Vaihtoehdot perinteisille lakiedustajille EU:n Data Act -vaatimusten noudattamisessa

• EU:n ulkopuoliset pilvi-, SaaS- tai IoT-palveluntarjoajat EU:ssa on nimettävä Data Act -edustaja
• Erikoistuneet yritykset tarjoavat EU-edustusta julkaistuilla vuosimaksuilla
• REP27 — Europe Services, SE kattaa koko ETA-alueen, monikielisen tuen ja sveitsiläisen arvioinnin
• Pilven vaihto, datan käyttöoikeudet ja käyttäjän oikeudet ovat keskeisiä vaatimuksia
• Piilokustannukset, poissulkemiset ja käyttöönoton nopeus vaihtelevat toimittajittain – tarkista ehdot huolellisesti
• Kaikki yritykset eivät tarvitse edustajaa; katso päätösmatriisi lisätietoja varten

Päivitetty 22 October 2026 · 11 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 22 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä EU:n Data Act vaatii (artikla-viitteineen)

EU:n Data Act, joka on voimassa 11. tammikuuta 2024 alkaen ja sovellettavissa 12. syyskuuta 2025 lähtien, on laaja säädös, jonka tavoitteena on varmistaa oikeudenmukainen pääsy ja käyttö dataan koko EU:ssa. Se koskee sekä EU- että EU:n ulkopuolisia yrityksiä, jotka tarjoavat datankäsittelypalveluita – mukaan lukien pilvi-, SaaS- ja IoT-alustat – EU-asiakkaille. EU:n ulkopuolisten palveluntarjoajien on nimettävä EU:ssa toimiva edustaja hoitamaan sääntelyviestintää ja varmistamaan Data Actin vaatimusten noudattaminen (katso REP27-ohjeet).

• Luku VI (artiklat 23–29): Keskittyy pilven vaihtoon. Palveluntarjoajien on poistettava kaupalliset, tekniset ja sopimukselliset esteet vaihdolle, rajoitettava irtisanomisaika kahteen kuukauteen, tarjottava 30 päivän siirtymäaika (pidennettävissä teknisesti mahdottomissa tapauksissa) ja varmistettava siirrettyjen palveluiden toiminnallinen vastaavuus. 12. tammikuuta 2027 alkaen kaikki vaihtomaksut on poistettava.
• Artikla 3(1): IoT- ja liitettyjen tuotteiden valmistajille määrätään, että tuotteet on suunniteltava siten, että käyttäjät voivat oletuksena helposti, turvallisesti ja maksutta käyttää omia tietojaan rakenteellisessa, koneellisesti luettavassa muodossa (lähde).
• Artikla 5: Käyttäjät voivat pyytää tietojensa siirtoa valitsemalleen kolmannelle osapuolelle, mikä avaa korjaus-, analytiikka- ja jälkimarkkinapalvelut.
• Edustajavaatimus: Kaikkien näiden sääntöjen alaisena olevien EU:n ulkopuolisten palveluntarjoajien on nimettävä unionissa edustaja sääntelyviestintää ja vaatimustenmukaisuutta varten. Tämä on itsenäinen velvoite, samankaltainen kuin GDPR:n artikla 27, mutta Data Actiin liittyvä.

Valvonta on kansallista, ja sakkojen on oltava tehokkaita, suhteellisia ja pelotteellisia. Säädös linkittyy myös GDPR:ään ja muihin EU:n digitaalisiin lakeihin, joten päällekkäisiä velvoitteita voi olla.

Miten valita Data Act -edustaja

Oikean Data Act -edustajan valinta vaatii huolellista liiketoimintamallin, asiakaskunnan ja teknisten velvoitteiden arviointia. Tässä käytännön lähestymistapa:

• Yrityksen sijainti ja toiminta: Oletko EU:n ulkopuolella ja myytkö pilvi-, SaaS- tai IoT-palveluita EU-asiakkaille? Jos kyllä, sinun on todennäköisesti nimettävä edustaja.
• Palvelun laajuus: Tarvitsetko vain Data Act -edustusta vai myös GDPR:n artikla 27:n, GPSR:n tai muun EU-vaatimustenmukaisuuden? Jotkut tarjoajat (kuten REP27) tarjoavat monisäädöspalveluita.
• Kattavuus ja kielet: Harkitse, kattaako tarjoaja koko ETA-alueen ja tarjoaako se dokumentaatiota asiakkaidesi kielillä. REP27 tarjoaa esimerkiksi tietosuojailmoituksen 8 kielellä.
• Tekninen ja toimialakohtainen osaaminen: Onko tarjoajalla kokemusta toimialaltasi (SaaS, IoT, markkinapaikat)? Steelbridge keskittyy esimerkiksi liitettyjen tuotteiden infrastruktuuriin, ei lakiedustukseen.
• Hintojen läpinäkyvyys: Vertaa julkaistuja hintoja ja niiden sisältöä. Jotkut tarjoajat ilmoittavat kaikki hinnat sisältäen, toiset saattavat periä piilokuluja.

Pyydä aina yksityiskohtainen palvelukuvaus ja kysy käyttöönoton aikatauluista, pyyntöjen käsittelystä ja kielituesta ennen valintaa.

Mitä hinta todellisuudessa sisältää

Data Act -edustuksen vuosimaksut kattavat tyypillisesti peruspalvelut: nimityksen EU-edustajaksi, sääntely- ja rekisteröityjen pyyntöjen välittämisen sekä rajoitetun vaatimustenmukaisuustuen. Palveluiden laajuus ja syvyys voivat kuitenkin vaihdella merkittävästi.

• REP27 — Europe Services, SE: EUR 290-890 vuodessa REP27 tarjoaa ETA-alueen kattavan edustuksen, allekirjoitetun nimityskirjeen (eIDAS-sähköinen allekirjoitus), varmennettavan todistuksen (QR-koodi), tietosuojailmoituksen 8 kielellä, pyyntöpisteen viranomais- ja rekisteröityjen pyyntöjen välittämiseen 2 arkipäivän sisällä sekä artikla 30 -rekisterien hallinnan. Kaikki maksulliset paketit sisältävät sveitsiläisen nFADP-arvioinnin ilman lisämaksua, ja jos sveitsin edustajaa ei tarvita, annetaan allekirjoitettu vapautus.
• Usantis, Regingada, EU Shield, Prighter: Nämä tarjoavat nimityksen EU-edustajaksi ja perusvaatimustenmukaisuustuen, mutta eivät mainitse monikielisiä dokumentteja, teknistä toteutusta tai sveitsiläisiä arviointeja. Hinnat ovat julkaistu, mutta lisäpalveluiden yksityiskohdat voivat vaatia tiedustelua.
• Steelbridge: Tarjoaa vaatimustenmukaisuusinfrastruktuuria liitetyille tuotteille (API:t, suostumus, auditointilokit), mutta ei toimi lakiedustajana. Hinta pyynnöstä.

Selvitä aina, mitä on ja mitä ei ole sisällytetty. Jotkut toimittajat voivat periä lisämaksuja teknisestä dokumentaatiosta, toimialakohtaisesta neuvonnasta tai monimutkaisten pyyntöjen käsittelystä. Tarkista sopimus mahdollisten pyyntömaksujen, käyttöönoton ja uusimismaksujen varalta.

Piilokustannukset ja poissulkemiset

Vaikka monet tarjoajat mainostavat kiinteitä vuosimaksuja, piilokustannukset ja poissulkemiset ovat yleisiä. Tässä mitä kannattaa varoa:

• Tekninen toteutus: Useimmat edustajat eivät hoida teknistä vaatimustenmukaisuutta, kuten API:en tai datansiirtotyökalujen rakentamista. Steelbridge on poikkeus, keskittyen infrastruktuuriin mutta ei lakiedustukseen.
• Sveitsin edustus: REP27 sisältää sveitsiläisen nFADP-arvioinnin ja vapautustodistuksen kaikissa maksullisissa paketeissa, mutta ei toimi sveitsin edustajana tarvittaessa. Muut tarjoajat eivät mainitse sveitsin kattavuutta.
• Pyyntömaksut: Jotkut voivat periä maksuja suurten viranomaisten tai rekisteröityjen pyyntöjen käsittelystä tai oikeudellisesta tarkastuksesta. Pyydä aina maksuluettelo.
• Kielituki: Monikielinen dokumentaatio tai tuki ei aina sisälly. REP27 tarjoaa tietosuojailmoituksen 8 kielellä; muut eivät välttämättä.
• Vastuurajat: Sopimukset rajoittavat usein tarjoajan vastuuta vaatimustenmukaisuuden laiminlyönneistä tai määräaikojen ylityksistä. Tarkista ehdot erityisesti, jos yrityksesi on korkean riskin toimija.
• Irtisanomisajat: Data Act rajoittaa vaihtoilmoitusaikoja kahteen kuukauteen, mutta vanhemmissa sopimuksissa voi olla pidempiä aikoja tai automaattisia jatkoja. Edustajat eivät yleensä neuvottele näitä puolestasi.

Pyydä täydellinen erittely sisällytyksistä, poissulkemisista ja lisämaksuista ennen sopimuksen tekemistä.

Miten nimitys toimii: vaihe vaiheelta

Data Act -edustajan nimitys on määritelty prosessi, mutta käytännön vaiheet ja käyttöönoton nopeus vaihtelevat toimittajittain. Tässä yksityiskohtainen opas nykyisten käytäntöjen perusteella:

1. Arvioi velvoitteesi: Varmista, että yrityksesi on EU:n ulkopuolella ja tarjoaa datankäsittely-, pilvi-, SaaS- tai IoT-palveluita EU-asiakkaille. Jos kyllä, sinun on todennäköisesti nimettävä edustaja.
2. Valitse toimittaja: Vertaa toimittajia kattavuuden, hinnan, sisällön ja toimialakokemuksen perusteella. Pyydä palvelukuvaus ja hinnasto.
3. Toimita yritystiedot: Useimmat toimittajat tarvitsevat oikeushenkilötiedot, palvelukuvauksen ja yhteystiedot. Jotkut voivat pyytää teknisiä dokumentteja tai tietosuojailmoituksia.
4. Vastaanota nimitys: Toimittaja laatii allekirjoitetun nimityskirjeen (REP27: 24 tunnin sisällä, eIDAS-allekirjoitus), varmennettavan todistuksen ja tietosuojailmoituksen. Nämä tulee mainita sopimuksissa ja tietosuojakäytännöissä.
5. Päivitä dokumentaatio: Lisää edustajan tiedot tietosuojailmoitukseen, sopimuksiin ja tuotteen käyttöohjeisiin. Liitetyille tuotteille päivitä tekniset tiedot ja ohjeet Data Actin vaatimusten mukaisesti.
6. Jatkuva vaatimustenmukaisuus: Edustaja välittää sääntely- ja rekisteröityjen pyynnöt, ylläpitää vaadittuja rekistereitä ja tiedottaa sääntelymuutoksista. Vastuu teknisestä ja sopimuksellisesta vaatimustenmukaisuudesta säilyy sinulla.

Ostajan tarkistuslista:

1. Tunnista, koskeeko Data Act yritystäsi
2. Määritä, tarvitsetko myös GDPR- tai GPSR-edustajan
3. Vertaa toimittajia ja pyydä yksityiskohtaiset palvelukuvaukset
4. Nimennä edustaja kirjallisesti
5. Päivitä kaikki asiaankuuluvat dokumentit ja sopimukset
6. Seuraa sääntelypäivityksiä ja uusi nimitys vuosittain

Riskejä ja sakkoja vaatimusten noudattamatta jättämisestä

Data Actin edustajavaatimuksen laiminlyönti altistaa EU:n ulkopuoliset palveluntarjoajat merkittäville riskeille:

• Sakot: Vaikka Data Act jättää sakot kansallisille viranomaisille, niiden on oltava tehokkaita, suhteellisia ja pelotteellisia. Vertailun vuoksi GDPR:n artikla 27:n rikkomuksista on määrätty jopa 10 miljoonan euron sakkoja tai 2 % maailmanlaajuisesta liikevaihdosta (katso Locatefamily.com-tapaus GDPR:n alla).
• Sopimusten täytäntöönpanokelvottomuus: Laiminlyönti voi tehdä EU-asiakkaiden kanssa tehdyt sopimukset täytäntöönpanokelvottomiksi tai johtaa hankintojen sulkemiseen, erityisesti suurten tai julkisten ostajien kohdalla.
• Mainehaitat: EU-asiakkaat vaativat yhä useammin todisteita vaatimustenmukaisuudesta ennen sopimusten allekirjoittamista tai uusimista. Edustajan nimittämättä jättäminen voi johtaa liiketoiminnan menetykseen ja negatiiviseen julkisuuteen.
• Valvontatrendit: Sääntelyviranomaisten huomio kohdistuu yhä enemmän pilvi-, SaaS- ja IoT-palveluntarjoajiin, erityisesti niihin, joilla on merkittävä EU-markkinaosuus tai jotka käsittelevät arkaluontoisia tietoja.
• Päällekkäisyys muiden säädösten kanssa: Monet EU:n ulkopuoliset tarjoajat ovat myös GDPR:n, NIS2:n tai GPSR:n alaisia. Kaikkien soveltuvien velvoitteiden laiminlyönti lisää riskialttiutta.

Pätevä edustaja ja ajan tasalla oleva dokumentaatio ovat helpoin tapa vähentää näitä riskejä.

Päätösmatriisi: Kuka tarvitsee Data Act -edustajan?

Tämä matriisi auttaa selvittämään, tarvitseeko yrityksesi nimetä Data Act -edustaja. Epävarmuustilanteissa ota yhteyttä toimittajaan räätälöidyn arvion saamiseksi.

Mitä tarjoajat yleensä eivät kerro

Monet Data Act -edustajapalvelut mainostavat yksinkertaisuutta, mutta on tärkeää tiedostaa rajoitukset ja poissulkemiset:

• Sveitsin edustus: Useimmat EU Data Act -edustajat eivät kata Sveitsiä. REP27 sisältää ilmaisen sveitsiläisen nFADP-arvioinnin ja vapautustodistuksen, mutta ei toimi sveitsin edustajana tarvittaessa.
• Tekninen toteutus: Edustajat eivät yleensä hoida teknistä vaatimustenmukaisuutta (esim. API:en tai datansiirtotyökalujen rakentamista). Steelbridge on poikkeus, keskittyen infrastruktuuriin eikä lakiedustukseen.
• Pyyntömaksut ja käyttöönotto: Jotkut voivat periä maksuja suurten pyyntömäärien käsittelystä tai monimutkaisesta käyttöönotosta. Pyydä aina täydellinen hinnasto.
• Vastuurajat: Toimittajat rajoittavat usein vastuunsa myöhästymisistä tai vaatimusten noudattamatta jättämisestä. Tarkista sopimusehdot erityisesti, jos yrityksesi on korkean riskin toimija tai käsittelee arkaluontoisia tietoja.
• Irtisanomisajat ja sopimusehdot: Data Act rajoittaa vaihtoilmoitusaikoja kahteen kuukauteen, mutta jotkut tarjoajat eivät auta neuvottelemaan vanhoja sopimuksia tai automaattisia jatkoja.
• Toimialakohtainen neuvonta: Useimmat edustajat tarjoavat yleistä vaatimustenmukaisuustukea, eivät toimialakohtaista oikeudellista tai teknistä neuvontaa. Varmista, mitä palvelu sisältää, jos toimit säännellyllä alalla.

Läpinäkyvyys vaihtelee – pyydä kirjallinen vahvistus kaikista sisällytyksistä, poissulkemisista ja vastuista ennen edustajan nimittämistä.

Realistisia skenaarioita: Mikä reitti vaatimustenmukaisuuteen?

• Yhdysvaltalainen SaaS-yritys, joka myy EU-yrityksille: On nimettävä Data Act -edustaja (esim. REP27, Usantis, Prighter). Jos käsittelee henkilötietoja, tarvitaan myös GDPR:n artikla 27 -edustaja. Helpoin tapa on valita toimittaja, joka tarjoaa molemmat palvelut, päivittää tietosuojailmoitukset ja sopimukset sekä varmistaa pilven vaihdon ja datan käyttöoikeuksien teknisen vaatimustenmukaisuuden.
• Kiinalainen Amazon-myyjä: Jos myy vain Amazonin kautta (joka toimii rekisterinpitäjänä ja palveluntarjoajana), Data Act -edustajaa ei yleensä tarvita. Jos myy omaa pilvi- tai IoT-palvelua suoraan EU-asiakkaille, on nimettävä edustaja ja varmistettava tuotteen datan käyttöoikeuden vaatimustenmukaisuus.
• Brittiläinen verkkokauppa, jolla on EU-asiakkaita: Jos tarjoaa pilvi-, SaaS- tai liitettyjä tuotteita EU:lle, Data Act -edustaja on pakollinen. Jos käsittelee henkilötietoja, tarvitaan myös GDPR:n artikla 27 -edustaja. Nimennä toimittaja, päivitä dokumentaatio ja varmista, että tuotteen suunnittelu ja sopimusehdot täyttävät Data Actin vaatimukset.

Nämä skenaariot havainnollistavat, miten velvoitteet riippuvat liiketoimintamallista, myyntikanavista ja tuotetyypistä. Arvioi aina oma tilanteesi päätösmatriisin avulla ja ota yhteyttä toimittajaan selvennyksen saamiseksi.