Miten vaihtaa EU:n GDPR-edustajaa tai GPSR-vastuuhenkilöä

• Vaihto vaatii uuden kirjallisen mandaatin (GDPR Art. 27(1))
• Päivitä tietosuojaselosteet ja tuotteen etiketit uusilla tiedoilla
• Ilmoita vanhalle edustajallesi mandaatin päättämisestä
• Tarkista, mitä palvelut sisältävät: pyyntöjen käsittely, sertifikaatit, tuki
• Hinnat ja sisältyvät palvelut vaihtelevat merkittävästi palveluntarjoajittain

Päivitetty 30 October 2026 · 8 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 30 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lain vaatimukset (GDPR artikla 27, GPSR artikla 16)

EU:n ulkopuolisille yrityksille, jotka myyvät EU:ssa tai seuraavat EU-kuluttajia, GDPR artikla 27(1) edellyttää EU:ssa sijaitsevan edustajan nimittämistä kirjallisesti. Tämä edustaja toimii yhteyspisteenä tietosuojaviranomaisille ja rekisteröidyille. Edustajan tulee olla perustettu jäsenvaltioon, jossa rekisteröidyt sijaitsevat (artikla 27(3)). Tuotemyynnissä GPSR artikla 16 vaatii vastuuhenkilön nimeämistä EU:ssa, jonka tiedot on ilmoitettava tuotteen etiketeissä ja dokumentaatiossa. Nämä vaatimukset koskevat useimpia EU:n ulkopuolisia yrityksiä, jotka tarjoavat tavaroita tai palveluita EU-kuluttajille tai seuraavat heidän käyttäytymistään verkossa. Poikkeuksia on GDPR artikla 27(2):ssä satunnaiselle käsittelylle, ei-laajamittaiselle erityistietojen käsittelylle ja toimille, jotka eivät todennäköisesti aiheuta riskiä yksilöille. Julkiset viranomaiset ovat myös vapautettuja. Useimmat tavalliset verkkokauppiaat ja palveluntarjoajat eivät kuitenkaan täytä poikkeusehtoja ja heidän on nimettävä edustaja.

Edustajaa vaihdettaessa laki ei määrittele virallista siirtymäprosessia, mutta sinun tulee varmistaa, että uusi edustaja nimetään kirjallisesti ja että kaikki julkiset dokumentit (kuten tietosuojaselosteet ja tuotteen etiketit) päivitetään viipymättä. Näin varmistetaan, että viranomaiset ja yksityishenkilöt voivat aina ottaa yhteyttä oikeaan edustajaan.

Miten valita uusi edustaja tai vastuuhenkilö

Oikean palveluntarjoajan valinta on ratkaisevaa vaatimustenmukaisuuden ja sujuvan toiminnan kannalta. Varmista ensin, että palveluntarjoaja on laillisesti perustettu EU:ssa (GDPR) tai Isossa-Britanniassa (UK GDPR) ja voi toimittaa kirjallisen mandaatin. Tarkista, kattaako he kaikki maat, joissa asiakkaasi sijaitsevat, kuten GDPR artikla 27(3) edellyttää. Arvioi, mitä hinta sisältää: esimerkiksi REP27 tarjoaa todennettavan sertifikaatin, rajattoman pyyntöjen käsittelyn ja valmiit tekstit tietosuojaselosteisiin ja tuotteen etiketteihin. Toiset voivat tarjota vain virtuaaliosoitteen tai veloittaa erikseen pyyntöjen käsittelystä tai sertifikaateista.

Harkitse myös palveluntarjoajan tukimallia: REP27 lupaa ihmisen tekemän tarkastuksen ja nopean käyttöönoton (24 tunnin sisällä), kun taas rep4eu tarjoaa 72 tunnin sähköpostivastauksen. EU Shield sisältää ammattivastuuvakuutuksen, mikä voi olla tärkeää lisäturvaa hakeville yrityksille. Gabsor ja Usantis tarjoavat vaatimustenmukaisuustyökaluja ja tietosuojakäytännön otteita, jotka voivat olla hyödyllisiä lisädokumentaatiota tarvitseville.

Tarkista aina palveluntarjoajan julkinen rekisteröinti, kyky myöntää sertifikaatteja ja veloittaako se lisämaksuja pyynnöistä, sertifikaateista tai tuesta. Tämä auttaa välttämään piilokustannukset ja varmistaa jatkuvan vaatimustenmukaisuuden.

Mitä hinta todella sisältää

Julkaistut hinnat GDPR- ja GPSR-edustajapalveluista voivat olla harhaanjohtavia, jos et tarkastele tarkasti, mitä niihin sisältyy. Esimerkiksi REP27:n perushinta (alkaen 290 €/vuosi) kattaa kirjallisen mandaatin, todennettavan sertifikaatin, rajattoman pyyntöjen käsittelyn ja valmiit tekstit tietosuojaselosteeseen tai tuotteen etiketteihin. Pyynnöistä tai sertifikaateista ei ole mainittuja lisämaksuja. Sen sijaan Usantis veloittaa 30–80 $/kuukausi virtuaaliosoitteesta, mutta tarjoaa rajallisen tai ei lainkaan pyyntöjen käsittelyä – mikä tarkoittaa, että jos viranomaiset tai rekisteröidyt ottavat heihin yhteyttä, sinun voi joutua maksamaan lisämaksuja tai hoitamaan pyynnön itse. EU Shieldin 490 €/vuosi hinta sisältää EU-osoitteen, prosessipalvelun, ROPA-tallennuksen ja ammattivastuun, mutta lisämaksujen yksityiskohtia ei ole julkaistu. Rep4eu kattaa kaikki 27 EU-maata ja tarjoaa allekirjoitetun nimityskirjeen ja kirjeenvaihdon käsittelyn 348 €/vuosi hinnalla, tukena sähköposti (72 tunnin vasteaika). Gabsorin 79 $/kuukausi paketti sisältää sekä EU- että UK-edustuksen, vaatimustenmukaisuustyökalut ja tietosuojakäytännön otteen, mutta tuki ja lisämaksut eivät ole julkisesti yksilöityjä.

Pyydä aina täydellinen erittely sisällöstä, erityisesti jos odotat usein viranomaisten tai rekisteröityjen pyyntöjä tai tarvitset sertifikaatteja markkinapaikoille. Jotkut palveluntarjoajat voivat veloittaa lisämaksuja jokaisesta pyynnöstä, sertifikaatista tai useamman yhtiön tai tuotelinjan käsittelystä. Toiset voivat rajoittaa tuettujen käyttäjien tai tiimin jäsenten määrää. Läpinäkyvyys ja todennettavuus ovat avainasemassa – REP27 esimerkiksi tarjoaa julkisen vahvistussivun jokaiselle nimitykselle, mikä on välttämätöntä viranomais- ja markkinapaikkatarkastuksissa.

Piilokustannukset ja poissulkemiset

Vaihtaessa tai nimittäessä uutta edustajaa piilokustannukset ja poissulkemiset voivat aiheuttaa vaatimustenmukaisuuden aukkoja tai odottamattomia kuluja. Jotkut palveluntarjoajat mainostavat matalaa perushintaa, mutta veloittavat lisämaksuja viranomaisten pyyntöjen käsittelystä, sertifikaattien myöntämisestä tai useamman oikeushenkilön tai tuotteen tukemisesta. Esimerkiksi Usantisin julkaistu hinta kattaa vain virtuaaliosoitteen, eikä sisällä pyyntöjen käsittelyä. EU Shield ja rep4eu eivät julkaise tietoja lisämaksuista tai poissulkemisista, joten nämä tiedot tulee pyytää ennen sopimuksen tekemistä. Gabsorin paketti sisältää vaatimustenmukaisuustyökaluja, mutta ei erittele pyyntö- tai sertifikaattimaksuja.

REP27 selkeästi ilmoittaa, että rajattomat pyynnöt ja sertifikaattien myöntäminen sisältyvät hintaan, mutta ei tarjoa oikeudellista neuvontaa tai oikeudenkäyntiedustusta. Tämä on yleinen poissulkeminen – useimmat edustajat eivät ota oikeudellista vastuuta tai edusta sinua oikeudessa. Sinä olet vastuussa vaatimustenmukaisuudesta ja viranomaistutkimuksiin tai täytäntöönpanoihin vastaamisesta. Irtisanomisajat ja minimisopimusajat eivät aina ole julkisia, joten selvitä nämä ehdot ennen vaihtoa. Vaihtaessasi palveluntarjoajaa varmista, ettei edustajien välillä ole päällekkäisyyttä tai katkoa, sillä se voi johtaa vaatimustenmukaisuuden puutteisiin.

• Tarkista mahdolliset pyyntö- tai tuoteperusteiset maksut
• Kysy irtisanomisajoista
• Selvitä vastuurajat ja poissulkemiset (esim. ei oikeudellista neuvontaa tai edustusta)
• Varmista, että sertifikaatit ja julkinen vahvistus sisältyvät

Nimitysprosessi vaihe vaiheelta

GDPR-edustajan tai GPSR-vastuuhenkilön vaihtaminen tai nimittäminen sisältää useita konkreettisia vaiheita. Näin teet sen:

1. Tunnista velvoitteesi: Käytä palveluntarjoajan ilmaista tarkistusta tai ota yhteyttä heidän käyttöönotto-tiimiinsä varmistaaksesi, tarvitsetko GDPR-edustajan, GPSR vastuuhenkilön tai molemmat. REP27 tarjoaa ilmaisen liiketoiminnan ja asiakaskunnan arvioinnin.
2. Vertaa palveluntarjoajia: Tarkastele yllä olevaa vertailutaulukkoa ja pyydä yksityiskohtaiset palvelukuvaukset ja ehdot jokaiselta tarjoajalta.
3. Aloita uuden palveluntarjoajan kanssa: Täytä heidän käyttöönotto-lomakkeensa, anna tiedot yrityksestäsi, tuotteista/palveluista ja toiminta-alueista. REP27 suorittaa ihmisen tekemän tarkastuksen 24 työajan sisällä.
4. Allekirjoita kirjallinen mandaatti: Palveluntarjoaja lähettää sinulle allekirjoitettavaksi mandaatin. Tämä on GDPR artiklan 27(1) ja GPSR artiklan 16 mukainen oikeudellinen vaatimus.
5. Vastaanota sertifikaatti ja tukidokumentit: REP27 lähettää allekirjoitetun kirjeen, QR-koodilla ja vahvistuskoodilla varustetun sertifikaatin sekä valmiit tekstit tietosuojaselosteeseen tai tuotteen etiketteihin. Muut tarjoajat voivat myöntää allekirjoitetun nimityskirjeen tai vaatimustenmukaisuustarran.
6. Päivitä tietosuojaseloste ja tuotteen etiketit: Korvaa vanhan edustajan tiedot uusilla kaikissa julkisissa dokumenteissa ja verkkoselosteissa.
7. Ilmoita edelliselle edustajalle: Kerro vanhalle palveluntarjoajallesi kirjallisesti mandaatin päättymisestä. Tämä välttää sekaannuksia ja varmistaa, että virallisissa dokumenteissa on vain uusi edustaja.
8. Säilytä kaikki dokumentit: Pidä kopiot allekirjoitetusta mandaattista, sertifikaatista ja todisteista tietosuojaselosteen ja etikettien päivityksistä. Viranomaiset tai markkinapaikat voivat pyytää näitä todisteita.

Tänään tehtävä tarkistuslista:

1. Tunnista, tarvitsetko GDPR/GPSR-edustajan
2. Vertaa palveluntarjoajia ja pyydä täydelliset palvelutiedot
3. Aloita käyttöönotto ja toimita vaaditut dokumentit
4. Allekirjoita mandaatti ja hanki sertifikaatti
5. Päivitä kaikki julkiset tiedotteet ja etiketit
6. Ilmoita vanhalle palveluntarjoajalle kirjallisesti
7. Säilytä nimityksen ja päivitysten todisteet

Riskit, sakot ja mitä palveluntarjoajat yleensä eivät kerro

Jos et nimeä tai päivitä EU-edustajaasi tai vastuuhenkilöä, seurauksena voi olla vakavia sääntelyseuraamuksia. GDPR:n mukaan viranomaiset voivat ottaa yhteyttä suoraan edustajaasi (artikla 27(4)), ja jos he eivät tavoita sinua tai edustajaasi, saatat kohdata tutkintoja tai sakkoja. Edustajan nimitys ei siirrä oikeudellista vastuuta – GDPR artikla 27(5) selventää, että olet edelleen vastuussa vaatimustenmukaisuudesta ja viranomaisten toimenpiteistä. Sama periaate pätee GPSR:ään tuoteturvallisuudessa.

Palveluntarjoajat harvoin korostavat tiettyjä poissulkemisia ja riskejä:

• Vastuun poissulkeminen: Edustajat eivät ota oikeudellista vastuuta tai maksa sakkoja puolestasi.
• Irtisanomisajat: Joillakin palveluntarjoajilla voi olla ennakkoilmoitusvaatimus sopimuksen päättämiseksi; tätä ei aina kerrota etukäteen.
• Pyyntö- tai tuoteperusteiset maksut: Joillakin voi olla lisämaksuja pyyntöjen käsittelystä, sertifikaattien myöntämisestä tai useamman tuotteen tukemisesta.
• Palvelurajoitukset: Useimmat edustajat eivät tarjoa oikeudellista neuvontaa tai oikeudenkäyntiedustusta. Tarvittaessa sinun tulee palkata asianajaja erikseen.

Riskien minimointiin:

• Varmista, että palveluntarjoaja myöntää todennettavan sertifikaatin ja on perustettu vaaditussa toimivaltaisessa maassa
• Pidä tietosuojaseloste ja tuotteen etiketit ajan tasalla
• Säilytä kaikki dokumentit ja vaatimustenmukaisuuden todisteet

Todelliset tilanteet: mitä tehdä

• Yhdysvaltalainen SaaS-yritys, jolla on EU-käyttäjiä: Käsittelet EU:n asukkaiden henkilötietoja, mutta sinulla ei ole EU-toimistoa. Sinun on nimettävä GDPR-edustaja EU:ssa. Valitse palveluntarjoaja (esim. REP27, rep4eu), suorita käyttöönotto, allekirjoita mandaatti, päivitä tietosuojaseloste uusilla yhteystiedoilla ja säilytä sertifikaatti viranomaisten tai asiakkaiden tarkastuksia varten.
• Kiinalainen Amazon-myyjä, joka toimittaa EU:hun: Myyt kulutustuotteita suoraan EU-asiakkaille Amazonin kautta. Sinun on nimettävä GPSR vastuuhenkilö EU:ssa ja ilmoitettava hänen tietonsa tuotteen etiketeissä. Valitse palveluntarjoaja (esim. REP27), allekirjoita mandaatti, päivitä etiketit ja säilytä sertifikaatti markkinapaikan tarkastuksia varten. Jos käytät jo EU-pohjaista maahantuojaa, erillistä vastuuhenkilöä ei välttämättä tarvita.
• Brittiläinen verkkokauppa, joka myy EU:hun: Myyt sekä digitaalisia palveluita että fyysisiä tuotteita EU-asiakkaille. Tarvitset sekä GDPR-edustajan että GPSR vastuuhenkilön. Yksi palveluntarjoaja voi kattaa molemmat roolit (esim. REP27), mutta sinun on allekirjoitettava erilliset mandaattit molempiin velvoitteisiin. Päivitä tietosuojaseloste ja tuotteen etiketit, ja säilytä kaikki sertifikaatit ja tukidokumentit.

Kaikissa tilanteissa noudata yllä olevaa vaiheittaista tarkistuslistaa ja varmista palveluntarjoajalta, mitä hinta sisältää ja millaista tukea on saatavilla, jos saat pyyntöjä viranomaisilta tai rekisteröidyiltä.