英国外の事業にUK GDPR代表者は必要ですか？

• UK GDPR第27条は英国外の事業者が英国の個人を対象または監視する場合に適用。
• 免除対象は公共機関または例外的な低リスク・非機微データの処理のみ。
• REP27 — Europe Services, SEはEUとUKの代表を年€390で提供。
• 未遵守の場合、罰金が科される可能性あり。
• 提供者ごとにサービス内容、価格、更新条件が異なる。

更新済み 18 October 2026 · 13 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、18 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法的要件（UK GDPR第27条）

UK GDPR第27条は、英国に設立されていないが、英国の個人に商品やサービスを提供するか、行動を監視するデータ管理者または処理者に対し、書面によるUK代表者の任命を義務付けています。この代表者は、英国のデータ主体および情報コミッショナー事務局（ICO）の連絡窓口となります。要件は主に（1）英国居住者を対象とした商品やサービスの提供、または（2）行動の監視（分析、クッキー、プロファイリングなど）によって発生します。

免除は厳格に限定されています。公共機関である場合や、処理が極めて例外的で低リスクかつ大規模な特別カテゴリーや犯罪歴データを含まない場合はUK代表者は不要です。例えば、外国企業が英国顧客に単発の販売を行う場合は免除されますが、定期的に注文を受けるウェブショップは該当しません。法律は、英国居住者とICOがプライバシー問題で容易に連絡できる責任者を英国内に確保することを目的としています。

必要な場合に代表者を任命しないことは独立した違反であり、規制措置や罰金の対象となります。ICOは代表者の詳細をプライバシー通知に掲載することを期待し、代表者はデータ主体やICOからの要請を迅速に事業者へ転送できなければなりません。

• 含まれるもの / 含まれないもの / 追加料金表

UK GDPR代表者の選び方

適切なUK GDPR代表者の選択は、コンプライアンスと運用効率のために重要です。提供者は英国に実質的に設立されている必要があり、単なるバーチャルアドレスでは不十分です。価格の透明性、サービス内容の明確さ、実績を確認しましょう。REP27 — Europe Services, SEのようにEUとUKの代表を兼ねるサービスは、両市場を対象とする事業者に特に有用です。

比較時のポイント：

• 設立地：ICOやデータ主体に対応可能な英国の実拠点があること。
• サービス範囲：単に要請を転送するだけの代表者もいれば、多言語対応、プライバシー文例提供、記録保持を行う場合もあります。法的助言やDPOサービスは基本料金に含まれません。
• 価格と更新：UKのみのサービスは年£120～£499と幅があります。EU+UKの複合プラン（例：REP27）は別々に購入するより経済的です。更新料金や割引も確認しましょう。
• サポートと言語：多言語対応が必要な場合は対応力を重視。REP27は8言語でのリクエスト受付を提供。
• 複合サービス：EUとUK両方の代表が必要なら、両地域に設立がある提供者（REP27等）を選ぶと手続きや請求が簡素化されます。

必ず書面契約を取り交わし、プライバシー通知に正確な代表者情報を掲載してコンプライアンスの抜け漏れを防ぎましょう。

価格に含まれる内容

2026年10月時点で公開されているUK GDPR代表者サービスの価格には通常以下が含まれます：

• UK GDPR第27条に基づく書面による代表者指定（署名済み）。
• ICOおよび英国データ主体向けの連絡先住所と窓口。
• 規制およびデータ主体からの要請を事業者に転送（通常1～2営業日以内）。
• UK GDPRの透明性要件に準拠したプライバシー通知用文例。
• 指定の年次更新。一部提供者は複合サービスの割引あり。

REP27は検証可能な証明書や公開検証コード、多言語リクエスト受付も含みます。DSAR支援、違反通知、文書レビューなどはオプションで追加可能です。

法的助言、DPOサービス、完全なコンプライアンス評価は基本料金に含まれません。感度の高いデータや大量処理の場合は追加料金が発生することがあります（例：DataRepの価格帯）。契約前に含まれる内容と追加費用を必ず確認してください。

隠れた費用と除外項目

多くの提供者は固定年額料金を掲示していますが、以下の除外や潜在的な追加費用に注意が必要です：

• 法的助言：本比較の提供者は基本料金に法的助言、DPOサービス、コンプライアンス監査を含みません。必要なら別途契約や追加費用が必要です。
• 要請ごとの料金：一部提供者は要請数制限や感度の高いデータ、大量処理に対し追加料金を請求します（例：DataRepの特別カテゴリー料金）。
• 更新料金：初年度と異なる場合があります。REP27は複合サービスの更新割引を提供。契約前に更新条件を確認しましょう。
• 通知期間と解約：ほとんどの提供者は年次更新制で、更新時に解約可能です。通知期間や責任制限は公開されていないことが多く、契約前に書面で確認してください。
• 提供者の切替：代表者変更は書類手続きで法的リスクはありませんが、指定の空白期間を作らないよう注意。REP27は切替時に割引を提供しています。

契約時に含まれる内容と除外項目を必ず書面で確認し、処理内容の変更（例：感度データの開始）があれば速やかに提供者に通知して予期せぬ費用やコンプライアンスリスクを回避してください。

任命の流れ：ステップバイステップ

UK GDPR代表者の任命は以下の手順で行います：

1. 適用性の評価：3つの質問を確認：英国に設立されているか？英国の個人を対象または監視しているか？個人データを処理しているか？後者2つが「はい」で英国に設立されていなければ代表者が必要。
2. 提供者の選択：英国に実質的に設立され、価格とサービス内容が透明な提供者を選ぶ。
3. オンボーディング：会社情報、処理内容、連絡先を提供者のフォームに入力。REP27のような複合サービスならEUとUK両方を一括でカバー可能。
4. 指定契約：提供者が書面による指定契約を作成・署名。REP27は24時間以内に発行、他は数日かかる場合あり。
5. プライバシー通知の更新：代表者名と連絡先を通知に追記。REP27は多言語文例を提供。
6. 証明書の受領：REP27などは検証可能な証明書と公開コードを発行。
7. 継続的な遵守：ICOやデータ主体からの要請を合意された期間内（例：REP27は2営業日以内）に転送。
8. 年次更新：毎年契約を更新。複合サービスはEUとUKの指定を一括更新可能。

判断マトリックス：

違反リスクと罰則

必要な場合にUK GDPR代表者を任命しないことは第27条違反です。ICOは執行措置や罰金を科す可能性があります。UK GDPR自体は罰金上限を明示しませんが、EU GDPRの同等規定では最大1000万ユーロまたは世界売上高の2％のいずれか高い方の罰金が科されます。ICOは英国外組織にローカル連絡先を求めており、未遵守者を調査・処罰する意向を示しています。

代表者の任命は責任回避にはなりません。ICOやデータ主体は事業者に直接対応可能です。プライバシー通知に誤った代表者（例：UK処理にEU代表のみ記載）が掲載されている場合もリスクです。規制当局は公開情報の有無と正確性を確認します。

EUでは代表者未任命に対する実際の罰金事例があり、英国もポストブレグジットで同様の制度のため同様の執行が予想されます。代表者を積極的に任命し、記録を正確に保つことがリスク軽減の最善策です。

提供者が通常言わないこと

• 法的助言は含まれない：法定代表者の役割は連絡窓口と要請転送に限定。法的助言やDPOサービスは別途購入が必要。
• DPOとコンプライアンス評価：本ガイドの提供者は基本料金にDPOや完全な監査を含まない。これらはGDPRの別役割。
• 通知期間と解約：多くは年次更新制で解約可能。通知期間や責任制限は公開されていないことが多く、重要なら書面で確認を。
• 要請数・ボリューム課金：DataRepなど一部は感度データや大量処理で追加料金。要請数制限もある場合あり。
• 提供者切替：代表者変更は書類手続き。REP27は切替割引あり。指定の空白期間を作らないことが重要。
• 複合サービスの誤り：プライバシー通知にEUとUKを1行で記載するのは誤り。各当局はそれぞれの現地法人名を期待。REP27は別々の行と証明書を提供。

現実的なシナリオ：どの義務が適用？

• 米国SaaSで英国ユーザー：マーケティング、分析、英国時間のサポートで英国個人を対象または監視する場合、UK代表者が必要。EUも対象ならREP27の複合サービスが効率的かつ経済的。
• 中国のAmazon販売者で英国配送：マーケットプレイス経由でも英国消費者に直接販売するならUK代表者が必要。EUも対象なら複合サービスを検討。
• 英国オンラインショップでEUのみ販売：英国に設立済みなのでUK代表者は不要。ただしEU個人を対象または監視するならEU代表者が必要。EU企業が英国に販売する場合は逆。

各シナリオで最も簡単な遵守方法は、該当する指定、明確な文書、プライバシー通知文例を提供するサービスを利用すること。複合サービスはEUとUK両方を運営する事業者にとって管理負担と不整合リスクを減らします。

今日からのUK GDPR代表者任命チェックリスト

1. 適用性の判断：英国外に設立？英国の個人を対象または監視？個人データを処理？はいなら次へ。
2. 免除の確認：公共機関か、処理が例外的・低リスク・非機微？該当しなければ代表者が必要。
3. 提供者の選択：英国に実質的設立があり、価格と内容が明確な提供者。EUとUK両方なら複合サービスを検討。
4. オンボーディング：会社情報と処理内容を提供者に提出。
5. 指定契約の受領と署名：書面の指定契約を受け取り、署名して返送。
6. プライバシー通知の更新：提供者のUK情報を追加。文例を活用。
7. 証明書の保管：指定証明書と検証コードを保管し、ICOやデータ主体に提示可能に。
8. 遵守の維持：提供者が要請を速やかに転送。ICOやデータ主体からの問い合わせに対応。
9. 年次更新：更新日を管理し、必要に応じて記録を更新。複合サービスは一括更新可能。