Tarvitsenko todella EU- ja UK-GDPR-edustajan yhdeltä tarjoajalta?

• EU ja UK vaativat kumpikin paikallisen GDPR-edustajan (Art. 27 EU/UK GDPR)
• Yhdistetyt tarjoajat säästävät vaivaa, kustannuksia ja vähentävät virheitä
• Hinnat molemmille edustuksille alkaen €390/vuosi (REP27), muut alkaen £41/kuukausi
• Kaikki tarjoajat eivät kata molempia alueita – tarkista huolellisesti
• Ei tarvetta yrityksille, joilla on aito toimipaikka molemmilla alueilla

Päivitetty 21 October 2026 · 9 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 21 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä laki vaatii? (Artikla 27 EU/UK GDPR yksityiskohtaisesti)

EU:n yleisen tietosuoja-asetuksen (GDPR) artikla 27 ja UK-GDPR velvoittavat EU:n tai Yhdistyneen kuningaskunnan ulkopuoliset yritykset nimeämään paikallisen edustajan, jos ne tarjoavat tavaroita tai palveluita näiden alueiden henkilöille tai valvovat heidän käyttäytymistään. Velvoite koskee kaikkia yrityksiä koosta riippumatta, kun henkilötietoja käsitellään EU- tai UK-kansalaisista. Edustuksen on oltava kirjallinen ja edustajan yhteystiedot on julkaistava tietosuojaselosteessa.

• Velvoite ei koske yrityksiä, joilla on aito toimipaikka kyseisellä alueella tai julkisia viranomaisia (Art. 27(2) GDPR).
• Velvoitteen rikkomisesta voi seurata jopa 10 miljoonan euron sakko tai 2 % maailmanlaajuisesta liikevaihdosta.
• EU-edustus kattaa kaikki 27 EU-jäsenmaata sekä Norjan, Islannin ja Liechtensteinin. UK-edustus koskee vain Yhdistynyttä kuningaskuntaa.
• Brexitin jälkeen tarvitaan kaksi erillistä edustajaa, jos palvellaan molempia markkinoita. EU-edustajaa ei tunnusteta UK:ssa eikä päinvastoin.

Käytännön esimerkki: Yhdysvaltalainen yritys, joka myy sekä saksalaisille että brittiläisille asiakkaille, tarvitsee kaksi edustajaa – yhden EU:ssa ja yhden Yhdistyneessä kuningaskunnassa. Nimitys on edellytys tietojenkäsittelyn laillisuudelle ja se tulee tehdä ennen liiketoiminnan aloittamista.

Miten valita oikea tarjoaja? (Vertailu ja käytännön vinkit)

Sopivan GDPR-edustajan valinta riippuu useista tekijöistä: maantieteellisestä kattavuudesta, hinnoittelusta, palvelun laajuudesta ja laadusta. Kaikki tarjoajat eivät ole oikeudellisesti vakiintuneita molemmilla alueilla – tämä on kuitenkin edellytys, jotta molemmat markkinat voidaan kattaa yhdellä sopimuksella. Tarkista, onko tarjoajalla toimipaikat EU:ssa ja UK:ssa ja saatko yhdistetyn tarjouksen.

• Yhdistetty tarjoaja kuten REP27 varmistaa, että molemmat toimeksiannot ovat yhdenmukaiset ja sovitettu yhteen.
• Erilliset tarjoajat EU:lle ja UK:lle tarkoittavat kaksinkertaista työtä käyttöönotossa, dokumentaatiossa ja uusinnassa – ja lisäävät virheiden riskiä tietosuojaselosteessa.
• Tarkista, saatko lisäpalveluja kuten monikieliset ilmoitustekstit, julkiset varmennussivut tai keskitetyn pyyntöpalvelun.
• Vertaa irtisanomis- ja uusimisehtoja, jotta suojaus ei katkea.

Käytännön vinkki: Pyri yhdistämään molemmat edustukset yhdelle tarjoajalle, jotta varmistat yhdenmukaisuuden ja todistettavuuden.

Mitä hinta todella kattaa? (Palvelun laajuuden vertailu)

Hinnoittelu ja palvelun laajuus vaihtelevat merkittävästi tarjoajittain. Jotkut kattavat vain lakisääteisen minimin, kun taas toiset tarjoavat lisäpalveluja kuten monikieliset ilmoitustekstit, julkiset varmennussivut tai keskitetyn pyyntöpalvelun. Yhdistetyissä tarjouksissa kuten REP27 saat kaksi erillistä sertifikaattia (EU ja UK), molemmat QR-koodilla ja julkisella varmennettavuudella, sekä ilmoitustekstit jopa kahdeksalla kielellä. Myös pyyntöjen hallinta (DSAR) ja tietosuojaselosteen mallipohjat sisältyvät.

• REP27 tarjoaa molemmat edustukset alkaen €390/vuosi, kaksi sertifikaattia, voimassaoloajan ja keskitetyn pyyntöpalvelun.
• Muut tarjoajat perivät usein erilliset maksut EU:sta ja UK:sta (esim. €290/vuosi kumpikin), mikä voi kaksinkertaistaa kustannukset.
• Lisäpalvelut kuten oikeudellinen neuvonta, DPO-palvelut tai compliance-auditoinnit eivät yleensä sisälly.
• Useimmat tarjoajat eivät verkkosivuillaan erittele lisäkustannuksia tai sisältyviä palveluita – kysy aina erikseen.

Yhteenveto: Tarkista tarkasti, mitä palveluita tarvitset ja sisältyvätkö ne hintaan.

Piilokustannukset ja mitä tarjoajat harvoin kertovat

Monet tarjoajat perivät erilliset maksut EU- ja UK-edustuksesta, mikä voi nopeasti kaksinkertaistaa kustannukset. Eri sopimuskaudet ja irtisanomisajat voivat aiheuttaa aukkoja suojassa, jos toinen toimeksianto päättyy ennen toista. REP27:llä on yhteinen voimassaoloaika ja vaihdon palvelu, joka mahdollistaa saumattoman siirtymän. Kaikki tarjoajat eivät sisällä oikeudellista neuvontaa yksittäistapauksiin, DPO-palveluita, compliance-auditointeja tai erityisaloja (esim. rahapelit, biometria, lapset).

• Pyyntökohtaiset maksut voivat tulla, jos pyyntöjen määrä ylittää rajan (esim. REP27:llä 11. pyyntö vuodessa peruspaketissa).
• Edustajan vastuu rajoittuu yleensä pelkkään pyyntöjen välittämiseen – varsinaisen tietojenkäsittelyn oikeudellinen vastuu on yrityksellä itsellään.
• Irtisanomisajat ja automaattiset uusinnat on huomioitava, jotta ei tule ei-toivottuja jatkoja.
• Jotkut tarjoajat eivät tarjoa julkista varmennussivua tai monikielisiä ilmoitustekstejä, mikä vaikeuttaa todistettavuutta.

Käytännön vinkki: Lue ehdot ja palvelukuvaukset tarkasti ja kysy suoraan piilokustannuksista tai rajoituksista.

Miten tilaus etenee vaihe vaiheelta? (Prosessi ja käytännön esimerkit)

1. Tarpeen arviointi: Selvitä, sijaitseeko yrityksesi EU:n tai UK:n ulkopuolella ja myytkö loppuasiakkaille näillä markkinoilla tai valvotko heidän käyttäytymistään.
2. Tarjoajan valinta: Valitse tarjoaja, jolla on toimipaikat molemmilla alueilla, jos palvelet molempia markkinoita.
3. Verkkolomakkeen täyttö: Anna tiedot yrityksestäsi, tietojenkäsittelyn tarkoituksista, rekisteröidyistä henkilöistä ja vastaanottajista.
4. Dokumenttien tarkistus: Tarjoaja laatii kaksi toimeksiantoa (EU & UK), tarkistaa yhdenmukaisuuden ja varmistaa, ettei ristiriitoja synny.
5. Allekirjoitus: Molemmat edustukset allekirjoitetaan erikseen (esim. REP27:llä Europe Services SE EU:lle ja REP27 LTD UK:lle).
6. Sertifikaatit ja ilmoitustekstit: Saat molemmille markkinoille omat QR-koodilla varustetut sertifikaatit ja sopivat tietosuojaselosteen tekstit.
7. Tietosuojaselosteen päivitys: Lisää molemmat edustajat oikeilla tiedoilla tietosuojaselosteeseen.
8. Varmistuslinkin ja QR-koodin säilytys: Näin voit aina todistaa velvoitteen täyttämisen.

Käytännön esimerkki: REP27:llä koko prosessi kestää yleensä alle 24 tuntia kaikkien asiakirjojen toimittamisesta.

Päätösmatriisi: Kuka tarvitsee mitä? (Kaikkien yritysmuotojen matriisi)

Käytännön vinkki: Tarkista säännöllisesti, muuttuvatko liiketoimintamallisi tai kohdemarkkinasi, jotta voit reagoida ajoissa uusiin velvoitteisiin.

Tarkistuslista: Ole compliant jo tänään (Vaiheittainen ohje)

1. Tarkista, sijaitseeko yrityksesi EU:n tai UK:n ulkopuolella.
2. Selvitä, myytkö loppuasiakkaille EU:ssa/UK:ssa tai valvotko heidän käyttäytymistään.
3. Päätä, palveletko molempia markkinoita vai vain yhtä.
4. Valitse tarjoaja, jolla on toimipaikat molemmilla alueilla (esim. REP27).
5. Täytä verkkolomake ja toimita vaaditut tiedot.
6. Tarkista saamasi toimeksiannot ja sertifikaatit oikeellisuuden varmistamiseksi.
7. Päivitä tietosuojaseloste molempien edustajien tiedoilla.
8. Tallenna varmennuslinkit ja QR-koodit viranomais- tai kumppanitodistuksia varten.
9. Suunnittele uusinta ajoissa, jotta suojaus ei katkea.

Tämän tarkistuslistan avulla olet muutamassa vaiheessa lainmukainen.

Riskejä ja sakkoja rikkomuksista (Ansa- ja esimerkkitapaukset)

Artikla 27 EU/UK GDPR:n noudattamatta jättäminen on itsenäinen rikkomus, josta voi seurata jopa 10 miljoonan euron sakko tai 2 % maailmanlaajuisesta liikevaihdosta. Valvontaviranomaiset voivat myös määrätä myyntikieltoja tai julkisia varoituksia. Tunnettu esimerkki on Locatefamily.com, jolle Alankomaiden viranomainen määräsi 525 000 euron sakon edustajan nimeämättä jättämisestä.

• Myös mainehaitat ja myyntikiellot ovat mahdollisia.
• Virheelliset tai ristiriitaiset tiedot tietosuojaselosteessa voivat johtaa lisätarkastuksiin.
• Edustajan puuttuminen voi estää rekisteröityjen tai viranomaisten pyyntöjen asianmukaisen käsittelyn – mikä johtaa lisäoikeudellisiin seuraamuksiin.

Käytännön vinkki: Pidä kaikki todistukset ja sertifikaatit ajan tasalla ja varmista, että tietosuojaseloste on aina oikea.

Kolme käytännön skenaariota (Konkreettisia esimerkkejä ja ratkaisuja)

• Yhdysvaltalainen SaaS-toimittaja: Myy ohjelmistoa saksalaisille ja brittiläisille asiakkaille. Tarvitsee molemmat edustajat. Yhdistetty tarjoaja kuten REP27 mahdollistaa koko prosessin yhdellä kertaa – kaksi sertifikaattia, yksi voimassaoloaika, vähemmän vaivaa.
• Kiinalainen Amazon-kauppias: Myy tuotteita Amazon.de:ssä ja Amazon.co.uk:ssa. Koska loppuasiakkaita on molemmilla markkinoilla, tarvitaan kaksi edustajaa. Yhdistetty tarjous vähentää virheitä ja helpottaa todistamista markkinapaikoille ja viranomaisille.
• Brittien verkkokauppa: Myy vain saksalaisille asiakkaille. Tarvitsee vain EU-edustajan, ei UK-edustajaa. Tilauksen voi rajata suoraan EU-edustukseen.

Nämä esimerkit korostavat oman markkinatoiminnan oikeaa arviointia ja sopivan tarjoajan valinnan tärkeyttä.