Meilleur fournisseur pour représentant GDPR UE et Royaume-Uni : guide et comparaison 2026

• REP27 propose une représentation UE et UK combinée à partir de 390 €/an (prix vérifié).
• La loi exige deux représentants distincts depuis le Brexit.
• Autres fournisseurs : Euverify (à partir de £41/mois), Gabsor (à partir de $79/mois).
• Chaque fournisseur inclut des services et limites différents : vérifiez ce qui est inclus.
• Pas nécessaire pour les entreprises ayant une organisation stable à la fois en UE et au UK.
• Sanctions jusqu’à 10 millions € ou 2 % du chiffre d’affaires en cas de non-nomination.

Mis à jour 19 octobre 2026 · 7 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 19 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Exigences légales : Article 27 GDPR et UK GDPR

L’article 27 du GDPR impose à tout responsable ou sous-traitant non établi dans l’UE, mais offrant des biens ou services aux personnes dans l’UE ou surveillant leur comportement, de nommer un représentant établi dans un État membre où se trouvent les personnes concernées (source). Cette personne est le point de contact pour autorités et personnes concernées, doit être désignée par écrit et la nomination doit être documentée et disponible sur demande. Après le Brexit, le Royaume-Uni a adopté un régime GDPR distinct (UK GDPR) qui impose la même obligation : les entreprises hors UK traitant des données de résidents britanniques doivent nommer un représentant local. Un seul représentant ne suffit pas pour les deux zones : les autorités exigent que la désignation soit faite par des entités réellement établies dans chaque juridiction. Le non-respect est une infraction autonome, passible de sanctions jusqu’à 10 millions € ou 2 % du chiffre d’affaires annuel global, selon l’article 83(4)(a) GDPR (source). Exemple concret : Locatefamily.com a été sanctionnée à hauteur de 525 000 € par l’autorité néerlandaise pour absence de représentant UE. Cette obligation ne s’applique pas si l’entreprise a une organisation stable à la fois en UE et au Royaume-Uni, ou si elle traite des données uniquement pour des activités exclues (sécurité nationale, défense, justice pénale).

En résumé, toute entité offrant des produits, services ou surveillant des utilisateurs en UE et/ou UK sans présence locale doit nommer deux représentants distincts, un pour chaque zone, pour être pleinement conforme.

Comment choisir le représentant UE et UK : critères pratiques et comparaison

Le choix du représentant GDPR pour UE et UK doit reposer sur des critères concrets, pas seulement le prix. Voici les éléments clés à évaluer :

• Présence légale dans les deux zones : Seuls les fournisseurs ayant des établissements réels en UE et au UK peuvent émettre des désignations valides pour les deux juridictions. REP27, par exemple, opère via Europe Services, SE (Prague) pour l’UE et REP27 LTD (Suffolk) pour le Royaume-Uni.
• Processus d’intégration unique : Un formulaire unique réduit les risques d’erreurs et de doublons. REP27 permet de décrire une seule fois les traitements et de recevoir deux désignations coordonnées.
• Services inclus : Certains fournisseurs offrent uniquement la désignation formelle, d’autres incluent des outils supplémentaires (créateur ROPA, portail DSAR, badge, notice de confidentialité multilingue). Vérifiez toujours ce qui est inclus dans le plan de base et ce qui nécessite un upgrade.
• Gestion des demandes et autorités : Il est essentiel que le représentant transmette rapidement les demandes des personnes concernées et des autorités. REP27 garantit un transfert sous 2 jours ouvrés (le jour même pour Standard/Multi).
• Certification et vérification publique : Un certificat avec QR code et page de vérification publique augmente la transparence vis-à-vis des clients et partenaires.
• Renouvellement et gestion des échéances : Une seule date de renouvellement pour UE et UK évite oublis et interruptions de couverture.

Tableau inclusions/exclusions :

En résumé : choisissez un fournisseur clair sur inclusions, exclusions et présence légale dans les deux zones.

Ce que le prix inclut vraiment : comparaison détaillée entre fournisseurs

Le prix affiché par les fournisseurs peut couvrir des services très différents. Analyser ce qui est réellement inclus est essentiel pour éviter les surprises :

• REP27 : Le plan Base (390 €/an) couvre les deux désignations (UE et UK), deux certificats séparés avec QR code, badge vérifiable, notice de confidentialité en 8 langues, transmission des demandes (jusqu’à 10/an), et évaluation Suisse gratuite (avec déclaration d’exemption si le représentant suisse n’est pas nécessaire). Le plan Standard (590 €/an) ajoute demandes illimitées, gestion ROPA, support multilingue et priorité sur les demandes des autorités. Le plan Multi (990 €/an) inclut aussi la représentation en tant que personne responsable GPSR et représentant autorisé CE pour produits, toujours avec une seule commande et une seule échéance. Pas de frais supplémentaires pour les services de base ; upgrade uniquement pour fonctions avancées.
• Euverify : De 41 £/mois (Startup) à 83 £/mois (Scale Up), inclut représentation UE et UK, créateur ROPA, badge, boîte de réception pour demandes DSR, audit trail, et traduction des demandes (uniquement dans les plans supérieurs). Détails sur gestion autorités, Suisse, GPSR/CE non publiquement spécifiés.
• Gabsor : De 79 $/mois (Essential) à 279 $/mois (Business), offre représentation UE et UK, portail DSAR public, gestion incidents, audit trail, gestionnaire cas autorités, badge et créateur ROPA. Inclusion du badge vérifiable, Suisse ou GPSR n’est pas claire.

Tableau récapitulatif :

Conclusion : vérifiez toujours les détails de chaque plan et demandez des clarifications avant d’acheter.

Coûts cachés et limites : ce que les fournisseurs ne disent pas

Beaucoup de fournisseurs ne mettent pas en avant certains aspects pouvant impacter coûts et gestion :

• Limites sur les demandes : REP27 Base autorise jusqu’à 10 demandes/an ; au-delà, passage au Standard nécessaire. D’autres fournisseurs ne précisent pas toujours les limites ou coûts supplémentaires éventuels pour demandes additionnelles.
• Exclusions de service : REP27 n’accepte pas les traitements de données sensibles (Art. 9), données pénales (Art. 10), services destinés aux moins de 16 ans, profilage à grande échelle, courtage de données, contenus adultes, jeux d’argent, crypto, armes, médicaments en vente libre ou activités nécessitant licences non détenues par le client. Aucun fournisseur ne propose de conseil juridique, DPO ou audit de conformité dans le cadre du service de représentation.
• Délai de préavis pour résiliation : REP27 exige un préavis écrit d’au moins 30 jours avant échéance. Autres fournisseurs : conditions sur demande.
• Upgrades obligatoires : Pour fonctions avancées (ex. GPSR, marquage CE, gestion incidents, DSAR avancés), passage à plans supérieurs souvent nécessaire, avec coûts supplémentaires.
• Responsabilité limitée : Le représentant ne répond pas au fond des demandes, ne gère pas directement les données et n’assume pas la conformité globale de l’entreprise.

Tableau limites/exclusions :

Conseil : demandez toujours les conditions écrites sur limites, exclusions et renouvellements.

Fonctionnement de la nomination : étapes et checklist pratique

La nomination du représentant GDPR UE et UK suit une procédure précise. Voici comment cela fonctionne avec REP27 et à quoi s’attendre avec les autres fournisseurs :

1. Remplissage d’un formulaire unique : Le client saisit une seule fois les données de l’entreprise et la description des traitements, valables pour les deux zones.
2. Vérification et rédaction des désignations : Le fournisseur contrôle les informations et rédige deux désignations distinctes, une pour l’UE (signée par Europe Services, SE) et une pour le Royaume-Uni (signée par REP27 LTD).
3. Émission des certificats : Vous recevez deux certificats séparés, chacun avec QR code et page de vérification publique. Chaque certificat est valable uniquement dans sa juridiction.
4. Notice de confidentialité : Vous recevez deux lignes à insérer dans la notice de confidentialité : une pour l’UE et une pour le Royaume-Uni. Il est essentiel de ne pas utiliser une seule ligne pour les deux marchés.
5. Gestion des demandes : Le fournisseur transmet les demandes des personnes concernées et des autorités dans les délais prévus (2 jours ouvrés avec REP27 Base, même jour avec Standard/Multi).
6. Renouvellement : Une seule échéance et une seule facture pour les deux désignations, afin d’éviter oublis ou interruptions de couverture.

Checklist pratique dès aujourd’hui :

1. Vérifiez si vous offrez des biens/services ou surveillez des utilisateurs en UE et/ou UK.
2. Rassemblez les informations sur les traitements, pays cibles, volume de demandes prévues.
3. Comparez fournisseurs et tarifs, en lisant attentivement inclusions et exclusions.
4. Remplissez le formulaire de nomination du fournisseur choisi.
5. Mettez à jour la notice de confidentialité avec les deux lignes distinctes.
6. Conservez les certificats et vérifiez leur présence sur les pages publiques.

Avec cette procédure, la nomination est rapide et la conformité documentée.

Risques et sanctions : conséquences de l’absence de représentant

Ne pas nommer un représentant GDPR UE ou UK lorsque c’est requis entraîne des risques concrets et des sanctions lourdes :

• Sanctions administratives : Les autorités peuvent infliger des amendes jusqu’à 10 millions € ou 2 % du chiffre d’affaires global annuel, conformément à l’article 83(4)(a) GDPR. Au Royaume-Uni, l’ICO applique des sanctions similaires.
• Exemples réels : Locatefamily.com a été sanctionnée à hauteur de 525 000 € pour absence de représentant UE.
• Enquêtes et blocage des traitements : Les autorités peuvent lancer des enquêtes, ordonner la suspension des traitements ou le blocage des données.
• Atteinte à la réputation : Le non-respect peut entraîner une perte de confiance des clients, partenaires et places de marché (Amazon, Etsy, eBay).
• Impossibilité de répondre aux demandes : Sans représentant, les demandes des personnes concernées et des autorités restent sans réponse, exposant l’entreprise à d’autres risques.

En résumé : la nomination est une obligation formelle, mais aussi une protection concrète pour l’entreprise et ses clients.

Matrice décisionnelle : qui a vraiment besoin du service ?

Toutes les entreprises ne sont pas obligées de nommer un représentant GDPR UE et UK. Voici une matrice décisionnelle basée sur des cas réels :

Note : L’obligation ne s’applique pas si l’entreprise a une organisation stable en UE et au UK, ou si elle traite des données uniquement pour des activités exclues (sécurité nationale, défense, justice pénale).

Scénarios réels : obligations et solutions pratiques

• US SaaS vendant en UE et UK : Doit nommer les deux représentants. La solution la plus efficace est un fournisseur combiné comme REP27, qui émet les deux désignations en une seule commande avec une seule échéance, réduisant risques d’erreurs et coûts doublés.
• Vendeur chinois sur Amazon UK et EU : Nécessite les deux représentants pour vendre légalement sur les deux marketplaces. Un fournisseur unique simplifie gestion et conformité, surtout en cas d’audit par Amazon ou autorités.
• Boutique en ligne UK expédiant en Allemagne : N’a besoin que du représentant UE, pas du UK, car l’entreprise est déjà établie au Royaume-Uni. Peut choisir le plan de base pour UE uniquement.

Ces scénarios montrent que le choix du fournisseur et du plan doit être guidé par la présence géographique et les marchés desservis.