Tarvitsenko UK GDPR -edustajan yritykselleni UK:n ulkopuolella?

• UK GDPR artikla 27 koskee UK:n ulkopuolisia yrityksiä, jotka kohdistavat tai valvovat UK:n yksilöitä.
• Poikkeukset: julkiset viranomaiset tai vain satunnainen, vähäriskinen, ei-sensitiivinen käsittely.
• REP27 — Europe Services, SE tarjoaa yhdistettyä EU- ja UK-edustusta alkaen 390 €/vuosi.
• Sääntörikkomuksista voi seurata merkittäviä sakkoja.
• Palveluntarjoajien sisällöt, hinnat ja uusimisehdot vaihtelevat.

Päivitetty 18 October 2026 · 13 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 18 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä laki edellyttää (UK GDPR artikla 27)

UK GDPR:n artikla 27 edellyttää, että mikä tahansa rekisterinpitäjä tai käsittelijä, joka ei ole perustettu Isossa-Britanniassa mutta tarjoaa tavaroita tai palveluja tai valvoo Ison-Britannian yksilöiden käyttäytymistä, nimeää kirjallisesti UK-edustajan. Tämä edustaja toimii paikallisena yhteyspisteenä sekä UK:n rekisteröidyille että Information Commissioner’s Officelle (ICO). Velvoite aktivoituu kahdesta päätoiminnosta: (1) UK-asukkaiden kohdentaminen tavaroilla tai palveluilla tai (2) heidän käyttäytymisensä valvonta (esim. analytiikka, evästeet tai profilointi).

Poikkeukset ovat tiukasti rajattuja. Et tarvitse UK-edustajaa, jos olet julkinen viranomainen tai jos käsittelysi on vain satunnaista, vähäriskistä eikä sisällä laajamittaista erityiskategorian tai rikostuomioiden tietojen käyttöä. Esimerkiksi ulkomainen yritys, joka tekee yhden kertaluonteisen myynnin UK-asiakkaalle, on todennäköisesti vapautettu, mutta verkkokauppa, joka ottaa säännöllisiä tilauksia, ei ole. Laki on suunniteltu varmistamaan, että UK:n asukkaat ja ICO voivat helposti ottaa yhteyttä vastuulliseen tahoon UK:ssa tietosuojakysymyksissä.

Edustajan nimeämättä jättäminen, kun se on vaadittu, on itsenäinen rikkomus ja voi johtaa valvontatoimiin tai sakkoihin. ICO odottaa, että edustajan tiedot julkaistaan tietosuojaselosteessasi, ja edustajan tulee pystyä välittämään rekisteröityjen ja ICO:n pyynnöt yrityksellesi viipymättä.

• Sisältää / Ei sisällä / Lisämaksut -taulukko

Miten valita UK GDPR -edustaja

Oikean UK GDPR -edustajan valinta on ratkaisevaa vaatimustenmukaisuuden ja toiminnan tehokkuuden kannalta. Palveluntarjoajan tulee olla aidosti perustettu UK:ssa, ei pelkästään tarjota virtuaaliosoitetta. Etsi läpinäkyvyyttä hinnoittelussa, selkeät sisällöt ja todistettu kokemus. Jotkut palveluntarjoajat, kuten REP27 — Europe Services, SE, tarjoavat myös yhdistettyä EU- ja UK-edustusta, mikä on erityisen hyödyllistä yrityksille, jotka kohdistavat molemmille markkinoille.

Vertailussa huomioi seuraavat seikat:

• Perustaminen: Palveluntarjoajalla tulee olla todellinen UK-läsnäolo, joka pystyy vastaamaan ICO:lle ja rekisteröidyille.
• Palvelun laajuus: Jotkut edustajat välittävät vain pyynnöt, kun taas toiset tarjoavat lisätukea, kuten monikielistä pyyntöjen käsittelyä, tietosuojaselosteen sanamuotoa tai tietueiden ylläpitoa. Oikeudellinen neuvonta ja DPO-palvelut eivät yleensä sisälly perushintaan.
• Hinnoittelu ja uusiminen: Julkaistut hinnat vaihtelevat laajasti, 120 £ - 499 £ vuodessa pelkästään UK-palveluissa. Yhdistetyt EU+UK-suunnitelmat (esim. REP27) voivat olla kustannustehokkaampia kuin erikseen ostettuna. Tarkista aina uusimisen ehdot, sillä joillakin palveluntarjoajilla on alennuksia seuraaville vuosille.
• Tuki ja kielet: Jos yrityksesi palvelee asiakkaita useilla kielillä, monikielinen tuki voi olla arvokasta. REP27 tarjoaa pyyntöjen käsittelyä kahdeksalla kielellä.
• Yhdistetty palvelu: Jos tarvitset sekä EU- että UK-edustajat, yhdistetyn palveluntarjoajan (kuten REP27) käyttäminen helpottaa käyttöönottoa, laskutusta ja tietosuojaselosteen päivityksiä.

Pyydä aina kirjallinen sopimus ja varmista, että palveluntarjoajan tiedot julkaistaan oikein tietosuojaselosteessasi vaatimustenmukaisuuden varmistamiseksi.

Mihin hinta todella kattaa

Julkaistut hinnat (lokakuu 2026) UK GDPR -edustajapalveluille sisältävät tyypillisesti seuraavaa:

• Kirjallinen nimitys UK GDPR -edustajaksesi, allekirjoitettu ja voimassa artiklan 27 mukaisesti.
• UK-osoite ja yhteyspiste ICO:lle ja UK:n rekisteröidyille.
• Virallisten ja rekisteröityjen pyyntöjen välitys yrityksellesi (yleensä 1–2 arkipäivän sisällä).
• Tietosuojaselosteen mallisanamuoto, joka varmistaa UK GDPR:n läpinäkyvyysvaatimusten täyttymisen.
• Vuotuinen nimityksen uusiminen, joillakin palveluntarjoajilla alennuksia seuraaville vuosille tai yhdistetyille palveluille.

Jotkut palveluntarjoajat, kuten REP27, tarjoavat lisäksi varmennettavan todistuksen, julkisen varmennuskoodin ja monikielisen pyyntöjen käsittelyn. Toiset voivat tarjota vaatimustenmukaisuuden automaatiota tai lisätukea rekisteröityjen oikeuksien pyyntöihin (DSAR), tietoturvaloukkausilmoituksiin tai dokumentaation tarkastuksiin lisäpalveluina.

Oikeudellinen neuvonta, DPO-palvelut tai täydelliset vaatimustenmukaisuuden arvioinnit eivät sisälly perushintaan missään listatuista palveluntarjoajista. Jos käsittelysi sisältää herkkiä tietoja tai suuria määriä, tarkista, veloittaako palveluntarjoaja korkeampia maksuja (esim. DataRepillä on erilliset hinnoittelutasot). Varmista aina, mitä sopimukseesi sisältyy, ja pyydä erittely mahdollisista lisämaksuista.

Piilokustannukset ja poissulkemiset

Vaikka useimmat palveluntarjoajat mainostavat kiinteää vuosimaksua, on tärkeää huomioida seuraavat poissulkemiset ja mahdolliset piilokustannukset:

• Oikeudellinen neuvonta: Yksikään tässä vertailussa mukana oleva palveluntarjoaja ei sisällä oikeudellista neuvontaa, DPO-palveluja tai vaatimustenmukaisuustarkastuksia perusmaksuun. Jos tarvitset näitä, varaudu lisämaksuihin tai erillisiin sopimuksiin.
• Pyynnöistä veloitettavat maksut: Jotkut palveluntarjoajat saattavat rajoittaa sisältyvien pyyntöjen määrää tai veloittaa enemmän herkän datan tai suurten volyymien käsittelystä (esim. DataRepin korkeampi taso erityiskategorian tiedoille).
• Uusimishinnat: Uusimishinnat voivat olla alhaisemmat tai korkeammat kuin ensimmäisen vuoden hinta. REP27 tarjoaa esimerkiksi alhaisempia uusimishintoja yhdistetyille palveluille. Tarkista aina uusimisehdot ennen sitoutumista.
• Irtisanomisajat ja sopimuksen päättäminen: Useimmat palveluntarjoajat vaativat vuosittaista uusimista ja sallivat irtisanomisen uusimisen yhteydessä. Irtisanomisaikoja ja vastuuvapauksia koskevat tiedot ovat harvoin julkisia — pyydä nämä kirjallisena ennen sopimuksen tekemistä.
• Palveluntarjoajan vaihto: Edustajan vaihtaminen on asiakirjaprosessi, ei oikeudellinen riski, mutta varmista, ettei nimityksessä ole katkoa. REP27 sallii vaihtamisen uusimishintaan, jos siirryt toiselta palveluntarjoajalta.

Pyydä aina täydellinen luettelo sisällöistä ja poissulkemisista kirjallisena. Jos käsittelysi muuttuu (esim. alat käsitellä herkkiä tietoja), ilmoita palveluntarjoajallesi välttääksesi odottamattomia maksuja tai vaatimustenmukaisuuden aukkoja.

Miten nimitys tapahtuu: vaihe vaiheelta

UK GDPR -edustajan nimeäminen on määritelty prosessi. Näin se käytännössä toimii:

1. Arvioi soveltuvuus: Käytä kolmen kysymyksen testiä: Oletko perustettu UK:ssa? Kohdistatko tai valvotko UK:n yksilöitä? Käsitteletkö henkilötietoja? Jos vastaat kyllä kahteen viimeiseen ja et ole perustettu UK:ssa, tarvitset edustajan.
2. Valitse palveluntarjoaja: Valitse aidosti UK:ssa toimiva palveluntarjoaja, jolla on läpinäkyvä hinnoittelu ja selkeät sisällöt.
3. Käyttöönotto: Täytä palveluntarjoajan käyttöönottoilmoitus, anna yrityksen tiedot, käsittelyn kuvaus ja yhteystiedot. Yhdistetyt palveluntarjoajat (kuten REP27) mahdollistavat EU:n ja UK:n kattamisen yhdellä kertaa.
4. Nimityssopimus: Palveluntarjoaja laatii ja allekirjoittaa kirjallisen nimityssopimuksen. REP27 toimittaa nimityksen 24 tunnin sisällä; muut voivat kestää muutaman päivän.
5. Päivitä tietosuojaseloste: Lisää tietosuojaselosteeseen edustajan nimi ja yhteystiedot. REP27 toimittaa mallisanamuodon useilla kielillä.
6. Vastaanota todistus: Jotkut palveluntarjoajat (esim. REP27) antavat varmennettavan todistuksen ja julkisen varmennuskoodin kirjanpitoa varten.
7. Jatkuva vaatimustenmukaisuus: Palveluntarjoaja välittää ICO:n ja rekisteröityjen pyynnöt sovitussa ajassa (esim. REP27:lla 2 arkipäivän sisällä).
8. Vuotuinen uusiminen: Uusi sopimus vuosittain vaatimustenmukaisuuden ylläpitämiseksi. Yhdistetyissä palveluissa voi olla yksi uusimispäivä sekä EU- että UK-nimityksille.

Päätösmatriisi:

Riskit ja sakot vaatimustenmukaisuuden laiminlyönnistä

UK GDPR -edustajan nimeämättä jättäminen, kun se on vaadittu, on suora rikkomus UK GDPR:n artiklaa 27 vastaan. ICO voi ryhtyä valvontatoimiin, mukaan lukien sakkojen määrääminen. Vaikka UK GDPR ei määrittele maksimisakkoa tästä rikkomuksesta, EU:n GDPR:n vastaava rikkomus voi johtaa jopa 10 miljoonan euron tai 2 % maailmanlaajuisesta vuosiliikevaihdosta (kumpi on suurempi) suuruisen hallinnollisen sakon määräämiseen. ICO on ilmaissut odottavansa, että UK:n ulkopuolisilla organisaatioilla on paikallinen yhteyshenkilö ja voi tutkia tai rangaista niitä, jotka eivät noudata vaatimusta.

Edustajan nimeäminen ei suojaa yritystäsi vastuulta: ICO ja rekisteröidyt voivat silti ryhtyä toimiin suoraan yritystäsi vastaan. Edustaja välittää pyynnöt, mutta ei vastaa puolestasi. Jos tietosuojaselosteesi on virheellinen (esim. siinä mainitaan vain EU-edustaja UK-käsittelylle), se on myös vaatimustenmukaisuusriskin lähde. Viranomaiset tarkistavat sekä edustajan olemassaolon että tiedon oikeellisuuden julkaisussa.

EU:ssa on jo ollut todellista valvontaa ja merkittäviä sakkoja edustajan nimeämättä jättämisestä. UK:n järjestelmä on Brexitin jälkeen rakenteellisesti identtinen, ja valvonnan odotetaan olevan samankaltaista. Ennakoiva edustajan nimeäminen ja tarkkojen tietojen ylläpito on paras tapa vähentää riskiä.

Mitä palveluntarjoajat yleensä eivät kerro

• Oikeudellinen neuvonta ei sisälly: Lainsäädännöllinen edustajan rooli rajoittuu yhteyspisteenä toimimiseen ja pyyntöjen välittämiseen. Palveluntarjoajat eivät vastaa asian sisällöstä tai tarjoa oikeudellista neuvontaa, ellei erikseen osteta lisäpalveluja.
• DPO- ja vaatimustenmukaisuustarkastukset: Yksikään tässä oppaassa mainittu palveluntarjoaja ei sisällä DPO-palveluja tai täydellisiä vaatimustenmukaisuustarkastuksia perushintaan. Nämä ovat GDPR:n erillisiä rooleja.
• Irtisanomisajat ja sopimuksen päättäminen: Useimmat palveluntarjoajat vaativat vuosittaista uusimista ja sallivat irtisanomisen uusimisen yhteydessä. Irtisanomisaikoja ja vastuuvapauksia koskevat tiedot ovat harvoin julkisia — pyydä nämä kirjallisena, jos ne ovat yrityksellesi tärkeitä.
• Pyynnöistä tai volyymista veloitettavat maksut: Jotkut palveluntarjoajat (esim. DataRep) veloittavat korkeampia maksuja herkän datan tai suurten volyymien käsittelystä. Toiset voivat rajoittaa perusmaksuun sisältyvien pyyntöjen määrää.
• Palveluntarjoajan vaihto: Edustajan vaihtaminen on asiakirjaprosessi. REP27 tarjoaa alennetun hinnan vaihdettaessa toiselta palveluntarjoajalta, mutta varmista, ettei nimityksessä ole katkoa vaatimustenmukaisuuden välttämiseksi.
• Yhdistetyn palvelun virheet: Yhden rivin käyttäminen tietosuojaselosteessa sekä EU- että UK-edustajille on virheellistä. Kukin viranomainen odottaa oman paikallisen toimijan nimeämistä. Yhdistetyt palveluntarjoajat (kuten REP27) toimittavat kaksi erillistä riviä ja todistusta.

Todelliset tilanteet: mikä velvoite koskee?

• Yhdysvaltalainen SaaS UK-käyttäjillä: Jos SaaS-alustasi kohdistaa tai valvoo UK:n yksilöitä (esim. markkinointi, analytiikka tai asiakastuki UK:n aikoina), sinun on nimettävä UK-edustaja. Jos palvelet myös EU:ta, yhdistetty EU+UK-palvelu (esim. REP27) on tehokkain ja kustannustehokkain vaihtoehto, koska se välttää päällekkäiset käyttöönotto- ja uusimiskäytännöt.
• Kiinalainen Amazon-myyjä UK:hin: Jos myyt suoraan UK:n kuluttajille (myös Amazonin kaltaisen markkinapaikan kautta), sinun on nimettävä UK-edustaja. Tämä varmistaa, että UK:n asiakkailla ja ICO:lla on paikallinen yhteyshenkilö tietosuojakysymyksissä. Jos myyt myös EU:hun, harkitse yhdistettyä palvelua.
• UK-verkkokauppa, joka myy vain EU:hun: UK:ssa perustettuna yrityksenä et tarvitse UK-edustajaa. Jos kuitenkin kohdistat tai valvot EU:n yksilöitä, sinun on nimettävä EU-edustaja. Käänteinen tilanne pätee EU-yrityksille, jotka myyvät UK:lle.

Jokaisessa tilanteessa yksinkertaisin vaatimustenmukainen tapa on käyttää palveluntarjoajaa, joka tarjoaa tarvittavat nimitykset, selkeät dokumentit ja tietosuojaselosteen mallisanamuodot. Yhdistetyt palvelut ovat erityisen hyödyllisiä yrityksille, jotka toimivat sekä EU:ssa että UK:ssa, vähentäen hallinnollista taakkaa ja ristiriitaisten vaatimusten riskiä.

Tarkistuslista: miten nimittää UK GDPR -edustaja tänään

1. Määritä soveltuvuus: Oletko perustettu UK:n ulkopuolella? Kohdistatko tai valvotko UK:n yksilöitä? Käsitteletkö henkilötietoja? Jos kyllä, jatka.
2. Tarkista poikkeukset: Oletko julkinen viranomainen tai onko käsittelysi vain satunnaista, vähäriskistä ja ei-sensitiivistä? Jos ei, tarvitset edustajan.
3. Valitse palveluntarjoaja: Valitse UK:ssa perustettu palveluntarjoaja, jolla on läpinäkyvä hinnoittelu ja selkeät sisällöt. Jos tarvitset sekä EU- että UK-edustuksen, harkitse yhdistettyä palvelua.
4. Käyttöönotto: Täytä palveluntarjoajan käyttöönottoilmoitus, anna yrityksen tiedot ja käsittelyn kuvaus.
5. Vastaanota ja allekirjoita nimitys: Palveluntarjoaja toimittaa kirjallisen nimityssopimuksen. Allekirjoita ja palauta se.
6. Päivitä tietosuojaseloste: Lisää palveluntarjoajan UK-tiedot tietosuojaselosteeseen. Käytä toimitettua mallisanamuotoa.
7. Hanki todistus: Säilytä nimitystodistus ja varmennuskoodi ICO:n tai rekisteröityjen tarkastusta varten.
8. Ylläpidä vaatimustenmukaisuutta: Varmista, että palveluntarjoaja välittää pyynnöt nopeasti. Vastaa ICO:n tai rekisteröityjen tiedusteluihin tarvittaessa.
9. Uusitse vuosittain: Seuraa uusimispäivää ja päivitä tiedot tarpeen mukaan. Yhdistetyissä palveluissa voi olla yksi uusimiskerta EU- ja UK-nimityksille.