UK GDPR -edustajapalvelut: Tarjoajat, hinnat ja sisältö (2026)

• UK GDPR:n 27 artikla vaatii ei-YK:ssa toimivilta yrityksiltä, jotka kohdistavat palvelujaan YK:n yksilöihin, edustajan nimeämisen.
• REP27 — Europe Services, SE tarjoaa yhdistettyä EU:n ja YK:n edustusta alkaen 390 €/vuosi.
• Kilpailijoita ovat DataRep, VeraSafe, Gabsor ja GDPR Gateway Limited.
• Palveluihin kuuluu yleensä nimityskirjeet, pyyntöjen välitys ja tietosuojaselosteen tekstien laatiminen.
• Poikkeuksia on satunnaisessa, vähäriskisessä käsittelyssä ja julkisissa viranomaisissa.
• Sanktioita laiminlyönnistä voi olla jopa 17 miljoonaa puntaa tai 4 % maailmanlaajuisesta liikevaihdosta.

Päivitetty 18 October 2026 · 6 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 18 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lain vaatimukset: UK GDPR:n 27 artikla

UK GDPR:n 27 artikla edellyttää, että kaikki rekisterinpitäjät tai käsittelijät, jotka eivät ole perustaneet toimipaikkaa Yhdistyneeseen kuningaskuntaan, mutta tarjoavat tavaroita tai palveluja YK:n yksilöille tai seuraavat heidän käyttäytymistään, nimeävät kirjallisesti UK GDPR -edustajan. Tämä on lakisääteinen velvoite, joka koskee yrityksen kokoa tai toimialaa riippumatta. Edustaja toimii paikallisena yhteyspisteenä rekisteröidyille ja tietosuojavaltuutetun toimistolle (ICO). Tämä vaatimus on erillinen EU:n GDPR:stä, joten YK-edustaja ei kata EU:n velvoitteita eikä päinvastoin. Laki on selkeä: jos et ole perustanut toimipaikkaa YK:ssa mutta kohdistat tai seuraat YK:n yksilöitä, sinun on nimettävä YK:ssa toimipaikan omaava edustaja.

• Kuka nimittää: Ei-YK:ssa toimivat yritykset (rekisterinpitäjät tai käsittelijät), jotka kohdistavat tai seuraavat YK:n yksilöitä.
• Poikkeukset: Julkiset viranomaiset, satunnainen, vähäriskinen käsittely ilman laajamittaista erityiskategorian tai rikostietojen käsittelyä. Henkilökohtaiset tai kotitaloustoiminnat ovat myös poikkeuksia.
• Mitä on tehtävä: Nimitys on tehtävä kirjallisesti ja edustajan yhteystiedot on julkaistava tietosuojaselosteessa sekä tehtävä helposti saataville YK:n rekisteröidyille ja ICO:lle.

Edustajan nimeämättä jättäminen on itsenäinen rikkomus UK GDPR:n 83(4)(a) artiklan mukaan, ja siitä voi seurata jopa 17 miljoonan punnan tai 4 % maailmanlaajuisesta liikevaihdosta suuruinen sakko, kumpi on suurempi (virallinen ohje).

Yrityksille, jotka toimivat sekä YK:ssa että EU:ssa, vaaditaan kaksi erillistä edustajaa, koska järjestelmät ovat Brexitin jälkeen täysin erilliset. Jotkut tarjoajat tarjoavat yhdistettyjä palveluita, mutta jokainen nimitys on annettava toimijan toimipaikassa kyseisellä alueella.

Miten valita UK GDPR -edustaja

UK GDPR -edustajan valinta on sekä lakisääteinen että käytännöllinen päätös. Edustajan on oltava perustettu YK:ssa ja pystyttävä toimimaan paikallisena yhteyspisteenä ICO:lle ja rekisteröidyille. Tärkeitä huomioita ovat:

• Sijainti: Tarjoajalla on oltava todellinen toimipaikka YK:ssa. Esimerkiksi REP27 — Europe Services, SE toimii tätä tarkoitusta varten YK:ssa rekisteröidyn REP27 LTD -yhtiön kautta.
• Toiminta-alue: Jos tarvitset myös EU-edustajan, etsi tarjoajia, jotka tarjoavat molemmat yhdellä tilauksella, jotta vältyt päällekkäiseltä käyttöönotolta ja epäjohdonmukaisilta tietosuojaselosteilta. REP27 ja GDPR Gateway Limited tarjoavat yhdistettyjä paketteja.
• Hinnoittelu: Julkaistut hinnat vaihtelevat 120 £/vuosi (DataRep, pieni yritys) yli 4 800 £/vuosi (DataRep Titanium). REP27 tarjoaa yhdistetyn EU+YK-paketin alkaen 390 €/vuosi, mikä on useimmissa tapauksissa edullisempaa kuin ostaa molemmat erikseen. Tarkista aina, koskeeko hinta yhtä aluetta vai molempia.
• Mitä sisältyy: Kaikki tarjoajat tarjoavat virallisen nimityksen ja pyyntöjen välityksen. Jotkut, kuten REP27, sisältävät tietosuojaselosteen tekstin useilla kielillä, varmennettavat todistukset ja tietueiden hallinnan. Toiset voivat rajoittaa tukea tai veloittaa lisämaksuja suurista rekisteröityjen määristä tai lisäpalveluista.
• Tuki: Harkitse kielivalikoimaa, vastausaikoja ja tarjoaako palveluntarjoaja alustan integraatiota (esim. Gabsor sisältää moduuleja vaatimustenmukaisuuden hallintaan).

Sisältyy / Ei sisälly / Lisämaksut -taulukko

Tarkista uusintahinnat, käyttöönotto- ja mahdolliset varmennustodistukset tai julkiset rekisterit. Nämä vaikuttavat sekä vaatimustenmukaisuuteen että hankintojen hyväksyntään.

Mitä hinta todella sisältää

Julkaistu hinta UK GDPR -edustajalle voi kattaa erilaisia palveluita, mutta laajuus ja syvyys vaihtelevat tarjoajittain. Kaikki listatut tarjoajat sisältävät lakisääteisen minimin: kirjallisen nimityksen UK GDPR -edustajaksesi ja keinon välittää pyyntöjä rekisteröidyiltä tai ICO:lta. Yksityiskohdat ovat kuitenkin tärkeitä:

• Nimitys ja todistus: REP27 toimittaa allekirjoitetun nimityskirjeen, varmennettavan QR-koodilla varustetun todistuksen ja tietosuojaselosteen tekstit kahdeksalla kielellä. GDPR Gateway Limited tarjoaa vahvistuskirjeen ja tietosuojaselosteen tekstin. DataRep ja VeraSafe tarjoavat nimityksen ja vahvistuksen, mutta todistemuodosta ei ole tarkempaa tietoa.
• Pyyntöjen käsittely: REP27 välittää pyynnöt kahden työpäivän kuluessa, mutta ei vastaa niiden sisältöön. DataRep ja VeraSafe välittävät myös kirjeenvaihtoa; Gabsor ja GDPR Gateway Limited sisällyttävät tämän myös, mutta vastausaika tai prosessi voivat vaihdella.
• Tietueiden hallinta: REP27 säilyttää 30 artiklan mukaiset tietueet ja toimittaa ne viranomaisille pyynnöstä. Muut tarjoajat saattavat sisällyttää tämän tai eivät; tarkista, tarvitsetko tätä palvelua vaatimustenmukaisuuteen.
• Tietosuojaselosteen tekstit: REP27 ja GDPR Gateway Limited tarjoavat valmiit tietosuojaselosteen tekstit. Tämä on olennaista vaatimustenmukaisuuden kannalta ja vähentää lakitekstien laatimiseen kuluvaa aikaa.
• Kielet ja tuki: REP27 käsittelee pyyntöjä kahdeksalla kielellä. Gabsor tarjoaa tukivaihtoehtoja suunnitelman mukaan; muut eivät erittele kielivalikoimaa.

Varmista aina, kattaako julkaistu hinta rekisteröityjen määrän, onko pyyntömäärissä rajoituksia ja ovatko uusintahinnat alemmat, korkeammat vai samat kuin ensimmäisenä vuonna. Esimerkiksi REP27 tarjoaa alennettuja uusintahintoja toisesta vuodesta alkaen, kun taas DataRep ja VeraSafe hinnoittelevat yrityksen koon ja rekisteröityjen tavoittavuuden mukaan.

Piilokustannukset ja poissulkemiset

Vaikka UK GDPR -edustajan lakisääteinen rooli on selkeä, kaupalliset tarjonnat voivat sisältää piilokustannuksia tai poissulkemisia, joita ei aina mainita tarjoajan sivuilla. Tässä huomioitavaa:

• Määräperusteinen hinnoittelu: DataRep ja VeraSafe nostavat maksuja yrityksille, joilla on suuri määrä rekisteröityjä tai korkea maailmanlaajuinen liikevaihto. Esimerkiksi DataRep antaa erillisen tarjouksen yli miljoonan rekisteröidyn kattavuudesta, ja VeraSafe skaalaa maksuja yli 25 miljoonan dollarin liikevaihdolle.
• Yhdistetty EU/UK-edustus: Jotkut tarjoajat veloittavat erikseen EU- ja UK-nimityksistä. REP27 ja GDPR Gateway Limited tarjoavat alennettuja yhdistettyjä paketteja, jotka säästävät aikaa ja rahaa. Gabsor sisällyttää molemmat Essential-suunnitelmassaan, mutta tuki ja ominaisuudet vaihtelevat suunnitelman mukaan.
• Tuki ja alustan käyttö: Gabsorin tukitaso ja alustamoduulit riippuvat valitusta suunnitelmasta. Jos tarvitset integraatiota tai edistyneitä vaatimustenmukaisuustyökaluja, tarkista sopiva suunnitelma.
• Oikeudellinen neuvonta ja tietosuojavastaavan palvelut: REP27 ei tarjoa oikeudellista neuvontaa, tietosuojavastaavan palveluita tai vaatimustenmukaisuuden arviointeja. Useimmat muutkaan tarjoajat eivät sisällä näitä, ellei toisin mainita. Tarvitessasi oikeudellista tai DPO-tukea, sinun on tehtävä erillinen sopimus.
• Uusinta- ja käyttöönotto maksut: REP27 tarjoaa alennettuja uusintahintoja ensimmäisen vuoden jälkeen. Muilla tarjoajilla voi olla käyttöönotto- tai korkeammat uusintamaksut – tarkista aina ennen sopimuksen tekemistä.
• Ilmoitusajat ja pyyntömaksut: Näitä harvoin julkaistaan. Jos yrityksesi odottaa suuria määriä rekisteröityjen pyyntöjä tai viranomaisyhteyksiä, selvitä, peritäänkö lisämaksuja.

Yhteenvetona: pyydä aina täydellinen erittely siitä, mitä sisältyy, mitä ei sisälly ja mahdolliset lisämaksut ennen tarjoajan valintaa.

Nimitysprosessi: askel askeleelta

UK GDPR -edustajan nimeäminen on prosessi, joka voidaan suorittaa nopeasti, kun oikeat tiedot ja asiakirjat ovat valmiina. Tässä käytännön vaiheittainen opas:

1. Arvioi tarve: Käytä alla olevaa päätösmatriisia selvittääksesi, tarvitsetko edustajan. Keskeisiä tekijöitä: oletko perustanut toimipaikan YK:ssa? Kohdistatko tai seuraatko YK:n yksilöitä? Onko käsittelysi poikkeuksen piirissä?
2. Vertaa tarjoajia: Tarkastele julkaistuja hintoja, sisältyviä palveluita ja tarvitaanko EU-edustajaa. Harkitse käyttöönoton aikaa, kielitukea ja uusintaprosessia.
3. Valmistele asiakirjat: Kerää yritystiedot, kuvaus käsittelytoimista ja tietosuojaseloste. Jotkut tarjoajat vaativat yksityiskohtaisempia tietoja.
4. Suorita käyttöönotto: Täytä tarjoajan lomake. Esimerkiksi REP27 kattaa EU:n ja YK:n yhdellä lomakkeella, jos tarvitset molemmat. Muut voivat vaatia erilliset lomakkeet kummallekin alueelle.
5. Vastaanota nimitys: Tarjoaja toimittaa allekirjoitetun nimityskirjeen ja todistuksen. REP27 toimittaa molemmat 24 tunnin sisällä; muiden aikataulut vaihtelevat.
6. Päivitä tietosuojaseloste: Lisää toimitetut tekstit ja edustajan tiedot tietosuojakäytäntöön. Tämä on vaatimustenmukaisuuden kannalta pakollista ja tiedon on oltava helposti saatavilla.
7. Julkaise ja varmista: Varmista, että todistus tai varmennusmerkki on näkyvillä verkkosivustollasi, jos sellainen on toimitettu. Tämä helpottaa hankintoja ja asiakasturvaa.
8. Uusinta vuosittain: Seuraa uusimispäivää, jotta vältyt katkoksilta. Yhdistetyt tarjoajat, kuten REP27, synkronoivat EU:n ja YK:n nimitysten uusinnat.

Ostajan tarkistuslista:

1. Varmista, ettet ole perustanut toimipaikkaa YK:ssa
2. Tarkista, kohdistatko tai seuraatko YK:n yksilöitä
3. Varmista, ettei käsittelysi ole poikkeuksen piirissä
4. Vertaa tarjoajia ja valitse sopiva
5. Suorita käyttöönotto ja vastaanota asiakirjat
6. Päivitä tietosuojaseloste ja verkkosivusto
7. Seuraa uusimispäivää ja säädösmuutoksia

Riskit ja sakot laiminlyönnistä

UK GDPR -edustajan nimeämättä jättäminen aiheuttaa merkittäviä riskejä. UK GDPR:n 83(4)(a) artiklan mukaan edustajan nimeämättä jättäminen on itsenäinen rikkomus. ICO voi määrätä hallinnollisia sakkoja jopa 17 miljoonaa puntaa tai 4 % maailmanlaajuisesta vuosiliikevaihdosta, kumpi on suurempi. Nämä sakot eivät ole teoreettisia: Alankomaiden tietosuojaviranomainen sakotti Locatefamily.comia 525 000 eurolla EU-edustajan nimeämättä jättämisestä, ja UK:n ICO:lla on vastaavat valtuudet.

• Suora valvonta: Edustajan nimeäminen ei suojaa yritystä suoralta valvonnalta. ICO voi silti ryhtyä toimiin suoraan yritystä vastaan edustajan toimista riippumatta.
• Virallinen toimenpide: ICO voi vaatia edustajan nimeämistä, rajoittaa käsittelytoimintaa tai antaa julkisia huomautuksia. Laiminlyönti voi myös vahingoittaa mainetta ja liiketoimintamahdollisuuksia YK:ssa.
• Hankinnat ja asiakasturva: Monet asiakkaat ja kumppanit edellyttävät nyt todisteita UK GDPR -edustuksesta osana due diligence -prosessia. Todistuksen tai julkisen rekisterimerkinnän puute voi viivästyttää sopimuksia tai johtaa liiketoiminnan menetykseen.

Yhteenvetona: UK GDPR -edustajan nimeäminen ei ole pelkkä lakisääteinen vaatimus, vaan myös käytännöllinen edellytys liiketoiminnan ja luottamuksen ylläpitämiseksi YK:n markkinoilla.

Päätösmatriisi: Tarvitsetko UK GDPR -edustajan?

Käytä tätä matriisia arvioidaksesi velvollisuutesi liiketoimintamallisi ja toimintojesi perusteella:

Tarkista aina, onko käsittelysi todella poikkeuksen piirissä (satunnainen, vähäriskinen, ei laajamittaista erityiskategorian tai rikostietojen käsittelyä) ennen kuin päätät olla nimeämättä edustajaa.

Mitä tarjoajat yleensä eivät kerro

Useimmat tarjoajat eivät korosta markkinointisivuillaan tärkeitä poissulkemisia ja varauksia:

• Oikeudellinen neuvonta ja tietosuojavastaavan palvelut: Edustajan lakisääteinen rooli ei sisällä oikeudellista neuvontaa, DPO-palveluita tai vaatimustenmukaisuustarkastuksia. REP27 mainitsee tämän selvästi; useimmat muut eivät mainitse asiaa lainkaan.
• Vastuuvapaus: Edustajan tehtävä on välittää pyynnöt, ei vastata niiden sisältöön tai ottaa vastuuta yrityksesi vaatimustenmukaisuuden puutteista. Tämä on oikeudellinen rajaus UK GDPR:n 27(5) artiklan mukaan.
• Ilmoitusajat ja sopimuksen päättäminen: Tarjoajat harvoin julkaisevat irtisanomisajat tai vaihdon ehdot. Jos saatat tarvita edustajan vaihtoa, selvitä nämä ennen sopimuksen tekemistä.
• Pyyntömaksut: Vaikka useimmat tarjoajat sisällyttävät peruspyyntöjen välityksen, suurista määristä tai monimutkaisista pyynnöistä voi aiheutua lisämaksuja, erityisesti suurille yrityksille (DataRep, VeraSafe).
• Uusintahintojen korotukset: Jotkut tarjoajat nostavat hintoja ensimmäisen vuoden jälkeen tai rekisteröityjen määrän kasvaessa. REP27 tarjoaa alennettuja uusintahintoja; muut eivät välttämättä.
• Yhdistetty edustus: Kaikki tarjoajat eivät pysty antamaan sekä EU- että UK-nimityksiä yhdellä tilauksella. Jos tarvitset molemmat, varmista tämä alusta alkaen, jotta vältät epäjohdonmukaiset asiakirjat tai tietosuojaselostevirheet.

Pyydä aina täydellinen sopimus, mukaan lukien poissulkemiset ja vastuuehdot, ennen sitoutumista tarjoajaan.

Todelliset esimerkit: Milloin velvoite koskee?

Tässä kolme käytännön esimerkkiä, jotka selkeyttävät, milloin UK GDPR -edustaja tarvitaan ja miten sellainen nimetään:

• Yhdysvaltalainen SaaS-yritys, joka myy YK:lle: Yhdysvalloissa toimiva SaaS-palveluntarjoaja, jolla on YK:n asiakkaita ja analytiikan seurantaa, on velvollinen nimeämään UK GDPR -edustajan. Yksinkertaisin vaatimustenmukainen vaihtoehto on käyttää REP27:n yhdistettyä EU+YK-palvelua (390 €/vuosi), joka tarjoaa kaksi nimitystä ja tietosuojaselosteen tekstit yhdellä käyttöönotolla.
• Kiinalainen Amazon-myyjä: Kiinalainen yritys, joka myy Amazon.co.uk:ssa ja toimittaa YK:n osoitteisiin, on velvollinen nimeämään UK GDPR -edustajan. DataRep tarjoaa aloitustason hinnat 120 £/vuosi, mutta maksu kasvaa rekisteröityjen määrän mukaan. REP27 ja GDPR Gateway Limited tarjoavat myös yhdistettyjä palveluita, jos myyjä kohdistaa sekä EU:hun että YK:hin.
• YK:n verkkokauppa, joka myy vain YK:lle: Brittiläinen yritys, jolla on fyysinen toimisto tai henkilökuntaa YK:ssa, on jo perustettu YK:hin eikä tarvitse UK GDPR -edustajaa. Jos se kuitenkin myy EU-asiakkaille, se saattaa tarvita EU GDPR -edustajan.

Jokaisessa tilanteessa keskeistä on arvioida toimipaikka, kohdistaminen/seuranta ja rekisteröityjen tyyppi. Käytä yllä olevaa päätösmatriisia ja tarkistuslistaa välttääksesi tarpeettomia kustannuksia tai vaatimustenmukaisuuden aukkoja.