Kuka tarvitsee EU:n tietosuojavastaavan? Tarjoajat & hinnat 2026

• DPO-velvollisuus: Julkiset toimijat tai laajamittainen valvonta/erityistiedot (artikla 37 GDPR)
• EU-edustaja artiklan 27 GDPR mukaan EU:n ulkopuolisille yrityksille, joilla on EU-asiakkaita tai käyttäjiä
• Sakot jopa 10 miljoonaa € tai 2 % maailmanlaajuisesta liikevaihdosta rikkomuksista (artikla 83 GDPR)
• REP27: EU-edustaja koko ETA-alueelle alkaen 290 €/vuosi, sisältäen sertifikaatin ym.
• Palvelun laajuus ja lisämaksut vaihtelevat merkittävästi tarjoajien välillä
• Kaikki eivät tarvitse DPO:ta tai EU-edustajaa – katso päätösmatriisi

Päivitetty 19 October 2026 · 6 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 19 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä GDPR vaatii? (Artiklat 27, 37, 83)

Tietosuoja-asetus (GDPR) erottaa kaksi keskeistä roolia: tietosuojavastaavan (DPO) ja EU-edustajan. Molemmat velvoitteet koskevat eri yrityksiä ja tilanteita:

• Tietosuojavastaava (DPO, artiklat 37–39): DPO on pakollinen julkisille toimijoille sekä yrityksille, joiden ydintoimintaan kuuluu laajamittainen, järjestelmällinen henkilötietojen valvonta tai erityisten henkilötietoryhmien (esim. terveystiedot, poliittiset mielipiteet) laajamittainen käsittely. DPO:n tehtävät on määritelty artiklassa 39, ja ne sisältävät neuvonnan, noudattamisen valvonnan, viranomaisten ja rekisteröityjen yhteyspisteenä toimimisen sekä avun tietosuojavaikutusten arvioinnissa.
• EU-edustaja (artikla 27): EU:n ulkopuoliset yritykset, jotka tarjoavat tavaroita tai palveluita EU:n henkilöille tai seuraavat EU-kansalaisten käyttäytymistä (esim. seuranta, analytiikka), on nimettävä kirjallinen EU-edustaja. Edustaja toimii yhteyspisteenä valvontaviranomaisille ja rekisteröidyille ja ylläpitää käsittelytoimien rekisteriä (artikla 30), jos palveluntarjoaja sen ottaa vastuulleen.

EU-edustajan nimittämisvelvollisuus ei koske, jos käsittely on satunnaista, ei sisällä erityistietoja eikä aiheuta riskiä rekisteröityjen oikeuksille ja vapauksille. DPO:n nimittäminen ei ole pakollista monille pienyrityksille, jos laajamittaista valvontaa tai erityistietojen käsittelyä ei ole.

Sakot: EU-edustajan nimittämättä jättäminen voi johtaa jopa 10 miljoonan euron tai 2 % maailmanlaajuisesta liikevaihdosta olevaan sakkoon (artikla 83, kohta 4). Esimerkiksi Alankomaiden valvontaviranomainen määräsi Locatefamily.comille 525 000 euron sakon puuttuvan EU-edustajan vuoksi.

DPO:n nimittämisvelvollisuus on artiklassa 37 (lähde), tehtävät artiklassa 39 (lähde) ja sakot artiklassa 83 (lähde).

Miten valita oikea tarjoaja? Keskeiset kriteerit & vertailu

Sopivan EU-edustajan tai DPO-palveluntarjoajan valinta on ratkaisevaa vaatimustenmukaisuuden kannalta. Tarjoukset eroavat merkittävästi palvelun laajuuden, vasteaikojen ja piilokulujen osalta. Tarkista seuraavat kriteerit:

• Hyväksyykö tarjoaja tehtävät artiklan 27 mukaisesti kirjallisesti? Todellinen toimeksianto edellyttää tehtävien ja velvollisuuksien nimenomaista hyväksyntää artiklan 27 mukaan. Pelkkä postilokero tai osoite ei riitä.
• Kuka ylläpitää artiklan 30 rekisteriä? GDPR edellyttää, että edustaja pitää käsittelytoimien rekisterin saatavilla pyynnöstä. Kaikki tarjoajat eivät ota tätä vastuuta.
• Vasteajat pyyntöihin: Kuinka nopeasti viranomaiset tai rekisteröidyt saavat vastauksen? ”Best-efforts”-lupaus ilman määräaikaa on riskialtis. Esimerkiksi REP27 takaa välityksen 2 arkipäivän sisällä (viranomaispyynnöissä samana päivänä).
• Kielet: Käsitelläänkö pyyntöjä useilla EU-kielillä? REP27 tarjoaa palvelupisteen 8 kielellä, monet aloitustarjoukset vain englanniksi.
• Lisämaksut: Sisältyvätkö kaikki palvelut hintaan vai veloitetaanko lisämaksuja pyynnöistä, kielistä tai rekisterin ylläpidosta?

Vertailu:

Pyydä aina nimityskirje ja varmista, että tehtävät artiklan 27 mukaisesti on nimenomaisesti hyväksytty. Pyydä palvelun laajuus ja kustannusrakenne kirjallisesti etukäteen.

Mitä hinta sisältää? Missä piilevät piilokulut?

EU-edustajien ja DPO-palveluiden hinnoittelumallit vaihtelevat paljon. Monet tarjoajat houkuttelevat alhaisilla aloitushinnoilla, mutta veloittavat jokaisesta rekisteröidyn tai viranomaisen pyynnöstä erikseen (tyypillisesti 25–90 € per pyyntö). Myös artiklan 30 rekisterin ylläpito veloitetaan usein erikseen (100–400 €/vuosi). REP27:n vakiotilauksessa kaikki pyynnöt sisältyvät hintaan, rekisteri pidetään ja piilokuluja ei ole. Tarkista erityisesti:

• Onko hinta per pyyntö vai kattaako se rajattoman määrän pyyntöjä
• Sisältyykö artiklan 30 rekisteri
• Kasvaako hinta jatkokaudella (REP27:n hinta laskee jatkokaudella)
• Maksetaanko lisämaksuja kielistä

Jotkut tarjoavat vain postiosoitteen ilman todellista lakisääteisten tehtävien hoitamista. Tämä ei ole GDPR:n mukaista ja voi johtaa sakkoihin. Seuraava taulukko havainnollistaa tyypillisiä hintaloukkuja:

Lue pienet präntit ja pyydä täydellinen palvelukuvaus ennen sitoutumista.

Miten nimitys tapahtuu? Vaiheittainen ohje & päätösmatriisi

EU-edustajan tai DPO:n nimitys sujuu luotettavilla tarjoajilla selkeän prosessin mukaisesti. Näin varmistat lainmukaisuuden:

1. Tarkista, tarvitsetko EU-edustajan tai DPO:n (katso alla oleva matriisi).
2. Vertaa tarjoajia ja pyydä nimityskirje tarkistettavaksi.
3. Täytä perehdytyslomake (yritystiedot, tietojenkäsittely, yhteyshenkilöt).
4. Saa allekirjoitus ja sertifikaatti (REP27:ssä 24 tunnin sisällä).
5. Julkaise edustajan yhteystiedot tietosuojaselosteessa (artiklat 13/14 GDPR).
6. Pidä artiklan 30 rekisteri saatavilla (tai anna tarjoajan ylläpitää).
7. Tarvittaessa tee ilmainen Sveitsin edustustarkastus (REP27).

Päätösmatriisi:

Tämä matriisi auttaa välttämään virheellisiä investointeja ja valitsemaan oikean vaatimustenmukaisuusratkaisun.

Tänään tehtävä tarkistuslista:

1. Tarkista, koskeeko sinua artikla 27 tai 37 GDPR:stä.
2. Vertaa vähintään kolmea tarjoajaa (palvelun laajuus, hinta, lisämaksut).
3. Pyydä nimityskirje ja varmista tehtävien hyväksyminen.
4. Kysy artiklan 30 rekisterin ylläpidosta ja vasteajoista.
5. Tilaa palvelu ja dokumentoi nimitys.
6. Päivitä tietosuojaseloste ja sisäiset prosessit.

Mitä tarjoajat usein eivät kerro: Poissulkemiset, irtisanominen, vastuu

Monet tarjoajat eivät markkinoinnissaan kerro tärkeitä yksityiskohtia, jotka ovat ratkaisevia ongelmatilanteissa:

• Ei oikeudellista neuvontaa: EU-edustaja ei saa antaa oikeudellista neuvontaa edustustehtävän yhteydessä. Oikeudellisiin kysymyksiin tarvitaan erillinen lakimies tai DPO.
• Vastuu jää tilaajalle: Artiklan 27(5) mukaan vastuu tietosuojarikkomuksista on aina rekisterinpitäjällä tai käsittelijällä. Edustaja on vain yhteyspiste eikä vastaa tilaajan virheistä.
• Irtisanomisaika ja automaattinen jatko: Irtisanomisehdot vaihtelevat. REP27:ssä irtisanominen on mahdollista 30 päivää ennen jatkoa. Tarkista, miten pyyntöjen ja rekisterien siirto hoidetaan.
• Per-pyyntö-maksut: Monet tarjoajat veloittavat lisämaksuja rekisteröityjen tai viranomaisten pyynnöistä, jotka ovat pienessä präntissä. REP27 Standard ja Multi sisältävät kaikki pyynnöt.
• Kielet ja palvelupiste: EU-laajuisesti mainostettu palvelu on usein vain englanniksi. REP27 tarjoaa palvelupisteen 8 kielellä, mikä helpottaa lakisääteisten vaatimusten täyttämistä.
• Ei erityisen tuotteen vastuuta: GPSR-vastuuhenkilön tai CE-valtuutetun edustajan rooli sisältyy vain REP27 Multi -pakettiin, ei peruspakettiin.

Lue ehdot ja nimityskirje huolellisesti. Varmista, että tarjoaja takaa asiakirjojen siirron palveluntarjoajaa vaihdettaessa.

Kolme realistista skenaariota: Näin täytät velvollisuuden oikein

1. Yhdysvaltalainen SaaS-palveluntarjoaja EU-asiakkailla: Yhdysvaltalainen ohjelmistoyritys tarjoaa pilvipalvelua EU-asiakkaille. Se ei käsittele erityistietoja, mutta valvoo käyttäjien toimintaa (esim. kirjautumiset, käyttötilastot). Tuloksena: EU-edustaja artiklan 27 mukaan on pakollinen. DPO tarvitaan vain laajamittaisessa valvonnassa tai erityistietojen käsittelyssä. Edullisin ja lainmukainen ratkaisu: REP27 Standard – kaikki pyynnöt sisältyvät, rekisteri pidetään, palvelupiste 8 kielellä.
2. Kiinalainen Amazon-myyjä: Kiinalainen myyjä myy Amazon.de:n kautta EU-asiakkaille. Hän tarvitsee EU-edustajan (artikla 27) ja tarvittaessa GPSR-vastuuhenkilön tuoteturvallisuuteen. DPO ei ole pakollinen, kunhan ei ole laajamittaista valvontaa tai erityistietoja. Täydellinen ratkaisu: REP27 Multi – EU-edustaja ja GPSR-vastuuhenkilö samassa sopimuksessa, yksi yhteyshenkilö, yksi sertifikaatti.
3. Brittiläinen verkkokauppa ilman EU-asiakkaita: Brittiläinen verkkokauppa myy vain Iso-Britannian asiakkaille eikä käsittele EU-kansalaisten tietoja. Tuloksena: Ei velvollisuutta nimetä EU-edustajaa tai DPO:ta. Velvollisuus syntyy vasta, jos kohdistetaan EU-asiakkaisiin tai toimitetaan EU:hun.

Nämä skenaariot osoittavat, kuinka tärkeää oman liiketoimintamallin tarkistus on. Jos kohdistat EU-asiakkaisiin tai seuraat heidän käyttäytymistään, sinun on nimettävä EU-edustaja – yrityksen koosta riippumatta.