GDPR代理人が本当に必要なのは誰か——そして、なぜ名を明かす企業があるのか

 GDPRには、それを一度も読んだことのない何千もの企業に静かに適用される一文があります。いわく、あなたが欧州連合の外にいて、その内側の人々に到達するなら、連合内に設立された誰かがあなたに代わって連絡可能でなければならない——当局と個人のための、名前の記された連絡窓口です。これを第27条の代理人と呼びます。英国はブレグジット後、UK GDPRのもとで自らの鏡版を加えました。そして、代理人を必要とする企業のほとんどは、自分が必要だと気づいていません。

これは売り込みの文章ではありません。人々がこの義務に初めて出くわしたときに実際に尋ねる問いへ、はっきり答えようとする試みです——そして、ほとんど誰もが驚く一点を説明するためのものです。なぜ一部の企業は、代理されている事実を隠すどころか、そのことで公に名を挙げられることを選ぶのか。

「そもそも私に当てはまる？」

この義務は規模も売上も見ません。ただ一つ、到達範囲を追います。EU外に設立された管理者または処理者として、連合内の人々に商品やサービスを提供し、あるいはその行動を監視するなら、第3条第2項があなたを適用範囲に入れます。売上のしきい値はありません。実際には、自らを「EU向け」とはまったく思っていない多くの企業が該当します——欧州からの登録者がいる米国のソフトウェア、フランスやドイツに利用者がいるアプリ、自社の顧客のために欧州データを扱う処理者。そしてもはや企業だけではありません。自分のウェブサイトを持たずにAmazonやEtsyの店を営む個人事業主やマーケットプレイス専業の売り手も、EUの顧客に到達した瞬間、同じ論理に入ります。

「DPOと同じでは？」

いいえ、そしてこれが最もよくある混同です。代理人は、第27条に基づく、連合内のあなたの外部連絡窓口です。データ保護責任者は、第37条から第39条に基づく内部の助言的役割です。別々の職務であり、一つの主体が同じ企業のために両方を適切に兼ねることはできません。

「EUかUKか——どちらが要る？」

あなたの「人」がどこにいるか次第です。EUの個人に到達するならEU代理人が要ります。英国の個人に到達するならUK代理人が要ります。両方に到達するなら——多くの事業がそうです——両方が要ります。一つではなく、二つの別個の法的義務だからです。正直な答えは、非常に多くの企業がこの一対を必要とし、その後半を遅れて知る、ということです。

なぜここで「安全」が「検証可能性」を意味するのか

代理の取り決めが「安全」かと問うとき、人はたいてい具体的なことを念頭に置いています。それが本物で、最新で、証明できると信じてよいのか——誰かが一度メールで送って忘れたPDFではなく？この問いが重要なのは、第27条がもはや当局を満足させるだけの話ではないからです。買い手を満足させる話なのです。企業が供給者をデューデリジェンスするとき、「あなたのEU代理人は誰で、私は検証できますか？」は、いまや普通の項目です。何とでも言える静的な文書は、その会話を生き延びません。ライブの登録簿と照合できる指定は生き延びます。その検証可能性——誰もがスキャンして今まさに有効だと確認できるコード付きの証明書——こそ、ここで「安全」が本当に意味するものです。

意外な部分：見られることを選ぶ

第27条のもとで代理されることは、本来、公の事実です。あなたの代理人の名は、いずれにせよあなたのプライバシー通知に載らねばなりません。一部の企業はさらに一歩進み、代理人の側でも公に記載されることに同意します。なぜ進んでそうするのか。ここでは可視性と信頼が同じ方向を指すからです。代理される企業にとって、公に現れることは、自社の顧客やパートナーへの小さく検証可能な合図です——ええ、私たちはきちんとやりました、ここで確認できます、と。それは同意のもとでのみ起こり、同意していない者は記載されません。しかし企業が同意すると、取り決め全体がより透明になります——それこそ第27条が最初から目指していたものです。

7日間の無料トライアルはどこに収まるか

ここが実践的な部分であり、この義務が聞こえるほど怖くない理由です。手探りで決める必要はありません。クレジットカードなしの7日間無料トライアルから始め、何かに縛られる前に、代理されるとはどういうことかを実際に見られます——署名済みの指定、証明書、ライブの検証バッジを。全面的に透明性の上に築かれた義務にとって、買う前に点検できることは、おまけではなく核心のように感じられます。サイトはスマホにアプリのようにインストールもでき、あなたの状態と依頼窓口が引き出しに眠らず、あなたと共に移動します。

正直な限界

はっきり述べておくべきことが二つあります。代理人は連絡窓口であって盾ではありません。第27条第5項は、当局が依然としてあなたに直接措置を取れると明言しており、代理人を置いてもEUの拠点は生まれず、あなたの納税地も移りません。そして法的助言でもありません。それを免責と説明する者は、規則に含まれていないものを説明しています。

結論は売り込みよりも静かです。第27条は、欧州の利用者を持った瞬間に普通の事業へ及ぶ、広く平凡な義務です。その論理のすべては透明性——誰もが確認できる、連絡可能で検証可能な窓口。そう扱う企業は、公に名を挙げられることを選ぶところも含め、保護を買っているのではありません。検証できる何かを作っているのです。

そこで、供給者のコンプライアンスに関わったことのある方へ、率直な問いを。相手が「GDPRに準拠している」と言ったとき、あなたは本当にEU代理人がいるか確かめましたか——それとも結局「準拠しています」で足りましたか？実際にどれだけの人が本当に見ているのか、知りたいのです 👇