¿Quién necesita un representante UK GDPR? Todo lo que debes saber (2026)

• Obligación para empresas fuera del Reino Unido que ofrecen bienes/servicios o supervisan usuarios en UK
• No es necesario si se está establecido en Reino Unido o el tratamiento es realmente ocasional
• El representante debe ser nombrado por escrito y publicado
• Sanciones hasta £17,5 millones o 4% de la facturación global
• Precios y servicios varían entre proveedores: comparación detallada abajo

Actualizado 21 octubre 2026 · 9 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 21 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

Qué exige la ley: Artículo 27 UK GDPR

El Artículo 27 del UK GDPR establece que todo responsable o encargado del tratamiento no establecido en Reino Unido, pero que ofrece bienes o servicios a personas en Reino Unido o supervisa su comportamiento, debe nombrar por escrito un representante UK GDPR. El representante debe estar establecido en Reino Unido y actuar como punto de contacto local para los interesados y para la Information Commissioner's Office (ICO). La obligación se aplica independientemente de la presencia física de servidores o infraestructuras en UK: cuenta la existencia de actividades reales y continuas (no basta una dirección postal o un almacén tercero).

• Obligación de nombramiento: La designación debe ser escrita y publicada en el aviso de privacidad, con datos de contacto accesibles.
• Responsabilidad: El representante actúa como punto de contacto pero no exime al responsable/encargado de sus responsabilidades y obligaciones (Art. 27(4)).
• Exenciones: La obligación no se aplica si el tratamiento es realmente ocasional, no incluye datos sensibles o penales y no implica riesgos para los derechos de los interesados (Art. 27(2)-(6)). Estas condiciones deben cumplirse todas.
• Sanciones: La falta de nombramiento es una infracción autónoma y puede conllevar multas de hasta £17,5 millones o el 4% de la facturación global (fuente).

La normativa aplica a cualquier empresa fuera de UK que:

• Vende productos o servicios a clientes en Reino Unido (incluso B2B si se manejan datos personales)
• Supervisa el comportamiento de personas en Reino Unido (por ejemplo mediante cookies, analytics, publicidad dirigida)

Fuentes: Artículo 27 UK GDPR, ICO

Cómo elegir el proveedor: criterios, comparación y servicios incluidos

La elección del proveedor de representación UK GDPR es fundamental para evitar errores de cumplimiento y costes ocultos. Aquí los criterios prácticos a evaluar:

• Cobertura territorial: Algunos proveedores ofrecen solo UK, otros también la representación UE (útil para empresas que venden en ambas áreas).
• Precio y renovación: Los precios varían desde £120 hasta más de £750/año; verifica si la renovación tiene descuento o hay costes adicionales.
• Servicios incluidos: Además de la designación formal, algunos proveedores ofrecen insignias de verificación, textos para aviso de privacidad, gestión de DSAR, registro de tratamientos, auditoría y mesa multilingüe.
• Tiempos de designación: REP27 emite la designación en 24 horas; otros proveedores no siempre especifican tiempos.
• Certificaciones y verificaciones públicas: REP27 provee certificado con código QR y verificación pública; otros ofrecen insignias o Trust Center.

Tabla inclusiones/exclusiones (Octubre 2026):

La mejor elección depende de dónde operes, tus necesidades de auditoría y la necesidad de cobertura combinada UK+UE. Si vendes en ambos mercados, una solución combinada como REP27 reduce costes y complejidad administrativa.

Qué incluye realmente el precio: detalles prácticos y matriz de decisión

El precio publicado por los proveedores puede incluir servicios muy diferentes. Algunos ofrecen solo la designación formal, otros incluyen herramientas de auditoría, insignias de verificación, textos para aviso de privacidad, gestión de DSAR, registro de tratamientos y mesa multilingüe. Es esencial verificar qué está efectivamente incluido y qué servicios son opcionales o con coste extra.

Por ejemplo, REP27 ofrece dos designaciones (UK+UE), dos certificados, textos para aviso de privacidad en 8 idiomas, mesa de solicitudes, registro de tratamientos e insignia verificable. Gabsor y Euverify también ofrecen Trust Center, insignia, auditoría y gestión de DSAR. FSREG, GDPR Gateway, Janus y DataRep UK se centran en la representación UK, con servicios básicos y reenvío de solicitudes.

Tabla práctica de decisión:

Atención: el tratamiento "ocasional" se interpreta de forma restrictiva. Incluso un pequeño e-commerce que recibe pedidos regularmente no se considera ocasional. Si tienes dudas, verifica siempre con el proveedor antes de comprar.

Costes ocultos y límites: qué no dicen los proveedores

Muchos proveedores no destacan claramente algunas condiciones y límites:

• Responsabilidad limitada: El representante no asume la responsabilidad legal del responsable/encargado; actúa solo como punto de contacto (Art. 27(4)).
• Exclusiones: Ningún proveedor actúa como DPO ni ofrece consultoría de privacidad incluida en el precio de representación. La consultoría suele ser "On request" y puede tener costes adicionales.
• Costes extra: Algunos proveedores aplican tarifas adicionales por solicitudes complejas, cambio de datos, servicios avanzados de auditoría o gestión de grandes volúmenes. Estos costes suelen ser "On request" y no siempre publicados.
• Periodo de preaviso: El plazo para la terminación del servicio no siempre está especificado. Es importante revisar las condiciones contractuales.
• Renovación y cambio: REP27 ofrece renovación a precio reducido y cambio facilitado desde otro proveedor, pero otros pueden no prever descuentos o facilidades.

Tabla resumen de exclusiones y límites (Octubre 2026):

Consejo práctico: pide siempre al proveedor una lista escrita de los servicios incluidos y posibles tarifas extra antes de firmar.

Cómo funciona el nombramiento: paso a paso, checklist y tiempos

El nombramiento del representante UK GDPR es un proceso que puede completarse rápidamente si se siguen los pasos correctos. Aquí una guía práctica paso a paso:

1. Verifica si estás obligado: Responde las tres preguntas clave: (1) ¿Estás establecido fuera del Reino Unido? (2) ¿Ofreces bienes/servicios o supervisas usuarios UK? (3) ¿Tratas datos personales?
2. Elige el proveedor: Evalúa cobertura (solo UK o también UE), servicios incluidos, precio y tiempos de emisión.
3. Completa el formulario de designación: Proporciona datos de la empresa, descripción de tratamientos, contactos y documentos requeridos. Con REP27 el proceso toma unos 5 minutos.
4. Recibe la designación: El proveedor emite la designación firmada, el certificado y el texto para el aviso de privacidad (REP27 en 24 horas).
5. Actualiza el aviso de privacidad: Inserta el texto proporcionado por el proveedor, con datos del representante UK y formas de contacto.
6. Publica y comunica: Asegúrate de que la designación sea fácilmente accesible para usuarios y autoridades.
7. Renueva anualmente: Lleva control de la fecha de vencimiento y renueva para evitar interrupciones de cumplimiento.

Checklist rápida:

• ¿Tienes clientes o usuarios UK?
• ¿Ofreces servicios o supervisas comportamientos?
• ¿Ya tienes un representante nombrado?
• ¿Has actualizado el aviso de privacidad?
• ¿Has verificado la cobertura y servicios incluidos?

El tiempo típico va de 24 horas (REP27) a algunos días hábiles, según proveedor y datos proporcionados.

Riesgos, sanciones y casos prácticos: escenarios reales

La falta de nombramiento de un representante UK GDPR cuando es obligatorio conlleva riesgos concretos: sanciones hasta £17,5 millones o el 4% de la facturación global (fuente), bloqueo de relaciones comerciales y daños reputacionales. El representante no elimina la responsabilidad del responsable, pero garantiza un punto de contacto local para usuarios e ICO.

Tres escenarios reales:

• US SaaS que ofrece servicios a usuarios UK y UE: Debe nombrar representante tanto UK como UE. Solución más eficiente: proveedor que ofrece designación combinada (ej. REP27), con un solo onboarding y documentos separados.
• Vendedor chino en Amazon UK: Aunque sin sede física, si vende a clientes UK debe nombrar representante UK GDPR. Puede elegir proveedores enfocados solo en UK o, si vende también en UE, una solución combinada.
• Tienda online UK que vende solo en UK: Si ya está establecida en Reino Unido (oficina, filial, personal), no tiene obligación de representante. Si es una empresa UE que vende a clientes UK, debe nombrar representante UK GDPR.

Matriz práctica de decisión:

Consejo: no esperes una solicitud del ICO o un cliente. El nombramiento es preventivo y la falta de cumplimiento puede detectarse incluso mediante controles online.