最后更新时间：2026年8月
案例研究：AEPD因Tiger Media违反GDPR第27条欧盟代表权规定对其处以罚款
2025年，西班牙数据保护局（AEPD）在对Tiger Media Inc.进行广告相关数据处理及公司合规情况调查后，确认对其实施制裁。 GDPR第27条欧盟代表要求. 西班牙数据保护局的这笔罚款，有力地提醒了许多非欧盟企业一个常被低估的事实：指定欧盟代表并非隐私政策中一项形式主义的举措，而是一项具有法律约束力的义务，西班牙数据保护执法部门已做好充分准备，将依法采取行动。.
本文将此决定视为2025年的执法案例（并非突发新闻），并解释了哪里出了问题，为什么安省广告署拒绝了Tiger Media的代理安排，以及…… 欧盟代表要求 对于其他非欧盟组织而言，这在实践中意味着。.
老虎传媒案发生了什么
西班牙数据保护局 (AEPD) 对 Tiger Media Inc. 展开调查，该公司运营着一个供出版商和广告商使用的广告平台。调查发现，该公司在处理通过广告技术收集的个人数据时存在潜在的数据保护问题。最终，AEPD 决定对 Tiger Media Inc. 进行调查。AEPD 程序 PS/00480/2025西班牙数据保护局（AEPD）确认了两项独立的罚款：因违反《通用数据保护条例》（GDPR）第6条，罚款7万欧元；因违反GDPR第27条，罚款5万欧元，总计12万欧元（未扣除罚款）。Tiger Media公司根据其承认责任和自愿支付的条件，扣除了可享受的罚款，最终支付金额为7.2万欧元。.
第6条要素涉及通过广告平台进行数据处理的合法依据。第27条要素对于为非欧盟组织提供支持的隐私团队而言至关重要，因为它关注的是治理而非数据处理细节：该公司是否在欧盟设有正式任命的代表？
AEPD为何认定该代表无效
根据AEPD的调查结果，Tiger Media已指定一名位于北爱尔兰的代表，并声称正在欧盟成员国委任一名新的代表。AEPD因此得出结论，Tiger Media目前没有符合GDPR要求的有效欧盟代表。.
这一区别至关重要。“正在办理中的”代表与以书面形式正式任命、在相关地区设立机构并可作为欧盟联络点的代表并非同一概念。西班牙数据保护局（AEPD）的决议还指出，Tiger Media在至少三个西班牙网站上提供成人广告服务，将数据处理与西班牙境内的个人联系起来，并支持根据《通用数据保护条例》（GDPR）第3条第2款进行的地域范围分析。.
该公司此前声明将委任一名欧盟境内的代表，但这并未阻止监管机构的裁决。从监管机构的角度来看，这一结果是可以预见的：只要数据处理活动属于《欧洲人权公约》第27条的管辖范围，而非仅在调查启动后才适用该条款，因此第27条规定的义务即生效。.
欧盟第27条规定的代表要求不仅仅是联系地址。
GDPR第27条的适用范围很广，适用于数据控制者或处理者在欧盟境内没有设立机构，但仍根据GDPR第3条第2款受其约束的情况——通常是因为其向欧盟境内的人员提供商品或服务，或监控他们在欧盟境内的行为。在这种情况下，数据控制者或处理者必须以书面形式指定一名欧盟境内的代表，除非存在例外情况。.
西班牙数据保护局 (AEPD) 明确指出，非欧盟数据控制者或处理者的代表并非仅仅是一个联络点。该代表的职责包括与监管机构合作以及支持问责行动。AEPD 还指出，如果未妥善任命代表，可能会对整个 GDPR 合规体系产生影响。.
有关该义务的更详细解释，请参见 GDPR第27条欧盟代表. 如需了解更多背景信息，请参阅 欧盟数据保护代表.
广告和 Cookie 环境如何揭示了这一差距
尽管第27条的调查结果是核心要点，但更广泛的调查始于与广告相关的处理。西班牙数据保护局（AEPD）审查了该平台在投放和衡量广告方面的作用，并记录了包括设备详情、操作系统、浏览器信息、IP地址、网站和引荐来源网址、点击次数、展示次数、基于IP地址的位置信息以及Cookie标识符在内的各类数据。AEPD还发现，在使用该平台的网站上，存在未经用户同意而安装Cookie的情况。.
这种模式在 AEPD 执法中很常见：监管机构首先对 cookie、同意或合法依据进行审查，然后审查范围扩大到治理义务——包括该组织是否拥有有效的欧盟代表。.
谁应该重新评估其欧盟代表职位
非欧盟组织若未在欧盟设立机构，但有意通过网站、应用程序、订阅服务、SaaS平台、市场、广告、分析或追踪技术与欧盟境内的用户互动，则应重新评估其在《通用数据保护条例》（GDPR）第27条下的地位。关键问题不在于公司在品牌意义上是否具有“欧洲”特征，而在于其数据处理活动是否属于GDPR的地域范围。.
如果符合以下任何一种情况，那么进行审查就特别有价值：
- 您的网站、应用程序或平台可供西班牙或其他欧盟成员国的用户使用，而不仅仅是被动访问。.
- 你可以通过语言、货币、营销活动、运输选项、本地域名、以欧盟为中心的注册流程或销售活动来锁定欧盟用户。.
- 您通过 cookie、像素、设备标识符、分析、广告衡量、欺诈检测、频次控制或类似技术来监控欧盟境内的行为。.
- 您作为数据处理者，为客户、出版商、广告商或合作伙伴处理欧盟个人数据。.
- 您的隐私声明将英国、瑞士、美国或其他非欧盟国家的联系人列为欧盟第 27 条代表。.
- 贵公司在英国脱欧之前或公司重组之前任命了一名代表，但此后该任命一直未经过核查。.
- 你依赖“偶尔处理”例外情况，但没有记录其真正适用的原因。.
例外情况需要特别注意。第27条并非适用于所有情况——存在一些例外，例如某些不太可能危及个人权利和自由且不涉及大规模特殊类别或犯罪数据的特殊处理。但这项例外应当经过深思熟虑并加以记录，而不能默认适用。.
老虎传媒案判决后的实用合规清单
应对AEPD罚款的正确做法并非为了追求紧迫感而采取行动，而是进行重点合规性检查。第27条规定的漏洞通常很容易修复——而且由于相关细节会显示在公开的隐私声明中，监管机构、用户、合作伙伴或投诉人都能迅速发现这些问题。.
- 绘制面向欧盟的处理活动图。. 确定您的组织在哪些欧盟地区向人们提供服务或监测欧盟地区的行为。.
- 请确认您是否在欧盟设有分支机构。. 否则，评估第 3(2) 条是否将处理活动纳入 GDPR 的地域范围。.
- 仔细核查任何豁免条款。. 如果您认为第 27 条不适用，请记录理由，并随着商业模式的变化重新审视该理由。.
- 查看代表的所在地。. 代表机构必须在欧盟境内设立。.
- 请以书面形式预约。. 明确界定范围、合作职责和响应流程。.
- 更新公共通知。. 隐私声明应列出准确、最新的联系方式，避免使用过时的信息。.
- 调整内部工作流程。. 支持、法律、安全和隐私团队应该知道如何路由欧盟数据主体或监管机构的通信。.
- 保持记录的及时更新。. 处理记录、cookie 文档、合法性评估和供应商文件应与隐私声明中所述内容相符。.
- 重大变更后的审查。. 在发生与英国脱欧相关的变化、合并、新产品发布、市场扩张或新的跟踪技术之后，请重新核对预约。.
您不确定您目前的任命是否经得起这种分析？ DilicheckRep 根据第 27 条审查欧盟代表安排，检查代表的所在地和授权，并在监管机构之前指出漏洞。.
从 DilicheckRep 获取第 27 条代理资格审查 →
西班牙药品管理局的这笔罚款预示着监管机构的哪些期望？
Tiger Media案的裁决确认，西班牙的数据保护执法涵盖实质性处理问题和治理义务。西班牙数据保护局（AEPD）并未将欧盟代表的要求视为无关紧要的技术细节：它根据《欧洲人权公约》第27条规定，对Tiger Media处以5万欧元的罚款，并责令其采取纠正措施，包括要求Tiger Media设立有效的欧盟代表。.
该决议还明确指出，支付赔偿金和承认责任并不免除解决问题的根本义务。AEPD责令Tiger Media在决议生效后三个月内，向该机构报告其已采取决议中所述的整改措施。.
非欧盟企业需要注意的关键点
Tiger Media 案的判决将第 27 条重新定义为一个实际的治理问题：如果你的公司在欧盟境外，但与欧盟境内的人员保持联系或进行监控，那么你今天有效的欧盟代表是谁——不是你计划任命的人，不是几年前列出的人，也不是位于欧盟境外的联系人，而是现在已正式任命并能够采取行动的代表。.
常见问题解答
GDPR第27条规定的欧盟代表要求是什么？ GDPR 第 27 条规定，在欧盟境内没有设立机构但根据 GDPR 第 3(2) 条受其约束的控制者和处理者，必须以书面形式指定一名在欧盟境内的代表，除非存在例外情况。.
Tiger Media被AEPD罚款多少？ 西班牙数据保护局（AEPD）确认，在减免前，对Tiger Media处以总计12万欧元的罚款：其中7万欧元因违反《通用数据保护条例》（GDPR）第6条，5万欧元因违反GDPR第27条。考虑到Tiger Media承认责任并自愿支付罚款，最终罚款金额为7.2万欧元。.
为什么澳大利亚广告数据保护局（AEPD）认定Tiger Media的欧盟代表资格无效？ Tiger Media的注册代表位于北爱尔兰，该公司声称正在欧盟成员国委任代表。欧盟数据保护局（AEPD）据此认定，该公司目前没有有效的欧盟代表。.
根据GDPR，哪些非欧盟公司需要指定欧盟代表？ 向欧盟居民提供商品或服务，或监控其在欧盟居民行为的非欧盟公司，通常属于 GDPR 第 3(2) 条规定的地域范围，必须指定一名欧盟代表，除非有书面记录的例外情况。.
DilicheckRep 提供欧盟和英国的正式监管代理服务。 — 包括 GDPR 第 27 条、欧盟人工智能法案、数字服务法案、数据法案和 NIS2 联系点服务 — 以及授权文件和规范化的授权与数据主体沟通处理。.
免责声明：本指南仅供一般参考，不构成法律建议。欧盟数据保护及其他监管要求的具体适用取决于各组织的具体情况。在依赖本指南信息或做出合规决策之前，您应根据需要寻求适当的法律建议。.
人工智能提示：本文由隐私专家在人工智能的辅助下撰写。.