非EU企業のデータ処理サービスにおける法定代理人の費用は？

• EU居住者のデータを扱う非EU企業に義務（GDPR第27条）
• 公開価格は年間290～1,500ユーロ
• REP27は27のEU加盟国＋EEAを追加費用なしでカバー
• REP27は24時間以内に正式指定可能
• 指定しない場合は最大1,000万ユーロまたは売上高の2%の罰金

更新済み 23 October 2026 · 9 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、23 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法的要件：GDPR第27条とData Act

GDPR第27条は、EU居住者向けにサービスや製品を提供、または行動を監視する非EU企業に、EU内の法定代理人の指定を義務付けています。この代理人はデータ保護当局や関係者の連絡窓口となり、書面で指定されなければなりません。代理人は関係者が所在するEU加盟国のいずれかに設立され、GDPR第30条の処理活動記録を保持します。Data Actはクラウド、SaaS、IoTなどのデータ処理サービス提供者に適用され、EUに拠点がない場合はEU代理人の指定が必要です。指定しない場合、GDPR第83条により最大1,000万ユーロまたは年間売上高の2%の罰金が科されます。代理人は調査や要請のために直接当局から連絡を受けます。

データ処理サービスを提供する企業は、GDPRとData Actの両方でEU市場での活動に対し法定代理人の指定が求められます。EU居住者の個人データを扱わない、またはEU内でサービスを提供しない企業は対象外です。

適切なプロバイダーの選び方

EU法定代理人の選択は実務的かつ透明な基準に基づくべきです。REP27のように27のEU加盟国とEEA全域を追加費用なしでカバーしているか確認しましょう。指定の迅速さも重要で、REP27は24時間以内に指定書を発行しますが、他社は明示しない場合があります。関係者や当局からの要請対応方法、多言語対応（REP27は8言語対応）も確認してください。

検証可能な証明書の有無、GDPR第30条記録の管理、スイス向け無料評価（REP27）なども評価ポイントです。Brace Solutionsのように従業員数やデータ量に制限がある場合もあります。追加サービスや基本プラン外の要請に追加費用が発生するかも必ず確認しましょう。

• 地理的カバー範囲を確認（27のEU加盟国とEEA全域か）
• 指定の迅速さを確認（REP27は24時間以内）
• 要請対応と多言語対応の詳細を確認
• 検証可能な証明書と多言語ドキュメントの有無を評価
• スイス評価などの追加サービスの有無を確認

価格に含まれる内容

公開されている価格は通常、EU法定代理人としての正式指定、関係者や当局からの要請管理、GDPR第30条の処理活動記録の保持を含みます。REP27は27のEU加盟国とEEA全域を追加費用なしでカバーし、デジタル署名済み指定書、QRコードで検証可能な証明書、8言語のプライバシーノーティス、2営業日以内の要請対応、スイス向け無料評価を提供します。VeriSure Complianceは監視・アラート、年次レビュー、専用住所も含みます。

Brace Solutionsは従業員50名以下、最大2,000名の関係者に限定し、DataShieldは公開連絡ページと要請管理を提供します。多くのプロバイダーは価格に含まれるサービスの詳細を明示していないため、契約前に詳細リストを必ず確認してください。スイスでの代理人サービスはREP27では含まれず、無料評価のみ提供されます。

含む・含まないサービスの表：

隠れた費用と一般的な制限

多くのプロバイダーは基本プラン外の要請対応、ドキュメント更新、カスタマイズサービスに追加費用が発生するか明示していません。REP27は当局や関係者からの要請を2営業日以内に対応しますが、スイス代理は義務の場合除外され（無料評価は提供）、Brace Solutionsは従業員50名、関係者2,000名までに制限しています。他社は制限を明示しない場合があります。

追加費用が発生する可能性のある例：

• 複雑な当局からの要請対応
• プライバシードキュメントの改訂や更新
• 大量の関係者からの要請管理
• EU外（例：スイス）での代理人サービス

契約前に必ずサービス内容と追加費用の詳細リストを確認してください。費用の透明性は罰則や業務停止リスクを避けるために重要です。

制限と追加費用の表：

指定手順：ステップバイステップ

EU法定代理人の指定は以下の手順で行い、コンプライアンスと罰則リスクの軽減を図ります：

1. 義務の確認：自社がEU居住者向けにサービスや製品を提供、または行動監視し、個人データを扱うか確認。
2. プロバイダー選定：利用可能なプロバイダーを比較し、価格、サービス内容、指定スピード、カバー範囲を確認。
3. サービス申請：選定したプロバイダーのサイトで申請フォームに必要情報（企業情報、処理活動、連絡先）を入力。
4. 正式指定：指定書（REP27はデジタル署名・QRコード付き証明書）を受領し、署名・保管。
5. プライバシーポリシー更新：プライバシーポリシーやGDPR関連文書（第13/14条通知）に代理人情報を記載。
6. 要請管理：代理人が関係者や当局からの要請を受け、期限内に企業へ転送・対応。

実用チェックリスト：

1. EU顧客と個人データの流れを分析
2. 義務該当の有無を確認
3. プロバイダーと価格を比較
4. 詳細見積もりを取得
5. 指定を完了しプライバシー文書を更新
6. 指定書と証明書を保管
7. 定期的にカバー範囲とコンプライアンスを確認

指定しないリスクと罰則

EU法定代理人を指定しない場合、法的・運用上の重大なリスクがあります。GDPR第83条により、最大1,000万ユーロまたは年間売上高の2%の罰金が科されます。Locatefamily.comの事例では、指定しなかったため52.5万ユーロの罰金が科され、EU当局は他の違反がなくても規則を適用しています。

罰金以外の影響：

• 業務停止：当局がEU内での処理や営業停止を命じる可能性
• 評判の損失：罰則公表により企業イメージ悪化
• 顧客喪失：EU企業が指定証明を求め契約拒否の可能性

代理人は関係者や当局の直接の連絡先です。要請対応が遅れたり不適切だと調査や罰則が厳しくなります。

リスク表：

プロバイダーがあまり言わないこと

多くのプロバイダーが明示しない重要事項：

• 代理人指定は企業のGDPR責任を免除しません。代理人は中間者であり、データ管理者や処理者の責任は企業にあります。
• 指定は常に最新かつ書面で記録される必要があります。プロバイダー変更時はプライバシーポリシー更新や当局通知が必要です。
• Brace Solutionsのように従業員数や関係者数、処理データ量に制限がある場合があり、成長企業は利用できない可能性があります。
• スイスでの代理人サービスはREP27には含まれず、無料評価のみ提供されます。
• 要請対応の応答時間はプロバイダーにより異なり、REP27は2営業日以内を保証しますが他社は不明瞭です。
• 検証可能な証明書や多言語プライバシーノーティスは全てのプロバイダーで保証されていません。
• プロバイダーは顧客企業のコンプライアンス違反の責任を負いません。最終的な責任は企業にあります。

3つの実例：義務と解決策

• 米国SaaS企業のEU顧客：米国のSaaS企業がEU顧客にサービスを提供する場合、GDPR第27条とData Actに基づきEU代理人を指定する必要があります。REP27のようにEEAカバー、迅速指定、多言語ドキュメントを提供するプロバイダーが最適です。
• 中国のAmazon EU出品者：中国の出品者がAmazonでEU顧客に商品を販売し個人データを扱う場合、代理人指定が必要です。eコマース経験があり価格が明確なプロバイダーを選びましょう。マーケットプレイス経由の販売でも義務は変わりません。
• 英国のB2Bオンラインショップ：英国のショップがEU企業向けに販売し個人データを扱わない場合、代理人指定義務はありません。ただし個人連絡先データを扱う場合は指定が必要です。

意思決定マトリックス：