Qui doit nommer un représentant RGPD dans l’UE ?

• L’article 27 du RGPD impose à la plupart des entreprises hors UE traitant des données de l’UE de nommer un représentant dans l’UE.
• Exemptions : traitements occasionnels à faible risque ou activités liées à la sécurité nationale/défense.
• Le représentant doit être établi dans un État membre de l’UE où se trouvent les personnes concernées.
• Les coordonnées doivent être communiquées aux personnes concernées et aux autorités.
• Le non-respect peut entraîner des amendes allant jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial.
• Les prestataires proposent différents niveaux de service : adresse seule, mandat complet ou assistance juridique.
• Les tarifs varient largement ; des frais cachés par demande ou à la reconduction sont fréquents.

Mis à jour 17 octobre 2026 · 8 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 17 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que l’article 27 du RGPD exige

L’article 27 du RGPD établit une obligation claire : tout responsable ou sous-traitant non établi dans l’UE, mais soumis à l’article 3(2) (offrant des biens ou services à des personnes dans l’UE ou surveillant leur comportement), doit nommer par écrit un représentant dans l’UE avant de commencer toute activité de traitement de données. Cette règle garantit que les personnes concernées et les autorités de supervision de l’UE disposent d’un point de contact local pour les questions de confidentialité, même si l’entreprise est située hors UE.

Il existe d’importantes exemptions. L’article 27 ne s’applique pas si :

• Votre traitement est uniquement occasionnel, n’inclut pas de traitement à grande échelle de catégories particulières de données, et est peu susceptible de présenter un risque pour les droits et libertés des individus.
• Vos activités sont liées à la sécurité nationale ou à la défense.

Le représentant doit être établi dans l’un des États membres de l’UE où se trouvent les personnes concernées dont vous traitez les données. La nomination doit être faite par écrit et le représentant doit être autorisé à agir en votre nom concernant les obligations RGPD. Les coordonnées du représentant doivent être communiquées aux personnes concernées et aux autorités de contrôle et publiées dans votre notice de confidentialité.

Le non-respect constitue une infraction autonome selon l’article 83(4)(a), punissable par des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial. L’autorité néerlandaise a infligé une amende de 525 000 € à Locatefamily.com pour cette violation. Le représentant n’est pas un bouclier : l’article 27(5) précise que la nomination d’un représentant n’empêche pas les actions contre votre entreprise elle-même.

• Tableau des inclusions / exclusions / frais supplémentaires

Comment choisir un représentant RGPD

Choisir le bon représentant RGPD est crucial pour la conformité et l’efficacité opérationnelle. Les prestataires proposent trois principaux niveaux de service :

• Niveau 1 : Adresse seule – Service simple de réexpédition de courrier. Pas de mandat, pas de registres, pas d’obligations spécifiques RGPD. Le moins cher, mais non conforme aux exigences de l’article 27.
• Niveau 2 : Désignation – Mandat écrit, certificat, bureau de demandes et gestion des registres Article 30. C’est ce que l’article 27 attend : le prestataire accepte par écrit le rôle et les responsabilités, tient les registres et s’engage à transmettre les demandes dans un délai donné.
• Niveau 3 : Assistance juridique – Un cabinet d’avocats agit comme représentant et fournit également des conseils juridiques. Coûteux et nécessaire uniquement si vous souhaitez un conseil juridique continu, ce qui ne fait pas partie du rôle de l’article 27.

En comparant les prestataires, demandez :

• Le mandat accepte-t-il explicitement les tâches de l’article 27 ?
• Qui tient le registre Article 30 et comment est-il présenté aux autorités ?
• Quel est le délai de réponse pour transmettre les demandes des autorités ?
• Y a-t-il des frais par demande ou à la reconduction ?
• Un support multilingue est-il disponible ?

Certains prestataires, comme REP27, délivrent une lettre de désignation signée et un certificat en 24 heures, avec support multilingue et sans frais par demande sur les plans Standard et Multi. D’autres peuvent facturer par demande ou ne fournir qu’une adresse de réexpédition, ce qui ne répond pas aux exigences RGPD.

Matrice de décision :

Demandez toujours le modèle de désignation du prestataire avant de payer. S’il ne liste pas et n’accepte pas les tâches de l’article 27, vous n’achetez pas un service conforme.

Ce que le prix inclut réellement

Les tarifs des services de représentant RGPD varient de moins de 300 € à plus de 2 000 € par an. Cette variation reflète l’étendue des prestations fournies. Un prix bas peut ne couvrir qu’une adresse postale, tandis qu’un tarif plus élevé peut inclure un mandat complet, un bureau de demandes et la gestion des registres. Points clés à vérifier :

• Acceptation écrite des tâches de l’article 27 : Le prestataire doit accepter formellement le rôle et les obligations par écrit.
• Certificat et vérification publique : Un certificat vérifiable rassure clients, auditeurs et autorités. REP27 fournit un certificat avec QR code et page de vérification publique.
• Gestion multilingue des demandes : Essentiel pour une couverture paneuropéenne. REP27 offre 8 langues dès le plan Standard.
• Gestion des registres Article 30 : Le prestataire doit détenir et produire vos registres aux autorités. Inclus dans les plans Standard et Multi de REP27.
• Frais par demande ou augmentation à la reconduction : Certains prestataires facturent 25 à 90 € par demande ou augmentent les tarifs après la première année. Le plan Standard de REP27 n’a pas de frais par demande et les prix baissent à la reconduction.

Comparez ce qui est inclus dans chaque plan, pas seulement le prix affiché. Par exemple, le plan Base de REP27 couvre jusqu’à 10 demandes par an, tandis que les plans Standard et Multi offrent des demandes illimitées et la gestion des registres. Beaucoup de concurrents ne publient pas tous les détails ou exigent que vous les demandiez.

Demandez toujours par écrit le prix de la reconduction en année 2, car les tarifs d’introduction sont courants. Pour les entreprises nécessitant une représentation combinée UE et UK, certains prestataires (dont REP27) proposent les deux services, parfois avec une remise.

Coûts cachés et exclusions

De nombreux prestataires annoncent des frais annuels bas mais ajoutent des charges importantes pour des services essentiels. Coûts cachés fréquents :

• Frais par demande de personne concernée : Certains facturent 25 à 90 € par demande, ce qui peut rapidement dépasser l’abonnement annuel si vous recevez plusieurs demandes par mois.
• Frais d’installation ou d’intégration : Frais uniques de 0 à 250 € courants. REP27 inclut l’installation dans le tarif annuel.
• Support linguistique supplémentaire : Les plans d’entrée ne couvrent souvent que l’anglais. Les plans Standard et Multi de REP27 incluent 8 langues.
• Gestion des registres Article 30 : Certains facturent 100 à 400 € par an pour détenir et produire les registres. REP27 inclut cela dans les plans Standard et Multi.
• Augmentations à la reconduction : Certains prestataires augmentent les prix après la première année. Les frais de reconduction de REP27 baissent à 240/390/690 € à partir de la deuxième année.

Les conseils juridiques, services DPO et audits de conformité ne sont pas inclus chez REP27 ni chez la plupart des concurrents. REP27 ne répond pas aux demandes sur le fond ; il les transmet. La désignation ne protège pas contre les actions directes contre votre entreprise.

Les prestataires mettent rarement en avant ces exclusions et frais supplémentaires dans leur communication. Lisez toujours attentivement le mandat et les conditions de service avant de signer. Demandez spécifiquement les frais par demande, les prix à la reconduction et ce qui se passe en cas de changement ou de résiliation du service.

Comment se déroule la nomination : étape par étape

1. Évaluer l’applicabilité : Déterminez si vous êtes un responsable ou sous-traitant hors UE soumis à l’article 3(2) RGPD (offrant biens/services ou surveillant des personnes dans l’UE).
2. Identifier les pays cibles : Listez les États membres de l’UE où se trouvent vos personnes concernées. Votre représentant doit être établi dans au moins un de ces pays.
3. Pré-sélectionner les prestataires : Comparez les services, tarifs et conditions publiés. Demandez le modèle de désignation pour vérifier la couverture des obligations Article 27.
4. Examiner les frais cachés : Renseignez-vous sur les frais par demande, d’intégration, support linguistique et tarifs à la reconduction.
5. Compléter l’intégration : Remplissez le formulaire du prestataire avec les détails de l’entreprise, le périmètre de traitement et les contacts.
6. Recevoir le mandat contresigné : Le prestataire vérifie votre dossier et émet une lettre de désignation signée (REP27 : sous 24 heures). Vous recevez aussi un certificat et un code de vérification.
7. Mettre à jour la notice de confidentialité : Ajoutez le nom, l’adresse et les coordonnées du représentant dans votre notice, conformément à l’article 13(1)(a).
8. Conserver les documents de conformité : Gardez le mandat signé, le certificat et le registre Article 30 pour les audits. Ne publiez pas le mandat complet ni les conditions commerciales.
9. Fonctionnement continu : Le prestataire enregistre et transmet les demandes des personnes et autorités dans les délais convenus. Pour REP27, c’est sous deux jours ouvrables (ou le jour même pour les autorités en Standard/Multi).
10. Renouveler ou résilier : Surveillez les dates de reconduction et les conditions d’annulation. REP27 permet l’annulation avant renouvellement avec confirmation écrite.

Ce processus garantit le respect de l’article 27 et la préparation aux audits ou contrôles réglementaires.

Risques et amendes en cas de non-conformité

Nommer un représentant UE n’est pas optionnel pour la plupart des entreprises hors UE traitant des données personnelles de l’UE. Les risques de non-conformité sont importants :

• Infraction autonome : Le défaut de nomination est une violation selon l’article 83(4)(a) RGPD, même sans violation de données.
• Amendes : Les autorités peuvent infliger des amendes jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel, selon le montant le plus élevé. Par exemple, Locatefamily.com a été sanctionné de 525 000 € par l’autorité néerlandaise pour défaut de représentant.
• Exécution directe : La nomination d’un représentant ne protège pas votre entreprise contre les actions en justice. Les autorités peuvent agir directement contre vous (article 27(5)).
• Risque opérationnel : Sans représentant, vous risquez de ne pas répondre aux demandes des personnes ou aux contrôles en temps utile, ce qui entraîne d’autres sanctions et un préjudice réputationnel.

Pour réduire ces risques, assurez-vous que votre prestataire délivre un mandat contresigné, détient votre registre Article 30 (si nécessaire) et s’engage à transmettre les demandes dans les délais. Conservez tous les documents pour les audits. Si le prestataire ne peut pas agir pour votre entreprise (ex. activités interdites), il doit vous rembourser intégralement et fournir une confirmation écrite, comme le fait REP27.

Ce que les prestataires ne disent généralement pas

Beaucoup de prestataires de représentants RGPD ne divulguent pas entièrement les limites et exclusions de leurs services. Oublis fréquents :

• Réexpédition de courrier uniquement : Certaines offres d’entrée de gamme ne fournissent qu’une adresse postale, pas un mandat conforme à l’article 27. Ces offres ne répondent pas aux exigences RGPD.
• Frais par demande : Des frais annuels bas peuvent cacher des frais élevés par demande, rendant le service coûteux si vous recevez plusieurs demandes.
• Registres non détenus : Certains prestataires ne tiennent pas votre registre Article 30, pourtant obligatoire. Vérifiez toujours qui détient et produit ce registre.
• Renouvellements automatiques et hausses de prix : Beaucoup augmentent les tarifs après la première année ou renouvellent automatiquement sans préavis clair. Demandez toujours le prix en année 2 par écrit.
• Limites de responsabilité : Le représentant n’est pas responsable de vos violations RGPD. L’article 27(5) précise que votre entreprise reste pleinement responsable.
• Résiliation et transfert : Vérifiez ce qu’il advient des demandes en cours et des registres si vous changez ou résiliez de prestataire. REP27 prévoit une confirmation écrite et des procédures de transfert.

Lisez toujours attentivement la description du service et le mandat. Demandez tous les termes par écrit avant de vous engager, et clarifiez ce qui est inclus, exclu et soumis à frais supplémentaires.

Checklist : comment nommer un représentant RGPD aujourd’hui

1. Confirmez si vous êtes un responsable ou sous-traitant hors UE soumis à l’article 3(2) RGPD.
2. Identifiez dans quels pays de l’UE se trouvent vos personnes concernées.
3. Pré-sélectionnez des prestataires proposant un mandat écrit Article 27.
4. Demandez et examinez le modèle de désignation.
5. Vérifiez les frais cachés et conditions de reconduction.
6. Complétez l’intégration et recevez les documents contresignés.
7. Mettez à jour votre notice de confidentialité avec les coordonnées du représentant.
8. Conservez le mandat signé et le certificat pour les audits.
9. Assurez-vous que votre registre Article 30 est détenu et accessible si nécessaire.
10. Surveillez les dates de reconduction et conditions d’annulation pour éviter des frais indésirables.

Suivre cette checklist vous aidera à obtenir et maintenir la conformité, éviter les amendes et répondre efficacement aux demandes des personnes et autorités.

Scénarios réalistes : qui a besoin de quoi ?

• SaaS américain vendant à des entreprises et consommateurs de l’UE : Doit nommer un représentant UE selon l’article 27. Le plan Standard de REP27 couvre toutes les exigences : mandat écrit, transmission illimitée des demandes, gestion des registres, support multilingue. Le plan Base convient aux faibles volumes, mais le Standard est recommandé pour la plupart des SaaS.
• Vendeur chinois Amazon sur les places de marché UE : A besoin d’un représentant RGPD UE (protection des données) et, pour la conformité produit, d’un responsable GPSR. Le plan Multi de REP27 couvre les deux rôles avec une seule commande et une seule date de renouvellement, simplifiant la conformité pour les vendeurs Amazon, Etsy ou eBay.
• Boutique en ligne UK avec clients UE : Après le Brexit, les entreprises UK offrant des biens ou services à l’UE doivent nommer un représentant UE. Le plan Base ou Standard de REP27 convient selon le volume de demandes des personnes et le besoin de gestion des registres. Si vous vendez aussi des produits marqués CE, considérez le plan Multi pour une représentation combinée.

Dans chaque scénario, la voie la plus simple et conforme est de nommer un prestataire délivrant un mandat signé, tenant vos registres (si requis) et fournissant une documentation claire et vérifiable pour audits et clients.