Wie heeft een UK GDPR vertegenwoordiger nodig? Alles wat je moet weten (2026)

• Verplichting voor bedrijven buiten het VK die goederen/diensten aanbieden of UK-gebruikers monitoren
• Niet nodig als je in het VK gevestigd bent of de verwerking echt incidenteel is
• De vertegenwoordiger moet schriftelijk worden benoemd en gepubliceerd
• Boetes tot £17,5 miljoen of 4% van de wereldwijde omzet
• Prijzen en diensten verschillen per provider: gedetailleerde vergelijking hieronder

Bijgewerkt 21 October 2026 · 9 bronnen gecontroleerd

Providers vergeleken

Prijzen zoals gepubliceerd op de website van elke provider op 21 October 2026, exclusief btw tenzij anders vermeld. Elke rij linkt naar zijn bron.

Wat de wet vereist: Artikel 27 UK GDPR

Artikel 27 van de UK GDPR bepaalt dat elke verwerkingsverantwoordelijke of verwerker die niet in het Verenigd Koninkrijk is gevestigd, maar goederen of diensten aanbiedt aan personen in het VK of hun gedrag monitort, schriftelijk een UK GDPR vertegenwoordiger moet aanstellen. De vertegenwoordiger moet in het VK gevestigd zijn en fungeren als lokaal aanspreekpunt voor betrokkenen en voor de Information Commissioner's Office (ICO). De verplichting geldt ongeacht de fysieke aanwezigheid van servers of infrastructuur in het VK: het gaat om daadwerkelijke en voortdurende activiteiten (een postadres of derde partij magazijn is niet voldoende).

• Verplichting tot benoeming: De benoeming moet schriftelijk zijn en gepubliceerd worden in de privacyverklaring, met toegankelijke contactgegevens.
• Aansprakelijkheid: De vertegenwoordiger fungeert als contactpunt maar ontslaat de verwerkingsverantwoordelijke/verwerker niet van aansprakelijkheid en verplichtingen (Art. 27(4)).
• Uitzonderingen: De verplichting geldt niet als de verwerking echt incidenteel is, geen gevoelige of strafrechtelijke gegevens bevat en geen risico’s voor de rechten van betrokkenen met zich meebrengt (Art. 27(2)-(6)). Alle voorwaarden moeten worden voldaan.
• Boetes: Het niet benoemen is een zelfstandige overtreding en kan leiden tot boetes tot £17,5 miljoen of 4% van de wereldwijde omzet (bron).

De regelgeving geldt voor elk bedrijf buiten het VK dat:

• Producten of diensten verkoopt aan klanten in het VK (ook B2B als persoonsgegevens betrokken zijn)
• Het gedrag monitort van personen in het VK (bijvoorbeeld via cookies, analytics, gerichte advertenties)

Bronnen: Artikel 27 UK GDPR, ICO

Hoe kies je een provider: criteria, vergelijking en inbegrepen diensten

De keuze van een UK GDPR vertegenwoordiger provider is cruciaal om compliance fouten en verborgen kosten te voorkomen. Hier zijn praktische criteria om te beoordelen:

• Territoriale dekking: Sommige providers bieden alleen VK, anderen ook EU vertegenwoordiging (handig voor bedrijven die in beide regio’s verkopen).
• Prijs en verlenging: Prijzen variëren van £120 tot meer dan £750 per jaar; controleer of verlenging korting krijgt of extra kosten kent.
• Inbegrepen diensten: Naast formele benoeming bieden sommige providers verificatiebadges, privacyverklaring teksten, DSAR beheer, verwerkingsregister, audit trail en meertalige desks.
• Benoemingstijd: REP27 levert benoeming binnen 24 uur; andere providers specificeren dit niet altijd.
• Certificeringen en publieke verificatie: REP27 levert certificaat met QR-code en publieke verificatie; anderen bieden badges of Trust Centers.

Tabel inbegrepen/uitgesloten diensten (Oktober 2026):

De beste keuze hangt af van waar je actief bent, je auditbehoeften en de noodzaak van gecombineerde VK+EU dekking. Als je in beide markten verkoopt, vermindert een gecombineerde oplossing zoals REP27 kosten en administratieve complexiteit.

Wat de prijs echt omvat: praktische details en beslissingsmatrix

De gepubliceerde prijs van providers kan zeer verschillende diensten omvatten. Sommige bieden alleen de formele benoeming, anderen ook audittools, verificatiebadges, privacyverklaring teksten, DSAR beheer, verwerkingsregister en meertalige desks. Het is essentieel te controleren wat daadwerkelijk inbegrepen is en welke diensten optioneel of extra kosten met zich meebrengen.

Bijvoorbeeld, REP27 biedt twee benoemingen (VK+EU), twee certificaten, privacyverklaring teksten in 8 talen, verzoeken desk, verwerkingsregister en verifieerbare badge. Gabsor en Euverify bieden ook Trust Center, badge, audit trail en DSAR beheer. FSREG, GDPR Gateway, Janus en DataRep UK richten zich op VK vertegenwoordiging met basisdiensten en doorsturen verzoeken.

Praktische beslissingsmatrix:

Let op: "incidentele" verwerking wordt streng geïnterpreteerd. Ook een kleine webshop die regelmatig bestellingen ontvangt, wordt niet als incidenteel beschouwd. Bij twijfel altijd bij de provider navragen vóór aankoop.

Verborgen kosten en beperkingen: wat providers niet zeggen

Veel providers benadrukken niet duidelijk bepaalde voorwaarden en beperkingen:

• Beperkte aansprakelijkheid: De vertegenwoordiger neemt geen wettelijke aansprakelijkheid van de verwerkingsverantwoordelijke/verwerker over; hij fungeert alleen als contactpunt (Art. 27(4)).
• Uitsluitingen: Geen enkele provider fungeert als DPO of biedt privacyadvies inbegrepen in de vertegenwoordigersprijs. Advies is vaak "Op aanvraag" en kan extra kosten met zich meebrengen.
• Extra kosten: Sommige providers rekenen extra kosten voor complexe verzoeken, wijziging gegevens, geavanceerde auditdiensten of beheer van grote volumes verzoeken. Deze kosten zijn vaak "Op aanvraag" en niet altijd gepubliceerd.
• Kennisgevingstermijn: De opzegtermijn voor beëindiging van de service is niet altijd gespecificeerd. Controleer contractvoorwaarden goed.
• Verlenging en overstap: REP27 biedt verlenging tegen gereduceerde prijs en gemakkelijke overstap van andere providers, maar anderen bieden mogelijk geen kortingen of faciliteiten.

Samenvattende tabel van uitsluitingen en beperkingen (Oktober 2026):

Praktische tip: vraag altijd schriftelijk een lijst van inbegrepen diensten en mogelijke extra kosten aan de provider vóór ondertekening.

Hoe werkt de benoeming: stap voor stap, checklist en timing

De benoeming van een UK GDPR vertegenwoordiger is een proces dat snel kan worden afgerond als de juiste stappen worden gevolgd. Hier is een praktische stap-voor-stap gids:

1. Controleer of je verplicht bent: Beantwoord drie kernvragen: (1) Ben je buiten het VK gevestigd? (2) Bied je goederen/diensten aan of monitor je UK gebruikers? (3) Verwerk je persoonsgegevens?
2. Kies een provider: Beoordeel dekking (alleen VK of ook EU), inbegrepen diensten, prijs en levertijd.
3. Vul het benoemingsformulier in: Lever bedrijfsgegevens, beschrijving van verwerkingen, contactpersonen en gevraagde documenten. Bij REP27 duurt dit ongeveer 5 minuten.
4. Ontvang de benoeming: De provider levert de ondertekende benoeming, het certificaat en de tekst voor de privacyverklaring (REP27 binnen 24 uur).
5. Werk de privacyverklaring bij: Voeg de door de provider geleverde tekst toe, met gegevens van de UK vertegenwoordiger en contactmogelijkheden.
6. Publiceer en communiceer: Zorg dat de benoeming gemakkelijk vindbaar is voor gebruikers en autoriteiten.
7. Verleng jaarlijks: Houd de vervaldatum bij en verleng om onderbreking van compliance te voorkomen.

Snelchecklist:

• Heb je klanten of gebruikers in het VK?
• Bied je diensten aan of monitor je gedrag?
• Heb je al een benoemde vertegenwoordiger?
• Heb je de privacyverklaring bijgewerkt?
• Heb je dekking en inbegrepen diensten gecontroleerd?

De gebruikelijke doorlooptijd varieert van 24 uur (REP27) tot enkele werkdagen, afhankelijk van provider en volledigheid van gegevens.

Risico's, boetes en praktijkvoorbeelden: echte scenario's

Het niet benoemen van een UK GDPR vertegenwoordiger wanneer dit verplicht is, brengt concrete risico’s met zich mee: boetes tot £17,5 miljoen of 4% van de wereldwijde omzet (bron), blokkades in zakelijke relaties en reputatieschade. De vertegenwoordiger neemt de verantwoordelijkheid van de verwerkingsverantwoordelijke niet weg, maar zorgt wel voor een lokaal aanspreekpunt voor gebruikers en de ICO.

Drie praktijkvoorbeelden:

• US SaaS die diensten aanbiedt aan UK en EU gebruikers: Moet zowel een UK als een EU vertegenwoordiger aanstellen. Efficiëntere oplossing: provider die gecombineerde benoeming biedt (zoals REP27), met één onboarding en aparte documenten.
• Chinese Amazon verkoper in VK: Ook zonder fysieke vestiging, als hij aan UK klanten verkoopt moet hij een UK GDPR vertegenwoordiger aanstellen. Kan kiezen voor een provider die alleen VK dekt of, bij verkoop in EU, een gecombineerde oplossing.
• Online winkel in VK die alleen in VK verkoopt: Als deze al in het Verenigd Koninkrijk gevestigd is (kantoor, filiaal, personeel), is er geen vertegenwoordiger verplicht. Als het een EU bedrijf is dat aan VK klanten verkoopt, moet wel een UK GDPR vertegenwoordiger worden benoemd.

Praktische beslissingsmatrix:

Tip: wacht niet op een verzoek van de ICO of een klant. De benoeming is preventief en niet-naleving kan ook via online controles worden vastgesteld.