Mitkä yritykset EU:ssa tarvitsevat GDPR-edustajan?

• Velvollisuus EU:n ulkopuolisille yrityksille, jotka käsittelevät EU:n henkilöiden tietoja (art. 3(2), 27 GDPR)
• Poikkeukset: julkiset viranomaiset, satunnainen/ei laajamittainen käsittely ilman suuria riskejä (art. 27(2))
• Sakot jopa 10 miljoonaa € tai 2 % globaalista liikevaihdosta (art. 83(4)(a))
• Edustaja toimii yhteyshenkilönä viranomaisille ja rekisteröidyille (art. 4(17))
• Julkaistut vuosihinnat: 290 € - yli 1 000 € (lokakuu 2026)
• Palvelut ja kustannukset vaihtelevat: huomioi lisäpyynnöt, kielet ja uusinnat

Päivitetty 18 October 2026 · 6 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 18 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lainsäädännön vaatimukset: GDPR:n keskeiset artiklat

EU-edustajan nimeämisvelvollisuus perustuu GDPR:n 27 artiklaan, joka koskee kaikkia rekisterinpitäjiä tai käsittelijöitä, jotka eivät ole EU:ssa vakituisesti, mutta tarjoavat tavaroita tai palveluja EU:n henkilöille tai seuraavat heidän käyttäytymistään (art. 3(2) GDPR). Tämä koskee sekä B2C- että B2B-yrityksiä, jos ne käsittelevät EU:n yksilöiden henkilötietoja. Edustaja, määritelty art. 4(17) GDPR:ssä, on EU:ssa vakituisesti toimiva luonnollinen tai oikeushenkilö, joka toimii yhteyshenkilönä valvontaviranomaisille ja rekisteröidyille.

On olemassa erityisiä poikkeuksia (art. 27(2) GDPR): julkiset viranomaiset, satunnainen, ei laajamittainen käsittely ilman merkittäviä riskejä rekisteröityjen oikeuksille ja vapauksille. Jos jokin näistä ehdoista ei täyty, nimitysvelvollisuus on voimassa.

Rikkeistä määrättävät sakot ovat ankaria: art. 83(4)(a) GDPR mahdollistaa jopa 10 miljoonan euron tai 2 % globaalista vuosiliikevaihdosta ylittävät sakot. Esimerkkinä Locatefamily.com sai 525 000 euron sakon edustajan nimeämättä jättämisestä.

Edustaja on nimettävä kirjallisella valtuutuksella ja hänen on hyväksyttävä tehtävä. Pelkkä osoitteen julkaiseminen ei riitä. Lisäksi edustajan on kyettävä esittämään käsittelytoimien rekisteri (art. 30 GDPR) viranomaisten pyynnöstä.

Yhteenvetona: EU-edustajan nimeäminen on pakollista useimmille EU:n ulkopuolisille yrityksille, jotka käsittelevät EU:n asukkaiden henkilötietoja, suoraan tai epäsuorasti, poikkeuksina harvinaiset tapaukset.

Kuinka valita EU-edustaja: käytännön kriteerit ja palveluiden vertailu

EU:n GDPR-edustajan valinta ei ole pelkkä hintakysymys: on tärkeää ymmärtää, mitä palvelu todella sisältää. Palveluntarjoajat jakautuvat kolmeen kategoriaan:

• Taso 1 – Pelkkä osoite: Tarjoaa vain EU-postiosoitteen, joka välittää kirjeenvaihtoa. Ei muodollisesti hyväksy art. 27 tehtäviä, ei pidä rekistereitä eikä takaa vastausaikoja. Halvin mutta riskialtis vaihtoehto.
• Taso 2 – Täydellinen nimitys: Tarjoaa kirjallisen valtuutuksen, pyyntöjen käsittelypisteen, art. 30 rekisterin hallinnan, viranomaisille takatut vastausajat. Tämä vastaa GDPR:n vaatimuksia.
• Taso 3 – Asianajotoimisto: Edustuksen lisäksi tarjoaa oikeudellista neuvontaa ja lisäpalveluita, mutta huomattavasti kalliimmalla, usein tarpeettomasti useimmille yrityksille.

Palveluiden vertailutaulukko:

Käytännön vinkki: pyydä aina nimitysmalli ennen ostopäätöstä, tarkista kuka pitää art. 30 rekisteriä ja mitkä kielet ovat tuettuja. Edullinen palvelu, joka ei muodollisesti hyväksy art. 27 tehtäviä, altistaa suurille riskeille.

Mitä hinta todella sisältää ja miten tunnistaa piilokulut

EU:n GDPR-edustajien hinnat vaihtelevat paljon, alle 300 eurosta yli 2 000 euroon vuodessa (lokakuu 2026), mutta erot johtuvat usein sisältyvistä palveluista. Tarkista seuraavat seikat:

• Pyyntömaksut: Jotkut tarjoajat veloittavat lisämaksun (25–90 €) jokaisesta rekisteröidyn tai viranomaisen pyynnöstä, kun taas toiset (kuten REP27 Standardista) sisällyttävät rajattomat pyynnöt.
• Art. 30 rekisterin hallinta: GDPR edellyttää edustajalta käsittelytoimien rekisterin ylläpitoa. Joissain peruspaketeissa tätä ei ole tai se maksaa erikseen (jopa 400 €/vuosi).
• Tuetut kielet: Usein vain englanti sisältyy peruspaketteihin; monikielinen hallinta voi olla lisämaksullista.
• Perehdytys-/asetuskulut: Joillakin palveluntarjoajilla on jopa 250 € aktivoitumismaksu.
• Uusintahinnat: Hinta voi nousta toisesta vuodesta lähtien. Esimerkiksi REP27 tarjoaa alemmat uusintahinnat ensimmäiseen vuoteen verrattuna.

Yhteenvetotaulukko piilokuluista:

Vinkki: pyydä aina kustannussimulointi omalle tilanteellesi (pyyntöjen määrä, kielet, uusinnat) ja varmista, mitä tapahtuu, jos rajat ylittyvät.

Nimitysprosessi: vaiheittainen opas ja tarkistuslista

EU GDPR -edustajan nimitys etenee seuraavasti:

1. Tarkista velvollisuus: Selvitä, tarjoatko tavaroita/palveluja tai seuraatko EU:n henkilöiden käyttäytymistä (art. 3(2), 27 GDPR).
2. Valitse palveluntarjoaja: Arvioi hinnat, sisältyvät palvelut, kielet ja mahdolliset piilokulut. Pyydä aina nimitysmalli.
3. Suorita perehdytys: Lähetä yritystiedot ja muut pyydetyt tiedot palveluntarjoajalle. Esimerkiksi REP27 vaatii art. 30 rekisterin täyttämistä (Standardista).
4. Vastaanota asiakirjat: Saat molempien osapuolten allekirjoittaman nimityskirjeen, QR-sertifikaatin ja ohjeet tietosuojaselosteeseen.
5. Julkaise tiedot: Lisää edustajan nimi, osoite ja sähköposti tietosuojaselosteeseen (art. 13/14 GDPR).
6. Toiminta: Palveluntarjoaja käsittelee saapuvat pyynnöt ja välittää ne määräajassa (esim. REP27:ssä 2 arkipäivän sisällä, viranomaisille samana päivänä Standardista).

Toimintatarkistuslista:

1. Tarkista art. 3(2) ja 27 GDPR
2. Pyydä ja lue nimitysmalli
3. Kysy, kuka ylläpitää art. 30 rekisteriä
4. Tarkista takatut vastausajat
5. Laskelma kokonaiskustannuksista (pyynnöt, kielet, uusinnat)
6. Varmista, että tietosuojaselosteen julkaisu on GDPR:n mukainen

Huomio: nimitys on voimassa vain, jos edustaja hyväksyy tehtävän kirjallisesti ja nimityskirje on molempien osapuolten allekirjoittama.

Riskit ja sanktiot: mitä tapahtuu, jos velvollisuutta ei noudateta

EU-edustajan nimeämättä jättäminen, kun se on vaadittu, on itsenäinen GDPR-rikkomus (art. 83(4)(a)). Valvontaviranomaiset voivat määrätä sakkoja jopa 10 miljoonaa euroa tai 2 % globaalista vuosiliikevaihdosta, riippuen kummasta on suurempi. Näitä sanktioita sovelletaan, vaikka muut GDPR-vaatimukset täyttyisivät mutta nimitystä ei olisi tehty.

Esimerkki: Locatefamily.com sai Alankomaiden viranomaisilta 525 000 euron sakon pelkästään edustajan nimeämättä jättämisestä. Lisäksi viranomaiset voivat määrätä käsittelyjen keskeytyksen tai rikkomuksen julkistamisen.

Lisäriskit:

• Puutteellinen valtuutus (esim. pelkkä postiosoite) ei suojaa sanktioilta
• Viivästynyt vastaaminen viranomaisille voi pahentaa tilannetta
• Vastuu säilyy aina rekisterinpitäjällä/käsittelijällä (art. 27(5)), vaikka edustaja olisi nimetty

Yhteenveto: halvin palveluntarjoaja ilman muodollista art. 27 tehtävien hyväksyntää ja art. 30 rekisterin ylläpitoa altistaa merkittäville oikeudellisille ja maineeseen liittyville riskeille.

Mitä palveluntarjoajat usein eivät kerro: rajoitukset, poissulkemiset ja uusinnat

• Monet peruspaketit ovat pelkkiä postiosoitteita: Ne eivät muodollisesti hyväksy art. 27 tehtäviä, eivät pidä rekistereitä eivätkä takaa viranomaisvastausaikoja.
• Pyyntömaksut voivat ylittää vuosimaksun: Kuukausi, jossa on paljon pyyntöjä, voi nostaa kustannukset odottamattoman korkeiksi.
• Monikielinen hallinta on harvinaista: Usein vain englanti sisältyy; REP27 tarjoaa Standardista alkaen 8 kielen palvelupisteen.
• Uusintahinnat nousevat usein ensimmäisen vuoden jälkeen: Monet tarjoajat tarjoavat alennuksen vain ensimmäiselle vuodelle; REP27 tarjoaa alennetut ja läpinäkyvät uusintahinnat.
• Vastuu säilyy aina asiakkaalla: Edustaja ei ota vastuuta rikkomuksista, vastuu on rekisterinpitäjällä/käsittelijällä (art. 27(5)).
• Usein poissuljettuja palveluita: Arkaluonteiset tiedot (art. 9), oikeudelliset tiedot (art. 10), alaikäisiin, uhkapeleihin, lääkealaan, aseisiin ja kryptoon liittyvät palvelut eivät usein ole hyväksyttyjä.

Vinkki: pyydä aina kirjallinen lista siitä, mitä palvelu sisältää, mitä ei ja mitkä ovat uusinta- ja irtisanomisehdot.

Päätösmatriisi: kuka tarvitsee edustajan? (B2B, B2C, markkinapaikat, koko)

Käytännössä suurin osa EU:n ulkopuolisista yrityksistä, joilla on EU-asiakkaita, käyttäjiä tai vastaanottajia, tarvitsee edustajan, oli kyseessä B2B tai B2C, oma sivusto tai markkinapaikka.

3 käytännön skenaariota: mikä velvollisuus koskee ja mikä ratkaisu sopii

1. Yhdysvaltalainen SaaS EU-asiakkailla: Yhdysvaltalaisen SaaS-palveluntarjoajan, joka myy tilauksia EU:n yrityksille tai käyttäjille, on nimettävä EU-edustaja, julkaistava tiedot tietosuojaselosteessa ja ylläpidettävä art. 30 rekisteriä. Ratkaisu: REP27 Standard -paketti, joka sisältää rajattomat pyynnöt, rekisterin hallinnan ja monikielisen palvelupisteen.
2. Kiinalainen myyjä Amazonissa: Kiinalainen yritys, joka myy tuotteita Amazonin kautta EU:n kuluttajille, kuuluu velvollisuuden piiriin. Jos myynti kattaa myös Sveitsin, on arvioitava nFADP-velvollisuus. Ratkaisu: REP27 Multi -paketti, joka sisältää myös Sveitsin ilmaisen arvioinnin.
3. Iso-Britannian verkkokauppa vain B2B: Jos ei käsittele EU:n luonnollisten henkilöiden tietoja (vain yritykset, ei henkilökohtaisia kontakteja), voi olla vapautettu. Jos kerää EU:n ylläpitäjien/käyttäjien tietoja, velvollisuus koskee. Ratkaisu: tapauskohtainen arviointi, epävarmuuden sattuessa edustajan nimeäminen on suositeltavaa.

Nämä esimerkit osoittavat, että arviointi tehdään sekä asiakaskunnan (B2B/B2C) että käsiteltyjen tietojen ja seurannan perusteella.