป.

เกิดอะไรขึ้นในคดี Tiger Media

AEPD ได้ทำการสอบสวน Tiger Media Inc. ซึ่งเป็นผู้ดำเนินการแพลตฟอร์มโฆษณาที่ผู้เผยแพร่และผู้ลงโฆษณาใช้ หลังจากพบปัญหาด้านการคุ้มครองข้อมูลที่อาจเกิดขึ้นซึ่งเกี่ยวข้องกับข้อมูลส่วนบุคคลที่ประมวลผลผ่านเทคโนโลยีการโฆษณา ในข้อสรุปสุดท้าย (กระบวนการ AEPD หมายเลข PS/00480/2025หน่วยงาน AEPD ยืนยันการลงโทษสองรายการแยกกัน ได้แก่ 70,000 ยูโร สำหรับการละเมิดมาตรา 6 ของ GDPR และ 50,000 ยูโร สำหรับการละเมิดมาตรา 27 ของ GDPR รวมเป็นเงินทั้งสิ้น 120,000 ยูโร ก่อนหักส่วนลด บริษัท Tiger Media ได้นำส่วนลดที่มีอยู่มาใช้เนื่องจากยอมรับความรับผิดชอบและชำระเงินโดยสมัครใจ ทำให้ยอดเงินที่จ่ายสุดท้ายอยู่ที่ 72,000 ยูโร.

ประเด็นในมาตรา 6 เกี่ยวข้องกับพื้นฐานทางกฎหมายสำหรับการประมวลผลที่ดำเนินการผ่านแพลตฟอร์มโฆษณา ส่วนประเด็นในมาตรา 27 เป็นบทเรียนสำคัญสำหรับทีมงานด้านความเป็นส่วนตัวที่ให้การสนับสนุนองค์กรนอกสหภาพยุโรป เนื่องจากเกี่ยวข้องกับธรรมาภิบาลมากกว่ารายละเอียดการประมวลผล: บริษัทนั้นมีตัวแทนในสหภาพยุโรปที่ได้รับการแต่งตั้งอย่างถูกต้องหรือไม่?

เหตุใด AEPD จึงพิจารณาว่าตัวแทนนั้นไม่ถูกต้อง

จากผลการตรวจสอบของ AEPD พบว่า Tiger Media ได้ระบุตัวแทนที่ตั้งอยู่ในไอร์แลนด์เหนือ และระบุว่ากำลังดำเนินการแต่งตั้งตัวแทนคนใหม่ในประเทศสมาชิกสหภาพยุโรป AEPD จึงสรุปว่า ด้วยเหตุนี้ ปัจจุบัน Tiger Media จึงไม่มีตัวแทนในสหภาพยุโรปที่ถูกต้องตามกฎหมาย GDPR.

ความแตกต่างนี้มีความสำคัญ ตัวแทน “ที่อยู่ระหว่างดำเนินการ” ไม่เหมือนกับตัวแทนที่ได้รับการแต่งตั้งอย่างถูกต้องเป็นลายลักษณ์อักษร ตั้งอยู่ในเขตแดนที่ถูกต้อง และพร้อมที่จะทำหน้าที่เป็นจุดติดต่อสำหรับสหภาพยุโรป มติของ AEPD ยังระบุด้วยว่า Tiger Media ให้บริการโฆษณาสำหรับผู้ใหญ่บนเว็บไซต์ของสเปนอย่างน้อยสามแห่ง ซึ่งเชื่อมโยงการประมวลผลกับบุคคลในสเปน และสนับสนุนการวิเคราะห์ขอบเขตทางภูมิศาสตร์ภายใต้มาตรา 3(2) ของ GDPR.

แม้ว่าบริษัทจะระบุเจตนาที่จะแต่งตั้งตัวแทนที่ตั้งอยู่ในสหภาพยุโรป แต่ก็ไม่ได้ช่วยป้องกันการค้นพบดังกล่าวได้ จากมุมมองของหน่วยงานกำกับดูแล ผลลัพธ์ดังกล่าวเป็นสิ่งที่คาดเดาได้ เพราะข้อผูกพันตามมาตรา 27 จะมีผลบังคับใช้เมื่อการประมวลผลอยู่ในขอบเขต ไม่ใช่เฉพาะเมื่อการสอบสวนเริ่มขึ้นแล้วเท่านั้น.

ข้อกำหนดเรื่องผู้แทนสหภาพยุโรปตามมาตรา 27 นั้นมีความหมายมากกว่าแค่ที่อยู่สำหรับติดต่อ

มาตรา 27 ของ GDPR มีผลบังคับใช้โดยทั่วไปในกรณีที่ผู้ควบคุมหรือผู้ประมวลผลไม่มีสถานประกอบการในสหภาพยุโรป แต่ยังคงอยู่ภายใต้ GDPR ตามมาตรา 3(2) — โดยทั่วไปเนื่องจากเสนอสินค้าหรือบริการแก่ผู้คนในสหภาพยุโรปหรือตรวจสอบพฤติกรรมของพวกเขาที่นั่น ในสถานการณ์ดังกล่าว ผู้ควบคุมหรือผู้ประมวลผลต้องแต่งตั้งตัวแทนในสหภาพยุโรปเป็นลายลักษณ์อักษร เว้นแต่จะมีข้อยกเว้นเฉพาะเจาะจง.

สำนักงานคุ้มครองข้อมูลส่วนบุคคลแห่งสหภาพยุโรป (AEPD) ระบุอย่างชัดเจนว่า ตัวแทนของผู้ควบคุมหรือผู้ประมวลผลข้อมูลนอกสหภาพยุโรปไม่ได้เป็นเพียงจุดติดต่อเท่านั้น บทบาทดังกล่าวรวมถึงการประสานงานกับหน่วยงานกำกับดูแลและการสนับสนุนการดำเนินงานด้านความรับผิดชอบ และ AEPD ตั้งข้อสังเกตว่า การขาดตัวแทนที่ได้รับการแต่งตั้งอย่างถูกต้องอาจส่งผลกระทบต่อระบบการปฏิบัติตาม GDPR โดยรวม.

สำหรับคำอธิบายโดยละเอียดเกี่ยวกับข้อผูกพัน โปรดดูที่ ผู้แทนสหภาพยุโรป ตามมาตรา 27 ของ GDPR. สำหรับข้อมูลเพิ่มเติม โปรดดูที่... ผู้แทนด้านการคุ้มครองข้อมูลของสหภาพยุโรป.

บริบทของการโฆษณาและคุกกี้เผยให้เห็นช่องว่างอย่างไร

แม้ว่าข้อค้นพบตามมาตรา 27 จะเป็นบทเรียนสำคัญ แต่การสืบสวนในวงกว้างเริ่มต้นด้วยการประมวลผลที่เกี่ยวข้องกับการโฆษณา หน่วยงาน AEPD ได้ตรวจสอบบทบาทของแพลตฟอร์มในการส่งมอบและวัดผลโฆษณา และบันทึกข้อมูลหลายประเภท รวมถึงรายละเอียดอุปกรณ์ ระบบปฏิบัติการ ข้อมูลเบราว์เซอร์ ที่อยู่ IP เว็บไซต์และ URL อ้างอิง การคลิก การแสดงผล ตำแหน่งที่ตั้งที่ได้จาก IP และตัวระบุคุกกี้ นอกจากนี้ AEPD ยังพบว่ามีการติดตั้งคุกกี้โดยไม่ได้รับความยินยอมบนเว็บไซต์ที่ใช้แพลตฟอร์มดังกล่าว.

รูปแบบนี้พบได้ทั่วไปในการบังคับใช้กฎหมาย AEPD: หน่วยงานจะเปิดการตรวจสอบโดยมุ่งเน้นไปที่คุกกี้ การยินยอม หรือพื้นฐานทางกฎหมาย และการตรวจสอบจะขยายไปสู่ภาระผูกพันด้านการกำกับดูแล ซึ่งรวมถึงว่าองค์กรนั้นมีตัวแทนในสหภาพยุโรปที่ถูกต้องหรือไม่.

ใครบ้างที่ควรทบทวนบทบาทของตนในฐานะผู้แทนสหภาพยุโรป

องค์กรนอกสหภาพยุโรปควรประเมินสถานะของตนภายใต้มาตรา 27 อีกครั้ง หากไม่มีสถานประกอบการในสหภาพยุโรป แต่ตั้งใจที่จะติดต่อกับผู้คนในสหภาพยุโรปผ่านเว็บไซต์ แอปพลิเคชัน การสมัครสมาชิก แพลตฟอร์ม SaaS ตลาดออนไลน์ การโฆษณา การวิเคราะห์ หรือเทคโนโลยีการติดตาม ประเด็นสำคัญไม่ใช่ว่าบริษัทนั้นเป็น “บริษัทในยุโรป” ในแง่ของการสร้างแบรนด์หรือไม่ แต่เป็นว่าการประมวลผลข้อมูลของบริษัทนั้นอยู่ภายใต้ขอบเขตทางภูมิศาสตร์ของ GDPR หรือไม่.

การรีวิวจะคุ้มค่าเป็นพิเศษหากมีข้อใดข้อหนึ่งต่อไปนี้เกิดขึ้น:

• เว็บไซต์ แอป หรือแพลตฟอร์มของคุณพร้อมให้บริการแก่ผู้ใช้ในสเปนหรือประเทศสมาชิกสหภาพยุโรปอื่นๆ และไม่ได้เป็นเพียงการเข้าถึงแบบไม่เชิงรุกเท่านั้น.
• คุณสามารถกำหนดกลุ่มเป้าหมายผู้ใช้ในสหภาพยุโรปได้ผ่านทางภาษา สกุลเงิน แคมเปญการตลาด ตัวเลือกการจัดส่ง โดเมนท้องถิ่น การเริ่มต้นใช้งานที่เน้นสหภาพยุโรป หรือกิจกรรมการขาย.
• คุณตรวจสอบพฤติกรรมในสหภาพยุโรปผ่านคุกกี้ พิกเซล ตัวระบุอุปกรณ์ การวิเคราะห์ การวัดผลโฆษณา การตรวจจับการฉ้อโกง การจำกัดความถี่ หรือเทคโนโลยีที่คล้ายคลึงกัน.
• คุณดำเนินการประมวลผลข้อมูลส่วนบุคคลของสหภาพยุโรปในฐานะผู้ประมวลผลข้อมูลให้กับลูกค้า ผู้เผยแพร่ ผู้โฆษณา หรือพันธมิตร.
• ในประกาศความเป็นส่วนตัวของคุณ ระบุชื่อผู้ติดต่อในสหราชอาณาจักร สวิตเซอร์แลนด์ สหรัฐอเมริกา หรือประเทศอื่นๆ นอกสหภาพยุโรป เสมือนว่าเป็นตัวแทนตามมาตรา 27 ของสหภาพยุโรป.
• องค์กรของคุณได้แต่งตั้งตัวแทนก่อน Brexit หรือก่อนการปรับโครงสร้างองค์กร และไม่ได้มีการตรวจสอบการแต่งตั้งดังกล่าวอีกเลยนับตั้งแต่นั้นมา.
• คุณอ้างอิงข้อยกเว้น "การประมวลผลเป็นครั้งคราว" โดยไม่ได้จัดทำเอกสารอธิบายว่าทำไมจึงสามารถนำมาใช้ได้จริง.

ประเด็นข้อยกเว้นนี้สมควรได้รับการพิจารณาเป็นพิเศษ มาตรา 27 ไม่ได้ใช้ได้ในทุกกรณี — มีข้อยกเว้นอยู่หลายประการ รวมถึงการประมวลผลข้อมูลเป็นครั้งคราวบางอย่างที่ไม่น่าจะทำให้สิทธิและเสรีภาพของบุคคลตกอยู่ในความเสี่ยง และไม่เกี่ยวข้องกับข้อมูลประเภทพิเศษหรือข้อมูลความผิดทางอาญาในวงกว้าง แต่ข้อยกเว้นนั้นควรนำมาใช้โดยเจตนาและมีการบันทึกไว้ ไม่ใช่สันนิษฐานโดยอัตโนมัติ.

รายการตรวจสอบการปฏิบัติตามกฎระเบียบอย่างเป็นรูปธรรมหลังคำตัดสินของ Tiger Media

การตอบสนองที่ถูกต้องต่อค่าปรับ AEPD นี้ไม่ใช่การเร่งรีบโดยไม่จำเป็น แต่เป็นการตรวจสอบการปฏิบัติตามกฎระเบียบอย่างมีเป้าหมาย ช่องโหว่ในมาตรา 27 มักแก้ไขได้ง่าย และเนื่องจากรายละเอียดที่สำคัญปรากฏอยู่ในประกาศความเป็นส่วนตัวสาธารณะ หน่วยงานกำกับดูแล ผู้ใช้ พันธมิตร หรือผู้ร้องเรียนจึงสามารถตรวจพบได้อย่างรวดเร็ว.

• จัดทำแผนที่แสดงกิจกรรมการประมวลผลที่เกี่ยวข้องกับสหภาพยุโรป. ระบุว่าองค์กรของคุณให้บริการแก่ผู้คนในสหภาพยุโรปหรือตรวจสอบพฤติกรรมในสหภาพยุโรปในส่วนใดบ้าง.
• โปรดตรวจสอบว่าคุณมีสถานประกอบการในสหภาพยุโรปหรือไม่. ถ้าไม่เป็นเช่นนั้น ให้ประเมินว่ามาตรา 3(2) นำการประมวลผลเข้ามาอยู่ในขอบเขตอาณาเขตของ GDPR หรือไม่.
• โปรดตรวจสอบข้อยกเว้นใดๆ อย่างละเอียดถี่ถ้วน. หากคุณเชื่อว่ามาตรา 27 ไม่สามารถนำมาใช้ได้ ให้บันทึกเหตุผลไว้ และทบทวนอีกครั้งเมื่อรูปแบบธุรกิจเปลี่ยนแปลงไป.
• ตรวจสอบสถานที่ตั้งของตัวแทน. ตัวแทนจะต้องมีที่ตั้งอยู่ในสหภาพยุโรป.
• นัดหมายต้องทำเป็นลายลักษณ์อักษร. กำหนดขอบเขต หน้าที่ความร่วมมือ และขั้นตอนการตอบสนองอย่างชัดเจน.
• ปรับปรุงประกาศสาธารณะ. นโยบายความเป็นส่วนตัวควรระบุรายละเอียดการติดต่อที่ถูกต้องและเป็นปัจจุบัน และควรหลีกเลี่ยงการอ้างอิงข้อมูลที่ล้าสมัย.
• ปรับกระบวนการทำงานภายในให้สอดคล้องกัน. ทีมงานด้านการสนับสนุน กฎหมาย ความปลอดภัย และความเป็นส่วนตัว ควรทราบวิธีการส่งต่อการสื่อสารไปยังเจ้าของข้อมูลหรือหน่วยงานกำกับดูแลของสหภาพยุโรป.
• รักษาบันทึกให้เป็นปัจจุบันอยู่เสมอ. เอกสารเกี่ยวกับการประมวลผล ข้อมูลคุกกี้ การประเมินพื้นฐานทางกฎหมาย และไฟล์ของผู้ขาย ควรตรงกับสิ่งที่ระบุไว้ในนโยบายความเป็นส่วนตัว.
• ตรวจสอบหลังจากมีการเปลี่ยนแปลงครั้งใหญ่. โปรดตรวจสอบการนัดหมายอีกครั้งหลังจากมีการเปลี่ยนแปลงที่เกี่ยวข้องกับ Brexit การควบรวมกิจการ การเปิดตัวผลิตภัณฑ์ใหม่ การขยายตลาด หรือเทคโนโลยีการติดตามใหม่ๆ.

ไม่แน่ใจว่าการแต่งตั้งปัจจุบันของคุณจะยังคงมีผลใช้ได้ภายใต้การวิเคราะห์นี้หรือไม่? DilicheckRep ตรวจสอบการจัดเตรียมตัวแทนของสหภาพยุโรปตามมาตรา 27 ตรวจสอบสถานที่ตั้งและอำนาจหน้าที่ของตัวแทน และชี้ให้เห็นช่องโหว่ก่อนที่หน่วยงานกำกับดูแลจะเข้ามาตรวจสอบ.

รับการตรวจสอบการเป็นตัวแทนตามมาตรา 27 จาก DilicheckRep →

ค่าปรับของ AEPD ครั้งนี้บ่งชี้อะไรเกี่ยวกับความคาดหวังของหน่วยงานกำกับดูแลในสเปน

คำตัดสินของศาลในคดี Tiger Media ยืนยันว่าการบังคับใช้กฎหมายคุ้มครองข้อมูลในสเปนครอบคลุมทั้งประเด็นการประมวลผลข้อมูลและภาระผูกพันด้านการกำกับดูแล AEPD ไม่ได้มองว่าข้อกำหนดเรื่องตัวแทนของสหภาพยุโรปเป็นเพียงเรื่องทางเทคนิคเล็กน้อย แต่ได้กำหนดบทลงโทษตามมาตรา 27 ไว้ที่ 50,000 ยูโร และสั่งให้ดำเนินการแก้ไข รวมถึงให้ Tiger Media แต่งตั้งตัวแทนของสหภาพยุโรปที่ถูกต้องตามกฎหมาย.

มติฉบับนี้ยังระบุอย่างชัดเจนว่า การชำระเงินและการยอมรับความรับผิดชอบไม่ได้ขจัดภาระผูกพันพื้นฐานในการแก้ไขปัญหา AEPD สั่งให้ Tiger Media แจ้งให้หน่วยงานทราบภายในสามเดือนนับจากวันที่มติมีผลบังคับใช้ เกี่ยวกับการนำมาตรการแก้ไขที่ระบุไว้ในคำตัดสินมาใช้.

ข้อสรุปสำคัญสำหรับธุรกิจนอกสหภาพยุโรป

คำตัดสินของศาลในคดี Tiger Media ได้ตีความมาตรา 27 ใหม่ให้เป็นประเด็นด้านการกำกับดูแลในทางปฏิบัติ กล่าวคือ หากบริษัทของคุณอยู่นอกสหภาพยุโรป แต่เข้าถึงหรือติดตามผู้คนในสหภาพยุโรป ใครคือตัวแทนที่ถูกต้องตามกฎหมายของคุณในสหภาพยุโรปในปัจจุบัน — ไม่ใช่คนที่คุณวางแผนจะแต่งตั้ง ไม่ใช่คนที่ระบุไว้เมื่อหลายปีก่อน และไม่ใช่ผู้ติดต่อที่อยู่นอกสหภาพ แต่เป็นตัวแทนที่ได้รับการแต่งตั้งอย่างถูกต้องและสามารถดำเนินการได้ในขณะนี้.

คำถามที่พบบ่อย

ข้อกำหนดเกี่ยวกับผู้แทนสหภาพยุโรปตามมาตรา 27 ของ GDPR คืออะไร? มาตรา 27 ของ GDPR กำหนดให้ผู้ควบคุมและผู้ประมวลผลที่ไม่มีสถานประกอบการในสหภาพยุโรป แต่อยู่ภายใต้ GDPR ตามมาตรา 3(2) ต้องแต่งตั้งตัวแทนในสหภาพยุโรปเป็นลายลักษณ์อักษร เว้นแต่จะมีข้อยกเว้นที่จำกัด.

Tiger Media ถูกปรับโดย AEPD เป็นจำนวนเงินเท่าไหร่? AEPD ยืนยันค่าปรับรวมทั้งสิ้น 120,000 ยูโร ก่อนหักลด โดยแบ่งเป็น 70,000 ยูโร สำหรับการละเมิดมาตรา 6 ของ GDPR และ 50,000 ยูโร สำหรับการละเมิดมาตรา 27 ของ GDPR หลังจากหักลดเนื่องจากการยอมรับความรับผิดชอบและการชำระเงินโดยสมัครใจแล้ว Tiger Media จ่ายเงินไป 72,000 ยูโร.

เหตุใด AEPD จึงตัดสินว่าตัวแทนของ Tiger Media ในสหภาพยุโรปไม่มีสิทธิ์? ตัวแทนที่จดทะเบียนของ Tiger Media ตั้งอยู่ในไอร์แลนด์เหนือ และบริษัทระบุว่ากำลังอยู่ในขั้นตอนการแต่งตั้งตัวแทนในประเทศสมาชิกสหภาพยุโรป หน่วยงานตรวจสอบการคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป (AEPD) สรุปว่าขณะนี้ไม่มีตัวแทนที่ถูกต้องตามกฎหมายในสหภาพยุโรป.

บริษัทนอกสหภาพยุโรปใดบ้างที่ต้องแต่งตั้งตัวแทนในสหภาพยุโรปภายใต้ GDPR? บริษัทนอกสหภาพยุโรปที่เสนอสินค้าหรือบริการให้กับผู้คนในสหภาพยุโรป หรือตรวจสอบพฤติกรรมของพวกเขาในสหภาพยุโรป โดยทั่วไปจะอยู่ภายใต้ขอบเขตทางภูมิศาสตร์ของ GDPR ตามมาตรา 3(2) และต้องแต่งตั้งตัวแทนในสหภาพยุโรป เว้นแต่จะมีข้อยกเว้นที่ระบุไว้เป็นลายลักษณ์อักษร.

DilicheckRep ให้บริการเป็นตัวแทนด้านกฎระเบียบอย่างเป็นทางการของสหภาพยุโรปและสหราชอาณาจักร — รวมถึงมาตรา 27 ของ GDPR, กฎหมาย AI ของสหภาพยุโรป, กฎหมายบริการดิจิทัล, กฎหมายข้อมูล และบริการจุดติดต่อ NIS2 — พร้อมเอกสารแสดงอำนาจหน้าที่และการจัดการการสื่อสารระหว่างหน่วยงานและเจ้าของข้อมูลอย่างเป็นระบบ.

ตรวจสอบขอบเขตการเป็นตัวแทนของคุณในสหภาพยุโรปด้วย DilicheckRep

ข้อสงวนสิทธิ์: คู่มือนี้จัดทำขึ้นเพื่อเป็นข้อมูลทั่วไปเท่านั้นและไม่ถือเป็นคำแนะนำทางกฎหมาย การบังคับใช้กฎหมายคุ้มครองข้อมูลของสหภาพยุโรปและข้อกำหนดทางกฎหมายอื่นๆ ขึ้นอยู่กับสถานการณ์เฉพาะของแต่ละองค์กร คุณควรขอคำแนะนำทางกฎหมายที่เหมาะสมหากจำเป็นก่อนที่จะนำข้อมูลนี้ไปใช้หรือตัดสินใจเกี่ยวกับการปฏิบัติตามกฎหมาย.

หมายเหตุจาก AI: บทความนี้จัดทำโดยผู้เชี่ยวชาญด้านความเป็นส่วนตัวโดยใช้ AI ช่วย.