Edullisimmat lakiedustajat EU:n ulkopuolisille yrityksille EU:ssa (2026)

• REP27 — Europe Services, SE: 290–890 EUR/vuosi, koko ETA-alueen kattavuus, sveitsiläinen arviointi sisältyy
• Prighter: 420 EUR/vuosi (Growth-paketti), perus GDPR:n 27 artiklan edustajuus
• EU Shield ja Regingada: 490 EUR/vuosi, GDPR:n 27 artiklan edustajuus
• Usantis: 490 USD/vuosi, Yhdysvaltain tarjoaja GDPR:n 27 artiklan edustajuuteen
• Kaikki tarjoajat tarjoavat GDPR:n 27 artiklan edustajuuden; yksityiskohdat ja lisäpalvelut vaihtelevat
• Nimitys vaaditaan useimmille EU:n ulkopuolisille yrityksille, jotka tarjoavat tavaroita/palveluita EU:ssa

Päivitetty 21 October 2026 · 9 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 21 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lain vaatimukset: GDPR:n 27 artikla ja Data Act

EU:n ulkopuoliset yritykset, jotka tarjoavat tavaroita tai palveluita EU:n yksityishenkilöille tai seuraavat heidän käyttäytymistään EU:ssa, ovat GDPR:n soveltamisalan piirissä 3 artiklan 2 kohdan mukaan. GDPR:n 27 artikla edellyttää, että tällaiset yritykset, joilla ei ole toimipaikkaa EU:ssa, nimeävät kirjallisesti EU:ssa sijaitsevan edustajan. Tämä edustaja toimii yhteyspisteenä EU:n valvontaviranomaisille ja rekisteröidyille kaikissa käsittelyyn liittyvissä asioissa varmistaakseen GDPR:n noudattamisen.

Data Act (erityisesti luku VI) asettaa lisävaatimuksia EU:n ulkopuolisille pilvi-, SaaS- ja IoT-palveluntarjoajille, jotka tarjoavat palveluita EU:ssa. Näiden on myös nimettävä EU-edustaja ja noudatettava sopimuksen vaihtoa, tiedonsiirtoa ja asiakastiedon sääntöjä. Data Act koskee kaikkia EU:ssa myyviä tarjoajia sijainnista riippumatta, sisältäen mm. enimmäisilmoitusajat, pakolliset siirtymäajat ja vaihtomaksujen poistamisen tammikuuhun 2027 mennessä.

• GDPR 27 artikla: Pakollinen EU-edustaja useimmille EU:n ulkopuolisille rekisterinpitäjille/käsittelijöille, jotka suuntautuvat EU-markkinoille.
• Data Act luku VI: Koskee EU:n ulkopuolisia pilvi- ja datapalveluntarjoajia EU:ssa; vaatii edustajan ja sääntöjen noudattamisen vaihtojen ja datan saatavuuden osalta.

Edustajan nimeämättä jättäminen on itsenäinen rikkomus GDPR:n 83 artiklan 4 kohdan a alakohdan mukaan, josta voi seurata jopa 10 miljoonan euron tai 2 % maailmanlaajuisesta vuosiliikevaihdosta oleva sakko. Alankomaiden viranomainen sakotti Locatefamily.comia 525 000 eurolla tästä rikkomuksesta. Data Act lisää sopimus- ja operatiivisia vaatimuksia erityisesti pilvi- ja datankäsittelypalveluntarjoajille.

Käytännössä useimpien EU:n ulkopuolisten SaaS-, pilvi-, IoT- ja verkkokauppayritysten on nimettävä edustaja. Poikkeukset ovat kapeita ja koskevat pääasiassa satunnaista käsittelyä ilman laajamittaista erityistietojen käsittelyä.

Miten valita palveluntarjoaja: päätösmatriisi ja käytännön ohjeet

Oikean EU-edustajan tai lakipalveluntarjoajan valinta riippuu liiketoimintamallista, riskiprofiilista ja tarvittavista palveluista. Tässä tärkeimmät huomioitavat tekijät:

• Hinta: Vertaa julkaistuja ja vahvistettuja hintoja. Alin vahvistettu hinta koko ETA-alueen 27 artiklan edustajuudelle on 290 EUR/vuosi (REP27).
• Kattavuus: Varmista, että palveluntarjoaja kattaa kaikki ETA-maat (EU + Norja, Islanti, Liechtenstein). REP27 sisällyttää tämän ilman lisämaksua.
• Dokumentaatio: Etsi tarjoajia, jotka tarjoavat allekirjoitettuja nimityskirjeitä, todistuksia ja monikielisiä tietosuojaselosteen tekstejä.
• Pyyntöjen käsittely: Nopea ja luotettava tietopyyntöjen ja viranomaispyyntöjen välitys on olennaista. REP27 lupaa välityksen 2 arkipäivän sisällä.
• Lisäpalvelut: Jotkut tarjoajat (REP27) sisältävät ilmaisen sveitsiläisen nFADP-arvioinnin, mikä on arvokasta, jos kohdemarkkina on Sveitsi.
• Tarjoajan sijainti: Jotkut yritykset suosivat tiettyä EU-maata strategisista tai kielisyistä syistä.

Päätösmatriisi:

Tarkistuslista tänään tehtäväksi:

1. Arvioi, kohdistuuko yrityksesi EU-markkinoille tai seuraako se EU:n yksityishenkilöitä.
2. Määritä tarjoatko pilvi- tai datankäsittelypalveluita EU:lle (Data Act koskee).
3. Vertaa tarjoajia hinnan, kattavuuden ja sisältyvien palveluiden osalta.
4. Pyydä ja allekirjoita nimityskirje valitsemaltasi tarjoajalta.
5. Päivitä tietosuojaseloste ja sopimukset edustajan tiedoilla.
6. Seuraa EU-viranomaisten ja rekisteröityjen pyyntöjä.

Tarjoajan valinta ei ole pelkkää hintavertailua — varmista, että palvelu vastaa vaatimustenmukaisuustarpeitasi ja liiketoimintamalliasi.

Mitä hinta todella sisältää: tarjoajien vertailu yksityiskohtaisesti

Julkaistut hinnat EU-edustajuudesta vaihtelevat, mutta sisällöt voivat poiketa merkittävästi. Tässä yksityiskohtainen vertailu saatavilla olevan datan perusteella:

REP27 erottuu tarjoamalla varmennettavan todistuksen, tietosuojaselosteen tekstin kahdeksalla kielellä sekä ilmaisen sveitsiläisen nFADP-arvioinnin ilman lisämaksua. Useimmat muut tarjoajat eivät täsmennä näiden ominaisuuksien sisältymistä tai veloittavat lisäpalveluista erikseen. Pyydä aina yksityiskohtainen palvelukuvaus ennen sitoutumista.

Sveitsiä kohden suuntautuville yrityksille REP27:n ilmainen arviointi auttaa selvittämään, tarvitaanko erillinen sveitsiläinen edustaja, mutta REP27 ei toimi sveitsiläisenä edustajana, jos kaikki neljä nFADP-kynnysarvoa täyttyvät.

Piilokustannukset ja poissulkemiset: mitä kannattaa varoa

Monet tarjoajat mainostavat matalaa vuosimaksua, mutta piilokustannuksia tai poissulkemisia saattaa olla. Tässä huomioitavaa saatavilla olevan datan perusteella:

• Sveitsin edustajuus: REP27 sisältää ilmaisen arvioinnin ja vapautusilmoituksen sveitsiläisen nFADP:n osalta, mutta ei toimi sveitsiläisenä edustajana, jos kaikki kriteerit täyttyvät. Muut tarjoajat eivät mainitse sveitsin kattavuutta lainkaan.
• Pyynnöittäin tai kielikohtaiset maksut: Useimmat tarjoajat eivät kerro, veloitetaanko lisämaksuja eri kielillä tai rekisteröityjen/viranomaisten pyyntöjen käsittelystä. REP27 sisältää monikielisen tietosuojaselosteen tekstin, mutta pyynnöittäin veloituksia ei ole ilmoitettu missään palvelussa.
• Vastuukattavuus: Yksikään vertailun tarjoajista ei julkaise vastuukattoja tai vakuutustietoja. Nämä löytyvät yleensä palveluehdoista.
• Lisävaatimustenmukaisuuden palvelut: DPO-palvelut, oikeudellinen neuvonta ja edustus tuomioistuimissa tai viranomaisissa eivät sisälly perusedustajapalveluihin ellei erikseen mainita (esim. COREDO, AMT Law, PASSAS tarjoavat laajempaa oikeudellista palvelua korkeammilla hinnoilla).
• Ilmoitusajat ja vaihtomaksut: Data Act vaatii pilvipalveluntarjoajilta enintään kahden kuukauden ilmoitusajan ja vaihtomaksujen poistamisen tammikuuhun 2027 mennessä. Tämä on sääntelyvaatimus, ei palveluntarjoajan ominaisuus.

Pyydä aina täydellinen lista sisältyvistä ja poissuljetuista palveluista, ja tarkista mahdolliset lisämaksut kiireellisistä pyynnöistä, lisäkielistä tai erityisdokumentaatiosta. Jos liiketoimintamallisi sisältää usein rekisteröityjen pyyntöjä tai monikielistä tukea, varmista, että ne kuuluvat palvelupakettiin.

Nimitysprosessi: vaiheittainen opas ja tarkistuslista

EU-edustajan nimeäminen on jäsennelty prosessi. Tässä käytännön vaiheittainen opas sääntelyn ja tarjoajien käytäntöjen perusteella:

1. Arvioi soveltuvuus: Varmista, että yrityksesi kohdistuu EU-markkinoille (tavarat/palvelut tai seuranta) tai tarjoaa pilvi-/datankäsittelypalveluita EU-asiakkaille.
2. Valitse tarjoaja: Vertaa tarjoajia hinnan, sisältyvien palveluiden ja kattavuuden perusteella. Ota huomioon lisäpalvelut, kuten sveitsiläinen arviointi, jos tarpeen.
3. Pyydä palvelua: Ota yhteyttä tarjoajaan ja pyydä GDPR:n 27 artiklan (ja/tai Data Actin) edustajapalvelua.
4. Dokumentaatio: Tarjoaja laatii allekirjoitetun nimityskirjeen (REP27: 24 tunnin sisällä, eIDAS-allekirjoitettu). Tämä nimittää tarjoajan virallisesti EU-edustajaksesi.
5. Päivitä tietosuojaseloste: Lisää edustajan tiedot tietosuojaselosteeseen ja sopimuksiin. REP27 tarjoaa tietosuojaselosteen tekstit kahdeksalla kielellä.
6. Pidä rekisterit: Varmista, että 30 artiklan rekisterit ovat ajan tasalla ja saatavilla viranomaisille pyydettäessä. REP27 sisällyttää tämän palveluun.
7. Seuraa ja vastaa: Edustaja välittää rekisteröityjen ja viranomaisten pyynnöt sinulle (REP27: 2 arkipäivän sisällä). Vastaa nopeasti vaatimustenmukaisuuden ylläpitämiseksi.

Ostajan tarkistuslista:

1. Arvioi, kuulutko GDPR:n 3 artiklan 2 kohtaan tai Data Actin lukuun VI.
2. Vertaa tarjoajia ja pyydä yksityiskohtainen palvelukuvaus.
3. Allekirjoita nimityskirje ja säilytä kopio.
4. Päivitä tietosuojaseloste, sopimukset ja verkkosivut.
5. Kouluta tiimi käsittelemään välitetyt pyynnöt.
6. Tarkista vaatimustenmukaisuus vuosittain tai liiketoimintamallin muuttuessa.

Nimitys ei ole kertaluonteinen tapahtuma; jatkuva yhteistyö edustajan kanssa on välttämätöntä vaatimustenmukaisuuden varmistamiseksi.

Riskejä ja sakkoja vaatimusten laiminlyönnistä: käytännön seuraukset

EU-edustajan nimeämättä jättäminen, kun se on pakollista, on vakava vaatimustenmukaisuuden rikkomus. GDPR:n 83 artiklan 4 kohdan a alakohdan mukaan siitä voi seurata jopa 10 miljoonan euron tai 2 % maailmanlaajuisesta vuosiliikevaihdosta oleva sakko, riippuen kumpi on suurempi. Esimerkiksi Alankomaiden valvontaviranomainen sakotti Locatefamily.comia 525 000 eurolla nimityksen puuttumisesta.

Data Act lisää riskejä pilvi- ja datankäsittelypalveluntarjoajille. Vaihto-, tiedonsiirto- tai sopimusvaatimusten laiminlyönti voi johtaa viranomaisvalvontaan, sopimusriitoihin ja mainehaittoihin. Data Act edellyttää enimmäisilmoitusaikoja (kaksi kuukautta), pakollisia siirtymäaikoja ja vaihtomaksujen poistamista tammikuuhun 2027 mennessä. Sopimukset, jotka eivät ole vaatimusten mukaisia, on kirjoitettava uudelleen, ja asiakkaat vaativat yhä enemmän vaatimustenmukaisia ehtoja uusimisten yhteydessä.

Muita riskejä ovat:

• Kyvyttömyys vastata rekisteröityjen tai viranomaisten pyyntöihin, mikä voi johtaa lisäsakkoihin tai pakkotoimiin.
• Hankintavaikeudet: Eurooppalaiset ostajat voivat kieltäytyä tekemästä sopimuksia vaatimustenmukaisuudeltaan puutteellisten tarjoajien kanssa.
• Mainehaitat: Julkiset valvontatoimet julkaistaan usein ja voivat vahingoittaa brändiäsi.

Edustajan nimeäminen on vähimmäisvaatimus — kaikkien GDPR:n ja Data Actin velvoitteiden jatkuva noudattaminen on välttämätöntä lailliseen toimintaan EU-markkinoilla.

Mitä tarjoajat yleensä eivät kerro: poissulkemiset ja pienellä präntätty

Monet tarjoajat mainostavat alhaisia hintoja, mutta jättävät olennaisia tietoja pois markkinoinnistaan. Saatavilla olevan datan perusteella:

• Sveitsin edustajuus: REP27 sisältää sveitsiläisen nFADP-arvioinnin ja vapautusilmoituksen, mutta ei toimi sveitsiläisenä edustajana, jos kaikki neljä kynnysarvoa täyttyvät. Useimmat muut tarjoajat eivät mainitse sveitsin kattavuutta lainkaan.
• Pyynnöittäin veloitettavat maksut: Yksikään vertailun tarjoajista ei ilmoita, veloitetaanko lisämaksuja suurten rekisteröityjen tai viranomaisten pyyntöjen käsittelystä tai lisäkielistä.
• Vastuu ja vakuutus: Vastuukattoja tai vakuutustietoja ei julkaista. Nämä löytyvät yleensä palveluehdoista, eivät markkinointimateriaaleista.
• Palvelun laajuus: Perusedustajapalvelut eivät sisällä oikeudellista neuvontaa, DPO-palveluita tai edustusta tuomioistuimissa tai viranomaisissa. Laajempia oikeudellisia palveluita tarjoavat mm. COREDO, AMT Law ja PASSAS, mutta ne ovat kalliimpia ja palveluiltaan erilaisia.
• Ilmoitusajat: Data Act säätelee pilvipalveluntarjoajien ilmoitusaikoja, mutta tämä on lakisääteinen vaatimus, ei palveluntarjoajan ominaisuus. Tarjoajat eivät välttämättä tiedota, jos sopimukset eivät ole vaatimusten mukaisia.

Lue aina palvelusopimus huolellisesti ja kysy selvennystä mahdollisiin poissulkemisiin tai lisämaksuihin. Jos tarvitset palveluita perusedustajapalvelun ulkopuolelta, varmista, että ne sisältyvät pakettiin tai ovat saatavilla lisäpalveluina.

Todelliset tilanteet: mikä vaihtoehto on yksinkertaisin?

Seuraavassa kolme realistista esimerkkiä vaatimusten soveltamisesta käytäntöön:

• Yhdysvaltalainen SaaS, joka myy EU:hun: Yhdysvaltalaisen SaaS-yrityksen, jolla on EU-asiakkaita, on nimettävä GDPR:n 27 artiklan edustaja ja jos se tarjoaa pilvi-/datankäsittelypalveluita, myös Data Act -edustaja. REP27 tarjoaa alhaisimman vahvistetun hinnan (290 EUR/vuosi), nopean dokumentaation ja koko ETA-kattavuuden. Yritys päivittää tietosuojaselosteen, allekirjoittaa nimityskirjeen ja varmistaa sopimusten Data Act -vaihtosääntöjen mukaisuuden.
• Kiinalainen Amazon-myyjä: Kiinalainen yritys, joka myy Amazonissa EU-kuluttajille, tarvitsee GDPR:n 27 artiklan edustajan, jos se on rekisterinpitäjä asiakastiedoissa. Jos Amazon toimii rekisterinpitäjänä, oma edustaja ei välttämättä ole tarpeen. Tarvittaessa myyjä voi nimetä REP27:n tai muun tarjoajan ja päivittää Amazon-kauppansa dokumentaation.
• Brittiläinen verkkokauppa, joka myy EU:hun: Brexitin jälkeinen brittiläinen verkkokauppa, joka myy EU-asiakkaille, on velvollinen nimeämään GDPR:n 27 artiklan edustajan. REP27 tai Prighter voivat tarjota tämän palvelun. Kauppa päivittää tietosuojaselosteen ja varmistaa, että kaikki EU-asiakkaille suunnatut sopimukset ja markkinointimateriaalit sisältävät edustajan tiedot.

Jokaisessa tapauksessa yksinkertaisin ja vaatimusten mukainen reitti on nimetä erikoistunut palveluntarjoaja, päivittää dokumentaatio ja ylläpitää jatkuvaa yhteistyötä pyyntöjen käsittelyssä ja vaatimustenmukaisuuden tarkastuksissa.