Wat kost het om een UK GDPR vertegenwoordiger aan te stellen? Prijzen en vergelijking 2026

• Verplichting voor bedrijven buiten het VK die diensten aanbieden of personen in het VK monitoren (Art. 27 UK GDPR).
• Jaarlijkse prijzen van £120 tot £1.450; REP27 vanaf €290/jaar (alleen VK) of €390/jaar (VK+EU).
• De vertegenwoordiger moet gevestigd zijn in het Verenigd Koninkrijk en fungeren als contactpunt voor betrokkenen en de ICO.
• Inbegrepen diensten: doorsturen van verzoeken, bijhouden van verwerkingsregister, certificaten, ondersteuning privacyverklaring.
• Wie al gevestigd is in het VK of slechts incidenteel gegevens verwerkt, kan vrijgesteld zijn.
• Boetes tot £8,7 miljoen of 2% van de wereldwijde omzet bij het niet aanstellen van een vertegenwoordiger wanneer verplicht.

Bijgewerkt 20 October 2026 · 9 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 20 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat vereist de wet: Artikel 27 UK GDPR

Artikel 27 UK GDPR bepaalt dat elke verwerkingsverantwoordelijke of verwerker die niet in het Verenigd Koninkrijk is gevestigd, maar goederen of diensten aanbiedt aan personen in het VK of hun gedrag monitort, een vertegenwoordiger in het VK moet aanstellen (officiële bron). De vertegenwoordiger fungeert als contactpunt voor betrokkenen en de Information Commissioner’s Office (ICO). De aanstelling moet schriftelijk zijn en de gegevens van de vertegenwoordiger moeten in de privacyverklaring van het bedrijf worden opgenomen. De vertegenwoordiger moet verzoeken van betrokkenen en de ICO tijdig kunnen ontvangen en doorsturen, en het verwerkingsregister bijhouden (Art. 30 UK GDPR).

Uitzonderingen zijn beperkt: de verplichting geldt niet als de verwerking slechts incidenteel, niet regelmatig of systematisch is en geen risico’s inhoudt voor de rechten en vrijheden van betrokkenen. Ook overheidsinstanties zijn uitgezonderd. Niet-naleving kan leiden tot boetes tot £8,7 miljoen of 2% van de wereldwijde omzet.

De regelgeving is streng: het hebben van zelfs één element (aanbieden van diensten aan VK-residenten of gedragsmonitoring) activeert de verplichting. Het is essentieel om uw activiteiten zorgvuldig te beoordelen en bij twijfel de officiële FAQ te raadplegen of een beoordeling aan te vragen bij de gekozen leverancier.

Hoe kies je de UK GDPR vertegenwoordiger

De keuze van een UK GDPR vertegenwoordiger moet worden gebaseerd op verschillende praktische en strategische factoren. Bepaal eerst of je alleen in het VK opereert of ook in de Europese Unie: in het laatste geval kan een leverancier die beide diensten aanbiedt (zoals REP27) het beheer vereenvoudigen en kosten besparen. Overweeg ook de snelheid van uitgifte van de aanstelling (REP27 belooft 24 uur), de beschikbaarheid van meertalige ondersteuning, speciale desks voor het doorsturen van verzoeken en het beheer van verwerkingsregisters.

Andere factoren zijn transparantie over extra kosten (bijvoorbeeld Janus Compliance rekent £250/uur voor gepersonaliseerde antwoorden of vertalingen), gebruiksgemak bij onboarding (één formulier voor VK+EU met REP27) en aanwezigheid van digitale tools zoals compliance badges, beheersplatforms of builders voor het verwerkingsregister (ROPA). Sommige leveranciers, zoals GDPR Gateway, bieden ook fysieke adressen in Londen, nuttig voor wie een formeel correspondentieadres nodig heeft.

Samengevat: kies een leverancier die aansluit bij je territoriale dekking, inbegrepen diensten, snelheid en transparantie over kosten. Werk je in meerdere markten, overweeg dan het gemak van een geïntegreerd beheer.

Wat de dienst echt omvat: gedetailleerde vergelijking

De UK GDPR vertegenwoordigersdienst kan sterk verschillen tussen leveranciers. Gemeenschappelijke elementen zijn formele aanstelling (ondertekend document en certificaat), het doorsturen van verzoeken van betrokkenen en autoriteiten (ICO) en ondersteuning bij het opstellen van de privacyverklaring. Sommige leveranciers, zoals REP27, omvatten ook het beheer van het verwerkingsregister (Art. 30), het verstrekken van verifieerbare certificaten met QR-code en de mogelijkheid om documentatie in meerdere talen te ontvangen.

Andere, zoals Janus Compliance, bieden een basisdienst maar rekenen extra kosten voor aanvullende activiteiten zoals het opstellen van antwoorden aan de ICO of vertalingen (£250/uur). Leveranciers als Gabsor en Euverify richten zich op digitale platforms met compliance badges, tools voor verzoekbeheer (DSR inbox), audit trails en builders voor het verwerkingsregister. GDPR Gateway biedt fysieke adressen in Londen en de EU, met een setup fee bij aanvang.

De onderstaande tabel vat de belangrijkste verschillen samen:

Controleer voor je kiest of de dienst alle behoeften van je bedrijf dekt: van meertalige verzoekafhandeling, het produceren van gecertificeerde documentatie tot ondersteuning bij het bijhouden van registers en audits.

Verborgen kosten en beperkingen: wat leveranciers meestal niet zeggen

Veel leveranciers bieden een concurrerende basisprijs, maar kunnen extra kosten rekenen voor niet-inbegrepen diensten. Janus Compliance rekent bijvoorbeeld £250/uur voor gepersonaliseerde ICO antwoorden of vertalingen, terwijl GDPR Gateway een setup fee vraagt (bedrag op aanvraag). Andere leveranciers kunnen het aantal verzoeken zonder extra kosten beperken of een fair use beleid hanteren (DataRep).

Sommige diensten omvatten geen juridische advisering of het opstellen van gedetailleerde antwoorden aan autoriteiten: de vertegenwoordiger vervangt namelijk niet de Data Protection Officer (DPO) en is niet verantwoordelijk voor de algemene compliance van het bedrijf. De rol van de vertegenwoordiger beperkt zich tot contactpunt en doorsturen van communicatie; hij is niet aansprakelijk voor GDPR-overtredingen van het bedrijf.

Een ander vaak over het hoofd gezien aspect is het beheer van verlengingen: met twee verschillende leveranciers voor VK en EU loop je het risico de dekking te verliezen door niet-gesynchroniseerde vervaldatums. REP27 lost dit op met één verlengingsdatum voor beide aanstellingen. Controleer ook altijd de contractvoorwaarden: sommige leveranciers hanteren opzegtermijnen of aansprakelijkheidsbeperkingen bij fouten of nalatigheden.

Samengevat, let op:

• Extra kosten voor aanvullende diensten (antwoorden, vertalingen, onboarding)
• Initiële setup fees
• Aansprakelijkheidsbeperkingen en uitsluitingen
• Beheer van vervaldatums en verlengingen

Hoe werkt de aanstelling: stap voor stap

De aanstelling van een UK GDPR vertegenwoordiger volgt een nauwkeurig proces dat binnen enkele dagen kan worden afgerond als de benodigde informatie beschikbaar is:

1. Verplichting controleren: Controleer of je goederen/diensten aanbiedt of personen in het VK monitort en geen vaste vestiging hebt.
2. Leverancier kiezen: Beoordeel de aangeboden diensten, prijzen, territoriale dekking en snelheid van uitgifte.
3. Formulier invullen: Lever bedrijfsgegevens, beschrijving van verwerkingen, contactpersonen en vereiste documentatie aan de leverancier.
4. Aanstelling uitgeven: De leverancier stelt de formele aanstelling op, ondertekent en certificeert deze (REP27 binnen 24 uur).
5. Certificaat ontvangen: Ontvang het certificaat en de documentatie voor opname in de privacyverklaring.
6. Privacyverklaring bijwerken: Voeg de contactgegevens van de vertegenwoordiger toe aan de bedrijfsprivacyverklaring, zoals wettelijk vereist.
7. Verzoeken beheren: De vertegenwoordiger ontvangt en stuurt verzoeken van betrokkenen en ICO tijdig door, houdt het verwerkingsregister bij en werkt mee bij inspecties.
8. Jaarlijkse verlenging: Plan verlenging om onderbrekingen in dekking te voorkomen.

Praktische checklist:

1. Controleer of je diensten/goederen aanbiedt of personen in VK monitort.
2. Controleer of je al een vaste vestiging in het VK hebt.
3. Beoordeel frequentie en risico van gegevensverwerking.
4. Kies een geschikte leverancier voor dekking en diensten.
5. Voltooi schriftelijke aanstelling en ontvang certificaat.
6. Werk privacyverklaring bij met vertegenwoordigergegevens.
7. Zorg dat de leverancier verzoeken tijdig doorstuurt.
8. Plan jaarlijkse verlenging om onderbrekingen te voorkomen.

Risico's en boetes: wat gebeurt er als je geen vertegenwoordiger aanstelt

Het niet aanstellen van een UK GDPR vertegenwoordiger wanneer dit verplicht is, brengt aanzienlijke risico’s met zich mee. De ICO kan boetes opleggen tot £8,7 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is (officiële bron). De overtreding staat op zichzelf: ook zonder andere inbreuken kan het nalaten van aanstelling bestraft worden. Een concreet voorbeeld is de boete van 525.000 euro die de Nederlandse toezichthouder oplegde aan Locatefamily.com wegens het niet aanstellen van een EU vertegenwoordiger (vergelijkbare situatie, zelfde principe toepasbaar in VK).

De vertegenwoordiger is niet verantwoordelijk voor GDPR-overtredingen van het bedrijf, maar moet alle ontvangen verzoeken tijdig doorsturen en samenwerken met de ICO bij onderzoeken. Het niet meewerken of te laat doorsturen kan als extra overtreding worden gezien. Bij audits of klachten is een geldige en gemakkelijk verifieerbare aanstelling (bijv. certificaat met QR-code) essentieel om compliance aan te tonen.

Om risico’s te beperken:

• Stel de vertegenwoordiger aan zodra de verplichting ontstaat.
• Zorg dat de leverancier goed bereikbaar is en snel reageert.
• Bewaar alle documentatie over aanstelling en communicatie met de vertegenwoordiger.
• Werk de privacyverklaring tijdig bij.

Praktische scenario's: drie echte voorbeelden

• VS SaaS met VK gebruikers: Een Amerikaans SaaS-bedrijf dat diensten aanbiedt aan gebruikers in het VK moet een UK GDPR vertegenwoordiger aanstellen. Als het ook in de EU verkoopt, kan het kiezen voor een leverancier als REP27 die gecombineerde VK+EU aanstelling aanbiedt met één formulier, twee aparte certificaten en één verlengingsdatum. Anders kan het kiezen voor een alleen-VK leverancier zoals DataRep of Janus Compliance.
• Chinese verkoper op Amazon UK: Een Chinees bedrijf dat producten verkoopt via Amazon UK moet een UK GDPR vertegenwoordiger aanstellen als het direct persoonsgegevens van klanten verwerkt (bijv. voor verzending of klantenservice). Als Amazon echter de enige verwerkingsverantwoordelijke is, kan de verplichting vervallen. Bij twijfel is een specifieke beoordeling aan te raden.
• Online winkel VK met alleen VK klanten: Een webshop met vestiging en daadwerkelijke activiteiten in het VK hoeft geen vertegenwoordiger aan te stellen, ook al verkoopt het aan Britse klanten. De verplichting geldt alleen voor wie niet in het VK is gevestigd en diensten aanbiedt of inwoners monitort.

Deze scenario’s tonen aan dat de noodzaak afhangt van concrete factoren: vestigingsland, wijze van gegevensverwerking en relatie met marketplaces.

Wat leveranciers meestal niet zeggen

Veel leveranciers benadrukken niet bepaalde beperkingen en belangrijke voorwaarden. Zo vervangt de aanstelling van een vertegenwoordiger niet de algemene compliance advisering of de rol van Data Protection Officer (DPO). De vertegenwoordiger biedt geen doorlopende juridische ondersteuning, stelt geen uitgebreide antwoorden op voor de ICO (tenzij tegen extra vergoeding) en neemt geen verantwoordelijkheid voor overtredingen van het bedrijf.

Andere minder geadverteerde aspecten:

• Mogelijke extra kosten voor onboarding, vertalingen, gepersonaliseerde antwoorden of complexe verzoekafhandeling.
• Initiële setup fees (bijv. GDPR Gateway) of hogere verlengingskosten dan de instapprijs.
• Contractuele aansprakelijkheidsbeperkingen en opzegtermijnen voor beëindiging van de dienst.
• De noodzaak om de privacyverklaring en interne documentatie bij te werken bij wisseling van leverancier of verlenging van de aanstelling.

Om verrassingen te voorkomen, is het essentieel de contractvoorwaarden zorgvuldig te lezen, duidelijkheid te vragen over inbegrepen diensten en het beheer van vervaldatums en communicatie met de gekozen leverancier goed te plannen.