Mitkä yritykset tarvitsevat EU-edustajan GDPR:ään?

• GDPR:n 27 artikla velvoittaa EU:n ulkopuoliset yritykset, jotka toimivat EU:ssa, nimeämään edustajan.
• Velvoite koskee rekisterinpitäjiä ja käsittelijöitä EU:n ulkopuolella artiklan 3(2) mukaan.
• Poikkeuksena julkiset viranomaiset ja satunnaiset, vähäriskiset käsittelyt.
• Sakkorangaistukset: jopa 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta.
• Edustajan tulee olla EU:ssa ja hyväksyä toimeksianto kirjallisesti.
• Hintojen ja palveluiden vertailu on tärkeää: erot ja piilokulut ovat yleisiä.

Päivitetty 21 October 2026 · 8 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 21 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä laki vaatii? (GDPR:n 3 ja 27 artiklat)

Yleinen tietosuoja-asetus (GDPR) määrää 27 artiklassa, että EU:n ulkopuolella toimivan yrityksen tai tahon, joka 3(2) artiklan mukaan tarjoaa tavaroita tai palveluita EU:n henkilöille tai seuraa heidän käyttäytymistään, on nimettävä kirjallisesti EU-edustaja. Tämä edustaja toimii yhteyspisteenä rekisteröidyille ja tietosuojaviranomaisille, ja hänen tulee olla jäsenvaltiossa, jossa on asianomaisia rekisteröityjä.

• Velvoite koskee sekä rekisterinpitäjiä että käsittelijöitä EU:n ulkopuolella.
• Nimeäminen on tehtävä kirjallisesti ja molempien osapuolten allekirjoittamana, sisältäen toimeksiannon laajuuden, velvollisuudet ja keston.
• Edustajan tulee ylläpitää käsittelytoimien rekisteriä (30 artikla) ja tehdä yhteistyötä viranomaisten kanssa tarvittaessa.
• Poikkeuksia ovat julkiset viranomaiset sekä satunnaiset, vähäriskiset käsittelyt, jotka eivät sisällä erityisiä tietoryhmiä tai rikostietoja.

Nimeämättä jättäminen on itsenäinen rikkomus 83(4)(a) artiklan mukaan, josta voi seurata jopa 10 miljoonan euron tai 2 % maailmanlaajuisesta liikevaihdosta oleva sakko. Esimerkkinä hollantilainen viranomainen määräsi Locatefamily.comille 525 000 euron sakon nimeämättä jättämisestä.

Edustaja ei kanna vastuuta tietojen käsittelystä: vastuu säilyy alkuperäisellä rekisterinpitäjällä tai käsittelijällä. Hänen tehtävänsä on hallinnollinen ja yhteydenpitotehtävä, ei oikeudellinen neuvonta.

Kuinka valita EU-edustaja: keskeiset kriteerit ja vertailu

Sopivan EU-edustajan valinta on ratkaisevaa GDPR:n noudattamiseksi ja sakkojen välttämiseksi. Kaikki palvelut eivät ole samanarvoisia: osa tarjoaa vain postiosoitteen, kun toiset ottavat toimeksiannon muodollisesti vastaan ja hoitavat pyynnöt ja rekisterit. Tarkista ennen päätöstä nämä seikat:

• Muodollinen nimeäminen: Hyväksyykö tarjoaja nimenomaisesti 27 artiklan toimeksiannon ja allekirjoittaa sen?
• Rekisterien hallinta: Pitääkö ja esittääkö rekisterin (30 artikla) viranomaisen pyynnöstä?
• Palvelukielet: Kattaako asiakaspalvelu tarvittavat kielet asiakkaillesi ja viranomaisille?
• Lisäkustannukset: Onko maksuja joka pyynnöstä, lisäkielistä tai uusinnasta?
• Sertifikaatit ja varmennus: Tarjoaako varmennettavan sertifikaatin ja julkiset tarkistusmekanismit?

Palveluvertailu (julkaistun tiedon mukaan lokakuussa 2026):

Pyydä aina nimeämiskirje ennen maksua ja varmista, että se kattaa kaikki GDPR:n vaatimukset.

Mitä hinta todella sisältää? Maksut, tasot ja piilokulut

EU-edustajan tarjoajien ilmoittamat hinnat voivat vaihdella huomattavasti eivätkä aina kata palvelun kokonaiskustannuksia. On tärkeää analysoida, mitä kukin hinta sisältää ja mitkä lisämaksut voivat tulla vastaan.

• Perusmaksut: Vaihtelevat alle 300 eurosta yli 2 000 euroon vuodessa, riippuen tarjotaananko pelkkä osoite, muodollinen nimeäminen vai lisäoikeudelliset palvelut.
• Pyyntömaksut: Jotkut tarjoajat veloittavat 25–90 euroa jokaisesta käsitellystä rekisteröidyn pyynnöstä. Tämä voi nostaa todellisia kustannuksia, jos pyyntöjä on paljon.
• Rekisterien hallinta: Useilla toimijoilla 30 artiklan rekisterin ylläpito ja esittäminen maksaa 100–400 euroa vuodessa. REP27 sisällyttää tämän Standard-suunnitelmassa.
• Kielet ja tuki: Monikielinen tuki on harvinaista perussuunnitelmissa; REP27 kattaa 8 kieltä Standard- ja Multi-tasoilla.
• Uusinnat: Jotkut tarjoajat nostavat hintaa ensimmäisen vuoden jälkeen. REP27 alentaa uusintahintaa toisesta vuodesta alkaen.

Käytännön esimerkki: yritys, joka saa 20 pyyntöä vuodessa ja käyttää pyyntömaksullista suunnitelmaa, voi maksaa yli kaksinkertaisen hinnan perusmaksuun verrattuna. Pyydä aina sopimus ja laske kokonaisvuosikustannukset ennen päätöstä.

Palvelutasojen yhteenveto:

• Postiosoite: Vain uudelleenlähetys, ei muodollista hyväksyntää eikä rekisterien hallintaa.
• Muodollinen nimeäminen: Allekirjoitettu toimeksianto, pyyntöjen ja rekisterien hallinta, vastausvelvollisuus.
• Oikeudellinen retentio: Sisältää oikeudellisen neuvonnan, yleensä tarpeeton useimmille yrityksille.

Nimeämisprosessi vaihe vaiheelta: käytännön opas

EU-edustajan nimeäminen GDPR:n mukaan tulee tehdä huolellisesti ja dokumentoidusti. Tässä vaiheittainen opas vaatimusten täyttämiseksi:

1. Arvioi velvollisuus: Varmista, että yrityksesi on EU:n ulkopuolella ja tarjoaa tavaroita/palveluita tai seuraa EU:n henkilöitä.
2. Valitse tarjoaja: Valitse toimija, joka hyväksyy nimenomaisesti 27 artiklan toimeksiannon ja on EU:ssa.
3. Pyydä nimeämiskirje: Tarkista, että kirje sisältää muodollisen hyväksynnän, toimeksiannon laajuuden, rekisterien hallinnan ja vastausajat.
4. Allekirjoita ja vastakirjoita: Molempien osapuolten allekirjoitus; REP27 vastakirjoittaa 24 tunnissa.
5. Vastaanota sertifikaatti: Toimittajan tulee antaa varmennettava sertifikaatti QR-koodilla ja julkisella sivulla.
6. Päivitä tietosuojaseloste: Lisää edustajan nimi, osoite ja sähköposti GDPR:n 13/14 artiklan mukaisesti.
7. Toiminta: Edustaja vastaanottaa, kirjaa ja välittää pyynnöt määräajassa. REP27 välittää pyynnöt 2 arkipäivässä (tai samana päivänä viranomaisille Standard/Multi).
8. Rekisterien hallinta: Jos suunnitelma sisältää, edustaja ylläpitää 30 artiklan rekisteriä ja luovuttaa sen viranomaisille pyydettäessä.

Ostajan tarkistuslista:

1. Tarjoatko tavaroita/palveluita tai seuraatko EU:n henkilöitä?
2. Oletko EU:n ulkopuolella?
3. Onko käsittely säännöllistä eikä poikkeuksellista?
4. Pyydä nimeämiskirje ja varmista 27 artiklan tehtävien hyväksyntä.
5. Kysy lisäkustannuksista: pyynnöt, kielet, uusinta.
6. Varmista, että rekisteriä ylläpidetään ja luovutetaan viranomaisille.
7. Tarkista tuki tarvittavilla kielillä.
8. Tarkista vastausajat viranomaisille.
9. Allekirjoita ja julkaise edustajan tiedot tietosuojaselosteessa.

Riskit, sanktiot ja rikkomustilanteet

EU-edustajan nimeämättä jättäminen, kun se on pakollista, on itsenäinen GDPR-rikkomus, josta voi seurata jopa 10 miljoonan euron tai 2 % maailmanlaajuisesta liikevaihdosta oleva sakko 83(4)(a) artiklan mukaan. Viranomaiset voivat aloittaa tutkinnan ilman valitusta, ja vastaamattomuus tai virheellinen nimeäminen pahentaa tilannetta.

• Esimerkki: Locatefamily.com sai 525 000 euron sakon hollantilaiselta viranomaiselta nimeämättä jättämisestä.
• Virheellinen toimeksianto: Pelkkä postiosoite tai tarjoaja, joka ei muodollisesti hyväksy toimeksiantoa, voi olla pahempi kuin nimeämättä jättäminen, koska kolmas osapuoli ei vastaa viranomaisille.
• Vastuu: Edustaja ei kanna oikeudellista vastuuta, mutta hänen tulee tehdä yhteistyötä viranomaisten kanssa ja helpottaa yhteydenpitoa EU:n ulkopuoliseen vastuuhenkilöön.

Suositukset riskien välttämiseksi:

• Varmista, että toimeksianto on allekirjoitettu ja hyväksyy 27 artiklan tehtävät.
• Varmista, että edustaja ylläpitää ja esittää 30 artiklan rekisterin pyydettäessä.
• Älä luota pelkästään halpoihin hintoihin: tarkista palvelun laajuus ja vastausajat.

Rikkomukset voivat vahingoittaa mainetta, estää toimintaa EU:ssa ja johtaa merkittäviin taloudellisiin seuraamuksiin.

Päätösmatriisi: Tarvitsetko EU-edustajan?

Seuraava matriisi auttaa arvioimaan, tarvitsetko EU-edustajan GDPR:n mukaan. Analysoi tilanteesi ja tarkista, koskeeko velvoite sinua:

Esimerkkejä:

• Yhdysvaltalainen SaaS, joka rekisteröi EU-käyttäjiä: Tarvitsee edustajan.
• Kiinalainen valmistaja, joka myy Amazonissa EU-asiakkaille: Tarvitsee edustajan.
• Kanadalainen järjestö, joka käsittelee vain EU:n ulkopuolisten lahjoittajien tietoja: Ei tarvitse edustajaa.

Mitä tarjoajat usein eivät kerro: poissulkemiset, uusinnat ja rajat

Monet tarjoajat jättävät kertomatta olennaisia yksityiskohtia, jotka voivat vaikuttaa vaatimustenmukaisuuteen ja kokonaiskustannuksiin. On tärkeää lukea sopimusehdot ja kysyä ennen tilaamista:

• Pelkkä postiosoite: Jotkut tarjoavat vain EU-osoitteen ilman muodollista toimeksiannon hyväksyntää tai sitoumusta vastata pyyntöihin tai ylläpitää rekistereitä.
• Rekisterien hallinta: Useimmat eivät sisällä 30 artiklan rekisterin ylläpitoa perushinnassa; se voi maksaa vuosittain merkittävästi.
• Rajoitettu tuki: Useimmiten tuki on vain englanniksi, vaikka EU-kattavuus mainittaisiin. REP27 kattaa 8 kieltä Standard- ja Multi-suunnitelmissa.
• Pyyntömaksut: Maksut jokaisesta pyynnöstä voivat ylittää vuosihinnan, jos pyyntöjä on paljon.
• Automaattiset uusinnat: Joissain sopimuksissa hinta nousee automaattisesti ensimmäisen vuoden jälkeen. REP27 alentaa uusintahintaa.
• Vastuun rajat: Edustaja ei ota oikeudellista vastuuta eikä tarjoa oikeudellista neuvontaa ilman erillistä sopimusta.
• Poissuljetut toiminnot: REP27 ei hyväksy asiakkaita, jotka käsittelevät erityisiä tietoryhmiä, rikostietoja, korkean riskin toimintoja, alle 16-vuotiaiden lasten tietoja, scrapingia, aikuisviihdettä, aseita, kryptovaluuttoja tai lupaa vaativia toimintoja.

Pyydä aina sopimus ja tarkista kaikki kohdat ennen sitoutumista.

Käytännön tilanteet: velvollisuus ja noudattamisreitit

Seuraavassa kolme todellista esimerkkiä EU-edustajan nimeämisvelvollisuuden soveltamisesta ja helpoimmista noudattamistavoista:

• Yhdysvaltalainen SaaS, joka myy yrityksille ja kuluttajille EU:ssa: On nimettävä EU-edustaja. REP27:n Standard-suunnitelma kattaa rajattomat pyynnöt, 8 kielen tuen ja rekisterin ylläpidon. Lisää edustajan tiedot tietosuojaselosteeseen ja vastaa pyyntöihin edustajan kautta.
• Kiinalainen Amazon-myyjä, joka toimittaa EU:hun: GDPR:n 27 artiklan mukainen velvoite. Jos myyt CE- tai GPSR-merkityt tuotteet, REP27 Multi kattaa myös GPSR-vastuuhenkilön ja CE-valtuutetun edustajan. Lisää tiedot tuoteluetteloihin ja dokumentaatioon.
• Brittiläinen verkkokauppa, joka jatkaa myyntiä EU:hun Brexitin jälkeen: Tarvitsee EU- ja usein myös UK-edustajan. EUverify tarjoaa molemmat yhdellä suunnitelmalla; REP27 myy erikseen, alennuksella yhdessä ostettaessa. Lisää molempien tiedot tietosuojaselosteeseen ja käsittele pyynnöt kunkin lain mukaan.

Kaikissa tapauksissa nimeäminen tulee tehdä muodollisesti, allekirjoittaa ja dokumentoida yrityksen julkisissa ja yksityisissä asiakirjoissa.