EUでGDPR代表者を任命すべき人は？

• GDPR第27条は、EUデータを処理するほとんどのEU域外事業者にEU代表者の任命を義務付けています。
• 例外：稀で低リスクの処理、または国家安全保障・防衛に関連する活動。
• 代表者はデータ主体が所在するEU加盟国に設立されている必要があります。
• 代表者の連絡先はデータ主体および監督当局に提供し、プライバシーポリシーに掲載しなければなりません。
• 違反すると最大1,000万ユーロまたは世界売上高の2％の罰金が科される可能性があります。
• プロバイダは住所のみ、完全委任、または法的顧問付きなど異なるサービスレベルを提供しています。
• 料金は大きく異なり、リクエストごとの隠れた手数料や更新料が一般的です。

更新済み 17 October 2026 · 8 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、17 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

GDPR第27条の要件

GDPR第27条は明確な義務を定めています。EUに設立されていない管理者または処理者で、GDPR第3条第2項の対象（EU内の個人に商品やサービスを提供するか、その行動を監視する）に該当する場合、データ処理を開始する前にEU内で書面による代表者を任命しなければなりません。この規則は、企業がEU外にあっても、EUのデータ主体および監督当局がプライバシー問題のための現地連絡先を持てるようにするものです。

重要な例外があります。第27条は以下の場合には適用されません：

• 処理が稀であり、大規模な特別カテゴリーのデータ処理を含まず、個人の権利と自由にリスクをもたらす可能性が低い場合。
• 活動が国家安全保障または防衛に関連する場合。

代表者は、処理対象のデータ主体が所在するEU加盟国のいずれかに設立されている必要があります。任命は書面で行い、代表者はGDPR義務に関してあなたの代理として行動する権限を持たなければなりません。代表者の連絡先はデータ主体および監督当局に提供し、プライバシー通知に掲載する必要があります。

違反は第83条第4項(a)に基づく独立した違反であり、最大1,000万ユーロまたは世界売上高の2％の罰金が科されます。オランダ当局はLocatefamily.comに対しこの違反で525,000ユーロの罰金を科しました。代表者は盾ではありません。第27条第5項は、代表者の任命が企業自体に対する措置を妨げないことを明確にしています。

• 含まれるもの／含まれないもの／追加料金の表

GDPR代表者の選び方

適切なGDPR代表者の選択はコンプライアンスと運用効率に不可欠です。プロバイダは主に3つのサービスレベルを提供しています：

• レベル1：住所のみ – 単純な郵便転送サービス。委任なし、記録なし、GDPR特有の義務なし。最も安価ですが、第27条の要件を満たしません。
• レベル2：委任 – 書面による委任状、証明書、リクエスト受付、及び第30条記録の管理。これが第27条で求められる内容で、プロバイダは役割と責任を文書で受諾し、記録を保持し、定められた期間内にリクエストを転送します。
• レベル3：法的顧問 – 法律事務所が代表者を務め、法的助言も提供。費用が高く、継続的な法的助言が必要な場合のみ推奨されます。第27条の役割には含まれません。

プロバイダ比較時に確認すべき点：

• 委任状は第27条の義務を明確に受諾しているか？
• 第30条記録は誰が保持し、当局にどう提出するか？
• 当局からのリクエスト転送の応答時間は？
• リクエストごとの追加料金や更新料はあるか？
• 多言語対応はあるか？

REP27は署名済み委任状と証明書を24時間以内に発行し、多言語対応かつリクエストごとの料金なし（スタンダード・マルチプラン）です。他社はリクエストごとに課金したり、転送先住所のみの提供でGDPR要件を満たさない場合があります。

意思決定マトリックス：

支払い前に必ずプロバイダの委任テンプレートを請求してください。第27条の義務を明記・受諾していなければ、適合サービスを購入していません。

価格に含まれる内容

GDPR代表者サービスの価格は年間300ユーロ未満から2,000ユーロ超まで幅があります。この差は提供範囲の違いを反映しています。低価格は郵便住所のみをカバーし、高価格は完全な委任状、リクエスト受付、記録管理を含む場合があります。確認すべき主な内容：

• 第27条の義務の書面受諾：プロバイダは役割と義務を正式に書面で受諾しなければなりません。
• 証明書と公開検証：証明書はクライアント、監査人、当局に安心感を与えます。REP27はQRコード付き証明書と公開検証ページを提供します。
• 多言語リクエスト対応：EU全域対応に必須。REP27はスタンダードプランから8言語対応。
• 第30条記録管理：プロバイダは記録を保持し、当局に提示できる必要があります。REP27のスタンダード・マルチプランに含まれます。
• リクエストごとの料金や更新料：一部プロバイダはデータ主体リクエストごとに25～90ユーロを課金、または1年目後に料金を上げます。REP27のスタンダードプランはリクエストごとの追加料金なしで、2年目以降は更新料が下がります。

単なる価格だけでなく、各プランに含まれる内容を比較してください。例えばREP27のベースプランは年間10件までのリクエスト対応、スタンダード・マルチプランは無制限リクエストと記録管理を提供します。多くの競合は詳細を公開せず、問い合わせが必要です。

2年目の更新価格を必ず書面で確認してください。EUとUKの両代表が必要な場合、REP27を含む一部プロバイダは両方を割引付きで提供しています。

隠れた費用と除外事項

多くのプロバイダは低い年間料金を宣伝しますが、必須サービスに対して高額な追加料金を課すことがあります。一般的な隠れた費用：

• データ主体リクエストごとの料金：一部は1件あたり25～90ユーロを請求し、月に複数リクエストがあると年間料金を超えることがあります。
• セットアップ・オンボーディング料金：一回限り0～250ユーロが一般的。REP27は年間料金に含みます。
• 追加言語サポート：エントリーレベルは英語のみの場合があります。REP27のスタンダード・マルチプランは8言語対応。
• 第30条記録管理：一部は年間100～400ユーロを請求。REP27はスタンダード・マルチプランに含みます。
• 更新料の値上げ：多くは1年目後に料金を上げます。REP27は2年目以降料金が下がります（€240/€390/€690）。

法的助言、DPOサービス、コンプライアンス監査はREP27や多くの競合に含まれません。REP27はリクエストの内容判断はせず、転送のみ行います。委任は企業に対する直接執行を防ぎません。

プロバイダはマーケティングでこれらの除外や追加料金を強調しません。契約前に委任状とサービス条件をよく読み、リクエストごとの料金、更新価格、サービス変更・解約時の扱いを必ず確認してください。

任命の流れ：ステップバイステップ

1. 適用性の確認：あなたがGDPR第3条第2項の対象となる非EU管理者または処理者かを判断（EU内の個人に商品・サービス提供または監視）。
2. 対象国の特定：データ主体が所在するEU加盟国をリストアップ。代表者はこれらの国の少なくとも1カ国に設立されている必要あり。
3. プロバイダの絞り込み：公開サービス内容、価格、条件を比較。委任テンプレートを請求し、第27条義務をカバーしているか確認。
4. 隠れた料金の確認：リクエストごとの料金、初期費用、言語対応、更新料を問い合わせ。
5. オンボーディング完了：会社情報、処理範囲、連絡先をプロバイダのフォームに入力。
6. 署名済み委任状の受領：プロバイダがファイルを確認し、署名済み委任状（REP27は24時間以内）、証明書、検証コードを発行。
7. プライバシー通知の更新：第13条第1項(a)に従い、代表者の名前、住所、連絡先を追加。
8. コンプライアンス記録の保持：署名済み委任状、証明書、第30条記録を監査用に保管。委任全文や商業条件は公開しない。
9. 運用開始：プロバイダはデータ主体および当局からのリクエストを記録し、合意された期間内に転送。REP27は2営業日以内（当局はスタンダード・マルチで即日）。
10. 更新または解約：更新日と解約条件を管理。REP27は更新前の解約を許可し、書面で確認書を発行。

この流れにより第27条要件を満たし、監査や規制調査に備えられます。

違反リスクと罰則

EU代表者の任命は、多くの非EU事業者にとって任意ではありません。違反リスクは重大です：

• 独立違反：代表者未任命は第83条第4項(a)に基づく違反で、データ侵害の有無に関係なく処罰されます。
• 罰金：監督当局は最大1,000万ユーロまたは世界年間売上高の2％の罰金を科すことができます。例として、Locatefamily.comは代表者未任命でオランダ当局から525,000ユーロの罰金を受けました。
• 直接執行：代表者の任命は企業の責任や執行を免除しません。第27条第5項により、当局は企業に直接措置を取れます。
• 運用リスク：代表者がいなければ、データ主体や規制当局からのリクエストに迅速に対応できず、さらなる罰則や評判損失につながる可能性があります。

リスク軽減のため、プロバイダが署名済み委任状を発行し、第30条記録を保持し、リクエストを定められた期間内に転送することを確認してください。すべての書類を監査に備えて保管しましょう。プロバイダが業務を代行できない場合（禁止された活動など）、REP27のように全額返金と書面確認を求めるべきです。

プロバイダが通常言わないこと

多くのGDPR代表者プロバイダはサービスの制限や除外事項を十分に開示しません。よくある見落とし：

• 郵便転送のみ：一部のエントリーレベルは単なる郵便住所であり、真の第27条委任ではありません。GDPR要件を満たしません。
• リクエストごとの料金：低い年間料金は高額なリクエストごとの料金を隠していることがあり、多数リクエストで高額になります。
• 記録未保持：一部プロバイダは第30条記録を保持せず、コンプライアンス要件を満たしません。誰が記録を保持し提出するか必ず確認してください。
• 自動更新と値上げ：多くは1年目後に料金を上げたり、明確な通知なしに自動更新します。2年目の価格を必ず書面で確認してください。
• 責任制限：代表者はGDPR違反の責任を負いません。第27条第5項により、企業が責任を負い続けます。
• 解約と引き継ぎ：プロバイダ変更や解約時の未処理リクエストや記録の扱いを確認してください。REP27は書面での確認と引き継ぎ手順を明記しています。

サービス説明と委任状を必ず注意深く読み、契約前にすべての条件を文書で請求し、含まれる内容、除外事項、追加料金を明確にしてください。

GDPR代表者任命のチェックリスト

1. あなたがGDPR第3条第2項の対象となる非EU管理者または処理者か確認。
2. データ主体が所在するEU加盟国を特定。
3. 書面による第27条委任を提供するプロバイダを絞り込み。
4. 委任テンプレートを請求し内容を確認。
5. 隠れた料金や更新条件をチェック。
6. オンボーディングを完了し、署名済み書類を受領。
7. プライバシー通知に代表者の連絡先を追加。
8. 署名済み委任状と証明書を監査用に保管。
9. 第30条記録を保持し、必要に応じてアクセス可能に。
10. 更新日と解約条件を管理し、不要な料金を回避。

このチェックリストに従うことでコンプライアンスを達成・維持し、罰金を回避し、データ主体および当局からのリクエストに効率的に対応できます。

現実的なシナリオ：誰が何を必要とするか？

• 米国SaaSがEUの企業・消費者に販売：第27条に基づきEU代表者を任命必須。REP27のスタンダードプランは書面委任、無制限リクエスト転送、記録管理、多言語対応を網羅。ベースプランは低リクエスト量向けだが、ほとんどのSaaSはスタンダード推奨。
• 中国のAmazon出品者がEU市場に出品：データ保護のためEU GDPR代表者と、製品適合のためGPSR責任者の両方が必要。REP27のマルチプランは両役割を一括で提供し、Amazon、Etsy、eBay出品者のコンプライアンスを簡素化。
• EU顧客を持つ英国のオンラインショップ：ブレグジット後、EU向け商品・サービス提供にはEU代表者が必要。REP27のベースまたはスタンダードプランが適切。CEマーク商品も販売する場合はマルチプランで統合代表を検討。

各シナリオで最も簡単かつ適合的な方法は、署名済み委任状を発行し、必要に応じて記録を保持し、監査やクライアント向けに明確かつ検証可能な書類を提供するプロバイダを任命することです。