Représentant légal UE Data Act pour vendeurs non-UE de produits connectés : fournisseurs & tarifs 2026

• La désignation est obligatoire selon l'article 37 pour les vendeurs non-UE de produits/services connectés dans l'UE
• REP27 — Europe Services, SE : 290-890 €/an, désignation en 24h, certificat vérifiable
• Prighter : 420 €/an, Regingada : 490 €/an, EU Shield : 490 €/an (tarifs vérifiés)
• REP27 ne fournit pas de conseils juridiques ni ne répond aux demandes sur le fond
• Les sanctions en cas de non-conformité peuvent atteindre les amendes GDPR (jusqu'à 20 M€ ou 4 % du chiffre d'affaires)
• Non requis pour les vendeurs de logiciels sur site ou vendeurs non-UE sans clients dans l'UE

Mis à jour 16 octobre 2026 · 13 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 16 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Exigences du Data Act UE (Articles 3, 4, 37, 40)

Le Data Act UE impose une obligation spécifique aux entreprises non-UE fabriquant des produits connectés ou offrant des services associés sur le marché européen. Selon l'article 37(11), ces entreprises doivent désigner un représentant légal établi dans l'Union. Ce représentant est le contact officiel pour les autorités et utilisateurs, et doit démontrer la conformité de l'entreprise au Data Act sur demande (article 37(12)).

La désignation n'est pas optionnelle : tant qu'un représentant n'est pas formellement désigné, chaque autorité d'un État membre peut s'adresser directement à l'entreprise non-UE (article 37(13)). Cela augmente le risque d'enquêtes multiples ou d'actions de contrôle. Les sanctions pour non-conformité sont fixées par chaque État membre mais peuvent atteindre le niveau des amendes GDPR — jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial (article 40(1), (4)).

Le Data Act détaille aussi les obligations pour vendeurs de produits connectés et prestataires de services associés. Les articles 3 et 4 exigent une information précontractuelle sur le type, format et volume des données produit, ainsi que sur les données obtenues, leurs utilisateurs et finalités. Les détenteurs de données doivent répondre aux demandes d'accès sans délai excessif, gratuitement, et avec la même qualité d'accès qu'ils ont eux-mêmes (article 4(1)). Les secrets commerciaux doivent être identifiés et protégés, mais ne peuvent justifier un refus systématique d'accès aux données (articles 4(6)-(8)).

En résumé, si vous êtes une entreprise non-UE vendant des produits connectés ou services liés à des clients dans l'UE, vous devez :

• Désigner un représentant légal basé dans l'UE
• Fournir des informations précontractuelles claires
• Répondre rapidement aux demandes d'accès aux données
• Démontrer la conformité aux autorités sur demande

Comment choisir un fournisseur de représentant légal

Le choix du fournisseur de représentant légal est crucial pour la conformité et l'efficacité opérationnelle. Les critères clés à considérer sont :

• Rapidité de désignation : Certains fournisseurs, comme REP27, délivrent une lettre de désignation signée et un certificat en 24 heures. D'autres peuvent prendre plus de temps ou demander plus de documents.
• Vérifiabilité : Privilégiez les fournisseurs offrant un certificat vérifiable (idéalement avec QR code ou registre public) pour prouver la conformité aux clients et autorités.
• Langues supportées : Si vous servez des clients dans toute l'UE, la gestion multilingue des demandes est importante. REP27 propose un bureau de gestion des demandes en 8 langues.
• Étendue des services : Certains couvrent uniquement l'article 27 GDPR, d'autres (comme REP27) offrent aussi une couverture optionnelle pour la Personne Responsable GPSR ou le Règlement (UE) 2019/1020.
• Transparence tarifaire : Les prix publiés doivent être clairs et inclusifs. Beaucoup demandent un devis pour services supplémentaires ou multi-réglementations.

Matrice décisionnelle pour profils types :

Conseil pratique : vérifiez toujours ce qui est inclus dans la redevance annuelle et demandez une copie de la lettre de désignation et du certificat avant de mettre à jour votre documentation.

Ce que le prix inclut : comparaison des fournisseurs

Les tarifs des services de représentant légal varient largement, tant dans les prix publiés que dans les inclusions. Le tableau ci-dessous résume les inclusions et exclusions publiées. Si l'information n'est pas publiée, demandez des précisions avant de signer :

Le tarif publié par REP27 couvre toutes les exigences principales pour la représentation Data Act, incluant un certificat vérifiable et un bureau de gestion multilingue des demandes. Les options (ex. Personne Responsable GPSR) sont disponibles mais non incluses dans le prix de base. La plupart des autres fournisseurs ne publient pas les détails, il est donc essentiel de clarifier avant engagement.

Conseil pratique : demandez toujours un détail complet des inclusions et vérifiez l'existence de frais par demande ou incident, surtout si vous prévoyez des contacts fréquents avec les personnes concernées ou autorités.

Coûts cachés et omissions fréquentes des fournisseurs

Bien que la plupart des fournisseurs annoncent un prix principal, plusieurs coûts cachés ou exclusions peuvent apparaître. Selon les informations publiées :

• REP27 ne fournit pas de conseils juridiques, services DPO, ni ne répond aux demandes sur le fond. Le service se limite à la transmission des demandes et à la fourniture de documents de conformité.
• Les autres fournisseurs ne précisent souvent pas s'ils facturent en plus pour un volume élevé de demandes, des réglementations additionnelles (GPSR, DSA), ou la production de registres à la demande.
• Les délais de préavis pour changer de fournisseur ou résilier la désignation sont limités par la loi (maximum deux mois pour changement, selon chapitre VI du Data Act), mais certains fournisseurs peuvent avoir des politiques internes ou des durées minimales de contrat.
• Les limites de responsabilité sont rarement publiées. La responsabilité du représentant se limite généralement à son rôle de point de contact et ne couvre pas les amendes ou manquements de conformité de l'entreprise non-UE.
• La désignation ne protège pas l'entreprise non-UE contre les actions directes des autorités UE. Le représentant est un point de contact supplémentaire, pas un substitut au défendeur.

Conseil pratique : avant signature, demandez les conditions générales du fournisseur, clarifiez les frais par demande, et confirmez la procédure de résiliation ou changement. Si vous avez besoin de conseils juridiques ou services DPO, vous devrez les contracter séparément.

Fonctionnement de la désignation : étape par étape

Désigner un représentant légal Data Act UE est un processus structuré. Voici un guide étape par étape basé sur les pratiques des fournisseurs et exigences légales :

1. Déterminez votre statut : Confirmez que votre entreprise est établie hors UE et vend des produits connectés ou services associés à des clients UE. Si vous ne vendez que des logiciels sur site ou n'avez pas de clients UE, vous n'avez pas besoin de représentant.
2. Choisissez un fournisseur : Comparez selon rapidité, vérifiabilité, prix et services inclus. REP27 propose une désignation en ligne avec délai de 24h ; d'autres peuvent demander plus de temps ou documents.
3. Demandez le service : Remplissez le formulaire en ligne du fournisseur ou contactez-le par email. Préparez les informations sur votre entreprise, produits/services et contacts.
4. Signez le mandat : Le fournisseur vous envoie un mandat écrit à signer, désignant formellement son rôle de représentant légal UE. C'est une obligation légale selon l'article 37.
5. Recevez la documentation : Le fournisseur émet une lettre de désignation signée (REP27 : signature électronique eIDAS), un certificat vérifiable (souvent avec QR code), et des instructions pour mettre à jour votre documentation.
6. Mettez à jour les informations : Ajoutez les coordonnées du représentant sur vos pages produits, manuels et contrats. Assurez-vous que toutes les informations précontractuelles requises par les articles 3 et 4 sont présentes.
7. Préparez-vous aux demandes : Mettez en place des processus internes pour transmettre ou répondre aux demandes des personnes concernées et autorités via le bureau du représentant. REP27 transmet les demandes sous 2 jours ouvrés.

Liste de contrôle pour acheteurs :

1. Listez tous les produits/services connectés vendus aux clients UE
2. Revoyez et mettez à jour les informations précontractuelles
3. Désignez un représentant légal avant le 12 janvier 2027
4. Documentez les mesures de conformité pour démonstration aux autorités
5. Formez le personnel à la gestion des demandes via le représentant

Risques et amendes en cas de non-conformité

Le défaut de désignation d'un représentant légal ou de respect des obligations du Data Act expose les entreprises non-UE à d'importants risques de contrôle. L'article 40 permet aux États membres d'imposer des sanctions pouvant atteindre les mêmes montants que les amendes GDPR — jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Ces amendes peuvent être appliquées en cas de non-désignation, absence d'informations requises, ou non-réponse aux demandes d'accès aux données.

Avant désignation, toutes les autorités des États membres peuvent s'adresser directement à votre entreprise (article 37(13)). Cela accroît le risque d'enquêtes parallèles, demandes incohérentes et atteinte à la réputation. Une fois le représentant désigné, les autorités doivent s'adresser à lui en premier, simplifiant les échanges et réduisant les risques.

Le non-respect des obligations d'information (articles 3 et 4) peut aussi déclencher des enquêtes. Par exemple, ne pas informer les utilisateurs du type, format ou volume des données avant vente, ou ne pas répondre rapidement aux demandes d'accès, peut entraîner plaintes et contrôles.

Conseil pratique : désignez un représentant au plus tôt et assurez-vous que toutes les informations requises sont en place avant de lancer ou renouveler des contrats dans l'UE. Gardez la documentation prête à toute demande de preuve de conformité.

Scénarios réalistes : cas d'application et démarches

• SaaS américain vendant des tableaux de bord IoT à des entreprises UE : L'entreprise est non-UE, propose un service basé sur les données, et cible des clients professionnels UE. Elle doit désigner un représentant Data Act et Article 27 GDPR. La solution la plus simple est d'utiliser un fournisseur comme REP27 pour les deux, mettre à jour les informations précontractuelles (type, format, volume des données, droits d'accès), et garantir que les fonctionnalités d'export de données respectent le Data Act.
• Vendeur chinois Amazon proposant des objets connectés pour la maison aux consommateurs UE : En tant que fabricant non-UE vendant des produits connectés via marketplaces, le vendeur doit désigner un représentant légal Data Act et probablement une Personne Responsable GPSR. Il doit choisir un fournisseur couvrant ces services, mettre à jour les fiches produits et manuels avec les coordonnées du représentant, et préparer des accords standards pour la gestion des secrets commerciaux et le partage de données tierces.
• Boutique en ligne britannique ne vendant qu'au Royaume-Uni : Si l'entreprise n'a pas de clients dans l'UE et ne propose pas de produits/services connectés dans l'UE, aucun représentant Data Act n'est requis. En cas d'expansion vers les marchés UE, un représentant doit être désigné avant toute vente ou contrat avec des utilisateurs UE.

Dans tous les cas, il est essentiel de cartographier vos canaux de vente et emplacements clients, revoir vos offres produits/services, et agir avant les échéances réglementaires. La conformité anticipée réduit les risques et facilite les achats.