Tarvitsenko lain edustajan, jos myyn tietojenkäsittelypalveluja EU-asiakkaille?

• EU:n ulkopuolisten tietojenkäsittelypalvelujen tarjoajien on nimettävä EU-lain edustaja.
• Velvoite perustuu GDPR:n 27 artiklaan ja EU:n Data Actin lukuun VI.
• Sanktioiden suuruus voi olla jopa 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta.
• REP27 — Europe Services, SE kattaa kaikki ETA-maat ilman lisäkustannuksia.
• EU-alueella toimivat tarjoajat eivät tarvitse edustajaa näiden sääntöjen mukaan.
• Jälleenmyyjät noudattavat pääpalveluntarjoajan vaatimustenmukaisuutta.

Päivitetty 20 October 2026 · 7 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 20 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lain vaatimukset: GDPR 27 artikla ja EU:n Data Act

Myydessäsi tietojenkäsittely- tai pilvipalveluja EU-asiakkaille, EU:n ulkopuoliset yritykset kohtaavat kaksi keskeistä lakivaatimusta: GDPR:n 27 artikla ja EU:n Data Actin luku VI. GDPR:n 27 artiklan mukaan jokaisen EU:n ulkopuolella toimivan rekisterinpitäjän tai käsittelijän, joka tarjoaa tavaroita tai palveluja (mukaan lukien pilvi-, SaaS-, PaaS- tai IaaS-palvelut) EU:n henkilöille, on nimettävä kirjallinen EU-edustaja. Tämä edustaja toimii ensisijaisena yhteyshenkilönä rekisteröidyille ja valvontaviranomaisille. EU:n Data Actin luku VI lisää, että jokaisen EU:n ulkopuolisen tietojenkäsittelypalvelujen tarjoajan on myös nimettävä edustaja. Molemmat lait koskevat yrityksen kokoa, toimialaa tai myyntikanavaa (B2B tai B2C) riippumatta.

• GDPR 27 artikla: Soveltuu EU:n ulkopuolisiin rekisterinpitäjiin/käsittelijöihin, jotka kohdistavat EU-markkinoille.
• EU Data Act luku VI: Koskee EU:n ulkopuolisia tietojenkäsittely- ja pilvipalveluntarjoajia, joilla on erityissääntöjä kaupankäyntiin (esim. siirtymät, ilmoitusajat, poistot, dokumentaatio).
• Sveitsin nFADP (14 artikla): Soveltuu vain, jos kaikki neljä lain edellytystä täyttyvät. REP27 tarjoaa ilmaisen arvion ja tarvittaessa vapautusilmoituksen.

Edustajan nimeämättä jättäminen on itsenäinen rikkomus GDPR:n 83(4)(a) artiklan mukaan, ja sakot voivat olla jopa 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta. Alankomaiden valvontaviranomainen sakotti Locatefamily.comia 525 000 eurolla edustajan nimeämättä jättämisestä. Data Actin mukaan rangaistukset määritellään kansallisesti, mutta niiden on oltava tehokkaita ja pelottelevia.

Yhteenvetona: jos olet EU:n ulkopuolella ja tarjoat mitä tahansa tietojenkäsittelypalvelua (mukaan lukien pilvi, SaaS tai analytiikka) EU-asiakkaille, sinun on nimettävä EU-edustaja. Tämä on lakisääteinen velvoite, ei vapaaehtoinen toimenpide.

Miten valita lain edustaja: käytännön tekijät ja päätöstaulukko

Oikean EU-lain edustajan valinta ei perustu pelkästään hintaan. Arvioi kattavuutta, sisältyviä palveluita, nopeutta ja läpinäkyvyyttä. Jotkut tarjoajat kattavat vain yhden EU-maan, kun taas toiset (kuten REP27) tarjoavat koko ETA-alueen kattavuuden ilman lisäkustannuksia. Kielituki, sisältyvät dokumentit (esim. tietosuojaselosteen tekstit) ja pyyntöjen käsittely ovat myös tärkeitä. Esimerkiksi REP27 tarjoaa tietosuojaselosteen tekstit kahdeksalla kielellä ja pyyntöpalvelun, joka välittää rekisteröityjen ja viranomaisten pyynnöt kahden arkipäivän kuluessa. Kilpailijat eivät välttämättä mainitse näitä ominaisuuksia, ja tiedot voivat olla saatavilla vain pyynnöstä.

Tarkista piilokustannukset, kuten pyyntökohtaiset maksut, sertifikaattimaksut tai lisämaiden lisämaksut. Vain REP27 sisältää selkeästi todennettavan sertifikaatin, julkisen varmennuksen ja Sveitsin nFADP-arvioinnin jokaisessa maksullisessa paketissa. Muut tarjoajat voivat veloittaa näistä erikseen tai eivät tarjoa niitä lainkaan. Varmista aina, mitä julkaistu hinta sisältää, ja pyydä kirjallinen erittely, jos tiedot eivät ole selkeitä.

Yhteenvetona: valitse tarjoaja, joka on läpinäkyvä kattavuudesta, sisältyvistä palveluista ja hinnoittelusta, ja joka voi tarjota dokumentaatiota ja tukea asiakkaidesi käyttämillä kielillä. Pyydä aina palvelusopimus, jossa määritellään tarkasti sisältyvät palvelut ja mahdolliset lisämaksut.

Mitä hinta todella sisältää (ja piilokustannukset)

EU-lain edustajapalveluiden julkaistut hinnat (lokakuu 2026) vaihtelevat REP27:n osalta 290–890 euroa vuodessa ja kilpailijoilla 420–490 euroa vuodessa. Kuitenkaan julkistettu hinta ei aina kuvaa kokonaishintaa tai palvelun tasoa. Esimerkiksi REP27:n hinta sisältää koko ETA-alueen kattavuuden, allekirjoitetun nimityskirjeen, todennettavan sertifikaatin (QR-koodilla ja julkisella varmennuksella), tietosuojaselosteen tekstit kahdeksalla kielellä, pyyntöpalvelun rekisteröityjen ja viranomaisten pyyntöjen käsittelyyn, 27 artiklan kirjanpidon ja Sveitsin nFADP-arvioinnin. Muut tarjoajat eivät välttämättä erittele näitä verkkosivuillaan, ja yksityiskohtainen erittely voi olla saatavilla vain pyynnöstä.

Piilokustannuksia voivat olla:

• Pyyntökohtaiset käsittelymaksut (rekisteröityjen tai viranomaisten pyyntöjen välittämisestä tai vastaamisesta)
• Lisämaiden maksut tarjoajan kotimaan ulkopuolella
• Sertifikaattien tai julkisten varmennustyökalujen maksut
• Lisämaksut tietosuojaselostemallien tai monikielisen tuen osalta
• Viivästykset tai lisämaksut kiireellisistä nimityksistä

Esimerkiksi REP27 myöntää nimityksen 24 tunnin sisällä ilman lisäkustannuksia, kun muiden tarjoajien aikatauluja ei aina julkaista. Jotkut tarjoajat toimivat vain GDPR-edustajina, eivät Data Actin tai muiden säädösten mukaisina edustajina. Varmista aina kattavuuden laajuus ja pyydä täydellinen lista sisältyvistä palveluista ja mahdollisista lisämaksuista ennen sopimuksen tekemistä.

Yhteenvetotaulukko:

Pyydä aina kirjallinen vahvistus sisältyvistä palveluista, jotta vältät odottamattomat kustannukset.

Nimitysprosessi: askel askeleelta esimerkkien kanssa

EU-lain edustajan nimeäminen on suoraviivainen prosessi, mutta se on tehtävä huolellisesti vaatimusten täyttämiseksi. Tässä vaiheittainen opas käytännön esimerkkien kera:

1. Määritä velvoitteesi: Varmista, että yrityksesi on EU:n ulkopuolella ja myyt tietojenkäsittely-/pilvipalveluja EU-asiakkaille. Esimerkki: yhdysvaltalainen SaaS-yritys, jolla on EU-liiketoiminta-asiakkaita.
2. Valitse tarjoaja: Vertaa tarjoajia kattavuuden, sisältyvien palveluiden ja hinnan perusteella. Esimerkki: REP27 tarjoaa koko ETA-alueen kattavuuden ja Sveitsin nFADP-arvioinnin.
3. Pyydä nimitystä: Ota yhteyttä valitsemaasi tarjoajaan ja pyydä kirjallista valtuutusta. REP27 käyttää eIDAS-sähköistä allekirjoitusprosessia nopeuden ja turvallisuuden takaamiseksi.
4. Allekirjoita valtuutus: Täytä ja allekirjoita valtuutus. REP27 toimittaa allekirjoitetun nimityskirjeen 24 tunnin sisällä.
5. Vastaanota dokumentit: Saat allekirjoitetun nimityskirjeen, todennettavan sertifikaatin (QR-koodilla) ja tietosuojaselosteen tekstit (kahdeksalla kielellä REP27:n kautta).
6. Päivitä dokumentaatiosi: Lisää edustajan tiedot tietosuojaselosteeseen, sopimuksiin ja verkkosivuille GDPR:n ja Data Actin vaatimusten mukaisesti.
7. Välitä pyynnöt: Varmista, että edustajasi on valmis käsittelemään rekisteröityjen ja viranomaisten pyynnöt. REP27 välittää ne kahden arkipäivän kuluessa.
8. Ylläpidä vaatimustenmukaisuutta: Pidä kirjanpito ajan tasalla ja ole valmis toimittamaan dokumentaatio viranomaisille tai asiakkaille pyydettäessä.

Tarkistuslista:

1. Varmista, että yrityksesi on EU:n ulkopuolella ja kohdistaa palvelunsa EU-asiakkaille.
2. Tarkista sopimukset Data Actin siirtymis- ja poistomääräysten osalta.
3. Valitse ja nimeä EU-edustaja.
4. Päivitä tietosuojaselosteet ja sopimukset.
5. Varmista pyyntöjen käsittely.
6. Dokumentoi vaatimustenmukaisuus auditointeja ja hankintoja varten.

Käytännön vinkki: EU-ostajat vaativat yhä useammin edustajuuden todistamista ennen sopimusten allekirjoittamista. Todennettava sertifikaatti ja ajan tasalla oleva tietosuojaseloste nopeuttavat hankintaprosessia ja vähentävät kitkaa.

Riskejä ja sakkoja vaatimusten noudattamatta jättämisestä

EU-lain edustajan nimeämättä jättämisen riskit ovat merkittäviä. GDPR:n 83(4)(a) artiklan mukaan edustajan nimeämättä jättäminen on itsenäinen rikkomus, riippumatta tietoturvaloukkauksista tai muista rikkomuksista. Sakot voivat olla jopa 10 miljoonaa euroa tai 2 % maailmanlaajuisesta vuotuisesta liikevaihdosta, kumpi on suurempi. Alankomaiden valvontaviranomainen sakotti Locatefamily.comia 525 000 eurolla pelkästään edustajan nimeämättä jättämisestä.

EU:n Data Act vaatii myös EU:n ulkopuolisia tarjoajia nimeämään edustajan. Rangaistukset määritellään kussakin EU-valtiossa, mutta niiden on oltava tehokkaita, suhteellisia ja pelottelevia. Tämä tarkoittaa, että sakot voivat vaihdella, mutta valvonnan riski on todellinen, kun viranomaiset tehostavat toimintaansa ja ostajat vaativat vaatimustenmukaisuutta liiketoiminnan ehtona.

Muita riskejä ovat:

• Hankintakynnyksen nousu: EU-ostajat voivat kieltäytyä allekirjoittamasta sopimuksia tai jatkamisesta, jos et pysty todistamaan vaatimustenmukaisuutta.
• Maineen vahingoittuminen: Julkiset valvontatoimet tai rekisterit voivat vahingoittaa brändiäsi.
• Toiminnan häiriöt: Viranomaiset voivat estää tai rajoittaa palvelujasi EU:ssa, kunnes vaatimustenmukaisuus on saavutettu.

Yhteenvetotaulukko:

Yhteenvetona: vaatimusten noudattamatta jättämisen kustannukset ylittävät selvästi edustajan vuosimaksun. Edustajan nimeäminen on välttämätön askel sakkojen, liiketoiminnan häiriöiden ja mainehaittojen välttämiseksi.

Mitä tarjoajat eivät yleensä kerro

Vertailtaessa EU-lain edustajapalveluita on tärkeää katsoa pelkän hinnan lisäksi. Tarjoajat eivät usein julkaise täydellisiä tietoja sisältyvistä palveluista, ja piilokustannuksia tai rajoituksia voi olla:

• Kattavuus: Jotkut tarjoajat kattavat vain yhden EU-maan, eivät koko ETA-aluetta. REP27 kattaa kaikki 27 EU:n jäsenvaltiota sekä Norjan, Islannin ja Liechtensteinin ilman lisämaksua.
• Pyyntö- tai sertifikaattimaksut: Jotkut tarjoajat voivat veloittaa erikseen jokaisesta rekisteröidyn tai viranomaisen pyynnöstä tai sertifikaatin myöntämisestä. Näitä maksuja ei yleensä julkaista etukäteen.
• Ilmoitusajat: REP27 myöntää nimityksen 24 tunnissa, mutta muiden tarjoajien aikatauluja ei aina ilmoiteta.
• Vastuuvapausrajoitukset: Useimmat tarjoajat eivät julkaise vastuuvapausrajoituksiaan, joten et välttämättä tiedä, mitä tapahtuu, jos edustaja ei toimi asianmukaisesti.
• Poissulkemiset: Sveitsin edustus ei sisälly REP27:n palveluun, jos se on tarpeen; sen sijaan tarjotaan ilmainen arviointi ja vapautusilmoitus.
• Sopimusehdot: Data Act vaatii kohtuulliset ehdot ja kieltää lukituslausekkeet, mutta kaikki tarjoajat eivät tarjoa ohjeita tai mallipohjia sopimusten päivittämiseen.

Pyydä aina kirjallinen palvelusopimus, jossa määritellään kattavuus, sisältyvät palvelut, vasteajat ja mahdolliset lisämaksut. Pyydä myös esimerkkidokumentteja ja tietosuojaselostemalleja ennen sopimuksen tekemistä.

Päätöstaulukko ja realistiset skenaariot: Kuka tarvitsee EU-edustajan?

Käytä tätä päätöstaulukkoa ja käytännön skenaarioita ymmärtääksesi, tarvitsetko EU-lain edustajan ja mitkä velvoitteet koskevat sinua:

Skenaario 1: Yhdysvaltalainen SaaS-toimittaja myy projektinhallintatyökaluja EU-yrityksille. Velvollinen nimeämään EU-edustajan GDPR- ja Data Act -vaatimusten täyttämiseksi. REP27 tarjoaa koko ETA-alueen kattavuuden ja nopean käyttöönoton.

Skenaario 2: Kiinalainen Amazon-myyjä lähettää tavaroita EU-kuluttajille ja käsittelee heidän osoitetietojaan. Velvollinen nimeämään EU-edustajan GDPR:n mukaan, jos henkilötietoja käsitellään.

Skenaario 3: Brittiläinen verkkokauppa jatkaa myyntiä EU-asiakkaille Brexitin jälkeen. Velvollinen nimeämään EU-edustajan GDPR-vaatimusten täyttämiseksi. Data Act koskee, jos tarjolla on pilvi- tai tietojenkäsittelypalveluja.

Kaikissa tapauksissa yksinkertaisin ja vaatimustenmukaisin ratkaisu on nimetä tarjoaja, joka kattaa koko ETA-alueen ja tarjoaa selkeät dokumentit.