Cập nhật lần cuối: tháng 8 năm 2026

Nghiên cứu điển hình: AEPD phạt Tiger Media vì vi phạm Điều 27 GDPR về việc không đại diện cho EU

Vào năm 2025, Cơ quan Bảo vệ Dữ liệu Tây Ban Nha (AEPD) đã xác nhận các biện pháp trừng phạt đối với Tiger Media Inc. sau một cuộc điều tra về việc xử lý dữ liệu liên quan đến quảng cáo và việc tuân thủ các quy định của công ty. Điều 27 GDPR Yêu cầu về đại diện EU. Mức phạt của AEPD này là một lời nhắc nhở cụ thể về một điểm mà nhiều doanh nghiệp ngoài EU thường đánh giá thấp: việc chỉ định một đại diện EU không phải là một thủ tục hình thức được giấu kín trong chính sách bảo mật. Đó là một nghĩa vụ có thể thực thi, và cơ quan thực thi bảo vệ dữ liệu của Tây Ban Nha sẵn sàng hành động theo đó.

Bài viết này xem quyết định đó như một ví dụ về việc thực thi pháp luật năm 2025 (không phải tin tức mới) và giải thích những sai sót, lý do AEPD từ chối thỏa thuận đại diện của Tiger Media, và những gì đã xảy ra tiếp theo. Yêu cầu đại diện EU có nghĩa là trên thực tế đối với các tổ chức phi EU khác.

Chuyện gì đã xảy ra trong vụ kiện Tiger Media?

Cơ quan bảo vệ dữ liệu Úc (AEPD) đã điều tra Tiger Media Inc., đơn vị vận hành nền tảng quảng cáo được các nhà xuất bản và nhà quảng cáo sử dụng, sau khi xác định các vấn đề tiềm ẩn về bảo vệ dữ liệu liên quan đến dữ liệu cá nhân được xử lý thông qua công nghệ quảng cáo. Trong quyết định cuối cùng (Thủ tục AEPD PS/00480/2025Theo đó, AEPD đã xác nhận hai khoản phạt riêng biệt: 70.000 euro cho vấn đề vi phạm Điều 6 GDPR và 50.000 euro cho vấn đề vi phạm Điều 27 GDPR, nâng tổng số tiền phạt lên 120.000 euro trước khi trừ đi các khoản giảm trừ. Tiger Media đã áp dụng các khoản giảm trừ hiện có nhờ việc thừa nhận trách nhiệm và tự nguyện thanh toán, đưa số tiền cuối cùng phải trả xuống còn 72.000 euro.

Yếu tố Điều 6 liên quan đến cơ sở pháp lý cho việc xử lý dữ liệu được thực hiện thông qua nền tảng quảng cáo. Yếu tố Điều 27 là bài học quan trọng đối với các nhóm bảo mật hỗ trợ các tổ chức ngoài EU vì nó tập trung vào quản trị hơn là chi tiết xử lý: liệu công ty đó có thực sự có đại diện tại EU được bổ nhiệm hợp lệ hay không?

Vì sao AEPD coi bản đại diện đó là không hợp lệ

Theo kết luận của AEPD, Tiger Media đã chỉ định một đại diện đặt tại Bắc Ireland và cho biết đang trong quá trình bổ nhiệm một đại diện thay thế tại một quốc gia thành viên EU. AEPD kết luận rằng, do đó, Tiger Media hiện không có đại diện hợp lệ tại EU theo quy định của GDPR.

Sự khác biệt này rất quan trọng. Một đại diện “đang trong quá trình” không giống với một đại diện được bổ nhiệm đúng cách bằng văn bản, được thành lập tại lãnh thổ chính xác và sẵn sàng đóng vai trò là điểm liên lạc với EU. Nghị quyết của AEPD cũng lưu ý rằng Tiger Media đã cung cấp dịch vụ quảng cáo dành cho người lớn trên ít nhất ba trang web của Tây Ban Nha, kết nối việc xử lý với các cá nhân ở Tây Ban Nha và hỗ trợ phân tích phạm vi lãnh thổ theo Điều 3(2) GDPR.

Việc công ty tuyên bố có ý định bổ nhiệm một đại diện có trụ sở tại EU đã không ngăn cản được kết luận này. Từ góc độ của cơ quan quản lý, kết quả đó là điều có thể dự đoán được: nghĩa vụ theo Điều 27 áp dụng ngay khi quá trình xử lý dữ liệu thuộc phạm vi điều tra, chứ không chỉ khi cuộc điều tra đang diễn ra.

Yêu cầu về người đại diện theo Điều 27 của EU không chỉ đơn thuần là một địa chỉ liên lạc.

Điều 27 của GDPR được áp dụng một cách rộng rãi trong trường hợp người kiểm soát hoặc người xử lý không có cơ sở tại EU nhưng vẫn phải tuân thủ GDPR theo Điều 3(2) — thường là vì họ cung cấp hàng hóa hoặc dịch vụ cho người dân ở EU hoặc giám sát hành vi của họ ở đó. Trong những trường hợp đó, người kiểm soát hoặc người xử lý phải chỉ định bằng văn bản một đại diện tại Liên minh, trừ khi có ngoại lệ hẹp áp dụng.

Cơ quan bảo vệ dữ liệu châu Âu (AEPD) đã nêu rõ rằng người đại diện cho bên kiểm soát hoặc xử lý dữ liệu không thuộc EU không chỉ đơn thuần là điểm liên lạc. Vai trò này bao gồm hợp tác với các cơ quan giám sát và hỗ trợ các hoạt động giải trình trách nhiệm, và AEPD lưu ý rằng việc thiếu người đại diện được chỉ định đúng cách có thể ảnh hưởng đến toàn bộ hệ thống tuân thủ GDPR.

Để hiểu rõ hơn về nghĩa vụ này, vui lòng xem Đại diện EU theo Điều 27 của GDPR. Để có thông tin chi tiết hơn, xem... Đại diện bảo vệ dữ liệu của EU.

Cách thức mà bối cảnh quảng cáo và cookie đã làm lộ ra khoảng cách đó

Mặc dù phát hiện theo Điều 27 là bài học trọng tâm, nhưng cuộc điều tra rộng hơn bắt đầu từ việc xử lý dữ liệu liên quan đến quảng cáo. AEPD đã xem xét vai trò của nền tảng trong việc phân phối và đo lường quảng cáo, đồng thời ghi lại các loại dữ liệu bao gồm chi tiết thiết bị, hệ điều hành, thông tin trình duyệt, địa chỉ IP, URL trang web và URL giới thiệu, số lần nhấp chuột, số lần hiển thị, vị trí dựa trên IP và mã định danh cookie. AEPD cũng xác định được việc cài đặt cookie mà không có sự đồng ý trên các trang web sử dụng nền tảng này.

Mô hình này khá phổ biến trong việc thực thi AEPD: một cơ quan chức năng mở cuộc xem xét tập trung vào cookie, sự đồng ý hoặc cơ sở pháp lý, và sau đó cuộc xem xét mở rộng sang các nghĩa vụ quản trị — bao gồm cả việc liệu tổ chức đó có đại diện hợp lệ tại EU hay không.

Ai nên xem xét lại vị trí đại diện của mình tại EU?

Các tổ chức ngoài EU nên đánh giá lại lập trường của mình theo Điều 27 nếu họ không có cơ sở tại EU nhưng cố ý tương tác với người dân ở EU thông qua các trang web, ứng dụng, dịch vụ đăng ký, nền tảng SaaS, thị trường, quảng cáo, phân tích hoặc công nghệ theo dõi. Câu hỏi quan trọng không phải là liệu công ty đó có "mang tính châu Âu" về mặt thương hiệu hay không, mà là liệu việc xử lý dữ liệu của công ty đó có nằm trong phạm vi lãnh thổ của GDPR hay không.

Việc xem xét lại đặc biệt có giá trị nếu bất kỳ điều nào sau đây đúng:

• Trang web, ứng dụng hoặc nền tảng của bạn phải khả dụng cho người dùng tại Tây Ban Nha hoặc các quốc gia thành viên EU khác và không chỉ đơn thuần là có thể truy cập một cách thụ động.
• Bạn nhắm mục tiêu đến người dùng EU thông qua ngôn ngữ, tiền tệ, chiến dịch tiếp thị, tùy chọn vận chuyển, tên miền địa phương, quy trình đăng ký tập trung vào EU hoặc hoạt động bán hàng.
• Bạn theo dõi hành vi người dùng tại EU thông qua cookie, pixel, mã định danh thiết bị, phân tích dữ liệu, đo lường quảng cáo, phát hiện gian lận, giới hạn tần suất hiển thị hoặc các công nghệ tương tự.
• Bạn xử lý dữ liệu cá nhân của EU với tư cách là bên xử lý dữ liệu cho khách hàng, nhà xuất bản, nhà quảng cáo hoặc đối tác.
• Thông báo về quyền riêng tư của bạn nêu tên người liên hệ ở Anh, Thụy Sĩ, Mỹ hoặc các quốc gia ngoài EU khác như thể đó là đại diện theo Điều 27 của EU.
• Tổ chức của bạn đã chỉ định một đại diện trước Brexit hoặc trước khi tái cấu trúc doanh nghiệp, và việc bổ nhiệm này chưa được kiểm tra lại kể từ đó.
• Bạn dựa vào ngoại lệ "xử lý không thường xuyên" mà không ghi lại lý do tại sao ngoại lệ đó thực sự áp dụng.

Điểm ngoại lệ này cần được xem xét kỹ lưỡng. Điều 27 không áp dụng trong mọi trường hợp — có những trường hợp ngoại lệ, bao gồm cả một số hoạt động xử lý dữ liệu không thường xuyên mà ít có khả năng gây nguy hại đến quyền và tự do của cá nhân và không liên quan đến dữ liệu thuộc loại đặc biệt hoặc dữ liệu về tội phạm quy mô lớn. Nhưng trường hợp ngoại lệ đó cần được áp dụng một cách có chủ đích và được ghi chép lại, chứ không phải được mặc định chấp nhận.

Danh sách kiểm tra tuân thủ thực tiễn sau phán quyết của Tiger Media

Phản ứng đúng đắn đối với khoản phạt AEPD này không phải là sự khẩn trương chỉ vì mục đích khẩn trương, mà là một cuộc kiểm tra tuân thủ tập trung. Những lỗ hổng trong Điều 27 thường dễ dàng khắc phục — và vì các chi tiết tiêu biểu xuất hiện trong các thông báo về quyền riêng tư công khai, chúng có thể được phát hiện nhanh chóng bởi các cơ quan quản lý, người dùng, đối tác hoặc người khiếu nại.

• Lập bản đồ các hoạt động xử lý dữ liệu hướng tới EU. Hãy xác định nơi tổ chức của bạn cung cấp dịch vụ cho người dân ở EU hoặc giám sát hành vi ở EU.
• Hãy xác nhận xem bạn có cơ sở kinh doanh tại EU hay không. Nếu không, hãy đánh giá xem Điều 3(2) có đưa việc xử lý vào phạm vi lãnh thổ của GDPR hay không.
• Kiểm tra kỹ lưỡng mọi trường hợp được miễn trừ. Nếu bạn cho rằng Điều 27 không áp dụng, hãy ghi lại lý do và xem xét lại khi mô hình kinh doanh thay đổi.
• Kiểm tra địa điểm của người đại diện. Văn phòng đại diện phải được thành lập tại EU.
• Hãy hẹn gặp bằng văn bản. Xác định rõ phạm vi, nhiệm vụ hợp tác và quy trình phản hồi.
• Cập nhật các thông báo công khai. Thông báo về quyền riêng tư cần liệt kê thông tin liên hệ chính xác, cập nhật và tránh sử dụng các thông tin lỗi thời.
• Đồng bộ hóa quy trình làm việc nội bộ. Các nhóm hỗ trợ, pháp lý, an ninh và bảo mật cần biết cách chuyển tiếp thông tin liên lạc từ chủ thể dữ liệu hoặc cơ quan quản lý của EU.
• Cập nhật hồ sơ thường xuyên. Các bản ghi về quá trình xử lý, tài liệu về cookie, đánh giá cơ sở pháp lý và hồ sơ nhà cung cấp phải phù hợp với những gì được nêu trong thông báo về quyền riêng tư.
• Đánh giá lại sau những thay đổi lớn. Hãy xem xét lại việc bổ nhiệm sau những thay đổi liên quan đến Brexit, sáp nhập, ra mắt sản phẩm mới, mở rộng thị trường hoặc công nghệ theo dõi mới.

Bạn không chắc liệu cuộc hẹn hiện tại của mình có thể đáp ứng được tiêu chí phân tích này không? DilicheckRep xem xét các thỏa thuận đại diện của EU dựa trên Điều 27, kiểm tra địa điểm và nhiệm vụ của đại diện, và chỉ ra những thiếu sót trước khi cơ quan quản lý thực hiện.

Nhận đánh giá đại diện theo Điều 27 từ DilicheckRep →

Mức phạt của AEPD này cho thấy điều gì về kỳ vọng của cơ quan quản lý tại Tây Ban Nha?

Quyết định của Tiger Media khẳng định rằng việc thực thi bảo vệ dữ liệu ở Tây Ban Nha bao gồm cả các vấn đề xử lý dữ liệu thực chất và các nghĩa vụ quản trị. AEPD không coi yêu cầu về đại diện EU là một chi tiết kỹ thuật nhỏ: họ đã ấn định mức phạt theo Điều 27 là 50.000 euro và ra lệnh thực hiện các biện pháp khắc phục, bao gồm việc Tiger Media phải chỉ định một đại diện EU hợp lệ.

Nghị quyết cũng nêu rõ rằng việc thanh toán và thừa nhận trách nhiệm không xóa bỏ nghĩa vụ cơ bản là phải khắc phục vấn đề. AEPD đã yêu cầu Tiger Media thông báo cho cơ quan này, trong vòng ba tháng kể từ khi nghị quyết có hiệu lực, về việc áp dụng các biện pháp khắc phục được mô tả trong quyết định.

Điểm mấu chốt dành cho các doanh nghiệp ngoài EU

Quyết định của Tiger Media định hình lại Điều 27 thành một vấn đề quản trị thực tiễn: nếu công ty của bạn ở ngoài EU nhưng tiếp cận hoặc giám sát người dân trong EU, thì ai là đại diện hợp lệ của bạn tại EU hiện nay — không phải người bạn dự định bổ nhiệm, không phải người đã được liệt kê nhiều năm trước, và không phải người liên hệ ở ngoài Liên minh, mà là đại diện được bổ nhiệm hợp lệ và có khả năng hành động ngay bây giờ.

Câu hỏi thường gặp

Điều khoản 27 của GDPR quy định yêu cầu đại diện EU là gì? Điều 27 của GDPR yêu cầu các bên kiểm soát và xử lý dữ liệu không có cơ sở tại EU nhưng phải tuân theo GDPR theo Điều 3(2) phải chỉ định bằng văn bản một đại diện tại Liên minh, trừ khi có ngoại lệ hẹp.

Tiger Media đã bị AEPD phạt bao nhiêu tiền? Cơ quan bảo vệ dữ liệu châu Âu (AEPD) đã xác nhận các khoản phạt tổng cộng 120.000 euro trước khi giảm trừ: 70.000 euro cho vấn đề vi phạm Điều 6 GDPR và 50.000 euro cho vấn đề vi phạm Điều 27 GDPR. Sau khi giảm trừ do thừa nhận trách nhiệm và tự nguyện thanh toán, Tiger Media đã trả 72.000 euro.

Tại sao AEPD lại tuyên bố đại diện của Tiger Media tại EU không hợp lệ? Đại diện được niêm yết của Tiger Media đặt tại Bắc Ireland, và công ty cho biết họ đang trong quá trình bổ nhiệm một đại diện tại một quốc gia thành viên EU. AEPD kết luận rằng điều này có nghĩa là hiện tại không có đại diện hợp lệ nào của EU.

Những công ty nào ngoài EU cần chỉ định một đại diện EU theo GDPR? Các công ty không thuộc EU cung cấp hàng hóa hoặc dịch vụ cho người dân ở EU, hoặc theo dõi hành vi của họ ở đó, nói chung thuộc phạm vi lãnh thổ của GDPR theo Điều 3(2) và phải chỉ định một đại diện EU trừ khi có ngoại lệ được ghi nhận.

DilicheckRep cung cấp dịch vụ đại diện pháp lý chính thức tại EU và Vương quốc Anh. — bao gồm Điều 27 của GDPR, Đạo luật Trí tuệ Nhân tạo của EU, Đạo luật Dịch vụ Kỹ thuật số, Đạo luật Dữ liệu và các dịch vụ điểm liên lạc NIS2 — với tài liệu ủy quyền và xử lý có cấu trúc các thông tin liên lạc giữa cơ quan chức năng và chủ thể dữ liệu.

Xem xét lại phạm vi đại diện của bạn tại EU với DilicheckRep.

Tuyên bố miễn trừ trách nhiệm: Hướng dẫn này chỉ mang tính chất thông tin chung và không cấu thành tư vấn pháp lý. Việc áp dụng các quy định về bảo vệ dữ liệu và các quy định khác của EU phụ thuộc vào hoàn cảnh cụ thể của từng tổ chức. Bạn nên tìm kiếm tư vấn pháp lý phù hợp khi cần thiết trước khi dựa vào thông tin này hoặc đưa ra các quyết định tuân thủ.

Lưu ý từ AI: Bài viết này được soạn thảo bởi một chuyên gia về quyền riêng tư với sự hỗ trợ của trí tuệ nhân tạo.