Article 27 GDPR は、EU域内の人々に商品やサービスを提供する、またはEU域内の人々の行動を監視するEU域外の管理者および処理者に対し、当該データ主体が所在するEU加盟国のいずれかに設立された代理人を書面により指定することを義務付けています。代理人は、監督機関およびデータ主体に対する単一の連絡窓口となります。

適用除外は2つに限定されています。(1) 特別カテゴリーデータおよび犯罪歴データを含まない、随時的かつ低リスクの処理、(2) 公的機関および公的団体です。これらの適用除外を誤解することが、EU域外の事業者が犯す最も高くつく誤りです。

代理人を指定しないことは Article 83(4) のカテゴリー4違反にあたり、1,000万ユーロまたは全世界の年間売上高の2%のいずれか高い方を上限とする制裁金の対象となります。複数の監督機関（CNIL、ハンブルク州データ保護機関、スペインのAEPD）が2021年以降、これを積極的に執行してきました。

Article 27(1) GDPR は次のように規定しています。

「Article 3(2) が適用される場合、管理者または処理者は、域内における代理人を書面により指定しなければならない。」

この短い一文が、重大な運用上の義務を生み出します。Article 3(2)（域外適用範囲の条項）は、処理が次のいずれかに関係する場合に常に適用されます。(a) EU域内のデータ主体への商品またはサービスの提供、または (b) EU域内のデータ主体の行動の監視です。

したがって代理人は、EU域外の処理に構造的に付随する存在です。すなわち、域内のメールボックス、連絡窓口、そして説明責任の接点です。代理人は、お客様のEU域外の事業とEUの27の各国監督機関との間に位置します。

次の4つの条件をすべて満たす場合、代理人が必要です。

1. EU域内に拠点を有していない（いずれのEU加盟国においても、安定的な体制を通じて実質的に活動を行う事業体、支店、または子会社が存在しない）。
2. 識別可能な自然人の個人データを処理している。
3. EU域内の人々に商品またはサービスを提供している（有料・無料を問わず）、あるいはその行動を監視している（トラッキング、プロファイリング、行動ターゲティング広告、フィンガープリンティング）。
4. Article 27(2) に基づく適用除外に該当しない。

実務上、2つの明確化が重要です。

• アクセス可能性ではなく、ターゲティング。 前文23およびCJEUのPammer／Hotel Alpenhof判決は、お客様のウェブサイトがEUユーザーから単にアクセス可能であるだけでは不十分であることを明確にしています。Article 3(2)(a) を発動させるのはターゲティングです。すなわち、EURの受け入れ、EU言語の使用、EU向け配送、EU向けサポート、EU向け有料広告、EUからの紹介などです。
• 監視は想像以上に広範です。 前文24は、行動ターゲティング広告を目的としたプロファイリング、嗜好の予測、行動フィンガープリンティング、そして固有のユーザーを識別するほとんどのアナリティクス導入（サーバーサイドであっても）を含めています。

Article 27(2) は2つの限定的な適用除外を定めています。

3.1 随時的・低リスクで、Article 9/10 のデータを含まない処理

(a) 随時的であり、(b) Article 9 の特別カテゴリーデータまたは Article 10 の犯罪歴データを大規模に含まず、かつ (c) 性質、状況、範囲、目的を考慮して自然人の権利および自由に対するリスクを生じさせるおそれが低い処理は、適用除外となります。

3つの条件すべてを満たす必要があります。EDPB ガイドライン 3/2018 は「随時的」について厳格であり、それは一回限りまたは散発的なものを意味し、通常の事業運営は決して含みません。継続的なトラッキング、反復的なアナリティクス、または継続中のデータフローはほとんど該当しません。

3.2 公的機関および公的団体

公的機関および公的団体は、代理人を指定する必要はありません。この適用除外が営利事業者に適用されることはまれですが、外国政府機関、中央銀行、国際機関には関連します。

Article 27(4) は代理人の役割を次のように定義しています。

「代理人は、本規則の遵守を確保する目的で、処理に関するすべての事項について、特に監督機関およびデータ主体から、管理者または処理者に加えて、もしくはこれに代わって、連絡を受けることを管理者または処理者から委任されるものとする。」

• GDPR に関する事項について、監督機関およびデータ主体に対する単一の連絡窓口。
• 監督機関の職務遂行における監督機関との協力（Art. 31）。
• 必要な場合、管理者／処理者と共同で処理活動の記録を維持する（Art. 30(4)）。
• 苦情、請求、およびデータ主体のアクセス請求を受領し、実質的な対応のために適切に管理者へ取り次ぐ。
• 弁護士のように法的助言を提供することはありませんが、GDPR の連絡経路が機能し続けることを確保します。

重要な点として、代理人はDPO の代替ではありません。両者の役割は異なる当事者が担うことができ、DPO の義務（Art. 37）は異なる基準によって発動されます。

Article 27(3) は、代理人が個人データを処理されるデータ主体が所在する加盟国のいずれかに設立されることを求めています。実務上は柔軟性があります。EUユーザーが複数の加盟国に分散している場合、お客様の事業形態に最も適した監督機関を有する加盟国を選択できます。

よく選ばれる選択肢：アイルランド（英語圏でテック業界に好意的）、ドイツ（調整すべき監督機関は多いが厳格）、オランダ（英語に堪能な規制当局）、フランス（CNIL は強力な執行で知られる）、スペイン（積極的に執行する AEPD）。

具体的な手順：

1. 書面で指定する。 代理人の権限の範囲、および管理者／処理者との関係を定めた書面による委任。
2. 実在する法的事業体を特定する。 代理人は実在する事業体（自然人または法人）でなければならず、メールボックス転送サービスやバーチャルアドレスであってはなりません。
3. データ主体と整合させる。 お客様のデータ主体が所在するEU加盟国を選択します。
4. 予算を確保する。 一般的な契約費用は、SME規模の処理者で年間3,000～15,000ユーロです。より大規模または高リスクの処理者はそれ以上を支払います。
5. 選任を公表する — §7を参照。
6. 処理や対象範囲の拡大に応じて毎年更新する。

代理人の身元および連絡先は、データ主体に伝達されなければなりません（Article 13(1)(a) および 14(1)(a)）。具体的には、代理人の氏名、住所、連絡先メールアドレスを次に記載することを意味します。

• 公表されたプライバシーポリシー。
• 顧客向けの契約書および DPA。
• データ収集時点での直接収集に関する通知。
• 処理活動の記録（Article 30） — 監督機関の要求に応じてアクセス可能なもの。

代理人を公表しないこと自体が透明性義務（Article 12）の違反であり、Article 83(4) に基づく下位区分の制裁金の対象となります。

Article 27(5) は明確です。代理人の指定は、管理者または処理者自身に対して提起されうる法的措置に影響を与えません。代理人は、管理者の基礎となる違反に対する責任を負いません。

ただし、代理人は自身の義務（記録の提供、監督機関への協力、連絡可能であること）に関連する執行措置の対象となる場合があります。委任された機能を果たさない代理人は、選任した管理者による委任停止、および代理人サービス市場における評判の毀損のリスクを負います。

代理人を指定しないことは Article 27 自体の違反であり、Article 83(4) GDPR に基づくカテゴリー4違反にあたります。適用される制裁金の上限は次のとおりです。

• 1,000万ユーロ、または
• 前会計年度の全世界の年間総売上高の2%のいずれか高い方。

執行は2021年以降、着実に行われています。注目すべき事例には、米国を拠点とするアドテク企業に対する CNIL の措置、外国のアナリティクス提供者に対するハンブルクの調査、国際的な広告ネットワークに対する AEPD の認定などがあります。制裁金の唯一の根拠でない場合でも、代理人の不在はより広範なコンプライアンス上の欠陥を示すことが多く、罰則を加重させます。

• 適用除外を当然のものと扱う。 多くのEU域外事業者は、自社の処理が「随時的」または「低リスク」であると思い込んでいます。実際には、継続的なEUトラフィックを有する事業者でこれに該当するものはほとんどありません。
• 法律事務所を代理人に指名する。 可能ですが高額です。法律事務所は専門の代理人サービスの数倍を請求し、大量のデータ主体対応に対応する体制が整っていない場合があります。
• メールボックスサービスを指名する。 Article 27 に基づき委任を受けられる法的事業体ではありません。監督機関はこのような指定を却下してきました。
• 公表を忘れる。 最もよくあるコンプライアンス上の欠陥です。代理人は選任されているものの、プライバシーポリシーや顧客向け通知に決して記載されていません。
• 代理人と DPO を混同する。 これらは異なる役割です。両方が必要となる場合があります。事業体が DPO の独立性要件も満たさない限り、代理人は DPO の役割を担うことはできません。
• 更新を怠る。 契約の範囲が変わる（管轄が増える、新たな製品ラインが加わる）場合、委任内容を改訂しなければなりません。

UK GDPR Article 27 はEUの義務を反映していますが、英国内の個人をターゲットとするUK域外の管理者および処理者に適用されます。2021年1月1日以降、EU代理人とUK代理人は別個の役割であり、両方をターゲットとする場合は両方が必要です。

運用上のヒント：多くの事業者は、整合した法的ビークルを通じてEUとUKの両方の代理を提供する代理人プロバイダーを選任し、漏えい報告、ICO／EDPB との連絡、データ主体からの問い合わせについて手続きの重複を回避しています。