Qui a besoin d’un délégué à la protection des données pour l’UE ? Prestataires & tarifs 2026

• Obligation DPD : organismes publics ou surveillance étendue/données sensibles (Art. 37 RGPD)
• Représentant UE selon Art. 27 RGPD pour entreprises hors UE avec clients/utilisateurs européens
• Amendes jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial en cas de non-respect (Art. 83 RGPD)
• REP27 : représentant UE pour tout l’EEE dès 290 €/an, incluant certificat & plus
• Les prestations et frais supplémentaires varient fortement selon les prestataires
• Tout le monde n’a pas besoin d’un DPD ou représentant UE – voir matrice de décision

Mis à jour 19 octobre 2026 · 6 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 19 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Que demande le RGPD ? (Articles 27, 37, 83)

Le Règlement général sur la protection des données (RGPD) distingue deux rôles clés : le délégué à la protection des données (DPD) et le représentant UE. Ces obligations concernent différentes entreprises et situations :

• Délégué à la protection des données (DPD, Art. 37-39) : Un DPD est obligatoire pour les organismes publics ainsi que pour les entreprises dont l’activité principale implique une surveillance systématique étendue des personnes ou un traitement à grande échelle de catégories particulières de données personnelles (ex. données de santé, opinions politiques). Les missions du DPD sont définies à l’article 39 RGPD : conseil, contrôle de conformité, point de contact pour autorités et personnes concernées, aide aux analyses d’impact.
• Représentant UE (Art. 27) : Les entreprises hors UE qui proposent des biens ou services à des personnes dans l’UE ou qui surveillent leur comportement (ex. tracking, analytics) doivent désigner un représentant UE par écrit. Ce représentant est le contact pour les autorités et les personnes concernées et tient le registre des activités de traitement (Art. 30) si le prestataire le prend en charge.

L’obligation de désigner un représentant UE ne s’applique pas si le traitement est occasionnel, ne concerne pas de données sensibles et ne présente pas de risque pour les droits et libertés des personnes. La nomination d’un DPD n’est pas nécessaire pour beaucoup de petites entreprises, sauf en cas de surveillance étendue ou traitement de données sensibles.

Amendes : Le non-respect de l’obligation de désigner un représentant UE peut entraîner une amende allant jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel (Art. 83, paragraphe 4 RGPD). Par exemple, l’autorité néerlandaise a infligé une amende de 525 000 € à Locatefamily.com pour absence de représentant UE.

L’obligation de nommer un DPD est définie à l’article 37 RGPD (source), ses missions à l’article 39 (source) et les sanctions à l’article 83 (source).

Comment choisir le bon prestataire ? Critères clés & comparaison

Choisir un représentant UE ou un prestataire DPD adapté est crucial pour la conformité. Les offres varient fortement en termes de services, délais de réponse et coûts cachés. Voici les critères à vérifier :

• Le prestataire accepte-t-il par écrit les missions selon l’Art. 27 RGPD ? Un mandat réel doit explicitement couvrir les obligations de l’article 27. Une simple boîte postale ou adresse ne suffit pas.
• Qui tient le registre Art. 30 ? Le RGPD exige que le représentant puisse présenter le registre des activités de traitement sur demande. Tous les prestataires ne le font pas.
• Délais de réponse aux demandes : Quelle est la rapidité de transfert des demandes des autorités ou des personnes concernées ? Une promesse vague sans délai est risquée. REP27 garantit par exemple le transfert sous 2 jours ouvrés (standard : même jour pour les autorités).
• Langues : Les demandes sont-elles traitées en plusieurs langues européennes ? REP27 propose un service en 8 langues, beaucoup d’offres d’entrée de gamme seulement en anglais.
• Frais supplémentaires : Tous les services sont-ils inclus dans le prix ou y a-t-il des frais par demande, par langue ou pour la tenue du registre ?

Comparaison directe :

Demandez toujours la lettre de désignation et vérifiez que les missions selon l’Art. 27 sont explicitement prises en charge. Faites confirmer par écrit l’étendue des services et la structure tarifaire avant engagement.

Que comprend le prix ? Où se cachent les coûts cachés ?

Les modèles tarifaires pour représentants UE et services DPD sont très variés. Beaucoup d’offres attirent par des prix d’entrée bas mais facturent chaque demande des personnes concernées ou autorités (souvent 25 à 90 € par demande). La tenue du registre Art. 30 est aussi souvent facturée séparément (100 à 400 €/an). Chez REP27, à partir du forfait standard, toutes les demandes sont incluses, le registre est tenu, sans frais cachés. Vérifiez notamment :

• Si le prix couvre les demandes illimitées ou par demande
• Si le registre Art. 30 est inclus
• Si le renouvellement est plus cher (chez REP27, le prix baisse l’année suivante)
• Si des langues supplémentaires coûtent plus cher

Certains prestataires proposent juste une adresse postale sans réelle prise en charge des obligations légales. Ce n’est pas conforme et peut entraîner des amendes. Voici un aperçu des pièges tarifaires typiques :

Lisez bien les conditions générales et demandez un aperçu complet des prestations avant de vous engager.

Comment se déroule la nomination ? Guide étape par étape & matrice de décision

La nomination d’un représentant UE ou d’un DPD suit un processus clair chez les prestataires sérieux. Voici comment vous assurer de respecter toutes les obligations légales :

1. Vérifiez si vous avez besoin d’un représentant UE ou DPD (voir matrice ci-dessous).
2. Comparez les prestataires et demandez la lettre de désignation pour examen.
3. Remplissez le formulaire d’intégration (informations sur l’entreprise, traitements, contacts).
4. Recevez la contre-signature et le certificat (chez REP27 sous 24 h).
5. Publiez les coordonnées du représentant dans votre politique de confidentialité (Art. 13/14 RGPD).
6. Tenez à jour le registre Art. 30 (ou faites-le tenir par le prestataire).
7. Si besoin : réalisez le contrôle gratuit de représentation en Suisse (REP27).

Matrice de décision :

Cette matrice aide à éviter les dépenses inutiles et à choisir la solution de conformité adaptée.

Checklist pour aujourd’hui :

1. Vérifiez si vous relevez des articles 27 ou 37 RGPD.
2. Comparez au moins trois prestataires (services, prix, frais supplémentaires).
3. Demandez la lettre de désignation et vérifiez la prise en charge des missions.
4. Demandez qui tient le registre Art. 30 et les délais de réponse.
5. Commandez le service et documentez la nomination.
6. Mettez à jour votre politique de confidentialité et vos processus internes.

Ce que les prestataires ne disent pas souvent : exclusions, résiliation, responsabilité

Beaucoup de prestataires omettent des détails importants dans leur communication marketing, pourtant cruciaux en cas de problème :

• Pas de conseil juridique : Un représentant UE ne peut pas fournir de conseils juridiques dans le cadre de sa mission. Pour cela, un avocat ou DPD séparé est nécessaire.
• Responsabilité au client : Selon l’article 27(5) RGPD, la responsabilité des violations de données incombe toujours au responsable ou sous-traitant. Le représentant est juste un point de contact et n’est pas responsable des erreurs du client.
• Délais de résiliation et renouvellement automatique : Les modalités varient. Chez REP27, la résiliation est possible avec un préavis de 30 jours avant renouvellement. Vérifiez comment sont gérées la transmission des demandes et des registres.
• Frais par demande : Beaucoup facturent des frais supplémentaires par demande des personnes concernées ou autorités, souvent cachés dans les petites lignes. Chez REP27 Standard et Multi, toutes les demandes sont incluses.
• Langues et service : Un service annoncé pour toute l’UE est souvent disponible uniquement en anglais. REP27 propose un service en 8 langues, facilitant la conformité.
• Pas de prise en charge de responsabilités produits spécifiques : Le rôle de responsable GPSR ou représentant autorisé CE n’est inclus que dans le forfait Multi de REP27, pas dans la base.

Lisez attentivement les CGV et la lettre de désignation. Vérifiez que le prestataire garantit la transmission des documents en cas de changement.

Trois scénarios réalistes : comment remplir correctement l’obligation

1. Fournisseur SaaS US avec clients UE : Une société américaine propose une solution cloud à des clients européens. Elle ne traite pas de données sensibles mais surveille l’activité des utilisateurs (ex. connexions, statistiques d’usage). Résultat : représentant UE obligatoire selon Art. 27 RGPD. Un DPD n’est requis qu’en cas de surveillance étendue ou données sensibles. Solution la plus économique et conforme : REP27 Standard – toutes les demandes incluses, registre tenu, service en 8 langues.
2. Vendeur chinois Amazon : Un commerçant chinois vend via Amazon.de à des clients européens. Il doit désigner un représentant UE (Art. 27 RGPD) et éventuellement un responsable GPSR pour conformité produit. Pas de DPD nécessaire sauf surveillance étendue ou données sensibles. Solution complète : REP27 Multi – représentant UE et responsable GPSR dans un contrat, un interlocuteur, un certificat.
3. Boutique en ligne UK sans clients UE : Un e-shop britannique vend uniquement au Royaume-Uni et ne traite pas de données de citoyens européens. Résultat : pas d’obligation de désigner un représentant UE ou DPD. L’obligation apparaît seulement en cas de ciblage ou livraison à des clients européens.

Ces scénarios montrent l’importance d’analyser son modèle d’affaires. Qui cible ou surveille des clients européens doit désigner un représentant UE, quelle que soit la taille de l’entreprise.