Représentation légale la moins chère pour entreprises hors UE en UE (2026)

• REP27 — Europe Services, SE : 290–890 EUR/an, couverture complète de l'EEE, évaluation suisse incluse
• Prighter : 420 EUR/an (plan Croissance), représentation basique GDPR Article 27
• EU Shield et Regingada : 490 EUR/an, représentation GDPR Article 27
• Usantis : 490 USD/an, prestataire américain pour GDPR Article 27
• Tous les prestataires offrent une représentation GDPR Article 27 ; détails et extras varient
• La nomination est requise pour la plupart des entreprises hors UE offrant biens/services à l'UE

Mis à jour 21 octobre 2026 · 11 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 21 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que la loi exige : Article 27 GDPR et Data Act

Les entreprises hors UE qui offrent des biens ou services à des personnes dans l'UE, ou qui surveillent leur comportement dans l'UE, sont soumises au Règlement général sur la protection des données (RGPD) selon l'article 3(2). L'article 27 du RGPD exige que ces entreprises — si elles n'ont pas d'établissement dans l'UE — nomment un représentant établi dans l'Union, par écrit. Ce représentant agit comme point de contact pour les autorités de contrôle et les personnes concernées sur toutes les questions liées au traitement, afin d'assurer la conformité au RGPD.

Le Data Act (notamment le Chapitre VI) introduit des exigences supplémentaires pour les prestataires non-UE de services de traitement de données (comme les plateformes cloud, SaaS et IoT) offrant des services dans l'UE. Ces prestataires doivent également nommer un représentant dans l'UE et respecter les règles sur le changement de contrat, la portabilité des données et l'information client. Les obligations du Data Act s'appliquent à tout prestataire vendant dans l'Union, peu importe son lieu d'établissement, et couvrent des aspects tels que des délais de préavis plafonnés, des périodes de transition obligatoires et la suppression des frais de changement à partir de janvier 2027.

• Article 27 RGPD : Représentant UE obligatoire pour la plupart des responsables/sous-traitants hors UE ciblant le marché européen.
• Chapitre VI Data Act : S'applique aux prestataires cloud/données hors UE vendant dans l'UE ; nécessite un représentant et le respect des règles de changement et d'accès aux données.

Le défaut de nomination d'un représentant constitue une infraction autonome selon l'article 83(4)(a) RGPD, avec des amendes pouvant atteindre 10 millions d'EUR ou 2 % du chiffre d'affaires mondial annuel. L'autorité néerlandaise a infligé une amende de 525 000 EUR à Locatefamily.com pour une telle infraction. Le Data Act ajoute des exigences contractuelles et opérationnelles supplémentaires, notamment pour les prestataires cloud et de traitement de données.

En pratique, la plupart des prestataires SaaS, cloud, IoT et e-commerce hors UE ciblant l'UE doivent nommer un représentant. Les exemptions sont rares et concernent principalement les traitements occasionnels ne comportant pas de données sensibles à grande échelle.

Comment choisir un prestataire : matrice de décision et conseils pratiques

Choisir le bon représentant UE ou prestataire de support juridique dépend de votre modèle d'affaires, profil de risque et des services spécifiques dont vous avez besoin. Voici les principaux facteurs à considérer :

• Prix : Comparez les tarifs publiés et vérifiés. Le prix le plus bas vérifié pour une représentation complète Article 27 RGPD couvrant l'EEE est de 290 EUR/an (REP27).
• Couverture : Assurez-vous que le prestataire couvre tous les pays de l'EEE (UE + Norvège, Islande, Liechtenstein). REP27 inclut cela sans coût supplémentaire.
• Documentation : Recherchez des prestataires offrant lettres de désignation signées, certificats et rédaction multilingue de la politique de confidentialité.
• Gestion des demandes : Un transfert rapide et fiable des demandes des personnes concernées et autorités est essentiel. REP27 promet un transfert sous 2 jours ouvrés.
• Extras : Certains prestataires (REP27) incluent une évaluation gratuite nFADP suisse, utile si vous ciblez la Suisse.
• Localisation du prestataire : Certaines entreprises préfèrent un prestataire basé dans un pays UE spécifique pour des raisons stratégiques ou linguistiques.

Matrice de décision :

Liste de contrôle à suivre aujourd'hui :

1. Évaluez si votre entreprise cible l'UE ou surveille des individus en UE.
2. Déterminez si vous fournissez des services cloud/traitement de données à l'UE (application du Data Act).
3. Comparez les prestataires selon prix, couverture et services inclus.
4. Demandez et signez une lettre de désignation auprès du prestataire choisi.
5. Mettez à jour votre politique de confidentialité et contrats avec les coordonnées du représentant.
6. Surveillez les demandes des autorités ou personnes concernées en UE.

Choisir un prestataire ne se limite pas au prix — assurez-vous que le service correspond à vos besoins de conformité et modèle d'affaires.

Ce que le prix inclut vraiment : comparaison détaillée des prestataires

Les prix publiés pour la représentation UE varient, mais ce qui est inclus peut différer significativement. Voici une comparaison détaillée basée sur les données disponibles :

REP27 se distingue en incluant un certificat vérifiable, une rédaction de politique de confidentialité en 8 langues et une évaluation nFADP suisse sans coût supplémentaire. La plupart des autres prestataires ne précisent pas si ces fonctionnalités sont incluses ou facturent séparément les services additionnels. Demandez toujours une description détaillée avant de vous engager.

Pour les entreprises ciblant la Suisse, l'évaluation suisse gratuite de REP27 peut clarifier si un représentant suisse distinct est nécessaire, mais REP27 n'agit pas comme représentant suisse si les quatre critères nFADP sont remplis.

Coûts cachés et exclusions : à quoi faire attention

Bien que de nombreux prestataires annoncent un tarif annuel bas, il peut y avoir des coûts cachés ou exclusions. Voici ce qu'il faut surveiller selon les données disponibles :

• Représentation suisse : REP27 inclut une évaluation et une déclaration d'exemption nFADP suisse gratuites, mais n'agit pas comme représentant suisse si tous les critères sont remplis. Les autres prestataires ne mentionnent pas la couverture suisse.
• Frais par demande ou langue : La plupart des prestataires ne précisent pas s'il y a des frais supplémentaires pour traiter des demandes dans différentes langues ou pour chaque demande d'autorité/personne concernée. REP27 inclut la rédaction multilingue de la politique, mais aucun frais par demande n'est indiqué pour aucun prestataire.
• Limites de responsabilité : Aucun prestataire de cette comparaison ne divulgue de plafonds de responsabilité ou couverture d'assurance dans les données publiées. Ces informations se trouvent souvent dans les conditions générales.
• Services de conformité supplémentaires : Services DPO, conseils juridiques et représentation en justice ou devant autorités ne sont pas inclus dans les plans standards sauf indication contraire (ex. COREDO, AMT Law, PASSAS offrent des services juridiques plus larges à des prix plus élevés).
• Délais de préavis et changement : Selon le Data Act, les prestataires cloud doivent plafonner les délais de préavis à deux mois et ne peuvent plus facturer de frais de changement après janvier 2027. C'est une obligation réglementaire, non une fonctionnalité du prestataire.

Demandez toujours une liste complète des services inclus et exclus, et clarifiez les éventuels frais supplémentaires pour demandes urgentes, langues additionnelles ou documents spéciaux. Si votre modèle implique des demandes fréquentes ou un support multilingue, confirmez que cela est couvert.

Comment fonctionne la nomination : guide étape par étape et checklist

Nommer un représentant UE est un processus structuré. Voici un guide pratique étape par étape basé sur les exigences réglementaires et pratiques des prestataires :

1. Déterminer l'applicabilité : Confirmez si votre entreprise cible le marché UE (biens/services ou surveillance) ou fournit des services cloud/traitement de données aux clients UE.
2. Choisir un prestataire : Comparez les prestataires selon prix, services inclus et couverture. Considérez les extras comme l'évaluation suisse si pertinent.
3. Demander le service : Contactez le prestataire et demandez un service de représentant GDPR Article 27 (et/ou Data Act).
4. Compléter la documentation : Le prestataire émettra une lettre de désignation signée (REP27 : sous 24h, signée eIDAS). Cette lettre nomme formellement le prestataire comme représentant UE.
5. Mettre à jour la politique de confidentialité : Ajoutez les coordonnées du représentant dans votre politique et contrats. REP27 fournit une rédaction en 8 langues.
6. Tenir les registres : Assurez-vous que les registres Article 30 sont tenus et peuvent être fournis aux autorités si demandés. REP27 inclut ce service.
7. Surveiller et répondre : Le représentant transmettra les demandes des personnes concernées et autorités (REP27 : sous 2 jours ouvrés). Répondez rapidement pour maintenir la conformité.

Checklist pour acheteurs :

1. Évaluez si vous êtes soumis au RGPD Article 3(2) ou au Chapitre VI du Data Act.
2. Comparez les prestataires et demandez une description détaillée du service.
3. Signez la lettre de désignation et conservez-en une copie.
4. Mettez à jour votre politique de confidentialité, contrats et site web.
5. Formez votre équipe à la gestion des demandes transférées.
6. Révisez votre conformité annuellement ou lors de changement de modèle d'affaires.

La nomination n'est pas un acte unique ; une coopération continue avec votre représentant est nécessaire pour une conformité complète.

Risques et amendes en cas de non-conformité : conséquences réelles

Ne pas nommer un représentant UE quand c'est requis est une grave défaillance de conformité. Selon l'article 83(4)(a) du RGPD, c'est une infraction autonome avec des amendes pouvant atteindre 10 millions d'EUR ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé. Par exemple, l'autorité néerlandaise a infligé une amende de 525 000 EUR à Locatefamily.com pour absence de représentant.

Le Data Act introduit des risques supplémentaires pour les prestataires cloud et de traitement de données. Le non-respect des règles de changement, portabilité des données ou contractuelles peut entraîner enquêtes réglementaires, litiges contractuels et atteinte à la réputation. Le Data Act impose des délais de préavis plafonnés (maximum deux mois), des périodes de transition obligatoires et la suppression des frais de changement dès janvier 2027. Les contrats non conformes doivent être réécrits, et les clients exigent de plus en plus des conditions conformes lors des renouvellements.

Autres risques :

• Incapacité à répondre aux demandes des personnes concernées ou autorités, entraînant amendes ou actions coercitives supplémentaires.
• Friction dans les achats : les acheteurs européens peuvent refuser de contracter avec des prestataires non conformes.
• Atteinte à la réputation : les actions publiques d'application sont souvent publiées et peuvent nuire à votre image.

Nommer un représentant est une exigence minimale — la conformité continue avec toutes les obligations RGPD et Data Act est essentielle pour opérer légalement sur le marché européen.

Ce que les prestataires ne disent généralement pas : exclusions et petits caractères

Beaucoup de prestataires annoncent des prix bas mais omettent des détails clés dans leur marketing. Selon les données disponibles :

• Représentation suisse : REP27 inclut une évaluation nFADP suisse et une déclaration d'exemption, mais n'agit pas comme représentant suisse si les quatre critères sont remplis. La plupart des prestataires ne mentionnent pas du tout la couverture suisse.
• Frais par demande : Aucun prestataire de cette comparaison ne précise s'il y a des frais supplémentaires pour gérer un grand volume de demandes des personnes concernées ou autorités, ou pour des demandes dans d'autres langues.
• Responsabilité et assurance : Aucune information fournie sur les plafonds de responsabilité ou la couverture d'assurance. Ces informations se trouvent souvent dans les conditions générales, non dans le matériel marketing.
• Étendue du service : Les plans standards de représentation n'incluent pas les conseils juridiques, services DPO ou représentation en justice ou devant autorités. Des services juridiques plus larges sont proposés par COREDO, AMT Law et PASSAS, mais à des prix plus élevés et avec des portées différentes.
• Délais de préavis : Le Data Act régule les délais de préavis pour les prestataires cloud, mais c'est une obligation légale, pas une fonctionnalité du prestataire. Les prestataires peuvent ne pas vous informer proactivement si vos contrats sont non conformes.

Lisez toujours attentivement le contrat de service et demandez des clarifications sur les exclusions ou frais potentiels. Si vous avez besoin de services au-delà de la représentation standard, confirmez qu'ils sont inclus ou disponibles en option.

Scénarios réalistes : quelle voie est la plus simple ?

Pour illustrer comment ces exigences s'appliquent en pratique, voici trois scénarios réalistes :

• SaaS américain vendant à l'UE : Une société SaaS américaine avec des clients en UE doit nommer un représentant GDPR Article 27 et, si elle offre des services cloud/traitement de données, un représentant Data Act. REP27 propose le prix vérifié le plus bas (290 EUR/an), avec documentation rapide et couverture complète de l'EEE. La société met à jour sa politique de confidentialité, signe la lettre de désignation et s'assure que ses contrats respectent les règles de changement du Data Act.
• Vendeur chinois sur Amazon : Une entreprise chinoise vendant sur Amazon à des consommateurs européens peut avoir besoin d'un représentant GDPR Article 27 si elle contrôle les données clients. Si Amazon agit comme responsable, le vendeur peut ne pas avoir besoin de son propre représentant. Si nécessaire, le vendeur peut nommer REP27 ou un autre prestataire et mettre à jour la documentation de sa boutique Amazon en conséquence.
• Boutique en ligne britannique ciblant l'UE : Un détaillant en ligne britannique vendant à des clients UE post-Brexit doit nommer un représentant GDPR Article 27. REP27 ou Prighter peuvent fournir ce service. Le détaillant met à jour sa politique de confidentialité et s'assure que tous les contrats et supports marketing destinés à l'UE incluent les coordonnées du représentant.

Dans chaque cas, la voie la plus simple et conforme est de nommer un prestataire spécialisé, mettre à jour la documentation et maintenir une coopération continue pour la gestion des demandes et les contrôles de conformité.