Останнє оновлення: серпень 2026 р.

Тематичне дослідження: AEPD штрафує Tiger Media за порушення статті 27 GDPR у сфері представництва в ЄС

У 2025 році Іспанське агентство із захисту даних (AEPD) підтвердило санкції проти Tiger Media Inc. після розслідування обробки даних, пов'язаної з рекламою, та дотримання компанією вимог... Вимога щодо представника ЄС у статті 27 GDPR. Цей штраф AEPD є конкретним нагадуванням про те, що багато компаній, що не входять до ЄС, недооцінюють: призначення представника ЄС не є формальністю, захованою в політиці конфіденційності. Це зобов'язання, яке має бути виконане, і іспанські правоохоронні органи з захисту даних готові діяти відповідно до нього.

У цій статті рішення розглядається як приклад правозастосування 2025 року (не як термінова новина) та пояснюється, що пішло не так, чому AEPD відхилила представницьку угоду Tiger Media та що Вимога щодо представника ЄС засоби на практиці для інших організацій, що не входять до ЄС.

Що сталося у справі Tiger Media

AEPD розслідувала діяльність Tiger Media Inc., оператора рекламної платформи, що використовується видавцями та рекламодавцями, після виявлення потенційних проблем захисту даних, пов'язаних з персональними даними, обробленими за допомогою рекламних технологій. У своєму остаточному рішенні (Процедура AEPD PS/00480/2025), AEPD підтвердила дві окремі санкції: 70 000 євро за порушення статті 6 GDPR та 50 000 євро за порушення статті 27 GDPR, що доводить загальну суму до 120 000 євро до скорочень. Tiger Media застосувала доступні скорочення для визнання відповідальності та добровільної оплати, що доводить остаточну виплачену суму до 72 000 євро.

Елемент статті 6 стосувався правової основи для обробки даних, що здійснюється через рекламну платформу. Елемент статті 27 є ключовим уроком для команд із захисту конфіденційності, які підтримують організації з країн, що не входять до ЄС, оскільки він стосується управління, а не обробки даних: чи дійсно компанія мала представника в ЄС, належним чином призначеного?

Чому AEPD вважала представника недійсним

Згідно з висновками AEPD, Tiger Media визначила представника, що знаходиться в Північній Ірландії, та заявила, що перебуває в процесі призначення нового представника в державі-члені ЄС. AEPD дійшла висновку, що в результаті Tiger Media наразі не має дійсного представника в ЄС для цілей GDPR.

Ця відмінність має значення. Представник, який “перебуває в процесі”, не є тим самим представником, належним чином призначеним у письмовій формі, зареєстрованим на відповідній території та готовим діяти як контактна особа в ЄС. У резолюції AEPD також зазначалося, що Tiger Media пропонувала послуги реклами для дорослих щонайменше на трьох іспанських веб-сайтах, пов’язуючи обробку з особами в Іспанії та підтверджуючи аналіз територіального охоплення відповідно до статті 3(2) GDPR.

Заявлений намір компанії призначити представника з ЄС не завадив цьому висновку. З точки зору регулятора, такий результат є передбачуваним: зобов'язання за статтею 27 застосовується, як тільки обробка підпадає під дію закону, а не лише після початку розслідування.

Вимога щодо представника ЄС згідно зі статтею 27 – це більше, ніж просто контактна адреса

Стаття 27 GDPR застосовується в широкому сенсі, коли контролер або обробник не має представництва в ЄС, але, тим не менш, підпадає під дію статті 3(2) GDPR — зазвичай тому, що він пропонує товари чи послуги людям в ЄС або контролює їхню поведінку там. За таких обставин контролер або обробник повинен письмово призначити представника в Союзі, якщо не застосовується вузький виняток.

AEPD чітко зазначила, що представник контролера або обробника даних з-за меж ЄС – це не просто контактна особа. Ця роль включає співпрацю з наглядовими органами та підтримку операцій з підзвітності, і AEPD зазначила, що відсутність належним чином призначеного представника може вплинути на систему дотримання GDPR в цілому.

Для повнішого пояснення зобов'язання див. Представник ЄС у статті 27 GDPR. Для ширшого ознайомлення див. Представник ЄС із захисту даних.

Як контекст реклами та файлів cookie виявив прогалину

Хоча висновок, зроблений за статтею 27, є центральним уроком, ширше розслідування розпочалося з обробки даних, пов’язаної з рекламою. AEPD переглянула роль платформи в доставці та вимірюванні реклами та зафіксувала категорії даних, включаючи деталі пристрою, операційну систему, інформацію про браузер, IP-адресу, URL-адреси веб-сайту та переходів, кліки, покази, місцезнаходження, отримане за IP-адресою, та ідентифікатори файлів cookie. AEPD також виявила файли cookie, що встановлюються без згоди на веб-сайтах, що використовують платформу.

Така схема є поширеною у забезпеченні виконання AEPD: орган влади починає перевірку, зосереджену на файлах cookie, згоді або законних підставах, а потім перевірка розширюється на зобов'язання щодо управління, зокрема на те, чи має організація дійсного представника ЄС.

Кому слід переглянути свою позицію представника ЄС

Організації, що не входять до ЄС, повинні переглянути свою позицію щодо статті 27, якщо вони не мають представництва в ЄС, але навмисно взаємодіють з людьми в ЄС через веб-сайти, додатки, підписки, SaaS-платформи, торговельні майданчики, рекламу, аналітику або технології відстеження. Відповідне питання полягає не в тому, чи є компанія “європейською” з точки зору брендингу, а в тому, чи підпадає її обробка під територіальну сферу дії GDPR.

Огляд особливо доцільний, якщо застосовується будь-яка з наступних умов:

• Ваш веб-сайт, додаток або платформа доступні користувачам в Іспанії або інших державах-членах ЄС, а не просто пасивно доступні.
• Ви орієнтуєтесь на користувачів з ЄС за допомогою мови, валюти, маркетингових кампаній, варіантів доставки, локальних доменів, адаптації клієнтів, орієнтованої на ЄС, або активності з продажу.
• Ви відстежуєте поведінку в ЄС за допомогою файлів cookie, пікселів, ідентифікаторів пристроїв, аналітики, вимірювання реклами, виявлення шахрайства, обмеження частоти показів або аналогічних технологій.
• Ви обробляєте персональні дані ЄС як обробник для клієнтів, видавців, рекламодавців або партнерів.
• У вашому повідомленні про конфіденційність зазначено контактну особу з Великої Британії, Швейцарії, США або іншої країни поза ЄС так, ніби це представник ЄС згідно зі статтею 27.
• Ваша організація призначила представника до Brexit або до корпоративної реструктуризації, і з того часу це призначення не перевірялося.
• Ви покладаєтеся на виняток “епізодичне оброблення”, не задокументувавши, чому він справді застосовується.

Виняток заслуговує на особливу увагу. Стаття 27 застосовується не в кожному випадку — існують винятки, зокрема для певних епізодичних обробок, які навряд чи становитимуть загрозу правам і свободам осіб і не пов’язані з великомасштабними даними спеціальної категорії або даними про кримінальні правопорушення. Але цей виняток слід застосовувати навмисно та документувати, а не вважати його за замовчуванням.

Практичний контрольний список дотримання вимог після рішення Tiger Media

Правильною реакцією на цей штраф AEPD є не терміновість заради самої себе, а цілеспрямована перевірка на відповідність. Прогалини у статті 27 зазвичай легко виправити, а оскільки репрезентативна інформація міститься в публічних повідомленнях про конфіденційність, її можуть швидко помітити регуляторні органи, користувачі, партнери або скаржники.

• Карта діяльності з обробки, спрямованої на ЄС. Визначте, де ваша організація пропонує послуги людям у ЄС або контролює поведінку в ЄС.
• Підтвердіть, чи маєте ви представництво в ЄС. Якщо ні, оцініть, чи відносить стаття 3(2) обробку до територіальної сфери дії GDPR.
• Ретельно перевіряйте будь-який виняток. Якщо ви вважаєте, що стаття 27 не застосовується, запишіть обґрунтування та перегляньте його, коли бізнес-модель зміниться.
• Перевірте місцезнаходження представника. Представник повинен бути зареєстрований в ЄС.
• Зробіть запис на прийом письмово. Чітко визначте обсяг, обов'язки щодо співпраці та робочі процеси реагування.
• Оновити публічні оголошення. У повідомленнях про конфіденційність слід містити точні, актуальні контактні дані та уникати застарілих посилань.
• Узгодьте внутрішні робочі процеси. Команди підтримки, юридичного відділу, відділу безпеки та відділу конфіденційності повинні знати, як направляти повідомлення суб’єктів даних або регуляторних органів ЄС.
• Підтримуйте актуальність записів. Записи обробки, документація щодо файлів cookie, оцінки на правовій основі та файли постачальників повинні відповідати зазначеному в повідомленні про конфіденційність.
• Огляд після суттєвих змін. Перевірте запис на прийом після змін, пов'язаних з Brexit, злиттів, запуску нових продуктів, розширення ринку або нових технологій відстеження.

Не впевнені, що ваше поточне призначення витримає цей аналіз? DilicheckRep перевіряє домовленості щодо представництва в ЄС на відповідність статті 27, місцезнаходження та повноваження представника, а також виявляє прогалини, перш ніж це зробить регулятор.

Отримайте огляд представництва згідно зі статтею 27 від DilicheckRep →

Що цей штраф AEPD сигналізує про очікування регуляторів в Іспанії

Рішення у справі Tiger Media підтверджує, що забезпечення захисту даних в Іспанії охоплює як суттєві питання обробки, так і зобов'язання щодо управління. AEPD не розглядала вимогу щодо представника ЄС як незначну технічну деталь: вона встановила санкцію за статтею 27 у розмірі 50 000 євро та наказала вжити коригувальних заходів, зокрема, щоб Tiger Media призначила дійсного представника ЄС.

У постанові також чітко зазначено, що оплата та визнання відповідальності не знімають основного зобов'язання щодо вирішення проблеми. AEPD зобов'язала Tiger Media повідомити агентство протягом трьох місяців з моменту набрання чинності постановою про вжиття коригувальних заходів, описаних у рішенні.

Ключовий висновок для бізнесу поза межами ЄС

Рішення у справі Tiger Media переосмислює статтю 27 як практичне питання управління: якщо ваша компанія знаходиться за межами ЄС, але зв’язується з людьми в ЄС або контролює їх, хто є вашим дійсним представником у ЄС сьогодні — не той, кого ви плануєте призначити, не той, кого було внесено до списку багато років тому, і не контактна особа, що знаходиться за межами Союзу, а представник, належним чином призначений і здатний діяти зараз.

Часті запитання

Яка вимога до представника ЄС згідно зі статтею 27 GDPR? Стаття 27 GDPR вимагає від контролерів та обробників, які не мають представництва в ЄС, але на яких поширюється дія GDPR згідно зі статтею 3(2), письмово призначити представника в Союзі, якщо не застосовується вузький виняток.

На який розмір штрафу було накладено на Tiger Media AEPD? AEPD підтвердила санкції на загальну суму 120 000 євро до скорочень: 70 000 євро за порушення статті 6 GDPR та 50 000 євро за порушення статті 27 GDPR. Після скорочень за визнання відповідальності та добровільну оплату, Tiger Media сплатила 72 000 євро.

Чому AEPD визнала представника Tiger Media в ЄС недійсним? Представник Tiger Media, що зареєстрований на біржі, знаходився в Північній Ірландії, і компанія заявила, що перебуває в процесі призначення представника в державі-члені ЄС. AEPD дійшла висновку, що це означає, що наразі немає дійсного представника ЄС.

Які компанії, що не входять до ЄС, повинні призначити представника ЄС згідно з GDPR? Компанії, що не входять до ЄС, але пропонують товари чи послуги людям у ЄС або контролюють їхню поведінку там, зазвичай підпадають під територіальну сферу дії GDPR згідно зі статтею 3(2) і повинні призначити представника ЄС, якщо не застосовується документально підтверджений виняток.

DilicheckRep забезпечує офіційне представництво в регуляторних органах ЄС та Великої Британії — включаючи статтю 27 GDPR, Закон ЄС про штучний інтелект, Закон ЄС про цифрові послуги, Закон про дані та послуги контактних точок NIS2 — з документацією щодо мандатів та структурованою обробкою комунікацій між уповноваженими органами та суб’єктами даних.

Перегляньте обсяг вашого представництва в ЄС за допомогою DilicheckRep

Застереження: Цей посібник надається лише для загального ознайомлення та не є юридичною консультацією. Застосування вимог ЄС щодо захисту даних та інших нормативних вимог залежить від конкретних обставин кожної організації. За потреби вам слід отримати відповідну юридичну консультацію, перш ніж покладатися на цю інформацію або приймати рішення щодо дотримання вимог.

Повідомлення від штучного інтелекту: Цю статтю підготував експерт із питань конфіденційності за допомогою штучного інтелекту.