Ai-je besoin de représentants RGPD à la fois pour l’UE et le Royaume-Uni ?

• Des représentants distincts sont requis pour l’UE et le Royaume-Uni si vous ciblez les deux.
• L’article 27 RGPD (UE) et l’article 27 UK GDPR sont des obligations légales distinctes.
• Les services combinés peuvent réduire l’administration et les coûts par rapport à des prestataires séparés.
• Les amendes en cas de non-conformité peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial.
• Les entreprises établies dans l’UE ou au Royaume-Uni sont exemptées pour leur propre territoire.

Mis à jour 18 octobre 2026 · 7 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 18 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que la loi exige : Article 27 RGPD UE et UK GDPR

L’article 27 du RGPD UE et du UK GDPR impose une obligation claire : si votre entreprise n’est pas établie dans l’UE ou au Royaume-Uni mais propose des biens ou services, ou surveille le comportement d’individus dans ces territoires, vous devez nommer un représentant établi dans chaque région concernée. Cela s’applique aux responsables de traitement comme aux sous-traitants. Le représentant agit comme point de contact local pour les personnes concernées et les autorités de contrôle, et ses coordonnées doivent figurer dans votre notice de confidentialité.

Après le Brexit, le UK GDPR est devenu un régime distinct. Cela signifie qu’un représentant UE ne peut pas agir pour le Royaume-Uni, et inversement. Chaque désignation doit être écrite et confiée à une entité physiquement établie dans la juridiction concernée. Le représentant doit pouvoir répondre aux demandes des individus et autorités, et peut être tenu de détenir votre registre des activités de traitement (Article 30). Le défaut de nomination constitue une infraction autonome, avec des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial (Art. 83 RGPD).

Des exemptions existent : les entreprises ayant un établissement réel (pas seulement une boîte postale) dans l’UE ou au Royaume-Uni n’ont pas besoin de représentant pour leur propre territoire. Par exemple, une société britannique vendant à l’UE doit nommer un représentant UE, mais pas un représentant UK. Inversement, une société UE vendant au Royaume-Uni doit nommer un représentant UK uniquement. Les entreprises disposant d’établissements réels dans les deux régions sont exemptées pour leurs propres territoires.

Comment choisir un représentant RGPD : facteurs clés

Choisir le bon représentant RGPD est crucial pour la conformité et l’efficacité opérationnelle. Voici les principaux critères à considérer :

• Couverture juridique : Le prestataire doit être légalement établi dans l’UE pour la représentation UE et au Royaume-Uni pour la représentation UK. Les services combinés (comme REP27) peuvent délivrer les deux désignations en une seule commande, économisant temps et réduisant les risques d’erreurs administratives.
• Portée du service : Évaluez si le prestataire offre seulement le minimum légal ou inclut des services à valeur ajoutée comme la rédaction de la notice de confidentialité, la gestion multilingue des demandes, et la tenue du registre Article 30. Par exemple, REP27 inclut la rédaction en 8 langues et un certificat vérifiable par QR, tandis que Janus Compliance limite la correspondance et facture les items supplémentaires.
• Renouvellement et administration : Les prestataires combinés synchronisent les dates de renouvellement et la documentation, réduisant le risque d’oubli. Deux prestataires distincts impliquent deux processus d’intégration et de renouvellement, augmentant la charge administrative et le risque d’erreur.
• Transparence des tarifs : Recherchez des prix clairs et la divulgation des frais supplémentaires (par exemple, frais par demande, frais d’intégration, ou pour langues/certificats additionnels).
• Exclusions et limites : La plupart des prestataires excluent les conseils juridiques, les DPO et les audits de conformité. Certains, comme REP27, excluent aussi les données sensibles, les mineurs de moins de 16 ans, et la surveillance ou profilage à grande échelle.

Tableau des inclusions / exclusions / frais supplémentaires

Ce que le prix inclut vraiment (et exclut)

Comprendre ce que vous obtenez pour votre tarif est essentiel. Les prestataires diffèrent non seulement par le prix mais aussi par les services inclus dans leur abonnement annuel :

• REP27 — Europe Services, SE : Pour 390 €/an (Base), vous bénéficiez des désignations Article 27 UE et UK, deux certificats (un par territoire), rédaction de la notice de confidentialité en plusieurs langues, vérification par QR code, bureau de gestion des demandes, et une évaluation suisse (pour déterminer si un représentant suisse est nécessaire). Le plan Base inclut jusqu’à 10 demandes transmises par an ; les demandes illimitées et la tenue du registre Article 30 sont disponibles dans les plans supérieurs. Pas de frais par demande dans les plans Standard ou Multi. Les conseils juridiques, services DPO et audits ne sont pas inclus.
• Janus Compliance : Tarifs par territoire : £349/an pour le Royaume-Uni et 449 €/an pour l’UE. Chaque plan inclut 50 items de correspondance par an (hors correspondance ICO) ; chaque item supplémentaire coûte £8. La couverture combinée UE+UK nécessite deux abonnements distincts, sans réduction combinée. Pas de conseils juridiques ni correspondance illimitée inclus.
• Euverify : £490/an pour représentation UE ou UK (plan Startup), avec des fonctionnalités comme représentant RGPD, créateur ROPA, certificat RGPD, boîte unifiée DSR, badge de confiance, piste d’audit, traduction DSR. La couverture combinée nécessite deux abonnements. Détails sur frais supplémentaires sur demande.
• Gabsor : 948 $/an (plan Essentiel) pour représentation UE et UK, incluant tableau de bord conformité, centre de confiance, extrait de politique de confidentialité, badge, créateur ROPA, gestion DSAR, piste d’audit. Détails sur frais ou limites sur demande.

Vérifiez toujours si le prix publié couvre les deux régions ou seulement une. La plupart des prestataires n’incluent pas les conseils juridiques, services DPO ou audits. Certains excluent les traitements à haut risque ou destinés aux mineurs. Consultez les exclusions et conditions avant achat.

Coûts cachés et ce que les prestataires ne disent généralement pas

Bien que les prix affichés semblent similaires, les coûts cachés et risques opérationnels peuvent s’accumuler. Voici ce à quoi faire attention :

• Frais par demande : Janus Compliance inclut 50 items de correspondance par an, mais facture £8 pour chaque item supplémentaire. Le plan Base de REP27 inclut jusqu’à 10 demandes par an, avec demandes illimitées dans les plans supérieurs. Certains prestataires ne précisent pas clairement leur politique par demande, vérifiez avant de vous engager.
• Intégration et renouvellements séparés : Utiliser deux prestataires pour UE et UK signifie double paperasse d’intégration et deux dates de renouvellement distinctes. Cela augmente le risque d’oubli, ce qui constitue une infraction à l’article 27. Les services combinés (comme REP27) synchronisent les renouvellements et réduisent l’administration.
• Exclusions : La plupart excluent conseils juridiques, DPO et audits. REP27 exclut spécifiquement les données sensibles, mineurs de moins de 16 ans, surveillance à grande échelle, courtage de données, contenus adultes, jeux d’argent, crypto-actifs, armes et produits pharmaceutiques. Si votre activité concerne ces secteurs, certains prestataires ne pourront pas vous représenter.
• Délais de préavis : REP27 exige un préavis écrit d’au moins 30 jours avant expiration pour annuler. Vérifiez toujours la politique d’annulation pour éviter des renouvellements non désirés.
• Limites de responsabilité : Aucun prestataire comparé ne publie ses plafonds de responsabilité dans les données disponibles. Demandez et examinez toujours le contrat pour les clauses de responsabilité et d’indemnisation.

Sachez que certains prestataires peuvent ne pas inclure la rédaction de la notice de confidentialité, le support multilingue ou la vérification par QR code en standard. Ces omissions peuvent entraîner une non-conformité ou un surcroît de travail pour votre équipe.

Comment fonctionne la nomination : checklist étape par étape

Nommer un représentant RGPD est un processus qui doit être documenté et vérifiable. Voici une checklist pratique pour assurer la conformité :

1. Évaluez vos obligations : Déterminez si votre entreprise propose des biens/services ou surveille des personnes dans l’UE, le Royaume-Uni, ou les deux.
2. Choisissez un prestataire : Sélectionnez un prestataire établi dans le territoire requis (ou les deux pour un service combiné). Vérifiez ses exclusions et fonctionnalités incluses.
3. Complétez l’intégration : Remplissez le formulaire d’intégration du prestataire. Les services combinés comme REP27 utilisent un seul formulaire pour les deux territoires, économisant du temps et réduisant les risques d’incohérences.
4. Examen par le prestataire : Le prestataire vérifie votre soumission et rédige la ou les désignations. Pour les services combinés, les deux mandats sont rédigés à partir des mêmes réponses, assurant cohérence.
5. Signatures : L’entité UE du prestataire signe la désignation UE ; l’entité UK signe la désignation UK. Vous recevez deux documents distincts signés.
6. Recevez certificats et rédaction : Vous recevez deux certificats (un par territoire), chacun avec un code de vérification unique, et la rédaction de la notice de confidentialité pour les deux. REP27 fournit des QR codes et pages de vérification publiques.
7. Mettez à jour votre notice de confidentialité : Insérez les deux lignes de rédaction dans votre notice. Utiliser une seule ligne pour les deux territoires est incorrect et peut être signalé par les régulateurs.
8. Maintenez la conformité : Assurez-vous que votre représentant peut répondre aux demandes des personnes concernées et autorités. Renouvelez annuellement et conservez les traces de toute correspondance.
9. Évaluation suisse (si applicable) : Avec REP27, vous bénéficiez aussi d’une évaluation suisse gratuite pour déterminer si un représentant suisse est nécessaire. Vous êtes immédiatement informé si c’est le cas.

Suivre cette checklist minimise les risques de non-conformité et garantit le respect des exigences des articles 27 RGPD et UK GDPR.

Matrice de décision : avez-vous besoin d’un représentant UE, UK, ou des deux ?

Utilisez cette matrice pour déterminer rapidement vos obligations selon la localisation et les activités de votre entreprise :

Cette matrice couvre les vendeurs B2B, B2C et marketplaces (Amazon, Etsy, eBay). Si votre entreprise n’est établie ni dans l’UE ni au Royaume-Uni mais cible les deux, vous devez nommer des représentants dans les deux régions. Si vous êtes établi dans l’un, vous n’avez besoin que d’un représentant pour l’autre. Si vous êtes établi dans les deux, vous n’avez besoin d’aucun représentant pour vos propres territoires.

Scénarios réalistes : quelle obligation s’applique ?

• Entreprise SaaS US vendant à l’UE et au Royaume-Uni : Un fournisseur SaaS basé aux États-Unis avec des clients dans l’UE et au Royaume-Uni doit nommer un représentant RGPD pour l’UE et un pour le Royaume-Uni. REP27 peut délivrer les deux désignations en une seule commande pour 390 €/an, fournissant deux certificats et la rédaction de la notice pour les deux territoires. Cela simplifie la conformité et réduit la charge administrative comparé à des prestataires séparés.
• Vendeur chinois Amazon expédiant en Allemagne et au Royaume-Uni : Un vendeur chinois listant des produits sur Amazon.de et Amazon.co.uk et expédiant vers l’Allemagne et le Royaume-Uni doit nommer des représentants pour l’UE et le Royaume-Uni. Les services combinés sont la solution la plus simple, garantissant le respect des obligations et réduisant le risque de documents incohérents ou de renouvellements manqués.
• Boutique en ligne UK vendant uniquement au Royaume-Uni : Un détaillant en ligne basé au Royaume-Uni qui ne cible ni ne surveille les résidents de l’UE n’a pas besoin d’un représentant UE. Étant établi au Royaume-Uni, il est exempt de nommer un représentant UK. Aucun représentant Article 27 n’est requis.
• Entreprise UE vendant uniquement au Royaume-Uni : Une société irlandaise ou allemande vendant aux consommateurs du Royaume-Uni doit nommer un représentant UK mais pas un représentant UE pour son propre territoire.
• Vendeurs sur marketplaces (Amazon, Etsy, eBay) : Les vendeurs hors UE/UK utilisant ces plateformes pour atteindre des clients UE ou UK doivent nommer les représentants appropriés. Certains prestataires, comme REP27, proposent des services combinés spécifiquement pour les vendeurs sur marketplaces, simplifiant la conformité.

Risques et amendes en cas de non-conformité

Le non-respect de l’article 27 RGPD ou UK GDPR peut entraîner de graves conséquences. Les autorités de contrôle peuvent infliger des amendes administratives allant jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé (Article 83 RGPD). Par exemple, l’autorité néerlandaise a infligé une amende de 525 000 € à Locatefamily.com pour défaut de nomination d’un représentant. En plus des sanctions financières, les autorités peuvent ordonner l’arrêt du traitement des données personnelles ou restreindre vos activités commerciales dans l’UE ou au Royaume-Uni.

Les risques ne se limitent pas aux amendes. Si votre représentant cesse d’être valide à cause d’un renouvellement manqué, ou si votre notice de confidentialité ne mentionne pas correctement les deux représentants, vous pouvez être en infraction. Cela peut entraîner des enquêtes, une atteinte à la réputation et une perte de confiance des clients. Utiliser un prestataire combiné réduit le risque d’erreurs administratives et garantit que les deux désignations sont à jour et vérifiables.

Enfin, le non-respect des délais de réponse aux demandes des personnes concernées ou des autorités peut aussi être considéré comme une infraction. Assurez-vous que votre prestataire offre un bureau de gestion des demandes fiable et que vous avez des processus internes pour traiter rapidement les demandes transmises.