Quelle société choisir comme représentant RGPD Article 27 pour un SaaS US ?

• L’Article 27 du RGPD impose aux SaaS hors UE traitant des données UE de désigner un représentant dans l’UE.
• REP27 — Europe Services, SE : 290–890 €/an, mandat et registres inclus.
• Parmi les concurrents : Prighter (420 €/an) et rep4eu (348 €/an).
• Les tarifs et services inclus diffèrent ; attention aux frais cachés et au contenu du mandat.
• Pas besoin de représentant si le traitement est occasionnel et à faible risque (Art. 27(2)(a)).

Mis à jour 13 octobre 2026 · 9 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 13 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que prévoit l’Article 27 du RGPD

L’Article 27 du RGPD impose aux entreprises hors UE — y compris les SaaS américains — de désigner par écrit un représentant dans l’UE si elles traitent des données personnelles de personnes situées dans l’UE, que ce soit en proposant des biens/services ou en surveillant leur comportement (Art. 27(1)). Cela s’applique même sans présence physique dans l’UE. Le représentant doit être établi dans un État membre où se trouvent vos personnes concernées (Art. 27(3)), donc le prestataire doit avoir une implantation réelle et vérifiable dans l’UE. Ses missions principales : point de contact pour les autorités de protection des données et les personnes concernées (Art. 27(4)), tenue du registre des activités de traitement (Art. 27(6)), coopération avec les autorités (Art. 27(7)).

Des exemptions existent : si votre traitement est occasionnel, à faible risque et n’inclut pas de catégories particulières de données (ex : santé, biométrie), vous pouvez être exempté selon l’Art. 27(2)(a). Mais la plupart des SaaS avec des utilisateurs réguliers dans l’UE ne sont pas concernés par cette exemption. Le non-respect est une infraction autonome, passible d’amendes jusqu’à 10 millions € ou 2 % du chiffre d’affaires mondial (Art. 83(4)(a)). Exemple : l’autorité néerlandaise a infligé 525 000 € d’amende à Locatefamily.com pour absence de représentant. La loi précise que le représentant ne protège pas contre les sanctions : les autorités peuvent agir directement contre votre entreprise (Art. 27(5)).

En résumé, si votre SaaS US cible des utilisateurs UE ou surveille leur comportement, vous devez désigner un représentant UE qualifié, formaliser le mandat par écrit et publier ses coordonnées dans votre politique de confidentialité. Le rôle du représentant est administratif, pas consultatif, et c’est une obligation légale pour la conformité RGPD.

Comment choisir un représentant RGPD Article 27

Le choix du représentant RGPD Article 27 est crucial pour la conformité et l’efficacité opérationnelle. Commencez par vérifier l’établissement légal du prestataire dans l’UE et sa capacité à agir dans tous les États membres concernés. Demandez ensuite un exemple de lettre de désignation : elle doit être un mandat signé et contresigné acceptant explicitement les tâches de l’Article 27. Beaucoup de prestataires à bas coût ne proposent qu’une adresse postale avec simple réexpédition, ce qui ne suffit pas si le mandat Article 27 n’est pas accepté par écrit.

• Mandat et acceptation : Les documents du prestataire doivent mentionner explicitement les Art. 27(1) et (4), et l’acceptation écrite du rôle. Demandez un modèle avant de payer.
• Gestion du registre Article 30 : L’Art. 30(1) exige que le représentant détienne et produise votre registre des traitements. Beaucoup de prestataires économiques ne l’incluent pas. Les offres Standard et Multi de REP27 le prévoient.
• Délais de réponse : Les autorités peuvent contacter votre représentant à tout moment. Vérifiez l’engagement du prestataire à transmettre les demandes dans un délai précis. REP27 transmet le jour ouvré même (Standard et Multi).
• Support linguistique : Si vos utilisateurs ou autorités communiquent dans d’autres langues que l’anglais, vérifiez la prise en charge. REP27 couvre 8 langues dès l’offre Standard.
• Renouvellement et frais : Certains prestataires augmentent le tarif après la première année. REP27 propose des tarifs de renouvellement inférieurs à l’année 1.
• Conseil juridique : La plupart des représentants ne fournissent pas de conseil juridique ni de service DPO. Pour un accompagnement juridique, prévoyez un cabinet d’avocats (tarifs plus élevés).

En résumé, privilégiez un prestataire avec mandat écrit complet, gestion du registre Article 30, délais de réponse clairs et tarification transparente. Posez des questions précises et obtenez une confirmation écrite avant de signer.

Ce que le prix inclut réellement

Les services de représentant RGPD Article 27 ne se valent pas tous. Le tarif affiché peut couvrir des niveaux de service très différents : il faut donc regarder au-delà du prix d’appel. Trois grandes catégories existent :

1. Adresse uniquement : Les prestataires les moins chers offrent parfois seulement une adresse postale pour réexpédition. Ces services n’acceptent souvent pas le mandat Article 27 par écrit, ne gèrent pas le registre Article 30 et n’ont pas d’engagement de délai. Cela ne suffit pas légalement.
2. Désignation et guichet : C’est ce qu’exige l’Article 27 : mandat écrit, certificat vérifiable, guichet de demandes avec délai garanti, gestion du registre Article 30. Les offres Standard (490 €/an) et Multi (890 €/an) de REP27 entrent dans cette catégorie, avec réexpédition illimitée, support multilingue et vérification publique du mandat via QR code.
3. Cabinet d’avocats : Certains prestataires (1 000–2 000 €/an et plus) sont des cabinets qui agissent comme représentant et conseillent juridiquement. Utile pour ceux qui veulent un accompagnement, mais le rôle Article 27 est purement administratif.

Au-delà du forfait annuel, vérifiez :

• Frais de mise en place (jusqu’à 250 € ailleurs ; inclus chez REP27)
• Frais par demande (souvent 25–90 € par demande ; illimité chez REP27 Standard et Multi)
• Frais pour gestion du registre Article 30 (100–400 €/an ailleurs ; inclus chez REP27 Standard et Multi)
• Support linguistique supplémentaire (souvent anglais uniquement en entrée de gamme ; 8 langues chez REP27 Standard+)

Demandez toujours le détail des prestations incluses et estimez le volume de demandes attendu pour éviter les mauvaises surprises. Pour un SaaS US avec des utilisateurs réguliers dans l’UE, un service complet avec mandat et gestion des registres est généralement nécessaire.

Frais cachés à surveiller

Lors de la comparaison des prestataires RGPD Article 27, il est essentiel de repérer les frais cachés non visibles sur le tarif affiché. Voici les principaux surcoûts à identifier :

• Frais par demande : Beaucoup affichent un abonnement faible mais facturent 25–90 € par demande ou requête d’autorité transmise. Plusieurs demandes par an peuvent vite dépasser l’abonnement. REP27 Standard et Multi incluent les demandes illimitées sans surcoût.
• Frais de mise en place : Certains facturent jusqu’à 250 € pour l’ouverture de compte ou la vérification des documents. REP27 l’inclut dans le forfait.
• Frais de gestion du registre : La tenue du registre Article 30 coûte 100–400 €/an chez certains. Ce point central du rôle Article 27 n’est pas toujours inclus en entrée de gamme. REP27 l’inclut dès l’offre Standard.
• Support linguistique : Les offres d’entrée de gamme sont souvent limitées à l’anglais. Pour d’autres langues, vérifiez si c’est inclus ou payant. REP27 Standard et Multi couvrent 8 langues.
• Hausse du tarif au renouvellement : Certains prestataires augmentent le prix après la première année. Demandez toujours le tarif de la 2e année par écrit. REP27 propose des renouvellements moins chers : 240 €, 390 € et 690 € pour Base, Standard et Multi.
• Services additionnels : Certains incluent conseil juridique ou DPO à prix fort. Ce n’est pas requis pour l’Article 27 et inutile pour la plupart des SaaS.

Pour éviter les frais cachés, exigez la grille tarifaire complète, y compris par demande et au renouvellement, avant de vous engager. Évaluez vos besoins en volume de demandes et langues, et vérifiez que le mandat écrit couvre toutes les tâches Article 27. Cela vous évitera les mauvaises surprises et garantira la conformité.

Comment se déroule la désignation étape par étape

Désigner un représentant RGPD Article 27 dans l’UE est simple, mais chaque étape doit être respectée pour la conformité. Exemple avec REP27 — Europe Services, SE :

1. Choix du prestataire : Analysez les offres, tarifs et conditions. Vérifiez l’établissement dans l’UE et la capacité à agir dans tous les pays concernés.
2. Remplir le formulaire d’adhésion : Fournissez les infos sur votre société, traitements et contacts. Ces données servent au mandat Article 27 et au registre Article 30 (si inclus).
3. Revue par le prestataire : Le prestataire vérifie votre dossier. REP27 contrôle tout avant signature. S’ils refusent (activité interdite, infos manquantes…), remboursement intégral et explications écrites.
4. Réception du mandat signé : Après validation, vous recevez une lettre de mandat contresignée, généralement sous 24h (REP27 standard). Ce document accepte explicitement le rôle Article 27 et détaille les responsabilités.
5. Certificat et vérification : REP27 délivre un certificat avec QR code et page de vérification publique. Clients, auditeurs et autorités peuvent vérifier instantanément votre conformité.
6. Mise à jour de la politique de confidentialité : Ajoutez le nom, l’adresse et les coordonnées du représentant (fournis dans le certificat) à votre politique de confidentialité, comme l’exige l’Art. 13(1)(a) RGPD.
7. Opérations courantes : Le représentant reçoit les demandes des personnes concernées et autorités UE, les consigne et vous les transmet dans le délai convenu (jour ouvré même pour les autorités chez REP27 Standard+). Si le registre Article 30 est inclus, il le tient et le produit aux autorités sur demande.
8. Renouvellement et résiliation : Service facturé annuellement d’avance. Résiliation possible avant renouvellement. En cas de changement de prestataire, assurez le transfert des demandes et registres en cours.

Ce processus garantit le respect légal de l’Article 27 et la préparation à toute demande d’autorité. Conservez toujours le mandat et le certificat signés.

Risques et amendes en cas de non-conformité

Ne pas désigner de représentant RGPD Article 27 expose votre entreprise à de lourds risques juridiques et financiers. L’Art. 83(4)(a) prévoit des amendes jusqu’à 10 millions € ou 2 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu. Ces sanctions sont réelles : l’autorité néerlandaise a infligé 525 000 € d’amende à Locatefamily.com uniquement pour absence de représentant.

Risques encourus :

• Amendes réglementaires : Les autorités de toute l’UE peuvent enquêter et sanctionner les sociétés hors UE non conformes à l’Art. 27. Ces amendes sont publiques et nuisent à la réputation.
• Mesures d’exécution : Le représentant ne protège pas contre les sanctions. Les autorités peuvent agir directement contre votre société (ex : arrêt du traitement, notification des personnes concernées).
• Blocage opérationnel : Sans représentant, vous risquez de ne pas répondre à temps aux demandes, entraînant d’autres manquements et des pénalités accrues.
• Perte de confiance : Clients, partenaires et auditeurs vérifient de plus en plus la conformité RGPD, dont la présence d’un représentant UE. L’absence de conformité peut faire perdre des opportunités commerciales.
• Procédures judiciaires : L’Art. 27(5) précise que la désignation d’un représentant n’empêche pas les poursuites contre la société elle-même. Le représentant est un facilitateur, pas un bouclier.

Pour limiter ces risques, désignez un représentant qualifié, formalisez le mandat et tenez à jour votre politique de confidentialité. Contrôlez régulièrement la prestation et soyez prêt à prouver votre conformité aux autorités et clients.