哪些公司必须在欧盟指定GDPR代表？

• 欧盟境外处理欧盟人员数据的企业有此义务（GDPR第3(2)、27条）
• 免除对象：公共机关、偶尔处理、非大规模处理及无重大风险者（GDPR第27(2)条）
• 罚款最高可达1000万欧元或全球营业额2%（GDPR第83(4)(a)条）
• 代表是监管机构和数据主体的联系点（GDPR第4(17)条）
• 2026年10月公布的年费从290欧元至1000多欧元不等
• 服务和费用差异大，注意额外请求、语言支持及续费情况

已更新 18 October 2026 · 6 已检查来源

比较提供者

价格如在每个提供者的网站上发布的，日期为 18 October 2026，除非另有说明，不包括增值税。每一行链接到其来源。

法律要求：GDPR关键条款

根据GDPR第27条，凡是在欧盟境外但向欧盟境内人员提供商品或服务，或监控其行为的控制者或处理者，均须指定欧盟代表（GDPR第3(2)条）。此义务适用于B2C及B2B企业，只要处理欧盟个人数据。代表由GDPR第4(17)条定义，须为欧盟境内的自然人或法人，作为监管机构和数据主体的联系点。

存在特定免除（GDPR第27(2)条）：公共机关、偶尔处理、非大规模处理且无重大风险者。如任一条件不满足，仍须指定代表。

未指定代表的处罚严厉：GDPR第83(4)(a)条规定可罚款最高1000万欧元或全球营业额2%。例如Locatefamily.com因未指定代表被罚52.5万欧元。

代表须正式书面委任并明确接受职责，单纯公布地址不足。同时，代表需能按监管要求提供处理活动登记（GDPR第30条）。

总之，绝大多数欧盟外企业若直接或间接处理欧盟居民个人数据，除罕见例外，必须指定欧盟代表。

如何选择欧盟代表：实用标准与服务对比

选择欧盟GDPR代表不仅看价格，更要明确服务内容。供应商分三类：

• 一级—仅提供地址：仅提供欧盟邮寄地址，转发邮件。不正式承担第27条职责，不保留登记，不保证响应时间。价格最低但风险大。
• 二级—完整指定：提供书面委任，咨询台服务，第30条登记管理，保证监管机构响应时间。符合GDPR要求。
• 三级—律师事务所：除代表服务外，提供法律咨询及附加服务，费用高，非大多数企业必需。

服务内容对比表：

建议购买前索取委任模板，确认谁管理第30条登记及支持语言。廉价且不正式承担第27条职责的服务风险高。

价格包含内容及隐藏费用识别

欧盟GDPR代表价格差异大，2026年10月从不足300欧元到超过2000欧元不等，差异主要在于服务内容。需注意：

• 请求费用：部分供应商对每次数据主体或监管请求收取额外费用（25至90欧元），而REP27标准套餐含无限请求。
• 第30条登记管理：GDPR要求代表保管处理活动登记，部分基础套餐不含或需额外付费（最高400欧元/年）。
• 语言支持：入门套餐通常仅含英语，多语言支持常需额外付费。
• 入职/设置费：部分供应商收取最高250欧元的启动费。
• 续费涨价：续费价格可能高于首年，REP27续费价格较首年优惠。

隐藏费用对比表：

建议索取完整费用模拟（请求数量、语言、续费）并确认超出阈值时的处理方式。

指定流程：步骤指南与清单

指定欧盟GDPR代表流程如下：

1. 确认义务：核实公司是否向欧盟人员提供商品/服务或监控其行为（GDPR第3(2)、27条）。
2. 选择供应商：评估价格、服务内容、语言支持及隐藏费用，务必索取委任模板。
3. 完成入职：提交公司资料及供应商要求的信息，REP27标准套餐需填写第30条登记。
4. 获取文件：双方签署的委任信、二维码证书及隐私政策指引。
5. 公开信息：在隐私政策中公布代表姓名、地址及邮箱（GDPR第13/14条）。
6. 运营管理：供应商处理并按时转发请求（如REP27标准套餐，监管请求当天响应，其他请求2个工作日内）。

操作清单：

1. 核实GDPR第3(2)及27条
2. 索取并阅读委任模板
3. 确认谁管理第30条登记
4. 确认响应时间保障
5. 计算总费用（请求、语言、续费）
6. 确保隐私政策公开符合要求

注意：仅代表正式书面接受且双方签署的委任信有效。

风险与处罚：不履行后果

未按要求指定欧盟代表构成GDPR独立违规（第83(4)(a)条），监管机构可处以最高1000万欧元或全球营业额2%的罚款。即使其他GDPR措施合规，缺少正式代表仍受罚。

案例：Locatefamily.com因未指定代表被荷兰监管机构罚款52.5万欧元。监管机构还可命令暂停数据处理或公开违规事件。

其他风险：

• 仅提供邮寄地址的委任无效，不免罚款
• 未及时响应监管请求加重处罚
• 代表被指定后，数据控制者/处理者仍承担全部责任（GDPR第27(5)条）

结论：仅凭最低价选择供应商，且未确认其正式承担第27条职责及管理第30条登记，风险极大。

供应商常隐瞒的信息：限制、排除与续费

• 多数基础套餐仅提供邮寄地址：不正式承担第27条职责，不管理登记，不保证监管响应。
• 请求费用可能超过年费：请求量大时，费用远超预期。
• 多语言支持罕见：多数仅含英语，REP27标准套餐支持8种语言。
• 续费常涨价：多数供应商首年优惠，续费涨价，REP27续费价格透明且优惠。
• 法律责任始终由客户承担：代表不承担违规责任，责任归数据控制者/处理者（GDPR第27(5)条）。
• 常见排除：敏感数据（第9条）、司法数据（第10条）、面向未成年人、博彩、医药、武器、加密货币服务常被拒绝。

建议：务必索要书面清单，明确包含内容、排除项及续费/解约条款。

决策矩阵：谁必须指定代表？（B2B、B2C、市场、规模）

总结：绝大多数欧盟外拥有欧盟客户、用户或受众的企业，无论B2B或B2C，自营网站或市场平台，均须指定代表。

三个实际场景：适用义务及解决方案

1. 美国SaaS服务欧盟客户：美国SaaS供应商向欧盟企业或用户销售订阅，须指定欧盟代表，隐私政策公开信息，维护第30条登记。推荐REP27标准套餐，含无限请求、多语言咨询台及登记管理。
2. 中国卖家通过Amazon销售：中国企业通过Amazon向欧盟消费者销售，完全符合指定义务。若在瑞士销售，还需评估nFADP义务。推荐REP27多语言套餐，含免费瑞士评估。
3. 英国仅B2B网店：若不处理欧盟个人数据（仅企业客户，无个人联系），可免除。若收集欧盟管理员或用户数据，则须指定代表。建议视情况而定，存疑时优先指定。

以上场景显示，需基于客户类型（B2B/B2C）、数据种类及监控活动综合评估。