不正アクセスから考える「EU代理人は必要か？」―個人データ侵害の通知とEU代理人の役割

2026年秋、日本国内では企業への不正アクセスによる個人情報の漏えい、またはそのおそれが相次いで公表されています。

こうした状況を背景に、個人情報保護委員会も10月7日、大規模な個人情報の漏えい等事案が相次ぐ状況を踏まえ、事業者に対して安全管理措置の徹底などを求める注意喚起を公表しました。

不正アクセスによる個人情報の漏えいリスクが改めて注目される中、海外に事業を展開する日本企業にとっては、国内だけでなく、海外のデータ保護規制に基づく体制構築も急務となっています。

例えば、EU一般データ保護規則（GDPR）が適用される日本企業では、個人データ侵害が発生した場合、一定の条件下でEUの監督機関への通知などが求められます。また、EU域内に拠点を持たない企業には、GDPRに基づき、EU域内の代理人を指定する義務が生じる場合があります。

EU代理人は、監督機関やデータ主体との連絡窓口としての役割を担う制度です。不正アクセスへの対応を考えるこの機会に、自社にEU代理人の指定義務があるか、その役割とともに確認しておくことも重要です。

本記事では、企業の実務担当者に向けて、GDPRにおけるEU代理人の役割と指定義務を整理したうえで、個人データ侵害の通知に向けて企業が日頃から準備しておくべきことを解説します。

1．日本企業にも関係するGDPR

EU一般データ保護規則（GDPR）は、EU域内に拠点を持つ企業だけでなく、一定の条件を満たすEU域外の企業にも適用されます。

GDPR第3条2項では、EU域内に拠点を持たない企業であっても、EU域内にいる個人に対する商品・サービスの提供や、EU域内で行われる個人の行動の監視に関連して個人データを取り扱う場合には、GDPRが適用されると定めています。

例えば、日本国内にのみ拠点を持つ企業でも、EU域内の消費者に向けて商品を販売するECサイトを運営している場合などには、GDPRの適用対象となる可能性があります。

こうした企業では、個人データ侵害が発生した場合の対応に加え、平時からGDPRに基づく義務を確認しておく必要があります。その代表例が、GDPR第27条に定められた「EU代理人」の指定義務です。

注意が必要なのは、EU代理人の指定義務は「不正アクセスが発生したから生じるもの」ではないという点です。GDPRの適用対象となる一定のEU域外企業に対して、平時からあらかじめ指定が義務付けられているものです。次章では、このEU代理人の役割について解説します。

2．EU代理人とは？ その役割について

EU代理人とは、EU域外の管理者・処理者がGDPR第27条に基づき書面で指定し、GDPR上の義務に関して管理者・処理者を代理する、EU域内に設立された自然人または法人です（GDPR第4条17号）。主に、次のような役割を担います。

① 監督機関やデータ主体との連絡窓口

EU代理人は、GDPRに関する監督機関やデータ主体（個人）からの問い合わせを受け、企業との間で連絡を取り次ぐ役割を担います。例えば、監督機関から個人データの取扱いに関する問い合わせがあった場合や、EU域内の個人から自身の個人データに関する権利行使の申し出があった場合などが考えられます。

② 処理活動の記録の保持

GDPR第30条では、管理者や処理者に対して、一定の条件の下で個人データの処理活動に関する記録を保持することを求めています。EU代理人も、同条に基づき、対象となる処理活動の記録を保持し、監督機関から要請があった場合には提示できるようにする役割を担います。

③ 個人データ侵害が発生した場合の位置付け

不正アクセスなどによる個人データ侵害が発生した場合にも、EU代理人が関係することがあります。

欧州データ保護会議（EDPB）の個人データ侵害通知に関するガイドライン（ガイドライン9/2022脚注37）は、EU代理人を指定した場合でも、個人データ侵害を監督機関へ通知する責任は管理者に残るとしています（GDPR第27条5項）。同脚注は、文書による委任で明示されている場合、EU代理人が通知の過程に関与する余地も認めていますが、これは例外的な取扱いです。EU代理人の委任範囲に通知が含まれていない限り、通知は管理者である企業自身が行います。

他方で、同ガイドライン第73段落は、EU域内に代理人がいるというだけではワンストップショップ制度（主監督機関がまとめて対応する仕組み）は適用されないとしています。そのため、EU域内に拠点を持たない企業は、影響を受けた個人が居住するすべての加盟国の監督機関にそれぞれ通知する必要があり、代理人の所在国の監督機関に通知すれば足りるわけではありません。

GDPRでは、個人の権利・自由に対するリスクが生じるおそれがない場合を除き、個人データ侵害を認識した後、不当な遅滞なく、かつ可能な場合には72時間以内に監督機関へ通知することが求められます（72時間を超えた場合は遅延の理由を付す必要があります。GDPR第33条1項）。また、個人の権利・自由に対する高いリスクが生じるおそれがある場合には、本人への連絡も不当な遅滞なく行う必要があります（同第34条1項）。時差や言語の壁がある日本企業にとって、複数の監督機関への並行した通知が必要となりうることも踏まえると、通知先となる監督機関や報告すべき事項を平時から整理し、報告案を速やかに作成できる体制を整えておくことが重要です。EU代理人はこの作業を担うものではないため、DPO（データ保護オフィサー）のアウトソーシングなどの外部支援を活用し、監督機関への報告案の作成までの支援を受けることが考えられます。ただし、通知の要否の最終判断と監督機関への提出は、管理者である企業自身が行います（GDPR第33条1項）。DPOは、侵害対応の過程に関与して企業に助言する役割を担います（ガイドライン9/2022第133段落）。

なお、EU代理人を指定しても、企業自身のGDPR上の責任が代理人に移るわけではありません。個人データ侵害に関する通知義務も、引き続き管理者が負います。一方で、監督機関は、EU代理人を通じて企業に対する是正措置や制裁金に係る手続を進めることができるとされており（EDPBガイドライン3/2018第4章d）、EU代理人は監督機関による執行の窓口ともなります。

このように、EU代理人は平時から監督機関や本人との連絡窓口として機能するとともに、万が一の不正アクセス発生時には、監督機関からの照会を受ける窓口ともなります。他方、侵害の通知は企業自身が行うものであり、そのための体制は、EU代理人とは別に整えておく必要があります。

3．EU代理人の指定義務が生じるのはどんな企業？

GDPRが適用される企業のすべてに、EU代理人の指定義務があるわけではありません。

GDPR第27条では、第3条2項に基づいてGDPRの適用を受けるEU域外の管理者または処理者に対し、一定の例外を除き、EU代理人を指定することを求めています。

例えば、EU域内に拠点を持たない日本企業であっても、次のような事業を行っている場合には、指定義務が生じる可能性があります。

• EU域内の消費者に向けて商品を販売するECサイトを運営している
• EU域内の利用者を対象としたオンラインサービス（WebアプリやSaaSなど）を提供している
• Cookieやトラッキングツールなどを利用して、EU域内にいる個人のオンライン上の行動を追跡・分析している

ただし、以下の条件をすべて満たす個人データの取扱いについては、例外的に指定義務が免除されます（GDPR第27条2項）。

　１．個人データの取扱いが偶発的であること
　２．特別な種類の個人データ（センシティブデータ）や犯罪歴等に関する個人データの大規模な取扱いを含まないこと
　３．個人データの取扱いの性質、状況、範囲、目的に照らし、個人の権利や自由に対するリスクが生じる可能性が低いこと
　※このほか、公的機関などについても、指定義務の例外が設けられています。

ここで注意したいのは、「偶発的な取扱い」という条件です。欧州データ保護会議（EDPB）のガイドラインでは、定期的に行われる取扱いや、通常の事業活動の一環として行われる取扱いは、偶発的な取扱いには該当しないとの考え方が示されています。

そのため、EU域内の個人に向けて継続的に商品・サービスを提供している企業などでは、原則としてEU代理人の指定義務が生じることを踏まえ、自社に指定義務があるか確認する必要があります。

なお、実際にEU代理人を指定する際には、以下の点に留意する必要があります。

• 所在地の選定： 個人データの取扱いの対象となる個人が所在するEU加盟国のいずれかに、居住または設立されている代理人を選ぶこと
• 文書による指定： 代理人の役割や委任内容を明確にした文書（委任状や契約書など）によって指定すること
• 兼任の制限： EDPBは、EU代理人の役割は、EU域内の外部DPOの役割とも、同じ管理者のために個人データを取り扱う処理者（委託先）の役割とも両立しないとしています（ガイドライン3/2018第4章a）

4．EU代理人を指定した後に確認しておきたいこと

EU代理人を指定しても、それだけでGDPRへの対応が完結するわけではありません。代理人が監督機関やデータ主体からの連絡を確実に企業へ取り次げる体制と、個人データ侵害の通知など企業自身が担う事項への備えの双方を整えておく必要があります。

特に、次の3点を確認しておくとよいでしょう。

① EU代理人の対応範囲と、企業自身が担うこと

監督機関やデータ主体からの問い合わせへの対応方法、対応可能な言語、社内への連絡方法などを確認します。また、個人データ侵害が発生した場合に、代理人が監督機関からの照会をどのように社内へ取り次ぐのかも確認しておきます。もっとも、仮にEU代理人に通知の代行を委任していたとしても、通知に記載すべき侵害の性質、影響を受けた個人の範囲や概数、想定される結果、講じた措置（GDPR第33条3項）は、企業自身が把握して提供するほかなく、EU代理人だけで通知を完結させることはできません。かえって、情報の受渡しや翻訳・確認の工程が一つ加わる分、72時間という期限の中で遅延の要因を増やすことにもなりかねません。通知の責任は最終的に管理者である企業が負う以上（GDPR第27条5項、ガイドライン9/2022脚注37）、侵害発生時に誰が通知の要否を判断し、通知先の監督機関を特定し、報告を作成して提出するのかを社内で決め、報告に必要な情報を速やかに集められるよう、日頃から準備しておくことが重要です。報告案の作成などについて、DPOのアウトソーシングなどの外部支援を活用することも考えられます。通知の要否の最終判断と監督機関への提出は、管理者である企業自身が行います（GDPR第33条1項）。DPOは、侵害対応の過程に関与して企業に助言する役割を担います（ガイドライン9/2022第133段落）。

② 社内とEU代理人との連絡体制

EU代理人が監督機関やデータ主体から連絡を受けた場合に備え、社内の担当部門や連絡経路を決めておきます。監督機関への通知が必要となる場合には、個人データ侵害を認識してから原則72時間以内という期限や、影響を受けた個人の居住国ごとに通知先の監督機関が異なりうることも考慮し、土日祝日や夜間でも迅速に対応できるよう、緊急時の連絡体制を整えておくことが重要です。

③ プライバシーポリシー等への記載

GDPR第13条・第14条では、該当する場合、データ主体に対してEU代理人の名称・連絡先を提供することが求められています。EU代理人を指定した後は、プライバシーポリシーなどの記載についても確認する必要があります。EDPBは、この情報提供を欠く場合には透明性に関する義務の違反となるとしています（ガイドライン3/2018第4章a）。

EU代理人の指定は、現地の連絡窓口を確保するだけで完結するものではありません。監督機関やデータ主体との連絡が円滑に行えるよう、代理人の対応範囲や社内との連携方法を整理しておくことが大切です。とりわけ個人データ侵害の通知は、EU代理人を指定していても企業自身が行うものです。不正アクセスによる被害が相次ぐ今こそ、通知に向けた社内の役割分担と情報収集の手順を、平時から整えておくことが求められます。