EUのデータ保護責任者は誰が必要？提供者と料金 2026年版

• DPO義務：公的機関または大規模な監視・特別データの処理（DSGVO第37条）
• EU代表者：EU外企業でEU顧客や利用者がいる場合（DSGVO第27条）
• 違反時の罰金は最大1,000万ユーロまたは世界売上高の2％（DSGVO第83条）
• REP27：年290ユーロからのEWR全域対応EU代表者、証明書付き、多言語対応
• サービス内容や追加料金は提供者によって大きく異なる
• すべての企業がDPOやEU代表者を必要とするわけではない。判断マトリックス参照

更新済み 19 October 2026 · 6 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、19 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

DSGVOの要求内容とは？（第27、37、83条）

一般データ保護規則（DSGVO）は、データ保護責任者（DPO）とEU代表者の2つの主要な役割を区別しています。これらの義務は異なる企業や状況に適用されます：

• データ保護責任者（DPO、第37〜39条）： DPOは、公的機関や、個人の大規模かつ体系的な監視、または特別カテゴリの個人データ（例：健康情報、政治的意見）を大規模に処理する企業に義務付けられています。DPOの役割は第39条に規定されており、助言、遵守監督、当局・対象者の窓口、影響評価支援などを含みます。
• EU代表者（第27条）： EU外の企業で、EU内の個人に商品やサービスを提供するか、EU市民の行動を監視（例：トラッキング、分析）する場合は、書面によるEU代表者の指名が必要です。代表者は監督機関や対象者の連絡窓口となり、処理活動記録（第30条）を保持します（提供者が対応する場合）。

EU代表者の設置義務は、処理が断続的で特別データを含まず、対象者の権利・自由にリスクがない場合は免除されます。多くの小規模企業は、大規模な監視や特別データ処理がなければDPOの設置は不要です。

罰金： EU代表者を設置しない場合、最大1,000万ユーロまたは世界売上高の2％までの罰金が科されます（第83条第4項）。オランダの監督機関は、Locatefamily.comに対しEU代表者不設置で525,000ユーロの罰金を課しました。

DPO設置義務は第37条（出典）、役割は第39条（出典）、罰金は第83条（出典）に規定されています。

適切な提供者の選び方：重要な基準と比較

EU代表者やDPOサービスの選択はコンプライアンスに重要です。サービス内容、対応速度、隠れた費用は大きく異なります。以下の基準を確認してください：

• 提供者は第27条の業務を明確に書面で受諾しているか？ 真の委任は第27条の義務を明示的に含みます。単なる郵便受けや住所提供は不十分です。
• 誰が第30条の処理活動記録を保持するか？ DSGVOは代表者に記録の提示を求めていますが、全ての提供者が対応しているわけではありません。
• 問合せ対応の速さ： 監督機関や対象者からの問合せをどれくらい迅速に転送するか？期限なしの「ベストエフォート」約束はリスクがあります。REP27は2営業日以内（監督機関問合せは同日）を保証します。
• 対応言語： 複数のEU言語で対応可能か？REP27は8言語対応デスクを提供し、多くの入門プランは英語のみです。
• 追加料金： 価格に全サービスが含まれているか、問合せ件数や言語、記録保持で追加費用が発生しないか？

直接比較表：

必ず指名書を確認し、第27条の業務が明示的に含まれているか確認しましょう。サービス内容と料金体系を事前に書面で確認してください。

料金に含まれる内容と隠れた費用の注意点

EU代表者やDPOサービスの料金体系は多様です。多くの提供者は低価格を謳いますが、対象者や当局からの問合せごとに追加料金（通常25〜90ユーロ）が発生する場合があります。第30条記録の保持も別途料金（100〜400ユーロ/年）がかかることが多いです。REP27はスタンダードプランから全問合せを含み、記録も保持、隠れた費用なしです。特に以下を確認してください：

• 料金が問合せごとか無制限か
• 第30条記録が含まれているか
• 更新時の価格変動（REP27は翌年割引あり）
• 追加言語対応の有無と費用

一部提供者は実態のない郵便受けのみで法的義務を果たしておらず、罰金リスクがあります。典型的な料金落とし穴：

契約前に細則を読み込み、完全なサービス概要を必ず入手してください。

注文手順：ステップバイステップと判断マトリックス

信頼できる提供者でのEU代表者またはDPOの注文は明確な流れに従います。法的要件を満たすための手順：

1. EU代表者またはDPOが必要か確認（下記マトリックス参照）。
2. 提供者を比較し、指名書を入手して内容を確認。
3. 企業情報、データ処理内容、連絡先を記入したオンボーディングフォームを提出。
4. 署名済み指名書と証明書を受領（REP27は24時間以内）。
5. 代表者の連絡先をプライバシーポリシーに掲載（DSGVO第13/14条）。
6. 第30条記録を保持または提供者に管理させる。
7. 必要に応じて無料のスイス代表者適合性チェック（REP27）を実施。

判断マトリックス：

このマトリックスは誤投資を防ぎ、最適なコンプライアンス対応を選ぶ助けになります。

今日のチェックリスト：

1. 第27条または第37条の適用有無を確認。
2. 最低3社を比較（サービス内容、価格、追加料金）。
3. 指名書を請求し業務範囲を確認。
4. 第30条記録の保持と対応速度を確認。
5. サービスを注文し記録を残す。
6. プライバシーポリシーと内部手順を更新。

提供者が隠しがちな注意点：除外事項、解約、責任

多くの提供者はマーケティングで重要な詳細を伏せています。実際に重要な点：

• 法的助言は提供しない： EU代表者は法的助言を行えません。法的質問は別途弁護士やDPOが必要です。
• 責任は委託者に残る： DSGVO第27条第5項により、データ保護違反の責任は常に管理者または委託者にあります。代表者は連絡窓口であり、委託者の過誤に責任を負いません。
• 解約と自動更新： 解約条件は提供者による。REP27は更新30日前の解約が可能。問合せや記録の引継ぎ方法も確認しましょう。
• 問合せごとの追加料金： 多くの提供者は対象者や当局からの問合せごとに追加料金を請求します（25〜90ユーロ）。REP27スタンダード・マルチは全問合せ込みです。
• 対応言語とデスク： EU全域対応を謳うサービスでも英語のみが多いです。REP27は8言語対応デスクを持ち法的要件を満たしやすいです。
• 特定製品責任の引受なし： GPSR責任者やCE認証代表はREP27マルチプランのみ対応、ベースプランには含まれません。

利用規約と指名書をよく読み、提供者変更時の書類引継ぎ保証を確認してください。

現実的な3つのシナリオ：義務を正しく果たす方法

1. EU顧客を持つ米国SaaS： 米国のソフトウェア企業がEU顧客向けにクラウドサービスを提供。特別データは処理せず、利用者の行動（ログイン、利用統計）を監視。結果：DSGVO第27条に基づくEU代表者の設置が必須。DPOは大規模監視や特別データ処理がなければ不要。最適かつ低価格な選択肢はREP27スタンダード。全問合せ込み、第30条記録あり、8言語対応デスク。
2. 中国のAmazon販売者： 中国の販売者がAmazon.deでEU顧客に販売。EU代表者（第27条）と製品適合責任者（GPSR）が必要な場合あり。DPOは大規模監視・特別データ処理がなければ不要。包括的な対応はREP27マルチ。EU代表者とGPSR責任者が一契約で、担当者も一本化、証明書付き。
3. EU顧客なし英国オンラインショップ： 英国のウェブショップが英国顧客のみを対象に販売し、EU市民のデータを処理しない。結果：EU代表者やDPOの設置義務なし。EU顧客を意図的に対象にしたり配送した場合に義務が発生。

これらのシナリオは、自社のビジネスモデルを正確に把握する重要性を示しています。EU顧客を対象にしたり行動を監視する場合は、企業規模に関わらずEU代表者の設置が必要です。