Paras GDPR-edustaja EU:lle ja UK:lle: opas ja vertailu 2026

• REP27 tarjoaa EU- ja UK-edustajuuden yhdessä alkaen 390 €/vuosi (hinta tarkistettu).
• Lain mukaan Brexitin jälkeen tarvitaan kaksi erillistä edustajaa.
• Muita tarjoajia: Euverify (alkaen £41/kk), Gabsor (alkaen $79/kk).
• Jokainen palveluntarjoaja sisältää erilaisia palveluja ja rajoituksia: tarkista, mitä sisältyy.
• Ei tarpeen, jos yrityksellä on kiinteä toimipaikka sekä EU:ssa että UK:ssa.
• Sakot voivat olla jopa 10 miljoonaa euroa tai 2 % liikevaihdosta, jos nimeämättä.

Päivitetty 19 October 2026 · 7 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 19 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lain vaatimukset: GDPR:n 27 artikla ja UK GDPR

GDPR:n 27 artikla velvoittaa kaikki rekisterinpitäjät tai käsittelijät, jotka eivät ole EU:ssa vakituisesti, mutta tarjoavat tavaroita tai palveluita EU:n kansalaisille tai seuraavat heidän käyttäytymistään, nimeämään edustajan yhdessä niistä jäsenvaltioista, joissa rekisteröidyt henkilöt sijaitsevat (lähde). Tämä edustaja toimii yhteyspisteenä viranomaisille ja rekisteröidyille, nimitys on tehtävä kirjallisesti ja dokumentoitava viranomaisten pyynnöstä. Brexitin jälkeen Yhdistynyt kuningaskunta otti käyttöön erillisen UK GDPR -järjestelmän, joka sisältää saman velvoitteen: EU:n ulkopuoliset yritykset, jotka käsittelevät brittiläisten henkilötietoja, on nimettävä paikallinen edustaja. Yksi edustaja ei riitä molemmille alueille: viranomaiset vaativat, että nimitys tehdään toimivaltaisessa oikeudenkäyttöalueessa. Nimittämättä jättäminen on itsenäinen rikkomus, josta voi seurata jopa 10 miljoonan euron tai 2 %:n liikevaihdon suuruinen sakko GDPR:n 83 artiklan 4 kohdan a alakohdan mukaan (lähde). Esimerkkinä Locatefamily.com sai 525 000 euron sakon hollantilaiselta viranomaiselta, koska se ei nimennyt EU-edustajaa. Velvoite ei koske yrityksiä, joilla on kiinteä toimipaikka sekä EU:ssa että UK:ssa tai jotka käsittelevät tietoja vain poikkeustoimintojen (kansallinen turvallisuus, puolustus, rikosoikeus) osalta.

Yhteenvetona: kuka tahansa, joka tarjoaa tuotteita, palveluita tai seuraa käyttäjiä EU:ssa ja/tai UK:ssa ilman paikallista läsnäoloa, on nimettävä kaksi erillistä edustajaa, yksi kullekin alueelle, täyden vaatimustenmukaisuuden varmistamiseksi.

Miten valita EU:n ja UK:n edustaja: käytännön kriteerit ja vertailu

GDPR-edustajan valinta EU:lle ja UK:lle tulee perustua konkreettisiin kriteereihin, ei pelkkään hintaan. Tässä keskeiset arviointikohdat:

• Laillinen läsnäolo molemmilla alueilla: Vain palveluntarjoajilla, joilla on todelliset toimipisteet EU:ssa ja UK:ssa, on oikeus myöntää molempien alueiden nimitykset. Esimerkiksi REP27 toimii Europe Services, SE:n (Praha) kautta EU:ssa ja REP27 LTD:n (Suffolk) kautta UK:ssa.
• Yksi yhtenäinen rekisteröintiprosessi: Yksi lomake vähentää virheiden ja päällekkäisyyksien riskiä. REP27 mahdollistaa käsittelyn yhdellä kertaa ja koordinoidut nimitykset.
• Sisältyvät palvelut: Jotkut tarjoavat vain muodollisen nimityksen, toiset sisältävät lisätyökaluja (ROPA Builder, DSAR-portaali, badge, monikielinen tietosuojaseloste). Tarkista aina, mitä perussuunnitelma kattaa ja mitä vaatii lisäpäivityksen.
• Pyyntöjen ja viranomaisten käsittely: Edustajan on välitettävä rekisteröityjen ja viranomaisten pyynnöt viipymättä. REP27 takaa välityksen 2 arkipäivän sisällä (samana päivänä Standard/Multi).
• Sertifiointi ja julkinen tarkistus: QR-koodilla varustettu sertifikaatti ja julkinen tarkistussivu lisäävät läpinäkyvyyttä asiakkaille ja kumppaneille.
• Uusimisen hallinta: Yksi uusimispäivä EU:lle ja UK:lle estää unohtamiset ja katkokset katteessa.

Taulukko sisällyksistä ja poissulkemisista:

Yhteenvetona: valitse palveluntarjoaja, joka tarjoaa selkeät tiedot sisällyksistä, poissulkemisista ja laillisesta läsnäolosta molemmilla alueilla.

Mitä hinta todella sisältää: yksityiskohtainen vertailu palveluntarjoajien välillä

Palveluntarjoajien ilmoittamat hinnat voivat kattaa hyvin erilaisia palveluja. On tärkeää tarkastella, mitä todella sisältyy, jotta vältyt yllätyksiltä:

• REP27: Peruspaketti (390 €/vuosi) kattaa molemmat nimitykset (EU ja UK), kaksi erillistä QR-koodilla varustettua sertifikaattia, varmennettavan badgen, 8-kielisen tietosuojaselosteen, pyyntöjen välityksen (enintään 10/vuosi) ja ilmaisen Sveitsin arvioinnin (vapauslauseke, jos Sveitsin edustajaa ei tarvita). Standard-paketti (590 €/vuosi) sisältää rajattomat pyynnöt, ROPA-hallinnan, monikielisen desk-palvelun ja viranomaispyyntöjen priorisoinnin. Multi-paketti (990 €/vuosi) sisältää myös GPSR- ja CE-merkintäedustajuuden tuotteille, kaikki yhdellä tilauksella ja eräpäivällä. Ei lisämaksuja peruspalveluista; päivitykset vain lisätoimintoihin.
• Euverify: Hinnat 41 £/kk (Startup) – 83 £/kk (Scale Up), sisältää EU- ja UK-edustajuuden, ROPA-builderin, badgen, DSR-inboxin, audit trailin ja pyyntöjen käännöksen (vain ylemmissä paketeissa). Viranomaishallinnan, Sveitsin ja GPSR/CE:n tiedot eivät ole julkisia.
• Gabsor: Hinnat 79 $/kk (Essential) – 279 $/kk (Business), tarjoaa EU- ja UK-edustajuuden, julkisen DSAR-portaalin, incidenttien hallinnan, audit trailin, viranomaiscase managerin, badgen ja ROPA-builderin. Ei ole selvää, sisältyvätkö varmennettava badge, Sveitsi tai GPSR.

Yhteenvetotaulukko:

Yhteenveto: tarkista aina jokaisen paketin yksityiskohdat ja kysy lisätietoja ennen ostopäätöstä.

Piilokustannukset ja rajoitukset: mitä palveluntarjoajat eivät kerro

Monet palveluntarjoajat eivät tuo esiin joitain seikkoja, jotka voivat vaikuttaa kustannuksiin ja hallintaan:

• Pyyntöjen rajoitukset: REP27 Peruspaketti sallii enintään 10 pyyntöä vuodessa; tämän ylityksen jälkeen on siirryttävä Standardiin. Muut tarjoajat eivät aina ilmoita rajoja tai mahdollisia lisäkustannuksia lisäpyynnöistä.
• Palvelun poissulkemiset: REP27 ei hyväksy arkaluonteisten tietojen (artikla 9), rikostietojen (artikla 10), alle 16-vuotiaille suunnattujen palvelujen, laajamittaisen profiloinnin, datavälityksen, aikuissisältöjen, uhkapelien, kryptovaluuttojen, aseiden, käsikauppalääkkeiden tai lisenssivaatimusten alaisten toimintojen käsittelyä. Kukaan tarjoajista ei tarjoa oikeudellista neuvontaa, DPO-palvelua tai auditointeja edustajapalvelun osana.
• Irtisanomisaika: REP27 edellyttää kirjallista irtisanomista vähintään 30 päivää ennen sopimuskauden päättymistä. Muilla tarjoajilla ehdot ovat pyynnön mukaan.
• Pakolliset päivitykset: Edistyneisiin toimintoihin (esim. GPSR, CE-merkintä, incidenttien hallinta, edistyneet DSAR:t) siirtyminen vaatii usein kalliimman paketin.
• Vastuun rajaus: Edustaja ei vastaa pyyntöjen sisällöstä, ei käsittele tietoja suoraan eikä ota vastuuta yrityksen yleisestä vaatimustenmukaisuudesta.

Rajoitukset ja poissulkemiset taulukossa:

Vinkki: pyydä aina kirjalliset ehdot rajoista, poissulkemisista ja uusimisista.

Nimeämisprosessi: vaihe vaiheelta ja käytännön tarkistuslista

GDPR-edustajan nimeäminen EU:lle ja UK:lle noudattaa tarkkaa prosessia. Näin se toimii REP27:n kanssa ja mitä odottaa muilta palveluntarjoajilta:

1. Yhden lomakkeen täyttäminen: Asiakas syöttää yritystiedot ja käsittelykuvauksen kerran, molemmille alueille kelpaavasti.
2. Tietojen tarkistus ja nimitysten laatiminen: Palveluntarjoaja tarkistaa tiedot ja laatii kaksi erillistä nimitystä, yhden EU:lle (allekirjoitettu Europe Services, SE:llä) ja yhden UK:lle (allekirjoitettu REP27 LTD:llä).
3. Sertifikaattien myöntäminen: Saat kaksi erillistä sertifikaattia, kummassakin QR-koodi ja julkinen tarkistussivu. Sertifikaatti on voimassa vain omalla oikeudenkäyttöalueellaan.
4. Tietosuojaseloste: Saat kaksi erillistä tekstiriviä lisättäväksi tietosuojaselosteeseen: yksi EU:lle ja yksi UK:lle. On tärkeää, ettei käytetä yhtä riviä molemmille markkinoille.
5. Pyyntöjen käsittely: Palveluntarjoaja välittää rekisteröityjen ja viranomaisten pyynnöt määräajassa (REP27 Perus 2 arkipäivän sisällä, Standard/Multi samana päivänä).
6. Uusiminen: Yksi eräpäivä ja lasku molemmille nimityksille, unohtamisen ja katkosten välttämiseksi.

Käytännön tarkistuslista heti tänään:

1. Tarkista, tarjoatko tavaroita/palveluita tai seuraatko käyttäjiä EU:ssa ja/tai UK:ssa.
2. Kokoa tiedot käsittelyistä, kohdemarkkinoista ja arvioiduista pyyntömääristä.
3. Vertaa palveluntarjoajia ja hintoja, lue huolellisesti sisällykset ja poissulkemiset.
4. Täytä valitun palveluntarjoajan nimityslomake.
5. Päivitä tietosuojaseloste kahdella erillisellä rivillä.
6. Säilytä sertifikaatit ja varmista niiden näkyvyys julkisilla sivuilla.

Tällä prosessilla nimitys on nopea ja vaatimustenmukaisuus dokumentoitu.

Riskit ja sanktiot: mitä tapahtuu ilman edustajaa

Jos et nimeä GDPR-edustajaa EU:lle tai UK:lle, kun se on pakollista, seuraa konkreettisia riskejä ja ankaria seuraamuksia:

• Hallinnolliset sakot: Viranomaiset voivat määrätä jopa 10 miljoonan euron tai 2 %:n liikevaihdon suuruisia sakkoja GDPR:n 83 artiklan 4 kohdan a alakohdan mukaisesti. UK:n ICO soveltaa vastaavia seuraamuksia.
• Todelliset esimerkit: Locatefamily.com sai 525 000 euron sakon EU-edustajan nimeämättä jättämisestä.
• Tutkinnot ja käsittelyjen keskeytys: Viranomaiset voivat aloittaa tutkimuksia, määrätä käsittelyjen keskeytyksen tai tietojen lukituksen.
• Mainehaitat: Vaatimustenmukaisuuden puute voi johtaa asiakkaiden, kumppaneiden ja markkinapaikkojen (Amazon, Etsy, eBay) luottamuksen menetykseen.
• Pyyntöihin vastaamattomuus: Ilman edustajaa rekisteröityjen ja viranomaisten pyynnöt jäävät käsittelemättä, mikä altistaa yrityksen lisäriskeille.

Yhteenvetona: nimeäminen on muodollinen velvoite, mutta myös konkreettinen suoja yritykselle ja sen asiakkaille.

Päätösmatriisi: kuka todella tarvitsee palvelun?

Kaikki yritykset eivät ole velvollisia nimeämään GDPR-edustajaa EU:lle ja UK:lle. Tässä päätösmatriisi todellisten tapausten pohjalta:

Huomautus: Velvoite ei koske yrityksiä, joilla on kiinteä toimipaikka sekä EU:ssa että UK:ssa tai jotka käsittelevät tietoja vain poikkeustoimintojen (kansallinen turvallisuus, puolustus, rikosoikeus) osalta.

Käytännön esimerkit: mikä velvoite ja ratkaisu

• Yhdysvaltalainen SaaS, joka myy EU:ssa ja UK:ssa: On nimettävä molemmat edustajat. Tehokkain ratkaisu on yhdistetty palveluntarjoaja kuten REP27, joka antaa molemmat nimitykset yhdellä tilauksella ja eräpäivällä, vähentäen virheitä ja kaksinkertaisia kustannuksia.
• Kiinalainen myyjä Amazon UK:ssa ja EU:ssa: Tarvitsee molemmat edustajat voidakseen myydä laillisesti molemmilla markkinapaikoilla. Yksi palveluntarjoaja helpottaa hallintaa ja vaatimustenmukaisuutta, erityisesti Amazonin tai viranomaisten auditoinneissa.
• UK-verkkokauppa, joka toimittaa Saksaan: Tarvitsee vain EU-edustajan, ei UK-edustajaa, koska yritys on jo UK:ssa vakituisesti. Voi valita perussuunnitelman vain EU:lle.

Nämä esimerkit osoittavat, että palveluntarjoajan ja paketin valinta tulee perustua maantieteelliseen läsnäoloon ja palveltuihin markkinoihin.