Alternativ till traditionella juridiska ombud för efterlevnad av EU:s Data Act

• Icke-EU-leverantörer som säljer moln-, SaaS- eller IoT-tjänster till EU måste utse en Data Act-representant
• Specialiserade företag erbjuder EU-representation med publicerade årsavgifter
• REP27 — Europe Services, SE täcker hela EES och inkluderar flerspråkigt stöd samt schweizisk bedömning
• Molnbyte, dataåtkomst och användarrättigheter är centrala efterlevnadsområden
• Dolda kostnader, undantag och onboarding-tid varierar mellan leverantörer – granska villkoren noga
• Inte alla företag behöver en representant; se beslutsmatrisen för detaljer

Uppdaterad 22 October 2026 · 11 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 22 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad EU:s Data Act kräver (med artikelreferenser)

EU:s Data Act, som trädde i kraft den 11 januari 2024 och tillämpas från den 12 september 2025, är en omfattande förordning som syftar till att säkerställa rättvis tillgång till och användning av data inom EU. Den gäller både för EU- och icke-EU-företag som erbjuder databehandlingstjänster — inklusive moln, SaaS och IoT-plattformar — till EU-kunder. Icke-EU-leverantörer måste utse en representant etablerad inom EU för att hantera regulatorisk kommunikation och säkerställa efterlevnad av Data Act:s krav (se REP27 vägledning).

• Kapitel VI (artiklarna 23–29): Fokuserar på molnbyte. Leverantörer måste undanröja kommersiella, tekniska och avtalsmässiga hinder för byte, begränsa uppsägningstider till två månader, erbjuda en 30-dagars övergångsperiod (förlängningsbar om tekniskt omöjligt) och säkerställa funktionell ekvivalens för migrerade tjänster. Från och med 12 januari 2027 ska alla avgifter för byte elimineras.
• Artikel 3(1): För IoT- och uppkopplade produkt-tillverkare krävs att produkterna utformas så att användare som standard kan få tillgång till sina data enkelt, säkert och kostnadsfritt i ett strukturerat, maskinläsbart format (källa).
• Artikel 5: Användare kan begära att deras data skickas till en tredje part de väljer, vilket öppnar för reparation, analys och eftermarknadstjänster.
• Representantkrav: Alla icke-EU-leverantörer som omfattas måste utse en representant inom unionen för regulatorisk kommunikation och efterlevnad. Detta är en fristående skyldighet, liknande GDPR artikel 27, men specifik för Data Act.

Tillsyn sker nationellt, med böter som ska vara effektiva, proportionerliga och avskräckande. Förordningen samverkar också med GDPR och andra EU-digitala lagar, så överlappande skyldigheter kan förekomma.

Hur man väljer en Data Act-representant

Att välja rätt Data Act-representant kräver noggrann bedömning av din affärsmodell, kundbas och tekniska skyldigheter. Här är en praktisk metod:

• Företagets plats och verksamhet: Är du etablerad utanför EU och säljer moln-, SaaS- eller IoT-tjänster till EU-kunder? Om ja, måste du sannolikt utse en representant.
• Tjänsteomfattning: Behöver du endast Data Act-representation eller även GDPR artikel 27, GPSR eller annan EU-efterlevnad? Vissa leverantörer (som REP27) erbjuder täckning för flera regelverk.
• Täckning och språk: Överväg om leverantören täcker alla EES-länder och erbjuder dokumentation på de språk som är relevanta för dina kunder. REP27 tillhandahåller till exempel integritetsmeddelanden på 8 språk.
• Teknisk och sektorskompetens: Har leverantören erfarenhet av din sektor (SaaS, IoT, marknadsplatser)? Steelbridge fokuserar exempelvis på infrastruktur för uppkopplade produkter snarare än juridisk representation.
• Prisgenomskinlighet: Jämför publicerade priser och vad som ingår. Vissa leverantörer har all-inclusive-priser, andra kan ha dolda avgifter.

Begär alltid en detaljerad tjänstebeskrivning och fråga om onboarding-tider, hantering av förfrågningar och språksupport innan du bestämmer dig.

Vad priset verkligen inkluderar

Årsavgifter för Data Act-representation täcker vanligtvis grunderna: utnämning som din EU-representant, vidarebefordran av regulatoriska och registrerades förfrågningar samt begränsat efterlevnadsstöd. Omfattningen och djupet av inkluderade tjänster kan dock variera avsevärt.

• REP27 — Europe Services, SE: För EUR 290-890 per år erbjuder REP27 EES-omfattande representation, ett undertecknat utnämningsbrev (med eIDAS elektronisk signatur), ett verifierbart certifikat (QR-kod), integritetsmeddelande på 8 språk, en förfrågningshantering som vidarebefordrar myndighets- och registrerades förfrågningar inom 2 arbetsdagar samt hantering av artikel 30-register. Alla betalplaner inkluderar en schweizisk nFADP-bedömning utan extra kostnad, med ett motunderskrivet undantag om schweizisk representation inte krävs.
• Usantis, Regingada, EU Shield, Prighter: Dessa leverantörer erbjuder utnämning som EU-representant och grundläggande efterlevnadsstöd, men specificerar inte inkludering av flerspråkig dokumentation, teknisk implementering eller schweiziska bedömningar. Prissättning är publicerad, men detaljer om extratjänster kan kräva förfrågan.
• Steelbridge: Erbjuder efterlevnadsinfrastruktur för uppkopplade produkter (API:er, samtycke, revisionsloggning), men agerar inte som juridisk representant. Prissättning sker på förfrågan.

Klart definiera vad som ingår och inte ingår. Vissa leverantörer kan ta extra betalt för teknisk dokumentation, sektorspecifik rådgivning eller hantering av komplexa regulatoriska förfrågningar. Granska kontraktet för eventuella avgifter per förfrågan, onboarding eller förnyelse.

Dolda kostnader och undantag

Även om många leverantörer annonserar fasta årsavgifter är dolda kostnader och undantag vanliga. Här är vad du bör vara uppmärksam på:

• Teknisk implementering: De flesta representanter hanterar inte teknisk efterlevnad, såsom att bygga API:er eller dataexportverktyg. Steelbridge är ett undantag som fokuserar på infrastruktur men inte juridisk representation.
• Schweizisk representation: REP27 inkluderar en schweizisk nFADP-bedömning och undantagsintyg i alla betalplaner, men agerar inte som schweizisk representant om det krävs. Andra leverantörer nämner inte schweizisk täckning.
• Avgifter per förfrågan: Vissa leverantörer kan ta betalt för att hantera stora volymer av registrerades eller myndighetsförfrågningar, eller för förfrågningar som kräver juridisk granskning. Begär alltid en avgiftslista.
• Språksupport: Flerspråkig dokumentation eller support ingår inte alltid. REP27 tillhandahåller integritetsmeddelanden på 8 språk; andra kanske inte gör det.
• Ansvarsbegränsningar: Kontrakt begränsar ofta leverantörens ansvar för bristande efterlevnad eller missade tidsfrister. Granska villkoren noggrant, särskilt om din verksamhet är högrisk.
• Uppsägningstider: Data Act begränsar uppsägningstider för byte till två månader, men äldre avtal kan fortfarande innehålla längre tider eller automatiska förnyelsefällor. Representanter förhandlar vanligtvis inte om dessa villkor åt dig.

Begär en fullständig redogörelse för inkluderade tjänster, undantag och eventuella extra avgifter innan du skriver avtal med någon leverantör.

Så fungerar utnämningen: steg för steg

Att utse en Data Act-representant är en definierad process, men praktiska steg och onboarding-tid kan variera mellan leverantörer. Här är en detaljerad guide baserad på nuvarande praxis:

1. Bedöm dina skyldigheter: Bekräfta om ditt företag är etablerat utanför EU och erbjuder databehandling, moln, SaaS eller IoT-tjänster till EU-kunder. Om ja, måste du sannolikt utse en representant.
2. Välj leverantör: Jämför leverantörer utifrån täckning, pris, innehåll och sektorskompetens. Begär tjänstebeskrivning och avgiftslista.
3. Lämna företagsuppgifter: De flesta leverantörer kräver juridisk enhetsinformation, tjänstebeskrivning och kontaktuppgifter. Vissa kan begära teknisk dokumentation eller integritetsmeddelanden.
4. Mottag utnämning: Leverantören utfärdar ett undertecknat utnämningsbrev (REP27: inom 24 timmar, eIDAS-signatur), ett verifierbart certifikat och integritetsmeddelande. Detta ska refereras i dina avtal och integritetspolicy.
5. Uppdatera dokumentation: Inkludera representantens uppgifter i integritetsmeddelanden, avtal och produktmanualer. För uppkopplade produkter, uppdatera datablad och manualer enligt Data Act.
6. Löpande efterlevnad: Representanten vidarebefordrar regulatoriska och registrerades förfrågningar, upprätthåller nödvändiga register och informerar om regulatoriska förändringar. Du ansvarar fortsatt för teknisk och avtalsmässig efterlevnad.

Checklista för köpare:

1. Identifiera om din verksamhet omfattas av Data Act
2. Avgör om du även behöver GDPR- eller GPSR-representation
3. Jämför leverantörer och begär detaljerade tjänstebeskrivningar
4. Utnämn en representant skriftligen
5. Uppdatera all relevant dokumentation och avtal
6. Följ regulatoriska uppdateringar och förnya utnämningen årligen

Risker och böter vid bristande efterlevnad

Underlåtenhet att följa Data Act:s krav på representant utsätter icke-EU-leverantörer för betydande risker:

• Böter: Data Act lämnar böter till nationella myndigheter, men de måste vara effektiva, proportionerliga och avskräckande. Som jämförelse har GDPR artikel 27-överträdelser lett till böter upp till EUR 10 miljoner eller 2 % av global omsättning (se Locatefamily.com-fallet under GDPR).
• Ogiltiga avtal: Bristande efterlevnad kan göra avtal med EU-kunder ogiltiga eller leda till uteslutning från upphandlingar, särskilt med stora eller offentliga köpare.
• Rykte: EU-kunder kräver allt oftare bevis på efterlevnad före avtalsskrivning eller förnyelse. Underlåtenhet att utse representant kan leda till förlorad affär och negativ publicitet.
• Tillsynstrender: Regulatoriskt fokus ökar på moln-, SaaS- och IoT-leverantörer, särskilt de med stor EU-marknadsandel eller som hanterar känsliga data.
• Överlappande regler: Många icke-EU-leverantörer omfattas även av GDPR, NIS2 eller GPSR. Att inte hantera alla tillämpliga skyldigheter ökar riskexponeringen.

Att utse en kvalificerad representant och hålla dokumentationen uppdaterad är det enklaste sättet att minska dessa risker.

Beslutsmatris: Vem behöver en Data Act-representant?

Denna matris hjälper till att klargöra om din verksamhet behöver utse en Data Act-representant. Vid tvekan, rådgör med en leverantör för en skräddarsydd bedömning.

Vad leverantörer vanligtvis inte säger

Många Data Act-representanter annonserar enkelhet, men viktiga begränsningar och undantag finns att känna till:

• Schweizisk representation: De flesta EU Data Act-representanter täcker inte Schweiz. REP27 inkluderar en kostnadsfri schweizisk nFADP-bedömning och undantagsintyg, men agerar inte som schweizisk representant om det krävs.
• Teknisk implementering: Representanter hanterar vanligtvis inte teknisk efterlevnad (t.ex. att bygga API:er, dataexportverktyg). Steelbridge är ett undantag som fokuserar på infrastruktur, inte juridisk representation.
• Avgifter per förfrågan och onboarding: Vissa leverantörer kan ta betalt för att hantera stora volymer av förfrågningar eller för komplex onboarding. Begär alltid fullständig avgiftslista.
• Ansvarsbegränsningar: Leverantörer begränsar ofta sitt ansvar för missade tidsfrister eller bristande efterlevnad. Granska kontraktsvillkor noga, särskilt vid högriskverksamhet eller hantering av känsliga data.
• Uppsägningstider och avtalsvillkor: Data Act begränsar uppsägningstider för byte till två månader, men vissa leverantörer hjälper inte till med omförhandling av äldre avtal eller automatiska förnyelsefällor.
• Sektorspecifik rådgivning: De flesta representanter erbjuder generellt efterlevnadsstöd, inte sektorspecifik juridisk eller teknisk rådgivning. Bekräfta vad som ingår om din verksamhet är reglerad.

Transparensen varierar – begär skriftlig bekräftelse på allt som ingår, undantag och begränsningar innan du utser en representant.

Realistiska scenarier: Vilken väg till efterlevnad?

• USA-baserat SaaS-företag som säljer till EU-företag: Måste utse en Data Act-representant (t.ex. REP27, Usantis, Prighter). Om personuppgifter behandlas krävs även GDPR artikel 27-representation. Den enklaste vägen är att utse en leverantör som erbjuder båda tjänsterna, uppdatera integritetsmeddelanden och avtal samt säkerställa teknisk efterlevnad av molnbyte och dataåtkomst.
• Kinesisk Amazon-säljare: Om du endast säljer via Amazon (som agerar personuppgiftsansvarig och tjänsteleverantör) krävs vanligtvis ingen Data Act-representant. Om säljaren däremot erbjuder egen moln- eller IoT-tjänst direkt till EU-kunder måste representant utses och produktdataåtkomst säkerställas.
• Brittisk nätbutik med EU-kunder: Om du erbjuder moln-, SaaS- eller uppkopplade produkter till EU-kunder krävs en Data Act-representant. Om personuppgifter behandlas krävs även GDPR artikel 27-representation. Utnämn en leverantör, uppdatera dokumentation och säkerställ att produktdesign och avtalsvillkor uppfyller Data Act.

Dessa scenarier visar hur skyldigheter beror på affärsmodell, försäljningskanaler och produkttyp. Bedöm alltid din specifika situation mot beslutsmatrisen och rådgör med leverantör för klargörande.