- Regulation (EU) 2016/679 — GDPR, Article 27
- EDPB Guidelines 3/2018 on the territorial scope
- Directive 2002/58/EC — ePrivacy, for cookies and tracking
誰が選任するか
EUに設立されていない、かつ第3条第2項に該当する処理を行うすべての管理者または処理者：EU内のデータ主体に対して商品やサービスを提供すること、対価の有無にかかわらず、またはEU内での行動を監視すること。提供は意図によって判断され、ユーロでの価格設定、EU言語、EU配送オプション、EUをターゲットにした広告、または加盟国の名称などによって示されます。監視には、EU内にいるユーザーの分析、広告クッキー、行動プロファイリング、A/Bテスト、デバイスフィンガープリンティングが含まれます。処理者も独自に対象となります：EUクライアントのために処理を行う米国のホスティング会社は、第3条第2項が適用される場合、独自の代表者が必要です。
しきい値と適用除外
売上高、従業員数、またはボリュームの閾値はありません。唯一の例外は、第27条第2項にあり、狭く累積的です：処理は偶発的でなければならず、大規模な特別カテゴリーまたは犯罪データの処理を含まない必要があり、権利と自由に対するリスクを引き起こす可能性が低い必要があります。EU訪問者に対する定期的なウェブサイト分析は偶発的ではないため、実際にはこの例外は運営中のビジネスにはほとんど適用されません。公共機関や団体は別途免除されます。
ラベルに必要な記載
物理的なラベルではありません。義務は透明性です：代表者の身元と連絡先の詳細は、第13条および第14条に基づきデータ主体に提供されなければならず、実際にはプライバシー通知の中に代表者の名前、郵送先住所、連絡チャネルを明確に特定した段落が含まれ、データ主体が処理に関するすべての問題について代表者に連絡できる旨の声明が必要です。PDFに埋め込むことや一般的なメールアドレスのみを記載することは、当局から批判されます。
マーケットプレイスの項目
アプリストアはプライバシー連絡先を必要とし、現在では開発者がEU外にいる場合にEU代表者が指定されているかを確認するところが増えています。企業の調達アンケートやセキュリティレビューでは、通常、指定を求められ、その不在は取引を遅延させます。一部のマーケットプレイスでは、提供者の公開登録に対して証明書を検証し始めています。
保管すべき文書
代表権の範囲とカバーされる処理を定義する書面による指定または委任状。代表者が維持し、監督当局の要求に応じて提供しなければならない第30条に基づく処理活動の記録 — これは当局が最初に求める文書であり、その不在は別の違反となります。データがEUを離れる際の移転メカニズムの証拠、例えば、決定（EU）2021/914に基づく標準契約条項と移転影響評価。公開されたプライバシー通知、日付付き。
規格と試験
製品テストの意味では適用されません。代わりに評価されるのは文書と実証可能な説明責任です：処理の記録が正確であるか、法的根拠が有効であるか、クッキーの同意が追跡開始前に収集されたか、データ主体の要求が1か月以内に回答されているか。
言語要件
第12条は、情報が明確で平易な言葉で提供されることを要求しており、EDPBは代表者がデータ主体や当局と、データ主体がいる加盟国の言語でコミュニケーションできることを期待しています。英語のみで応答するデスクは、例えばフランス、ドイツ、ポーランドをターゲットにする場合には弱点です。
いつから適用されるか
指定は、処理が第3条第2項を引き起こす前に行われなければなりません。苦情の後に代表者を任命しても、以前の期間を解消することはできず、監督当局は代表者が存在しなかった期間に特に罰金を科しています。代表者によって転送されたデータ主体の要求は、第12条第3項の時計が進行します：管理者による受領から1か月、データ主体が最初の1か月内に通知された場合、複雑な要求については2か月延長可能です。
文書の保管期間
指定と第30条の記録は、代表権が存続する限り保持し、その後の期間の証拠も保持する必要があります。なぜなら、後の調査では、委任がいつ始まり、いつ終了したかを尋ねるからです。受け取った要求と転送された要求の記録は、代表者がその職務を果たした証拠として保持されるべきです。
違反した場合
指定を怠った場合、最大1000万ユーロまたは全世界の年間総売上高の2%の罰金。EDPBは、代表者の不在を独自の違反として扱い、他の違反とは独立しており、いくつかの当局はその基準のみで罰金を科しています。罰金を超えて、実際のリスクは、クッキー、データ主体の要求、違反など、他の何かに関する苦情が出た場合に、欠落した指定がすぐに浮上することです。なぜなら、当局が最初に探すのは誰に連絡できるかだからです。
執行機関
データ主体が所在する加盟国の監督当局。EU外の管理者に対してはワンストップショップはありません：27の当局のいずれかが行動でき、フランスの苦情はCNILに、ドイツの苦情は関連するLandesbeauftragteに行き、両方が並行して進行できます。
境界線
代表者を任命することは1つの条項を満たしますが、他の処理を合法にするものではなく、管理者を保護するものでもありません。なぜなら、第27条第5項は管理者自身に対する法的措置を保持するからです。1つの加盟国に設立された代表者は、EU全体およびアイスランド、ノルウェー、リヒテンシュタインのEEA諸国をカバーします。GDPR第27条、DSA第13条、GPSR第16条、CRA代表者は4つの別々の任命です：1つを保持しても他のものを満たすことはなく、同じ提供者がすべてを保持している場合でも同様です。英国は、Brexit以降、UK GDPRに基づいて独自の代表者を必要とし、EUの指定はそれをカバーしません。
よくある質問
- 代表者は私たちの処理に対して責任を負うのですか？
- 代表者は連絡先であり、当局やデータ主体が管理者の代わりに、またはその代わりに連絡できる存在です。処理自体に対する責任は、GDPR第27条第5項に基づき管理者または処理者に残ります。代表者が直接責任を負うのは、処理の記録を維持し、当局と協力することです。
- すでにDPOがいますが、それで十分ですか？
- いいえ。彼らは異なる役割であり、異なる法的根拠があります。DPOは内部で助言し監視し、どこにでも配置できますが、第27条の代表者はEU内に設立されている必要があり、当局やデータ主体がそこに連絡できるように存在します。
- EU訪問者に対してのみGoogle Analyticsを使用していますが、それはカウントされますか？
- はい。EU内のデータ主体の行動を監視することは第3条第2項に該当し、分析はEDPBが示す教科書的な例です。また、GDPRの義務とは別のePrivacy同意要件も引き起こします。
- 私たちのEU法律事務所や再販業者が代表者として行動できますか？
- EU内に設立されている者であれば、書面による委任を受け入れ、実際に役割を果たすことができる限り、誰でも可能です：要求を受け取り、第30条の記録を保持し、当局と協力すること。アドホックな取り決めのリスクは、監督当局が書面を送ったときに誰もメールボックスを監視していないことです。