Kuinka paljon UK GDPR -edustajan nimeäminen maksaa? 2026 hinnat ja vertailu

• Velvoite yrityksille, jotka eivät ole UK:ssa, mutta tarjoavat palveluja tai seuraavat henkilöitä Yhdistyneessä kuningaskunnassa (Art. 27 UK GDPR).
• Vuosihinnat 120 £ – 1 450 £; REP27 290 €/vuosi (vain UK) tai 390 €/vuosi (UK+EU).
• Edustajan tulee olla sijoittautunut Yhdistyneeseen kuningaskuntaan ja toimia yhteyspisteenä rekisteröidyille ja ICO:lle.
• Sisältyvät palvelut: pyyntöjen välitys, käsittelytoimien rekisterin ylläpito, sertifikaatit, tietosuojailmoituksen tuki.
• Jo UK:ssa toimivat tai vain satunnaisesti henkilötietoja käsittelevät voivat olla vapautettuja.
• Sanktioita jopa 8,7 miljoonaa puntaa tai 2 % maailmanlaajuisesta liikevaihdosta, jos edustajaa ei nimennetä pakollisessa tilanteessa.

Päivitetty 20 October 2026 · 9 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 20 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä laki vaatii: UK GDPR:n 27 artikla

UK GDPR:n 27 artikla määrää, että jokaisen rekisterinpitäjän tai käsittelijän, joka ei ole sijoittautunut Yhdistyneeseen kuningaskuntaan mutta tarjoaa tavaroita tai palveluja UK:n asukkaille tai seuraa heidän käyttäytymistään, on nimettävä UK:ssa sijaitseva edustaja (virallinen lähde). Edustaja toimii yhteyspisteenä rekisteröidyille ja Information Commissioner’s Officelle (ICO). Nimitys on tehtävä kirjallisesti ja edustajan tiedot on julkaistava yrityksen tietosuojailmoituksessa. Edustajan tulee pystyä vastaanottamaan ja välittämään rekisteröityjen ja ICO:n pyynnöt viipymättä sekä ylläpitämään käsittelytoimien rekisteriä (Art. 30 UK GDPR).

Poikkeukset ovat rajalliset: velvoite ei koske, jos käsittely on vain satunnaista, ei säännöllistä tai järjestelmällistä, eikä aiheuta riskejä rekisteröityjen oikeuksille ja vapauksille. Julkiset viranomaiset ovat myös vapautettuja. Velvoitteen laiminlyönnistä voi seurata jopa 8,7 miljoonan punnan sakko tai 2 % maailmanlaajuisesta liikevaihdosta.

Lainsäädäntö on tiukka: jo yhdenkin elementin (palvelujen tarjoaminen UK:n asukkaille tai käyttäytymisen seuranta) läsnäolo aiheuttaa velvoitteen. On tärkeää arvioida oma toiminta huolellisesti ja epäselvissä tilanteissa konsultoida virallisia UK GDPR -UK:n FAQ:ita tai pyytää arvio palveluntarjoajalta.

Miten valita UK GDPR -edustaja

UK GDPR -edustajan valintaan vaikuttavat käytännön ja strategiset tekijät. Ensin arvioi, toimitko vain UK:ssa vai myös EU:ssa: jälkimmäisessä tapauksessa palveluntarjoaja, joka tarjoaa molemmat palvelut (kuten REP27), voi helpottaa hallintaa ja vähentää kustannuksia. Ota huomioon nimityksen nopeus (REP27 lupaa 24 tunnin toimituksen), monikielisen tuen saatavuus, pyyntöjen välityspisteiden olemassaolo ja käsittelyrekisterin hallinta.

Muita huomioitavia seikkoja ovat lisäkustannusten läpinäkyvyys (esim. Janus Compliance veloittaa 250 £/h personoiduista vastauksista tai käännöksistä), helppo käyttöönotto (yksi lomake UK+EU:lle REP27:llä) ja digitaaliset työkalut, kuten compliance-merkit, hallinta-alustat tai käsittelyrekisterin rakentajat (ROPA). Jotkut tarjoavat myös fyysisiä osoitteita Lontoossa, kuten GDPR Gateway, mikä on hyödyllistä viralliselle postille.

Yhteenvetona: valitse palveluntarjoaja, joka vastaa maantieteelliseen kattavuuteen, sisältyviin palveluihin, nopeuteen ja kustannusten läpinäkyvyyteen liittyviin tarpeisiisi. Jos toimit useilla markkinoilla, harkitse yhtenäisen hallinnan mukavuutta.

Mitä palvelu todella sisältää: yksityiskohtainen vertailu

UK GDPR -edustajapalvelut vaihtelevat huomattavasti palveluntarjoajien välillä. Yleisiä elementtejä ovat virallinen nimitys (allekirjoitettu dokumentti ja sertifikaatti), rekisteröityjen ja viranomaisten pyyntöjen välitys (ICO) sekä tuki tietosuojailmoituksen laatimiseen. Jotkut, kuten REP27, sisältävät myös käsittelytoimien rekisterin ylläpidon (Art. 30), QR-koodilla varustetut varmennettavat sertifikaatit ja monikielisen dokumentaation vastaanoton.

Janus Compliance tarjoaa peruspalvelun, mutta veloittaa lisämaksuja ICO-vastauksista ja käännöksistä (250 £/h). Palveluntarjoajat kuten Gabsor ja Euverify panostavat digitaalisiin alustoihin, jotka sisältävät compliance-merkit, pyyntöjen hallintatyökalut (DSR inbox), audit trail -toiminnot ja käsittelyrekisterin rakentajat. GDPR Gateway tarjoaa fyysisiä osoitteita Lontoossa ja EU:ssa, aloitusmaksulla.

Alla oleva taulukko tiivistää pääerot:

Ennen valintaa varmista, että palvelu kattaa yrityksesi kaikki tarpeet: monikielisen pyyntöjen hallinnan, sertifioidun dokumentaation tuottamisen, rekisterien ylläpidon ja mahdollisten auditointien tukemisen.

Piilokustannukset ja rajoitukset: mitä palveluntarjoajat eivät kerro

Monet palveluntarjoajat mainostavat kilpailukykyistä perushintaa, mutta voivat periä lisämaksuja ei-sisältyvistä palveluista. Esimerkiksi Janus Compliance veloittaa 250 £/h personoiduista ICO-vastauksista tai käännöksistä, kun taas GDPR Gateway perii aloitusmaksun (määrä pyynnöstä). Jotkut rajoittavat ilman lisämaksua käsiteltävien pyyntöjen määrää tai soveltavat fair use -käytäntöä (DataRep).

Jotkut palvelut eivät sisällä oikeudellista neuvontaa tai yksityiskohtaisten viranomaisvastauksien laatimista: edustaja ei korvaa tietosuojavastaavaa (DPO) eikä vastaa yrityksen GDPR-yhteensopivuudesta. Edustajan vastuu rajoittuu yhteyspisteen rooliin ja viestien välitykseen; hän ei ole vastuussa yrityksen GDPR-rikkomuksista.

Toinen usein unohdettu seikka on uusimisen hallinta: kahden eri palveluntarjoajan käyttäminen UK:lle ja EU:lle voi johtaa kattavuuden katkeamiseen eriaikaisista uusimisista. REP27 ratkaisee tämän tarjoamalla yhden uusimispäivän molemmille nimityksille. Tarkista myös sopimusehdot: joillakin voi olla irtisanomisaikoja tai vastuuvapauksia virheiden tai laiminlyöntien varalta.

Yhteenvetona ennen valintaa arvioi:

• Lisäkustannukset lisäpalveluista (vastaukset, käännökset, käyttöönotto)
• Aloitusmaksut
• Vastuurajoitukset ja poikkeukset
• Uusimisten ja määräaikojen hallinta

Nimeämisprosessi: vaihe vaiheelta

UK GDPR -edustajan nimeäminen etenee tarkasti määritellyn prosessin mukaisesti, joka voidaan suorittaa muutamassa päivässä, kun tarvittavat tiedot ovat valmiina:

1. Velvoitteen tarkistus: Tarkista, tarjoatko tavaroita/palveluja tai seuraatko henkilöitä UK:ssa ilman paikallista vakituista toimipaikkaa.
2. Palveluntarjoajan valinta: Arvioi tarjotut palvelut, hinnat, maantieteellinen kattavuus ja nimityksen nopeus.
3. Lomakkeen täyttö: Anna yrityksen tiedot, käsittelykuvaus, yhteyshenkilöt ja palveluntarjoajan vaatima dokumentaatio.
4. Nimityksen laatiminen: Palveluntarjoaja valmistelee virallisen nimityksen, allekirjoittaa ja sertifioi sen (REP27 toimittaa 24 tunnissa).
5. Sertifikaatin vastaanotto: Saat sertifikaatin ja dokumentaation, jotka lisätään tietosuojailmoitukseen.
6. Tietosuojailmoituksen päivitys: Lisää edustajan yhteystiedot yrityksen tietosuojailmoitukseen lain vaatimalla tavalla.
7. Pyyntöjen hallinta: Edustaja vastaanottaa ja välittää rekisteröityjen ja ICO:n pyynnöt viipymättä, ylläpitää käsittelyrekisteriä ja avustaa tarkastuksissa.
8. Vuotuinen uusiminen: Suunnittele uusiminen katkeamattoman kattavuuden varmistamiseksi.

Käytännön tarkistuslista:

1. Tarkista, tarjoatko palveluja/tavaroita tai seuraatko henkilöitä UK:ssa.
2. Tarkista, onko sinulla vakituinen toimipaikka UK:ssa.
3. Arvioi käsittelyn tiheys ja riskit.
4. Valitse sopiva palveluntarjoaja kattavuuden ja palveluiden perusteella.
5. Suorita kirjallinen nimitys ja vastaanota sertifikaatti.
6. Päivitä tietosuojailmoitus edustajan tiedoilla.
7. Varmista, että palveluntarjoaja välittää pyynnöt nopeasti.
8. Suunnittele vuotuinen uusiminen katkeamattomuuden varmistamiseksi.

Riskit ja sanktiot: mitä tapahtuu, jos et nimeä edustajaa

UK GDPR -edustajan nimeämättä jättäminen pakollisessa tilanteessa aiheuttaa merkittäviä riskejä. ICO voi määrätä sakkoja jopa 8,7 miljoonaa puntaa tai 2 % vuosittaisesta maailmanlaajuisesta liikevaihdosta, riippuen kumpi on suurempi (virallinen lähde). Rikkomus on itsenäinen: pelkkä nimittämättä jättäminen voi johtaa seuraamuksiin, vaikka muita rikkomuksia ei olisi. Esimerkkinä hollantilaisen valvontaviranomaisen 525 000 euron sakko Locatefamily.comille EU-edustajan nimeämättä jättämisestä (vastaava periaate pätee UK:ssa).

Edustaja ei ole vastuussa yrityksen GDPR-rikkomuksista, mutta hänen tulee välittää kaikki saadut pyynnöt viipymättä ja tehdä yhteistyötä ICO:n kanssa tutkintojen aikana. Viivästykset tai yhteistyön puute voivat johtaa lisärikkomuksiin. Tarkastusten tai rekisteröidyn valitusten yhteydessä voimassa oleva ja helposti varmennettava nimitys (esim. QR-koodilla varustettu sertifikaatti) on keskeinen todiste yhteensopivuudesta.

Riskien vähentämiseksi:

• Nimeä edustaja heti, kun velvoite syntyy.
• Varmista, että palveluntarjoaja on helposti tavoitettavissa ja vastaa nopeasti.
• Säilytä kaikki nimitykseen ja viestintään liittyvät dokumentit.
• Päivitä yrityksen tietosuojailmoitus viipymättä.

Käytännön esimerkit: kolme todellista tilannetta

• USA:n SaaS-yritys, jolla on UK-käyttäjiä: Yhdysvaltalaisen SaaS-yrityksen, joka tarjoaa palveluja UK:n käyttäjille, on nimettävä UK GDPR -edustaja. Jos se toimii myös EU:ssa, se voi valita palveluntarjoajan kuten REP27, joka tarjoaa yhdistetyn UK+EU-nimityksen yhdellä lomakkeella, kahdella sertifikaatilla ja yhdellä uusimispäivällä. Muussa tapauksessa voi valita vain UK-palveluntarjoajan, kuten DataRep tai Janus Compliance.
• Kiinalainen myyjä Amazon UK:ssa: Kiinalaisen yrityksen, joka myy tuotteita Amazon UK:ssa, on nimettävä UK GDPR -edustaja, jos se käsittelee suoraan asiakkaiden henkilötietoja (esim. toimitus tai jälkimarkkinointi). Jos Amazon toimii yksinomaisena rekisterinpitäjänä, velvoite voi olla poissa. Epäselvissä tapauksissa suositellaan erillistä arviointia.
• UK-verkkokauppa, jolla on vain UK-asiakkaita: UK:ssa toimiva ja siellä rekisteröity verkkokauppa ei tarvitse edustajaa, vaikka myyisi brittiläisille asiakkaille. Velvoite koskee vain UK:n ulkopuolella toimivia, jotka tarjoavat palveluja tai seuraavat UK:n asukkaita.

Nämä esimerkit osoittavat, että tarpeen arviointi riippuu konkreettisista tekijöistä: toimipaikasta, tietojenkäsittelyn tavasta ja markkinapaikkojen roolista.

Mitä palveluntarjoajat eivät yleensä kerro

Monet palveluntarjoajat eivät korosta joitakin tärkeitä rajoituksia ja ehtoja. Esimerkiksi edustajan nimeäminen ei korvaa yleistä yhteensopivuusneuvontaa eikä tietosuojavastaavan (DPO) roolia. Edustaja ei tarjoa jatkuvaa oikeudellista tukea, ei laadi yksityiskohtaisia ICO-vastauksia (ellei lisämaksua makseta) eikä ota vastuuta yrityksen mahdollisista rikkomuksista.

Muita vähän mainostettuja seikkoja:

• Mahdolliset lisäkustannukset käyttöönotosta, käännöksistä, personoiduista vastauksista tai monimutkaisten pyyntöjen käsittelystä.
• Aloitusmaksut (esim. GDPR Gateway) tai uusimiskustannukset, jotka voivat olla korkeampia kuin aloitushinta.
• Vastuuvapautukset ja irtisanomisehdot sopimuksissa.
• Tarve päivittää tietosuojailmoitus ja sisäinen dokumentaatio aina, kun palveluntarjoajaa vaihdetaan tai nimitys uusitaan.

Yllätyksien välttämiseksi on tärkeää lukea sopimusehdot huolellisesti, kysyä selvennyksiä sisältyvistä palveluista ja suunnitella määräaikojen ja viestinnän hallinta valitun palveluntarjoajan kanssa.