Ai-je besoin d’un représentant UK GDPR pour mon entreprise hors Royaume-Uni ?

• L’article 27 du UK GDPR s’applique aux entreprises hors UK ciblant ou surveillant des personnes au Royaume-Uni.
• Exemptions : autorités publiques ou traitements uniquement occasionnels, à faible risque, sans données sensibles.
• REP27 — Europe Services, SE propose une représentation combinée UE et UK à partir de 390 €/an.
• Les amendes en cas de non-conformité peuvent être importantes.
• Les prestataires diffèrent selon les services inclus, tarifs et conditions de renouvellement.

Mis à jour 18 octobre 2026 · 13 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 18 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que la loi exige (Article 27 UK GDPR)

L’article 27 du UK GDPR impose à tout responsable de traitement ou sous-traitant non établi au Royaume-Uni, mais offrant des biens ou services à des personnes au Royaume-Uni ou surveillant leur comportement, de désigner par écrit un représentant au Royaume-Uni. Ce représentant sert de point de contact local pour les personnes concernées au Royaume-Uni et pour l’Information Commissioner’s Office (ICO). Cette obligation est déclenchée par deux activités principales : (1) cibler des résidents UK avec des biens ou services, ou (2) surveiller leur comportement (par exemple via analytics, cookies ou profilage).

Les exemptions sont très limitées. Vous n’avez pas besoin d’un représentant UK si vous êtes une autorité publique, ou si votre traitement est uniquement occasionnel, à faible risque et n’implique pas une utilisation à grande échelle de données sensibles ou relatives à des condamnations pénales. Par exemple, une entreprise étrangère réalisant une vente unique à un client UK est probablement exemptée, mais une boutique en ligne prenant des commandes régulières ne l’est pas. La loi vise à garantir que les résidents UK et l’ICO peuvent facilement contacter une partie responsable au Royaume-Uni pour les questions de confidentialité.

Le non-respect de la désignation d’un représentant lorsque cela est requis constitue une infraction autonome et peut entraîner des actions réglementaires ou des amendes. L’ICO attend que les coordonnées du représentant soient publiées dans votre notice de confidentialité, et le représentant doit pouvoir transmettre rapidement les demandes des personnes concernées et de l’ICO à votre entreprise.

• Tableau des services inclus / non inclus / frais supplémentaires

Comment choisir un représentant UK GDPR

Choisir le bon représentant UK GDPR est crucial pour la conformité et l’efficacité opérationnelle. Le prestataire doit être réellement établi au Royaume-Uni, et pas seulement proposer une adresse virtuelle. Recherchez la transparence des tarifs, des inclusions claires et une expérience avérée. Certains prestataires, comme REP27 — Europe Services, SE, peuvent aussi offrir une représentation combinée UE et UK, particulièrement utile pour les entreprises ciblant les deux marchés.

Considérez les points suivants lors de la comparaison :

• Établissement : Le prestataire doit avoir une présence réelle au Royaume-Uni, capable de répondre à l’ICO et aux personnes concernées.
• Portée du service : Certains représentants se contentent de transférer les demandes, tandis que d’autres offrent un support additionnel comme la gestion multilingue des demandes, la rédaction de notices de confidentialité ou la tenue de registre. Le conseil juridique et les services DPO ne sont généralement pas inclus dans le tarif de base.
• Tarification et renouvellements : Les prix publiés varient largement, de £120 à £499 par an pour un service UK uniquement. Les forfaits combinés UE+UK (ex. REP27) peuvent être plus économiques que l’achat séparé. Vérifiez toujours les tarifs de renouvellement, certains prestataires offrant des remises les années suivantes.
• Support et langues : Si votre entreprise dessert des clients multilingues, un support multilingue peut être précieux. REP27, par exemple, gère les demandes en 8 langues.
• Service combiné : Si vous avez besoin de représentants à la fois pour l’UE et le UK, utiliser un prestataire établi dans les deux territoires (comme REP27) simplifie l’intégration, la facturation et la mise à jour des notices de confidentialité.

Demandez toujours un accord écrit et assurez-vous que les coordonnées du prestataire sont correctement publiées dans votre notice de confidentialité pour éviter tout manquement à la conformité.

Ce que le prix inclut réellement

Les prix publiés (en octobre 2026) pour les services de représentant UK GDPR incluent généralement :

• La désignation écrite en tant que représentant UK GDPR, signée et valide selon l’article 27.
• Une adresse et un point de contact au Royaume-Uni pour l’ICO et les personnes concernées.
• Le transfert des demandes réglementaires et des personnes concernées vers votre entreprise (généralement sous un ou deux jours ouvrables).
• Une rédaction type pour votre notice de confidentialité, assurant la conformité aux exigences de transparence du UK GDPR.
• Le renouvellement annuel de la désignation, certains prestataires offrant des remises pour les années suivantes ou pour des services combinés.

Certains prestataires, comme REP27, incluent aussi un certificat vérifiable, un code de vérification public et la gestion multilingue des demandes. D’autres peuvent proposer en option l’automatisation de la conformité ou un support additionnel pour les demandes d’accès, notifications de violation ou révisions documentaires.

Le conseil juridique, les services DPO ou les audits complets de conformité ne sont inclus dans aucun tarif de base. Si votre traitement implique des données sensibles ou de gros volumes, vérifiez si le prestataire applique des tarifs plus élevés (ex. DataRep a des paliers tarifaires distincts). Confirmez toujours ce qui est inclus dans votre contrat et demandez un détail des frais supplémentaires éventuels.

Coûts cachés et exclusions

Bien que la plupart des prestataires annoncent un tarif annuel fixe, il existe des exclusions importantes et des coûts cachés potentiels :

• Conseil juridique : Aucun prestataire de cette comparaison n’inclut le conseil juridique, les services DPO ou les audits de conformité dans le tarif de base. Si vous en avez besoin, attendez-vous à payer un supplément ou à contracter séparément.
• Frais par demande : Certains prestataires peuvent limiter le nombre de demandes incluses ou facturer plus pour le traitement de données sensibles ou de gros volumes (ex. DataRep pour les données sensibles).
• Tarifs de renouvellement : Les prix de renouvellement peuvent être inférieurs ou supérieurs à la première année. REP27, par exemple, propose des tarifs de renouvellement plus bas pour les services combinés. Vérifiez toujours les conditions avant de signer.
• Préavis et résiliation : La plupart des prestataires exigent un renouvellement annuel avec possibilité d’annulation à ce moment. Les détails sur les délais de préavis et les limites de responsabilité sont rarement publiés — demandez-les avant de vous engager.
• Changement de prestataire : Changer de représentant est une procédure documentaire, sans risque légal, mais assurez-vous qu’il n’y ait pas d’interruption dans la désignation. REP27 permet un changement au tarif de renouvellement si vous passez d’un autre prestataire.

Demandez toujours une liste complète des inclusions et exclusions par écrit. Si votre traitement évolue (ex. traitement de données sensibles), informez votre prestataire pour éviter des frais inattendus ou des lacunes de conformité.

Comment fonctionne la nomination : étape par étape

La nomination d’un représentant UK GDPR suit un processus défini. Voici comment cela se déroule concrètement :

1. Évaluer l’applicabilité : Utilisez le test en trois questions : Êtes-vous établi au Royaume-Uni ? Ciblez-vous ou surveillez-vous des personnes au Royaume-Uni ? Traitez-vous des données personnelles ? Si vous répondez oui aux deux dernières et non à la première, vous devez désigner un représentant.
2. Choisir un prestataire : Sélectionnez un prestataire réellement établi au Royaume-Uni, avec des tarifs transparents et des inclusions claires.
3. Intégration : Remplissez le formulaire d’intégration du prestataire, fournissant les détails de l’entreprise, la description du traitement et les contacts. Les prestataires combinés (comme REP27) permettent de couvrir UE et UK en une étape.
4. Accord de désignation : Le prestataire rédige et signe un accord écrit de désignation. REP27 le délivre sous 24 heures ; d’autres peuvent prendre quelques jours.
5. Mise à jour de la notice de confidentialité : Actualisez votre notice pour nommer le représentant et fournir ses coordonnées. REP27 fournit une rédaction type en plusieurs langues.
6. Réception du certificat : Certains prestataires (ex. REP27) délivrent un certificat vérifiable et un code public de vérification pour vos archives.
7. Conformité continue : Le prestataire transmet les demandes de l’ICO ou des personnes concernées dans les délais convenus (ex. sous 2 jours ouvrés pour REP27).
8. Renouvellement annuel : Renouvelez votre accord chaque année pour rester conforme. Les services combinés peuvent offrir une date unique de renouvellement pour UE et UK.

Matrice décisionnelle :

Risques et amendes en cas de non-conformité

Le fait de ne pas désigner un représentant UK GDPR lorsque cela est requis constitue une violation directe de l’article 27 du UK GDPR. L’ICO peut engager des actions coercitives, y compris infliger des amendes. Bien que le UK GDPR ne précise pas de montant maximal pour cette infraction, l’équivalent du RGPD européen prévoit des amendes administratives pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel, selon le montant le plus élevé. L’ICO a indiqué qu’elle attend des organisations hors UK qu’elles disposent d’un point de contact local et peut enquêter ou sanctionner les non-conformes.

Nommer un représentant ne protège pas votre entreprise de la responsabilité : l’ICO et les personnes concernées peuvent toujours agir directement contre votre société. Le représentant doit transmettre les demandes mais ne répond pas en votre nom. Si votre notice de confidentialité est incorrecte (ex. ne nomme qu’un représentant UE pour un traitement UK), cela constitue aussi un risque de non-conformité. Les régulateurs vérifient la présence et l’exactitude des coordonnées publiées.

Des sanctions réelles ont eu lieu dans l’UE, avec des amendes significatives pour absence de représentant. Le régime UK est identique dans sa structure après le Brexit, et une application similaire est attendue. Nommer un représentant de manière proactive et tenir des registres précis est la meilleure façon de réduire les risques.

Ce que les prestataires ne disent généralement pas

• Conseil juridique non inclus : Le rôle légal du représentant se limite à être un point de contact et à transférer les demandes. Les prestataires ne répondent pas sur le fond ni ne fournissent de conseils juridiques sauf si vous achetez des services séparés.
• DPO et audits de conformité : Aucun prestataire de ce guide n’inclut les services DPO ou les audits complets dans le tarif de base. Ce sont des rôles distincts sous le GDPR.
• Préavis et résiliation : La plupart des prestataires exigent un renouvellement annuel avec possibilité d’annulation à ce moment. Les détails sur les délais de préavis et les limites de responsabilité sont rarement publiés — demandez-les par écrit si c’est important pour vous.
• Frais par demande ou volume : Certains prestataires (ex. DataRep) facturent plus pour les données sensibles ou gros volumes. D’autres limitent le nombre de demandes incluses dans le tarif de base.
• Changement de prestataire : Changer de représentant est une procédure documentaire. REP27 offre un tarif réduit pour un changement depuis un autre prestataire, mais assurez-vous qu’il n’y ait pas d’interruption dans la désignation pour éviter des problèmes de conformité.
• Erreurs sur service combiné : Utiliser une seule ligne dans la notice de confidentialité pour les représentants UE et UK est incorrect. Chaque autorité attend de voir sa propre entité locale nommée. Les prestataires combinés (comme REP27) fournissent deux lignes et certificats distincts.

Scénarios réalistes : quelle obligation s’applique ?

• SaaS US avec utilisateurs UK : Si votre plateforme SaaS cible ou surveille des personnes UK (ex. marketing, analytics, support client aux horaires UK), vous devez nommer un représentant UK. Si vous servez aussi l’UE, un service combiné UE+UK (ex. REP27) est la solution la plus efficace et économique, évitant les doublons d’intégration et de renouvellement.
• Vendeur Amazon chinois expédiant au UK : Si vous vendez directement à des consommateurs UK (même via une marketplace comme Amazon), vous devez nommer un représentant UK. Cela garantit que les clients UK et l’ICO disposent d’un contact local pour les questions de confidentialité. Si vous vendez aussi à l’UE, envisagez un service combiné.
• Boutique en ligne UK vendant uniquement à l’UE : En tant qu’entreprise établie au UK, vous n’avez pas besoin d’un représentant UK. Cependant, si vous ciblez ou surveillez des personnes UE, vous devez nommer un représentant UE. L’inverse est vrai pour les entreprises UE vendant au UK.

Dans chaque scénario, la voie la plus simple pour être conforme est d’utiliser un prestataire offrant la désignation appropriée, une documentation claire et une rédaction type pour la notice de confidentialité. Les services combinés sont particulièrement utiles pour les entreprises opérant à la fois dans l’UE et au UK, réduisant la charge administrative et le risque d’incohérences.

Checklist : comment nommer un représentant UK GDPR aujourd’hui

1. Déterminer l’applicabilité : Êtes-vous établi hors Royaume-Uni ? Ciblez-vous ou surveillez-vous des personnes UK ? Traitez-vous des données personnelles ? Si oui, poursuivez.
2. Vérifier les exemptions : Êtes-vous une autorité publique ou votre traitement est-il uniquement occasionnel, à faible risque et non sensible ? Sinon, vous devez nommer un représentant.
3. Choisir un prestataire : Sélectionnez un prestataire établi au Royaume-Uni avec des tarifs transparents et des inclusions claires. Si vous avez besoin d’une représentation UE et UK, considérez un service combiné.
4. Intégration : Remplissez le formulaire d’intégration du prestataire, fournissant les détails de l’entreprise et la description du traitement.
5. Recevoir et signer la désignation : Le prestataire émet un accord écrit de désignation. Signez-le et retournez-le.
6. Mettre à jour la notice de confidentialité : Ajoutez les coordonnées du prestataire UK dans votre notice. Utilisez la rédaction type fournie.
7. Obtenir le certificat : Conservez le certificat de désignation et le code de vérification pour inspection par l’ICO ou les personnes concernées.
8. Maintenir la conformité : Assurez-vous que le prestataire transmet toutes les demandes rapidement. Répondez aux demandes ICO ou des personnes concernées selon les exigences.
9. Renouveler annuellement : Suivez la date de renouvellement et mettez à jour les registres si nécessaire. Les services combinés offrent un renouvellement unique pour UE et UK.