Tarvitsenko sekä EU:n että Ison-Britannian GDPR-edustajat?

• EU:lle ja Isolle-Britannialle tarvitaan erilliset edustajat, jos kohdistat molempiin.
• Artikkeli 27 GDPR (EU) ja Artikkeli 27 UK GDPR ovat erillisiä lakisääteisiä velvoitteita.
• Yhdistetyt palvelut voivat vähentää hallintoa ja kustannuksia verrattuna erillisiin tarjoajiin.
• Sääntörikkomuksista voi seurata jopa 10 miljoonan euron tai 2 % maailmanlaajuisesta liikevaihdosta oleva sakko.
• EU:ssa tai Isossa-Britanniassa toimivat yritykset ovat vapautettuja oman alueensa edustajasta.

Päivitetty 18 October 2026 · 7 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 18 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä laki edellyttää: Artikkeli 27 EU ja UK GDPR

EU:n GDPR:n artikla 27 ja UK GDPR asettavat selkeän velvoitteen: jos yrityksesi ei ole perustettu EU:ssa tai Isossa-Britanniassa, mutta tarjoaa tavaroita tai palveluja tai seuraa henkilöiden käyttäytymistä näillä alueilla, sinun on nimettävä edustaja, joka on fyysisesti perustettu kuhunkin kyseiseen alueeseen. Tämä koskee sekä rekisterinpitäjiä että käsittelijöitä. Edustaja toimii paikallisena yhteyspisteenä rekisteröidyille ja valvontaviranomaisille, ja hänen tietonsa on sisällytettävä tietosuojaselosteeseesi.

Brexitin jälkeen UK GDPR on erillinen järjestelmä. Tämä tarkoittaa, ettei EU-edustaja voi toimia Isossa-Britanniassa eikä päinvastoin. Kumpikin vaatii erillisen kirjallisen nimityksen, joka on tehty kyseisen lainkäyttöalueen fyysisesti perustetulle toimijalle. Edustajan on pystyttävä vastaamaan rekisteröityjen ja viranomaisten pyyntöihin, ja hänellä saatetaan vaatia olevan hallussaan Artikkeli 30:n käsittelytoimien rekisteriä. Edustajan nimeämättä jättäminen on itsenäinen rikkomus, josta voi seurata jopa 10 miljoonan euron tai 2 % maailmanlaajuisesta liikevaihdosta oleva sakko (Art. 83 GDPR).

Poikkeuksia on: yritykset, joilla on todellinen toimipaikka (ei pelkkä postilokero) EU:ssa tai Isossa-Britanniassa, eivät tarvitse edustajaa omalle alueelleen. Esimerkiksi Ison-Britannian yritys, joka myy EU:hun, tarvitsee EU-edustajan, mutta ei UK-edustajaa. Vastaavasti EU-yritys, joka myy Isoon-Britanniaan, tarvitsee vain UK-edustajan. Yritykset, joilla on todelliset toimipaikat molemmilla alueilla, ovat vapautettuja kummankin alueen edustajavaatimuksesta.

Miten valita GDPR-edustaja: keskeiset tekijät

Oikean GDPR-edustajan valinta on ratkaisevaa yhteensopivuuden ja toiminnan tehokkuuden kannalta. Tässä tärkeimmät huomioitavat seikat:

• Toimivalta-alueen kattavuus: Palveluntarjoajan on oltava laillisesti perustettu EU:ssa EU-edustusta varten ja Isossa-Britanniassa UK-edustusta varten. Yhdistetyt palvelut (kuten REP27) voivat myöntää molemmat nimitykset yhdellä tilauksella, mikä säästää aikaa ja vähentää hallinnollisten virheiden riskiä.
• Palvelun laajuus: Arvioi, tarjoaako palveluntarjoaja vain lakisääteisen minimin vai myös lisäarvopalveluja, kuten tietosuojaselosteen tekstejä, monikielistä pyyntöjen käsittelyä ja Artikkeli 30:n rekisterin ylläpitoa. Esimerkiksi REP27 sisältää tietosuojaselosteen tekstit kahdeksalla kielellä ja QR-varmennettavan todistuksen, kun taas Janus Compliance asettaa kirjeenvaihtorajan ja veloittaa lisäkirjeistä.
• Uusiminen ja hallinnointi: Yhdistetyt palveluntarjoajat synkronoivat uusimispäivät ja dokumentaation, mikä vähentää vahingossa tapahtuvien katkoksien riskiä. Erilliset tarjoajat tarkoittavat erillisiä käyttöönotto- ja uusimisprosesseja, mikä lisää hallinnollista taakkaa ja uusimisen unohtamisen riskiä.
• Maksujen läpinäkyvyys: Etsi selkeät hinnat ja mahdollisten lisämaksujen (esim. pyyntömaksut, käyttöönotto- tai lisäkielimaksut) ilmoitus.
• Poissulkemiset ja rajoitukset: Useimmat tarjoajat eivät sisällä oikeudellista neuvontaa, tietosuojavastaavan palveluita tai auditointeja. Jotkut, kuten REP27, sulkevat pois erityiskategorian tiedot, alle 16-vuotiaat lapset sekä laajamittaisen seurannan tai profiloinnin.

Sisältyy / Ei sisälly / Lisämaksut -taulukko

Mitä hinta todella sisältää (ja ei sisällä)

On tärkeää ymmärtää, mitä saat maksullasi. Palveluntarjoajat eroavat paitsi hinnoissa myös vuositilauksen sisältöjen osalta:

• REP27 — Europe Services, SE: €390/vuosi (Perus) sisältää EU:n ja UK:n Artikkeli 27 -nimitykset, kaksi todistusta (yksi kummallekin alueelle), tietosuojaselosteen tekstit useilla kielillä, QR-koodin varmennuksen, pyyntöpöydän ja sveitsiläisen arvioinnin (tarvittaessa sveitsiläisen edustajan tarpeen määrittämiseksi). Peruspaketti kattaa enintään 10 välitettyä pyyntöä vuodessa; rajoittamattomat pyynnöt ja Artikkeli 30:n rekisterin ylläpito ovat saatavilla ylemmissä paketeissa. Standard- ja Multi-paketeissa ei ole pyyntömaksuja. Oikeudellinen neuvonta, DPO-palvelut ja auditoinnit eivät sisälly.
• Janus Compliance: Maksu per alue: £349/vuosi UK:lle ja €449/vuosi EU:lle. Kumpikin paketti sisältää 50 kirjettä vuodessa (ICO-kirjeenvaihto ei lasketa); jokaisesta lisäkirjeestä veloitetaan £8. Yhdistetty EU+UK-kattavuus vaatii kaksi erillistä tilausta, eikä yhdistelmähintaa ole. Oikeudellinen neuvonta ja rajoittamaton kirjeenvaihto eivät sisälly.
• Euverify: £490/vuosi joko EU- tai UK-edustuksesta (Startup-paketti), sisältäen GDPR-edustajan, ROPA Builderin, GDPR Rep -todistuksen, DSR Unified Inboxin, Trust Badgen, Audit Trailin ja DSR-käännöksen. Yhdistetty kattavuus vaatii kaksi tilausta. Lisämaksuista tiedot pyynnöstä.
• Gabsor: $948/vuosi (Essential-paketti) molemmille EU:lle ja UK:lle, sisältäen yhteensopivuusnäkymän, Trust Centerin, tietosuojakäytännön otteen, merkin, ROPA Builderin, DSAR-hallinnan ja audit trailin. Lisämaksuista tai rajoituksista tiedot pyynnöstä.

Tarkista aina, kattaako julkaistu hinta molemmat alueet vai vain toisen. Useimmat tarjoajat eivät sisällä oikeudellista neuvontaa, DPO-palveluita tai auditointeja. Jotkut sulkevat pois korkean riskin käsittelyn tai palvelut, jotka kohdistuvat lapsiin. Tutustu aina tarjoajan poissulkemisiin ja ehtoihin ennen ostoa.

Piilokustannukset ja mitä tarjoajat yleensä eivät kerro

Vaikka päähintatasot näyttävät samankaltaisilta, piilokustannukset ja operatiiviset riskit voivat kasautua. Tässä mitä kannattaa varoa:

• Pyyntömaksut: Janus Compliance sisältää 50 kirjettä vuodessa, mutta veloittaa £8 jokaisesta lisäkirjeestä. REP27:n Peruspaketti kattaa enintään 10 pyyntöä vuodessa, ja ylemmissä paketeissa pyynnöt ovat rajoittamattomia. Jotkut tarjoajat eivät selkeästi ilmoita pyyntömaksupolitiikkaansa, joten varmista tämä ennen sitoutumista.
• Erilliset käyttöönotot ja uusimiset: Kahden tarjoajan käyttäminen EU:lle ja UK:lle tarkoittaa kaksinkertaista paperityötä ja kahta eri uusimispäivää. Tämä lisää riskiä, että nimitys lakkaa voimasta, mikä on rikkomus Artikkeli 27:n mukaan. Yhdistetyt palvelut (kuten REP27) synkronoivat uusimiset ja vähentävät hallintoa.
• Poissulkemiset: Useimmat tarjoajat sulkevat pois oikeudellisen neuvonnan, DPO-palvelut ja auditoinnit. REP27 sulkee lisäksi pois erityiskategorian tiedot, alle 16-vuotiaat, laajamittaisen seurannan, tiedonvälityksen, aikuisviihteen, uhkapelit, kryptovaluutat, aseet ja lääkkeet. Jos yrityksesi kuuluu näihin, et välttämättä voi käyttää kaikkia tarjoajia.
• Ilmoitusajat: REP27 vaatii kirjallisen ilmoituksen vähintään 30 päivää ennen sopimuksen päättymistä. Tarkista aina peruutusehdot, jotta vältyt ei-toivotuilta uusimisilta.
• Vastuukatto: Vertailun tarjoajat eivät julkaise vastuukattojaan saatavilla olevissa tiedoissa. Pyydä ja tarkista aina sopimuksen vastuukohdat ja vahingonkorvauslausekkeet.

Huomioi, että jotkut tarjoajat eivät sisällytä tietosuojaselosteen tekstejä, monikielistä tukea tai QR-koodilla varmennettavia todistuksia vakiona. Näiden puuttuminen voi johtaa yhteensopivuusongelmiin tai lisätyöhön tiimillesi.

Miten nimitys toimii: vaiheittainen tarkistuslista

GDPR-edustajan nimeäminen on dokumentoitava ja varmennettava prosessi. Tässä käytännöllinen vaiheittainen tarkistuslista yhteensopivuuden varmistamiseksi:

1. Arvioi velvoitteesi: Selvitä, tarjoatko tavaroita/palveluja tai seuraatko henkilöitä EU:ssa, Isossa-Britanniassa tai molemmissa.
2. Valitse palveluntarjoaja: Valitse alueella (tai molemmilla alueilla) laillisesti perustettu tarjoaja. Tarkista heidän poissulkemisensa ja sisältyvät ominaisuutensa.
3. Täytä käyttöönotto: Täytä palveluntarjoajan käyttöönottoilmoituslomake. Yhdistetyt palvelut kuten REP27 käyttävät yhtä lomaketta molemmille alueille, mikä säästää aikaa ja vähentää ristiriitaisia vastauksia.
4. Palveluntarjoajan tarkastus: Palveluntarjoaja tarkistaa lähetyksesi ja laatii nimitykset. Yhdistetyissä palveluissa molemmat nimitykset laaditaan samoilla vastauksilla, mikä varmistaa yhdenmukaisuuden.
5. Allekirjoitukset: Palveluntarjoajan EU-yksikkö allekirjoittaa EU-nimityksen; UK-yksikkö UK-nimityksen. Saat kaksi erillistä, allekirjoitettua asiakirjaa.
6. Vastaanota todistukset ja tekstit: Saat kaksi todistusta (yksi kummallekin alueelle), jokaisessa ainutlaatuinen varmennuskoodi, sekä tietosuojaselosteen tekstit molemmille alueille. REP27 tarjoaa QR-koodit ja julkiset varmennussivut.
7. Päivitä tietosuojaseloste: Lisää molemmat tekstirivit tietosuojaselosteeseesi. Pelkkä yhden rivin käyttö molemmille alueille on virheellinen ja voi herättää valvontaviranomaisten huomion.
8. Ylläpidä yhteensopivuutta: Varmista, että edustajasi pystyy vastaamaan rekisteröityjen ja viranomaisten pyyntöihin. Uusitse nimitys vuosittain ja pidä kirjaa kaikesta kirjeenvaihdosta.
9. Sveitsiläinen arviointi (tarvittaessa): REP27:n kanssa saat myös ilmaisen sveitsiläisen arvioinnin, joka määrittää, tarvitsetko sveitsiläisen edustajan. Saat ilmoituksen välittömästi, jos näin on.

Tämän tarkistuslistan noudattaminen minimoi yhteensopivuusriskit ja varmistaa Artikkelin 27 GDPR:n ja UK GDPR:n vaatimusten täyttymisen.

Päätösmatriisi: Tarvitsetko EU-, UK- vai molemmat edustajat?

Käytä tätä päätösmatriisia selvittääksesi nopeasti velvoitteesi yrityksesi sijainnin ja toiminnan perusteella:

Tämä matriisi kattaa B2B-, B2C- ja markkinapaikkamyyjät (Amazon, Etsy, eBay). Jos yrityksesi ei ole perustettu EU:hun tai UK:hon mutta kohdistaa molempiin, sinun on nimettävä edustajat molemmille alueille. Jos olet perustettu jommallekummalle, tarvitset edustajan vain toiselle alueelle. Jos olet perustettu molemmille, et tarvitse edustajaa kummallekaan.

Todelliset tilanteet: Mikä velvoite koskee sinua?

• Yhdysvaltalainen SaaS-yritys, joka myy EU:hun ja UK:hon: Yhdysvalloissa toimiva SaaS-palveluntarjoaja, jolla on asiakkaita molemmissa alueissa, on velvollinen nimeämään sekä EU- että UK GDPR -edustajan. REP27 voi myöntää molemmat nimitykset yhdellä tilauksella 390 eurolla vuodessa, tarjoten kaksi todistusta ja tietosuojaselosteen tekstit molemmille alueille. Tämä yksinkertaistaa yhteensopivuutta ja vähentää hallinnollista taakkaa verrattuna erillisten tarjoajien käyttöön.
• Kiinalainen Amazon-myyjä, joka toimittaa Saksaan ja UK:hon: Kiinalaisen myyjän, joka listaa tuotteita Amazon.de:ssä ja Amazon.co.uk:ssa ja toimittaa molempiin maihin, on nimettävä sekä EU- että UK-edustajat. Yhdistetyt palvelut ovat helpoin tapa varmistaa molempien velvoitteiden täyttyminen ja vähentää ristiriitaisten asiakirjojen tai unohtuneiden uusimisten riskiä.
• UK-verkkokauppa, joka myy vain UK-asiakkaille: Ison-Britannian verkkokauppa, joka ei kohdistu tai seuraa EU:n asukkaita, ei tarvitse EU-edustajaa. Koska yritys on perustettu UK:hon, se on vapautettu UK-edustajan nimeämisestä. Artikkeli 27 -edustajaa ei tarvita.
• EU-yritys, joka myy vain UK:hon: Irlantilainen tai saksalainen yritys, joka myy UK:n kuluttajille, tarvitsee UK GDPR -edustajan, mutta ei tarvitse EU-edustajaa oman alueensa osalta.
• Markkinapaikkamyyjät (Amazon, Etsy, eBay): EU:n tai UK:n ulkopuoliset myyjät, jotka käyttävät näitä alustoja tavoittaakseen EU- tai UK-asiakkaita, on nimettävä asianmukaiset edustajat. Jotkut tarjoajat, kuten REP27, tarjoavat yhdistettyjä palveluja erityisesti markkinapaikkamyyjille, mikä helpottaa yhteensopivuutta.

Riskit ja sakot yhteensopimattomuudesta

Artikkelin 27 GDPR:n tai UK GDPR:n noudattamatta jättäminen voi johtaa vakaviin seuraamuksiin. Valvontaviranomaisilla on valtuudet määrätä hallinnollisia sakkoja jopa 10 miljoonan euron tai 2 % maailmanlaajuisesta vuotuisesta liikevaihdosta suurimman summan mukaan (GDPR Artikkeli 83). Esimerkiksi Alankomaiden viranomainen sakotti Locatefamily.comia 525 000 eurolla edustajan nimeämättä jättämisestä. Rahallisten seuraamusten lisäksi viranomaiset voivat määrätä henkilötietojen käsittelyn lopettamisen tai rajoittaa liiketoimintaasi EU:ssa tai UK:ssa.

Riskit eivät rajoitu pelkästään sakkoihin. Jos edustajasi nimitys lakkaa voimasta uusimisen unohtamisen vuoksi tai tietosuojaseloste ei oikein nimeä molempia edustajia, sinut voidaan todeta lainrikkojaksi. Tämä voi johtaa tutkintoihin, maineen menetykseen ja asiakkaiden luottamuksen heikkenemiseen. Yhdistetyn palveluntarjoajan käyttö vähentää hallinnollisten virheiden riskiä ja varmistaa, että molemmat nimitykset pysyvät ajan tasalla ja varmennettavissa.

Lopuksi, henkilötietojen rekisteröityjen tai viranomaisten pyyntöihin vastaamatta jättäminen määräajassa voidaan myös katsoa rikkomukseksi. Varmista, että palveluntarjoajallasi on luotettava pyyntöpöytä ja että sinulla on sisäiset prosessit välitettyjen pyyntöjen käsittelyyn lakisääteisissä määräajoissa.