Son güncelleme: Ağustos 2026

Vaka İncelemesi: AEPD, GDPR Madde 27 AB Temsilcilik Açığı Nedeniyle Tiger Media'ya Para Cezası Kesti

2025 yılında, İspanya Veri Koruma Ajansı (AEPD), reklamla ilgili veri işleme ve şirketin mevzuata uyumuyla ilgili bir soruşturmanın ardından Tiger Media Inc.'e karşı yaptırımlar uyguladığını doğruladı. GDPR Madde 27 AB temsilcilik şartı. Bu AEPD cezası, AB üyesi olmayan birçok işletmenin hafife aldığı bir noktayı somut bir şekilde hatırlatıyor: AB temsilcisi atamak, gizlilik politikasında gizlenmiş bir formalite değil. Bu, uygulanabilir bir yükümlülüktür ve İspanyol veri koruma yaptırımları buna göre hareket etmeye hazırdır.

Bu makale, kararı 2025 yılı için bir uygulama örneği olarak ele alıyor (son dakika haberi değil) ve nelerin yanlış gittiğini, AEPD'nin Tiger Media'nın temsilcilik düzenlemesini neden reddettiğini ve bunun sonuçlarını açıklıyor. AB temsilcisi şartı Bu, pratikte AB üyesi olmayan diğer kuruluşlar için ne anlama geliyor?.

Tiger Media Davasında Neler Oldu?

AEPD, reklam teknolojileri aracılığıyla işlenen kişisel verilerle bağlantılı potansiyel veri koruma sorunlarını tespit ettikten sonra, yayıncılar ve reklamverenler tarafından kullanılan bir reklam platformunun işletmecisi olan Tiger Media Inc. hakkında soruşturma başlattı. Nihai kararında (AEPD süreci PS/00480/2025AEPD, iki ayrı yaptırımı onayladı: GDPR Madde 6 ihlali için 70.000 € ve GDPR Madde 27 ihlali için 50.000 € olmak üzere toplamda indirimler öncesinde 120.000 € tutarında yaptırım uygulandı. Tiger Media, sorumluluğun kabulü ve gönüllü ödeme için mevcut indirimleri uygulayarak ödenen nihai tutarı 72.000 €'ya düşürdü.

Madde 6 unsuru, reklam platformu aracılığıyla gerçekleştirilen işlemenin yasal dayanağıyla ilgiliydi. Madde 27 unsuru ise, AB dışı kuruluşları destekleyen gizlilik ekipleri için önemli bir derstir çünkü işleme ayrıntılarından ziyade yönetişime odaklanır: Şirketin AB'de usulüne uygun olarak atanmış bir temsilcisi var mıydı?

AEPD'nin Temsilciyi Neden Geçersiz Saydığı

AEPD'nin bulgularına göre, Tiger Media Kuzey İrlanda'da bulunan bir temsilci belirlemiş ve bir AB üye devletinde yedek bir temsilci atama sürecinde olduğunu belirtmiştir. AEPD, bunun sonucunda Tiger Media'nın GDPR amaçları doğrultusunda geçerli bir AB temsilcisine sahip olmadığı sonucuna varmıştır.

Bu ayrım önemlidir. "Süreç halindeki" bir temsilci, usulüne uygun olarak yazılı olarak atanmış, doğru bölgede yerleşik ve AB ile temas noktası olarak hareket etmeye hazır bir temsilciyle aynı şey değildir. AEPD'nin kararı ayrıca Tiger Media'nın en az üç İspanyol web sitesinde yetişkinlere yönelik reklam hizmetleri sunduğunu, bu durumun işlemeyi İspanya'daki bireylerle ilişkilendirdiğini ve GDPR Madde 3(2) kapsamındaki bölgesel kapsam analizini desteklediğini belirtmiştir.

Şirketin AB merkezli bir temsilci atama niyetini açıklaması, bu bulguyu engellemedi. Bir düzenleyici kurumun bakış açısından, bu sonuç tahmin edilebilir: Madde 27 yükümlülüğü, yalnızca soruşturma başlatıldıktan sonra değil, işleme kapsam içine girdiği anda geçerlidir.

AB Madde 27'deki Temsilci Gerekliliği, Bir İletişim Adresinden Daha Fazlasını İçerir

GDPR Madde 27, genel olarak, veri sorumlusu veya veri işleyicisinin AB'de bir kuruluşu olmamasına rağmen, Madde 3(2) uyarınca GDPR'ye tabi olduğu durumlarda uygulanır; bu durum genellikle AB'deki kişilere mal veya hizmet sunması veya oradaki davranışlarını izlemesi nedeniyledir. Bu durumlarda, dar bir istisna uygulanmadığı sürece, veri sorumlusu veya veri işleyicisi, Birlik içinde yazılı olarak bir temsilci atamalıdır.

AEPD, AB dışı bir veri sorumlusu veya veri işleyicisinin temsilcisinin sadece bir irtibat noktası olmadığını açıkça belirtti. Bu rol, denetleyici makamlarla işbirliğini ve hesap verebilirlik operasyonlarına desteği içerir ve AEPD, usulüne uygun olarak atanmış bir temsilcinin yokluğunun GDPR uyumluluk sistemini bir bütün olarak etkileyebileceğini kaydetti.

Yükümlülüğün daha ayrıntılı açıklaması için bakınız. GDPR Madde 27 AB temsilcisi. Daha kapsamlı bilgi için bakınız. AB veri koruma temsilcisi.

Reklam ve Çerez Bağlamının Ortaya Çıkardığı Boşluğu Nasıl Belirledi?

Madde 27 bulgusu temel ders olsa da, daha geniş kapsamlı soruşturma reklamla ilgili işlemeyle başladı. AEPD, platformun reklam sunma ve ölçme rolünü inceledi ve cihaz ayrıntıları, işletim sistemi, tarayıcı bilgileri, IP adresi, web sitesi ve yönlendirme URL'leri, tıklamalar, gösterimler, IP'den türetilen konum ve çerez tanımlayıcıları dahil olmak üzere veri kategorilerini kaydetti. AEPD ayrıca, platformu kullanan web sitelerine rıza olmadan çerezlerin yüklendiğini de tespit etti.

Bu model, AEPD uygulamalarında yaygındır: bir yetkili makam, çerezler, onay veya yasal dayanak odaklı bir inceleme başlatır ve inceleme daha sonra kuruluşun geçerli bir AB temsilcisine sahip olup olmadığı da dahil olmak üzere yönetişim yükümlülüklerini kapsayacak şekilde genişler.

AB Temsilciliği Pozisyonlarını Kimler Yeniden Değerlendirmeli?

AB üyesi olmayan kuruluşlar, AB'de bir kuruluşları olmamasına rağmen web siteleri, uygulamalar, abonelikler, SaaS platformları, pazar yerleri, reklamlar, analizler veya izleme teknolojileri aracılığıyla AB'deki kişilerle kasıtlı olarak etkileşimde bulunuyorlarsa, Madde 27 kapsamındaki durumlarını yeniden değerlendirmelidirler. İlgili soru, şirketin marka açısından "Avrupalı" olup olmadığı değil, veri işleme faaliyetlerinin GDPR'nin bölgesel kapsamına girip girmediğidir.

Aşağıdakilerden herhangi biri geçerliyse, değerlendirme yapmanız özellikle faydalı olacaktır:

• Web siteniz, uygulamanız veya platformunuz İspanya'daki veya diğer AB üye devletlerindeki kullanıcılara açıktır ve yalnızca pasif erişimle sınırlı değildir.
• AB kullanıcılarını dil, para birimi, pazarlama kampanyaları, kargo seçenekleri, yerel alan adları, AB odaklı kayıt süreci veya satış faaliyetleri aracılığıyla hedefliyorsunuz.
• AB'deki davranışları çerezler, pikseller, cihaz tanımlayıcıları, analizler, reklam ölçümü, dolandırıcılık tespiti, sıklık sınırlaması veya benzer teknolojiler aracılığıyla izliyorsunuz.
• AB kişisel verilerini müşterileriniz, yayıncılarınız, reklamverenleriniz veya ortaklarınız adına veri işleyicisi olarak işliyorsunuz.
• Gizlilik bildiriminizde Birleşik Krallık, İsviçre, ABD veya AB üyesi olmayan başka bir ülkeden bir irtibat kişisi, sanki AB Madde 27 temsilcisiymiş gibi belirtilmiş.
• Kuruluşunuz Brexit öncesinde veya kurumsal yeniden yapılanmadan önce bir temsilci atamış ve bu atama o zamandan beri kontrol edilmemiştir.
• "Ara sıra işleme" istisnasına, bunun neden gerçekten geçerli olduğunu belgelemeden güveniyorsunuz.

İstisna noktası özellikle dikkat gerektirir. Madde 27 her durumda uygulanmaz; bireylerin hak ve özgürlüklerini tehlikeye atması muhtemel olmayan ve büyük ölçekli özel kategori veya suç verilerini içermeyen bazı ara sıra yapılan işlemler de dahil olmak üzere istisnalar vardır. Ancak bu istisna, varsayılan olarak kabul edilmemeli, kasıtlı olarak uygulanmalı ve belgelenmelidir.

Tiger Media Kararından Sonra Pratik Bir Uyumluluk Kontrol Listesi

Bu AEPD cezasına verilecek doğru yanıt, sırf aciliyet olsun diye değil, odaklanmış bir uyumluluk kontrolüdür. Madde 27'deki eksikliklerin giderilmesi genellikle kolaydır ve temsili ayrıntılar kamuya açık gizlilik bildirimlerinde yer aldığından, düzenleyiciler, kullanıcılar, ortaklar veya şikayetçiler tarafından hızlı bir şekilde tespit edilebilirler.

• AB'ye yönelik işleme faaliyetlerini haritalandırın. Kuruluşunuzun AB'deki kişilere hizmet sunduğu veya AB'deki davranışları izlediği yerleri belirleyin.
• AB'de bir kuruluşunuzun olup olmadığını teyit edin. Aksi takdirde, Madde 3(2)'nin işlemeyi GDPR'nin bölgesel kapsamına sokup sokmadığını değerlendirin.
• Her muafiyeti dikkatlice test edin. Madde 27'nin geçerli olmadığını düşünüyorsanız, gerekçelerinizi kaydedin ve iş modeli değiştikçe tekrar gözden geçirin.
• Temsilcinin konumunu kontrol edin. Temsilcinin AB'de yerleşik olması gerekmektedir.
• Randevuyu yazılı olarak kaydedin. Kapsamı, iş birliği görevlerini ve müdahale iş akışlarını açıkça tanımlayın.
• Kamu duyurularını güncelleyin. Gizlilik bildirimlerinde doğru ve güncel iletişim bilgileri yer almalı ve güncelliğini yitirmiş referanslardan kaçınılmalıdır.
• Dahili iş akışlarını uyumlu hale getirin. Destek, hukuk, güvenlik ve gizlilik ekipleri, AB veri sahibi veya düzenleyici kurum iletişimlerini nasıl yönlendireceklerini bilmelidir.
• Kayıtları güncel tutun. Veri işleme kayıtları, çerez dokümantasyonu, yasal dayanak değerlendirmeleri ve tedarikçi dosyaları, gizlilik bildiriminde belirtilenlerle örtüşmelidir.
• Önemli değişikliklerden sonra gözden geçirin. Brexit ile ilgili değişiklikler, birleşmeler, yeni ürün lansmanları, pazar genişlemesi veya yeni takip teknolojileri sonrasında randevuyu yeniden kontrol edin.

Mevcut görevinizin bu analize göre geçerliliğini koruyacağından emin değil misiniz? DilicheckRep, AB temsilcilik düzenlemelerini 27. Maddeye göre inceler, temsilcinin konumunu ve yetki alanını kontrol eder ve düzenleyici kurumdan önce eksiklikleri belirler.

DilicheckRep'ten Madde 27 temsil incelemesi alın →

Bu AEPD Para Cezası İspanya'daki Düzenleyici Kurumların Beklentileri Hakkında Ne Anlama Geliyor?

Tiger Media kararı, İspanya'daki veri koruma uygulamalarının hem esaslı işleme konularını hem de yönetişim yükümlülüklerini kapsadığını teyit etmektedir. AEPD, AB temsilcisi şartını önemsiz bir teknik ayrıntı olarak ele almamış, 27. Madde uyarınca 50.000 € para cezası belirlemiş ve Tiger Media'nın geçerli bir AB temsilcisi ataması da dahil olmak üzere düzeltici önlemler alınmasını emretmiştir.

Kararda ayrıca, ödeme ve sorumluluğun kabul edilmesinin, sorunu giderme yükümlülüğünü ortadan kaldırmadığı da açıkça belirtilmiştir. AEPD, Tiger Media'ya, kararın kesinleşip yürürlüğe girmesinden itibaren üç ay içinde, kararda açıklanan düzeltici önlemlerin alındığını kuruma bildirmesini emretti.

AB üyesi olmayan işletmeler için en önemli çıkarım

Tiger Media kararı, 27. Maddeyi pratik bir yönetim sorunu olarak yeniden ele alıyor: Şirketiniz AB dışında bulunuyor ancak AB'deki kişilere ulaşıyor veya onları izliyorsa, bugün geçerli AB temsilciniz kimdir? Bu, atamayı planladığınız kişi, yıllar önce listede yer alan kişi veya Birlik dışında bulunan bir irtibat kişisi değil, usulüne uygun olarak atanmış ve şu anda hareket edebilen temsilcidir.

Sıkça Sorulan Sorular

GDPR Madde 27'deki AB temsilci zorunluluğu nedir? GDPR Madde 27, AB'de kuruluşu bulunmayan ancak Madde 3(2) uyarınca GDPR'ye tabi olan veri sorumlularının ve veri işleyicilerinin, dar bir istisna uygulanmadığı sürece, Birlik içinde yazılı olarak bir temsilci atamasını gerektirir.

AEPD, Tiger Media'ya ne kadar para cezası kesti? AEPD, indirimler öncesinde toplam 120.000 € tutarında yaptırımı onayladı: 6. Madde GDPR ihlali için 70.000 € ve 27. Madde GDPR ihlali için 50.000 €. Sorumluluğun kabulü ve gönüllü ödeme nedeniyle yapılan indirimlerden sonra Tiger Media 72.000 € ödedi.

AEPD neden Tiger Media'nın AB temsilcisini geçersiz buldu? Tiger Media'nın kayıtlı temsilcisi Kuzey İrlanda'da bulunuyordu ve şirket, bir AB üye devletinde temsilci atama sürecinde olduğunu belirtti. AEPD, bunun şu anda geçerli bir AB temsilcisinin bulunmadığı anlamına geldiği sonucuna vardı.

GDPR kapsamında hangi AB üyesi olmayan şirketlerin bir AB temsilcisi ataması gerekiyor? AB'de bulunan kişilere mal veya hizmet sunan veya oradaki davranışlarını izleyen AB dışı şirketler, genellikle Madde 3(2) uyarınca GDPR'nin bölgesel kapsamına girer ve belgelenmiş bir istisna uygulanmadığı sürece bir AB temsilcisi atamak zorundadır.

DilicheckRep, AB ve İngiltere'deki resmi düzenleyici temsil hizmeti sunmaktadır. — GDPR Madde 27, AB Yapay Zeka Yasası, Dijital Hizmetler Yasası, Veri Yasası ve NIS2 iletişim noktası hizmetleri dahil olmak üzere — yetki dokümantasyonu ve yetkili makam ile veri sahibi arasındaki iletişimin yapılandırılmış bir şekilde ele alınmasıyla.

DilicheckRep ile AB temsil kapsamınızı gözden geçirin.

Yasal Uyarı: Bu kılavuz yalnızca genel bilgi amaçlıdır ve yasal tavsiye niteliği taşımaz. AB veri koruma ve diğer düzenleyici gerekliliklerin uygulanması, her kuruluşun özel koşullarına bağlıdır. Bu bilgilere güvenmeden veya uyumluluk kararları almadan önce, gerektiğinde uygun yasal tavsiye almalısınız.

Yapay Zeka Uyarısı: Bu makale, bir Gizlilik uzmanı tarafından yapay zeka yardımıyla hazırlanmıştır.