EU代理人を選ぶ前に、よく聞かれる11の質問

 

私たちに届く質問のほとんどは、条文そのものについてではありません。その後に何が起きるか——誰が答えるのか、どれくらいの時間で、実際に何かが起きたときにいくらかかるのか。以下は最も多い11の質問と、できるかぎり率直な回答です。正直に答えると受注を失う2つも含めています。

1. これは本当に自社に関係しますか

GDPR第3条(2)は、EU域外に設立された企業が、EU域内にいる人に商品やサービスを提供する場合、またはその行動を監視する場合に適用されます。売上のしきい値も、顧客数の下限もありません。無償で提供していても同じです。義務を発生させるのは個人データの取扱いであって、支払いではないからです。企業向けの販売でも変わりません。相手側にいるのは自然人だからです。

第27条(2)(a)の適用除外は存在しますが狭いものです。偶発的な取扱いで、リスクが低く、特別な種類のデータを含まないこと。商業活動に当てはまることはめったにありません。

2. 当社のデータ保護責任者が対応しているのでは

いいえ。これがこの分野で最も高くつく誤解です。データ保護責任者は第37条から第39条に基づいて社内で助言を行い、世界のどこにいても構いません。代理人は第27条に基づき、助言ではなく受領を担い、EU域内に設立されている必要があります。EDPBのガイドラインによれば、同一の主体が同じ企業について両方の役割を兼ねることはできません。利益が相反しうるためです。

3. EUの販売代理店や顧問弁護士事務所でも務まりますか

その主体がEU域内に設立され、書面で正式に役割を引き受けた場合に限ります。指定書に署名したことのない販売代理店は貴社の代理人ではありませんし、貴社を弁護する法律事務所も代理人ではありません。第27条が求めるのは、プライバシーポリシーに公表され、当局とデータ主体が連絡できる、名前の明示された主体です。

4. 具体的に何を受け取りますか

4つです。第27条(1)に基づく署名済みの指定書。規則(EU)第910/2014号に適合する電子署名によるもので、スキャン画像ではありません。QRと検証コードを備え、公開登録簿をリアルタイムで照会する証明書。貴社サイトが公開している各言語で生成された、第13条・第14条向けのプライバシーポリシー用文面。そして請求が届く専用のアドレス、受信箱、ウェブフォームです。

5. 監督当局から連絡が来た日には何が起きますか

ゼロ時間目——メッセージは専用アドレスに届き、受付印と整理番号が付され、登録簿に記録されます。2営業日以内に、原文を添付し期限を明記したうえで、貴社の指定担当者へ転送します。30日目——データ主体の請求期限が到来し、窓口はそれを双方に表示します。誰も手遅れになってから気づくことがないようにです。

私たちが決してしないこと。実体的な回答、交渉、貴社の名において発言すること。第27条が私たちに与えるのは連絡先という役割であって、弁護人ではありません。契約書にもそう明記しています。

6. なぜ証明書はPDFではなくコードを持つのですか

PDFが証明できるのは、署名された日の事実だけだからです。今日については何も語らず、テキストエディタがあれば誰でも書き換えられます。

私たちのバッジは、指定登録簿をリアルタイムで読む1行のHTMLです。指定が有効な間は緑、失効した日には赤。もはや保有していない状態を表示することは誰にもできません——私たち自身にも。この制約こそが価値です。嘘をつくのをやめられない印章には、何の意味もありません。

7. 実際にいくらかかりますか

EUについて年間290ユーロ、転送する請求は年間10件までです。490ユーロでは請求が無制限になり、当局向けに第30条の記録を保管し、窓口は8言語対応、30日の期限が双方に表示されます。890ユーロではGPSR第16条の責任者、規則(EU)2019/1020の授権代理人、そして貴社専用のメールボックスが加わります。2年目からは更新料が240、390、690ユーロに下がります。

価格は付加価値税別、請求は年一括前払い、更新前の解約は無料です。規制業種および高リスクの活動——健康データ、生体情報、与信、マッチング、未成年者、データブローカー——は個別見積もりとなります。

どの数字よりも重要なもの。どのプランでも請求1件ごとの課金はありません。この市場では1件あたり50〜200ユーロが普通で、それが分かるのは11か月目、交渉の余地がなくなったときです。

8. 英国もカバーされますか

いいえ。Brexit以降、UK GDPRは独自の監督機関を持つ別の制度です。加盟国に設立された代理人はICOに対して資格を持たないため、両方の市場に到達する企業には2つの指定が必要です。私たちは1回の注文で両方を発行します。年間390ユーロから、証明書2通、コード2つ、プライバシーポリシー用の文面2行付きです。1つの主体だけを記した1行では、もう一方の当局の前で誤りになるからです。

9. 御社を指定すると、欧州で全責任を負うことになりますか

いいえ。拠点を新設するものでも、税務上の居住地を移すものでも、もともと適用範囲外だった取扱いにGDPRを及ぼすものでもありません。当局とデータ主体に、到達可能な住所を与えるだけです。

そして第27条(5)は明確です。手続は依然として貴社に対して直接提起されえます。指定が盾になると示唆する提供者は、規則に含まれていないものを売っています。

10. 法人ではなく個人ですが、可能ですか

はい。これは最近の変更です。この市場の前提がもはや成り立たないからです。欧州の購入者に届く商品のかなりの部分は、自社サイトを持たずマーケットプレイスで販売する個人や個人事業主から来ています。

申込フォームは個人を受け付けます。登記番号の代わりに納税者番号または国民識別番号、商号の代わりにご自身の氏名、ウェブサイトの代わりに販売チャネル。法人名の欄はそもそも表示されません。

11. 御社が実在すると、どうすれば分かりますか

私たちが顧客に勧めているのと同じ方法で確認してください。Europe Services SEはチェコ商業登記のIČO 03571785、REP27 LTDはCompanies Houseの17385889です。どちらも公開情報です。顧客登録簿も公開しているので、私たちの言葉を信じる代わりに、実際にどの企業を代理しているかを見ることができます。サイトの見本証明書にも有効なコードが付いており、貴社のものと同じ公開ページで応答します。

私たちに損をさせる2つの答え

私たちを必要としない企業もあり、支払いの前にそう伝えます。すでに加盟国に設立されているなら、第27条はまったく関係ありません。化粧品を販売しているなら、必要なのは規則1223/2009の責任者で、製品情報ファイルとCPNP届出を伴います。役割が異なり、提供者も異なります。包装がPPWRの対象なら、到達する加盟国ごとに授権代理人が必要で、欧州全体で1人ではありません。

この2つは扱っていません。そう伝えるのは、誰もまだ支払っていないときのほうがずっと簡単です。最初の7日間を無料・カード不要にしているのも同じ理由です。代理は初日から有効で、支払いが始まるのは8日目から。やめる場合に請求できるものは一切保持しません。

こちらからの質問

考え続けているのは、この義務よりも広い話です。コンプライアンスの証拠はほぼすべて自己申告であり、そのため取引先審査は「どれだけ丁寧に自分を文書化したか」を読む作業になってしまいます。第27条は、第三者が本人に尋ねずに主張を検証できる数少ない場面の一つです。

そこで——貴社の取引先審査のうち、取引先に尋ねずに検証できる部分はどれくらいでしょうか。コメントで教えてください。私の正直な答えは、望ましい水準より低いです。