Comment comparer les prix des représentants GDPR pour l’UE et le Royaume-Uni

• L’article 27 GDPR et le UK GDPR exigent des représentants distincts pour l’UE et le Royaume-Uni
• Les prix et services varient : vérifiez toujours ce qui est inclus et les coûts cachés
• Certains fournisseurs proposent les deux mandats dans une seule commande
• Attention aux frais d’installation, limites sur les demandes, renouvellements et services exclus
• Toutes les entreprises n’ont pas besoin du service : vérifiez votre situation

Mis à jour 21 octobre 2026 · 9 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 21 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que la loi exige : Article 27 GDPR et UK GDPR

L’article 27 GDPR stipule que tout responsable ou sous-traitant non établi dans l’UE, mais offrant des biens ou services à des personnes dans l’UE ou surveillant leur comportement, doit désigner par écrit un représentant dans l’Union. Cette règle s’applique aussi au Royaume-Uni via l’article 27 UK GDPR. Le représentant doit être une personne physique ou morale réellement établie sur le territoire et accepter formellement le mandat. La désignation doit être indiquée dans la notice de confidentialité, avec identité et contacts du représentant. L’absence de nomination est une infraction autonome, sanctionnable jusqu’à 10 millions d’euros ou 2% du chiffre d’affaires mondial, selon l’article 83 GDPR. Exemple concret : Locatefamily.com a été sanctionnée de 525 000 € par l’autorité néerlandaise pour ne pas avoir nommé de représentant.

Depuis 2021, après le Brexit, les entreprises traitant des données de citoyens UE et UK doivent nommer deux représentants distincts, un pour chaque territoire, car les réglementations sont désormais séparées. L’existence d’une décision d’adéquation (comme entre UE et UK) n’élimine pas cette obligation : l’adéquation concerne les transferts de données, pas la représentation légale pour les droits des personnes concernées ou les demandes des autorités.

Comment choisir le bon représentant GDPR

Le choix du représentant GDPR le plus adapté dépend de plusieurs facteurs pratiques et stratégiques. D’abord, vérifiez si votre entreprise a besoin de représentation à la fois en UE et au Royaume-Uni : beaucoup d’entreprises hors UE/UK vendant ou surveillant des utilisateurs dans les deux zones doivent nommer deux représentants distincts. Certains fournisseurs, comme REP27, proposent les deux mandats dans une seule commande, simplifiant la gestion et réduisant les coûts par rapport à un achat séparé.

Évaluez attentivement :

• Couverture territoriale : le fournisseur est-il réellement établi en UE et/ou UK ?
• Prix publié : considérez le coût annuel ainsi que les frais d’installation, de renouvellement ou pour demandes supplémentaires.
• Services inclus : vérifiez si la gestion des demandes, la rédaction multilingue des notices de confidentialité, la tenue des registres Art. 30 et la fourniture de certificats vérifiables sont compris.
• Facilité d’intégration et de renouvellement : un processus unique pour les deux territoires réduit erreurs et risques d’échéances manquées.
• Support linguistique et bureau demandes : essentiel pour les entreprises opérant dans plusieurs pays européens.

Le meilleur choix dépend donc de votre modèle d’affaires, de votre présence sur plusieurs marchés et de la nécessité de simplifier la conformité sur plusieurs juridictions.

Ce que le prix inclut vraiment : attention aux détails

Les prix publiés par les fournisseurs peuvent varier considérablement non seulement en montant, mais surtout en ce qu’ils incluent réellement. Certains fournisseurs appliquent des frais d’installation élevés (jusqu’à 2 000 €), d’autres limitent le nombre de demandes transférables sans frais supplémentaires (Janus Compliance : 50/an, puis £8 chacune). REP27 offre, avec chaque plan payé, une évaluation gratuite pour la Suisse selon la nouvelle loi fédérale (nFADP), avec déclaration d’exemption signée si un représentant suisse n’est pas nécessaire.

Il est essentiel de vérifier :

• Nombre de demandes incluses dans le plan
• Support multilingue réel (ex. formulation vie privée en 8 langues avec REP27)
• Gestion des registres Art. 30 : certains fournisseurs ne les détiennent que dans les plans avancés
• Certificats et badges vérifiables publiquement
• Coûts de renouvellement inférieurs ou supérieurs à la première année

Exemple pratique : en achetant séparément un représentant UE et un UK, le coût peut doubler (ex. REP27 : 290 € + 290 € = 580 €), alors que le plan combiné commence à 390 €. GDPR Gateway applique un frais d’installation jusqu’à 2 000 €, à prendre en compte dans le calcul de la première année.

Tableau récapitulatif :

Coûts cachés et conditions : ce que les fournisseurs ne disent pas souvent

Beaucoup de fournisseurs ne mettent pas en avant certains coûts et conditions qui peuvent impacter fortement la dépense et la gestion de la conformité. Par exemple, GDPR Gateway applique un coût d’installation jusqu’à 2 000 €, en plus de l’abonnement annuel. Janus Compliance limite à 50 demandes/an, avec un supplément de £8 par demande additionnelle. REP27 précise clairement que certaines activités ne sont pas acceptées (données sensibles, mineurs, activités à haut risque, courtage de données, jeux d’argent, crypto, armes, médicaments grand public, activités nécessitant des licences non détenues par le client).

Autres aspects à considérer :

• Renouvellements automatiques : la plupart des fournisseurs renouvellent automatiquement le service, souvent avec un délai de préavis de 30 jours (REP27) ou non spécifié.
• Responsabilité limitée : le représentant ne remplace pas le DPO, ne répond pas au fond des demandes, mais les transmet au client.
• Gestion des registres : tous les fournisseurs ne détiennent pas le registre Art. 30, ou seulement dans les plans avancés.
• Services exclus : conseil juridique, audit, gestion de demandes complexes ou de catégories particulières de données sont souvent exclus.

Avant de choisir, demandez toujours une liste écrite de ce qui est inclus, des limites et exclusions, et vérifiez les politiques de renouvellement et de résiliation.

Comment fonctionne la nomination : étape par étape

1. Vérifiez votre situation : Êtes-vous établi hors UE/UK et offrez-vous des biens/services ou surveillez-vous des utilisateurs dans ces territoires ? Si oui, la nomination est obligatoire.
2. Choisissez le fournisseur : Consultez le tableau des prix et services. Si vous avez besoin des deux mandats, vérifiez que le fournisseur les propose ensemble.
3. Remplissez le formulaire d’intégration : Certains fournisseurs (ex. REP27) offrent un formulaire unique pour les deux territoires, réduisant erreurs et délais.
4. Révision et signature : Le fournisseur vérifie les données, rédige les mandats et les signe électroniquement (REP27 utilise signature eIDAS).
5. Recevez les certificats : Vous recevez deux certificats distincts, avec QR code et page de vérification publique.
6. Mettez à jour la notice de confidentialité : Insérez les deux lignes de texte fournies par le fournisseur, une pour l’UE et une pour le UK, dans les langues requises.
7. Gestion des demandes : Le fournisseur transmet les demandes des autorités et des personnes concernées dans les délais impartis (ex. REP27 : sous 2 jours ouvrés, priorité en Standard/Multi).
8. Renouvellement : Une date d’échéance unique et une facture unique simplifient la gestion. Attention au délai de préavis pour résilier.

Checklist pratique :

1. Identifiez les pays cibles et vérifiez la nécessité de représentation
2. Comparez prix et services via le tableau
3. Vérifiez limites, coûts cachés et services exclus
4. Préparez les documents d’entreprise demandés par le fournisseur
5. Remplissez le formulaire de nomination
6. Recevez et archivez les certificats
7. Mettez à jour la notice de confidentialité
8. Surveillez les demandes transmises par le représentant

Risques et sanctions : que se passe-t-il si vous ne nommez pas de représentant

Ne pas nommer de représentant lorsque cela est requis expose l’entreprise à des risques concrets et à des sanctions élevées. L’article 83 GDPR prévoit des amendes pouvant atteindre 10 millions d’euros ou 2% du chiffre d’affaires mondial, selon le montant le plus élevé. L’absence de nomination est une infraction autonome : il n’est pas nécessaire qu’une violation de données survienne pour être sanctionné. Cas réel : Locatefamily.com a été sanctionnée de 525 000 € par l’autorité néerlandaise uniquement pour ne pas avoir nommé de représentant.

Outre les amendes, il peut y avoir :

• Ordres de suspension du traitement des données
• Obligation de nomination immédiate avec délais stricts
• Dommages réputationnels : la publication de la sanction est fréquente
• Perte de clients et partenaires commerciaux exigeant la conformité

Les autorités peuvent agir aussi suite à des signalements d’utilisateurs ou concurrents. La conformité formelle est donc essentielle non seulement pour éviter les sanctions, mais aussi pour maintenir la confiance du marché.

Scénarios pratiques : quelle obligation et solution choisir

• SaaS US avec clients en UE et UK : Doit nommer deux représentants distincts, un pour l’UE et un pour le UK. La solution la plus efficace est de choisir un fournisseur qui propose les deux mandats dans une seule commande (ex. REP27, GDPR Gateway, Prighter). Cela réduit coûts, délais et risques d’échéances différentes.
• Vendeur chinois sur Amazon EU : S’il vend à des consommateurs UE, il est obligé de nommer un représentant UE. S’il vend aussi au UK, il faut aussi un représentant UK. Il peut économiser en choisissant un plan combiné plutôt que deux contrats séparés.
• Magasin en ligne UK vendant en France : Doit nommer uniquement le représentant UE, car le siège est déjà au Royaume-Uni. Le représentant UK n’est pas nécessaire s’il n’offre pas de biens/services ou ne surveille pas d’utilisateurs UK.

Matrice décisionnelle :

Ces scénarios aident à identifier rapidement l’obligation et la solution la plus efficace.

Ce que les fournisseurs ne disent généralement pas : exclusions, limites et responsabilités

Beaucoup de fournisseurs ne mettent pas en avant certaines conditions importantes :

• Exclusions d’activités : REP27 n’accepte pas les clients traitant des données sensibles (art. 9), données pénales (art. 10), services destinés aux moins de 16 ans, activités de surveillance ou profilage à grande échelle, courtage de données, jeux d’argent, crypto, armes, médicaments grand public, ou activités nécessitant des licences non détenues par le client.
• Limites de responsabilité : Le représentant n’offre pas de conseil juridique, n’est pas DPO, ne répond pas au fond des demandes, mais les transmet au client. La conformité substantielle reste à la charge de l’entreprise.
• Délai de préavis pour résiliation : REP27 exige une résiliation écrite au moins 30 jours avant l’échéance. D’autres fournisseurs ne précisent pas toujours les termes clairement.
• Coûts pour demandes supplémentaires : Janus Compliance applique £8 par demande au-delà des 50 incluses. D’autres fournisseurs ne déclarent pas toujours limites ou coûts additionnels.
• Gestion Art. 30 : Tous les fournisseurs ne détiennent pas les registres ; certains ne le font que dans les plans avancés.

Avant de signer, demandez toujours la liste complète des exclusions, limites et conditions de renouvellement/résiliation.