Quali aziende hanno bisogno di un rappresentante UE per il GDPR?

• L'Articolo 27 GDPR obbliga le aziende non UE con attività rivolta all'UE a nominare un rappresentante.
• L'obbligo si applica a titolari e responsabili del trattamento fuori dall'UE secondo Art. 3(2).
• Esclude autorità pubbliche e trattamenti occasionali a basso rischio.
• Sanzioni per mancata nomina: fino a 10 milioni di euro o 2% del fatturato globale.
• Il rappresentante deve essere nell'UE e accettare formalmente l'incarico per iscritto.
• Confrontare prezzi e servizi è fondamentale: ci sono differenze e costi nascosti.

Aggiornato 21 ottobre 2026 · 8 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 21 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede la legge? (Articoli 3 e 27 GDPR)

Il Regolamento Generale sulla Protezione dei Dati (GDPR) stabilisce nel suo Articolo 27 che qualsiasi azienda o entità stabilita fuori dall'Unione Europea (UE) che, secondo l'Articolo 3(2), offra beni o servizi a persone nell'UE o monitori il loro comportamento, deve nominare per iscritto un rappresentante nell'UE. Questo rappresentante funge da punto di contatto per gli interessati e le autorità di protezione dati, e deve essere stabilito in uno degli Stati membri dove vi siano interessati coinvolti.

• L'obbligo si applica sia ai titolari (controller) sia ai responsabili del trattamento (processor) fuori dall'UE.
• La nomina deve essere formalizzata per iscritto e firmata da entrambe le parti, e deve dettagliare ambito, obblighi e durata dell'incarico.
• Il rappresentante deve mantenere un registro delle attività di trattamento (Art. 30 GDPR) e cooperare con le autorità quando richiesto.
• Eccezioni: non è richiesto rappresentante per autorità pubbliche né per trattamenti occasionali, a basso rischio e che non includano categorie speciali di dati o dati penali.

La mancata nomina costituisce una violazione autonoma secondo l'Articolo 83(4)(a), sanzionabile con fino a 10 milioni di euro o il 2% del fatturato globale annuo, a seconda di quale sia maggiore. Un esempio reale è la multa di 525.000 euro inflitta a Locatefamily.com dall'autorità olandese per non aver nominato un rappresentante.

Il rappresentante non assume la responsabilità legale del trattamento: questa rimane a carico del titolare o responsabile originale. La sua funzione è amministrativa e di contatto, non di consulenza legale.

Come scegliere un rappresentante UE: criteri chiave e confronto

Scegliere un rappresentante UE adeguato è cruciale per rispettare il GDPR ed evitare sanzioni. Non tutti i servizi sono equivalenti: alcuni offrono solo un indirizzo postale, altri assumono formalmente l'incarico e gestiscono richieste e registri. Prima di decidere, valuta questi aspetti:

• Nomina formale: Il fornitore accetta esplicitamente l'incarico Art. 27 e lo firma?
• Gestione registri: Mantiene e produce il registro delle attività (Art. 30) se richiesto da un'autorità?
• Lingue supportate: Il servizio copre le lingue necessarie per clienti e autorità?
• Costi aggiuntivi: Ci sono costi per ogni richiesta, lingue extra o rinnovo?
• Certificati e verifica: Offre un certificato verificabile e meccanismi pubblici di controllo?

Confronto dei servizi (dati pubblici ottobre 2026):

Richiedi sempre la lettera di nomina prima di pagare e verifica che accetti tutte le mansioni richieste dal GDPR.

Cosa include realmente il prezzo? Tariffe, livelli e costi nascosti

I prezzi pubblicati dai fornitori di rappresentante UE possono variare molto e non sempre riflettono il costo totale del servizio. È fondamentale analizzare cosa include ogni tariffa e quali costi possono sorgere dopo.

• Tariffe base: Vanno da meno di €300/anno fino a oltre €2.000/anno, a seconda che offrano solo un indirizzo, una nomina formale o servizi legali aggiuntivi.
• Costi per richiesta: Alcuni fornitori addebitano tra €25 e €90 per ogni richiesta di interessato gestita. Questo può far lievitare il costo reale se si ricevono molte richieste.
• Gestione registri: Mantenere e produrre il registro delle attività (Art. 30) spesso ha un costo aggiuntivo di €100-€400/anno in molti fornitori. REP27 lo include dal piano Standard.
• Lingue e supporto: Il supporto multilingue è raro nei piani base; REP27 copre 8 lingue in Standard e Multi.
• Rinnovi: Alcuni fornitori aumentano il prezzo dopo il primo anno. REP27 riduce il rinnovo dal secondo anno in poi.

Esempio pratico: un'azienda che riceve 20 richieste all'anno e sottoscrive un piano con costo per richiesta può finire per pagare più del doppio del prezzo base. Richiedi sempre il contratto e calcola il costo totale annuo prima di decidere.

Riassunto livelli di servizio:

• Indirizzo postale: Solo inoltro, senza accettazione formale né gestione registri.
• Nomina formale: Incarico firmato, gestione richieste e registri, impegno a rispondere.
• Retainer legale: Include consulenza legale, generalmente non necessaria per la maggior parte delle aziende.

Come funziona la nomina passo dopo passo: guida pratica

Il processo di nomina di un rappresentante UE ai sensi del GDPR deve essere rigoroso e documentato. Ecco una guida passo passo per adempiere correttamente:

1. Valuta l'obbligo: Conferma se la tua azienda è fuori UE e se offri beni/servizi o monitori persone nell'UE.
2. Scegli il fornitore: Seleziona un fornitore che accetti esplicitamente l'incarico Art. 27 e sia stabilito nell'UE.
3. Richiedi la lettera di nomina: Chiedi la bozza della lettera e verifica che includa accettazione formale, ambito, gestione registri e tempi di risposta.
4. Firma e controfirma: Firma la nomina; il fornitore deve controfirmare (REP27 lo fa in 24h).
5. Ricevi il certificato: Il fornitore deve emettere un certificato verificabile con QR e pagina pubblica.
6. Aggiorna la privacy policy: Aggiungi i dati del rappresentante (nome, indirizzo, email) nel tuo avviso privacy secondo Art. 13/14 GDPR.
7. Operatività: Il rappresentante riceve, registra e inoltra richieste di interessati e autorità nei tempi stabiliti. In REP27, le richieste si inoltrano in 2 giorni lavorativi (o stesso giorno per autorità in Standard/Multi).
8. Gestione registri: Se inclusa nel piano, il rappresentante mantiene il registro Art. 30 e lo consegna alle autorità se richiesto.

Checklist per acquirenti:

1. La tua azienda offre beni/servizi o monitora persone nell'UE?
2. Sei fuori dall'UE?
3. Il trattamento è più che occasionale e non escluso?
4. Richiedi la lettera di nomina e verifica che accetti i compiti Art. 27.
5. Chiedi dei costi extra: richieste, lingue, rinnovo.
6. Verifica se mantengono il tuo registro Art. 30 e lo consegnano alle autorità.
7. Conferma il supporto nelle lingue richieste.
8. Controlla i tempi di risposta alle autorità.
9. Firma e pubblica i dati del rappresentante nella privacy policy.

Rischi, sanzioni e scenari di non conformità

Non nominare un rappresentante UE quando obbligatorio è considerato una violazione autonoma ai sensi del GDPR, sanzionabile con multe fino a 10 milioni di euro o il 2% del fatturato globale annuo, secondo l'Articolo 83(4)(a). Le autorità possono avviare procedimenti anche senza denuncia, e la mancata risposta o una nomina invalida può aggravare le conseguenze.

• Esempio reale: Locatefamily.com è stata multata con 525.000 euro dall'autorità olandese solo per non aver nominato un rappresentante.
• Nomina invalida: Nominare solo un indirizzo postale o un fornitore che non accetta formalmente l'incarico può essere peggio che non nominare, poiché si indica un terzo che non risponderà alle autorità.
• Responsabilità: Il rappresentante non assume la responsabilità legale del trattamento, ma deve cooperare pienamente con le autorità e facilitare la comunicazione con il titolare fuori UE.

Raccomandazioni per evitare rischi:

• Verifica che l'incarico sia firmato e accetti espressamente i compiti dell'Art. 27.
• Conferma che il rappresentante mantenga e produca il registro Art. 30 se richiesto.
• Non fidarti solo di prezzi bassi: valuta l'effettiva portata del servizio e i tempi di risposta.

La non conformità può danneggiare la reputazione, la capacità di operare nell'UE e comportare sanzioni economiche rilevanti.

Matrice decisionale: hai bisogno di un rappresentante UE?

La seguente matrice ti aiuta a determinare se la tua azienda necessita di un rappresentante UE secondo il GDPR. Analizza la tua situazione e verifica se l'obbligo si applica:

Esempi concreti:

• Un SaaS statunitense che permette registrazione utenti UE: Sì, necessita rappresentante.
• Un produttore cinese che vende prodotti su Amazon a clienti UE: Sì, necessita rappresentante.
• Una ONG canadese che tratta solo dati di donatori fuori UE: Non necessita rappresentante.

Cosa i fornitori spesso non dicono: esclusioni, rinnovi e limiti

Molti fornitori omettono dettagli chiave che possono influire sulla conformità e sul costo reale del servizio. È fondamentale leggere attentamente e chiedere prima di sottoscrivere:

• Solo indirizzo postale: Alcuni offrono solo un indirizzo nell'UE, senza accettare formalmente l'incarico né impegnarsi a rispondere a richieste o mantenere registri.
• Gestione registri: La maggior parte non include la gestione e consegna del registro Art. 30 nel prezzo base; può comportare un costo annuo significativo.
• Supporto limitato: Il supporto è spesso solo in inglese, anche se si pubblicizza copertura UE. REP27 include 8 lingue in Standard e Multi.
• Costi per richiesta: Le tariffe per ogni richiesta possono superare il prezzo annuale se si ricevono molte richieste.
• Rinnovi automatici: Alcuni contratti si rinnovano automaticamente con aumenti di prezzo dopo il primo anno. REP27 riduce il prezzo di rinnovo.
• Limiti di responsabilità: Il rappresentante non assume la responsabilità legale né offre consulenza legale salvo piano dedicato.
• Attività escluse: REP27 non accetta clienti che trattano dati di categorie speciali, penali, attività ad alto rischio, minori di 16 anni, scraping, contenuti adulti, armi, criptovalute o attività che richiedono licenza.

Richiedi sempre il contratto e verifica tutti i punti prima di impegnarti.

Scenari pratici: esempi di obbligo e modalità di conformità

Per illustrare come si applica l'obbligo di rappresentante UE, ecco tre scenari reali e la via più semplice per conformarsi:

• SaaS USA che vende a aziende e consumatori UE: Deve nominare rappresentante UE. Il piano Standard di REP27 copre richieste illimitate, supporto in 8 lingue e mantenimento registri. Aggiungi i dati del rappresentante nella privacy policy e rispondi alle richieste tramite il desk.
• Venditore cinese su Amazon che spedisce in UE: Obbligo di rappresentante secondo Art. 27 GDPR. Se vende prodotti soggetti a marcatura CE o GPSR, REP27 Multi copre anche la figura di responsabile GPSR e rappresentante autorizzato CE. Aggiungi i dati nelle liste e documentazione prodotto.
• Negozio online UK che continua a vendere in UE: Dopo Brexit, necessita rappresentante UE e spesso anche UK. EUverify offre entrambi in un unico piano; REP27 li offre separati con sconto se presi insieme. Aggiungi entrambi i dati nella privacy policy e rispondi secondo giurisdizione.

In tutti i casi, la nomina deve essere formale, firmata e riflessa nella documentazione pubblica e privata dell'azienda.