Comment comparer les prestataires de représentants GDPR UE et Royaume-Uni

• L'article 27 du GDPR exige un représentant dans l'UE pour les entreprises hors UE
• Les amendes peuvent atteindre 10 millions d'euros ou 2% du chiffre d'affaires mondial
• REP27 couvre UE et Royaume-Uni en une seule demande, tarifs de 290 € à 990 €/an
• Toutes les entreprises n'ont pas besoin du service : voir la décision selon le profil
• Comparez ce qui est inclus, les limites et coûts cachés
• Vérifiez que le prestataire est établi dans les pays requis

Mis à jour 26 octobre 2026 · 6 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 26 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que la loi exige : Article 27 GDPR et UK GDPR

L'article 27 du GDPR impose à toute entreprise hors Union européenne offrant des biens, services ou surveillant le comportement de personnes dans l'UE de désigner par écrit un représentant établi dans un État membre de l'Union (source). Le même principe s'applique au Royaume-Uni après le Brexit, avec l'obligation d'un représentant local pour les entreprises étrangères traitant des données de résidents britanniques. La désignation est obligatoire même si l'entreprise n'a pas de présence physique dans l'UE ou au Royaume-Uni. Le non-respect peut entraîner des amendes allant jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires mondial annuel, selon le montant le plus élevé. Exemple concret : Locatefamily.com a été sanctionnée de 525 000 € pour ne pas avoir nommé de représentant.

Le représentant doit être disponible pour communiquer avec les autorités de protection des données et les personnes concernées. Cela ne s'applique pas aux autorités publiques ni aux entreprises traitant des données uniquement de manière occasionnelle et sans risque pour les droits et libertés des personnes. Le représentant sert de point de contact pour les demandes des personnes concernées et des autorités, mais ne remplace pas le DPO (Délégué à la Protection des Données).

Il est essentiel de s'assurer que le représentant est établi sur le territoire requis, car une désignation faite par une entité hors UE ou Royaume-Uni n'est pas valide auprès des autorités locales.

Comment choisir : critères pratiques pour comparer les prestataires

Choisir le bon représentant est crucial pour éviter risques et coûts inutiles. Évaluez les critères suivants :

• Établissement : Le représentant doit être établi dans l'UE (et/ou Royaume-Uni). Par exemple, REP27 possède des entités en République tchèque (UE) et au Royaume-Uni, permettant de couvrir les deux régimes en une seule demande.
• Prix publié : Comparez les tarifs annuels et les renouvellements. REP27 propose des plans de 290 € à 990 €/an (UE) et 390 € à 990 €/an (UE+UK), tandis que les concurrents varient de 490 € à £1 450/an.
• Services inclus : Certificat, wording pour avis de confidentialité, bureau pour demandes, langues, stockage des registres (Art. 30), évaluation Suisse (REP27), couverture responsabilité professionnelle (EU Shield).
• Limites et exclusions : Volume de demandes, exclusions sectorielles ou types de données (REP27 n'accepte pas données sensibles, gros volumes, secteurs réglementés, etc.).
• Processus de désignation : Facilité, délai d'émission (REP27 : jusqu'à 24h), renouvellement synchronisé, délivrance de certificats vérifiables.

Vérifiez aussi si le prestataire propose un wording multilingue (utile pour sites multilingues) et s'il y a un support pour synchroniser le renouvellement des deux territoires, évitant les interruptions de conformité.

Ce que le prix inclut réellement (et ce qu'il n'inclut pas)

Tous les prestataires n'offrent pas les mêmes services pour le prix affiché. Une analyse détaillée de ce qui est inclus évite surprises et coûts cachés. Voici le comparatif :

REP27 détaille clairement ce qui est inclus ou non : dans le plan de base, jusqu'à 10 demandes/an ; illimité dans les plans supérieurs. Inclut un wording pour avis de confidentialité en 8 langues et une évaluation gratuite pour la Suisse (Art. 14 nFADP). Ne couvre pas données sensibles, activités pour enfants, gros volumes, secteurs réglementés, contenu adulte, jeux, crypto-actifs, armes ou produits pharmaceutiques grand public. Les autres prestataires ne communiquent pas publiquement leurs limites ou exclusions.

Il est recommandé de demander un détail des limites et exclusions avant de souscrire, surtout pour les entreprises de secteurs sensibles ou à fort volume de données.

Coûts cachés et exclusions : ce que les prestataires ne disent pas souvent

Lors de la comparaison des prestataires, il est essentiel d'analyser non seulement le prix initial, mais aussi les coûts cachés et exclusions contractuelles. Points clés :

• Limites de volume : REP27 limite à 10 demandes/an dans le plan de base ; illimité dans les plans Standard/Multi. Les autres prestataires ne communiquent pas ces limites publiquement.
• Exclusions claires : REP27 n'accepte pas données sensibles (Art. 9/10), services pour enfants, gros volumes, secteurs réglementés, contenu adulte, jeux, crypto-actifs, armes, produits pharmaceutiques grand public ou activités nécessitant licence.
• Renouvellements et remises : REP27 offre une remise au renouvellement annuel (exemple : Base passe de 290 € à 240 €/an pour un territoire, 320 € pour les deux). Les autres prestataires ne détaillent pas leur politique de renouvellement ou remises.
• Responsabilité professionnelle : Seul EU Shield mentionne une couverture responsabilité professionnelle, utile pour les entreprises soucieuses des risques juridiques.
• Délais de préavis : REP27 exige un annulation écrite au moins 30 jours avant. Les autres prestataires ne communiquent pas ces délais publiquement.
• Services non inclus : Aucun prestataire, y compris REP27, ne joue le rôle de département conformité, DPO, conseil juridique ou ne répond aux demandes sur le fond. Le rôle est d'orientation et de représentation formelle.

Demandez toujours le contrat complet et lisez attentivement les exclusions et conditions de renouvellement avant de souscrire. Cela évite les surprises et garantit la conformité continue.

Comment fonctionne la nomination : procédure pratique

Le processus de nomination du représentant GDPR est simple mais demande attention aux détails. Voici les étapes typiques avec REP27 et points de comparaison avec d'autres prestataires :

1. Choix du prestataire et du plan : Sélectionnez le plan adapté au volume de demandes et aux territoires (UE, UK ou les deux).
2. Remplissage du formulaire : Fournissez les données de l'entreprise, description du traitement et pays ciblés. Chez REP27, un seul formulaire couvre les deux territoires, évitant la duplication des informations.
3. Revue et émission : Un expert vérifie le dossier. REP27 émet les deux désignations (UE et UK) le même jour, chacune signée par l'entité locale (Europe Services, SE pour l'UE ; REP27 LTD pour le UK).
4. Réception des certificats : Vous recevez deux certificats, deux codes de vérification et wording en 8 langues. Chaque certificat est vérifiable par QR code et page publique.
5. Mise à jour de l'avis de confidentialité : Intégrez les lignes fournies sur votre site. Attention : un seul avis pour les deux territoires est incorrect ; chaque autorité exige la mention de l'entité locale.
6. Renouvellement annuel : REP27 synchronise le renouvellement des deux territoires, évitant les interruptions. La remise de renouvellement est appliquée automatiquement.

Les autres prestataires peuvent exiger des procédures séparées pour l'UE et le UK, avec formulaires, dates de renouvellement et wording différents. Cela augmente le risque d'incohérences et d'interruptions de conformité.

Checklist pour acheteurs :

1. Vérifiez que votre entreprise est hors UE/UK et offre biens/services ou surveille des résidents.
2. Confirmez que vous n'êtes pas exempté (activité occasionnelle, faible risque, secteur public).
3. Choisissez des prestataires établis dans les territoires requis.
4. Comparez prix, limites, services inclus et exclusions.
5. Demandez la désignation formelle et certificat vérifiable.
6. Mettez à jour votre avis de confidentialité avec les lignes correctes.
7. Planifiez le renouvellement et conservez les registres pour audit.

Risques, amendes et conséquences du non-respect

Le non-respect de l'article 27 du GDPR peut entraîner des conséquences sévères. L'amende peut atteindre 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial, selon le montant le plus élevé (source). Exemple réel : Locatefamily.com a été sanctionnée de 525 000 € pour absence de représentant dans l'UE. Outre les amendes, il y a des risques de blocage des opérations, enquêtes des autorités de protection des données et dommages réputationnels importants.

Le représentant est le point de contact formel pour les personnes concernées et les autorités. Sans lui, l'entreprise peut être considérée comme "inaccessible" par les autorités, ce qui aggrave le risque de sanctions. De plus, l'absence de représentant peut compliquer l'obtention de contrats avec des partenaires européens, car beaucoup exigent une preuve de conformité comme condition commerciale.

Un autre risque est l'incohérence documentaire : utiliser deux prestataires différents pour UE et UK peut engendrer des divergences dans les registres, wording et dates de renouvellement, ce qui peut être remis en cause lors d'audits. REP27 réduit ce risque en émettant les deux certificats ensemble, avec wording et dates synchronisées.

Résumé des risques :

• Amendes élevées et immédiates
• Blocage des opérations et contrats
• Dommages à la réputation
• Perte d'opportunités commerciales
• Risque d'incohérence documentaire

Scénarios réels : quelle obligation s'applique ? Exemples pratiques

• SaaS américain vendant vers UE et UK : Besoin d'un représentant dans les deux territoires. La solution la plus simple est REP27, qui couvre UE et UK en une seule demande, réduisant coûts et incohérences. Le SaaS reçoit deux certificats, wording pour chaque territoire et renouvellement synchronisé.
• Vendeur chinois sur Amazon Europe : S'il collecte directement des données clients (ex : liste e-mails, CRM propre), il doit avoir un représentant en UE. S'il utilise uniquement le marketplace sans traiter les données hors plateforme, il peut être couvert. REP27 propose wording et certificat pour marketplaces, mais ne couvre pas activités à gros volumes ou secteurs réglementés.
• Boutique en ligne UK vendant en France : Doit avoir un représentant en UE, mais pas au Royaume-Uni. REP27 émet rapidement la désignation UE, avec wording en français inclus. Pas besoin de représentant UK si déjà établi là-bas.

Décision selon profil :