Vilka företag måste utse GDPR-representant inom EU?

• Skyldighet för företag utanför EU som behandlar personuppgifter om personer inom EU (art. 3(2), 27 GDPR)
• Undantag: offentliga myndigheter, tillfällig behandling/inte i stor skala/utan hög risk (art. 27(2))
• Böter upp till 10 miljoner € eller 2 % av global omsättning (art. 83(4)(a))
• Representanten är kontaktpunkt för myndigheter och registrerade (art. 4(17))
• Årliga priser publicerade: från €290 till över €1 000 (oktober 2026)
• Tjänster och kostnader varierar: var uppmärksam på extra förfrågningar, språk och förnyelser

Uppdaterad 18 October 2026 · 6 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 18 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad lagen kräver: viktiga GDPR-artiklar

Skyldigheten att utse en representant inom EU kommer från artikel 27 i GDPR, som gäller för varje personuppgiftsansvarig eller personuppgiftsbiträde som inte är etablerad inom Europeiska unionen men som erbjuder varor eller tjänster till personer inom EU, eller övervakar deras beteende (art. 3(2) GDPR). Denna skyldighet gäller både B2C- och B2B-företag om de behandlar personuppgifter om individer inom EU. Representanten, definierad i art. 4(17) GDPR, är en fysisk eller juridisk person etablerad inom EU som utses att fungera som kontaktpunkt för tillsynsmyndigheter och registrerade.

Det finns specifika undantag (art. 27(2) GDPR): offentliga myndigheter, tillfällig behandling, inte i stor skala och utan hög risk för de registrerades rättigheter och friheter. Om någon av dessa villkor inte uppfylls gäller skyldigheten att utse representant ändå.

Påföljderna för utebliven utnämning är stränga: art. 83(4)(a) GDPR föreskriver böter upp till 10 miljoner euro eller 2 % av den globala årsomsättningen. Ett konkret exempel: Locatefamily.com bötfälldes med €525 000 för att inte ha utsett en representant.

Utöver utnämningen måste representanten formellt utses med ett skriftligt mandat och uttryckligen acceptera rollen. Att enbart publicera en adress räcker inte. Dessutom måste representanten kunna tillhandahålla registret över behandlingsaktiviteter (art. 30 GDPR) på begäran av myndigheterna.

Sammanfattningsvis är utnämningen av en EU-representant obligatorisk för de flesta företag utanför EU som arbetar direkt eller indirekt med personuppgifter om boende inom unionen, med få undantag.

Hur man väljer EU-representant: praktiska kriterier och tjänstjämförelse

Att välja en GDPR-representant inom EU handlar inte bara om pris: det är avgörande att förstå vad tjänsten faktiskt inkluderar. Leverantörer delas in i tre kategorier:

• Tier 1 – Endast adress: Erbjuder endast en postadress inom EU som vidarebefordrar post. Accepterar inte formellt uppgifterna enligt art. 27, för inga register, garanterar inga svarstider. Det är den billigaste men mest riskfyllda lösningen.
• Tier 2 – Fullständig utnämning: Erbjuder skriftligt mandat, förfrågningsdesk, hantering av register enligt art. 30, garanterade svarstider till myndigheter. Detta är vad GDPR faktiskt kräver.
• Tier 3 – Advokatbyrå: Utöver representation erbjuder de juridisk rådgivning och tilläggstjänster, men till mycket högre kostnader, ofta onödigt för de flesta företag.

Jämförelsetabell över inkluderade tjänster:

Praktiskt tips: begär alltid mandatmall innan köp, kontrollera vem som för registret enligt art. 30 och vilka språk som stöds. En billig tjänst som inte formellt accepterar art. 27-uppgifterna innebär höga risker.

Vad priset egentligen inkluderar och hur man känner igen dolda kostnader

Priserna för GDPR-representanter inom EU varierar mycket, från under €300 till över €2 000 per år (oktober 2026), men skillnaden ligger ofta i vilka tjänster som faktiskt ingår. Kontrollera följande:

• Avgift per förfrågan: Vissa leverantörer tar extra betalt (från €25 till €90) för varje förfrågan från registrerad eller myndighet, medan andra (som REP27 från Standard) inkluderar obegränsade förfrågningar.
• Hantera register enligt art. 30: GDPR kräver att representanten för register över behandlingsaktiviteter. Vissa basplaner inkluderar inte detta eller tar extra betalt (upp till €400/år).
• Språkstöd: Ofta ingår endast engelska i grundplaner; flerspråkig hantering kan vara extra.
• Onboarding/setup-kostnader: Vissa leverantörer tar upp till €250 i aktiveringsavgift.
• Prisökningar vid förnyelse: Kostnaden kan öka från andra året. REP27 erbjuder exempelvis lägre förnyelsepris än första året.

Sammanfattande tabell över dolda kostnader:

Tips: begär alltid en total kostnadssimulering för ditt scenario (antal förfrågningar, språk, förnyelser) och kontrollera vad som händer vid överskridande av gränser.

Hur utnämningen fungerar: steg-för-steg-guide och checklista

Utnämningen av en GDPR-representant inom EU följer en tydlig process. Så här går du tillväga:

1. Verifiera skyldigheten: Kontrollera om ditt företag erbjuder varor/tjänster eller övervakar personer inom EU (art. 3(2), 27 GDPR).
2. Välj leverantör: Utvärdera priser, inkluderade tjänster, språk och dolda kostnader. Begär alltid utnämningsmall.
3. Genomför onboarding: Skicka företagsuppgifter och information som leverantören kräver. Vissa, som REP27, kräver även ifyllnad av register enligt art. 30 (från Standard).
4. Ta emot dokument: Få det undertecknade utnämningsbrevet från båda parter, QR-certifikat och instruktioner för integritetspolicyn.
5. Publicera uppgifter: Lägg in namn, adress och e-post för representanten i integritetspolicyn (art. 13/14 GDPR).
6. Drift: Leverantören hanterar inkommande förfrågningar och vidarebefordrar dem inom föreskrivna tider (t.ex. inom 2 arbetsdagar med REP27, samma dag för myndigheter från Standard).

Operativ checklista:

1. Verifiera art. 3(2) och 27 GDPR
2. Begär och läs utnämningsmall
3. Fråga vem som för registret enligt art. 30
4. Kontrollera garanterade svarstider
5. Beräkna totalkostnader (förfrågningar, språk, förnyelser)
6. Säkerställ att publicering i integritetspolicyn är korrekt

Observera: utnämningen är giltig endast om representanten formellt accepterar skriftligen och brevet är undertecknat av båda parter.

Risker och påföljder: vad händer vid bristande efterlevnad

Att inte utse en EU-representant när det krävs är ett självständigt GDPR-brott (art. 83(4)(a)). Tillsynsmyndigheter kan utdöma böter på upp till €10 miljoner eller 2 % av den globala årsomsättningen, beroende på vilket som är högst. Dessa påföljder gäller även om alla andra GDPR-åtgärder följs men formell utnämning saknas.

Ett verkligt fall: Locatefamily.com bötfälldes med €525 000 av den nederländska myndigheten enbart för utebliven representant. Myndigheter kan också beordra att behandlingen stoppas eller att överträdelsen offentliggörs.

Andra praktiska risker:

• Ofullständigt mandat (t.ex. endast postadress) skyddar inte mot böter
• Underlåtenhet att svara snabbt på myndigheter kan förvärra situationen
• Ansvar ligger alltid hos personuppgiftsansvarig/biträde (art. 27(5)), även om representant finns

Slutsats: att välja leverantör enbart baserat på lägsta pris utan att kontrollera att denne formellt accepterar art. 27-uppgifterna och för registret enligt art. 30 innebär betydande juridiska och anseenderisker.

Vad leverantörer ofta inte berättar: begränsningar, undantag och förnyelser

• Många basplaner är endast postadresser: Accepterar inte formellt art. 27-uppgifterna, för inga register och garanterar inget svar till myndigheter.
• Kostnader per förfrågan kan överstiga årsavgiften: En månad med många förfrågningar kan göra kostnaden mycket högre än väntat.
• Flerspråkig hantering är ovanligt: Ofta ingår endast engelska; REP27 erbjuder desk på 8 språk från Standard.
• Förnyelsepriser ökar ofta efter första året: Många leverantörer har kampanjpriser första året; REP27 erbjuder lägre och transparenta förnyelsepriser.
• Juridiskt ansvar ligger alltid hos kunden: Representanten tar inte ansvar för överträdelser, det ligger hos personuppgiftsansvarig/biträde (art. 27(5)).
• Vanliga undantag: Känsliga uppgifter (art. 9), rättsliga uppgifter (art. 10), tjänster riktade till minderåriga, spel, pharma, vapen, kryptovalutor accepteras ofta inte.

Tips: begär alltid en skriftlig lista över vad som ingår, vad som är undantaget och villkor för förnyelse och uppsägning.

Beslutsmatris: vem måste utse representant? (B2B, B2C, marknadsplatser, storlek)

I praktiken: de flesta företag utanför EU med kunder, användare eller mottagare inom EU måste utse representant, både B2B och B2C, både via egen webbplats och marknadsplatser.

3 praktiska scenarier: vilken skyldighet gäller och vilken lösning välja

1. USA SaaS med EU-kunder: En amerikansk SaaS-leverantör som säljer abonnemang till företag eller användare inom EU måste utse en EU-representant, publicera uppgifter i integritetspolicyn och föra register enligt art. 30. Lösning: REP27 Standardplan, som inkluderar obegränsade förfrågningar, registerhantering och flerspråkig desk.
2. Kinesisk säljare på Amazon: Ett kinesiskt företag som säljer produkter via Amazon till EU-konsumenter omfattas fullt ut av skyldigheten. Om det även säljs i Schweiz måste nFADP-plikten bedömas. Lösning: REP27 Multi-plan, som även inkluderar gratis Schweiz-bedömning.
3. UK webbutik endast B2B: Om inga personuppgifter om EU-personer behandlas (endast företag, inget personligt kontakt) kan undantag gälla. Om data om administratörer/användare samlas in gäller skyldigheten. Lösning: bedöm från fall till fall, men vid osäkerhet är det bättre att utse representant.

Dessa scenarier visar att bedömningen ska baseras både på kundtyp (B2B/B2C), vilken typ av data som behandlas och om övervakning sker.