EUでGDPR代表者を指名すべき企業は？

• EU域外企業がEU内の個人データを扱う場合の義務（GDPR第3条第2項、第27条）
• 例外：公的機関、偶発的・大規模でない処理、高リスクでない場合（第27条第2項）
• 罰金は最大1,000万ユーロまたは全世界売上高の2％（第83条第4項a）
• 代表者は監督当局および本人の連絡窓口（第4条第17項）
• 2026年10月時点の年間価格は290ユーロから1,000ユーロ超まで
• サービス内容・費用は異なり、追加要求、言語対応、更新費用に注意

更新済み 18 October 2026 · 6 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、18 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法律の要件：GDPRの主要条文

EUで代表者を指名する義務はGDPR第27条に基づきます。EU域外で事業を行い、EU内の個人に商品・サービスを提供したり行動を監視する事業者が対象です（第3条第2項、第27条）。B2C、B2B問わず、EU内の個人データを扱う場合に適用されます。代表者はEU内に所在する個人または法人で、監督当局や本人の連絡窓口として機能します（第4条第17項）。

例外（第27条第2項）として、公的機関、偶発的かつ大規模でない処理、本人の権利・自由に高リスクを及ぼさない場合が挙げられます。これらの条件のいずれかを満たさない場合は指名義務があります。

指名しない場合の罰則は厳しく、最大1,000万ユーロまたは全世界売上高の2％の罰金が科されます（第83条第4項a）。実例としてLocatefamily.comは代表者未指名で52万5,000ユーロの罰金を受けました。

代表者は書面による正式な指名が必要で、役割の明示的な承諾も求められます。単に住所を公開するだけでは不十分です。また、代表者は当局からの要請に応じて処理活動記録（第30条）を提示できなければなりません。

まとめると、EU域外企業でEU内の個人データを直接・間接に扱う場合、例外を除き代表者指名は必須です。

EU代表者の選び方：実務的基準とサービス比較

GDPR代表者を選ぶ際は価格だけでなく、サービス内容を正確に理解することが重要です。代表者サービスは大きく3タイプに分かれます：

• Tier 1 – 住所のみ：EU内の郵便受けを提供し、郵便物転送のみ。第27条の正式な役割は担わず、記録も管理せず、回答保証もありません。最も安価ですがリスクが高い。
• Tier 2 – 完全指名：書面による指名、問い合わせ対応デスク、第30条記録管理、当局への期限内回答保証など、GDPRが求める要件を満たす。
• Tier 3 – 法律事務所：代表者機能に加え法的助言や追加サービスを提供。費用は高額で、多くの企業には過剰な場合が多い。

以下はサービス内容比較表です：

実務的アドバイス：購入前に必ず指名書式を確認し、第30条記録の管理者と対応言語を確認してください。第27条の役割を正式に担わない安価なサービスはリスクが高いです。

価格に含まれる内容と隠れた費用の見分け方

GDPR代表者サービスの価格は300ユーロ未満から2,000ユーロ超まで幅があります（2026年10月時点）。価格差は含まれるサービス内容の違いによるものです。チェックポイントは以下：

• 問い合わせごとの料金：一部は本人や当局からの問い合わせごとに25～90ユーロの追加料金が発生。REP27のStandardプランは無制限で無料。
• 第30条記録の管理：代表者は処理活動記録を保持する義務があるが、基本プランに含まれない場合や年400ユーロ程度の追加料金がかかる場合も。
• 対応言語：エントリーレベルは英語のみが多く、多言語対応は追加費用。
• オンボーディング費用：開始時に250ユーロ程度の初期費用がかかることがある。
• 更新時の価格上昇：2年目以降に価格が上がることが多い。REP27は更新費用が初年度より低い。

隠れた費用の比較表：

アドバイス：問い合わせ数、言語数、更新費用を含めた総コストシミュレーションを必ず依頼し、上限超過時の対応を確認しましょう。

指名の流れ：ステップバイステップとチェックリスト

GDPR代表者の指名は以下の手順で進めます：

1. 義務の確認：自社がEU内の個人に商品・サービス提供または行動監視をしているか確認（第3条第2項、第27条）。
2. サービス提供者の選定：価格、サービス内容、対応言語、隠れ費用を比較。必ず指名書式を入手。
3. オンボーディング完了：会社情報や必要書類を提供。REP27などは第30条記録の記入も求める。
4. 書類受領：双方署名済みの指名書簡、QR証明書、プライバシーポリシー用指示書を受け取る。
5. 情報公開：プライバシーポリシーに代表者名、住所、メールアドレスを掲載（第13条・14条）。
6. 運用開始：代表者が問い合わせを受け付け、期限内に対応（REP27は2営業日以内、当局は即日対応）。

チェックリスト：

1. 第3条第2項・第27条の確認
2. 指名書式の入手と確認
3. 第30条記録の管理者確認
4. 回答期限の保証確認
5. 総費用の計算（問い合わせ数、言語、更新）
6. プライバシーポリシー掲載の適合性確認

注意：代表者の正式な書面承諾と双方署名がないと指名は無効です。

リスクと罰則：違反時の影響

代表者を指名しないことはGDPR違反（第83条第4項a）であり、最大1,000万ユーロまたは全世界売上高の2％の罰金が科されます。その他のGDPR要件を満たしていても、正式な指名がなければ罰則対象です。

実例：Locatefamily.comは代表者未指名でオランダ当局から52万5,000ユーロの罰金を受けました。さらに処理停止命令や違反公表命令が出ることもあります。

その他のリスク：

• 住所だけの不完全な指名は罰則回避にならない
• 当局への遅延回答は状況を悪化させる
• 代表者を指名しても最終的な責任は事業者にある（第27条第5項）

結論：価格だけで選び、第27条の正式な役割を担わず第30条記録を管理しないサービスは法的・評判リスクが高いです。

提供者が伝えないことが多い注意点：制限、除外、更新

• 多くの基本プランは住所のみ：正式な第27条の役割を担わず、記録も回答も保証しない。
• 問い合わせごとの料金が年間料金を超える場合も：問い合わせが多い月は予想外の費用増。
• 多言語対応は稀：多くは英語のみ。REP27はStandardプランで8言語対応。
• 更新時に価格上昇が一般的：多くは初年度限定の割引。REP27は透明で割引更新。
• 法的責任は常に事業者に：代表者は違反責任を負わない（第27条第5項）。
• 除外されるケースが多い：機微情報（第9条）、司法情報（第10条）、未成年者向けサービス、ギャンブル、医薬品、武器、暗号資産関連は対象外が多い。

アドバイス：含まれる内容、除外事項、更新・解約条件の書面リストを必ず求めてください。

判断マトリックス：誰が代表者を指名すべきか？（B2B、B2C、マーケットプレイス、規模）

実務上は、EU内に顧客・ユーザー・受取人がいるほとんどのEU域外企業が代表者指名義務を負います。B2B・B2C、独自サイト・マーケットプレイス問わず適用されます。

実例3つ：義務の適用と最適な対応策

1. 米国SaaSでEU顧客：米国のSaaS事業者がEU企業・ユーザーにサブスクリプションを販売する場合、EU代表者指名、プライバシーポリシーへの掲載、第30条記録管理が必要。推奨：REP27のStandardプラン（無制限問い合わせ、第30条管理、多言語デスク対応）。
2. 中国のAmazon出品者：中国企業がAmazon経由でEU消費者に商品を販売する場合、代表者指名義務が完全に適用。スイス販売もある場合はnFADP義務も検討。推奨：REP27のMultiプラン（スイス評価無料込み）。
3. 英国のB2B限定オンラインショップ：EU個人データを扱わなければ免除。ただし管理者やユーザーの個人データを収集する場合は義務発生。ケースバイケースの判断だが、不確実なら指名推奨。

これらの例は、顧客種別（B2B/B2C）、データ種別、監視活動の有無で義務の有無を判断すべきことを示しています。