Vem behöver en UK GDPR-representant? Allt du måste veta (2026)

• Skyldighet för företag utanför Storbritannien som erbjuder varor/tjänster eller övervakar brittiska användare
• Ej nödvändigt om man är etablerad i Storbritannien eller behandlingen är verkligen tillfällig
• Representanten måste utses skriftligen och publiceras
• Sanktioner upp till £17,5 miljoner eller 4 % av global omsättning
• Priser och tjänster varierar mellan leverantörer: detaljerad jämförelse nedan

Uppdaterad 21 October 2026 · 9 källor kontrollerade

Leverantörer jämförda

Priser som publicerats på varje leverantörs webbplats den 21 October 2026, exklusive moms om inte annat anges. Varje rad länkar till sin källa.

Vad lagen kräver: Artikel 27 UK GDPR

Artikel 27 i UK GDPR fastställer att varje personuppgiftsansvarig eller personuppgiftsbiträde som inte är etablerad i Storbritannien men som erbjuder varor eller tjänster till personer i Storbritannien eller övervakar deras beteende, måste utse en skriftlig UK GDPR-representant. Representanten måste vara etablerad i Storbritannien och fungera som lokal kontaktpunkt för registrerade och Information Commissioner's Office (ICO). Skyldigheten gäller oavsett fysisk närvaro av servrar eller infrastruktur i UK: det är den faktiska och kontinuerliga verksamheten som räknas (ett postadress eller tredjepartslager räcker inte).

• Utnämningsskyldighet: Utnämningen måste vara skriftlig och publicerad i integritetspolicyn med tillgängliga kontaktuppgifter.
• Ansvar: Representanten fungerar som kontaktpunkt men befriar inte den personuppgiftsansvarige/biträdet från ansvar och skyldigheter (Art. 27(4)).
• Undantag: Skyldigheten gäller inte om behandlingen är verkligen tillfällig, inte inkluderar känsliga eller brottsliga uppgifter och inte medför risker för registrerades rättigheter (Art. 27(2)-(6)). Alla dessa villkor måste uppfyllas.
• Sanktioner: Underlåtenhet att utse representant är en självständig överträdelse och kan leda till böter upp till £17,5 miljoner eller 4 % av den globala omsättningen (källa).

Reglerna gäller för alla företag utanför UK som:

• Säljer produkter eller tjänster till kunder i Storbritannien (även B2B om personuppgifter är involverade)
• Övervakar beteendet hos personer i Storbritannien (t.ex. via cookies, analys, riktad reklam)

Källor: Artikel 27 UK GDPR, ICO

Hur man väljer leverantör: kriterier, jämförelse och inkluderade tjänster

Valet av UK GDPR-representant är avgörande för att undvika efterlevnadsfel och dolda kostnader. Här är praktiska kriterier att bedöma:

• Territoriell täckning: Vissa leverantörer erbjuder endast UK, andra även EU-representation (bra för företag som säljer i båda områdena).
• Pris och förnyelse: Priserna varierar från £120 till över £750/år; kontrollera om förnyelse är rabatterad eller om det finns extra avgifter.
• Inkluderade tjänster: Förutom formell utnämning erbjuder vissa leverantörer verifieringsbadge, formulering för integritetspolicy, hantering av DSAR, behandlingsregister, revisionsspår och flerspråkig desk.
• Tidsram för utnämning: REP27 utfärdar utnämning inom 24 timmar; andra leverantörer specificerar inte alltid tider.
• Certifieringar och offentlig verifiering: REP27 ger certifikat med QR-kod och offentlig verifiering; andra erbjuder badge eller Trust Center.

Tabell över inkluderat/exkluderat (oktober 2026):

Bästa valet beror på var du verkar, dina revisionsbehov och behov av kombinerad UK+EU-täckning. Om du säljer på båda marknaderna minskar en kombinerad lösning som REP27 kostnader och administrativ komplexitet.

Vad priset verkligen inkluderar: praktiska detaljer och beslutsmatris

Det publicerade priset kan inkludera mycket olika tjänster. Vissa erbjuder endast formell utnämning, andra inkluderar revisionsverktyg, verifieringsbadge, formulering för integritetspolicy, DSAR-hantering, behandlingsregister och flerspråkig desk. Det är viktigt att kontrollera vad som faktiskt ingår och vilka tjänster som är tillval eller extra kostnader.

Exempelvis erbjuder REP27 två utnämningar (UK+EU), två certifikat, formulering för integritetspolicy på 8 språk, förfrågningsdesk, behandlingsregister och verifierbar badge. Gabsor och Euverify erbjuder även Trust Center, badge, revisionsspår och DSAR-hantering. FSREG, GDPR Gateway, Janus och DataRep UK fokuserar på UK-representation med grundläggande tjänster och vidarebefordran av förfrågningar.

Praktisk beslutsmatris:

Observera: "Tillfällig" behandling tolkas restriktivt. Även en liten e-handel med regelbundna beställningar anses inte tillfällig. Vid tveksamheter, kontrollera alltid med leverantören innan köp.

Dolda kostnader och begränsningar: vad leverantörerna inte säger

Många leverantörer framhäver inte tydligt vissa villkor och begränsningar:

• Begränsat ansvar: Representanten tar inte det juridiska ansvaret för den personuppgiftsansvarige/biträdet; agerar endast som kontaktpunkt (Art. 27(4)).
• Undantag: Ingen leverantör fungerar som DPO eller erbjuder integritetsrådgivning inkluderad i representanstjänsten. Rådgivning erbjuds ofta "På begäran" och kan medföra extra kostnader.
• Extra avgifter: Vissa leverantörer tar ut extra avgifter för komplexa förfrågningar, ändring av uppgifter, avancerad revisionsservice eller hantering av stora volymer. Dessa kostnader är ofta "På begäran" och inte alltid publicerade.
• Uppsägningstid: Uppsägningstiden för tjänsten anges inte alltid. Viktigt att kontrollera avtalsvillkoren.
• Förnyelse och byte: REP27 erbjuder rabatterad förnyelse och smidigt byte från annan leverantör, medan andra kanske inte har sådana erbjudanden.

Sammanfattande tabell över undantag och begränsningar (oktober 2026):

Praktiskt råd: begär alltid en skriftlig lista över inkluderade tjänster och eventuella extra avgifter från leverantören innan du skriver på.

Hur utnämningen fungerar: steg-för-steg, checklista och tidsramar

Utnämningen av UK GDPR-representant är en process som kan slutföras snabbt om rätt steg följs. Här är en praktisk guide steg för steg:

1. Verifiera om du omfattas av skyldigheten: Svara på tre nyckelfrågor: (1) Är du etablerad utanför Storbritannien? (2) Erbjuder du varor/tjänster eller övervakar brittiska användare? (3) Behandlar du personuppgifter?
2. Välj leverantör: Bedöm täckning (endast UK eller även EU), inkluderade tjänster, pris och leveranstid.
3. Fyll i utnämningsformuläret: Ange företagsuppgifter, beskrivning av behandlingar, kontaktpersoner och efterfrågade dokument. Med REP27 tar processen cirka 5 minuter.
4. Mottag utnämningen: Leverantören utfärdar den signerade utnämningen, certifikatet och formuleringen för integritetspolicyn (REP27 inom 24 timmar).
5. Uppdatera integritetspolicyn: Lägg in den formulering som leverantören tillhandahåller med UK-representantens uppgifter och kontaktvägar.
6. Publicera och kommunicera: Säkerställ att utnämningen är lättillgänglig för användare och myndigheter.
7. Förnya årligen: Håll koll på förfallodatum och förnya för att undvika avbrott i efterlevnaden.

Snabbchecklista:

• Har du kunder eller användare i UK?
• Erbjuder du tjänster eller övervakar beteenden?
• Har du redan en utsedd representant?
• Har du uppdaterat integritetspolicyn?
• Har du kontrollerat täckning och inkluderade tjänster?

Tidsramen är typiskt 24 timmar (REP27) till några arbetsdagar, beroende på leverantör och fullständighet i inskickade uppgifter.

Risker, sanktioner och praktiska fall: verkliga scenarier

Underlåtenhet att utse en UK GDPR-representant när det krävs medför konkreta risker: böter upp till £17,5 miljoner eller 4 % av global omsättning (källa), blockering av affärsrelationer och skadat anseende. Representanten eliminerar inte ansvar för den personuppgiftsansvarige, men säkerställer en lokal kontaktpunkt för användare och ICO.

Tre verkliga scenarier:

• US SaaS som erbjuder tjänster till UK och EU-användare: Måste utse både UK- och EU-representant. Effektivast är leverantör som erbjuder kombinerad utnämning (t.ex. REP27) med ett enda onboarding och separata dokument.
• Kinesisk Amazon-säljare på UK-marknaden: Även utan fysisk närvaro, om denne säljer till UK-kunder måste en UK GDPR-representant utses. Kan välja leverantörer fokuserade på UK eller kombinerade lösningar om även EU-marknaden nås.
• UK-butik som endast säljer i UK: Om etablerad i Storbritannien (kontor, filial, personal) finns ingen skyldighet att utse representant. Om det däremot är ett EU-företag som säljer till UK-kunder måste representant utses.

Praktisk beslutsmatris:

Råd: vänta inte på förfrågan från ICO eller kund. Utnämningen är förebyggande och bristande efterlevnad kan upptäckas även via onlinekontroller.