Kuinka paljon maksaa laillisen edustajan nimittäminen ei-eurooppalaisille datankäsittelypalveluita tarjoaville yrityksille?

• Velvollisuus EU:n ulkopuolisille yrityksille, jotka käsittelevät EU:n asukkaiden tietoja (GDPR Art. 27)
• Julkaistut vuosihinnat: 290–1 500 EUR
• REP27 kattaa kaikki 27 EU-maata + ETA ilman lisämaksua
• Virallinen nimitys 24 tunnin sisällä (REP27)
• Sakot jopa 10 miljoonaa euroa tai 2 % liikevaihdosta nimittämättä jättämisestä

Päivitetty 23 October 2026 · 9 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 23 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lain vaatimukset: GDPR:n artikla 27 ja Data Act

GDPR:n artikla 27 määrää, että jokaisen EU:n ulkopuolisen yrityksen, joka tarjoaa palveluita tai tuotteita EU:n asukkaille tai seuraa heidän käyttäytymistään, on nimettävä laillinen edustaja unionissa. Tämä edustaja toimii yhteyspisteenä tietosuojaviranomaisille ja rekisteröidyille, ja nimitys on tehtävä kirjallisesti. Edustajan on oltava sijoittautunut johonkin jäsenvaltioon, jossa rekisteröidyt sijaitsevat, ja ylläpidettävä käsittelytoimintojen rekisteriä (Art. 30 GDPR). Data Act, joka koskee datankäsittelypalvelujen tarjoajia (pilvi, SaaS, IoT), edellyttää EU-edustajan nimittämistä, jos palveluntarjoajalla ei ole toimipaikkaa unionissa. Nimittämättä jättäminen on itsenäinen rikkomus, josta voi seurata jopa 10 miljoonan euron sakot tai 2 % vuotuisesta maailmanlaajuisesta liikevaihdosta GDPR:n artiklan 83 mukaisesti. Viranomaiset voivat ottaa suoraan yhteyttä edustajaan tutkimuksia tai pyyntöjä varten.

Datankäsittelypalveluita tarjoavien yritysten on nimettävä laillinen edustaja sekä GDPR:n että Data Actin mukaan, jos ne toimivat EU-markkinoilla. Yritykset, jotka eivät käsittele EU:n asukkaiden henkilötietoja tai tarjoa palveluita unionin alueella, eivät ole velvollisia nimittämään edustajaa.

Miten valita oikea palveluntarjoaja

EU:n laillisen edustajan valinta tulee perustua käytännöllisiin ja läpinäkyviin kriteereihin. On olennaista varmistaa, että palveluntarjoaja kattaa kaikki 27 EU-maata ja ETA-alueen ilman lisäkustannuksia, kuten REP27 tekee. Nimitysnopeus on toinen tärkeä tekijä: REP27 toimittaa nimityskirjeen 24 tunnin sisällä, kun taas muut eivät aina ilmoita aikatauluja. On tärkeää kysyä yksityiskohtia siitä, miten rekisteröityjen ja viranomaisten pyynnöt hoidetaan, ja onko dokumentaatio monikielistä (REP27 tarjoaa tietosuojaselosteen kahdeksalla pääkielellä).

Muita arvioitavia seikkoja ovat varmennettavien sertifikaattien saatavuus, Art. 30 -rekisterien hallinta, ilmainen Sveitsin arviointi (sisältyy REP27:ään) sekä mahdolliset rajoitukset työntekijämäärässä tai käsiteltävissä tiedoissa (kuten Brace Solutions). Kysy aina, onko lisämaksuja lisäpalveluista tai peruspaketin ulkopuolisista pyynnöistä.

• Tarkista maantieteellinen kattavuus (kaikki 27 EU-maata ja ETA?)
• Varmista nimityksen nopeus (REP27: 24 tunnissa)
• Kysy yksityiskohdat pyyntöjen hallinnasta ja kielituesta
• Arvioi varmennettavien sertifikaattien ja monikielisen dokumentaation saatavuus
• Kysy, sisältyykö palveluihin lisäpalveluja kuten Sveitsin arviointi

Mitä hinta todella sisältää

Palveluntarjoajien ilmoittamat hinnat kattavat yleensä virallisen nimityksen EU-edustajaksi, rekisteröityjen ja viranomaisten pyyntöjen hallinnan sekä käsittelytoimintojen rekisterin ylläpidon (Art. 30 GDPR). Esimerkiksi REP27 tarjoaa täyden kattavuuden kaikissa 27 EU-maassa ja ETA:ssa ilman lisämaksuja, digitaalisesti allekirjoitetun nimityskirjeen, QR-koodilla varmennettavan sertifikaatin, kahdeksankielisen tietosuojaselosteen, pyyntöjen käsittelyn kahden työpäivän sisällä sekä ilmaisen Sveitsin arvioinnin (Art. 14 nFADP). VeriSure Compliance puolestaan sisältää myös seurannan, hälytykset, vuosikatsauksen ja osoitteen edustajalle.

Brace Solutions rajoittaa palvelunsa pienyrityksiin (enintään 50 työntekijää ja 2 000 rekisteröityä), kun taas DataShield mainitsee julkisen yhteystietosivun ja pyyntöjen hallinnan. Monet palveluntarjoajat eivät erittele, mitä hinta sisältää tai ei sisällä, joten yksityiskohtainen palveluluettelo on tärkeä pyytää ennen sopimuksen allekirjoittamista. Esimerkiksi Sveitsin edustus ei sisälly REP27:n palveluun, jos se on pakollinen, mutta arviointi tarjotaan ilmaiseksi.

Sisältö- ja poissulkemistaulukko:

Piilokustannukset ja tyypilliset rajoitukset

Monet palveluntarjoajat eivät selkeästi ilmoita, onko lisäkustannuksia pyyntöjen käsittelystä peruspaketin ulkopuolella, tietosuojadokumenttien päivityksistä tai räätälöidyistä palveluista. Esimerkiksi REP27 sisällyttää viranomaisten ja rekisteröityjen pyyntöjen käsittelyn kahden työpäivän sisällä, mutta Sveitsin edustus on poissuljettu, jos se on pakollinen (arviointi on kuitenkin ilmainen). Brace Solutions rajoittaa palvelunsa enintään 50 työntekijään ja 2 000 rekisteröityyn, kun taas muut palveluntarjoajat eivät ilmoita rajoja tai kynnysarvoja.

Jotkut palveluntarjoajat saattavat veloittaa lisämaksuja esimerkiksi:

• Erityisen monimutkaisista viranomaispyynnöistä
• Tietosuojadokumenttien tarkistuksista tai päivityksistä
• Suuresta määrästä rekisteröityjen pyyntöjä
• EU:n ulkopuolisesta edustuksesta (esim. Sveitsi)

On tärkeää aina pyytää yksityiskohtainen palveluluettelo ja mahdolliset lisämaksut ennen sopimuksen allekirjoittamista. Läpinäkyvyys kustannuksissa on olennaista ylläpitääksesi vaatimustenmukaisuutta ilman yllätyksiä tai riskejä sanktioista tai toiminnan keskeytyksistä.

Rajoitukset ja lisäkustannukset -taulukko:

Nimitysprosessi: vaihe vaiheelta

EU:n laillisen edustajan nimitysprosessi etenee tarkasti, mikä on olennaista vaatimustenmukaisuuden varmistamiseksi ja sakkojen riskin vähentämiseksi:

1. Velvollisuuden arviointi: Tarkista, tarjoatko palveluita tai tuotteita EU:n asukkaille tai seuraatko heidän käyttäytymistään, ja käsitteletkö henkilötietoja.
2. Palveluntarjoajan valinta: Vertaa saatavilla olevia palveluntarjoajia, tarkista hinnat, sisältyvät palvelut, nimitysajat ja maantieteellinen kattavuus.
3. Palvelupyynnön tekeminen: Täytä valitun palveluntarjoajan verkkolomake ja anna pyydetyt tiedot (yritystiedot, käsittelytoiminnot, yhteystiedot).
4. Virallinen nimitys: Saat nimityskirjeen (REP27: digitaalisesti allekirjoitettu, QR-koodilla varmennettu sertifikaatti), allekirjoita ja arkistoi se.
5. Tietosuojakäytännön päivittäminen: Lisää EU-edustajan tiedot tietosuojakäytäntöön ja kaikkiin GDPR:n edellyttämiin asiakirjoihin (esim. Art. 13/14 tiedot).
6. Pyyntöjen hallinta: Edustaja vastaanottaa ja käsittelee rekisteröityjen ja viranomaisten pyynnöt, välittäen ne yritykselle määräajassa.

Käytännön tarkistuslista:

1. Analysoi EU-asiakaskunta ja henkilötietovirrat
2. Varmista, kuuluuko toiminta velvollisuuden piiriin
3. Vertaa palveluntarjoajia ja julkaistuja hintoja
4. Pyydä yksityiskohtainen tarjous
5. Suorita nimitys ja päivitä tietosuojadokumentit
6. Säilytä nimityskirje ja sertifikaatti
7. Tarkista säännöllisesti kattavuus ja vaatimustenmukaisuus

Riskit ja sanktiot nimittämättä jättämisestä

EU:n laillisen edustajan nimittämättä jättäminen aiheuttaa konkreettisia oikeudellisia ja toiminnallisia riskejä. GDPR:n artiklan 83 mukaan sakot voivat nousta jopa 10 miljoonaan euroon tai 2 %:iin maailmanlaajuisesta vuosiliikevaihdosta, sen mukaan kumpi on suurempi. Esimerkkinä Locatefamily.com, jolle määrättiin 525 000 euron sakko pelkästään nimittämättä jättämisestä, osoittaa, että eurooppalaiset viranomaiset soveltavat sääntöä myös ilman muita rikkomuksia.

Sakkojen lisäksi nimittämättä jättäminen voi johtaa:

• Toiminnan keskeytyksiin: viranomaiset voivat määrätä käsittelytoimien tai liiketoiminnan keskeyttämisen EU:ssa
• Mainehaittoihin: sakkojen julkistaminen voi vahingoittaa yrityksen mainetta
• Asiakaskadon riskiin: monet EU-yritykset vaativat nimityksen todistamisen ennen sopimusten tekemistä

Laillinen edustaja toimii suoraan yhteyshenkilönä rekisteröityjen ja viranomaisten pyyntöihin. Vastaamattomuus tai puutteellinen pyyntöjen käsittely voi pahentaa yrityksen asemaa tutkinnan aikana.

Riskitaulukko:

Mitä palveluntarjoajat eivät yleensä kerro

Monet palveluntarjoajat eivät korosta EU:n laillisen edustajan palvelun kriittisiä seikkoja:

• Edustajan nimitys ei vapauta yritystä GDPR:n mukaisesta vastuusta. Edustaja on vain välikäsi, ei rekisterinpitäjä tai käsittelijä.
• Nimityksen on oltava aina ajan tasalla ja kirjallisesti dokumentoitu. Palveluntarjoajan vaihtaminen edellyttää tietosuojakäytännön päivittämistä ja tarvittaessa viranomaisten tiedottamista.
• Jotkut tarjoajat asettavat rajoituksia työntekijämäärälle, rekisteröityjen määrälle tai käsiteltävien tietojen määrälle (esim. Brace Solutions), mikä voi sulkea pois kasvavia yrityksiä.
• Lisäpalvelut, kuten Sveitsin edustus, eivät sisälly REP27:n palveluun, jos ne ovat pakollisia, mutta ilmainen arviointi tarjotaan.
• Vastausaika rekisteröityjen ja viranomaisten pyyntöihin vaihtelee palveluntarjoajittain; REP27 takaa 2 työpäivän käsittelyn, muut eivät välttämättä ilmoita.
• Varmennettavien sertifikaattien ja monikielisten tietosuojaselosteiden saatavuus ei ole taattu kaikilla palveluntarjoajilla.
• Palveluntarjoajat eivät ole vastuussa asiakkaan yrityksen vaatimustenmukaisuuden puutteista: viime kädessä vastuu on aina yrityksellä itsellään.

3 käytännön skenaariota: velvoite ja ratkaisu

• USA:n SaaS-yritys, jolla on EU-asiakkaita: Yhdysvaltalaisen SaaS-yrityksen, joka tarjoaa palveluita EU-asiakkaille, on nimettävä EU-edustaja GDPR:n Art. 27 ja Data Actin mukaisesti. Helpoin ratkaisu on valita palveluntarjoaja kuten REP27, joka takaa ETA-kattavuuden, nopean nimityksen ja monikielisen dokumentaation.
• Kiinalainen myyjä Amazon EU:ssa: Kiinalaisen myyjän, joka myy tuotteita Amazonissa EU-asiakkaille, on nimettävä EU-edustaja, jos se käsittelee henkilötietoja (esim. toimitukset, asiakaspalvelu). Sopiva palveluntarjoaja on kokenut verkkokaupassa ja tarjoaa selkeät hinnat; edustus on pakollinen myös markkinapaikan kautta myytäessä.
• UK:n B2B-verkkokauppa: Britannialainen verkkokauppa, joka myy vain EU-yrityksille eikä käsittele henkilötietoja, ei ole velvollinen nimittämään edustajaa. Jos kuitenkin käsitellään henkilötietoja (esim. yritysten yhteyshenkilöt), nimitysvelvollisuus astuu voimaan ja EU-edustaja on nimettävä.

Päätösmatriisi: