¿Quién debe nombrar un representante GDPR en la UE?

• El Artículo 27 del GDPR exige que la mayoría de las empresas no pertenecientes a la UE que procesan datos de la UE nombren un representante en la UE.
• Exenciones: tratamiento ocasional, de bajo riesgo o actividades relacionadas con seguridad nacional/defensa.
• El representante debe estar establecido en un Estado miembro de la UE donde se encuentren los interesados.
• Se deben facilitar los datos de contacto a los interesados y autoridades.
• El incumplimiento puede conllevar multas de hasta 10 millones de euros o el 2 % de la facturación mundial.
• Los proveedores ofrecen distintos niveles de servicio: solo dirección, mandato completo o asesoría legal.
• Los precios varían ampliamente; son comunes las tarifas ocultas por solicitud o renovación.

Actualizado 16 octubre 2026 · 8 fuentes verificadas

Proveedores comparados

Precios publicados en la web de cada proveedor el 16 octubre 2026, IVA no incluido salvo indicación. Cada fila enlaza a su fuente.

Qué exige el Artículo 27 del GDPR

El Artículo 27 del GDPR establece una obligación clara: cualquier responsable o encargado no establecido en la UE, pero sujeto al Artículo 3(2) (ofrecer bienes o servicios a individuos en la UE o supervisar su comportamiento), debe nombrar un representante por escrito en la UE antes de iniciar cualquier actividad de tratamiento de datos. Esta regla garantiza que los interesados y autoridades de la UE tengan un punto de contacto local para asuntos de privacidad, incluso cuando la empresa esté fuera de la UE.

Existen importantes exenciones. El Artículo 27 no se aplica si:

• Su tratamiento es solo ocasional, no incluye tratamiento a gran escala de categorías especiales de datos y es improbable que suponga un riesgo para los derechos y libertades de las personas.
• Sus actividades están relacionadas con la seguridad nacional o defensa.

El representante debe estar establecido en uno de los Estados miembros de la UE donde se encuentren los interesados cuyos datos procesa. El nombramiento debe hacerse por escrito y el representante debe estar autorizado para actuar en su nombre respecto a las obligaciones del GDPR. Los datos de contacto del representante deben proporcionarse tanto a los interesados como a las autoridades y publicarse en su aviso de privacidad.

El incumplimiento es una infracción independiente según el Artículo 83(4)(a), sancionable con multas de hasta 10 millones de euros o el 2 % de la facturación mundial. La autoridad holandesa multó a Locatefamily.com con 525.000 € por esta violación. El representante no es un escudo: el Artículo 27(5) aclara que nombrar un representante no impide acciones contra su propia empresa.

• Tabla de servicios incluidos / no incluidos / tarifas extra

Cómo elegir un representante GDPR

Elegir el representante GDPR adecuado es fundamental para el cumplimiento y la eficiencia operativa. Los proveedores ofrecen tres niveles principales de servicio:

• Nivel 1: Solo dirección – Servicio simple de reenvío postal. Sin mandato, sin registros, sin obligaciones específicas del GDPR. Es el más barato, pero no cumple con los requisitos del Artículo 27.
• Nivel 2: Designación – Mandato escrito, certificado, mesa de solicitudes y gestión de registros del Artículo 30. Esto es lo que espera el Artículo 27: el proveedor acepta el rol y responsabilidades por escrito, mantiene registros y se compromete a reenviar solicitudes en un plazo establecido.
• Nivel 3: Asesoría legal – Un despacho de abogados actúa como representante y también ofrece asesoría legal. Es costoso y solo necesario si se desea asesoría legal continua, que no forma parte del rol del Artículo 27.

Al comparar proveedores, pregunte:

• ¿El mandato acepta explícitamente las tareas del Artículo 27?
• ¿Quién mantiene el registro del Artículo 30 y cómo se presenta a las autoridades?
• ¿Cuál es el tiempo de respuesta para reenviar solicitudes de autoridades?
• ¿Existen tarifas por solicitud o renovación?
• ¿Hay soporte multilingüe disponible?

Algunos proveedores, como REP27, emiten una carta de designación firmada y certificado en 24 horas, con soporte multilingüe y sin tarifas por solicitud en planes Estándar y Multi. Otros pueden cobrar por solicitud o solo ofrecer una dirección de reenvío, lo que no cumple con el GDPR.

Matriz de decisión:

Siempre solicite la plantilla de designación del proveedor antes de pagar. Si no enumera y acepta las tareas del Artículo 27, no está comprando un servicio conforme.

Qué incluye realmente el precio

Los precios del servicio de representante GDPR varían desde menos de 300 € hasta más de 2.000 € al año. Esta variación refleja el alcance de lo que se ofrece. Un precio bajo puede cubrir solo una dirección postal, mientras que una tarifa más alta puede incluir mandato completo, mesa de solicitudes y gestión de registros. Aspectos clave a verificar:

• Aceptación escrita de las tareas del Artículo 27: El proveedor debe aceptar formalmente el rol y obligaciones por escrito.
• Certificado y verificación pública: Un certificado verificable da confianza a clientes, auditores y autoridades. REP27 ofrece certificado con código QR y página de verificación pública.
• Gestión multilingüe de solicitudes: Esencial para cobertura paneuropea. REP27 ofrece 8 idiomas desde el plan Estándar.
• Gestión de registros del Artículo 30: El proveedor debe mantener y presentar sus registros a las autoridades. Esto está incluido en los planes Estándar y Multi de REP27.
• Tarifas por solicitud o incrementos en renovación: Algunos proveedores cobran entre 25 € y 90 € por solicitud o aumentan tarifas tras el primer año. El plan Estándar de REP27 no cobra por solicitud y los precios de renovación bajan en el segundo año.

Compare qué incluye cada plan, no solo el precio principal. Por ejemplo, el plan Base de REP27 cubre hasta 10 solicitudes al año, mientras que Estándar y Multi ofrecen solicitudes ilimitadas y gestión de registros. Muchos competidores no publican detalles completos o requieren solicitud previa.

Siempre pida por escrito el precio de renovación para el segundo año, ya que es común la tarifa introductoria. Para empresas que necesitan representación combinada UE y Reino Unido, algunos proveedores (incluido REP27) ofrecen ambos servicios, a veces con descuento.

Costos ocultos y exclusiones

Muchos proveedores anuncian tarifas anuales bajas pero añaden cargos significativos por servicios esenciales. Costos ocultos comunes incluyen:

• Tarifas por solicitud de interesado: Algunos proveedores cobran entre 25 € y 90 € por solicitud, lo que puede superar rápidamente la suscripción anual si recibe múltiples solicitudes en un mes.
• Tarifas de configuración o incorporación: Son comunes cargos únicos de 0 € a 250 €. REP27 incluye la configuración en la tarifa anual.
• Soporte adicional de idiomas: Los planes básicos pueden cubrir solo inglés. Los planes Estándar y Multi de REP27 incluyen 8 idiomas.
• Gestión de registros del Artículo 30: Algunos proveedores cobran entre 100 € y 400 € al año para mantener y presentar registros. REP27 lo incluye en planes Estándar y Multi.
• Aumentos en renovación: Algunos proveedores suben precios tras el primer año. Las tarifas de renovación de REP27 bajan a 240 €/390 €/690 € desde el segundo año.

Asesoría legal, servicios de DPO y auditorías de cumplimiento no están incluidos en REP27 ni en la mayoría de competidores. REP27 no responde solicitudes sobre el fondo; las reenvía a usted. La designación no impide acciones directas contra su empresa.

Los proveedores rara vez destacan estas exclusiones y tarifas extras en su marketing. Lea siempre el mandato y términos del servicio cuidadosamente antes de firmar. Pregunte específicamente sobre cargos por solicitud, precios de renovación y qué sucede si necesita cambiar o cancelar el servicio.

Cómo funciona el nombramiento: paso a paso

1. Evaluar aplicabilidad: Determine si es responsable o encargado no UE sujeto al Artículo 3(2) GDPR (ofrecer bienes/servicios o supervisar individuos en la UE).
2. Identificar países objetivo: Liste los Estados miembros de la UE donde se encuentran sus interesados. Su representante debe estar establecido en al menos uno de estos países.
3. Preseleccionar proveedores: Compare servicios publicados, precios y términos. Solicite la plantilla de designación para asegurar que cubre obligaciones del Artículo 27.
4. Revisar tarifas ocultas: Pregunte sobre cargos por solicitud, tarifas de incorporación, soporte de idiomas y precios de renovación.
5. Completar incorporación: Rellene el formulario del proveedor con detalles de la empresa, alcance del tratamiento y datos de contacto.
6. Recibir mandato firmado: El proveedor revisa su expediente y emite carta de designación firmada (REP27: en 24 horas). También recibe certificado y código de verificación.
7. Actualizar aviso de privacidad: Añada nombre, dirección y datos de contacto del representante según Artículo 13(1)(a).
8. Mantener registros de cumplimiento: Guarde mandato firmado, certificado y registro del Artículo 30 para auditorías. No publique el mandato completo ni términos comerciales.
9. Operación continua: El proveedor registra y reenvía solicitudes de interesados y autoridades en el plazo acordado. Para REP27, es dentro de dos días hábiles (o el mismo día para autoridades en Estándar/Multi).
10. Renovar o cancelar: Controle fechas de renovación y condiciones de cancelación. REP27 permite cancelación antes de la renovación y ofrece confirmación escrita.

Este proceso asegura que cumple con el Artículo 27 y está preparado para auditorías o consultas regulatorias.

Riesgos y multas por incumplimiento

Nombrar un representante en la UE no es opcional para la mayoría de empresas no UE que procesan datos personales de la UE. Los riesgos de incumplimiento son significativos:

• Infracción independiente: No nombrar representante es una violación según el Artículo 83(4)(a) GDPR, independientemente de si ha ocurrido una brecha de datos.
• Multas: Las autoridades pueden imponer multas de hasta 10 millones de euros o el 2 % de la facturación mundial anual, lo que sea mayor. Por ejemplo, Locatefamily.com fue multada con 525.000 € por la autoridad holandesa por no nombrar representante.
• Ejecutabilidad directa: Nombrar representante no protege a su empresa de acciones o responsabilidades. Las autoridades pueden actuar directamente contra su negocio (Artículo 27(5)).
• Riesgo operativo: Sin representante, puede no responder a solicitudes de interesados o consultas regulatorias a tiempo, lo que genera más sanciones y daño reputacional.

Para mitigar estos riesgos, asegúrese de que su proveedor emita mandato firmado, mantenga su registro del Artículo 30 (si se requiere) y se comprometa a reenviar solicitudes en plazo. Mantenga toda la documentación lista para auditorías. Si su proveedor no puede actuar para su empresa (por ejemplo, por actividades prohibidas), debe reembolsarle íntegramente y dar confirmación por escrito, como hace REP27.

Lo que los proveedores suelen no decir

Muchos proveedores de representantes GDPR no revelan completamente las limitaciones y exclusiones de sus servicios. Omisiones comunes incluyen:

• Solo reenvío postal: Algunas ofertas básicas son solo una dirección postal, no un mandato verdadero del Artículo 27. Estas no cumplen con el GDPR.
• Tarifas por solicitud: Tarifas anuales bajas pueden ocultar cargos altos por solicitud, haciendo el servicio caro si recibe muchas solicitudes.
• Registros no mantenidos: Algunos proveedores no mantienen su registro del Artículo 30, requisito para cumplimiento. Siempre verifique quién mantiene y presenta el registro.
• Renovaciones automáticas y subidas de precio: Muchos proveedores suben precios tras el primer año o renuevan automáticamente sin aviso claro. Siempre pida precio para el segundo año por escrito.
• Límites de responsabilidad: El representante no es responsable de sus incumplimientos GDPR. El Artículo 27(5) aclara que su empresa sigue siendo totalmente responsable.
• Cancelación y traspaso: Verifique qué sucede con solicitudes pendientes y registros si cambia o cancela proveedor. REP27 especifica confirmación escrita y procedimientos de traspaso.

Lea siempre la descripción del servicio y el mandato con atención. Solicite todos los términos por escrito antes de comprometerse y aclare qué está incluido, excluido y sujeto a tarifas extras.

Lista de verificación: Cómo nombrar un representante GDPR hoy

1. Confirme si es responsable o encargado no UE sujeto al Artículo 3(2) GDPR.
2. Identifique en qué países de la UE están sus interesados.
3. Preseleccione proveedores que ofrezcan mandato escrito Artículo 27.
4. Solicite y revise la plantilla de designación.
5. Verifique tarifas ocultas y condiciones de renovación.
6. Complete incorporación y reciba documentos firmados.
7. Actualice su aviso de privacidad con datos de contacto del representante.
8. Conserve mandato firmado y certificado para auditorías.
9. Asegúrese de que su registro del Artículo 30 esté mantenido y accesible si es necesario.
10. Controle fechas de renovación y condiciones de cancelación para evitar cargos no deseados.

Seguir esta lista le ayudará a lograr y mantener el cumplimiento, evitar multas y responder eficazmente a solicitudes de interesados y autoridades.

Escenarios realistas: Quién necesita qué

• Empresa SaaS estadounidense vendiendo a empresas y consumidores de la UE: Debe nombrar representante UE según Artículo 27. El plan Estándar de REP27 cubre todos los requisitos: mandato escrito, reenvío ilimitado de solicitudes, gestión de registros y soporte multilingüe. El plan Base es adecuado para bajo volumen, pero se recomienda Estándar para la mayoría de SaaS.
• Vendedor chino en Amazon en mercados de la UE: Necesita representante GDPR UE (protección de datos) y, para cumplimiento de producto, responsable GPSR. El plan Multi de REP27 cubre ambos roles con un solo pedido y fecha de renovación, simplificando el cumplimiento para vendedores en Amazon, Etsy o eBay.
• Tienda online del Reino Unido con clientes en la UE: Tras el Brexit, empresas del Reino Unido que ofrecen bienes o servicios a la UE deben nombrar representante UE. El plan Base o Estándar de REP27 es adecuado según volumen de solicitudes y necesidad de gestión de registros. Si también vende productos con marcado CE, considere el plan Multi para representación combinada.

En cada escenario, la ruta más sencilla y conforme es nombrar un proveedor que emita mandato firmado, mantenga sus registros (si se requiere) y proporcione documentación clara y verificable para auditorías y clientes.