EUとUK両方のGDPR代表者は必要？

• 両地域を対象とする場合、EUとUKで別々の代表者が必要。
• EUのGDPR第27条とUKのGDPR第27条は別個の法的義務。
• 統合サービスは別々のプロバイダーより管理とコストを削減可能。
• 違反時の罰金は最大1,000万ユーロまたは世界売上高の2％に達する可能性あり。
• EUまたはUKに設立されている企業は自国地域の代表者は免除。

更新済み 18 October 2026 · 7 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、18 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法的要件：EU GDPR第27条とUK GDPR

EU GDPR第27条およびUK GDPR第27条は明確な義務を課しています。もしあなたの会社がEUまたはUKに設立されていないが、これらの地域の個人に商品やサービスを提供するか、行動を監視している場合、それぞれの地域に物理的に設立された代表者を任命しなければなりません。これは管理者と処理者の双方に適用されます。代表者はデータ主体および監督機関の現地連絡窓口として機能し、その情報はプライバシー通知に記載しなければなりません。

ブレグジット後、UK GDPRは独立した制度となりました。つまりEUの代表者がUKの代表を兼ねることはできず、その逆も同様です。各地域に物理的に設立された別個の組織への書面による任命が必要です。代表者は個人や当局からの要請に対応できる必要があり、あなたの第30条処理記録を保管することが求められる場合もあります。代表者を任命しないことは独立した違反であり、最大1,000万ユーロまたは世界売上高の2％の罰金が科される可能性があります（GDPR第83条）。

例外として、EUまたはUKに実質的な拠点（単なる郵便箱ではない）がある企業は自国地域の代表者を必要としません。例えば、UK企業がEUに販売する場合はEU代表者が必要ですが、UK代表者は不要です。逆にEU企業がUKに販売する場合はUK代表者のみ必要です。両地域に実質拠点がある企業は自国地域の代表者義務は免除されます。

GDPR代表者の選び方：重要なポイント

適切なGDPR代表者の選定はコンプライアンスと運用効率のために重要です。主な検討ポイントは以下の通りです：

• 管轄地域のカバー範囲：EU代表者はEU内に、UK代表者はUK内に法的に設立されている必要があります。REP27のような統合サービスは両地域の指定を一括発行でき、時間節約と管理ミスのリスク軽減に役立ちます。
• サービス範囲：法定最低限のみか、プライバシー通知文言、多言語対応、記事30記録管理などの付加価値サービスがあるかを評価します。REP27は8言語の文言とQRコード検証を含み、Janus Complianceは対応件数制限と追加料金設定があります。
• 更新・管理：統合プロバイダーは更新日を同期し、書類管理を簡素化します。別々のプロバイダーは更新漏れリスクと管理負担が増加します。
• 料金の透明性：明確な価格表示と追加料金（リクエストごと、オンボーディング費用、多言語・証明書追加費用など）の開示を確認してください。
• 除外事項・制限：多くのプロバイダーは法的助言、DPOサービス、監査を含みません。REP27は特別カテゴリー情報、16歳未満の子ども、大規模監視・プロファイリングを除外しています。

含まれるもの／含まれないもの／追加料金表

価格に含まれるもの（および含まれないもの）

料金で何が得られるかを理解することは重要です。プロバイダーは価格だけでなく、年間サブスクリプションに含まれる内容が異なります：

• REP27 — Europe Services, SE：€390/年（Base）でEUとUK両方の第27条指定、2つの証明書（各地域用）、多言語プライバシー通知文言、QRコード検証、リクエストデスク、スイス評価を含みます。Baseプランは年間10件までの転送リクエストを含み、上位プランでは無制限リクエストと第30条記録管理が可能です。法的助言、DPOサービス、監査は含まれません。
• Janus Compliance：地域ごとに料金が異なり、UKは£349/年、EUは€449/年です。各プランは年間50件の対応を含み（ICO対応は除く）、超過は1件£8です。EU＋UKの両方をカバーするには別々の契約が必要で割引はありません。法的助言や無制限対応は含まれません。
• Euverify：£490/年（Startupプラン）でEUまたはUKの代表者サービスを提供し、GDPR代表者、ROPAビルダー、代表証明書、DSR統合受信箱、トラストバッジ、監査証跡、DSR翻訳を含みます。両地域カバーには2契約が必要です。追加料金は要問い合わせ。
• Gabsor：$948/年（Essentialプラン）でEUとUK両方の代表者、コンプライアンスダッシュボード、トラストセンター、プライバシーポリシースニペット、バッジ、ROPAビルダー、DSAR管理、監査証跡を含みます。追加料金や制限は要問い合わせです。

公開価格が両地域をカバーしているか、単一地域かを必ず確認してください。多くのプロバイダーは法的助言、DPOサービス、監査を含みません。高リスク処理や子ども対象のサービスは除外される場合があります。購入前に除外事項と利用規約をよく確認しましょう。

隠れたコストとプロバイダーが通常言わないこと

表面上の価格は似ていても、隠れたコストや運用リスクが積み重なることがあります。注意すべき点は：

• リクエストごとの料金：Janus Complianceは年間50件の対応を含みますが、超過分は1件£8です。REP27のBaseプランは年間10件まで含み、上位プランは無制限です。一部プロバイダーはリクエスト料金を明示しないため、契約前に必ず確認してください。
• 別々のオンボーディングと更新：EUとUKで別々のプロバイダーを使うと、書類手続きが2倍になり、更新日も別々です。指定の失効は第27条違反となるためリスクが高まります。REP27のような統合サービスは更新を同期し管理負担を軽減します。
• 除外事項：ほとんどのプロバイダーは法的助言、DPO、監査を除外します。REP27は特別カテゴリー情報、16歳未満の子ども、大規模監視、データブローカー、成人向けコンテンツ、ギャンブル、暗号資産、武器、医薬品を除外しています。対象業種の場合は利用不可の可能性があります。
• 解約通知期間：REP27は解約に30日前の書面通知を求めます。不要な自動更新を避けるため、解約ポリシーを必ず確認してください。
• 責任制限：比較対象のプロバイダーは責任制限を公開していません。契約時に責任や補償条項を必ず確認しましょう。

プライバシー通知文言、多言語対応、QRコード検証が標準で含まれない場合もあります。これらが欠けると非準拠や追加作業の原因となるため注意が必要です。

任命の流れ：ステップバイステップチェックリスト

GDPR代表者の任命は文書化され検証可能でなければなりません。コンプライアンスを確実にするための実務的なチェックリストは以下の通りです：

1. 義務の確認：EU、UK、または両方の個人に商品・サービスを提供または監視しているかを判断。
2. プロバイダー選定：必要地域に設立されたプロバイダー（または両方の統合サービス）を選び、除外事項や含まれる機能を確認。
3. オンボーディング完了：プロバイダーの申込フォームを記入。REP27のような統合サービスは両地域を一括で申請可能で時間とミスを減らせる。
4. プロバイダーによる審査：申請内容を審査し、指定文書を作成。統合サービスは両指定を同一回答から作成し一貫性を確保。
5. 署名取得：EU側組織がEU指定に、UK側組織がUK指定に署名。2通の別々の文書を受領。
6. 証明書と文言受領：各地域用の証明書（QRコード付き）とプライバシー通知文言を受け取る。REP27はQRコードと公開検証ページを提供。
7. プライバシー通知更新：両地域分の文言を通知に挿入。片方だけの記載は誤りで規制当局に指摘される可能性あり。
8. コンプライアンス維持：代表者が個人や当局の要請に対応できるようにし、年次更新と全対応記録の保管を行う。
9. スイス評価（該当時）：REP27利用時はスイス代表者の必要性を無料で評価し、必要なら即通知。

このチェックリストに従うことで、第27条GDPRとUK GDPR両方の要件を満たし、コンプライアンスリスクを最小化できます。

判断マトリックス：EU、UK、または両方の代表者が必要か？

会社の所在地と活動に基づき義務を素早く判断できるマトリックス：

このマトリックスはB2B、B2C、Amazon、Etsy、eBayなどのマーケットプレイス販売者をカバーしています。EU・UKいずれにも設立されていないが両方を対象とする場合は両地域の代表者が必要です。いずれか一方に設立されている場合は相手地域の代表者のみ必要で、両方に設立があればどちらの代表者も不要です。

現実的なシナリオ：どの義務が適用されるか？

• 米国SaaS企業がEUとUK両方に販売：両地域の顧客がいる米国SaaSプロバイダーはEUとUK両方のGDPR代表者を任命する必要があります。REP27は€390/年で両指定を一括発行し、2つの証明書と両地域のプライバシー通知文言を提供。別々のプロバイダーより管理負担が軽減されます。
• 中国のAmazon販売者がドイツとUKに配送：Amazon.deとAmazon.co.ukで販売し両地域に配送する中国販売者はEUとUK両方の代表者を任命しなければなりません。統合サービスが最も簡単で、書類の不整合や更新漏れリスクを減らせます。
• UKのオンラインショップがUKのみ販売：EU居住者を対象にせずUKに拠点がある場合、EU代表者は不要です。UK代表者も自社拠点のため免除され、第27条代表者は不要です。
• EU企業がUKのみ販売：アイルランドやドイツの企業がUK消費者に販売する場合はUK代表者が必要ですが、自社のEU地域については代表者不要です。
• マーケットプレイス販売者（Amazon、Etsy、eBay）：非EU/UKの販売者でこれらプラットフォームを通じてEUまたはUK顧客を対象とする場合、該当地域の代表者を任命する必要があります。REP27などはマーケットプレイス販売者向けに統合サービスを提供し、コンプライアンスを簡素化しています。

非遵守のリスクと罰金

第27条GDPRまたはUK GDPRに違反すると深刻な結果を招きます。監督機関は最大1,000万ユーロまたは世界年間売上高の2％の行政罰金を科す権限があります（GDPR第83条）。例えばオランダ当局はLocatefamily.comに代表者未任命で52万5,000ユーロの罰金を科しました。罰金に加え、個人データ処理停止やEU・UKでの事業制限命令もあり得ます。

罰金だけでなく、代表者の更新漏れやプライバシー通知に両代表者の正確な記載がない場合も違反とみなされ、調査や評判低下、顧客信頼喪失につながります。統合プロバイダーを利用すれば管理ミスのリスクを減らし、両指定を最新かつ検証可能に保てます。

さらに、データ主体や当局からの要請に迅速に対応しないことも違反となる可能性があります。信頼できるリクエストデスクの提供と、法定期限内に要請を処理する社内体制の整備が必要です。