Quali aziende devono nominare un rappresentante GDPR nell'UE?

• Obbligo per aziende extra-UE che trattano dati di persone nell’UE (art. 3(2), 27 GDPR)
• Esenzioni: autorità pubbliche, trattamenti occasionali/non su larga scala/senza rischi elevati (art. 27(2))
• Multe fino a 10 milioni € o 2% del fatturato globale (art. 83(4)(a))
• Il rappresentante è punto di contatto per autorità e interessati (art. 4(17))
• Prezzi annuali pubblicati: da €290 a oltre €1.000 (ottobre 2026)
• Servizi e costi variano: attenzione a richieste extra, lingue e rinnovi

Aggiornato 18 ottobre 2026 · 6 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 18 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede la legge: articoli chiave del GDPR

L’obbligo di nominare un rappresentante nell’UE nasce dall’articolo 27 del GDPR, che si applica a ogni titolare o responsabile del trattamento non stabilito nell’Unione Europea ma che offre beni o servizi a persone nell’UE, oppure ne monitora il comportamento (art. 3(2) GDPR). Questo obbligo riguarda sia aziende B2C che B2B, se trattano dati personali di individui nell’UE. Il rappresentante, definito dall’art. 4(17) GDPR, è la persona fisica o giuridica stabilita nell’UE designata per agire come punto di contatto per le autorità di controllo e gli interessati.

Esistono esenzioni specifiche (art. 27(2) GDPR): autorità pubbliche, trattamenti occasionali, non su larga scala e che non comportano rischi elevati per i diritti e le libertà degli interessati. Se anche una sola di queste condizioni non è rispettata, l’obbligo di nomina si applica comunque.

Le sanzioni per mancata nomina sono severe: l’art. 83(4)(a) GDPR prevede multe fino a €10 milioni o il 2% del fatturato globale annuo. Un esempio concreto: Locatefamily.com è stata multata di €525.000 per non aver nominato un rappresentante.

Oltre alla nomina, il rappresentante deve essere formalmente designato con mandato scritto e accettare esplicitamente il ruolo. La semplice pubblicazione di un indirizzo non è sufficiente. Inoltre, il rappresentante deve essere in grado di produrre il registro delle attività di trattamento (art. 30 GDPR) su richiesta delle autorità.

In sintesi, la nomina di un rappresentante UE è obbligatoria per la maggior parte delle aziende extra-UE che operano, direttamente o indirettamente, con dati personali di residenti nell’Unione, salvo rare eccezioni.

Come scegliere il rappresentante UE: criteri pratici e confronto servizi

Scegliere un rappresentante GDPR UE non è solo una questione di prezzo: è essenziale capire cosa include realmente il servizio. I provider si dividono in tre categorie:

• Tier 1 – Solo indirizzo: Offre solo un indirizzo postale in UE che inoltra la corrispondenza. Non accetta formalmente i compiti dell’art. 27, non tiene registri, non garantisce tempi di risposta. È la soluzione più economica ma rischiosa.
• Tier 2 – Designazione completa: Fornisce mandato scritto, desk richieste, gestione del registro art. 30, risposta garantita alle autorità entro tempi certi. È ciò che richiede realmente il GDPR.
• Tier 3 – Studio legale: Oltre alla rappresentanza, offre consulenza legale e servizi aggiuntivi, ma a costi molto superiori, spesso non necessari per la maggior parte delle aziende.

Tabella comparativa dei servizi inclusi:

Consiglio pratico: chiedi sempre il modello di mandato prima di acquistare, verifica chi tiene il registro art. 30 e quali lingue sono supportate. Un servizio economico che non accetta formalmente i compiti dell’art. 27 espone a rischi elevati.

Cosa include davvero il prezzo e come riconoscere i costi nascosti

I prezzi dei rappresentanti GDPR UE variano molto, da meno di €300 a oltre €2.000 annui (ottobre 2026), ma la differenza spesso sta nei servizi effettivamente inclusi. Ecco cosa controllare:

• Fee per richiesta: Alcuni provider applicano un costo extra (da €25 a €90) per ogni richiesta di interessato o autorità, mentre altri (come REP27 da Standard) includono richieste illimitate.
• Gestione registro art. 30: Il GDPR richiede che il rappresentante tenga il registro delle attività di trattamento. Alcuni piani base non lo includono o lo fanno pagare a parte (fino a €400/anno).
• Lingue supportate: Spesso solo l’inglese è incluso nei piani entry-level; la gestione multilingue può essere un extra.
• Costi di onboarding/setup: Alcuni provider applicano fee di attivazione fino a €250.
• Incrementi di rinnovo: Il costo può aumentare dal secondo anno. REP27, ad esempio, prevede rinnovi ridotti rispetto al primo anno.

Tabella riassuntiva dei principali costi nascosti:

Consiglio: chiedi sempre una simulazione dei costi totali per il tuo scenario (numero richieste, lingue, rinnovi) e verifica cosa succede in caso di superamento delle soglie.

Come funziona la nomina: guida passo-passo e checklist

La nomina di un rappresentante GDPR UE segue un percorso preciso. Ecco come procedere:

1. Verifica l’obbligo: Controlla se la tua azienda offre beni/servizi o monitora persone nell’UE (art. 3(2), 27 GDPR).
2. Scegli il provider: Valuta prezzi, servizi inclusi, lingue e presenza di costi nascosti. Richiedi sempre il modello di designazione.
3. Completa l’onboarding: Invia i dati societari e le informazioni richieste dal provider. Alcuni, come REP27, richiedono anche la compilazione del registro art. 30 (da Standard).
4. Ricevi documenti: Ottieni la lettera di designazione firmata da entrambe le parti, il certificato QR e le istruzioni per la privacy policy.
5. Pubblica i dati: Inserisci nome, indirizzo e email del rappresentante nella privacy policy (art. 13/14 GDPR).
6. Operatività: Il provider gestisce le richieste ricevute e le inoltra entro i tempi previsti (es. entro 2 giorni lavorativi con REP27, stesso giorno per autorità da Standard).

Checklist operativa:

1. Verifica art. 3(2) e 27 GDPR
2. Richiedi e leggi il template di designazione
3. Chiedi chi tiene il registro art. 30
4. Verifica tempi di risposta garantiti
5. Calcola i costi totali (richieste, lingue, rinnovi)
6. Assicurati che la pubblicazione in privacy policy sia conforme

Attenzione: la nomina è valida solo se il rappresentante accetta formalmente per iscritto e la lettera è firmata da entrambe le parti.

Rischi e sanzioni: cosa succede in caso di inadempienza

Non nominare un rappresentante UE quando richiesto è una violazione autonoma del GDPR (art. 83(4)(a)). Le autorità di controllo possono comminare multe fino a €10 milioni o il 2% del fatturato globale annuo, a seconda di quale sia maggiore. Queste sanzioni si applicano anche se tutte le altre misure GDPR sono rispettate ma manca la nomina formale.

Un caso reale: Locatefamily.com è stata multata di €525.000 dall’autorità olandese solo per la mancata nomina del rappresentante. Inoltre, le autorità possono ordinare la sospensione dei trattamenti o la pubblicazione della violazione.

Altri rischi pratici:

• Un mandato incompleto (es. solo indirizzo postale) non protegge da sanzioni
• La mancata risposta tempestiva alle autorità può aggravare la posizione
• La responsabilità resta sempre al titolare/responsabile (art. 27(5)), anche se il rappresentante è nominato

Conclusione: scegliere un provider solo per il prezzo più basso, senza verificare che accetti formalmente i compiti dell’art. 27 e tenga il registro art. 30, espone a rischi legali e reputazionali significativi.

Cosa i fornitori spesso non dicono: limiti, esclusioni e rinnovi

• Molti piani base sono solo indirizzi postali: Non accettano formalmente i compiti dell’art. 27, non tengono registri, non garantiscono risposta alle autorità.
• I costi per richiesta possono superare il canone annuale: Un mese con molte richieste può far lievitare la spesa oltre il previsto.
• La gestione multilingue è rara: Spesso solo l’inglese è incluso; REP27 offre desk in 8 lingue da Standard.
• Il rinnovo spesso aumenta dopo il primo anno: Molti provider applicano prezzi promozionali solo per il primo anno; REP27 prevede rinnovi ridotti e trasparenti.
• La responsabilità legale resta sempre al cliente: Il rappresentante non assume la responsabilità per le violazioni, che resta in capo al titolare/responsabile (art. 27(5)).
• Esclusioni frequenti: Dati sensibili (art. 9), dati giudiziari (art. 10), servizi rivolti a minori, gambling, pharma, armi, crypto spesso non sono accettati.

Consiglio: chiedi sempre una lista scritta di cosa è incluso, cosa escluso e quali sono le condizioni di rinnovo e recesso.

Matrix decisionale: chi deve nominare il rappresentante? (B2B, B2C, marketplace, dimensioni)

In pratica: la maggior parte delle aziende extra-UE che hanno clienti, utenti o destinatari in UE deve nominare il rappresentante, sia B2B che B2C, sia su sito proprio che tramite marketplace.

3 scenari pratici: quale obbligo si applica e quale soluzione scegliere

1. SaaS USA con clienti UE: Un fornitore SaaS statunitense che vende abbonamenti a società o utenti UE deve nominare un rappresentante UE, pubblicare i dati nella privacy policy e tenere il registro art. 30. Soluzione: piano Standard REP27, che include richieste illimitate, gestione del registro e desk multilingue.
2. Venditore cinese su Amazon: Un’azienda cinese che vende prodotti tramite Amazon a consumatori UE rientra pienamente nell’obbligo. Se vende anche in Svizzera, occorre valutare l’obbligo nFADP. Soluzione: piano Multi REP27, che include anche la valutazione svizzera gratuita.
3. Shop online UK solo B2B: Se non tratta dati di persone fisiche UE (solo aziende, nessun contatto personale), può essere esente. Se invece raccoglie dati di amministratori/utenti UE, l’obbligo si applica. Soluzione: valutare caso per caso, ma in caso di dubbio meglio nominare un rappresentante.

Questi scenari mostrano che la valutazione va fatta sia sulla base della clientela (B2B/B2C), sia sul tipo di dati trattati e sulla presenza di attività di monitoraggio.