「EUに子会社も支店もないのに、GDPRの対応が必要ですか？」——答えは、EU居住者にサービスを提供したり行動を観測したりしていれば「はい」 です。GDPRは域外適用（第3条2項）を持ち、EU拠点のない日本企業にも直接適用されます。そして域外企業に固有の義務が、EU域内の「代理人（Representative）」の選任（第27条） です。
GDPR全体の要件・チェックリストはGDPRコンプライアンス・チェックリスト【2026年版】にまとめており、本記事はその前提知識を扱います。本記事はその姉妹編として、拠点なし日本企業の論点＝EU代理人 に焦点を絞ります。
まず確認：あなたの会社にGDPRは適用されるか
EU拠点がない日本企業でも、次のいずれかに当てはまれば適用対象です（第3条2項）。
- EU居住者への商品・サービスの提供：EU向けECサイト、ユーロ建て価格表示、EU言語での提供、EUへの配送
- EU居住者の行動の観測：Cookie・アクセス解析によるEUユーザーのトラッキング、行動ターゲティング
「日本語サイトに、たまたまEUから注文が来た」程度では通常適用されませんが、EU市場を意図的に狙っている外形（独語ページ、EU配送オプション等）があれば適用と考えるべきです。判定は個別事情によるため、迷う水準の事業規模になったら一度専門家に線引きを確認しておくと、以後の投資判断が楽になります。条文はEUR-Lex（GDPR第27条）で確認できます。
EU代理人（Article 27 Representative）とは
EU代理人は、域外企業の「EU域内の連絡窓口」 です。データ主体（EUの個人）と監督機関（データ保護当局）が、日本まで連絡しなくても手続きできるようにするための制度で、次の役割を担います。
- データ主体からの権利行使請求（開示・削除等）の受付
- 監督機関からの照会・調査の窓口
- 処理活動記録（ROPA）の保持・提出への協力
代理人は EU域内の自然人または法人 で、書面により明示的に選任します。選任しただけでは足りず、外部への公表が実効性の条件です。実務では、代理人サービスを専業で提供する事業者と年間契約するのが一般的で、費用は年間数百〜数千ユーロ規模 です。プライバシーポリシーに代理人の名称・連絡先を明記する必要があります。
免除される場合
第27条には免除があります。①処理が偶発的（occasional）で、②特別カテゴリデータ（健康・人種等）の大規模処理を含まず、③個人の権利へのリスクが低い 場合は、代理人の選任は不要です。
実務的な目安として、EU向けに継続的にECを運営していたり、EUユーザーの行動データを日常的に集めている場合は「偶発的」とは言えず、選任が必要 と考えるべきです。逆に、B2Bの散発的な取引メールだけ、という水準なら免除の余地があります。判断に迷う場合は、選任コストの低さを踏まえ「選任しておく」が安全側です。
DPO（データ保護責任者）との違い
混同されがちですが、まったく別の制度です。
| EU代理人（Art.27） | DPO（Art.37） | |
|---|---|---|
| 誰のための存在か | EUの個人・当局の連絡窓口 | 社内の監督・助言役 |
| 必要になる条件 | EU拠点なしで域外適用を受ける | 大規模な監視・特別データ処理等 |
| 立場 | 外部委託が一般的 | 独立性が必要（利益相反禁止） |
拠点なし日本企業は「代理人は必要だがDPOは不要」というケースが多く、逆にドイツ子会社があるなら代理人は不要（拠点があるので）で、ドイツ固有のDPO選任基準（20名基準）の検討が必要になります。ドイツ子会社側の対応はドイツGDPR対応ガイド、SaaS事業の場合はSaaSのGDPR実務ガイドを参照してください。
日本の十分性認定との関係：誤解が多いポイント
日本はEUから 十分性認定 を受けており、EUから日本への個人データ移転は追加の移転ツール（SCC等）なしで可能です。ただしこれは 「移転」の適法化であって、GDPR適用の免除ではありません。域外適用の要件を満たす限り、十分性認定があっても第27条の代理人選任義務・その他のGDPR義務は残ります。「十分性認定があるから何もしなくてよい」は、日系企業で最もよく見る誤解です。
なお、十分性認定でカバーされるのは個人情報保護法の適用を受ける民間部門への移転であり、日本側では 外国にある第三者への提供・越境移転の規律（個人情報保護法） との二重の整合も必要です。
選任までの実務手順
- 適用判定：EU向け提供・観測の有無を事実ベースで整理（マーケ・EC・解析ツールの棚卸し）
- 免除判定：処理の頻度・データの性質・リスクを評価し、判断を文書化
- 代理人サービスの選定：対応言語（英語＋独語）、当局対応の実績、料金で比較
- 書面選任＋公表：委任契約の締結、プライバシーポリシーへの記載
- 社内フロー整備：代理人経由で届いた権利行使請求への対応期限（原則1ヶ月）を回せる体制
あわせて、域外企業にも適用される基本義務——処理活動記録（ROPA）、プライバシーポリシーの整備、データ侵害時の通知（72時間）——を最小セットで整えます（詳細はGDPRチェックリスト）。
小さく始める体制の実例
拠点なしでEU向けECを運営する日本企業の典型的な最小体制は、次のようなものです。外部のEU代理人サービスと年間契約（プライバシーポリシーに記載）、英語のプライバシーポリシーをEU向けに整備（法的根拠・保存期間・権利行使方法・代理人連絡先を明記）、ROPAをスプレッドシートで作成（EC注文・問い合わせ・メルマガ・解析の4処理から開始）、権利行使請求の担当者と1ヶ月期限のリマインダー、そして 侵害時の初動手順1枚（72時間ルールと判断フロー）。ここまでで、外部費用は年間数百〜千ユーロ台、社内工数は初期数人日です。
規模が拡大してドイツ子会社を設立した時点で、代理人契約を終了し、子会社を主体とした通常の域内体制（必要に応じDPO選任）へ移行します。移行時は、ポリシーの主体表記・ROPAの管理者・データ処理契約の当事者を洗い替えるのを忘れないでください。
制度の公式ガイダンスとしては、欧州データ保護会議（EDPB）の域外適用ガイドライン、日本側では個人情報保護委員会の十分性認定関連資料が一次情報です。
よくある失敗
- 十分性認定を「GDPR免除」と誤解し、代理人未選任のままEU向けECを拡大する
- 代理人をプライバシーポリシーに記載せず、選任の意味をなさない
- 代理人に届いた削除請求が社内に転送されず、1ヶ月の期限を徒過する
- ドイツ子会社設立後も外部代理人契約を漫然と継続する（拠点ができれば不要）
よくある質問（FAQ）
Q. 代理人はどの国に置くべきですか。 A. 対象となるデータ主体がいる加盟国のいずれかです。ドイツ市場が中心ならドイツ（または独語対応のある事業者）が実務的です。
Q. 罰則はありますか。 A. あります。第27条違反は制裁金の対象で、当局の調査が入った際に「窓口すらない」状態は心証面でも大きなマイナスです。
Q. 代理人がいれば、当局対応はすべて任せられますか。 A. いいえ。代理人は窓口であって、義務の主体はあくまで自社です。実体的な対応（記録・回答・是正）は自社で行います。
実務チェックリスト
- EU向け提供・観測の有無を棚卸しし、適用判定を文書化したか
- 免除該当性を検討し、必要なら代理人を書面選任したか
- プライバシーポリシーに代理人情報を記載したか
- 権利行使請求の社内転送・期限管理フローを作ったか
- ROPA・侵害時通知など基本義務の最小セットを整えたか
まとめ
EU拠点のない日本企業のGDPR対応は、「域外適用の判定 → EU代理人の選任 → 基本義務の最小セット」 の3段で考えると迷いません。代理人は年間数百ユーロ台から選任でき、対応の遅れによるリスクと比べれば安い保険です。十分性認定は移転の話であって免除ではない——この一点だけでも社内の共通認識にしてください。
TSM合同会社では、域外適用の判定整理、代理人サービスの選定、EU展開に伴うデータ保護体制の初期整備を支援しています（法規制の初期整理・専門家連携サービス）。
本記事は2026年7月11日時点の情報に基づく一般的な解説であり、個別の法務助言に代わるものではありません。