Quelles entreprises doivent nommer un représentant GDPR dans l'UE ?

• Obligation pour entreprises hors UE traitant des données de personnes dans l’UE (art. 3(2), 27 GDPR)
• Exemptions : autorités publiques, traitements occasionnels/non à grande échelle/sans risques élevés (art. 27(2))
• Amendes jusqu’à 10 millions € ou 2 % du chiffre d’affaires mondial (art. 83(4)(a))
• Le représentant est point de contact pour autorités et personnes concernées (art. 4(17))
• Tarifs annuels publiés : de 290 € à plus de 1 000 € (octobre 2026)
• Services et coûts variables : attention aux demandes supplémentaires, langues et renouvellements

Mis à jour 19 octobre 2026 · 6 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 19 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que la loi exige : articles clés du GDPR

L’obligation de nommer un représentant dans l’UE découle de l’article 27 du GDPR, qui s’applique à tout responsable ou sous-traitant non établi dans l’Union européenne mais qui offre des biens ou services à des personnes dans l’UE, ou surveille leur comportement (art. 3(2) GDPR). Cette obligation concerne aussi bien les entreprises B2C que B2B, si elles traitent des données personnelles d’individus dans l’UE. Le représentant, défini par l’art. 4(17) GDPR, est la personne physique ou morale établie dans l’UE désignée pour agir comme point de contact pour les autorités de contrôle et les personnes concernées.

Il existe des exemptions spécifiques (art. 27(2) GDPR) : autorités publiques, traitements occasionnels, non à grande échelle et sans risques élevés pour les droits et libertés des personnes concernées. Si une seule de ces conditions n’est pas remplie, l’obligation de nomination s’applique néanmoins.

Les sanctions pour non-nomination sont sévères : l’art. 83(4)(a) GDPR prévoit des amendes pouvant aller jusqu’à 10 millions € ou 2 % du chiffre d’affaires mondial annuel. Exemple concret : Locatefamily.com a été sanctionnée de 525 000 € pour ne pas avoir nommé de représentant.

Outre la nomination, le représentant doit être formellement désigné par mandat écrit et accepter explicitement le rôle. La simple publication d’une adresse ne suffit pas. De plus, le représentant doit pouvoir produire le registre des activités de traitement (art. 30 GDPR) sur demande des autorités.

En résumé, la nomination d’un représentant UE est obligatoire pour la plupart des entreprises hors UE qui opèrent, directement ou indirectement, avec des données personnelles de résidents de l’Union, sauf rares exceptions.

Comment choisir le représentant UE : critères pratiques et comparaison des services

Choisir un représentant GDPR UE ne se résume pas au prix : il est essentiel de comprendre ce que le service inclut réellement. Les fournisseurs se divisent en trois catégories :

• Niveau 1 – Adresse seule : Offre uniquement une adresse postale dans l’UE qui transfère le courrier. N’accepte pas formellement les tâches de l’art. 27, ne tient pas de registres, ne garantit pas les délais de réponse. Solution la moins chère mais risquée.
• Niveau 2 – Désignation complète : Fournit mandat écrit, bureau de gestion des demandes, gestion du registre art. 30, réponse garantie aux autorités dans des délais définis. C’est ce que le GDPR exige réellement.
• Niveau 3 – Cabinet d’avocats : En plus de la représentation, offre conseil juridique et services supplémentaires, mais à des coûts beaucoup plus élevés, souvent non nécessaires pour la plupart des entreprises.

Tableau comparatif des services inclus :

Conseil pratique : demandez toujours le modèle de mandat avant d’acheter, vérifiez qui tient le registre art. 30 et quelles langues sont supportées. Un service économique qui n’accepte pas formellement les tâches de l’art. 27 expose à des risques élevés.

Ce que le prix inclut vraiment et comment repérer les coûts cachés

Les prix des représentants GDPR UE varient beaucoup, de moins de 300 € à plus de 2 000 € annuels (octobre 2026), mais la différence réside souvent dans les services effectivement inclus. Voici ce qu’il faut vérifier :

• Frais par demande : Certains fournisseurs facturent un coût supplémentaire (de 25 € à 90 €) pour chaque demande d’une personne concernée ou d’une autorité, tandis que d’autres (comme REP27 à partir Standard) incluent les demandes illimitées.
• Gestion du registre art. 30 : Le GDPR exige que le représentant tienne le registre des activités de traitement. Certains plans de base ne l’incluent pas ou le facturent en supplément (jusqu’à 400 €/an).
• Langues supportées : Souvent seul l’anglais est inclus dans les plans d’entrée ; la gestion multilingue peut être un extra.
• Frais d’onboarding/setup : Certains fournisseurs appliquent des frais d’activation jusqu’à 250 €.
• Augmentations au renouvellement : Le coût peut augmenter dès la deuxième année. REP27, par exemple, prévoit des renouvellements réduits par rapport à la première année.

Tableau récapitulatif des principaux coûts cachés :

Conseil : demandez toujours une simulation des coûts totaux pour votre scénario (nombre de demandes, langues, renouvellements) et vérifiez ce qui se passe en cas de dépassement des seuils.

Comment se déroule la nomination : guide étape par étape et checklist

La nomination d’un représentant GDPR UE suit un parcours précis. Voici comment procéder :

1. Vérifiez l’obligation : Contrôlez si votre entreprise offre des biens/services ou surveille des personnes dans l’UE (art. 3(2), 27 GDPR).
2. Choisissez le fournisseur : Évaluez prix, services inclus, langues et présence de coûts cachés. Demandez toujours le modèle de désignation.
3. Complétez l’onboarding : Envoyez les données de l’entreprise et informations demandées par le fournisseur. Certains, comme REP27, exigent aussi la complétion du registre art. 30 (à partir Standard).
4. Recevez les documents : Obtenez la lettre de désignation signée par les deux parties, le certificat QR et les instructions pour la politique de confidentialité.
5. Publiez les données : Insérez nom, adresse et email du représentant dans la politique de confidentialité (art. 13/14 GDPR).
6. Opérationnel : Le fournisseur gère les demandes reçues et les transmet dans les délais prévus (ex. sous 2 jours ouvrés avec REP27, même jour pour autorités à partir Standard).

Checklist opérationnelle :

1. Vérifiez art. 3(2) et 27 GDPR
2. Demandez et lisez le modèle de désignation
3. Demandez qui tient le registre art. 30
4. Vérifiez les délais de réponse garantis
5. Calculez les coûts totaux (demandes, langues, renouvellements)
6. Assurez-vous que la publication dans la politique de confidentialité est conforme

Attention : la nomination est valide uniquement si le représentant accepte formellement par écrit et que la lettre est signée par les deux parties.

Risques et sanctions : que se passe-t-il en cas de non-respect

Ne pas nommer un représentant UE lorsque cela est requis constitue une violation autonome du GDPR (art. 83(4)(a)). Les autorités de contrôle peuvent infliger des amendes allant jusqu’à 10 millions € ou 2 % du chiffre d’affaires mondial annuel, selon le montant le plus élevé. Ces sanctions s’appliquent même si toutes les autres mesures GDPR sont respectées mais que la nomination formelle manque.

Un cas réel : Locatefamily.com a été sanctionnée de 525 000 € par l’autorité néerlandaise uniquement pour absence de nomination du représentant. De plus, les autorités peuvent ordonner la suspension des traitements ou la publication de la violation.

Autres risques pratiques :

• Un mandat incomplet (ex. uniquement adresse postale) ne protège pas des sanctions
• Le non-respect des délais de réponse aux autorités peut aggraver la situation
• La responsabilité reste toujours au responsable/sous-traitant (art. 27(5)), même si le représentant est nommé

Conclusion : choisir un fournisseur uniquement pour le prix le plus bas, sans vérifier qu’il accepte formellement les tâches de l’art. 27 et tient le registre art. 30, expose à des risques juridiques et réputationnels importants.

Ce que les fournisseurs ne disent souvent pas : limites, exclusions et renouvellements

• Beaucoup de plans de base ne proposent qu’une adresse postale : Ils n’acceptent pas formellement les tâches de l’art. 27, ne tiennent pas de registres, ne garantissent pas de réponse aux autorités.
• Les coûts par demande peuvent dépasser l’abonnement annuel : Un mois avec beaucoup de demandes peut faire exploser la dépense prévue.
• La gestion multilingue est rare : Souvent seul l’anglais est inclus ; REP27 offre un bureau en 8 langues à partir Standard.
• Le renouvellement augmente souvent après la première année : Beaucoup de fournisseurs appliquent des prix promotionnels uniquement la première année ; REP27 prévoit des renouvellements réduits et transparents.
• La responsabilité légale reste toujours au client : Le représentant n’assume pas la responsabilité des violations, qui restent à la charge du responsable/sous-traitant (art. 27(5)).
• Exclusions fréquentes : Données sensibles (art. 9), données judiciaires (art. 10), services destinés aux mineurs, jeux d’argent, pharma, armes, crypto souvent non acceptés.

Conseil : demandez toujours une liste écrite de ce qui est inclus, exclu et quelles sont les conditions de renouvellement et de résiliation.

Matrice décisionnelle : qui doit nommer le représentant ? (B2B, B2C, marketplace, taille)

En pratique : la majorité des entreprises hors UE ayant des clients, utilisateurs ou destinataires dans l’UE doivent nommer un représentant, qu’elles soient B2B ou B2C, sur leur propre site ou via marketplace.

3 scénarios pratiques : quelle obligation s’applique et quelle solution choisir

1. SaaS USA avec clients UE : Un fournisseur SaaS américain vendant des abonnements à des sociétés ou utilisateurs UE doit nommer un représentant UE, publier les données dans la politique de confidentialité et tenir le registre art. 30. Solution : plan Standard REP27, incluant demandes illimitées, gestion du registre et bureau multilingue.
2. Vendeur chinois sur Amazon : Une entreprise chinoise vendant via Amazon à des consommateurs UE est pleinement soumise à l’obligation. Si elle vend aussi en Suisse, il faut évaluer l’obligation nFADP. Solution : plan Multi REP27, incluant aussi l’évaluation suisse gratuite.
3. Shop en ligne UK uniquement B2B : S’il ne traite pas de données de personnes physiques UE (seulement entreprises, pas de contact personnel), il peut être exempté. Sinon, l’obligation s’applique. Solution : évaluer au cas par cas, mais en cas de doute, mieux vaut nommer un représentant.

Ces scénarios montrent que l’évaluation doit se faire selon la clientèle (B2B/B2C), le type de données traitées et la présence d’activités de surveillance.