Kuinka vertailla GDPR-edustajien hintoja EU:ssa ja Isossa-Britanniassa

• GDPR:n artikla 27 ja UK GDPR vaativat erilliset edustajat EU:lle ja Ison-Britannian alueelle
• Hinnat ja palvelut vaihtelevat: tarkista aina, mitä sisältyy ja mahdolliset piilokustannukset
• Jotkut tarjoajat tarjoavat molemmat toimeksiannot yhdellä tilauksella
• Kiinnitä huomiota perustamiskuluihin, pyyntörajoihin, uusimisiin ja poissuljettuihin palveluihin
• Kaikki yritykset eivät tarvitse edustajaa: tarkista oma tilanteesi

Päivitetty 20 October 2026 · 9 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 20 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lain vaatimus: GDPR:n artikla 27 ja UK GDPR

GDPR:n artikla 27 määrää, että jokaisen rekisterinpitäjän tai käsittelijän, joka ei ole vakiintunut EU:ssa mutta tarjoaa tavaroita tai palveluita EU:n kansalaisille tai seuraa heidän käyttäytymistään, on nimettävä kirjallisesti edustaja unionin alueella. Sama koskee Isoa-Britanniaa UK GDPR:n artiklan 27 kautta. Edustajan on oltava fyysinen tai oikeushenkilö, joka on todellisesti vakiintunut kyseisellä alueella ja hyväksyy toimeksiannon virallisesti. Nimitys on mainittava tietosuojaselosteessa, sisältäen edustajan henkilöllisyyden ja yhteystiedot. Nimittämättä jättäminen on itsenäinen rikkomus, josta voidaan määrätä jopa 10 miljoonan euron sakko tai 2 % maailmanlaajuisesta liikevaihdosta GDPR:n artiklan 83 mukaisesti. Esimerkkinä Locatefamily.com sai 525 000 euron sakon Hollannin viranomaisilta edustajan nimeämättä jättämisestä.

Vuodesta 2021 Brexitin jälkeen yritysten, jotka käsittelevät sekä EU- että UK-kansalaisten tietoja, on nimettävä kaksi erillistä edustajaa, yksi kummallekin alueelle, koska sääntely on erillistä. Vaikka EU:n ja UK:n välillä on tietosuojansiirtojen osalta soveltuva taso (adequacy decision), se ei poista edustajan nimittämisvelvollisuutta: soveltuvuus koskee tiedonsiirtoja, ei rekisteröityjen oikeuksien tai viranomaisten pyyntöjen edustamista.

Kuinka valita oikea GDPR-edustaja

Sopivan GDPR-edustajan valinta riippuu monista käytännön ja strategisista tekijöistä. Ensin tarkista, tarvitsetko edustajan sekä EU:ssa että Isossa-Britanniassa: monet EU/UK:n ulkopuoliset yritykset, jotka myyvät tai seuraavat käyttäjiä molemmilla alueilla, tarvitsevat kaksi erillistä edustajaa. Jotkut tarjoajat, kuten REP27, tarjoavat molemmat toimeksiannot yhdellä tilauksella, mikä helpottaa hallintaa ja vähentää kustannuksia verrattuna erillisiin sopimuksiin.

Arvioi huolellisesti:

• Alueellinen kattavuus: onko tarjoaja todellisesti vakiintunut EU:ssa ja/tai UK:ssa?
• Julkaistu hinta: huomioi vuosikustannukset sekä mahdolliset perustamis-, uusimis- tai lisäpyyntömaksut.
• Sisältyvät palvelut: tarkista, sisältyykö pyyntöjen hallinta, monikieliset tietosuojatekstit, Art. 30 -rekisterin ylläpito ja varmennettavat todistukset.
• Helppo käyttöönotto ja uusiminen: yksi prosessi molemmille alueille vähentää virheitä ja myöhästymisriskejä.
• Kielituki ja pyyntöjen käsittelypiste: tärkeää monikansallisille yrityksille.

Paras valinta riippuu siis liiketoimintamallistasi, läsnäolostasi useilla markkinoilla ja tarpeesta yksinkertaistaa vaatimustenmukaisuutta useissa lainkäyttöalueissa.

Mitä hinta todella sisältää: kiinnitä huomiota yksityiskohtiin

Tarjoajien julkistamat hinnat voivat vaihdella huomattavasti paitsi summaltaan, myös sen mukaan, mitä ne todella sisältävät. Jotkut tarjoajat veloittavat korkeita perustamiskuluja (jopa €2 000), toiset rajoittavat ilman lisämaksua välitettävien pyyntöjen määrää (Janus Compliance: 50/vuosi, sen jälkeen £8 per pyyntö). REP27 tarjoaa jokaisen maksetun paketin yhteydessä ilmaisen Sveitsin lain mukaisen arvioinnin ja vapautuslausunnon, jos edustajaa ei tarvita.

On tärkeää tarkistaa:

• Kuinka monta pyyntöä paketti sisältää
• Aito monikielinen tuki (esim. REP27:n 8 kielen tietosuojatekstit)
• Art. 30 -rekisterin hallinta: jotkut tarjoajat pitävät rekisteriä vain edistyneissä paketeissa
• Varmennettavat todistukset ja julkiset merkit
• Uusimiskustannukset: ovatko ne ensimmäistä vuotta alhaisemmat vai korkeammat

Esimerkki: ostamalla erikseen EU- ja UK-edustajat kustannukset voivat kaksinkertaistua (esim. REP27: €290 + €290 = €580), kun taas yhdistelmäpaketti alkaa €390:stä. GDPR Gateway veloittaa perustamiskuluna jopa €2 000, joka tulee huomioida ensimmäisen vuoden kustannuksissa.

Yhteenvetotaulukko:

Piilokustannukset ja ehdot: mitä tarjoajat usein eivät kerro

Monet tarjoajat eivät korosta joitakin kustannuksia ja ehtoja, jotka voivat merkittävästi vaikuttaa kustannuksiin ja vaatimustenmukaisuuden hallintaan. Esimerkiksi GDPR Gateway veloittaa perustamiskuluna jopa €2 000 vuosimakson lisäksi. Janus Compliance rajoittaa pyyntöjen määrän 50:een vuodessa ja veloittaa £8 jokaisesta lisäpyynnöstä. REP27 määrittelee selkeästi, ettei se hyväksy asiakkaita, jotka käsittelevät arkaluonteisia tietoja, lapsia, korkean riskin toimintoja, tietovälitystä, uhkapelejä, kryptovaluuttoja, aseita, kuluttajalääkkeitä tai toimintoja, jotka vaativat asiakkaalta puuttuvia lupia.

Muita huomioitavia seikkoja:

• Automaattiset uusimiset: useimmat tarjoajat uusivat palvelun automaattisesti, usein 30 päivän irtisanomisajalla (REP27) tai ilman selkeää ilmoitusaikaa.
• Vastuun rajaus: edustaja ei korvaa tietosuojavastaavaa, ei vastaa pyyntöjen sisällöstä, vaan välittää ne asiakkaalle.
• Rekisterien hallinta: kaikki tarjoajat eivät pidä Art. 30 -rekisteriä, tai tekevät sen vain edistyneissä paketeissa.
• Poissuljetut palvelut: oikeudellinen neuvonta, auditoinnit ja monimutkaisten tai erityistietojen pyyntöjen hallinta ovat usein poissuljettuja.

Ennen valintaa pyydä aina kirjallinen lista sisällöstä, rajoituksista ja uusimis-/irtisanomisehdoista.

Nimityksen kulku: vaihe vaiheelta

1. Tarkista tilanteesi: Oletko vakiintunut EU:n tai UK:n ulkopuolella ja tarjoatko tavaroita/palveluita tai seuraatko käyttäjiä näillä alueilla? Jos kyllä, nimitys on pakollinen.
2. Valitse tarjoaja: Tutustu hintataulukkoon ja palveluihin. Jos tarvitset molemmat toimeksiannot, varmista, että tarjoaja tarjoaa ne yhdessä.
3. Täytä käyttöönottoilmoitus: Jotkut tarjoajat (esim. REP27) tarjoavat yhden lomakkeen molemmille alueille, mikä vähentää virheitä ja säästää aikaa.
4. Tarkistus ja allekirjoitus: Tarjoaja tarkistaa tiedot, laatii toimeksiannot ja allekirjoittaa ne sähköisesti (REP27 käyttää eIDAS-allekirjoitusta).
5. Vastaanota todistukset: Saat kaksi erillistä todistusta, joissa on QR-koodi ja julkinen tarkistussivu.
6. Päivitä tietosuojaseloste: Lisää tarjoajan antamat kaksi tekstiriviä, yksi EU:lle ja yksi UK:lle, vaadituilla kielillä.
7. Pyyntöjen hallinta: Tarjoaja välittää viranomaisten ja rekisteröityjen pyynnöt määräajassa (esim. REP27: 2 arkipäivän sisällä, Standard/Multi -paketeissa prioriteetti).
8. Uusiminen: Yksi päättymispäivä ja lasku helpottavat hallintaa. Huomioi irtisanomisaika.

Käytännön tarkistuslista:

1. Tunnista kohdemaat ja tarkista edustamisen tarve
2. Vertaa hintoja ja palveluita taulukon avulla
3. Tarkista rajoitukset, piilokustannukset ja poissuljetut palvelut
4. Valmistele yrityksen asiakirjat tarjoajan pyynnöstä
5. Täytä nimityslomake
6. Vastaanota ja arkistoi todistukset
7. Päivitä tietosuojaseloste
8. Seuraa edustajan välittämiä pyyntöjä

Riskit ja sanktiot: mitä tapahtuu, jos et nimeä edustajaa

Edustajan nimeämättä jättäminen, kun se on pakollista, altistaa yrityksen konkreettisille riskeille ja korkeille sanktioille. GDPR:n artikla 83 määrää sakkoja jopa 10 miljoonaan euroon tai 2 % maailmanlaajuisesta liikevaihdosta, riippuen kumpi on suurempi. Nimittämättä jättäminen on itsenäinen rikkomus, eikä tietoturvaloukkauksen tarvitse tapahtua, jotta sakko voidaan määrätä. Esimerkkinä Locatefamily.com sai 525 000 euron sakon Hollannin viranomaisilta pelkästään edustajan nimeämättä jättämisestä.

Lisäksi voi seurata:

• Tietojenkäsittelyn keskeytysmääräykset
• Välitön nimityspakko tiukkoine määräaikoineen
• Mainevahingot: sakon julkistaminen on yleistä
• Asiakkaiden ja liikekumppaneiden menettäminen, jotka vaativat vaatimustenmukaisuutta

Viranomaiset voivat toimia myös käyttäjien tai kilpailijoiden ilmoitusten perusteella. Muodollinen vaatimustenmukaisuus on siis välttämätöntä paitsi sanktioiden välttämiseksi, myös markkinoiden luottamuksen säilyttämiseksi.

Käytännön tilanteet: mikä velvollisuus ja ratkaisu sopii

• Yhdysvaltalainen SaaS, jolla on asiakkaita EU:ssa ja UK:ssa: On nimettävä kaksi erillistä edustajaa, yksi EU:lle ja yksi UK:lle. Tehokkain ratkaisu on valita tarjoaja, joka tarjoaa molemmat toimeksiannot yhdellä tilauksella (esim. REP27, GDPR Gateway, Prighter). Tämä vähentää kustannuksia, aikaa ja erillisten määräaikojen riskiä.
• Kiinalainen myyjä Amazon EU:ssa: Jos myy EU:n kuluttajille, on nimettävä EU-edustaja. Jos myy myös UK:ssa, tarvitaan myös UK-edustaja. Säästöä saa valitsemalla yhdistelmäpaketin erillisten sopimusten sijaan.
• UK-verkkokauppa, joka myy Ranskassa: Tarvitsee vain EU-edustajan, koska se on jo vakiintunut Isossa-Britanniassa. UK-edustajaa ei tarvita, jos ei tarjota palveluita tai seurata käyttäjiä UK:ssa.

Päätösmatriisi:

Nämä tilanteet auttavat tunnistamaan nopeasti velvollisuuden ja tehokkaimman ratkaisun.

Mitä tarjoajat yleensä eivät kerro: poissulkemiset, rajoitukset ja vastuut

Monet tarjoajat eivät korosta joitakin tärkeitä ehtoja:

• Toiminnan poissulkemiset: REP27 ei hyväksy asiakkaita, jotka käsittelevät arkaluonteisia tietoja (artikla 9), rikostietoja (artikla 10), alle 16-vuotiaille suunnattuja palveluita, laajamittaista seurantaa tai profilointia, tietovälitystä, uhkapelejä, kryptovaluuttoja, aseita, kuluttajalääkkeitä tai toimintoja, jotka vaativat asiakkaalta puuttuvia lupia.
• Vastuun rajaus: Edustaja ei tarjoa oikeudellista neuvontaa, ei ole tietosuojavastaava, ei vastaa pyyntöjen sisällöstä, vaan välittää ne asiakkaalle. Vastuu vaatimustenmukaisuudesta on yrityksellä.
• Irtisanomisaika: REP27 vaatii kirjallisen irtisanomisen vähintään 30 päivää ennen sopimuskauden päättymistä. Muilla tarjoajilla ei välttämättä ole selkeitä ehtoja.
• Lisäpyyntömaksut: Janus Compliance veloittaa £8 jokaisesta 50 pyynnön ylittävästä pyynnöstä. Muut tarjoajat eivät välttämättä ilmoita rajoituksia tai lisäkustannuksia.
• Art. 30 -rekisterin hallinta: Kaikki tarjoajat eivät pidä rekisteriä; jotkut tarjoavat sen vain edistyneissä paketeissa.

Ennen sopimuksen allekirjoittamista pyydä aina täydellinen lista poissulkemisista, rajoituksista sekä uusimis- ja irtisanomisehdoista.