Chi ha bisogno di un rappresentante UK GDPR? Tutto quello che devi sapere (2026)

• Obbligo per aziende extra-UK che offrono beni/servizi o monitorano utenti UK
• Non serve se si è stabiliti nel Regno Unito o il trattamento è davvero occasionale
• Il rappresentante deve essere nominato per iscritto e pubblicato
• Sanzioni fino a £17,5 milioni o 4% del fatturato globale
• Prezzi e servizi variano tra i provider: confronto dettagliato sotto

Aggiornato 20 ottobre 2026 · 9 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 20 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede la legge: Articolo 27 UK GDPR

L’Articolo 27 del UK GDPR stabilisce che ogni titolare o responsabile del trattamento non stabilito nel Regno Unito, ma che offre beni o servizi a persone nel Regno Unito o ne monitora il comportamento, deve nominare per iscritto un rappresentante UK GDPR. Il rappresentante deve essere stabilito nel Regno Unito e fungere da punto di contatto locale per gli interessati e per l’Information Commissioner’s Office (ICO). L’obbligo si applica indipendentemente dalla presenza fisica di server o infrastrutture in UK: conta la presenza di attività reali e continuative (non basta un indirizzo di posta o un magazzino terzo).

• Obbligo di nomina: La designazione deve essere scritta e pubblicata nella privacy notice, con dati di contatto accessibili.
• Responsabilità: Il rappresentante agisce come punto di contatto ma non solleva il titolare/responsabile da responsabilità e obblighi (Art. 27(4)).
• Esenzioni: L’obbligo non si applica se il trattamento è davvero occasionale, non include dati sensibili o penali e non comporta rischi per i diritti degli interessati (Art. 27(2)-(6)). Queste condizioni devono essere tutte soddisfatte.
• Sanzioni: La mancata nomina è una violazione autonoma e può comportare multe fino a £17,5 milioni o il 4% del fatturato globale (fonte).

La normativa si applica a qualsiasi azienda extra-UK che:

• Vende prodotti o servizi a clienti nel Regno Unito (anche B2B se sono coinvolti dati personali)
• Monitora il comportamento di persone nel Regno Unito (ad esempio tramite cookie, analytics, pubblicità mirata)

Fonti: Articolo 27 UK GDPR, ICO

Come scegliere il provider: criteri, confronto e servizi inclusi

La scelta del provider di rappresentanza UK GDPR è fondamentale per evitare errori di compliance e costi nascosti. Ecco i criteri pratici da valutare:

• Copertura territoriale: Alcuni provider offrono solo UK, altri anche la rappresentanza UE (utile per aziende che vendono in entrambe le aree).
• Prezzo e rinnovo: I prezzi variano da £120 a oltre £750/anno; verifica se il rinnovo è scontato o se ci sono costi aggiuntivi.
• Servizi inclusi: Oltre alla designazione formale, alcuni provider offrono badge di verifica, wording privacy notice, gestione DSAR, record trattamenti, audit trail e desk multilingua.
• Tempi di designazione: REP27 emette la designazione entro 24 ore; altri provider non sempre specificano i tempi.
• Certificazioni e verifiche pubbliche: REP27 fornisce certificato con QR code e verifica pubblica; altri provider offrono badge o Trust Center.

Tabella inclusioni/esclusioni (Ottobre 2026):

La scelta migliore dipende da dove operi, dalle tue esigenze di audit e dalla necessità di copertura combinata UK+UE. Se vendi in entrambi i mercati, una soluzione combinata come REP27 riduce costi e complessità amministrativa.

Cosa include davvero il prezzo: dettagli pratici e decision matrix

Il prezzo pubblicato dai provider può includere servizi molto diversi. Alcuni offrono solo la designazione formale, altri includono strumenti di audit, badge di verifica, wording privacy notice, gestione DSAR, record trattamenti e desk multilingua. È essenziale verificare cosa è effettivamente compreso e quali servizi sono opzionali o a pagamento extra.

Ad esempio, REP27 offre due designazioni (UK+UE), due certificati, wording privacy notice in 8 lingue, desk richieste, record trattamenti e badge verificabile. Gabsor e Euverify offrono anche Trust Center, badge, audit trail e gestione DSAR. FSREG, GDPR Gateway, Janus e DataRep UK sono focalizzati sulla rappresentanza UK, con servizi base e inoltro richieste.

Tabella decisionale pratica:

Attenzione: il trattamento "occasionale" è interpretato in modo restrittivo. Anche un piccolo e-commerce che riceve ordini regolarmente non è considerato occasionale. Se hai dubbi, verifica sempre con il provider prima di acquistare.

Costi nascosti e limiti: cosa i provider non dicono

Molti provider non evidenziano chiaramente alcune condizioni e limiti:

• Responsabilità limitata: Il rappresentante non si assume la responsabilità legale del titolare/responsabile; agisce solo come punto di contatto (Art. 27(4)).
• Esclusioni: Nessun provider funge da DPO o offre consulenza privacy inclusa nel prezzo di rappresentanza. La consulenza è spesso "On request" e può essere soggetta a costi aggiuntivi.
• Costi extra: Alcuni provider applicano fee aggiuntive per richieste complesse, cambio dati, servizi di audit avanzato o per la gestione di grandi volumi di richieste. Questi costi sono spesso "On request" e non sempre pubblicati.
• Notice period: Il periodo di preavviso per la cessazione del servizio non è sempre specificato. È importante verificare le condizioni contrattuali.
• Rinnovo e switch: REP27 offre rinnovo a prezzo ridotto e switch agevolato da altro provider, ma altri fornitori potrebbero non prevedere sconti o facilitazioni.

Tabella riassuntiva delle esclusioni e limiti (Ottobre 2026):

Consiglio pratico: chiedi sempre al provider una lista scritta dei servizi inclusi e delle eventuali fee extra prima di firmare.

Come funziona la nomina: step by step, checklist e tempistiche

La nomina del rappresentante UK GDPR è un processo che può essere completato rapidamente se si seguono i passaggi corretti. Ecco una guida pratica step by step:

1. Verifica se ricadi nell’obbligo: Rispondi alle tre domande chiave: (1) Sei stabilito fuori dal Regno Unito? (2) Offri beni/servizi o monitori utenti UK? (3) Tratti dati personali?
2. Scegli il provider: Valuta copertura (solo UK o anche UE), servizi inclusi, prezzo e tempi di rilascio.
3. Compila il modulo di designazione: Fornisci dati aziendali, descrizione dei trattamenti, referenti e documenti richiesti. Con REP27 il processo richiede circa 5 minuti.
4. Ricevi la designazione: Il provider emette la designazione firmata, il certificato e la dicitura per la privacy notice (REP27 in 24 ore).
5. Aggiorna la privacy notice: Inserisci la dicitura fornita dal provider, con i dati del rappresentante UK e le modalità di contatto.
6. Pubblica e comunica: Assicurati che la designazione sia facilmente reperibile per utenti e autorità.
7. Rinnova annualmente: Tieni traccia della scadenza e rinnova per evitare interruzioni di compliance.

Checklist rapida:

• Hai clienti o utenti UK?
• Offri servizi o monitori comportamenti?
• Hai già un rappresentante nominato?
• Hai aggiornato la privacy notice?
• Hai verificato la copertura e i servizi inclusi?

La tempistica tipica va da 24 ore (REP27) a qualche giorno lavorativo, a seconda del provider e della completezza dei dati forniti.

Rischi, sanzioni e casi pratici: scenari reali

La mancata nomina di un rappresentante UK GDPR quando richiesto comporta rischi concreti: sanzioni fino a £17,5 milioni o il 4% del fatturato globale (fonte), blocco dei rapporti commerciali e danni reputazionali. Il rappresentante non elimina la responsabilità del titolare, ma garantisce un punto di contatto locale per utenti e ICO.

Tre scenari reali:

• US SaaS che offre servizi a utenti UK e UE: Deve nominare sia un rappresentante UK che uno UE. Soluzione più efficiente: provider che offre designazione combinata (es. REP27), con un solo onboarding e documenti separati.
• Venditore cinese su Amazon UK: Anche senza sede fisica, se vende a clienti UK deve nominare un rappresentante UK GDPR. Può scegliere provider focalizzati solo su UK o, se vende anche in UE, una soluzione combinata.
• Shop online UK che vende solo in UK: Se è già stabilito nel Regno Unito (ufficio, filiale, personale), non ha obbligo di rappresentante. Se invece è una società UE che vende a clienti UK, deve nominare un rappresentante UK GDPR.

Decision matrix pratica:

Consiglio: non aspettare una richiesta dell’ICO o di un cliente. La nomina è preventiva e la mancata compliance può essere rilevata anche tramite controlli online.