GDPRでEU代表者が必要な企業はどこ？

• GDPR第27条はEU外でEU向けに事業を行う企業に代表者指定を義務付け。
• 第3条2項に基づくEU外の管理者・処理者に適用。
• 公的機関や低リスクの一時的処理は除外。
• 違反時の罰金は最大1,000万ユーロまたは全世界売上高の2%。
• 代表者はEU内に所在し、書面で委任を受ける必要あり。
• 価格やサービス内容に差があり、隠れコストもあるため比較が重要。

更新済み 21 October 2026 · 8 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、21 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法律の要件とは？（GDPR第3条および第27条）

一般データ保護規則（GDPR）第27条は、EU外に所在する企業や団体が、第3条2項に基づきEU内の個人に商品やサービスを提供するか、その行動を監視する場合、EU内に書面で指定された代表者を置くことを義務付けています。この代表者は、データ主体や監督機関の連絡窓口となり、影響を受けるデータ主体がいる加盟国のいずれかに所在しなければなりません。

• この義務は、EU外の管理者（コントローラー）および処理者（プロセッサー）に適用されます。
• 指定は書面で行い、双方の署名が必要で、委任の範囲、義務、期間を明確にする必要があります。
• 代表者は処理活動の記録（第30条）を保持し、監督機関の要請に応じて協力しなければなりません。
• 例外として、公的機関や低リスクの一時的処理で特別カテゴリデータや犯罪関連データを含まない場合は代表者指定が不要です。

指定しないことは、第83条4項a号により独立した違反とみなされ、最大1,000万ユーロまたは全世界年間売上高の2％の罰金が科されます。実例として、オランダ当局がLocatefamily.comに代表者未指定で525,000ユーロの罰金を課しています。

代表者は処理の法的責任を負わず、管理者または処理者が責任を持ちます。役割は管理的かつ連絡窓口であり、法的助言ではありません。

EU代表者の選び方：重要な基準と比較

適切なEU代表者を選ぶことはGDPR遵守と罰則回避に不可欠です。サービス内容は様々で、単なる郵便受けの提供のみのものから、正式に委任を受けて申請や記録管理を行うものまであります。選択前に以下を確認しましょう：

• 正式な委任：プロバイダーは第27条の委任を明示的に受け入れ、署名していますか？
• 記録管理：監督機関から求められた場合に第30条の処理活動記録を保持・提示しますか？
• 対応言語：顧客や監督機関に必要な言語での対応が可能ですか？
• 追加費用：申請ごと、追加言語、更新時の料金はありますか？
• 証明書と検証：検証可能な証明書や公開確認手段を提供していますか？

2026年10月時点のサービス比較：

支払い前に必ず指定書を請求し、GDPRが求めるすべての業務を受け入れているか確認しましょう。

価格に何が含まれる？料金体系と隠れコスト

EU代表者サービスの公開価格は大きく異なり、実際の総コストを反映しない場合があります。各料金に何が含まれ、後からどのような費用が発生するかを分析することが重要です。

• 基本料金：単なる住所提供から正式委任、法的サービスの有無で€300未満から€2,000超まで幅があります。
• 申請ごとの費用：申請1件あたり€25〜€90を請求するプロバイダーもあり、多数の申請があると総額が跳ね上がります。
• 記録管理費用：第30条の処理活動記録の保持・提示は多くのプロバイダーで年間€100〜€400の追加料金。REP27はStandardプランから含みます。
• 言語・サポート：多言語対応は基本プランでは稀。REP27はStandardとMultiプランで8言語対応。
• 更新料金：初年度後に価格が上がる場合があります。REP27は2年目以降更新料を割引。

例：年間20件の申請がある企業が申請ごと課金のプランを選ぶと、基本料金の2倍以上になる可能性があります。契約前に必ず契約書を取り寄せ、年間総コストを計算しましょう。

サービスレベルの概要：

• 郵便受けのみ：正式委任や記録管理なしの転送のみ。
• 正式委任：署名された委任、申請・記録管理、応答義務あり。
• 法的リテイナー：法的助言含むが、多くの企業には不要。

指定の流れ：実務ガイド

GDPRに基づくEU代表者の指定は厳密かつ文書化された手続きが必要です。以下は正しい手順のガイドです：

1. 義務の確認：自社がEU外で、EU内の個人に商品・サービスを提供または監視しているか確認。
2. プロバイダー選定：第27条の委任を明示的に受け入れ、EU内に所在するプロバイダーを選ぶ。
3. 指定書請求：委任の受諾、範囲、記録管理、応答期限が含まれているか確認し、草案を請求。
4. 署名・捺印：自社とプロバイダー双方が署名。REP27は24時間以内に対応。
5. 証明書受領：QRコード付きの検証可能な証明書を受け取る。
6. プライバシーポリシー更新：第13/14条に基づき、代表者の氏名、住所、メールを記載。
7. 運用開始：代表者は申請や監督機関からの連絡を受け、記録し、期限内に転送。REP27は申請を2営業日以内（Standard/Multiは同日）に転送。
8. 記録管理：プランに含まれる場合、代表者が第30条記録を保持し、監督機関に提出。

購入者向けチェックリスト：

1. 自社はEU内の個人に商品・サービスを提供または監視しているか？
2. EU外に所在しているか？
3. 処理は一時的でなく、例外に該当しないか？
4. 指定書を請求し、第27条の業務を受け入れているか確認。
5. 追加費用（申請、言語、更新）を確認。
6. 第30条記録を保持・提出するか確認。
7. 必要な言語でサポートがあるか確認。
8. 監督機関への応答期限を確認。
9. 署名後、代表者情報をプライバシーポリシーに掲載。

リスク・罰則・違反時のシナリオ

義務があるのにEU代表者を指定しないことはGDPR上の独立した違反であり、第83条4項a号に基づき最大1,000万ユーロまたは全世界売上高の2％の罰金対象です。監督機関は通報なしでも調査・処罰を開始でき、応答しないか無効な指定は事態を悪化させます。

• 実例：Locatefamily.comは代表者未指定でオランダ当局から525,000ユーロの罰金。
• 無効な委任：単なる郵便住所指定や正式な委任を受けていないプロバイダーの指定は、第三者が監督機関に対応しないため指定なしと同じかそれ以上に悪影響。
• 責任範囲：代表者は処理の法的責任を負わず、監督機関と完全に協力し、EU外の管理者との連絡を円滑にする義務がある。

リスク回避のための推奨：

• 委任書が署名され、第27条の業務を明確に受け入れているか確認。
• 代表者が第30条記録を保持・提出できることを確認。
• 低価格だけでなく、サービス範囲や応答期限を必ずチェック。

違反は企業の評判やEUでの事業継続に悪影響を及ぼし、高額な罰金を招きます。

判断マトリックス：EU代表者は必要？

以下のマトリックスは、GDPRに基づき自社がEU代表者を必要とするか判断するのに役立ちます。状況を分析し、義務の有無を確認してください：

具体例：

• EUユーザー登録を可能にする米国SaaS：代表者が必要。
• AmazonでEU顧客に製品を販売する中国メーカー：代表者が必要。
• カナダのNGOでEU外の寄付者データのみ処理：代表者不要。

プロバイダーがあまり言わないこと：除外事項、更新、制限

多くのプロバイダーは遵守や実際のコストに影響する重要事項を省略します。契約前に細則をよく読み、質問しましょう：

• 郵便住所のみ：正式委任を受けず、申請対応や記録管理も約束しない場合が多い。
• 記録管理：多くは基本料金に第30条記録の管理・提出を含まず、年間追加費用が発生。
• 限定的なサポート：英語のみ対応が多く、REP27はStandard/Multiプランで8言語対応。
• 申請ごとの追加費用：多数申請があると年間料金を超える場合も。
• 自動更新：初年度後に価格が上がる契約もある。REP27は更新料割引あり。
• 責任制限：代表者は法的責任を負わず、法的助言は別契約が必要。
• 除外活動：REP27は特別カテゴリデータ、犯罪関連データ、高リスク活動、16歳未満の子供、スクレイピング、成人向けコンテンツ、武器、暗号通貨、許可制活動を扱う顧客を受け入れません。

必ず契約書を請求し、すべての条件を確認してから契約してください。

実務シナリオ：義務例と遵守ルート

EU代表者義務の適用例と最も簡単な遵守方法を3つ紹介します：

• 米国SaaSでEU企業・消費者向け販売：代表者指定が必要。REP27 Standardプランは無制限申請、8言語サポート、記録管理を含む。プライバシーポリシーに代表者情報を追加し、申請はデスク経由で対応。
• 中国のAmazon販売者でEU向け出荷：GDPR第27条に基づく代表者義務あり。CEマークやGPSR対象製品の場合、REP27 MultiプランはGPSR管理者およびCE認定代表者もカバー。商品リストや書類に代表者情報を追加。
• 英国のオンラインショップでEU販売継続：ブレグジット後、EU代表者および多くの場合UK代表者も必要。EUverifyは両方を1プランで提供、REP27は別々に割引価格で提供。両方の情報をプライバシーポリシーに掲載し、各管轄の申請に対応。

いずれの場合も、指定は正式で署名済み、社内外の文書に反映されている必要があります。