Come confrontare i prezzi dei rappresentanti GDPR per UE e UK

• Articolo 27 GDPR e UK GDPR richiedono rappresentanti distinti per UE e UK
• Prezzi e servizi variano: verifica sempre cosa è incluso e i costi nascosti
• Alcuni provider offrono entrambi i mandati in un unico ordine
• Attenzione a costi di setup, limiti sulle richieste, rinnovi e servizi esclusi
• Non tutte le aziende hanno bisogno del servizio: verifica la tua situazione

Aggiornato 19 ottobre 2026 · 9 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 19 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede la legge: Articolo 27 GDPR e UK GDPR

L’Articolo 27 GDPR stabilisce che ogni titolare o responsabile del trattamento non stabilito nell’UE, ma che offre beni o servizi a persone nell’UE o ne monitora il comportamento, deve nominare per iscritto un rappresentante nell’Unione. Questa regola si applica anche al Regno Unito tramite l’Articolo 27 UK GDPR. Il rappresentante deve essere una persona fisica o giuridica realmente stabilita nel territorio e accettare formalmente il mandato. La designazione va indicata nell’informativa privacy, con identità e contatti del rappresentante. L’assenza di nomina è una violazione autonoma, sanzionabile fino a €10 milioni o il 2% del fatturato globale, come previsto dall’Articolo 83 GDPR. Un esempio concreto: Locatefamily.com è stata multata di €525.000 dall’autorità olandese per non aver nominato il rappresentante.

Dal 2021, dopo la Brexit, le aziende che trattano dati sia di cittadini UE che UK devono nominare due rappresentanti distinti, uno per ciascun territorio, poiché le normative sono ora separate. L’esistenza di una decisione di adeguatezza (come tra UE e UK) non elimina questa obbligazione: l’adeguatezza riguarda i trasferimenti di dati, non la rappresentanza legale per i diritti dei soggetti interessati o le richieste delle autorità.

Come scegliere il rappresentante GDPR giusto

La scelta del rappresentante GDPR più adatto dipende da diversi fattori pratici e strategici. Innanzitutto, verifica se la tua azienda ha bisogno della rappresentanza sia in UE che in UK: molte aziende extra-UE/UK che vendono o monitorano utenti in entrambe le aree devono nominare due rappresentanti separati. Alcuni provider, come REP27, offrono entrambi i mandati in un unico ordine, semplificando la gestione e riducendo i costi rispetto all’acquisto separato.

Valuta attentamente:

• Copertura territoriale: il provider è realmente stabilito in UE e/o UK?
• Prezzo pubblicato: considera sia il costo annuale sia eventuali costi di setup, rinnovo o per richieste extra.
• Servizi inclusi: verifica se sono compresi la gestione delle richieste, la redazione multilingue delle informative privacy, la detenzione dei registri Art. 30 e la fornitura di certificati verificabili.
• Facilità di onboarding e rinnovo: un processo unico per entrambi i territori riduce errori e rischi di scadenze mancate.
• Supporto linguistico e desk richieste: fondamentale per aziende che operano in più paesi europei.

La scelta migliore dipende quindi dal tuo modello di business, dalla presenza in più mercati e dalla necessità di semplificare la compliance su più giurisdizioni.

Cosa include davvero il prezzo: attenzione ai dettagli

I prezzi pubblicati dai provider possono variare notevolmente non solo per l’importo, ma soprattutto per ciò che realmente includono. Alcuni provider applicano costi di setup elevati (fino a €2.000), altri limitano il numero di richieste inoltrabili senza costi extra (Janus Compliance: 50/anno, poi £8 ciascuna). REP27 offre, con ogni piano pagato, anche una valutazione gratuita per la Svizzera secondo la nuova legge federale (nFADP), con dichiarazione di esenzione firmata se non serve un rappresentante elvetico.

È fondamentale verificare:

• Numero di richieste incluse nel piano
• Supporto multilingue reale (es. wording privacy in 8 lingue con REP27)
• Gestione dei registri Art. 30: alcuni provider li detengono solo nei piani avanzati
• Certificati e badge verificabili pubblicamente
• Costi di rinnovo inferiori o superiori al primo anno

Un esempio pratico: acquistando separatamente un rappresentante UE e uno UK, il costo può raddoppiare (es. REP27: €290 + €290 = €580), mentre il piano combinato parte da €390. GDPR Gateway applica un setup fee fino a €2.000, che va considerato nel calcolo del primo anno.

Tabella riassuntiva:

Costi nascosti e condizioni: cosa i provider spesso non dicono

Molti provider non mettono in evidenza alcuni costi e condizioni che possono incidere notevolmente sulla spesa e sulla gestione della compliance. Ad esempio, GDPR Gateway applica un costo di setup fino a €2.000, che si aggiunge al canone annuale. Janus Compliance limita a 50 le richieste/anno, con un extra di £8 per ogni richiesta aggiuntiva. REP27 specifica chiaramente che alcune attività non sono accettate (dati sensibili, minori, attività ad alto rischio, data brokerage, gambling, crypto, armi, farmaci consumer, attività che richiedono licenze non possedute dal cliente).

Altri aspetti da considerare:

• Rinnovi automatici: la maggior parte dei provider rinnova automaticamente il servizio, spesso con notice period di 30 giorni (REP27) o non specificato.
• Responsabilità limitata: il rappresentante non sostituisce il DPO, non risponde nel merito alle richieste, ma le inoltra al cliente.
• Gestione dei registri: non tutti i provider detengono il registro Art. 30, oppure lo fanno solo nei piani avanzati.
• Servizi esclusi: consulenza legale, audit, gestione di richieste complesse o di categorie particolari di dati sono spesso esclusi.

Prima di scegliere, chiedi sempre un elenco scritto di ciò che è incluso, dei limiti e delle esclusioni, e verifica le policy di rinnovo e di recesso.

Come funziona la nomina: step by step

1. Verifica la tua situazione: Sei stabilito fuori da UE/UK e offri beni/servizi o monitori utenti in questi territori? Se sì, la nomina è obbligatoria.
2. Scegli il provider: Consulta la tabella prezzi e servizi. Se ti servono entrambi i mandati, verifica che il provider li offra insieme.
3. Compila il modulo di onboarding: Alcuni provider (es. REP27) offrono un unico modulo per entrambi i territori, riducendo errori e tempi.
4. Revisione e firma: Il provider verifica i dati, redige i mandati e li firma digitalmente (REP27 usa firma elettronica eIDAS).
5. Ricevi i certificati: Ricevi due certificati distinti, con QR code e pagina di verifica pubblica.
6. Aggiorna la privacy notice: Inserisci le due linee di testo fornite dal provider, una per UE e una per UK, nelle lingue richieste.
7. Gestione richieste: Il provider inoltra le richieste di autorità e interessati entro i tempi stabiliti (es. REP27: entro 2 giorni lavorativi, priorità in Standard/Multi).
8. Rinnovo: Un’unica data di scadenza e un’unica fattura semplificano la gestione. Attenzione al notice period per disdire.

Checklist pratica:

1. Identifica i paesi target e verifica la necessità di rappresentanza
2. Confronta prezzi e servizi tramite tabella
3. Verifica limiti, costi nascosti e servizi esclusi
4. Prepara i documenti aziendali richiesti dal provider
5. Compila il modulo di nomina
6. Ricevi e archivia i certificati
7. Aggiorna la privacy notice
8. Monitora le richieste inoltrate dal rappresentante

Rischi e sanzioni: cosa succede se non nomini il rappresentante

Non nominare un rappresentante quando richiesto espone l’azienda a rischi concreti e sanzioni elevate. L’Articolo 83 GDPR prevede multe fino a €10 milioni o il 2% del fatturato globale, a seconda di quale sia maggiore. La mancata nomina è una violazione autonoma: non è necessario che si verifichi una violazione dei dati per essere sanzionati. Un caso reale: Locatefamily.com è stata multata di €525.000 dall’autorità olandese solo per non aver nominato il rappresentante.

Oltre alle multe, possono esserci:

• Ordini di sospensione del trattamento dei dati
• Obbligo di nomina immediata con tempi stretti
• Danni reputazionali: la pubblicazione della sanzione è frequente
• Perdita di clienti e partner commerciali che richiedono la compliance

Le autorità possono agire anche su segnalazione di utenti o concorrenti. La compliance formale è quindi essenziale non solo per evitare sanzioni, ma anche per mantenere la fiducia del mercato.

Scenari pratici: quale obbligo e soluzione scegliere

• SaaS USA con clienti in UE e UK: Deve nominare due rappresentanti distinti, uno per UE e uno per UK. La soluzione più efficiente è scegliere un provider che offra entrambi i mandati in un unico ordine (es. REP27, GDPR Gateway, Prighter). Questo riduce costi, tempi e rischi di scadenze diverse.
• Venditore cinese su Amazon EU: Se vende a consumatori UE, è obbligato a nominare un rappresentante UE. Se vende anche in UK, serve anche il rappresentante UK. Può risparmiare scegliendo un piano combinato piuttosto che due contratti separati.
• Shop online UK che vende in Francia: Deve nominare solo il rappresentante UE, poiché la sede è già nel Regno Unito. Non serve il rappresentante UK se non si offrono beni/servizi o monitoraggio verso utenti UK.

Decision matrix:

Questi scenari aiutano a individuare rapidamente l’obbligo e la soluzione più efficiente.

Cosa i provider di solito non dicono: esclusioni, limiti e responsabilità

Molti provider non evidenziano alcune condizioni importanti:

• Esclusioni di attività: REP27 non accetta clienti che trattano dati sensibili (art. 9), dati penali (art. 10), servizi rivolti a minori di 16 anni, attività di monitoraggio o profilazione su larga scala, brokeraggio dati, gambling, crypto, armi, farmaci consumer, o attività che richiedono licenze non possedute dal cliente.
• Limiti di responsabilità: Il rappresentante non offre consulenza legale, non è DPO, non risponde nel merito alle richieste, ma le inoltra al cliente. La compliance sostanziale resta responsabilità dell’azienda.
• Notice period per recesso: REP27 richiede disdetta scritta almeno 30 giorni prima della scadenza. Altri provider non sempre specificano termini chiari.
• Costi per richieste extra: Janus Compliance applica £8 per ogni richiesta oltre le 50 incluse. Altri provider non dichiarano limiti o costi aggiuntivi.
• Gestione Art. 30: Non tutti i provider detengono i registri; alcuni lo fanno solo nei piani avanzati.

Prima di firmare, chiedi sempre la lista completa di esclusioni, limiti e condizioni di rinnovo/recesso.