Mikä yritys toimii US SaaS:n GDPR 27 artiklan EU-edustajana?

• GDPR:n 27 artikla vaatii EU:n ulkopuolisten SaaS-yritysten nimeämään EU-edustajan, jos ne käsittelevät EU:n henkilötietoja.
• REP27 — Europe Services, SE: €290–€890/vuosi, nimitys ja rekisterit sisältyvät.
• Kilpailijoita ovat mm. Prighter (€420/vuosi) ja rep4eu (€348/vuosi).
• Hinnat ja sisältyvät palvelut vaihtelevat; tarkista piilokulut ja mandaatin yksityiskohdat.
• Edustajaa ei tarvita, jos käsittely on satunnaista ja vähäriskistä (Art. 27(2)(a)).

Päivitetty 19 October 2026 · 9 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 19 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä GDPR:n 27 artikla vaatii

GDPR:n 27 artikla asettaa erityisvelvoitteen EU:n ulkopuolisille yrityksille, mukaan lukien US SaaS -yritykset, nimittää kirjallinen EU-edustaja, jos ne käsittelevät EU:n yksilöiden henkilötietoja tarjoamalla tavaroita tai palveluita tai seuraamalla käyttäytymistä (Art. 27(1)). Tämä koskee riippumatta fyysisestä läsnäolosta EU:ssa. Edustajan on oltava jäsenvaltiossa, jossa rekisteröidyt henkilöt sijaitsevat (Art. 27(3)), joten valitse tarjoaja, jolla on todellinen ja varmennettavissa oleva EU-toimipaikka. Edustajan päätehtävät ovat toimia yhteyspisteenä EU:n tietosuojaviranomaisille ja rekisteröidyille (Art. 27(4)), ylläpitää käsittelytoimien rekisteriä (Art. 27(6)) ja tehdä yhteistyötä viranomaisten kanssa (Art. 27(7)).

Poikkeuksia on rajallisesti: jos käsittely on satunnaista, vähäriskistä eikä sisällä erityisiä tietoryhmiä (kuten terveystietoja tai biometrisiä tietoja), voit olla vapautettu Art. 27(2)(a) mukaan. Useimmat SaaS-yritykset, joilla on jatkuvia EU-käyttäjiä, eivät kuitenkaan täytä tätä ehtoa. Noudattamatta jättäminen on itsenäinen rikkomus, josta voi seurata merkittäviä sakkoja: jopa 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta (Art. 83(4)(a)). Esimerkiksi Alankomaiden viranomainen sakotti Locatefamily.comia 525 000 eurolla edustajan nimeämättä jättämisestä. Laki selvästi sanoo, että edustaja ei suojaa sinua valvonnalta; viranomaiset voivat silti toimia suoraan yritystäsi vastaan (Art. 27(5)).

Yhteenvetona: jos US SaaS -yrityksesi kohdistuu EU-käyttäjiin tai seuraa heidän käyttäytymistään, sinun on nimettävä pätevä EU-edustaja, varmistettava, että mandaatti on kirjallinen, ja julkaistava edustajan yhteystiedot tietosuojaselosteessa. Edustajan rooli on hallinnollinen, ei neuvova, ja se on lakisääteinen GDPR-vaatimus.

Miten valita GDPR 27 artiklan edustaja

Oikean GDPR 27 artiklan edustajan valinta on ratkaisevaa vaatimustenmukaisuuden ja toiminnan sujuvuuden kannalta. Varmista ensin, että tarjoajalla on laillinen EU-toimipaikka ja että se voi toimia kaikissa asiaankuuluvissa jäsenvaltioissa. Pyydä näyte nimityskirjeestä: sen tulee olla allekirjoitettu ja vastakirjoitettu mandaatti, joka nimenomaisesti hyväksyy 27 artiklan tehtävät. Monet halvat tarjoajat tarjoavat vain postiosoitteen, joka ei täytä lain vaatimuksia, jos he eivät hyväksy mandaattia kirjallisesti.

• Mandaatin ja hyväksynnän varmistus: Tarkista, että dokumentaatio viittaa selvästi Artikla 27(1) ja (4) kohtiin ja että rooli hyväksytään kirjallisesti. Pyydä mallipohja ennen maksua.
• Artikkeli 30 -rekisterien hallinta: Artikla 30(1) edellyttää edustajalta käsittelytoimien rekisterin hallintaa ja esittämistä. Monet halvat tarjoajat eivät tätä sisällytä. REP27:n Vakio- ja Moni-paketit sisällyttävät tämän.
• Vastausajat: Valvontaviranomaiset voivat ottaa yhteyttä edustajaan milloin vain. Varmista, että tarjoaja sitoutuu välittämään pyynnöt sovitussa ajassa. REP27 välittää viranomaispyynnöt saman työpäivän aikana Vakio- ja Moni-paketeissa.
• Kielituki: Jos käyttäjäsi tai viranomaiset käyttävät muita kieliä kuin englantia, tarkista, tukeeko tarjoajan pyyntöpiste niitä. REP27 kattaa 8 kieltä Vakio- ja sitä ylemmissä paketeissa.
• Uusiminen ja maksut: Tarkista, nouseeko hinta ensimmäisen vuoden jälkeen. Jotkut tarjoajat tarjoavat alhaisen aloitushinnan, mutta nostavat maksua uusittaessa. REP27:n uusintahinnat ovat alhaisemmat kuin ensimmäisen vuoden hinnat.
• Oikeudellinen neuvonta: Useimmat edustajat eivät tarjoa oikeudellista neuvontaa tai tietosuojavastaavan palveluita. Jos tarvitset jatkuvaa oikeudellista neuvontaa, harkitse asianajotoimiston palvelua, mutta odota korkeampia kuluja.

Yhteenvetona: valitse tarjoaja, joka tarjoaa täyden, kirjallisen mandaatin, hallinnoi Artikkeli 30 -rekisteriä, sitoutuu selkeisiin vastausaikoihin ja tarjoaa läpinäkyvän hinnoittelun. Kysy suoraan, mitä palveluun sisältyy, ja varmista kirjallinen vahvistus ennen sopimuksen allekirjoittamista.

Mitä hinta todella sisältää

GDPR 27 artiklan edustajapalvelut eivät ole kaikki samanarvoisia. Julkaistu hinta voi kattaa hyvin erilaisia palvelutasoja, joten on tärkeää katsoa pelkän numeron taakse. Tarjoajat jakautuvat yleensä kolmeen tasoon:

1. Vain osoite: Halvimmat tarjoajat tarjoavat vain postiosoitteen, joka välittää postia. Nämä palvelut eivät yleensä hyväksy 27 artiklan mandaattia kirjallisesti, eivät pidä Artikkeli 30 -rekisteriä eivätkä sitoudu vasteaikoihin. Tämä ei täytä lakisääteisiä vaatimuksia.
2. Nimitys ja pyyntöpiste: Tämä on 27 artiklan vaatimus: kirjallinen mandaatti, varmennettava sertifikaatti, pyyntöpiste määritellyllä vasteajalla ja Artikkeli 30 -rekisterin hallinta. REP27:n Vakio (€490/vuosi) ja Moni (€890/vuosi) paketit kuuluvat tähän, sisältäen rajattoman pyyntöjen välityksen, monikielisen tuen ja mandaatin julkisen vahvistuksen QR-koodilla.
3. Asianajotoimiston palvelu: Jotkut tarjoajat, usein €1 000–€2 000+ vuodessa, ovat asianajotoimistoja, jotka toimivat edustajina ja tarjoavat myös oikeudellista neuvontaa. Tämä voi olla hyödyllistä oikeudellista neuvontaa tarvitseville, mutta 27 artiklan rooli on hallinnollinen, eikä oikeudellinen neuvonta ole pakollista vaatimustenmukaisuuden kannalta.

Vuosimaksun lisäksi tarkista:

• Asetus- tai käyttöönotto maksut (muilla voi olla €0–€250; REP27 sisällyttää tämän hintaan)
• Pyyntökohtaiset maksut (yleensä €25–€90 per rekisteröidyn pyyntö; REP27 Vakio ja Moni sisältävät rajattomat pyynnöt)
• Artikkeli 30 -rekisterin hallintamaksut (muilla €100–€400/vuosi; REP27 sisällyttää tämän Vakio- ja Moni-paketeissa)
• Lisäkielituki (usein vain englanti peruspaketissa; REP27 kattaa 8 kieltä Vakio+ paketeissa)

Pyydä aina erittely siitä, mitä hinta sisältää, ja arvioi odotettu pyyntömäärä yllätysten välttämiseksi. US SaaS -yrityksille, joilla on säännöllisiä EU-käyttäjiä, tarvitaan yleensä täysi nimitys- ja rekisteripalvelu.

Piilokulut, joihin kiinnittää huomiota

Vertailtaessa GDPR 27 artiklan edustajapalveluita on tärkeää huomioida piilokulut, joita ei välttämättä näy julkisessa hinnassa. Tässä yleisimmät lisämaksut ja miten ne tunnistaa:

• Pyyntökohtaiset maksut: Monet tarjoajat mainostavat alhaista vuosimaksua, mutta veloittavat €25–€90 jokaisesta rekisteröidyn tai viranomaisen pyynnöstä, jonka he välittävät. Jos SaaS saa useita pyyntöjä vuodessa, nämä maksut voivat ylittää perusmaksun nopeasti. REP27:n Vakio- ja Moni-paketit sisältävät rajattomat pyynnöt ilman lisämaksua.
• Asetus- tai käyttöönotto maksut: Jotkut tarjoajat veloittavat kertamaksun jopa €250 tilin avaamisesta tai dokumenttien tarkastuksesta. REP27 sisällyttää tämän hintaan.
• Rekisterin ylläpitomaksut: Artikkeli 30 -rekisterin hallinta voi maksaa €100–€400 vuodessa joillakin tarjoajilla. Tämä on keskeinen osa 27 artiklan roolia, mutta ei aina sisälly peruspakettiin. REP27 sisältää tämän Vakio-paketista ylöspäin.
• Kielituki: Peruspaketit tukevat usein vain englantia. Jos tarvitset pyyntöjen käsittelyä muilla EU-kielillä, tarkista sisältyykö se tai onko lisämaksu. REP27:n Vakio- ja Moni-paketit tarjoavat 8 kielen tuen.
• Uusintahinnan korotukset: Jotkut tarjoajat tarjoavat alhaisen aloitushinnan, mutta nostavat maksua toisesta vuodesta alkaen. Kysy aina kirjallisesti vuoden 2 hinta. REP27:n uusintahinnat ovat alhaisempia kuin ensimmäisen vuoden hinnat: €240, €390 ja €690 Perus-, Vakio- ja Moni-paketeissa.
• Lisäpalvelut: Jotkut tarjoajat lisäävät oikeudellista neuvontaa tai tietosuojavastaavan palveluita lisämaksusta. Nämä eivät ole pakollisia 27 artiklan vaatimusten täyttämiseksi eivätkä useimmille SaaS-yrityksille tarpeellisia.

Vältä piilokuluja pyytämällä täydellinen hinnasto, mukaan lukien pyyntö- ja uusintahinnat, ennen sopimuksen tekemistä. Arvioi odotettu pyyntömäärä ja kielitarpeet, ja varmista, että tarjoajan kirjallinen mandaatti kattaa kaikki 27 artiklan tehtävät. Näin vältät yllätykset ja varmistat täyden vaatimustenmukaisuuden.

Nimitysprosessi vaihe vaiheelta

GDPR 27 artiklan EU-edustajan nimittäminen on suoraviivainen prosessi, mutta jokainen vaihe on hoidettava oikein vaatimusten täyttämiseksi. Tässä tyypillinen prosessi REP27 — Europe Services, SE:n esimerkillä:

1. Valitse tarjoaja: Tarkastele tarjoajien tarjontaa, hinnoittelua ja ehtoja. Varmista heidän EU-toimipaikkansa ja kyky toimia kaikissa tarvittavissa jäsenvaltioissa.
2. Täytä käyttöönotto lomake: Anna tiedot yrityksestäsi, käsittelytoimista ja yhteystiedoista. Tämä muodostaa perustan 27 artiklan mandaattiin ja Artikkeli 30 -rekisteriin (jos sisältyy).
3. Tarjoajan tarkastus: Tarjoaja tarkistaa tiedot. REP27 tarkistaa jokaisen tiedoston ennen allekirjoitusta. Jos he eivät voi toimia edustajanasi (esim. kielletty toiminta tai puuttuvat tiedot), he palauttavat maksun kokonaan ja antavat kirjallisen perustelun.
4. Vastaanota allekirjoitettu nimityskirje: Hyväksynnän jälkeen saat vastakirjoitetun mandaatin yleensä 24 tunnin sisällä (REP27 Vakio). Asiakirja hyväksyy nimenomaisesti 27 artiklan roolin ja määrittelee tarjoajan vastuut.
5. Sertifikaatti ja vahvistus: REP27 antaa sertifikaatin, jossa on QR-koodi ja julkinen vahvistussivu. Tämä mahdollistaa asiakkaiden, tarkastajien ja viranomaisten nopean vaatimustenmukaisuuden varmistamisen.
6. Päivitä tietosuojaseloste: Lisää edustajan nimi, osoite ja yhteystiedot (sertifikaattipaketissa) tietosuojaselosteeseesi GDPR 13 artiklan 1 kohdan a alakohdan mukaisesti.
7. Jatkuva toiminta: Edustaja vastaanottaa pyynnöt EU:n rekisteröidyiltä ja viranomaisilta, kirjaa ne ja välittää sinulle sovitussa ajassa (REP27 Vakio+ välittää viranomaispyynnöt saman työpäivän aikana). Jos Artikkeli 30 -rekisterit sisältyvät, tarjoaja ylläpitää ja esittää ne viranomaisille pyydettäessä.
8. Uusiminen ja lopetus: Palvelu laskutetaan vuosittain etukäteen. Voit peruuttaa ennen uusimista. Vaihtaessasi tarjoajaa varmista, että kaikki avoimet pyynnöt ja rekisterit siirtyvät sujuvasti ja päivitä tietosuojaseloste uuden edustajan tiedoilla.

Tämä prosessi varmistaa, että täytät 27 artiklan lakisääteiset vaatimukset ja olet valmis valvontaviranomaisen tarkastukseen. Säilytä aina kopio allekirjoitetusta mandaattista ja sertifikaatista.

Riskejä ja sakkoja noudattamatta jättämisestä

Jos et nimeä GDPR 27 artiklan EU-edustajaa, kun se on pakollista, altistat yrityksesi merkittäville oikeudellisille ja taloudellisille riskeille. GDPR:n 83 artiklan 4 kohdan a alakohdan mukaan sakot voivat olla jopa 10 miljoonaa euroa tai 2 % maailmanlaajuisesta vuosiliikevaihdosta, kumpi on suurempi. Nämä sanktiot eivät ole teoreettisia: Alankomaiden tietosuojaviranomainen sakotti Locatefamily.comia 525 000 eurolla pelkästään edustajan nimeämättä jättämisestä.

Riskit sisältävät:

• Valvontaviranomaisten sakot: EU:n viranomaiset voivat tutkia ja sakottaa EU:n ulkopuolisia yrityksiä, jotka eivät noudata 27 artiklaa. Sakot ovat julkisia ja voivat vahingoittaa mainettasi.
• Toimenpiteet: Edustaja ei suojaa sinua valvonnalta. Viranomaiset voivat ryhtyä suoriin toimiin yritystäsi vastaan, kuten käsittelyn keskeyttämiseen tai rekisteröityjen tiedottamiseen.
• Liiketoiminnan häiriöt: Ilman edustajaa et ehkä pysty vastaamaan nopeasti rekisteröityjen tai viranomaisten pyyntöihin, mikä johtaa lisävaatimusten rikkomisiin ja kasvaviin sakkoihin.
• Luottamuksen menetys: Asiakkaat, kumppanit ja tarkastajat tarkistavat yhä useammin GDPR-vaatimustenmukaisuuden, mukaan lukien voimassa olevan EU-edustajan olemassaolon. Noudattamattomuus voi johtaa liiketoimintamahdollisuuksien menetykseen.
• Oikeudenkäynnit: Artikkeli 27(5) selventää, että edustajan nimeäminen ei estä oikeustoimia yritystäsi vastaan. Edustaja on välikäsi, ei suoja.

Vähennä riskejä nimeämällä pätevä edustaja, varmistamalla mandaatti ja pitämällä tietosuojaseloste ajan tasalla. Seuraa tarjoajan suorituskykyä ja ole valmis todistamaan vaatimustenmukaisuus viranomaisille ja asiakkaille.