Quelles entreprises ont besoin d'un représentant UE pour le RGPD ?

• L'article 27 RGPD oblige les entreprises hors UE ciblant l'UE à désigner un représentant.
• L'obligation s'applique aux responsables et sous-traitants hors UE selon l'art. 3(2).
• Exclut les autorités publiques et traitements occasionnels à faible risque.
• Amendes en cas de non-respect : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial.
• Le représentant doit être établi dans l'UE et accepter le mandat par écrit.
• Comparer prix et services est essentiel : différences et coûts cachés existent.

Mis à jour 21 octobre 2026 · 8 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 21 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Que demande la loi ? (Articles 3 et 27 RGPD)

Le Règlement général sur la protection des données (RGPD) stipule à son article 27 que toute entreprise ou entité établie hors de l'Union européenne (UE) qui, selon l'article 3(2), propose des biens ou services à des personnes dans l'UE ou surveille leur comportement, doit désigner par écrit un représentant dans l'UE. Ce représentant agit comme point de contact pour les personnes concernées et les autorités de protection des données, et doit être établi dans un État membre où résident les personnes concernées.

• L'obligation s'applique aux responsables (contrôleurs) comme aux sous-traitants (processeurs) hors UE.
• La désignation doit être formalisée par écrit et signée par les deux parties, précisant l'étendue, les obligations et la durée du mandat.
• Le représentant doit tenir un registre des activités de traitement (Art. 30 RGPD) et coopérer avec les autorités si nécessaire.
• Exceptions : pas d'obligation pour les autorités publiques ni pour les traitements occasionnels, à faible risque, sans catégories spéciales de données ou données pénales.

L'absence de désignation constitue une infraction indépendante selon l'article 83(4)(a), passible d'une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, selon le montant le plus élevé. Un exemple réel est l'amende de 525 000 euros infligée à Locatefamily.com par l'autorité néerlandaise pour absence de représentant.

Le représentant n'assume pas la responsabilité juridique du traitement : elle reste à la charge du responsable ou sous-traitant original. Sa fonction est administrative et de contact, non de conseil juridique.

Comment choisir un représentant UE : critères clés et comparatif

Choisir un représentant UE adapté est crucial pour respecter le RGPD et éviter les sanctions. Tous les services ne se valent pas : certains offrent seulement une adresse postale, d'autres acceptent formellement le mandat et gèrent les demandes et registres. Avant de décider, vérifiez ces points :

• Désignation formelle : Le fournisseur accepte-t-il explicitement le mandat Art. 27 et le signe-t-il ?
• Gestion des registres : Tient-il et produit-il le registre des activités (Art. 30) si demandé par une autorité ?
• Langues supportées : Le service couvre-t-il les langues nécessaires pour vos clients et autorités ?
• Coûts additionnels : Y a-t-il des frais par demande, langues supplémentaires ou renouvellement ?
• Certificats et vérification : Offre-t-il un certificat vérifiable et des mécanismes publics de contrôle ?

Comparatif des services (informations publiques octobre 2026) :

Demandez toujours la lettre de désignation avant paiement et vérifiez qu'elle couvre toutes les tâches exigées par le RGPD.

Que comprend réellement le prix ? Tarifs, niveaux et coûts cachés

Le prix publié par les fournisseurs de représentants UE peut varier fortement et ne reflète pas toujours le coût total du service. Il est essentiel d'analyser ce que chaque tarif inclut et quels frais peuvent survenir ensuite.

• Tarifs de base : De moins de 300 €/an à plus de 2 000 €/an, selon qu'ils offrent seulement une adresse, une désignation formelle ou des services juridiques supplémentaires.
• Coûts par demande : Certains facturent entre 25 € et 90 € par demande d'intéressé traitée. Cela peut faire exploser le coût réel si vous recevez beaucoup de demandes.
• Gestion des registres : Tenir et produire le registre des activités (Art. 30) coûte souvent entre 100 € et 400 €/an chez beaucoup de fournisseurs. REP27 l'inclut dès le plan Standard.
• Langues et support : Le support multilingue est rare dans les plans basiques ; REP27 couvre 8 langues en Standard et Multi.
• Renouvellements : Certains augmentent le prix après la première année. REP27 réduit le prix au renouvellement à partir de la deuxième année.

Exemple pratique : une entreprise recevant 20 demandes par an et souscrivant un plan avec coût par demande peut finir par payer plus du double du prix de base. Demandez toujours le contrat et calculez le coût total annuel avant de choisir.

Résumé des niveaux de service :

• Adresse postale : Simple réexpédition, sans acceptation formelle ni gestion des registres.
• Désignation formelle : Mandat signé, gestion des demandes et registres, engagement de réponse.
• Retenue juridique : Inclut conseil juridique, généralement inutile pour la majorité des entreprises.

Fonctionnement de la désignation étape par étape : guide pratique

Le processus de désignation d'un représentant UE selon le RGPD doit être rigoureux et documenté. Voici un guide étape par étape pour bien respecter les règles :

1. Évaluez l'obligation : Confirmez que votre entreprise est hors UE et propose des biens/services ou surveille des personnes dans l'UE.
2. Choisissez un fournisseur : Sélectionnez un fournisseur acceptant explicitement le mandat Art. 27 et établi dans l'UE.
3. Demandez la lettre de désignation : Obtenez le projet de lettre et vérifiez qu'elle inclut acceptation formelle, étendue, gestion des registres et délais de réponse.
4. Signez et contre-signez : Signez la désignation ; le fournisseur doit la contre-signer (REP27 le fait en 24h).
5. Recevez le certificat : Le fournisseur doit émettre un certificat vérifiable avec QR code et page publique.
6. Mettez à jour votre politique de confidentialité : Ajoutez les données du représentant (nom, adresse, email) selon l'art. 13/14 RGPD.
7. Opérationnel : Le représentant reçoit, enregistre et relaie les demandes des personnes et autorités dans les délais. Avec REP27, les demandes sont relayées sous 2 jours ouvrés (ou le jour même pour autorités en Standard/Multi).
8. Gestion des registres : Si inclus dans votre plan, le représentant tient le registre Art. 30 et le fournit aux autorités si demandé.

Checklist pour acheteurs :

1. Votre entreprise offre-t-elle biens/services ou surveille-t-elle des personnes dans l'UE ?
2. Êtes-vous hors UE ?
3. Le traitement est-il plus qu'occasionnel et non exclu ?
4. Demandez la lettre de désignation et vérifiez qu'elle accepte les tâches Art. 27.
5. Interrogez sur les coûts supplémentaires : demandes, langues, renouvellement.
6. Vérifiez qu'ils tiennent votre registre Art. 30 et le fournissent aux autorités.
7. Confirmez le support dans les langues requises.
8. Vérifiez les délais de réponse aux autorités.
9. Signez et publiez les données du représentant dans votre politique de confidentialité.

Risques, sanctions et scénarios de non-conformité

Ne pas désigner un représentant UE quand c'est obligatoire constitue une infraction indépendante au RGPD, passible d'amendes allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, selon l'article 83(4)(a). Les autorités peuvent engager des procédures même sans plainte préalable, et l'absence de réponse ou une désignation invalide peut aggraver les conséquences.

• Exemple réel : Locatefamily.com a été sanctionné de 525 000 euros par l'autorité néerlandaise uniquement pour absence de représentant désigné.
• Mandat invalide : Désigner seulement une adresse postale ou un fournisseur qui n'accepte pas formellement le mandat peut être pire que rien, car un tiers non responsable est nommé.
• Responsabilité : Le représentant n'assume pas la responsabilité juridique du traitement, mais doit coopérer pleinement avec les autorités et faciliter la communication avec le responsable hors UE.

Recommandations pour éviter les risques :

• Vérifiez que le mandat est signé et accepte expressément les tâches de l'article 27.
• Confirmez que le représentant tient et produit le registre Art. 30 si demandé.
• Ne vous fiez pas uniquement aux prix bas : vérifiez l'étendue réelle du service et les délais de réponse.

Le non-respect peut nuire à la réputation, à la capacité d'opérer dans l'UE et entraîner des sanctions financières importantes.

Matrice de décision : avez-vous besoin d'un représentant UE ?

La matrice suivante vous aide à déterminer si votre entreprise doit désigner un représentant UE selon le RGPD. Analysez votre situation et vérifiez si l'obligation s'applique :

Exemples concrets :

• Un SaaS américain permettant l'inscription d'utilisateurs UE : Oui, besoin de représentant.
• Un fabricant chinois vendant sur Amazon à des clients UE : Oui, besoin de représentant.
• Une ONG canadienne traitant uniquement des données de donateurs hors UE : Pas besoin de représentant.

Ce que les fournisseurs ne disent souvent pas : exclusions, renouvellements et limites

Beaucoup de fournisseurs omettent des détails clés qui peuvent affecter la conformité et le coût réel du service. Il est crucial de lire les conditions et de poser des questions avant de souscrire :

• Adresse postale uniquement : Certains offrent juste une adresse dans l'UE, sans accepter formellement le mandat ni s'engager à répondre aux demandes ou tenir les registres.
• Gestion des registres : La plupart n'incluent pas la gestion et la remise du registre Art. 30 dans le prix de base ; cela peut représenter un coût annuel important.
• Support limité : Le support est souvent uniquement en anglais, même si la couverture UE est annoncée. REP27 inclut 8 langues en Standard et Multi.
• Coûts par demande : Les frais par demande peuvent dépasser le prix annuel si vous recevez beaucoup de requêtes.
• Renouvellements automatiques : Certains contrats se renouvellent automatiquement avec augmentation du prix après la première année. REP27 réduit le prix au renouvellement.
• Limites de responsabilité : Le représentant n'assume pas votre responsabilité juridique ni ne fournit de conseil juridique sauf si vous souscrivez un plan juridique spécifique.
• Activités exclues : REP27 n'accepte pas les clients traitant des données sensibles, pénales, à haut risque, enfants de moins de 16 ans, scraping, contenu adulte, armes, cryptomonnaies, ou activités nécessitant licence.

Demandez toujours le contrat et vérifiez tous les points avant de vous engager.

Scénarios pratiques : exemples d'obligation et voies de conformité

Pour illustrer comment s'applique l'obligation de représentant UE, voici trois scénarios réels et la voie la plus simple pour se conformer :

• SaaS américain vendant à entreprises et consommateurs UE : Doit désigner un représentant UE. Le plan Standard de REP27 couvre demandes illimitées, support en 8 langues et tenue des registres. Ajoutez les données du représentant dans la politique de confidentialité et répondez aux demandes via le desk.
• Vendeur chinois sur Amazon expédiant vers l'UE : Obligation de représentant selon RGPD Art. 27. Si vend des produits soumis au marquage CE ou GPSR, REP27 Multi couvre aussi la fonction de responsable GPSR et représentant autorisé CE. Ajoutez les données dans les listings et documents produit.
• Boutique en ligne au Royaume-Uni vendant toujours à l'UE : Après le Brexit, besoin de représentant UE et souvent UK. EUverify propose les deux dans un seul plan ; REP27 les propose séparément avec réduction si pris ensemble. Ajoutez les deux données dans la politique de confidentialité et répondez selon chaque juridiction.

Dans tous les cas, la désignation doit être formelle, signée et reflétée dans la documentation publique et privée de l'entreprise.