Comment comparer les fournisseurs de représentation légale pour entreprises hors UE

• Obligation pour les entreprises hors UE traitant des données de résidents UE (Art. 27 RGPD)
• Tarifs annuels publiés : de 290 EUR à plus de 1 500 USD
• Services inclus et couverture variables selon les fournisseurs
• Désignation rapide et certificats vérifiables : pas toujours inclus
• Risques : amendes jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires

Mis à jour 26 octobre 2026 · 8 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 26 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Exigences légales : Article 27 RGPD et Data Act

L’Article 27 du RGPD impose aux responsables et sous-traitants non établis dans l’UE, mais offrant des biens ou services à des personnes dans l’UE ou surveillant le comportement de résidents UE, de désigner un représentant dans l’Union. Ce représentant agit comme point de contact pour les autorités de protection des données et les personnes concernées, facilitant la communication et la gestion des demandes.

L’absence de désignation constitue une infraction autonome, passible de sanctions administratives pouvant aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, conformément à l’Article 83(4)(a) RGPD. Un cas concret est l’amende de 525 000 euros infligée à Locatefamily.com par l’autorité néerlandaise pour absence de représentant.

• Obligation écrite : la désignation doit être formalisée par écrit (Art. 27(1) RGPD).
• Réponse rapide : le représentant doit répondre promptement aux demandes des autorités et des personnes concernées.
• Gestion des registres : obligation de tenir et de produire sur demande les registres des activités de traitement (Art. 30 RGPD).
• Data Act : pour les fournisseurs cloud hors UE vendant dans l’Union, le Data Act impose la désignation d’un représentant et des règles spécifiques sur le changement, la portabilité et la suppression des données.
• Suisse : L’Art. 14 nFADP impose la désignation d’un représentant uniquement si toutes les conditions sont remplies (offre aux résidents, traitement à grande échelle, régularité, risque élevé).

La représentation UE n’est pas requise pour les entreprises déjà établies dans l’UE, ni pour celles ne traitant pas de données de résidents UE.

Comment choisir le fournisseur : critères pratiques et comparaison des services

Le choix du fournisseur de représentation légale UE doit se baser sur des critères objectifs et vérifiables. Les principaux éléments à évaluer sont :

• Prix annuel publié : privilégiez les fournisseurs avec des tarifs transparents et vérifiés.
• Délais de désignation : certains fournisseurs, comme REP27, garantissent une désignation sous 24 heures.
• Couverture géographique : vérifiez si le service couvre uniquement l’UE ou aussi l’Espace Économique Européen (EEE) et la Suisse (évaluation, pas représentation directe).
• Certificats et lettres de nomination : la présence de certificats vérifiables (QR code, signature électronique) offre plus de sécurité et de traçabilité.
• Langues disponibles : la documentation multilingue (ex. notice de confidentialité en 8 langues avec REP27) facilite la conformité dans plusieurs pays.
• Services additionnels : certains fournisseurs incluent l’évaluation Suisse, DPO externe, formation ou tableau de bord de conformité.

Tableau inclusions/exclusions :

La transparence sur les inclusions est essentielle : demandez toujours une liste détaillée des services compris et des éventuels frais supplémentaires avant de signer.

Ce que le prix inclut vraiment : attention aux coûts cachés

Le prix publié par chaque fournisseur peut ne concerner que le service de base de représentation, tandis que d’autres services peuvent être optionnels ou soumis à des coûts additionnels. Voici ce qu’il faut considérer :

• Lettre de nomination et signature électronique : essentielle pour la preuve de conformité, mais pas toujours fournie dans un format vérifiable.
• Certificat vérifiable : REP27 propose un certificat avec QR code et vérification publique, utile pour audits et contrôles.
• Transmission des demandes : vérifiez les délais de réponse garantis (ex. REP27 : transmission sous 2 jours ouvrés).
• Notice de confidentialité multilingue : importante pour les entreprises opérant dans plusieurs pays de l’UE.
• Registres Art. 30 RGPD : la gestion des registres peut être incluse ou non ; vérifiez si le fournisseur les tient et les produit sur demande.
• Évaluation Suisse nFADP : REP27 l’inclut, d’autres fournisseurs ne la mentionnent pas.

Certains fournisseurs, comme DataShield, incluent des services additionnels (DPO externe, formation, tableau de bord), mais le prix commence à 1 500 $/an. EaseCert propose une formule unique, utile pour ceux qui cherchent une solution sans abonnement récurrent. Demandez toujours si des frais sont prévus pour mises à jour, demandes supplémentaires, onboarding ou documentation complémentaire.

Comment fonctionne la nomination : étapes et documents requis

1. Vérification de l’obligation : Assurez-vous que votre entreprise offre des biens/services ou surveille des résidents UE sans établissement dans l’Union.
2. Choix du fournisseur : Comparez les prix, services inclus, délais de réponse et couverture géographique.
3. Collecte des données : Fournissez au fournisseur les informations sur l’entreprise, les activités de traitement, la notice de confidentialité et, si demandé, les registres Art. 30 RGPD.
4. Désignation formelle : Recevez la lettre de nomination signée (électroniquement si prévu) et le certificat de représentation. REP27 garantit la délivrance sous 24 heures.
5. Publication : Mettez à jour la politique de confidentialité et les canaux officiels de l’entreprise avec les données du représentant UE.
6. Gestion continue : Maintenez à jour les registres des activités de traitement et assurez-vous que le représentant est informé de tout changement.

Checklist pratique :

1. Vérifiez si vous offrez biens/services ou surveillez des résidents UE
2. Contrôlez si vous avez déjà un établissement dans l’UE
3. Comparez les prix publiés et services inclus
4. Demandez des détails sur les délais de désignation et certification
5. Vérifiez si la notice multilingue et l’évaluation Suisse sont incluses
6. Contrôlez les éventuels frais supplémentaires pour demandes ou mises à jour
7. Procédez à la nomination écrite et mettez à jour la politique de confidentialité

La nomination est valide tant que le contrat est actif et peut être modifiée ou révoquée à tout moment, en informant les autorités et en mettant à jour la documentation publique.

Risques, amendes et conséquences en cas de non-nomination

Le défaut de nomination d’un représentant UE entraîne des risques concrets et des sanctions importantes. Selon l’Article 83(4)(a) RGPD, les amendes peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel, selon le montant le plus élevé. Les autorités peuvent également :

• Bloquer les activités de traitement des données dans l’UE
• Imposer des restrictions opérationnelles ou obligations supplémentaires
• Exiger la suppression des données collectées illégalement
• Compromettre la réputation de l’entreprise, impactant clients et partenaires

Un exemple concret est l’amende de 525 000 euros infligée à Locatefamily.com pour absence de nomination. Les retards dans les réponses aux demandes des autorités ou des personnes concernées peuvent aggraver la situation et entraîner des contrôles ou sanctions supplémentaires.

Le risque ne concerne pas seulement les grandes entreprises : les PME et vendeurs sur marketplaces sont aussi soumis à l’obligation s’ils traitent des données de résidents UE. Le non-respect peut aussi empêcher l’accès à des marchés et partenariats stratégiques en Europe.

Matrice décisionnelle : qui a vraiment besoin du service ?

La décision dépend de l’emplacement de vos clients et si vous traitez des données personnelles de résidents UE. Les vendeurs sur marketplaces comme Amazon, Etsy ou eBay sont soumis à l’obligation s’ils n’ont pas d’établissement UE et vendent à des clients européens.

Ce que les fournisseurs ne disent pas toujours : exclusions et limites

• Certains fournisseurs facturent des frais supplémentaires pour mises à jour, demandes fréquentes ou services d’onboarding : vérifiez toujours la transparence contractuelle.
• Pas tous ne délivrent des certificats vérifiables ou lettres signées numériquement : cela peut compliquer la preuve de conformité en cas d’audit.
• La couverture peut exclure Norvège, Islande, Liechtenstein ou Suisse : vérifiez si le service couvre tout l’EEE ou seulement l’UE.
• La responsabilité du fournisseur est souvent limitée contractuellement et ne couvre pas les sanctions infligées à l’entreprise cliente.
• Les délais de réponse aux demandes ne sont pas toujours garantis contractuellement : demandez explicitement les SLA et procédures d’escalade.
• Les services comme l’évaluation Suisse nFADP sont rares et souvent non inclus, sauf exceptions comme REP27.

Avant de signer, demandez toujours une liste détaillée de ce qui est inclus, exclu et des conditions de résiliation ou changement de fournisseur.

3 scénarios réalistes : quelle obligation et quel parcours choisir

• SaaS USA : Offre des services à des clients UE, sans établissement UE. Doit nommer un représentant Art. 27 RGPD. Parcours : choisir un fournisseur avec couverture EEE et recevoir lettre/certificat ; mettre à jour politique de confidentialité et documentation.
• Vendeur Amazon Chine : Vend sur marketplace UE, pas d’établissement UE. Obligation Art. 27 RGPD. Parcours : nomination du représentant, publication des données dans la politique de confidentialité, gestion des demandes des autorités et clients via le représentant.
• Boutique en ligne UK post-Brexit : Vend à des clients UE, pas d’établissement UE. Obligation représentation UE, pas UK. Parcours : nomination du représentant UE, mise à jour des documents et politique de confidentialité, vérification si un représentant UK est aussi nécessaire pour clients britanniques.

Dans tous les cas, le choix du fournisseur doit reposer sur la transparence, la rapidité de désignation et les services inclus. L’absence de nomination expose à des risques juridiques et commerciaux.