谁需要在欧盟指定GDPR代表？

• GDPR第27条要求大多数处理欧盟数据的非欧盟企业指定欧盟代表。
• 豁免情况：偶尔、低风险处理或涉及国家安全/国防的活动。
• 代表必须设立在数据主体所在的欧盟成员国之一。
• 必须向数据主体和监管机构提供代表联系信息。
• 不合规可处以最高1000万欧元或全球营业额2%的罚款。
• 服务提供商提供不同服务级别：仅地址、完整授权或法律顾问。
• 价格差异大，常见隐藏的按请求或续费费用。

已更新 17 October 2026 · 8 已检查来源

比较提供者

价格如在每个提供者的网站上发布的，日期为 17 October 2026，除非另有说明，不包括增值税。每一行链接到其来源。

GDPR第27条的要求

GDPR第27条明确规定：任何未在欧盟设立的控制者或处理者，但根据第3(2)条（向欧盟个人提供商品或服务，或监控其行为）受规制，必须在开始处理个人数据前，以书面形式指定一名欧盟代表。此规定确保欧盟数据主体及监管机构在隐私事务上有本地联系点，即使公司位于欧盟之外。

重要豁免包括：

• 处理仅为偶尔发生，且不涉及特殊类别数据的大规模处理，且不太可能对个人权利自由构成风险。
• 活动涉及国家安全或国防。

代表必须设立于数据主体所在的欧盟成员国之一。指定必须书面完成，代表须获授权代表您履行GDPR义务。代表联系信息须提供给数据主体和监管机构，并在隐私声明中公布。

不合规属于第83(4)(a)条独立违规，罚款最高达1000万欧元或全球营业额2%。荷兰监管机构因未指定代表罚款Locatefamily.com 525,000欧元。代表非免责盾牌：第27(5)条明确，指定代表不阻止对公司本身的执法行动。

• 包含/不包含/额外费用表

如何选择GDPR代表

选择合适的GDPR代表对合规和运营效率至关重要。服务提供商通常提供三种主要服务层级：

• 第一层级：仅地址 – 简单的邮件转发服务。无授权书，无记录，无GDPR专属义务。价格最低，但不符合第27条要求。
• 第二层级：授权 – 书面授权书、证书、请求处理台和第30条记录管理。这是第27条要求的标准：提供商书面接受角色和责任，持有记录，并承诺在规定时间内转发请求。
• 第三层级：法律顾问 – 律师事务所作为代表并提供法律咨询。费用较高，仅当您需要持续法律顾问时才必要，非第27条角色必需。

比较服务商时，需询问：

• 授权书是否明确接受第27条任务？
• 谁持有第30条记录，如何向监管机构出示？
• 转发监管请求的响应时间？
• 是否有按请求或续费费用？
• 是否支持多语言？

例如，REP27在24小时内出具签署的授权书和证书，标准及多角色计划支持多语言且无按请求费用。其他服务商可能按请求收费或仅提供转发地址，不符合GDPR要求。

决策矩阵：

支付前务必索取服务商的授权模板，若未列明并接受第27条任务，您未购买合规服务。

价格实际包含内容

GDPR代表服务价格从不到300欧元到超过2000欧元不等，反映实际提供服务范围。低价可能仅含邮寄地址，高价则含完整授权、请求处理台和记录管理。关键包含项：

• 书面接受第27条任务：服务商必须正式书面接受角色和义务。
• 证书及公开验证：可验证证书增强客户、审计员和监管机构信心。REP27提供二维码证书及公开验证页面。
• 多语言请求处理：对全欧覆盖至关重要。REP27标准计划提供8种语言支持。
• 第30条记录管理：服务商应持有并向监管机构出示记录。REP27标准及多角色计划包含此项。
• 按请求费用或续费涨价：部分服务商对每条数据主体请求收费25至90欧元，或首年后涨价。REP27标准计划无按请求费，续费第二年起降价。

比较时关注包含内容，不仅是标价。例如，REP27基础计划支持每年最多10次请求，标准及多角色计划支持无限请求及记录管理。许多竞争对手未公开完整细节，需额外索取。

务必书面确认第二年续费价格，因入门价格常为促销价。需欧盟及英国双重代表的企业，部分服务商（含REP27）提供组合折扣。

隐藏费用与排除项

许多服务商宣传低年费，但对必需服务收取高额附加费。常见隐藏费用包括：

• 按数据主体请求收费：部分服务商每次请求收费25至90欧元，若月内多次请求，费用迅速超过年费。
• 设置或入职费：一次性费用0至250欧元不等。REP27包含在年费内。
• 额外语言支持：入门计划可能仅含英语。REP27标准及多角色计划含8种语言。
• 第30条记录管理费：部分服务商每年收取100至400欧元。REP27标准及多角色计划包含。
• 续费涨价：部分服务商首年后涨价。REP27续费第二年起降至240/390/690欧元。

法律咨询、DPO服务及合规审计多数不包含在REP27及大多数竞争对手服务内。REP27不处理请求实质，仅转发。授权不阻止直接执法。

服务商很少在宣传中强调这些排除和额外费用。签约前务必仔细阅读授权书和服务条款，特别询问按请求费用、续费价格及变更/终止服务的处理。

指定流程步骤详解

1. 评估适用性：确认您是否为受第3(2)条规制的非欧盟控制者或处理者（向欧盟个人提供商品/服务或监控其行为）。
2. 确定目标国家：列出数据主体所在的欧盟成员国，代表必须设立于其中至少一个国家。
3. 筛选服务商：比较服务商公布的服务、价格及条款。索取授权模板确认涵盖第27条义务。
4. 核查隐藏费用：询问按请求收费、入职费、语言支持及续费价格。
5. 完成入职：填写服务商表格，提供公司信息、处理范围及联系方式。
6. 获取签署授权书：服务商审核资料并出具签署授权书（REP27：24小时内），并提供证书及验证码。
7. 更新隐私声明：根据第13(1)(a)条要求，添加代表姓名、地址及联系方式。
8. 保存合规记录：保留签署授权书、证书及第30条记录备审计。授权书及商业条款不公开。
9. 持续运营：服务商记录并在约定时间内转发数据主体及监管请求。REP27标准/多角色计划对监管机构请求当天转发，其他请求两工作日内。
10. 续费或终止：关注续费日期及取消条款。REP27支持续费前取消并提供书面确认。

此流程确保符合第27条要求，准备好应对审计和监管查询。

违规风险及罚款

大多数处理欧盟个人数据的非欧盟企业必须指定欧盟代表，违规风险重大：

• 独立违规：未指定代表即违反第83(4)(a)条，无论是否发生数据泄露。
• 罚款：监管机构可处以最高1000万欧元或全球年营业额2%的罚款。荷兰监管机构因未指定代表罚款Locatefamily.com 525,000欧元。
• 直接执法：指定代表不免除公司责任。监管机构仍可直接对公司采取行动（第27(5)条）。
• 运营风险：无代表可能无法及时响应数据主体请求或监管查询，导致更多处罚和声誉损害。

为减轻风险，确保服务商出具签署授权书，持有第30条记录（如需），并承诺及时转发请求。保存所有文件备审计。如服务商无法代表您的业务（如因禁止活动），应全额退款并书面确认，REP27即如此操作。

服务商通常不说的事

许多GDPR代表服务商未充分披露服务限制和排除项，常见遗漏包括：

• 仅邮件转发：部分入门服务仅提供邮寄地址，无真实第27条授权，不符合法规。
• 按请求收费：低年费掩盖高额按请求费用，若请求多，服务成本高昂。
• 不持有记录：部分服务商不持有第30条记录，合规所需。务必确认谁持有及如何出示。
• 自动续费及涨价：许多服务商首年后涨价或自动续费，未明确通知。务必书面确认第二年价格。
• 责任限制：代表不承担GDPR违规责任。第27(5)条明确公司仍负全部责任。
• 终止与交接：确认变更或终止时未完成请求和记录如何处理。REP27明确书面确认及交接程序。

签约前务必仔细阅读服务描述及授权书，要求所有条款书面确认，明确包含、排除及额外费用。

指定GDPR代表今日操作清单

1. 确认您是否为受第3(2)条规制的非欧盟控制者或处理者。
2. 确定数据主体所在欧盟国家。
3. 筛选提供书面第27条授权的服务商。
4. 索取并审查授权模板。
5. 核查隐藏费用及续费条款。
6. 完成入职并获取签署文件。
7. 更新隐私声明中代表联系信息。
8. 保存签署授权书和证书备审计。
9. 确保第30条记录持有并可访问（如需）。
10. 关注续费及取消条款，避免不必要费用。

遵循此清单有助于实现并保持合规，避免罚款，并高效响应数据主体及监管请求。

现实场景：谁需要什么？

• 向欧盟企业和消费者销售的美国SaaS：必须根据第27条指定欧盟代表。REP27标准计划涵盖所有要求：书面授权、无限请求转发、记录管理及多语言支持。基础计划适合低请求量，但大多数SaaS推荐标准计划。
• 在欧盟市场销售的中国亚马逊卖家：需同时指定欧盟GDPR代表（数据保护）及GPSR负责人（产品合规）。REP27多角色计划一单覆盖两者，简化亚马逊、Etsy或eBay卖家合规。
• 拥有欧盟客户的英国网店：脱欧后，向欧盟提供商品或服务的英国企业必须指定欧盟代表。REP27基础或标准计划适用，视数据主体请求量及记录管理需求而定。如销售CE标志商品，考虑多角色计划实现联合代表。

每种场景中，最简单合规路径是选择出具签署授权书、持有记录（如需）并提供可验证文件以备审计和客户查验的服务商。