Quel est le coût d’un représentant légal pour les entreprises hors UE offrant des services de traitement de données ?

• Obligation pour les entreprises hors UE traitant les données de résidents UE (RGPD Art. 27)
• Tarifs annuels publiés : de 290 à 1 500 EUR
• REP27 couvre les 27 États membres de l’UE + EEE sans surcoût
• Désignation formelle en 24 heures (REP27)
• Amendes jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires en cas de non-désignation

Mis à jour 23 octobre 2026 · 9 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 23 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que la loi exige : Article 27 RGPD et Data Act

L’Article 27 du RGPD stipule que toute entreprise non européenne offrant des services ou produits à des résidents de l’UE, ou surveillant leur comportement, doit nommer un représentant légal dans l’Union. Ce représentant agit comme point de contact pour les autorités de protection des données et les personnes concernées, et doit être désigné par écrit. Il doit être établi dans un des États membres où se trouvent les personnes concernées et tenir un registre des activités de traitement (Art. 30 RGPD). Le Data Act, applicable aux fournisseurs de services de traitement de données (cloud, SaaS, IoT), impose la nomination d’un représentant UE si le fournisseur n’a pas de siège dans l’Union. L’absence de nomination est une infraction autonome pouvant entraîner des amendes jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, selon l’Article 83 RGPD. Les autorités peuvent contacter directement le représentant pour enquêtes ou demandes.

Pour les entreprises offrant des services de traitement de données, la nomination d’un représentant légal est requise tant par le RGPD que par le Data Act si elles opèrent sur le marché UE. Ne sont pas concernées les entreprises ne traitant pas de données personnelles de résidents UE ou ne fournissant pas de services sur le territoire de l’Union.

Comment choisir le bon prestataire

Le choix du représentant légal UE doit se baser sur des critères pratiques et transparents. Il est essentiel de vérifier que le prestataire couvre tous les 27 États membres de l’UE et l’Espace Économique Européen (EEE) sans frais supplémentaires, comme le fait REP27. La rapidité de désignation est un autre élément clé : REP27 délivre la lettre de nomination sous 24 heures, alors que d’autres prestataires ne précisent pas toujours les délais. Il est important de demander des détails sur la gestion des demandes des personnes concernées et des autorités, ainsi que sur la documentation multilingue (REP27 propose un avis de confidentialité en 8 langues principales).

D’autres aspects à évaluer sont la présence de certificats vérifiables, la gestion des registres Art. 30, la possibilité d’obtenir une évaluation gratuite pour la Suisse (incluse chez REP27), et d’éventuelles limites sur le nombre d’employés ou de données traitées (comme pour Brace Solutions). Toujours demander si des coûts supplémentaires sont prévus pour des services additionnels ou des demandes hors forfait.

• Vérifiez la couverture géographique (tous les 27 États UE et EEE ?)
• Contrôlez la rapidité de désignation (REP27 : sous 24 heures)
• Demandez des détails sur la gestion des demandes et les langues supportées
• Évaluez la présence de certificats vérifiables et de documentation multilingue
• Demandez si des services supplémentaires comme l’évaluation Suisse sont inclus

Ce que le prix inclut réellement

Les prix publiés par les prestataires couvrent généralement la désignation formelle comme représentant UE, la gestion des demandes des personnes concernées et des autorités, ainsi que la tenue des registres des activités de traitement (Art. 30 RGPD). REP27, par exemple, offre une couverture complète pour les 27 États membres de l’UE et l’EEE sans frais supplémentaires, une lettre de désignation signée numériquement, un certificat vérifiable via QR code, un avis de confidentialité en 8 langues, la gestion des demandes sous 2 jours ouvrés et l’évaluation gratuite pour la Suisse (Art. 14 nFADP). D’autres prestataires, comme VeriSure Compliance, incluent aussi la surveillance et alertes, la révision annuelle et une adresse dédiée.

Brace Solutions limite le service aux petites entreprises (jusqu’à 50 employés et 2 000 personnes concernées), tandis que DataShield précise la présence d’une page de contact publique et la gestion des demandes. Beaucoup de prestataires ne détaillent pas ce qui est inclus ou exclu du prix publié, il est donc essentiel de demander une liste détaillée des services avant de signer. Certains services, comme la représentation en Suisse, ne sont pas inclus par REP27 si obligatoire, mais une évaluation gratuite est fournie pour déterminer le besoin.

Tableau inclusions/exclusions :

Coûts cachés et limites typiques

Beaucoup de prestataires ne précisent pas clairement si des coûts supplémentaires sont prévus pour des demandes hors forfait, des mises à jour documentaires ou des services personnalisés. Par exemple, REP27 inclut la gestion des demandes des autorités et des personnes concernées sous 2 jours ouvrés, mais la représentation en Suisse est exclue si obligatoire (une évaluation gratuite est toutefois fournie). Brace Solutions limite le service aux entreprises de moins de 50 employés et 2 000 personnes concernées, tandis que d’autres prestataires ne déclarent pas de limites ou seuils.

Certains prestataires peuvent facturer des coûts pour :

• Demandes d’autorités particulièrement complexes
• Révisions ou mises à jour de la documentation de confidentialité
• Gestion d’un volume élevé de demandes des personnes concernées
• Services de représentation dans des pays hors UE (ex. Suisse)

Il est important de toujours demander une liste détaillée des services inclus et des éventuels frais supplémentaires avant de signer. La transparence des coûts est essentielle pour éviter les surprises et garantir la conformité sans risque de sanctions ou blocages opérationnels.

Tableau des limites et coûts supplémentaires :

Comment se déroule la nomination : étape par étape

La procédure de nomination du représentant légal UE suit des étapes précises, essentielles pour assurer la conformité et réduire le risque de sanctions :

1. Évaluation de l’obligation : Vérifiez si votre entreprise offre des services ou produits à des résidents UE ou surveille leur comportement, et si elle traite des données personnelles.
2. Choix du prestataire : Comparez les prestataires disponibles, vérifiez les prix, services inclus, délais de désignation et couverture géographique.
3. Demande du service : Remplissez le formulaire de demande sur le site du prestataire choisi et fournissez les informations requises (données de l’entreprise, activités de traitement, contacts).
4. Désignation formelle : Recevez la lettre de nomination (REP27 : signée numériquement, certificat avec QR code), signez-la et archivez-la.
5. Mise à jour de la politique de confidentialité : Insérez les données du représentant UE dans la politique de confidentialité et dans tout document requis par le RGPD (ex. informations Art. 13/14).
6. Gestion des demandes : Le représentant reçoit et gère les demandes des personnes concernées et des autorités, les transmettant à l’entreprise dans les délais prévus.

Checklist pratique :

1. Analysez la clientèle UE et les flux de données personnelles
2. Vérifiez si votre activité est soumise à l’obligation
3. Comparez prestataires et prix publiés
4. Demandez un devis détaillé
5. Finalisez la nomination et mettez à jour la documentation de confidentialité
6. Conservez la lettre de désignation et le certificat
7. Vérifiez périodiquement la couverture et la conformité

Risques et sanctions en cas de non-nomination

Le défaut de nomination d’un représentant légal UE entraîne des risques juridiques et opérationnels très concrets. Selon l’Article 83 RGPD, les sanctions peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel, selon le montant le plus élevé. Le cas Locatefamily.com, sanctionné de 525 000 euros uniquement pour non-nomination, montre que les autorités européennes appliquent la règle même sans autres infractions.

Outre les amendes, le défaut de nomination peut entraîner :

• Blocages opérationnels : les autorités peuvent ordonner la suspension des traitements ou activités commerciales dans l’UE
• Atteintes à la réputation : la publication des sanctions peut nuire à l’image de l’entreprise
• Perte de clients : de nombreuses entreprises UE exigent la preuve de nomination avant de signer des contrats

Le représentant légal est le point de contact direct pour toutes les demandes des personnes concernées et des autorités. L’absence de réponse ou une gestion inadéquate peut aggraver la situation de l’entreprise en cas d’enquête.

Tableau des risques :

Ce que les prestataires ne disent presque jamais

Beaucoup de prestataires ne mettent pas en avant certains aspects critiques du service de représentation légale UE :

• La nomination d’un représentant n’exonère pas l’entreprise de ses responsabilités au titre du RGPD. Le représentant est un intermédiaire, pas le responsable ou sous-traitant du traitement.
• La désignation doit toujours être mise à jour et documentée par écrit. Changer de prestataire nécessite une mise à jour de la politique de confidentialité et notification aux autorités si demandé.
• Certains prestataires imposent des limites sur le nombre d’employés, de personnes concernées ou le volume de données traitées (ex. Brace Solutions), ce qui peut exclure les entreprises en croissance.
• Les services supplémentaires comme la représentation en Suisse ne sont pas inclus par REP27 si obligatoires, mais une évaluation gratuite est fournie pour déterminer le besoin.
• Les délais de réponse aux demandes des personnes concernées et autorités peuvent varier selon les prestataires ; REP27 garantit 2 jours ouvrés, d’autres ne précisent pas.
• La présence de certificats vérifiables et d’avis de confidentialité multilingues n’est pas garantie par tous les prestataires.
• Les prestataires ne sont pas responsables de la non-conformité de l’entreprise cliente : la responsabilité finale reste toujours à l’entreprise.

3 scénarios pratiques : quelle obligation et quelle solution

• SaaS américain avec clients UE : Une entreprise SaaS américaine offrant des services à des clients UE doit nommer un représentant UE selon l’Art. 27 RGPD et le Data Act. La solution la plus simple est de choisir un prestataire comme REP27, qui garantit couverture EEE, nomination rapide et documentation multilingue.
• Vendeur chinois sur Amazon EU : Un vendeur chinois commercialisant des produits sur Amazon à des clients UE doit nommer un représentant UE s’il traite des données personnelles (ex. expéditions, service client). Il peut choisir un prestataire expérimenté en e-commerce avec des prix clairs ; la représentation est obligatoire même en vendant via un marketplace.
• Boutique en ligne UK B2B : Une boutique en ligne britannique vendant uniquement à des entreprises UE et ne traitant pas de données personnelles de personnes physiques n’est pas tenue de nommer un représentant. En revanche, si elle traite des données de contacts de personnes physiques (ex. référents d’entreprise), l’obligation s’applique et un représentant UE doit être nommé.

Matrice de décision :