フランスで販売する米国企業がGDPR第27条のEU代表者を選任する方法

• GDPR第27条は、EU外の企業がEU内で商品・サービスを提供または個人を監視する場合、EU代表者の選任を義務付けています。
• 例外として、偶発的でリスクの低い非機微データ処理や公的機関があります。
• REP27、EU Shield、rep4euは実績あるプロバイダーで、価格やサービス内容に違いがあります。
• 代表者は顧客が所在するEU加盟国（例：フランス）に設置されている必要があります。
• 未遵守はGDPR第83条に基づく行政罰金の対象となります。
• プロバイダーは対応速度、透明性、コンプライアンス支援の範囲が異なります。

更新済み 27 October 2026 · 5 ソースを確認済み

比較されたプロバイダー

価格は各プロバイダーのウェブサイトに掲載されたもので、27 October 2026 の時点でのものであり、明記されていない限り VAT は含まれていません。各行はそのソースにリンクしています。

法律が求めること：GDPR第27条の解説

GDPR第27条は、EU居住者と取引する非EU企業にとって重要な規定です。米国企業がフランスや他のEU内の個人に商品やサービスを提供する、または行動を監視する場合（例：解析、クッキー、ターゲット広告）、EU内に代表者を設置する必要があります。自社サイト、Amazonなどのマーケットプレイス、直接販売のいずれでも適用されます。

第27条第1項は、代表者への書面による委任を要求し、代表者はEUのデータ主体や監督当局の連絡窓口となります。代表者は顧客が所在するEU加盟国に設置されなければなりません（第27条第3項）。フランスの場合、フランスのデータ主体をカバーするEU国に代表者が必要です。代表者情報はプライバシー通知に記載し、個人および当局がアクセス可能にしなければなりません。

例外（第27条第2項）として、処理が偶発的で大規模な機微データ（健康、人種、宗教、犯罪情報等）を含まず、個人の権利・自由にリスクが低い場合は代表者不要です。公的機関は常に免除されます（第27条第2項b）。

代表者未選任はGDPR違反として第83条に基づく行政罰金の対象となり、猶予期間はありません。GDPR適用対象となった時点で速やかに選任が必要です。

• 主な法的参照： GDPR第27条、GDPR第83条

EU代表者の選び方：意思決定マトリックスと実務的考慮点

適切なEU代表者の選択はコンプライアンスと事業継続に不可欠です。代表者は顧客が所在するEU加盟国に設置され、検証可能で透明かつ迅速なサービスを提供すべきです。事業モデル、顧客層、必要なコンプライアンス支援レベルを考慮してください。

実務的なポイント：

• プロバイダーの住所や会社情報が公開検証可能か確認（信頼性とマーケットプレイス承認に重要）。
• 選任の速さや証明書・公開検証の有無を考慮。
• 第30条記録管理や年次コンプライアンスレビューの必要性を評価。
• EUと英国両方で販売する場合は両方対応可能なプロバイダーを検討。

価格に含まれる内容：プロバイダー詳細比較

EU代表者サービスは価格に含まれる内容が大きく異なります。基本的な法的選任のみの提供もあれば、コンプライアンス支援を含む場合もあります。以下は入手可能な情報に基づく比較です：

REP27の基本価格はGDPR第27条の必須事項をカバーし、署名済み指名書、QRコード付き証明書（マーケットプレイス向け）、公開検証、プライバシー通知文言、人による審査を含みます。EU Shieldは第30条記録管理と年次レビューを含み、継続的なコンプライアンス支援が必要な企業に適しています。rep4euはライブ対応と市場参入支援を強調していますが、追加機能の詳細は不明です。

購入前に含まれる内容を必ず確認し、契約書や利用規約を求めてください。記録管理やレビューはオプションや追加料金の場合があります。

隠れた費用・除外事項・プロバイダーがあまり言わないこと

公開価格は分かりやすく見えても、隠れた費用や除外事項が存在します。以下に注意点を挙げます：

• 第30条記録管理：REP27は含まず、EU Shieldは含みます。処理記録管理が必要か確認しましょう。
• 年次コンプライアンスレビュー：EU Shieldは含みますが、REP27やrep4euは含みません。事業や処理が頻繁に変わる場合は重要です。
• 追加サービス：製品責任者（GPSR）、化粧品、AI法対応などは別料金で全プロバイダー共通です。
• 解約通知期間や追加手数料：公開情報に記載なし。解約時の通知や追加作業の料金を契約前に確認してください。
• 責任制限：第27条第5項により代表者はGDPR違反の責任を負いません。プロバイダーはあまり強調しませんが、企業自身がコンプライアンスと罰金責任を負います。

実務アドバイス：

• 契約前に含まれるサービスと除外事項の全リストを請求。
• 解約通知期間や追加料金、サポート対応時間を確認。
• EU設立の証明や会社情報の公開検証ができないプロバイダーは避ける。

選任の流れ：米国企業向けステップバイステップチェックリスト

1. 義務の確認：上記の意思決定マトリックスでEU代表者が必要か判断。疑問があれば専門家に相談、またはプロバイダーの無料チェックツールを利用。
2. プロバイダー選択：REP27、EU Shield、rep4euを価格、サービス内容、透明性で比較。顧客が所在するEU国に設立されたプロバイダーを選ぶ。
3. 必要情報準備：会社名、設立住所、連絡先、処理内容、EU顧客の国・規模・データ種別などを用意。
4. 申請提出：プロバイダーに情報を送付。REP27は24営業時間以内に人による審査を実施。他は対応時間が異なる。
5. 指名書と証明書受領：承認後、指名書に署名。REP27はQRコード付き証明書と公開検証ページを発行。マーケットプレイスや監査に活用。
6. プライバシー通知更新：代表者の氏名、住所、連絡先を通知に追加。
7. 書類管理：指名書、証明書、当局やマーケットプレイスからの連絡文書を保管。
8. 年次見直し：処理内容や販売国が変われば代表者選任を更新。

今日のチェックリスト：

1. EU販売とデータ処理状況の確認。
2. プロバイダー選定と連絡。
3. 会社情報の準備と提出。
4. 指名書・証明書の受領と実装。
5. プライバシー通知の更新と社内周知。

リスク・罰金・執行：第27条無視の結果

GDPR第27条未遵守は重大なリスクを伴います。顧客がいるEU加盟国の監督当局が調査・執行可能です。罰金はGDPR第83条に基づき、最大2000万ユーロまたは世界売上高の4%に達する場合があります。代表者未選任は最高ランクの違反とは限りませんが、以下の影響があります：

• 第27条違反による直接罰金
• 遵守までEUでの処理や販売停止命令
• Amazon、Etsy、eBayなどマーケットプレイスからの削除や販売停止
• EU顧客やパートナーからの信頼喪失

当局は代表者に直接連絡しますが、企業への執行や罰金も可能です。代表者は責任を負いません（第27条第5項）が、GDPR関連の公式窓口です。プロバイダーは企業の責任が継続することをあまり強調しません。

リスク軽減のため：

• EUで商品・サービス提供や個人監視を開始したら速やかに代表者を選任
• 書類を常に最新かつアクセス可能に保つ
• 代表者や当局からの要請には迅速に対応

現実的なシナリオ：適用義務と最も簡単な遵守方法

• シナリオ1：フランスユーザーを持つ米国SaaS企業
  分析収集やサービス提供をフランスで行う場合、EU GDPR第27条代表者が必要です。最も簡単な方法は、REP27などのプロバイダーを選び、会社情報と処理内容を提出、署名済み指名書と証明書を受け取り、プライバシー通知を更新することです。処理が本当に偶発的かつ低リスクでない限り例外はありません。
• シナリオ2：中国のAmazon販売者がフランスに発送
  フランスの顧客に物理商品を販売する場合、GDPR第27条代表者（個人データ処理用）とGPSR製品責任者（製品安全用）の両方が必要です。これらは別々の選任と料金です。両方のサービスを提供するプロバイダー（REP27など）を選び、製品ラベルやプライバシー通知を適切に更新してください。
• シナリオ3：フランス顧客を持つ英国オンラインショップ
  ブレグジット後、英国拠点のショップは非EU事業者とみなされ、EU GDPR代表者を選任する必要があります。プロバイダーを選び、選任を完了し、プライバシー通知を更新してください。英国向け販売もある場合は、EUと英国両方の代表者を提供するプロバイダーを検討すると効率的です。

いずれの場合も、当局やマーケットプレイス向けに書類を準備してください。B2BのみでEU個人データを処理しない、または処理が本当に偶発的かつ低リスクなら代表者不要の場合もあります。迷ったら専門家に相談するか、プロバイダーの適格性チェックを利用してください。