Combien coûte la nomination d’un représentant UK GDPR ? Prix et comparaison 2026

• Obligation pour les entreprises hors Royaume-Uni offrant des services ou surveillant des personnes au Royaume-Uni (Art. 27 UK GDPR).
• Tarifs annuels de £120 à £1 450 ; REP27 à 290 €/an (UK seul) ou 390 €/an (UK+UE).
• Le représentant doit être établi au Royaume-Uni et agir comme point de contact pour les personnes concernées et l’ICO.
• Services inclus : transmission des demandes, tenue du registre des traitements, certificats, support pour la notice de confidentialité.
• Exemption possible pour ceux déjà établis au Royaume-Uni ou traitant des données uniquement occasionnellement.
• Sanctions jusqu’à £8,7 millions ou 2 % du chiffre d’affaires mondial en cas de non-nomination obligatoire.

Mis à jour 20 octobre 2026 · 9 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 20 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que la loi exige : Article 27 UK GDPR

L’Article 27 UK GDPR stipule que tout responsable du traitement ou sous-traitant non établi au Royaume-Uni, mais offrant des biens ou services à des personnes au Royaume-Uni ou surveillant leur comportement, doit nommer un représentant établi au Royaume-Uni (source officielle). Le représentant sert de point de contact pour les personnes concernées et pour l’Information Commissioner’s Office (ICO). La nomination doit être écrite et les données du représentant publiées dans la notice de confidentialité de l’entreprise. Le représentant doit pouvoir recevoir et transmettre rapidement les demandes des personnes concernées et de l’ICO, ainsi que tenir le registre des activités de traitement (Art. 30 UK GDPR).

Les exemptions sont limitées : l’obligation ne s’applique pas si le traitement est uniquement occasionnel, non régulier ou systématique, et sans risque pour les droits et libertés des personnes concernées. Les autorités publiques sont également exclues. Le non-respect de cette règle peut entraîner des sanctions allant jusqu’à £8,7 millions ou 2 % du chiffre d’affaires mondial.

La réglementation est stricte : la présence d’un seul élément (offre de services à des résidents UK ou surveillance comportementale) déclenche l’obligation. Il est essentiel d’évaluer attentivement son activité et, en cas de doute, de consulter les FAQ officielles ou de demander une évaluation au fournisseur choisi.

Comment choisir le représentant UK GDPR

Le choix du représentant UK GDPR doit être guidé par plusieurs facteurs pratiques et stratégiques. D’abord, évaluez si vous opérez uniquement au Royaume-Uni ou aussi dans l’Union européenne : dans ce dernier cas, un fournisseur proposant les deux services (comme REP27) peut simplifier la gestion et réduire les coûts. Considérez ensuite la rapidité d’émission de la désignation (REP27 promet 24 heures), la disponibilité d’un support multilingue, la présence de desks dédiés pour la transmission des demandes et la gestion des registres des traitements.

D’autres éléments à considérer sont la transparence sur les coûts supplémentaires (par exemple, Janus Compliance facture £250/h pour réponses personnalisées ou traductions), la facilité d’intégration (un seul formulaire pour UK+UE avec REP27), et la présence d’outils numériques tels que badges de conformité, plateformes de gestion ou créateurs de registre des traitements (ROPA). Certains fournisseurs, comme GDPR Gateway, offrent aussi des adresses physiques à Londres, utiles pour ceux qui ont besoin d’un point de correspondance formel.

En résumé : choisissez un fournisseur qui répond à vos besoins de couverture territoriale, services inclus, rapidité et transparence des coûts. Si vous opérez sur plusieurs marchés, considérez la commodité d’une gestion unifiée.

Ce que le service inclut réellement : comparaison détaillée

Le service de représentation UK GDPR peut varier considérablement selon les fournisseurs. Les éléments communs sont la désignation formelle (document signé et certifié), la transmission des demandes des personnes concernées et autorités (ICO), et le support pour la rédaction de la notice de confidentialité. Certains fournisseurs, comme REP27, incluent aussi la gestion du registre des traitements (Art. 30), la fourniture de certificats vérifiables avec QR code et la possibilité de recevoir la documentation en plusieurs langues.

D’autres, comme Janus Compliance, proposent un service de base mais facturent des coûts supplémentaires pour des activités additionnelles telles que la rédaction de réponses à l’ICO ou les traductions (£250/h). Des fournisseurs comme Gabsor et Euverify misent sur des plateformes digitales intégrant badges de conformité, outils de gestion des demandes (boîte DSR), audit trail et créateurs de registre des traitements. GDPR Gateway propose quant à lui des adresses physiques à Londres et dans l’UE, avec frais de mise en place.

Le tableau ci-dessous résume les principales différences :

Avant de choisir, vérifiez si le service couvre tous les besoins de votre entreprise : de la gestion des demandes multilingues, à la production de documentation certifiée, jusqu’au support pour la tenue des registres et la gestion d’éventuels audits.

Coûts cachés et limites : ce que les fournisseurs ne disent pas

Beaucoup de fournisseurs affichent un prix de base compétitif, mais peuvent appliquer des coûts additionnels pour des services non inclus. Par exemple, Janus Compliance facture £250/h pour des réponses personnalisées à l’ICO ou des traductions, tandis que GDPR Gateway demande des frais de mise en place initiaux (montant sur demande). D’autres fournisseurs peuvent limiter le nombre de demandes traitées sans frais supplémentaires ou appliquer une politique de fair use (DataRep).

Certains services n’incluent pas le conseil juridique ou la rédaction de réponses détaillées aux autorités : le représentant ne remplace pas le Délégué à la Protection des Données (DPO) ni ne s’occupe de la conformité générale de l’entreprise. La responsabilité du représentant se limite au rôle de point de contact et de transmission des communications ; il n’est pas responsable des violations GDPR de l’entreprise.

Un autre aspect souvent négligé est la gestion du renouvellement : avec deux fournisseurs différents pour UK et UE, on risque de perdre la couverture à cause d’un désalignement des échéances. REP27 résout ce problème en offrant une date unique de renouvellement pour les deux désignations. Enfin, vérifiez toujours les conditions contractuelles : certains fournisseurs peuvent prévoir des délais de préavis pour la cessation du service ou des limitations de responsabilité en cas d’erreurs ou omissions.

En résumé, avant de choisir, évaluez :

• Les coûts supplémentaires pour services additionnels (réponses, traductions, intégration)
• Les frais de mise en place initiaux
• Les limites de responsabilité et exclusions
• La gestion des échéances et renouvellements

Comment fonctionne la nomination : étape par étape

La nomination d’un représentant UK GDPR suit un processus précis, pouvant être complété en quelques jours si les informations nécessaires sont disponibles :

1. Vérification de l’obligation : Vérifiez si vous offrez des biens/services ou surveillez des personnes au Royaume-Uni sans avoir d’établissement local stable.
2. Choix du fournisseur : Évaluez les services proposés, les prix, la couverture territoriale et la rapidité d’émission.
3. Remplissage du formulaire : Fournissez les données de l’entreprise, la description des traitements, les référents et la documentation demandée par le fournisseur.
4. Émission de la désignation : Le fournisseur prépare la désignation formelle, la signe et la certifie (REP27 le fait sous 24 heures).
5. Réception du certificat : Recevez le certificat et la documentation à insérer dans la notice de confidentialité.
6. Mise à jour de la notice de confidentialité : Insérez les coordonnées du représentant dans la notice de confidentialité de l’entreprise, comme l’exige la loi.
7. Gestion des demandes : Le représentant reçoit et transmet rapidement les demandes des personnes concernées et de l’ICO, tient le registre des traitements et collabore en cas d’inspections.
8. Renouvellement annuel : Planifiez le renouvellement pour éviter toute interruption de couverture.

Checklist pratique :

1. Vérifiez si vous offrez des services/biens ou surveillez des personnes au UK.
2. Contrôlez si vous avez déjà un établissement stable au Royaume-Uni.
3. Évaluez la fréquence et le risque du traitement des données.
4. Choisissez un fournisseur adapté pour la couverture et les services.
5. Complétez la nomination écrite et recevez le certificat.
6. Mettez à jour la notice de confidentialité avec les données du représentant.
7. Assurez-vous que le fournisseur transmet rapidement les demandes.
8. Planifiez le renouvellement annuel pour éviter les interruptions.

Risques et sanctions : que se passe-t-il si vous ne nommez pas de représentant

Le non-respect de l’obligation de nomination d’un représentant UK GDPR entraîne des risques importants. L’ICO peut infliger des sanctions allant jusqu’à £8,7 millions ou 2 % du chiffre d’affaires mondial annuel, selon le montant le plus élevé (source officielle). L’infraction est autonome : même en l’absence d’autres manquements, la seule omission de nomination peut être sanctionnée. Un exemple concret est l’amende de 525 000 euros infligée par l’autorité néerlandaise à Locatefamily.com pour non-nomination du représentant UE (cas similaire, mais principe applicable au UK).

Le représentant n’est pas responsable des violations GDPR de l’entreprise, mais doit transmettre rapidement toutes les demandes reçues et collaborer avec l’ICO en cas d’enquête. Le défaut de collaboration ou la transmission tardive des demandes peut constituer une violation supplémentaire. En cas d’audit ou de plainte d’une personne concernée, la présence d’une désignation valide et facilement vérifiable (ex. certificat avec QR code) est essentielle pour démontrer la conformité.

Pour réduire les risques :

• Nominez le représentant dès que l’obligation apparaît.
• Assurez-vous que le fournisseur est facilement joignable et réactif.
• Conservez toute la documentation relative à la nomination et aux communications avec le représentant.
• Mettez à jour rapidement la notice de confidentialité de l’entreprise.

Scénarios pratiques : trois exemples réels

• SaaS US avec utilisateurs UK : Une entreprise SaaS américaine offrant des services à des utilisateurs au Royaume-Uni doit nommer un représentant UK GDPR. Si elle vend aussi dans l’UE, elle peut choisir un fournisseur comme REP27 qui propose la désignation combinée UK+UE avec un seul formulaire, deux certificats distincts et une seule échéance de renouvellement. Sinon, elle peut opter pour un fournisseur UK-only comme DataRep ou Janus Compliance.
• Vendeur chinois sur Amazon UK : Une entreprise chinoise vendant des produits sur Amazon UK doit nommer un représentant UK GDPR si elle traite directement les données personnelles des clients (par exemple, pour les expéditions ou le service après-vente). Si Amazon agit comme responsable unique des données, l’obligation peut ne pas s’appliquer. En cas de doute, il est conseillé de demander une évaluation spécifique.
• Boutique en ligne UK avec clients uniquement UK : Une boutique en ligne établie et opérant réellement au Royaume-Uni n’a pas besoin de nommer un représentant, même si elle vend à des clients britanniques. L’obligation concerne uniquement ceux qui ne sont pas établis au Royaume-Uni et offrent des services ou surveillent des résidents UK.

Ces scénarios montrent que la nécessité dépend de facteurs concrets : pays d’établissement, modalités de traitement des données et relation avec les marketplaces.

Ce que les fournisseurs ne disent généralement pas

Beaucoup de fournisseurs ne mettent pas en avant certaines limites et conditions importantes. Par exemple, la nomination du représentant ne remplace pas le conseil en conformité générale ni le rôle de Délégué à la Protection des Données (DPO). Le représentant ne fournit pas un support juridique continu, ne rédige pas de réponses détaillées à l’ICO (sauf frais supplémentaires) et n’assume pas la responsabilité des violations commises par l’entreprise.

Autres aspects peu mis en avant :

• Coûts supplémentaires possibles pour l’intégration, les traductions, les réponses personnalisées ou la gestion de demandes complexes.
• Frais de mise en place initiaux (ex. GDPR Gateway) ou coûts de renouvellement supérieurs au prix d’entrée.
• Limitations contractuelles de responsabilité et délais de préavis pour la cessation du service.
• La nécessité de mettre à jour la notice de confidentialité et la documentation interne à chaque changement de fournisseur ou renouvellement de désignation.

Pour éviter les mauvaises surprises, il est essentiel de lire attentivement les conditions contractuelles, de demander des clarifications sur les services effectivement inclus et de planifier la gestion des échéances et communications avec le fournisseur choisi.