Qué empresas deben nombrar un representante GDPR en la UE

• Obligación para empresas fuera de la UE que tratan datos de personas en la UE (art. 3(2), 27 GDPR)
• Exenciones: autoridades públicas, tratamientos ocasionales/no a gran escala/sin riesgos elevados (art. 27(2))
• Multas hasta 10 millones € o 2 % de la facturación global (art. 83(4)(a))
• El representante es punto de contacto para autoridades e interesados (art. 4(17))
• Precios anuales publicados: desde €290 hasta más de €1.000 (octubre 2026)
• Servicios y costes varían: atención a solicitudes extra, idiomas y renovaciones

Actualizado 18 octubre 2026 · 6 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 18 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

Qué exige la ley: artículos clave del GDPR

La obligación de nombrar un representante en la UE nace del artículo 27 del GDPR, que se aplica a cualquier responsable o encargado del tratamiento no establecido en la Unión Europea pero que ofrece bienes o servicios a personas en la UE, o monitoriza su comportamiento (art. 3(2) GDPR). Esta obligación afecta tanto a empresas B2C como B2B, si tratan datos personales de individuos en la UE. El representante, definido en el art. 4(17) GDPR, es la persona física o jurídica establecida en la UE designada para actuar como punto de contacto para las autoridades de control y los interesados.

Existen exenciones específicas (art. 27(2) GDPR): autoridades públicas, tratamientos ocasionales, no a gran escala y que no implican riesgos elevados para los derechos y libertades de los interesados. Si alguna de estas condiciones no se cumple, la obligación de nombramiento se aplica igualmente.

Las sanciones por no nombrar representante son severas: el art. 83(4)(a) GDPR prevé multas de hasta €10 millones o el 2 % de la facturación global anual. Un ejemplo concreto: Locatefamily.com fue multada con €525.000 por no haber nombrado representante.

Además del nombramiento, el representante debe ser formalmente designado con mandato escrito y aceptar explícitamente el rol. La simple publicación de una dirección no es suficiente. Asimismo, el representante debe ser capaz de presentar el registro de actividades de tratamiento (art. 30 GDPR) a solicitud de las autoridades.

En resumen, el nombramiento de un representante UE es obligatorio para la mayoría de empresas fuera de la UE que operan, directa o indirectamente, con datos personales de residentes en la Unión, salvo raras excepciones.

Cómo elegir el representante UE: criterios prácticos y comparación de servicios

Elegir un representante GDPR UE no es solo cuestión de precio: es esencial entender qué incluye realmente el servicio. Los proveedores se dividen en tres categorías:

• Nivel 1 – Solo dirección: Ofrece solo una dirección postal en la UE que reenvía la correspondencia. No acepta formalmente las tareas del art. 27, no lleva registros, no garantiza tiempos de respuesta. Es la solución más económica pero arriesgada.
• Nivel 2 – Designación completa: Proporciona mandato escrito, mesa de solicitudes, gestión del registro art. 30, respuesta garantizada a autoridades en tiempos determinados. Es lo que realmente exige el GDPR.
• Nivel 3 – Despacho legal: Además de la representación, ofrece asesoría legal y servicios adicionales, pero a costes mucho más altos, a menudo innecesarios para la mayoría de empresas.

Tabla comparativa de servicios incluidos:

Consejo práctico: siempre pide el modelo de mandato antes de contratar, verifica quién lleva el registro art. 30 y qué idiomas se soportan. Un servicio barato que no acepta formalmente las tareas del art. 27 expone a riesgos elevados.

Qué incluye realmente el precio y cómo detectar costes ocultos

Los precios de los representantes GDPR UE varían mucho, desde menos de €300 hasta más de €2.000 anuales (octubre 2026), pero la diferencia suele estar en los servicios realmente incluidos. Esto es lo que debes comprobar:

• Coste por solicitud: Algunos proveedores aplican un coste extra (de €25 a €90) por cada solicitud de interesado o autoridad, mientras que otros (como REP27 desde Standard) incluyen solicitudes ilimitadas.
• Gestión del registro art. 30: El GDPR exige que el representante mantenga el registro de actividades de tratamiento. Algunos planes básicos no lo incluyen o lo cobran aparte (hasta €400/año).
• Idiomas soportados: A menudo solo el inglés está incluido en planes básicos; la gestión multilingüe puede ser un extra.
• Costes de onboarding/configuración: Algunos proveedores cobran hasta €250 por activación.
• Aumentos en renovación: El coste puede subir a partir del segundo año. REP27, por ejemplo, ofrece renovaciones reducidas respecto al primer año.

Tabla resumen de principales costes ocultos:

Consejo: siempre pide una simulación de costes totales para tu escenario (número de solicitudes, idiomas, renovaciones) y verifica qué pasa si se superan los límites.

Cómo funciona el nombramiento: guía paso a paso y checklist

El nombramiento de un representante GDPR UE sigue un proceso preciso. Así se procede:

1. Verifica la obligación: Comprueba si tu empresa ofrece bienes/servicios o monitoriza personas en la UE (art. 3(2), 27 GDPR).
2. Elige el proveedor: Evalúa precios, servicios incluidos, idiomas y posibles costes ocultos. Solicita siempre el modelo de designación.
3. Completa el onboarding: Envía los datos societarios e información requerida por el proveedor. Algunos, como REP27, también requieren completar el registro art. 30 (desde Standard).
4. Recibe documentos: Obtén la carta de designación firmada por ambas partes, certificado QR e instrucciones para la política de privacidad.
5. Publica los datos: Incluye nombre, dirección y correo del representante en la política de privacidad (art. 13/14 GDPR).
6. Operatividad: El proveedor gestiona las solicitudes recibidas y las remite en los plazos previstos (ej. en 2 días hábiles con REP27, mismo día para autoridades desde Standard).

Checklist operativa:

1. Verifica art. 3(2) y 27 GDPR
2. Pide y lee el modelo de designación
3. Consulta quién lleva el registro art. 30
4. Verifica tiempos de respuesta garantizados
5. Calcula costes totales (solicitudes, idiomas, renovaciones)
6. Asegura que la publicación en la política de privacidad sea conforme

Atención: el nombramiento es válido solo si el representante acepta formalmente por escrito y la carta está firmada por ambas partes.

Riesgos y sanciones: qué ocurre en caso de incumplimiento

No nombrar un representante UE cuando es obligatorio es una infracción autónoma del GDPR (art. 83(4)(a)). Las autoridades de control pueden imponer multas de hasta €10 millones o el 2 % de la facturación global anual, según cuál sea mayor. Estas sanciones se aplican aunque se cumplan todas las demás medidas GDPR pero falte el nombramiento formal.

Un caso real: Locatefamily.com fue multada con €525.000 por la autoridad holandesa solo por no nombrar representante. Además, las autoridades pueden ordenar la suspensión de tratamientos o la publicación de la infracción.

Otros riesgos prácticos:

• Un mandato incompleto (ej. solo dirección postal) no protege de sanciones
• No responder a tiempo a las autoridades puede agravar la situación
• La responsabilidad siempre recae en el responsable/encargado (art. 27(5)), incluso si se nombra representante

Conclusión: elegir un proveedor solo por el precio más bajo, sin verificar que acepte formalmente las tareas del art. 27 y lleve el registro art. 30, expone a riesgos legales y reputacionales significativos.

Lo que los proveedores suelen no decir: límites, exclusiones y renovaciones

• Muchos planes básicos son solo direcciones postales: No aceptan formalmente las tareas del art. 27, no llevan registros, no garantizan respuesta a autoridades.
• Los costes por solicitud pueden superar la cuota anual: Un mes con muchas solicitudes puede disparar el gasto más de lo previsto.
• La gestión multilingüe es rara: A menudo solo el inglés está incluido; REP27 ofrece mesa en 8 idiomas desde Standard.
• La renovación suele subir tras el primer año: Muchos proveedores aplican precios promocionales solo el primer año; REP27 ofrece renovaciones reducidas y transparentes.
• La responsabilidad legal siempre recae en el cliente: El representante no asume responsabilidad por infracciones, que sigue siendo del responsable/encargado (art. 27(5)).
• Exclusiones frecuentes: Datos sensibles (art. 9), datos judiciales (art. 10), servicios para menores, juegos de azar, farmacéuticos, armas, criptomonedas suelen no aceptarse.

Consejo: pide siempre una lista escrita de qué está incluido, qué excluido y cuáles son las condiciones de renovación y cancelación.

Matriz decisional: quién debe nombrar representante? (B2B, B2C, marketplace, tamaño)

En la práctica: la mayoría de empresas fuera de la UE que tienen clientes, usuarios o destinatarios en la UE deben nombrar representante, tanto B2B como B2C, ya sea en sitio propio o marketplace.

3 escenarios prácticos: qué obligación aplica y qué solución elegir

1. SaaS USA con clientes UE: Un proveedor SaaS estadounidense que vende suscripciones a empresas o usuarios UE debe nombrar representante UE, publicar datos en política de privacidad y llevar el registro art. 30. Solución: plan Standard REP27, que incluye solicitudes ilimitadas, gestión de registro y mesa multilingüe.
2. Vendedor chino en Amazon: Una empresa china que vende productos vía Amazon a consumidores UE está plenamente obligada. Si también vende en Suiza, debe evaluar obligación nFADP. Solución: plan Multi REP27, que incluye evaluación suiza gratuita.
3. Tienda online UK solo B2B: Si no trata datos de personas físicas UE (solo empresas, sin contacto personal), puede estar exenta. Si recoge datos de administradores/usuarios UE, la obligación aplica. Solución: evaluar caso por caso, pero ante duda, mejor nombrar representante.

Estos escenarios muestran que la evaluación debe hacerse según la clientela (B2B/B2C), tipo de datos tratados y presencia de monitorización.