Kuka tarvitsee UK GDPR -edustajan? Kaikki mitä sinun tulee tietää (2026)

• Velvollisuus yrityksille, jotka eivät ole UK:ssa mutta tarjoavat tavaroita/palveluita tai seuraavat UK-käyttäjiä
• Ei tarvita, jos yritys on UK:ssa tai käsittely on todella satunnaista
• Edustaja on nimettävä kirjallisesti ja julkaistava
• Sakot voivat olla jopa 17,5 miljoonaa puntaa tai 4 % maailmanlaajuisesta liikevaihdosta
• Hinnat ja palvelut vaihtelevat tarjoajittain: yksityiskohtainen vertailu alla

Päivitetty 21 October 2026 · 9 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 21 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä laki vaatii: UK GDPR Artikkeli 27

UK GDPR:n Artikkeli 27 määrää, että jokaisen rekisterinpitäjän tai käsittelijän, joka ei ole sijoittautunut Yhdistyneeseen kuningaskuntaan mutta tarjoaa tavaroita tai palveluita UK:n asukkaille tai seuraa heidän käyttäytymistään, on nimettävä kirjallisesti UK GDPR -edustaja. Edustajan on oltava sijoittautunut UK:hon ja toimia paikallisena yhteyspisteenä rekisteröidyille ja Information Commissioner's Officelle (ICO). Velvollisuus koskee todellista ja jatkuvaa toimintaa, ei pelkkää postiosoitetta tai kolmannen osapuolen varastoa.

• Nimityksen velvollisuus: Nimitys on tehtävä kirjallisesti ja julkaistava tietosuojaselosteessa, yhteystietoineen.
• Vastuu: Edustaja toimii yhteyspisteenä, mutta ei vapauta rekisterinpitäjää tai käsittelijää vastuista (Art. 27(4)).
• Poikkeukset: Velvollisuus ei koske, jos käsittely on todella satunnaista, ei sisällä arkaluonteisia tai rikostietoja ja ei aiheuta riskejä rekisteröityjen oikeuksille (Art. 27(2)-(6)). Kaikkien ehtojen on täytyttävä.
• Sakot: Nimityksen laiminlyönti on itsenäinen rikkomus, josta voi seurata jopa 17,5 miljoonan punnan tai 4 % maailmanlaajuisesta liikevaihdosta sakot (lähde).

Sääntely koskee kaikkia UK:n ulkopuolisia yrityksiä, jotka:

• Myyvät tuotteita tai palveluita UK:n asiakkaille (myös B2B, jos mukana henkilötietoja)
• Seuraavat UK:n asukkaiden käyttäytymistä (esim. evästeet, analytiikka, kohdennettu mainonta)

Lähteet: UK GDPR Artikkeli 27, ICO

Miten valita palveluntarjoaja: kriteerit, vertailu ja sisältyvät palvelut

UK GDPR -edustajan palveluntarjoajan valinta on tärkeää virheiden ja piilokulujen välttämiseksi. Tässä käytännön arviointikriteerit:

• Alueellinen kattavuus: Jotkut tarjoavat vain UK:n edustusta, toiset myös EU:n (hyödyllistä yrityksille, jotka myyvät molemmilla alueilla).
• Hinta ja uusiminen: Hinnat vaihtelevat 120 punnasta yli 750 puntaan vuodessa; tarkista, onko uusiminen alennettu tai lisäkuluja.
• Palvelut: Virallisen nimityksen lisäksi jotkut tarjoavat tarkistusmerkkejä, tietosuojaselosteen tekstejä, DSAR-hallintaa, käsittelyrekisteriä, audit trail -toimintoja ja monikielistä tukea.
• Nimityksen kesto: REP27 toimittaa nimityksen 24 tunnissa; muut eivät aina ilmoita aikatauluja.
• Sertifikaatit ja julkiset tarkistukset: REP27 tarjoaa QR-koodilla varustetun sertifikaatin ja julkisen tarkistuksen; muut tarjoavat merkkejä tai Trust Center -ratkaisuja.

Palveluiden sisältyminen/poisjättäminen (lokakuu 2026):

Paras valinta riippuu toiminta-alueestasi, auditointitarpeistasi ja UK+EU-kattavuuden tarpeesta. Jos myyt molemmilla markkinoilla, yhdistelmäratkaisu kuten REP27 vähentää kustannuksia ja hallinnollista monimutkaisuutta.

Mitä hinta todella sisältää: käytännön yksityiskohdat ja päätösmatriisi

Palveluntarjoajien ilmoittamat hinnat voivat sisältää hyvin erilaisia palveluita. Jotkut tarjoavat vain virallisen nimityksen, toiset auditointityökaluja, tarkistusmerkkejä, tietosuojaselosteen tekstejä, DSAR-hallintaa, käsittelyrekisterin ja monikielisen tuen. On tärkeää tarkistaa, mitä todella sisältyy ja mitkä palvelut ovat lisämaksullisia tai valinnaisia.

Esimerkiksi REP27 tarjoaa kaksi nimitystä (UK+EU), kaksi sertifikaattia, tietosuojaselosteen tekstit kahdeksalla kielellä, pyyntöjen desk-palvelun, käsittelyrekisterin ja tarkistettavan merkin. Gabsor ja Euverify tarjoavat myös Trust Centerin, merkin, audit trailin ja DSAR-hallinnan. FSREG, GDPR Gateway, Janus ja DataRep UK keskittyvät UK-edustukseen, peruspalveluihin ja pyyntöjen välitykseen.

Käytännön päätösmatriisi:

Huomio: "Satunnainen" käsittely tulkitaan tiukasti. Myös pieni verkkokauppa, joka saa tilauksia säännöllisesti, ei ole satunnainen. Epäselvissä tapauksissa tarkista aina palveluntarjoajalta ennen ostoa.

Piilokustannukset ja rajoitukset: mitä palveluntarjoajat eivät kerro

Monet palveluntarjoajat eivät selkeästi kerro joistakin ehdoista ja rajoituksista:

• Vastuun rajoitus: Edustaja ei ota rekisterinpitäjän tai käsittelijän oikeudellista vastuuta; toimii vain yhteyspisteenä (Art. 27(4)).
• Poissulkemiset: Kukaan tarjoaja ei toimi DPO:na tai tarjoa tietosuojaneuvontaa edustajapalvelun hinnalla. Neuvonta on usein "pyynnöstä" ja voi aiheuttaa lisäkuluja.
• Lisämaksut: Joillakin on lisämaksuja monimutkaisista pyynnöistä, tietojen muutoksista, edistyneestä auditoinnista tai suurten pyyntömassojen käsittelystä. Nämä maksut ovat usein "pyynnöstä" eikä niitä aina julkaista.
• Irtisanomisaika: Palvelun lopettamisen irtisanomisaikaa ei aina määritellä. On tärkeää tarkistaa sopimusehdot.
• Uusiminen ja vaihto: REP27 tarjoaa alennetun hinnan uusimiseen ja helpotuksen toisen palveluntarjoajan vaihdossa, mutta muut eivät välttämättä tarjoa alennuksia tai helpotuksia.

Yhteenvetotaulukko poissulkemisista ja rajoituksista (lokakuu 2026):

Käytännön vinkki: pyydä aina kirjallinen lista sisältyvistä palveluista ja mahdollisista lisämaksuista ennen sopimuksen allekirjoittamista.

Miten nimitys tehdään: vaihe vaiheelta, tarkistuslista ja aikataulu

UK GDPR -edustajan nimitysprosessi voidaan hoitaa nopeasti, kun noudattaa oikeita vaiheita. Tässä käytännön opas:

1. Tarkista velvollisuutesi: Vastaa kolmeen keskeiseen kysymykseen: (1) Oletko sijoittautunut UK:n ulkopuolelle? (2) Tarjoatko tavaroita/palveluita tai seuraatko UK-käyttäjiä? (3) Käsitteletkö henkilötietoja?
2. Valitse palveluntarjoaja: Arvioi kattavuus (vain UK vai myös EU), sisältyvät palvelut, hinta ja toimitusaika.
3. Täytä nimityslomake: Anna yrityksen tiedot, käsittelykuvaus, yhteyshenkilöt ja tarvittavat asiakirjat. REP27:n prosessi kestää noin 5 minuuttia.
4. Vastaanota nimitys: Palveluntarjoaja toimittaa allekirjoitetun nimityksen, sertifikaatin ja tietosuojaselosteen tekstin (REP27 24 tunnissa).
5. Päivitä tietosuojaseloste: Lisää palveluntarjoajan antama teksti, UK-edustajan tiedot ja yhteystavat.
6. Julkaise ja tiedota: Varmista, että nimitys on helposti löydettävissä käyttäjille ja viranomaisille.
7. Uusinta vuosittain: Seuraa määräaikaa ja uusi nimitys, jotta vaatimustenmukaisuus säilyy.

Nopea tarkistuslista:

• Onko sinulla UK-asiakkaita tai käyttäjiä?
• Tarjoatko palveluita tai seuraatko käyttäytymistä?
• Onko sinulla jo nimetty edustaja?
• Oletko päivittänyt tietosuojaselosteen?
• Oletko tarkistanut kattavuuden ja sisältyvät palvelut?

Tavallinen aikataulu vaihtelee 24 tunnista (REP27) muutamaan arkipäivään, riippuen palveluntarjoajasta ja annettujen tietojen täydellisyydestä.

Riskit, sakot ja käytännön tapaukset: todelliset skenaariot

UK GDPR -edustajan nimeämättä jättäminen, kun se on pakollista, aiheuttaa konkreettisia riskejä: sakot jopa 17,5 miljoonaa puntaa tai 4 % maailmanlaajuisesta liikevaihdosta (lähde), liiketoimintasuhteiden katkeaminen ja mainehaitat. Edustaja ei poista rekisterinpitäjän vastuuta, mutta tarjoaa paikallisen yhteyspisteen käyttäjille ja ICO:lle.

Kolme todellista skenaariota:

• Yhdysvaltalainen SaaS, joka palvelee UK:n ja EU:n käyttäjiä: On nimettävä sekä UK- että EU-edustaja. Tehokkain ratkaisu on yhdistetty nimitys (esim. REP27), jossa on yksi aloitusprosessi ja erilliset dokumentit.
• Kiinalainen Amazon-myyjä UK:ssa: Vaikka ei olisi fyysistä toimipaikkaa, jos myy UK:n asiakkaille, on nimettävä UK GDPR -edustaja. Voi valita UK-keskeisen palvelun tai yhdistetyn, jos myy myös EU:ssa.
• UK-verkkokauppa, joka myy vain UK:ssa: Jos yritys on jo sijoittautunut UK:hon (toimisto, sivuliike, henkilökunta), ei tarvitse edustajaa. Jos taas EU-yritys myy UK-asiakkaille, edustaja on pakollinen.

Käytännön päätösmatriisi:

Vinkki: älä odota ICO:n tai asiakkaan pyyntöä. Nimitys on ennakoiva, ja vaatimustenmukaisuuden puute voidaan havaita myös verkkotarkastuksilla.