Kuka tarvitsee GDPR-edustajan EU:ssa?

• GDPR:n 27 artikla edellyttää useimmilta EU:n ulkopuolisilta EU-henkilötietoja käsitteleviltä yrityksiltä EU-edustajan nimeämistä.
• Poikkeukset: satunnainen, vähäriskinen käsittely tai kansalliseen turvallisuuteen/puolustukseen liittyvät toimet.
• Edustajan on oltava perustettu EU:n jäsenvaltioon, jossa rekisteröidyt sijaitsevat.
• Yhteystiedot on annettava rekisteröidyille ja viranomaisille.
• Laiminlyönnistä voi seurata jopa 10 miljoonan euron tai 2 % maailmanlaajuisesta liikevaihdosta oleva sakko.
• Palveluntarjoajilla on erilaisia palvelutasoja: pelkkä osoite, täysi valtuutus tai oikeudellinen neuvonta.
• Hinnoittelu vaihtelee suuresti; piilokulut kuten pyyntökohtaiset tai uusimismaksut ovat yleisiä.

Päivitetty 16 October 2026 · 8 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 16 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä GDPR:n 27 artikla vaatii

GDPR:n 27 artikla asettaa selkeän velvoitteen: jokaisen EU:n ulkopuolella olevan rekisterinpitäjän tai käsittelijän, johon sovelletaan 3 artiklan 2 kohtaa (tarjoaa tavaroita tai palveluja EU:n yksilöille tai seuraa heidän käyttäytymistään), on nimettävä kirjallisesti EU-edustaja ennen henkilötietojen käsittelyn aloittamista. Tämä sääntö varmistaa, että EU:n rekisteröidyillä ja valvontaviranomaisilla on paikallinen yhteyspiste tietosuojakysymyksissä, vaikka yritys olisi EU:n ulkopuolella.

On olemassa tärkeitä poikkeuksia. 27 artikla ei koske, jos:

• Käsittely on vain satunnaista, ei sisällä laajamittaista erityisten tietoryhmien käsittelyä, eikä todennäköisesti aiheuta riskiä rekisteröityjen oikeuksille ja vapauksille.
• Toiminta liittyy kansalliseen turvallisuuteen tai puolustukseen.

Edustajan on oltava perustettu yhdessä EU:n jäsenvaltiossa, jossa käsiteltävien rekisteröityjen tiedot sijaitsevat. Nimitys on tehtävä kirjallisesti ja edustajalla on oltava valtuudet toimia puolestasi GDPR-velvoitteissa. Edustajan yhteystiedot on annettava sekä rekisteröidyille että valvontaviranomaisille ja julkaistava tietosuojaselosteessa.

Laiminlyönti on itsenäinen rikkomus 83 artiklan 4 kohdan a alakohtaan perustuen, josta voi seurata jopa 10 miljoonan euron tai 2 % maailmanlaajuisesta liikevaihdosta oleva sakko. Hollannin viranomainen sakotti Locatefamily.comia 525 000 eurolla tästä rikkomuksesta. Edustaja ei ole suoja: 27 artiklan 5 kohta selventää, että edustajan nimeäminen ei estä toimenpiteitä yritystä itseään vastaan.

• Sisältyy / Ei sisälly / Lisämaksut -taulukko

Miten valita GDPR-edustaja

Oikean GDPR-edustajan valinta on ratkaisevaa vaatimustenmukaisuuden ja toiminnan tehokkuuden kannalta. Palveluntarjoajilla on kolme pääpalvelutasoa:

• Taso 1: Pelkkä osoite – Yksinkertainen postin edelleenlähetyspalvelu. Ei valtuutusta, ei rekistereitä, ei GDPR-spesifisiä velvoitteita. Halvin, mutta ei täytä 27 artiklan vaatimuksia.
• Taso 2: Nimitys – Kirjallinen valtuutus, sertifikaatti, pyyntöjen käsittely ja 30 artiklan rekisterien hallinta. Tämä vastaa 27 artiklan vaatimuksia: palveluntarjoaja hyväksyy roolin ja vastuut kirjallisesti, pitää rekistereitä ja sitoutuu välittämään pyynnöt määräajassa.
• Taso 3: Oikeudellinen neuvonta – Asianajotoimisto toimii edustajana ja tarjoaa lisäksi oikeudellista neuvontaa. Tämä on kallista ja tarpeen vain, jos haluat jatkuvaa oikeudellista neuvontaa, joka ei kuulu 27 artiklan rooliin.

Vertailussa kysy:

• Hyväksyykö valtuutus nimenomaisesti 27 artiklan tehtävät?
• Kuka pitää 30 artiklan rekisterin ja miten se toimitetaan viranomaisille?
• Mikä on vastausaika viranomaisten pyyntöjen välittämisessä?
• Onko pyyntökohtaisia tai uusimismaksuja?
• Onko monikielistä tukea saatavilla?

Jotkut, kuten REP27, antavat allekirjoitetun nimityskirjeen ja sertifikaatin 24 tunnin sisällä, monikielisen tuen ja eivät veloita pyyntökohtaisia maksuja Standard- ja Multi-suunnitelmissa. Toiset voivat veloittaa pyyntökohtaisesti tai tarjota vain edelleenlähetysosoitteen, mikä ei täytä GDPR-vaatimuksia.

Päätöstaulukko:

Pyydä aina palveluntarjoajan nimitysmalli ennen maksua. Jos siinä ei luetella ja hyväksytä 27 artiklan tehtäviä, et osta vaatimustenmukaista palvelua.

Mitä hinta todella sisältää

GDPR-edustajapalveluiden hinnat vaihtelevat alle 300 eurosta yli 2000 euroon vuodessa. Tämä vaihtelu heijastaa tarjotun palvelun laajuutta. Alhainen hinta voi kattaa vain postiosoitteen, kun taas korkeampi maksu sisältää täyden valtuutuksen, pyyntöjen käsittelyn ja rekisterien hallinnan. Tarkista tärkeimmät sisällöt:

• Kirjallinen hyväksyntä 27 artiklan tehtäville: Palveluntarjoajan on virallisesti hyväksyttävä rooli ja velvoitteet kirjallisesti.
• Sertifikaatti ja julkinen varmistus: Vahvistettava sertifikaatti lisää luottamusta asiakkaille, tarkastajille ja viranomaisille. REP27 tarjoaa QR-koodatun sertifikaatin ja julkisen varmistussivun.
• Monikielinen pyyntöjen käsittely: Välttämätön koko EU:n kattavuuteen. REP27 tarjoaa 8 kieltä Standard-suunnitelmasta alkaen.
• 30 artiklan rekisterien hallinta: Palveluntarjoajan tulisi pitää ja toimittaa rekisterit viranomaisille. Tämä sisältyy REP27:n Standard- ja Multi-suunnitelmiin.
• Pyyntökohtaiset maksut tai uusimisen hinnankorotukset: Jotkut veloittavat 25–90 euroa per rekisteröidyn pyyntö tai korottavat hintoja toisen vuoden jälkeen. REP27:n Standard-suunnitelmassa ei ole pyyntökohtaisia maksuja ja uusimishinnat laskevat toisesta vuodesta alkaen.

Vertaa, mitä kukin suunnitelma sisältää, älä pelkkää hintaa. Esimerkiksi REP27:n Perus-suunnitelma kattaa enintään 10 pyyntöä vuodessa, kun taas Standard ja Multi tarjoavat rajattomasti pyyntöjä ja rekisterien hallinnan. Monet kilpailijat eivät julkaise täydellisiä tietoja tai vaativat pyyntöä.

Pyydä aina kirjallisesti toisen vuoden uusimishinta, sillä alennushinnat ovat yleisiä. Yrityksille, jotka tarvitsevat sekä EU- että UK-edustusta, jotkut tarjoavat molemmat palvelut, usein alennuksella.

Piilokulut ja poissulkemiset

Monet palveluntarjoajat mainostavat alhaisia vuosimaksuja, mutta lisäävät merkittäviä kuluja välttämättömistä palveluista. Yleisiä piilokuluja ovat:

• Rekisteröidyn pyyntökohtaiset maksut: Jotkut veloittavat 25–90 euroa per pyyntö, mikä voi nopeasti ylittää vuosimaksun, jos pyyntöjä tulee useita kuukaudessa.
• Käyttöönotto- tai aloitusmaksut: Kertamaksut 0–250 euroa ovat yleisiä. REP27 sisällyttää käyttöönoton vuosimaksuun.
• Lisäkielituki: Perussuunnitelmat kattavat usein vain englannin. REP27:n Standard- ja Multi-suunnitelmat sisältävät 8 kieltä.
• 30 artiklan rekisterien hallinta: Jotkut veloittavat 100–400 euroa vuodessa rekisterien pitämisestä ja toimittamisesta. REP27 sisällyttää tämän Standard- ja Multi-suunnitelmiin.
• Uusimishintojen korotukset: Monet korottavat hintoja ensimmäisen vuoden jälkeen. REP27:n uusimismaksut laskevat 240/390/690 euroon toisesta vuodesta alkaen.

Oikeudellinen neuvonta, tietosuojavastaavan palvelut ja auditoinnit eivät sisälly REP27:ään tai useimpiin kilpailijoihin. REP27 ei vastaa pyyntöihin sisällöllisesti, vaan välittää ne sinulle. Nimitys ei estä suoraa valvontaa yritystäsi kohtaan.

Palveluntarjoajat harvoin korostavat näitä poissulkemisia ja lisämaksuja markkinoinnissaan. Lue aina nimityssopimus ja palveluehdot huolellisesti ennen allekirjoitusta. Kysy erityisesti pyyntökohtaisten maksujen, uusimishintojen ja palvelun muutosten tai lopettamisen vaikutuksista.

Nimityksen kulku: askel askeleelta

1. Arvioi soveltuvuus: Selvitä, oletko EU:n ulkopuolinen rekisterinpitäjä tai käsittelijä, johon sovelletaan GDPR:n 3 artiklan 2 kohtaa (tarjoat tavaroita/palveluja tai seuraat EU:n yksilöitä).
2. Tunnista kohdemaat: Listaa EU:n jäsenvaltiot, joissa rekisteröidyt sijaitsevat. Edustajan on oltava perustettu ainakin yhdessä näistä maista.
3. Lyhennä palveluntarjoajaluettelo: Vertaa palveluntarjoajien julkaistuja palveluita, hintoja ja ehtoja. Pyydä nimitysmalli varmistaaksesi 27 artiklan velvoitteiden kattavuuden.
4. Tarkista piilokulut: Kysy pyyntökohtaisista maksuista, käyttöönottohinnoista, kielituesta ja uusimishinnoista.
5. Suorita käyttöönotto: Täytä palveluntarjoajan lomake, anna yrityksen tiedot, käsittelyn laajuus ja yhteystiedot.
6. Vastaanota allekirjoitettu nimitys: Palveluntarjoaja tarkastaa tiedot ja antaa allekirjoitetun nimityskirjeen (REP27: 24 tunnin sisällä). Saat myös sertifikaatin ja vahvistuskoodin.
7. Päivitä tietosuojaseloste: Lisää edustajan nimi, osoite ja yhteystiedot tietosuojaselosteeseen 13 artiklan 1 kohdan a alakohdan mukaisesti.
8. Säilytä vaatimustenmukaisuustiedot: Pidä allekirjoitettu nimitys, sertifikaatti ja 30 artiklan rekisteri auditointeja varten. Älä julkaise koko nimitystä tai kaupallisia ehtoja.
9. Jatkuva toiminta: Palveluntarjoaja kirjaa ja välittää rekisteröityjen ja viranomaisten pyynnöt sovitussa ajassa. REP27:n osalta tämä on kahden työpäivän sisällä (tai saman päivän aikana viranomaisille Standard/Multi-suunnitelmissa).
10. Uusiminen tai lopettaminen: Seuraa uusimispäiviä ja irtisanomisehtoja. REP27 sallii peruutuksen ennen uusimista ja antaa kirjallisen vahvistuksen.

Tämä prosessi varmistaa 27 artiklan vaatimusten täyttymisen ja valmiuden auditointeihin tai viranomaiskyselyihin.

Riskejä ja sakkoja laiminlyönnistä

EU-edustajan nimeäminen ei ole vapaaehtoista useimmille EU:n ulkopuolisille EU-henkilötietoja käsitteleville yrityksille. Laiminlyönnin riskit ovat merkittäviä:

• Irtisanottu rikkomus: Edustajan nimeämättä jättäminen on rikkomus GDPR:n 83 artiklan 4 kohdan a alakohtaan perustuen, riippumatta tietomurrosta.
• Sakot: Valvontaviranomaiset voivat määrätä sakkoja jopa 10 miljoonaa euroa tai 2 % maailmanlaajuisesta vuosiliikevaihdosta, kumpi on suurempi. Esimerkiksi Locatefamily.com sai 525 000 euron sakon Hollannissa edustajan nimeämättä jättämisestä.
• Suora täytäntöönpano: Edustajan nimeäminen ei suojaa yritystäsi täytäntöönpanolta tai vastuulta. Viranomaiset voivat silti toimia suoraan yritystäsi vastaan (27 artikla 5 kohta).
• Toiminnallinen riski: Ilman edustajaa et välttämättä pysty vastaamaan rekisteröityjen pyyntöihin tai viranomaiskyselyihin ajoissa, mikä johtaa lisäsakkoihin ja mainehaittoihin.

Vähennä riskejä varmistamalla, että palveluntarjoaja antaa allekirjoitetun nimityksen, pitää 30 artiklan rekisterin (jos vaaditaan) ja sitoutuu välittämään pyynnöt määräajassa. Säilytä kaikki dokumentit auditointeja varten. Jos palveluntarjoaja ei voi toimia puolestasi (esim. kiellettyjen toimintojen vuoksi), sen tulee palauttaa maksusi kokonaisuudessaan ja antaa kirjallinen vahvistus, kuten REP27 tekee.

Mitä palveluntarjoajat yleensä eivät kerro

Monet GDPR-edustajapalveluntarjoajat eivät täysin paljasta palvelujensa rajoituksia ja poissulkemisia. Yleisiä puutteita ovat:

• Pelkkä postin edelleenlähetys: Jotkut peruspalvelut ovat vain postiosoite, eivät todellinen 27 artiklan valtuutus. Nämä eivät täytä GDPR-vaatimuksia.
• Pyyntökohtaiset maksut: Alhaiset vuosimaksut voivat piilottaa korkeat pyyntökohtaiset maksut, mikä tekee palvelusta kalliin, jos pyyntöjä tulee paljon.
• Rekistereitä ei pidetä: Jotkut eivät pidä 30 artiklan rekisteriä, joka on vaadittu vaatimustenmukaisuuteen. Tarkista aina, kuka pitää ja toimittaa rekisterin.
• Automaattiset uusimiset ja hinnankorotukset: Monet korottavat hintoja ensimmäisen vuoden jälkeen tai uusivat automaattisesti ilman selkeää ilmoitusta. Pyydä aina kirjallinen hinta toiselle vuodelle.
• Vastuuvapaus: Edustaja ei ole vastuussa GDPR-rikkomuksista. 27 artiklan 5 kohta selventää, että yritys on edelleen vastuussa.
• Lopettaminen ja siirto: Tarkista, mitä tapahtuu vireillä oleville pyynnöille ja rekistereille, jos vaihdat tai lopetat palvelun. REP27 määrittelee kirjalliset vahvistukset ja siirtomenettelyt.

Lue aina palvelukuvaus ja nimityssopimus huolellisesti. Pyydä kaikki ehdot kirjallisesti ennen sitoutumista ja selvitä, mitä sisältyy, mitä ei ja mitkä ovat lisämaksut.

Tarkistuslista: Näin nimeät GDPR-edustajan tänään

1. Vahvista, oletko EU:n ulkopuolinen rekisterinpitäjä tai käsittelijä, johon sovelletaan 3 artiklan 2 kohtaa GDPR:ssä.
2. Tunnista EU-maat, joissa rekisteröidyt sijaitsevat.
3. Lyhennä palveluntarjoajaluettelo, joka tarjoaa kirjallisen 27 artiklan valtuutuksen.
4. Pyydä ja tarkista nimitysmalli.
5. Tarkista piilokulut ja uusimisehdot.
6. Suorita käyttöönotto ja vastaanota allekirjoitetut asiakirjat.
7. Päivitä tietosuojaseloste edustajan yhteystiedoilla.
8. Säilytä allekirjoitettu nimitys ja sertifikaatti auditointeja varten.
9. Varmista, että 30 artiklan rekisteri pidetään ja on saatavilla tarvittaessa.
10. Seuraa uusimispäiviä ja irtisanomisehtoja ei-toivottujen kulujen välttämiseksi.

Tämän tarkistuslistan noudattaminen auttaa saavuttamaan ja ylläpitämään vaatimustenmukaisuuden, välttämään sakot ja vastaamaan tehokkaasti rekisteröityjen ja viranomaisten pyyntöihin.

Todelliset tilanteet: kuka tarvitsee mitä?

• Yhdysvaltalainen SaaS, joka myy EU:n yrityksille ja kuluttajille: On nimettävä EU-edustaja 27 artiklan mukaan. REP27:n Standard-suunnitelma kattaa kaikki vaatimukset: kirjallinen valtuutus, rajaton pyyntöjen välitys, rekisterien hallinta ja monikielinen tuki. Perus-suunnitelma sopii pienelle volyymille, mutta Standard on suositeltava useimmille SaaS-yrityksille.
• Kiinalainen Amazon-myyjä, joka listaa EU-markkinoilla: Tarvitsee sekä EU:n GDPR-edustajan (tietosuoja) että tuoteturvallisuuden vastuuhenkilön (GPSR). REP27:n Multi-suunnitelma kattaa molemmat roolit yhdellä tilauksella ja yhdellä uusimispäivällä, helpottaen vaatimustenmukaisuutta Amazon-, Etsy- tai eBay-myyjille.
• Brittiläinen verkkokauppa, jolla on EU-asiakkaita: Brexitin jälkeen UK-yritysten, jotka tarjoavat tavaroita tai palveluja EU:hun, on nimettävä EU-edustaja. REP27:n Perus- tai Standard-suunnitelma sopii, riippuen pyyntöjen määrästä ja rekisterien hallinnan tarpeesta. Jos myyt myös CE-merkittyjä tuotteita, harkitse Multi-suunnitelmaa yhdistettyyn edustukseen.

Jokaisessa tilanteessa yksinkertaisin vaatimustenmukainen tapa on valita palveluntarjoaja, joka antaa allekirjoitetun valtuutuksen, pitää rekisterisi (jos vaaditaan) ja tarjoaa selkeät, varmennettavat dokumentit auditointeja ja asiakkaita varten.