Kuinka vaihdan EU:n GDPR-edustajani tai GPSR-vastuuhenkilöni?

• Vaihto vaatii uuden kirjallisen valtuutuksen ja päivitetyt asiakirjat.
• GDPR:n 27 artikla ja GPSR edellyttävät EU-pohjaista edustajaa EU:n ulkopuolisille yrityksille.
• Palveluntarjoajien palvelut ja sisällöt vaihtelevat – vertaile huolellisesti ennen vaihtoa.
• REP27 tarjoaa nopeita, varmennettavia todistuksia ja julkisen varmennuksen.
• Poikkeuksia on satunnaiseen, vähäriskiseen käsittelyyn, mutta useimmat myyjät tarvitsevat edustajan.

Päivitetty 28 October 2026 · 5 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 28 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lain vaatimukset: GDPR:n 27 artikla ja GPSR selitettynä

Yleisen tietosuoja-asetuksen (GDPR) 27 artiklan mukaan EU:ssa toimimattoman yrityksen, joka tarjoaa tavaroita tai palveluita EU:n asukkaille tai seuraa heidän käyttäytymistään, on nimettävä edustaja unionissa. Tämä edustaja toimii paikallisena yhteyspisteenä rekisteröidyille ja valvontaviranomaisille. Edustajan on oltava sijoittautunut johonkin EU:n jäsenvaltioon, jossa rekisteröidyt sijaitsevat. Nimitys on tehtävä kirjallisesti, ja edustajan tiedot on julkaistava tietosuojaselosteessa. Poikkeuksia on satunnaiselle, ei-laajamittaiselle erityisten tietoryhmien tai rikostietojen käsittelylle, joka ei aiheuta riskiä yksilöille. Julkiset viranomaiset ovat myös vapautettuja.

Yleinen tuoteturvallisuusasetus (GPSR), asetus (EU) 2023/988, edellyttää EU:n ulkopuolisilta kuluttajatuotteiden valmistajilta ja myyjiltä vastuuhenkilön nimeämistä EU:ssa. Tämän henkilön nimi ja osoite on ilmoitettava tuotetarroissa ja oltava viranomaisten ja markkinapaikkojen saatavilla. Vastuuhenkilö varmistaa tuotteen vaatimustenmukaisuuden, hoitaa dokumentaation ja toimii turvallisuuskysymysten yhteyshenkilönä. Edustajan tai vastuuhenkilön nimeämättä jättäminen voi johtaa sakkoihin, tuotteen poistamiseen myynnistä tai myyntikieltoon.

• GDPR 27 artikla: Koskee EU:n ulkopuolisia rekisterinpitäjiä/käsittelijöitä, jotka tarjoavat tavaroita/palveluita tai seuraavat käyttäytymistä EU:ssa.
• GPSR 16 artikla: Koskee EU:n ulkopuolisia kuluttajatuotteiden valmistajia ja myyjiä.
• Tärkeimmät vaatimukset: Kirjallinen valtuutus, EU-sijoittautuminen, julkiset yhteystiedot ja nopea reagointi viranomaisille.

Molemmissa GDPR:ssä ja GPSR:ssä edustaja tai vastuuhenkilö ei ota yrityksesi oikeudellista vastuuta, vaan on pakollinen yhteyshenkilö vaatimustenmukaisuuden ja valvonnan kannalta. Edustajan nimeämättä jättäminen tai päivittämättä jättäminen voi aiheuttaa merkittäviä liiketoiminta- ja oikeudellisia riskejä.

Kuinka valita uusi edustaja tai vastuuhenkilö

Vaihtaessasi EU:n GDPR-edustajaa tai GPSR-vastuuhenkilöä on tärkeää valita palveluntarjoaja, joka täyttää sekä lakisääteiset vaatimukset että yrityksesi tarpeet. Tässä tärkeimmät huomioitavat tekijät:

• EU-sijoittautuminen: Palveluntarjoajan on oltava sijoittautunut EU:n jäsenvaltioon, jossa asiakkaasi sijaitsevat. Esimerkiksi REP27:n valtuutukset allekirjoittaa Europe Services SE Prahassa, Tšekin tasavallassa, kattaen kaikki EU-maat.
• Nopeus ja dokumentaatio: Kuinka nopeasti palveluntarjoaja voi myöntää uuden valtuutuksen ja todistuksen? REP27 ja GDPR Gateway Limited lupaavat nimitykset 24 tunnin sisällä täydellisistä tiedoista.
• Palvelun laajuus: Kattaako palveluntarjoaja kaikki velvoitteesi (GDPR, GPSR, kosmetiikka, tekoälyasetus jne.)? Jotkut, kuten REP27, tarjoavat monipalvelukattavuuden erillisillä todistuksilla kullekin asetukselle.
• Läpinäkyvyys ja varmennus: Voiko kuka tahansa tarkistaa nimityksesi verkossa? REP27 tarjoaa julkisen varmennuksen, mikä on arvokasta viranomaisille ja markkinapaikoille.
• Sisältyvät palvelut ja tuki: Tarkista, sisältyykö hintaan tietosuojaselosteen teksti, tuotetarratiedot, vaatimustenmukaisuustarkastukset tai tuki useille tuotteille/yksiköille.

Pyydä aina selkeä palvelukuvaus ja kysy mahdollisista lisämaksuista, irtisanomisajoista tai tukirajoituksista. Jos tarvitset sekä GDPR:n että GPSR:n kattavuuden, varmista, että palveluntarjoaja voi myöntää erilliset, varmennettavat todistukset kummallekin velvoitteelle.

Mihin hinta todella kattaa (ja piilokustannukset)

Julkaistut hinnat GDPR- ja GPSR-edustajille vaihtelevat suuresti, 290 €/vuosi (REP27) – 860 €/vuosi (GDPR Gateway Limited) tai 79 $/kuukausi (Gabsor). Todellinen arvo riippuu kuitenkin siitä, mitä perushintaan sisältyy ja mitkä voivat aiheuttaa lisäkustannuksia. Näin arvioit todelliset kustannukset:

• Valtuutus ja todistus: Kaikki listatut palveluntarjoajat sisältävät kirjallisen valtuutuksen ja vahvistuskirjeen. REP27 ja GDPR Gateway Limited tarjoavat lisäksi todistukset ja tietosuojaselosteen tekstin.
• Julkinen varmennus: REP27 tarjoaa julkisen varmennuksen nimityksestäsi, mikä on oleellista viranomaisten ja markkinapaikkojen läpinäkyvyyden kannalta. Muut eivät välttämättä tarjoa tätä ominaisuutta.
• Vuosittainen uusinta: Useimmat palveluntarjoajat veloittavat vuosittain ja vaativat uusinnan vaatimustenmukaisuuden ylläpitämiseksi. GDPR Gateway Limited sisältää vuosittaisen uusinnan vahvistuksen selkeästi.
• Tuote- tai yksikkörajoitukset: REP27:n GPSR-vastuuhenkilöpalvelu kattaa rajattomasti tuotteita suunnitelmaa kohti, kun taas muilla voi olla rajoituksia (ei määritelty – kysy ennen sopimusta).
• Vaatimustenmukaisuustyökalut: Gabsor sisältää vaatimustenmukaisuustarroja, Trust Centerin ja ROPA-rakentajan, jotka voivat olla hyödyllisiä joillekin yrityksille, mutta eivät ole lakisääteisiä vaatimuksia.
• Piilokulut: Joillakin palveluntarjoajilla voi olla lisämaksuja lisäyksiköistä, tiimin jäsenistä tai pyynnöstä annettavasta tuesta. Pyydä aina yksityiskohtainen erittely ja kirjallinen vahvistus sisällöstä.

Palveluntarjoajat harvoin mainostavat irtisanomisaikoja tai tapauskohtaisia tukimaksuja. Jos odotat usein vaihtoja tai runsaasti viranomaiskontaktia, selvitä nämä ehdot etukäteen. Tuotemyyjille varmista, että tarrapäivitykset ja dokumentaatiomuutokset sisältyvät palveluun.

Miten nimitys ja vaihto tapahtuvat: vaiheittainen opas

EU:n GDPR-edustajan tai GPSR-vastuuhenkilön vaihto on monivaiheinen prosessi, joka vaatii huolellista koordinointia vaatimustenmukaisuuden katkeamattomuuden varmistamiseksi. Tässä käytännön, vaiheittainen opas:

1. Tunnista velvoitteesi: Käytä vaatimustenmukaisuustarkistusta (esim. REP27:n ilmainen arviointi) varmistaaksesi, mitkä säädökset koskevat sinua: GDPR, GPSR, kosmetiikka, tekoälyasetus jne.
2. Valitse uusi palveluntarjoaja: Valitse palveluntarjoaja, joka on sijoittautunut vaadittuun EU-maahan ja jonka palvelu vastaa tarpeitasi. Vertaa nopeutta, dokumentaatiota ja sisältyviä ominaisuuksia.
3. Täytä aloituslomake: Täytä palveluntarjoajan aloituslomake yritystiedoilla, sijoittautumisella sekä tuote- tai palvelutiedoilla. REP27 ja muut tarkistavat tiedostosi ennen allekirjoitusta.
4. Allekirjoita valtuutus: Palveluntarjoaja myöntää kirjallisen valtuutuksen, yleensä 24 tunnin sisällä REP27:llä ja GDPR Gateway Limitedillä. Saat allekirjoitetun kirjeen, todistuksen ja tietosuojaselosteen tai tarratekstin.
5. Päivitä dokumentaatio: Päivitä välittömästi tietosuojaselosteesi, verkkosivusi ja tuotetarrat uuden edustajan tiedoilla. Käytä tarkkaa palveluntarjoajan antamaa tekstiä.
6. Ilmoita edelliselle palveluntarjoajalle: Kerro vanhalle edustajallesi tai vastuuhenkilöllesi vaihdostasi. Tarkista, vaatiiko sopimuksesi irtisanomisajan tai virallisen päättämisen.
7. Ohjaa viranomaiskontaktit uudelle edustajalle: Varmista, että kaikki viranomaisten, markkinapaikkojen tai kuluttajien kirjeenvaihto ohjautuu uudelle edustajallesi. Tuotemyyjille päivitä Amazon-, eBay- tai markkinapaikkatilin tiedot.
8. Säilytä dokumentit: Arkistoi uusi todistuksesi, valtuutuksesi ja kirjeenvaihto tarkastuksia varten. Käytä julkisia varmennuslinkkejä, jos saatavilla (kuten REP27).

Vaihtamisen tarkistuslista:

1. Varmista, mitkä velvoitteet sinun on katettava.
2. Vertaa palveluntarjoajia EU-sijoittautumisen, nopeuden ja sisältyvien palveluiden osalta.
3. Allekirjoita uusi valtuutus ja vastaanota dokumentit.
4. Päivitä kaikki julkiset materiaalit (tietosuojaseloste, tarrat, markkinapaikkatilit).
5. Ilmoita edelliselle palveluntarjoajalle ja ohjaa yhteydenotot uudelle edustajalle.
6. Säilytä todisteet vaatimustenmukaisuudesta ja varmennustodistukset.

Vaihto on suoraviivaista, mutta se on hoidettava huolellisesti, jotta vältetään vaatimustenmukaisuuden aukot tai sekaannukset viranomaisten ja asiakkaiden kanssa.

Riskit, sakot ja seuraukset virheistä

Jos et nimeä tai päivitä EU:n GDPR-edustajaasi tai GPSR-vastuuhenkilöäsi asianmukaisesti, riskit ovat merkittäviä. GDPR:n 83 artiklan mukaan vaatimustenmukaisuuden laiminlyönnistä voidaan määrätä enintään 10 miljoonan euron tai 2 % maailmanlaajuisesta liikevaihdosta suuruinen hallinnollinen sakko, kumpi on suurempi. Tuotesäädökset kuten GPSR voivat johtaa tuotteiden poistamiseen myynnistä, myyntikieltoon tai takaisinvetoihin, jos EU:ssa ei ole voimassa olevaa vastuuhenkilöä.

• Valvontaviranomaisten sakot: Viranomaiset voivat määrätä merkittäviä sakkoja puuttuvasta tai virheellisestä edustajasta. Sakot koskevat myös EU:n ulkopuolisia yrityksiä.
• Markkinapaikkojen seuraamukset: Amazon, eBay ja muut markkinapaikat vaativat voimassa olevan vastuuhenkilön todistuksen tuoteluetteloille. Päivityksen laiminlyönti voi johtaa tuotteen poistamiseen tai tilin sulkemiseen.
• Liiketoiminnan häiriöt: Ilman voimassa olevaa edustajaa viranomaiset voivat estää tuontia, viivästyttää toimituksia tai kieltäytyä käsittelemästä pyyntöjä. Tämä voi pysäyttää EU-toimintasi.
• Vastuu: Edustaja ei ota oikeudellista vastuuta puolestasi. Sinä olet edelleen vastuussa vaatimustenmukaisuudesta, tietosuojasta ja tuoteturvallisuudesta. Oikeustoimet voidaan kohdistaa suoraan yritykseesi.
• Maineen riski: Läpinäkyvyyden puute tai viranomaispyyntöihin vastaamatta jättäminen voi vahingoittaa mainettasi asiakkaiden, kumppaneiden ja viranomaisten silmissä.

Välttääksesi nämä riskit varmista, että uusi palveluntarjoajasi on sijoittautunut vaadittuun EU-maahan, tarjoaa julkisen varmennuksen ja kattaa kaikki velvoitteesi. Pidä kaikki dokumentit ajan tasalla ja vastaa nopeasti kaikkiin viranomaiskyselyihin.

Päätösmatriisi: Kuka tarvitsee EU-edustajan tai GPSR-vastuuhenkilön?

Kaikki yritykset eivät tarvitse EU:n GDPR-edustajaa tai GPSR-vastuuhenkilöä. Käytä tätä matriisia määrittääksesi velvoitteesi:

Poikkeuksia on julkisille viranomaisille ja satunnaiselle, vähäriskiselle käsittelylle, joka ei sisällä erityisiä tietoryhmiä tai rikostietoja. Useimpien EU:n kuluttajille myyvien, erityisesti verkkokauppaa käyttävien tai kuluttajatietoja käsittelevien myyjien on nimettävä edustaja tai vastuuhenkilö.

Mitä palveluntarjoajat yleensä eivät kerro

• REP27: Ei tarjoa oikeudellista neuvontaa tai oikeudenkäyntiedustusta; kattaa vain laillisen edustajan/vastuuhenkilön roolin. Asiakkaat vastaavat edelleen vaatimustenmukaisuudesta ja viranomaisvastauksista.
• Irtisanomisajat: Useimmat palveluntarjoajat eivät määritä vähimmäissopimusaikoja tai irtisanomisaikoja vaihdolle. Pyydä nämä ehdot kirjallisesti, jotta vältät päällekkäisyydet tai aukot edustuksessa.
• Pyynnöstä veloitettavat maksut: Lisämaksut lisätuesta, asiakirjapäivityksistä tai kiireellisistä pyynnöistä harvoin mainostetaan. Pyydä täydellinen hinnasto ennen sopimusta.
• Vastuun rajat: Edustaja ei ota oikeudellista vastuuta. Sinun on ylläpidettävä oma vaatimustenmukaisuutesi ja vastattava viranomaisvaatimuksiin.
• Dokumentaatiopäivitykset: Palveluntarjoajan vaihto vaatii välittömät päivitykset tietosuojaselosteisiin, tarroihin ja markkinapaikkatileihin. Päivitysten laiminlyönti voi johtaa vaatimustenmukaisuuden puutteeseen tai tuotteen poistamiseen myynnistä.
• Varmennus: Kaikki palveluntarjoajat eivät tarjoa julkista varmennusta nimityksestäsi. Tämä ominaisuus on tärkeä viranomaisten ja markkinapaikkojen läpinäkyvyyden kannalta.

Ennen palveluntarjoajan nimeämistä tai vaihtoa selvitä kaikki ehdot, maksut ja tukirajoitukset kirjallisesti. Varmista, että uuden palveluntarjoajan tiedot julkaistaan ja ovat varmennettavissa lain vaatimusten mukaisesti.

Todelliset tilanteet: Mitä sovelletaan ja mitä tehdä

• Tilanne 1: Yhdysvaltalainen SaaS-yritys, jolla on EU-käyttäjiä
  Yhdysvalloissa toimiva SaaS-alusta kerää henkilötietoja EU-käyttäjiltä. Sillä ei ole EU-sijoittautumista. Yrityksen on nimettävä EU:n GDPR-edustaja. Valittavissa ovat REP27, EU Shield, Gabsor tai GDPR Gateway Limited. Vaihdon jälkeen yritys päivittää tietosuojaselosteen uuden edustajan tiedoilla ja säilyttää todistuksen auditointeja varten.
• Tilanne 2: Kiinalainen Amazon-myyjä, joka toimittaa EU:hun
  Kiinalainen valmistaja myy kuluttajatuotteita EU-asiakkaille Amazonin kautta. Myyjän on nimettävä GPSR-vastuuhenkilö tuotetarroihin ja, jos se kerää asiakastietoja, myös GDPR-edustaja. REP27 kattaa molemmat velvoitteet. Myyjä päivittää Amazon-tilin tiedot ja tuotetarrat vaihdon jälkeen varmistaen jatkuvan vaatimustenmukaisuuden ja keskeytymättömät myynnit.
• Tilanne 3: Yhdistyneen kuningaskunnan verkkokauppa, joka myy EU:hun
  UK-pohjainen verkkokauppa myy suoraan EU-kuluttajille. Brexitin jälkeen UK ei ole EU:n jäsen, joten kaupan on nimettävä EU:n GDPR-edustaja. Kauppias valitsee palveluntarjoajan, allekirjoittaa uuden valtuutuksen, päivittää tietosuojaselosteen ja ilmoittaa edelliselle edustajalle. Jos myydään fyysisiä tuotteita, tarvitaan myös GPSR-vastuuhenkilö.

Kaikissa tilanteissa keskeiset vaiheet ovat: nimittää vaatimustenmukainen palveluntarjoaja, päivittää kaikki vaaditut dokumentit ja säilyttää todisteet vaatimustenmukaisuudesta viranomaisille ja markkinapaikoille.