Kuinka vertailla laillisen edustajan palveluntarjoajia ei-eurooppalaisille yrityksille

• Velvoite ei-EU-yrityksille, jotka käsittelevät EU:n asukkaiden tietoja (GDPR Art. 27)
• Julkaistut vuosihinnat: EUR 290 - USD 1 500+
• Sisältyvät palvelut ja kattavuus vaihtelevat tarjoajittain
• Nopea nimitys ja varmennettavat todistukset: eivät aina sisälly
• Riskit: sakot jopa 10 miljoonaa euroa tai 2 % liikevaihdosta

Päivitetty 26 October 2026 · 8 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 26 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä laki vaatii: GDPR:n artikla 27 ja Data Act

GDPR:n artikla 27 velvoittaa EU:n ulkopuoliset rekisterinpitäjät ja käsittelijät, jotka tarjoavat tavaroita tai palveluita EU:n asukkaille tai seuraavat heidän käyttäytymistään, nimeämään edustajan unionissa. Tämä edustaja toimii yhteyspisteenä tietosuojaviranomaisille ja rekisteröidyille, helpottaen viestintää ja pyyntöjen käsittelyä.

Nimittämättä jättäminen on itsenäinen rikkomus, josta voidaan määrätä hallinnollisia seuraamuksia jopa 10 miljoonaan euroon tai 2 %:iin yrityksen maailmanlaajuisesta vuotuisesta liikevaihdosta GDPR:n artiklan 83(4)(a) mukaisesti. Esimerkkinä Locatefamily.com sai 525 000 euron sakon Alankomaiden viranomaisilta edustajan nimittämättä jättämisestä.

• Kirjallinen velvoite: nimitys on tehtävä kirjallisesti (Art. 27(1) GDPR).
• Nopea vastaus: edustajan on vastattava viipymättä viranomaisten ja rekisteröityjen pyyntöihin.
• Rekisterien hallinta: velvollisuus pitää ja esittää pyydettäessä käsittelytoimien rekisterit (Art. 30 GDPR).
• Data Act: EU:n ulkopuolisille pilvipalveluntarjoajille, jotka myyvät palveluita unionissa, Data Act edellyttää edustajan nimeämistä ja sääntöjä tietojen siirrosta, siirrettävyydestä ja poistamisesta.
• Sveitsi: Art. 14 nFADP edellyttää edustajan nimeämistä vain, jos kaikki ehdot täyttyvät (tarjonta asukkaille, laajamittainen käsittely, säännöllisyys, korkea riski).

EU-edustajaa ei vaadita yrityksiltä, jotka ovat jo vakituisesti EU:ssa tai jotka eivät käsittele EU:n asukkaiden tietoja.

Kuinka valita palveluntarjoaja: käytännön kriteerit ja palveluvertailu

EU:n laillisen edustajan valinta tulee perustua objektiivisiin ja tarkistettaviin kriteereihin. Keskeisiä arviointikohteita ovat:

• Julkaistu vuosihinta: valitse läpinäkyvät ja tarkistetut hinnat tarjoavat palveluntarjoajat.
• Nimitysajat: jotkut, kuten REP27, takaavat nimityksen 24 tunnin sisällä.
• Maantieteellinen kattavuus: tarkista kattaako palvelu vain EU:n vai koko ETA:n sekä Sveitsin (arviointi, ei suora edustus).
• Todistukset ja nimityskirjeet: varmennettavat todistukset (QR-koodi, sähköinen allekirjoitus) lisäävät turvallisuutta ja jäljitettävyyttä.
• Kielet: monikielinen dokumentaatio (esim. REP27:n 8 kielen tietosuojailmoitus) helpottaa vaatimustenmukaisuutta useissa maissa.
• Lisäpalvelut: osa tarjoajista sisältää Sveitsin arvioinnin, ulkoisen DPO:n, koulutuksen tai vaatimustenmukaisuuden hallintapaneelin.

Palveluiden sisältyminen/poisjäänti -taulukko:

Läpinäkyvyys sisältyvistä palveluista on olennaista: pyydä aina yksityiskohtainen lista sisältyvistä palveluista ja mahdollisista lisämaksuista ennen sopimuksen allekirjoittamista.

Mitä hinta todella sisältää: varo piilokuluja

Jokaisen palveluntarjoajan julkaisema hinta voi koskea vain perusedustusta, kun taas muut palvelut voivat olla valinnaisia tai lisämaksullisia. Huomioi seuraavat seikat:

• Nimityskirje ja sähköinen allekirjoitus: välttämätön vaatimustenmukaisuuden todentamiseksi, mutta ei aina saatavilla varmennettuna.
• Varmennettava todistus: REP27 tarjoaa QR-koodilla ja julkisella varmennuksella varustetun todistuksen, hyödyllisen auditoinneissa.
• Pyyntöjen välitys: tarkista taatut vastausajat (esim. REP27: välitys 2 arkipäivän sisällä).
• Monikielinen tietosuojailmoitus: tärkeä useissa EU-maissa toimiville yrityksille.
• Art. 30 GDPR -rekisterit: rekisterien hallinta voi sisältyä tai ei; varmista, että palveluntarjoaja pitää ja esittää ne pyydettäessä.
• Sveitsin nFADP-arviointi: REP27 sisällyttää sen, muut eivät yleensä mainitse.

Jotkut, kuten DataShield, tarjoavat lisäpalveluita (ulkoinen DPO, koulutus, hallintapaneeli), mutta hinta alkaa 1 500 dollarista vuodessa. EaseCert tarjoaa kertamaksuvaihtoehdon, joka sopii niille, jotka haluavat välttää toistuvat maksut. Kysy aina mahdollisista lisäkuluista päivityksistä, lisäpyynnöistä, perehdytyksestä tai dokumentaatiosta.

Kuinka nimitys toimii: vaihe vaiheelta ja tarvittavat asiakirjat

1. Velvoitteen tarkistus: Varmista, tarjoatko tavaroita/palveluita tai seuraatko EU:n asukkaita ilman EU-toimipaikkaa.
2. Palveluntarjoajan valinta: Vertaa hintoja, sisältyviä palveluita, vastausaikoja ja kattavuutta.
3. Tietojen keruu: Toimita palveluntarjoajalle yritystiedot, käsittelytoimien yksityiskohdat, tietosuojailmoitus ja tarvittaessa Art. 30 -rekisterit.
4. Virallinen nimitys: Saat allekirjoitetun (sähköisesti, jos mahdollista) nimityskirjeen ja edustustodistuksen. REP27 takaa 24 tunnin toimituksen.
5. Julkaisu: Päivitä tietosuojakäytäntö ja viralliset kanavat EU-edustajan tiedoilla.
6. Jatkuva hallinta: Pidä käsittelyrekisterit ajan tasalla ja varmista, että edustaja saa tiedot muutoksista.

Käytännön tarkistuslista:

1. Tarkista, tarjoatko tavaroita/palveluita tai seuraatko EU:n asukkaita
2. Tarkista, onko sinulla EU-toimipaikka
3. Vertaa julkaistuja hintoja ja sisältyviä palveluita
4. Pyydä tietoja nimitysajoista ja todistuksista
5. Kysy, sisältyvätkö monikielinen tietosuojailmoitus ja Sveitsin arviointi
6. Tarkista mahdolliset lisämaksut pyynnöistä tai päivityksistä
7. Toimi kirjallisen nimityksen kanssa ja päivitä tietosuojakäytäntö

Nimitys on voimassa niin kauan kuin sopimus on voimassa ja sen voi päivittää tai peruuttaa milloin tahansa ilmoittamalla viranomaisille ja päivittämällä julkiset asiakirjat.

Riskit, sakot ja seuraukset nimittämättä jättämisestä

EU-edustajan nimittämättä jättäminen aiheuttaa konkreettisia riskejä ja merkittäviä seuraamuksia. GDPR:n artiklan 83(4)(a) mukaan sakot voivat olla jopa 10 miljoonaa euroa tai 2 % yrityksen maailmanlaajuisesta vuotuisesta liikevaihdosta, riippuen kumpi on suurempi. Viranomaiset voivat lisäksi:

• Estää tietojenkäsittelytoiminnan EU:ssa
• Määrätä toiminnallisia rajoituksia tai lisävelvoitteita
• Vaati laittomasti kerättyjen tietojen poistamista
• Heikentää yrityksen mainetta, vaikuttaen negatiivisesti asiakkaisiin ja kumppaneihin

Esimerkkinä Locatefamily.com sai 525 000 euron sakon nimittämättä jättämisestä. Myöhästymiset viranomaisten tai rekisteröityjen pyyntöihin voivat pahentaa tilannetta ja johtaa lisätarkastuksiin tai seuraamuksiin.

Riski ei koske vain suuryrityksiä: myös pk-yritykset ja markkinapaikkojen myyjät ovat velvollisia, jos ne käsittelevät EU:n asukkaiden tietoja. Noudattamatta jättäminen voi myös estää pääsyn Euroopan markkinoille ja strategisiin kumppanuuksiin.

Päätösmatriisi: kenelle palvelu todella on tarpeen?

Päätös riippuu asiakkaidesi sijainnista ja siitä, käsitteletkö EU:n asukkaiden henkilötietoja. Myös markkinapaikkojen myyjät, kuten Amazon, Etsy tai eBay, ovat velvollisia, jos heillä ei ole EU-toimipaikkaa ja he myyvät eurooppalaisille asiakkaille.

Mitä palveluntarjoajat yleensä eivät kerro: poissulkemiset ja rajoitukset

• Jotkut tarjoajat veloittavat lisämaksuja päivityksistä, usein toistuvista pyynnöistä tai perehdytyspalveluista: tarkista aina sopimuksen läpinäkyvyys.
• Kaikki eivät anna varmennettavia todistuksia tai sähköisesti allekirjoitettuja kirjeitä: tämä voi vaikeuttaa vaatimustenmukaisuuden todentamista auditoinneissa.
• Kattavuus voi jättää pois Norjan, Islannin, Liechtensteinin tai Sveitsin: varmista, kattaako palvelu koko ETA:n vai vain EU:n.
• Palveluntarjoajan vastuu on usein sopimuksellisesti rajoitettu eikä kata yritykselle määrättyjä sakkoja.
• Vastausajat eivät aina ole sopimuksellisesti taattuja: kysy selkeästi SLA:t ja eskalointimenettelyt.
• Sveitsin nFADP-arviointi on harvinainen ja usein ei sisälly, paitsi poikkeuksena REP27.

Ennen sopimuksen allekirjoittamista pyydä aina yksityiskohtainen lista sisältyvistä ja poissuljetuista palveluista sekä irtisanomisehdoista tai palveluntarjoajan vaihdosta.

3 realistista skenaariota: mikä velvoite ja polku valita

• USA:n SaaS: Tarjoaa palveluita EU-asiakkaille ilman EU-toimipaikkaa. Velvollisuus nimetä GDPR Art. 27 -edustaja. Polku: valitse EEA-kattava palveluntarjoaja, vastaanota nimityskirje ja todistus; päivitä tietosuojakäytäntö ja dokumentaatio.
• Kiinalainen Amazon-myyjä: Myy EU-markkinapaikalla ilman EU-toimipaikkaa. Velvollisuus GDPR Art. 27. Polku: nimeä edustaja, julkaise tiedot tietosuojakäytännössä, hallinnoi viranomaisten ja asiakkaiden pyynnöt edustajan kautta.
• Brittiläinen verkkokauppa Brexitin jälkeen: Myy EU-asiakkaille ilman EU-toimipaikkaa. Velvollisuus EU-edustajaan, ei UK-edustajaan. Polku: nimeä EU-edustaja, päivitä dokumentit ja tietosuojakäytäntö, tarkista tarve myös UK-edustajalle brittiasiakkaille.

Kaikissa tapauksissa palveluntarjoajan valinta perustuu läpinäkyvyyteen, nopeaan nimitykseen ja sisältyviin palveluihin. Nimittämättä jättäminen altistaa oikeudellisille ja kaupallisille riskeille.