Chi deve nominare un rappresentante GDPR nell'UE?

• L'articolo 27 GDPR richiede alla maggior parte delle aziende non UE che trattano dati UE di nominare un rappresentante UE.
• Esenzioni: trattamenti occasionali a basso rischio o attività relative a sicurezza nazionale/difesa.
• Il rappresentante deve essere stabilito in uno Stato membro UE dove si trovano gli interessati.
• I dati di contatto devono essere forniti a interessati e autorità.
• La mancata conformità può comportare multe fino a 10 milioni di € o 2% del fatturato mondiale.
• I fornitori offrono diversi livelli di servizio: solo indirizzo, mandato completo o assistenza legale.
• I prezzi variano molto; sono comuni costi nascosti per singole richieste o rinnovi.

Aggiornato 16 ottobre 2026 · 8 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 16 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede l'articolo 27 GDPR

L'articolo 27 del GDPR stabilisce un obbligo chiaro: ogni titolare o responsabile del trattamento non stabilito nell'UE, ma soggetto all'articolo 3(2) (offerta di beni o servizi a persone nell'UE o monitoraggio del loro comportamento), deve nominare un rappresentante per iscritto nell'UE prima di iniziare qualsiasi attività di trattamento dati. Questa regola garantisce che gli interessati e le autorità di controllo UE abbiano un punto di contatto locale per questioni di privacy, anche se l'azienda è fuori dall'UE.

Esistono importanti esenzioni. L'articolo 27 non si applica se:

• Il trattamento è solo occasionale, non include trattamenti su larga scala di categorie particolari di dati e non presenta rischi per i diritti e le libertà degli interessati.
• Le attività sono relative alla sicurezza nazionale o alla difesa.

Il rappresentante deve essere stabilito in uno degli Stati membri UE dove si trovano gli interessati i cui dati si trattano. La nomina deve essere fatta per iscritto e il rappresentante deve essere autorizzato ad agire per conto del titolare o responsabile in relazione agli obblighi GDPR. I dati di contatto del rappresentante devono essere forniti sia agli interessati che alle autorità di controllo e pubblicati nell'informativa privacy.

La mancata conformità è una violazione autonoma ai sensi dell'articolo 83(4)(a), punibile con sanzioni fino a 10 milioni di € o al 2% del fatturato mondiale. L'autorità olandese ha multato Locatefamily.com per 525.000 € per questa violazione. Il rappresentante non è uno scudo: l'articolo 27(5) chiarisce che la nomina non impedisce azioni dirette contro la società stessa.

• Tabella inclusioni/esclusioni e costi extra

Come scegliere un rappresentante GDPR

Scegliere il rappresentante GDPR giusto è fondamentale per la conformità e l'efficienza operativa. I fornitori offrono tre livelli di servizio principali:

• Livello 1: Solo indirizzo – Un semplice servizio di inoltro posta. Nessun mandato, nessun registro, nessun obbligo specifico GDPR. Il più economico, ma non conforme all'articolo 27.
• Livello 2: Nomina – Mandato scritto, certificato, sportello richieste e gestione registri Articolo 30. Questo è ciò che richiede l'articolo 27: il fornitore accetta per iscritto il ruolo e le responsabilità, detiene i registri e si impegna a inoltrare le richieste entro tempi prestabiliti.
• Livello 3: Assistenza legale – Uno studio legale agisce da rappresentante e fornisce anche consulenza legale. Costoso e necessario solo se si desidera consulenza legale continuativa, non parte del ruolo Articolo 27.

Quando confronti i fornitori, chiedi:

• Il mandato accetta esplicitamente i compiti dell'articolo 27?
• Chi detiene il registro Articolo 30 e come viene prodotto alle autorità?
• Qual è il tempo di risposta per inoltrare le richieste dalle autorità?
• Ci sono costi per singola richiesta o per rinnovo?
• È disponibile supporto multilingue?

Alcuni fornitori, come REP27, rilasciano lettera di nomina firmata e certificato entro 24 ore, con supporto multilingue e nessun costo per singola richiesta nei piani Standard e Multi. Altri possono addebitare per richiesta o fornire solo un indirizzo di inoltro, non conforme al GDPR.

Matrice decisionale:

Richiedi sempre il modello di nomina del fornitore prima di pagare. Se non elenca e accetta i compiti dell'articolo 27, non stai acquistando un servizio conforme.

Cosa include realmente il prezzo

I prezzi per il servizio di rappresentante GDPR variano da meno di 300 € a oltre 2.000 € all'anno. Questa variazione riflette l'effettivo ambito del servizio fornito. Un prezzo basso può coprire solo un indirizzo postale, mentre uno più alto può includere mandato completo, sportello richieste e gestione registri. Elementi chiave da verificare:

• Accettazione scritta dei compiti Articolo 27: Il fornitore deve accettare formalmente il ruolo e gli obblighi per iscritto.
• Certificato e verifica pubblica: Un certificato verificabile rassicura clienti, auditor e autorità. REP27 fornisce certificato con QR code e pagina di verifica pubblica.
• Gestione multilingue delle richieste: Essenziale per copertura pan-UE. REP27 offre 8 lingue dal piano Standard.
• Gestione registri Articolo 30: Il fornitore deve detenere e produrre i registri alle autorità. Incluso nei piani Standard e Multi di REP27.
• Costi per singola richiesta o aumenti di rinnovo: Alcuni fornitori addebitano 25–90 € per richiesta o aumentano i prezzi dopo il primo anno. Il piano Standard di REP27 non prevede costi per richiesta e i rinnovi calano dal secondo anno.

Confronta cosa è incluso in ogni piano, non solo il prezzo base. Ad esempio, il piano Base di REP27 copre fino a 10 richieste annue, mentre Standard e Multi offrono richieste illimitate e gestione registri. Molti concorrenti non pubblicano dettagli completi o li forniscono solo su richiesta.

Chiedi sempre il prezzo di rinnovo per il secondo anno per iscritto, poiché i prezzi introduttivi sono comuni. Per aziende che necessitano rappresentanza combinata UE e UK, alcuni fornitori (incluso REP27) offrono entrambi i servizi, talvolta con sconto.

Costi nascosti ed esclusioni

Molti fornitori pubblicizzano tariffe annuali basse ma aggiungono costi significativi per servizi essenziali. Costi nascosti comuni includono:

• Tariffe per richiesta dati: Alcuni addebitano 25–90 € per richiesta, che può superare rapidamente l'abbonamento annuo se si ricevono molte richieste in un mese.
• Costi di attivazione o onboarding: Spese una tantum da 0 a 250 € sono comuni. REP27 include l'attivazione nella tariffa annua.
• Supporto linguistico aggiuntivo: I piani base possono coprire solo l'inglese. I piani Standard e Multi di REP27 includono 8 lingue.
• Gestione registri Articolo 30: Alcuni addebitano 100–400 € all'anno per detenere e produrre i registri. REP27 lo include nei piani Standard e Multi.
• Aumenti di rinnovo: Alcuni aumentano i prezzi dopo il primo anno. I rinnovi REP27 calano a 240/390/690 € dal secondo anno.

Consulenza legale, servizi DPO e audit di conformità non sono inclusi da REP27 o dalla maggior parte dei concorrenti. REP27 non risponde alle richieste nel merito; le inoltra a te. La nomina non impedisce l'applicazione diretta contro la tua azienda.

I fornitori raramente evidenziano queste esclusioni e costi extra nel marketing. Leggi sempre attentamente mandato e termini di servizio prima di firmare. Chiedi specificamente di costi per richiesta, prezzi di rinnovo e cosa succede in caso di cambio o cessazione del servizio.

Come funziona la nomina: passo dopo passo

1. Valuta l'applicabilità: Determina se sei un titolare o responsabile non UE soggetto all'articolo 3(2) GDPR (offerta di beni/servizi o monitoraggio di persone nell'UE).
2. Individua i paesi target: Elenca gli Stati membri UE dove si trovano i tuoi interessati. Il rappresentante deve essere stabilito in almeno uno di questi paesi.
3. Seleziona i fornitori: Confronta servizi, prezzi e termini pubblicati. Richiedi il modello di nomina per verificare che copra gli obblighi dell'articolo 27.
4. Verifica costi nascosti: Chiedi di tariffe per richiesta, costi di onboarding, supporto linguistico e prezzi di rinnovo.
5. Completa l'onboarding: Compila il modulo del fornitore con dati aziendali, ambito trattamento e contatti.
6. Ricevi mandato controfirmato: Il fornitore verifica il dossier e rilascia lettera di nomina firmata (REP27: entro 24 ore). Ricevi anche certificato e codice di verifica.
7. Aggiorna l'informativa privacy: Inserisci nome, indirizzo e contatti del rappresentante come richiesto dall'articolo 13(1)(a).
8. Conserva documentazione di conformità: Tieni mandato firmato, certificato e registro Articolo 30 per audit. Non pubblicare mandato completo o termini commerciali.
9. Operatività continua: Il fornitore registra e inoltra richieste da interessati e autorità entro i tempi concordati. Per REP27, entro due giorni lavorativi (o stesso giorno per autorità su Standard/Multi).
10. Rinnovo o cessazione: Monitora scadenze e termini di cancellazione. REP27 consente cancellazione prima del rinnovo con conferma scritta.

Questo processo garantisce il rispetto dell'articolo 27 e la preparazione per audit o richieste regolatorie.

Rischi e sanzioni per la non conformità

La nomina di un rappresentante UE non è opzionale per la maggior parte delle aziende non UE che trattano dati personali UE. I rischi della non conformità sono significativi:

• Violazione autonoma: La mancata nomina è una violazione ai sensi dell'articolo 83(4)(a) GDPR, indipendentemente da eventuali violazioni dati.
• Sanzioni: Le autorità possono imporre multe fino a 10 milioni di € o al 2% del fatturato mondiale annuo, a seconda di quale sia maggiore. Ad esempio, Locatefamily.com è stata multata 525.000 € dall'autorità olandese per mancata nomina.
• Applicazione diretta: Nominare un rappresentante non protegge l'azienda da sanzioni o responsabilità. Le autorità possono agire direttamente contro l'azienda (articolo 27(5)).
• Rischio operativo: Senza rappresentante potresti non rispondere tempestivamente a richieste di interessati o autorità, con ulteriori sanzioni e danni reputazionali.

Per mitigare questi rischi, assicurati che il fornitore rilasci mandato controfirmato, detenga il registro Articolo 30 (se richiesto) e si impegni a inoltrare le richieste entro tempi prestabiliti. Conserva tutta la documentazione per audit. Se il fornitore non può rappresentarti (es. per attività vietate), deve rimborsarti integralmente con conferma scritta, come fa REP27.

Cosa i fornitori di solito non dicono

Molti fornitori di rappresentanti GDPR non rivelano completamente limitazioni ed esclusioni dei loro servizi. Omissioni comuni includono:

• Solo inoltro posta: Alcune offerte base sono solo un indirizzo postale, non un vero mandato Articolo 27. Queste non rispettano il GDPR.
• Tariffe per richiesta: Tariffe annuali basse possono nascondere costi elevati per singola richiesta, rendendo il servizio costoso se si ricevono molte richieste.
• Registri non detenuti: Alcuni fornitori non detengono il registro Articolo 30, obbligatorio per la conformità. Verifica sempre chi detiene e produce il registro.
• Rinnovi automatici e aumenti prezzi: Molti aumentano i prezzi dopo il primo anno o rinnovano automaticamente senza avviso chiaro. Chiedi sempre il prezzo per il secondo anno per iscritto.
• Limiti di responsabilità: Il rappresentante non è responsabile per violazioni GDPR. L'articolo 27(5) chiarisce che la responsabilità resta dell'azienda.
• Terminazione e passaggio consegne: Verifica cosa succede a richieste pendenti e registri in caso di cambio o cessazione del fornitore. REP27 specifica conferma scritta e procedure di passaggio.

Leggi sempre attentamente descrizione del servizio e mandato. Richiedi tutti i termini per iscritto prima di impegnarti e chiarisci cosa è incluso, escluso e soggetto a costi extra.

Checklist: come nominare un rappresentante GDPR oggi

1. Conferma se sei un titolare o responsabile non UE soggetto all'articolo 3(2) GDPR.
2. Individua in quali paesi UE si trovano i tuoi interessati.
3. Seleziona fornitori che offrono mandato scritto Articolo 27.
4. Richiedi e verifica il modello di nomina.
5. Controlla costi nascosti e termini di rinnovo.
6. Completa onboarding e ricevi documenti controfirmati.
7. Aggiorna l'informativa privacy con i dati del rappresentante.
8. Conserva mandato firmato e certificato per audit.
9. Assicurati che il registro Articolo 30 sia detenuto e accessibile se richiesto.
10. Monitora scadenze e termini di cancellazione per evitare costi indesiderati.

Seguire questa checklist aiuterà a ottenere e mantenere la conformità, evitare sanzioni e rispondere efficacemente a richieste di interessati e autorità.

Scenari realistici: chi ha bisogno di cosa?

• SaaS USA che vende a imprese e consumatori UE: Deve nominare un rappresentante UE ai sensi dell'articolo 27. Il piano Standard di REP27 copre tutti i requisiti: mandato scritto, inoltro richieste illimitato, gestione registri e supporto multilingue. Il piano Base è adatto a basso volume, ma Standard è consigliato per la maggior parte dei SaaS.
• Venditore cinese Amazon che opera su marketplace UE: Necessita sia di un rappresentante GDPR UE (protezione dati) sia, per conformità prodotto, di un responsabile GPSR. Il piano Multi di REP27 copre entrambi i ruoli con un unico ordine e una sola scadenza di rinnovo, semplificando la conformità per venditori su Amazon, Etsy o eBay.
• Negozio online UK con clienti UE: Dopo Brexit, le aziende UK che offrono beni o servizi all'UE devono nominare un rappresentante UE. Il piano Base o Standard di REP27 è adatto, a seconda del volume di richieste e necessità di gestione registri. Se si vendono anche prodotti con marcatura CE, considera il piano Multi per rappresentanza combinata.

In ogni scenario, la strada più semplice e conforme è nominare un fornitore che rilasci mandato firmato, detenga i registri (se richiesto) e fornisca documentazione chiara e verificabile per audit e clienti.