Qui a besoin d’un représentant UK GDPR ? Tout ce qu’il faut savoir (2026)

• Obligation pour les entreprises hors UK offrant biens/services ou surveillant des utilisateurs UK
• Pas nécessaire si l’entreprise est établie au Royaume-Uni ou si le traitement est vraiment occasionnel
• Le représentant doit être nommé par écrit et publié
• Sanctions jusqu’à £17,5 millions ou 4 % du chiffre d’affaires mondial
• Prix et services varient selon les prestataires : comparaison détaillée ci-dessous

Mis à jour 21 octobre 2026 · 9 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 21 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Exigences légales : Article 27 UK GDPR

L’Article 27 du UK GDPR stipule que tout responsable ou sous-traitant non établi au Royaume-Uni, mais offrant des biens ou services à des personnes au Royaume-Uni ou surveillant leur comportement, doit nommer par écrit un représentant UK GDPR. Ce représentant doit être établi au Royaume-Uni et servir de point de contact local pour les personnes concernées et pour l’Information Commissioner’s Office (ICO). L’obligation s’applique indépendamment de la présence physique de serveurs ou infrastructures au UK : ce qui compte est une activité réelle et continue (un simple boîte postale ou un entrepôt tiers ne suffit pas).

• Obligation de nomination : La désignation doit être écrite et publiée dans la notice de confidentialité, avec des coordonnées accessibles.
• Responsabilité : Le représentant agit comme point de contact mais ne dégage pas le responsable/sous-traitant de ses responsabilités (Art. 27(4)).
• Exemptions : L’obligation ne s’applique pas si le traitement est vraiment occasionnel, n’inclut pas de données sensibles ou pénales et ne présente pas de risques pour les droits des personnes concernées (Art. 27(2)-(6)). Toutes ces conditions doivent être remplies.
• Sanctions : Le défaut de nomination est une infraction autonome pouvant entraîner des amendes jusqu’à £17,5 millions ou 4 % du chiffre d’affaires mondial (source).

La réglementation s’applique à toute entreprise hors UK qui :

• Vend des produits ou services à des clients au Royaume-Uni (même B2B si des données personnelles sont impliquées)
• Surveille le comportement de personnes au Royaume-Uni (ex. via cookies, analytics, publicité ciblée)

Sources : Article 27 UK GDPR, ICO

Comment choisir le prestataire : critères, comparaison et services inclus

Le choix du prestataire pour le représentant UK GDPR est crucial pour éviter erreurs de conformité et coûts cachés. Voici les critères pratiques à considérer :

• Couverture territoriale : Certains prestataires offrent uniquement UK, d’autres aussi la représentation UE (utile pour les entreprises vendant dans les deux zones).
• Prix et renouvellement : Les tarifs varient de £120 à plus de £750/an ; vérifiez si le renouvellement est à prix réduit ou s’il y a des frais supplémentaires.
• Services inclus : Au-delà de la désignation formelle, certains prestataires proposent badges de vérification, formulation notice confidentialité, gestion DSAR, registre traitements, audit trail et desk multilingue.
• Délais de désignation : REP27 délivre la désignation sous 24h ; d’autres prestataires ne précisent pas toujours les délais.
• Certifications et vérifications publiques : REP27 fournit un certificat avec QR code et vérification publique ; d’autres offrent badge ou Trust Center.

Tableau inclusions/exclusions (octobre 2026) :

Le meilleur choix dépend de votre zone d’activité, besoins d’audit et nécessité d’une couverture combinée UK+UE. Si vous vendez sur les deux marchés, une solution combinée comme REP27 réduit coûts et complexité administrative.

Ce que le prix inclut vraiment : détails pratiques et matrice décisionnelle

Le prix affiché par les prestataires peut inclure des services très différents. Certains offrent uniquement la désignation formelle, d’autres incluent outils d’audit, badge de vérification, formulation notice confidentialité, gestion DSAR, registre traitements et desk multilingue. Il est essentiel de vérifier ce qui est effectivement compris et quels services sont optionnels ou payants en supplément.

Par exemple, REP27 propose deux désignations (UK+UE), deux certificats, formulation notice confidentialité en 8 langues, desk demandes, registre traitements et badge vérifiable. Gabsor et Euverify offrent aussi Trust Center, badge, audit trail et gestion DSAR. FSREG, GDPR Gateway, Janus et DataRep UK se concentrent sur la représentation UK avec services basiques et transfert demandes.

Tableau décisionnel pratique :

Attention : le traitement "occasionnel" est interprété strictement. Même un petit e-commerce recevant des commandes régulières n’est pas considéré comme occasionnel. En cas de doute, vérifiez toujours avec le prestataire avant d’acheter.

Coûts cachés et limites : ce que les prestataires ne disent pas

Beaucoup de prestataires ne mettent pas clairement en avant certaines conditions et limites :

• Responsabilité limitée : Le représentant n’assume pas la responsabilité légale du responsable/sous-traitant ; il agit uniquement comme point de contact (Art. 27(4)).
• Exclusions : Aucun prestataire ne fait office de DPO ni ne fournit de conseil en confidentialité inclus dans le prix de la représentation. Le conseil est souvent "sur demande" et peut engendrer des coûts supplémentaires.
• Coûts supplémentaires : Certains prestataires facturent des frais additionnels pour demandes complexes, changement de données, services d’audit avancés ou gestion de gros volumes de demandes. Ces coûts sont souvent "sur demande" et pas toujours publiés.
• Délai de préavis : La période de préavis pour résiliation n’est pas toujours précisée. Il est important de vérifier les conditions contractuelles.
• Renouvellement et changement : REP27 propose un renouvellement à prix réduit et un changement facilité depuis un autre prestataire, mais d’autres fournisseurs peuvent ne pas offrir ces avantages.

Tableau récapitulatif des exclusions et limites (octobre 2026) :

Conseil pratique : demandez toujours au prestataire une liste écrite des services inclus et des éventuels frais supplémentaires avant de signer.

Comment se déroule la nomination : étapes, checklist et délais

La nomination du représentant UK GDPR est un processus qui peut être réalisé rapidement en suivant les bonnes étapes. Voici un guide pratique étape par étape :

1. Vérifiez si vous êtes soumis à l’obligation : Répondez aux trois questions clés : (1) Êtes-vous établi hors Royaume-Uni ? (2) Offrez-vous biens/services ou surveillez-vous des utilisateurs UK ? (3) Traitez-vous des données personnelles ?
2. Choisissez le prestataire : Évaluez la couverture (UK seul ou aussi UE), les services inclus, le prix et les délais de délivrance.
3. Remplissez le formulaire de désignation : Fournissez les données de l’entreprise, description des traitements, contacts et documents requis. Avec REP27, le processus prend environ 5 minutes.
4. Recevez la désignation : Le prestataire émet la désignation signée, le certificat et la formulation pour la notice de confidentialité (REP27 sous 24h).
5. Mettez à jour la notice de confidentialité : Insérez la formulation fournie avec les coordonnées du représentant UK et les modalités de contact.
6. Publiez et communiquez : Assurez-vous que la désignation soit facilement accessible aux utilisateurs et autorités.
7. Renouvelez annuellement : Suivez la date d’échéance et renouvelez pour éviter toute interruption de conformité.

Checklist rapide :

• Avez-vous des clients ou utilisateurs UK ?
• Offrez-vous des services ou surveillez-vous des comportements ?
• Avez-vous déjà un représentant nommé ?
• Avez-vous mis à jour la notice de confidentialité ?
• Avez-vous vérifié la couverture et les services inclus ?

Le délai typique varie de 24 heures (REP27) à quelques jours ouvrés, selon le prestataire et la complétude des données fournies.

Risques, sanctions et cas pratiques : scénarios réels

Le défaut de nomination d’un représentant UK GDPR lorsque cela est requis comporte des risques concrets : sanctions pouvant atteindre £17,5 millions ou 4 % du chiffre d’affaires mondial (source), blocage des relations commerciales et atteintes à la réputation. Le représentant ne supprime pas la responsabilité du responsable, mais garantit un point de contact local pour les utilisateurs et l’ICO.

Trois scénarios réels :

• SaaS US offrant des services aux utilisateurs UK et UE : Doit nommer un représentant UK et un représentant UE. Solution la plus efficace : prestataire offrant une désignation combinée (ex. REP27), avec un seul onboarding et documents séparés.
• Vendeur chinois sur Amazon UK : Même sans siège physique, s’il vend à des clients UK, il doit nommer un représentant UK GDPR. Il peut choisir un prestataire focalisé uniquement sur UK ou, s’il vend aussi en UE, une solution combinée.
• Boutique en ligne UK vendant uniquement au UK : Si elle est déjà établie au Royaume-Uni (bureau, succursale, personnel), elle n’a pas d’obligation de représentant. Si c’est une société UE vendant à des clients UK, elle doit nommer un représentant UK GDPR.

Matrice décisionnelle pratique :

Conseil : ne tardez pas à nommer un représentant en attendant une demande de l’ICO ou d’un client. La nomination est préventive et le non-respect peut être détecté via des contrôles en ligne.