UK GDPR代表者は誰が必要？知っておくべき全て（2026年）

• 英国以外の企業で、英国向け商品/サービス提供またはユーザー監視が義務
• 英国に拠点があるか、処理が本当に偶発的なら不要
• 代表者は書面で指名し、公開する必要あり
• 罰金は最大1,750万ポンドまたは世界売上高の4%
• プロバイダーによって価格・サービスが異なるため詳細比較あり

更新済み 21 October 2026 · 9 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、21 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法律の要件：UK GDPR第27条

UK GDPR第27条は、英国に拠点を置かずとも、英国の個人に商品やサービスを提供するか、その行動を監視するすべての管理者または処理者に対し、書面でUK GDPR代表者を指名することを義務付けています。代表者は英国に設立され、関係者および情報コミッショナー事務局（ICO）のための現地連絡窓口として機能します。サーバーやインフラの物理的存在は問われず、実質的かつ継続的な活動の有無が重要です（単なる郵便住所や第三者倉庫は不十分）。

• 指名義務： 指名は書面で行い、プライバシー通知に掲載し、連絡先を明示する必要があります。
• 責任： 代表者は連絡窓口として機能しますが、管理者/処理者の責任や義務を免除しません（第27条4項）。
• 免除： 処理が本当に偶発的で、機微情報や犯罪歴情報を含まず、関係者の権利にリスクを及ぼさない場合は免除されます（第27条2〜6項）。これらすべての条件を満たす必要があります。
• 罰則： 指名義務違反は独立した違反であり、最大1,750万ポンドまたは世界売上高の4%の罰金が科される可能性があります（出典）。

この規定は、次のいずれかに該当する英国外の企業に適用されます：

• 英国の顧客に商品やサービスを販売する（B2Bでも個人データが関与する場合）
• 英国の個人の行動を監視する（例：クッキー、分析、ターゲット広告）

参考：UK GDPR第27条、ICO

プロバイダーの選び方：基準、比較、含まれるサービス

UK GDPR代表者プロバイダーの選択は、コンプライアンスミスや隠れコストを避けるために重要です。評価すべき実用的な基準は以下の通りです：

• 対応地域： 一部はUKのみ、他はEU代表も兼ねる（両市場で販売する企業に便利）。
• 価格と更新： 年間120ポンドから750ポンド超まで幅広い。更新時の割引や追加費用の有無を確認。
• 含まれるサービス： 正式指名以外に、検証バッジ、プライバシー通知文言、DSAR管理、処理記録、監査証跡、多言語対応デスクなど。
• 指名までの時間： REP27は24時間以内に指名発行。他は明示されない場合あり。
• 認証・公開検証： REP27はQRコード付き証明書と公開検証あり。他はバッジやトラストセンター提供。

2026年10月時点の含有サービス比較表：

最適な選択は事業地域、監査ニーズ、UK+EUの組み合わせの必要性によります。両市場で販売する場合、REP27のような統合ソリューションがコストと管理負担を軽減します。

価格に含まれる内容：実務的詳細と意思決定マトリクス

プロバイダーが提示する価格には大きな差があります。単に正式指名のみの提供もあれば、監査ツール、検証バッジ、プライバシー通知文言、DSAR管理、処理記録、多言語デスクを含む場合もあります。何が含まれ、何がオプションか、追加料金があるかを必ず確認してください。

例えば、REP27は2つの指名（UK+EU）、2つの証明書、8言語のプライバシー通知文言、問い合わせデスク、処理記録、検証バッジを提供。GabsorやEuverifyもトラストセンター、バッジ、監査証跡、DSAR管理を含みます。FSREG、GDPR Gateway、Janus、DataRep UKはUK代表に特化し、基本サービスと問い合わせ転送を提供しています。

実用的な判断表：

注意：「偶発的」処理は厳密に解釈されます。定期的に注文を受ける小規模ECも偶発的とはみなされません。疑問があれば購入前に必ずプロバイダーに確認してください。

隠れた費用と制限：プロバイダーが明示しないこと

多くのプロバイダーは以下の条件や制限を明確に示していません：

• 責任の限定：代表者は法的責任を負わず、連絡窓口としてのみ機能します（第27条4項）。
• 除外事項：代表者サービスにDPOやプライバシー相談は含まれず、これらは追加費用がかかることが多いです。
• 追加費用：複雑な問い合わせ、データ変更、高度な監査、大量リクエスト対応には追加料金が発生する場合があり、多くは「要問い合わせ」とされています。
• 解約予告期間：サービス終了の予告期間は明示されていないことが多く、契約条件を確認することが重要です。
• 更新と乗り換え：REP27は割引更新や他社からの乗り換えをサポートしますが、他社は割引や利便性を提供しない場合があります。

2026年10月時点の除外と制限まとめ表：

実用的なアドバイス：契約前に必ず含まれるサービスと追加料金の一覧を文書でプロバイダーに確認しましょう。

指名の流れ：ステップバイステップ、チェックリスト、所要時間

UK GDPR代表者の指名は正しい手順を踏めば迅速に完了します。実用的なステップは以下の通りです：

1. 義務の有無確認：3つの質問に答えます：(1)英国外に拠点があるか？(2)英国向け商品/サービス提供またはユーザー監視をしているか？(3)個人データを処理しているか？
2. プロバイダー選択：対応地域（UKのみかEUも含むか）、サービス内容、価格、発行時間を比較検討。
3. 指名申請フォーム記入：企業情報、処理内容、担当者情報、必要書類を提出。REP27なら約5分で完了。
4. 指名書受領：プロバイダーが署名済み指名書、証明書、プライバシー通知用文言を発行（REP27は24時間以内）。
5. プライバシー通知更新：提供された文言を追加し、代表者情報と連絡方法を明示。
6. 公開と通知：指名を利用者や当局が容易に確認できるように公開。
7. 年次更新：期限を管理し、継続的に更新してコンプライアンスを維持。

簡易チェックリスト：

• 英国の顧客またはユーザーがいるか？
• サービス提供または行動監視をしているか？
• 既に代表者を指名しているか？
• プライバシー通知を更新したか？
• 対応地域やサービス内容を確認したか？

所要時間はプロバイダーや提出情報の完全性により異なり、REP27は24時間以内、他は数営業日程度です。

リスク、罰則、実例：現実のシナリオ

UK GDPR代表者を指名しない場合、最大1,750万ポンドまたは世界売上高の4%の罰金（出典）、取引停止、評判損失などのリスクがあります。代表者は管理者の責任を免除しませんが、利用者やICOの現地連絡窓口として機能します。

3つの実例：

• 米国SaaSがUKおよびEUユーザーにサービス提供：UKとEU両方の代表者を指名する必要があります。効率的な方法は、REP27のように1回の申請で両方の指名を取得することです。
• 中国のAmazon UK販売者：物理拠点がなくてもUK顧客に販売する場合はUK GDPR代表者を指名しなければなりません。UK専用またはEUも含む複合サービスを選べます。
• UKの店舗がUKのみで販売：英国に拠点（オフィス、支店、スタッフ）があれば代表者は不要です。EU企業がUK顧客に販売する場合は指名が必要です。

実用的判断表：

アドバイス：ICOや顧客からの指摘を待たず、事前に指名を行いましょう。違反はオンライン監査でも発覚します。