Serve un rappresentante GDPR sia UE che UK?

• Sono necessari rappresentanti separati per UE e UK se si operano entrambi i mercati.
• L'articolo 27 GDPR (UE) e l'articolo 27 UK GDPR sono obblighi legali distinti.
• I servizi combinati possono ridurre amministrazione e costi rispetto a fornitori separati.
• Le sanzioni per mancata conformità possono arrivare a 10 milioni di € o al 2% del fatturato globale.
• Le aziende stabilite nell'UE o nel Regno Unito sono esenti per il proprio territorio.

Aggiornato 18 ottobre 2026 · 7 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 18 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede la legge: Articolo 27 GDPR UE e UK GDPR

L'articolo 27 del GDPR UE e del UK GDPR impone un obbligo chiaro: se la tua azienda non è stabilita nell'UE o nel Regno Unito ma offre beni o servizi o monitora il comportamento di individui in quei territori, devi nominare un rappresentante stabilito in ciascuna regione rilevante. Questo vale per titolari e responsabili del trattamento. Il rappresentante funge da punto di contatto locale per gli interessati e le autorità di controllo, e i suoi dati devono essere inclusi nella tua informativa privacy.

Dopo la Brexit, il UK GDPR è diventato un regime separato. Ciò significa che un rappresentante UE non può agire per il Regno Unito e viceversa. Ogni nomina deve essere separata, per iscritto, a un'entità fisicamente stabilita nella giurisdizione pertinente. Il rappresentante deve poter rispondere alle richieste di individui e autorità e può essere richiesto di detenere il tuo registro delle attività di trattamento ex Articolo 30. La mancata nomina è una violazione autonoma, con multe fino a 10 milioni di € o al 2% del fatturato globale (Art. 83 GDPR).

Esistono esenzioni: le aziende con una reale sede (non solo una casella postale) nell'UE o UK non necessitano di un rappresentante per il proprio territorio. Ad esempio, un'azienda UK che vende all'UE necessita di un rappresentante UE, ma non di uno UK. Viceversa, un'azienda UE che vende nel Regno Unito necessita solo di un rappresentante UK. Le aziende con sedi reali in entrambi i territori sono esenti per i propri territori.

Come scegliere un rappresentante GDPR: fattori chiave

Scegliere il rappresentante GDPR giusto è fondamentale per la conformità e l'efficienza operativa. Ecco i principali fattori da considerare:

• Copertura giurisdizionale: Il fornitore deve essere legalmente stabilito nell'UE per la rappresentanza UE e nel Regno Unito per quella UK. I servizi combinati (come REP27) possono emettere entrambe le nomine in un unico ordine, risparmiando tempo e riducendo il rischio di errori amministrativi.
• Ambito del servizio: Valuta se il fornitore offre solo il minimo legale o include servizi a valore aggiunto come testi per l'informativa privacy, gestione multilingue delle richieste e tenuta del registro Articolo 30. Ad esempio, REP27 include testi per l'informativa in 8 lingue e un certificato verificabile via QR, mentre Janus Compliance impone un limite di corrispondenza e addebita extra per richieste aggiuntive.
• Rinnovo e amministrazione: I fornitori combinati sincronizzano le date di rinnovo e la documentazione, riducendo il rischio di scadenze accidentali. Fornitori separati implicano onboarding e rinnovi distinti, aumentando il carico amministrativo e il rischio di dimenticanze.
• Trasparenza delle tariffe: Cerca prezzi chiari e la comunicazione di eventuali costi extra (ad esempio, per richiesta, onboarding o lingue aggiuntive).
• Esclusioni e limitazioni: La maggior parte dei fornitori esclude consulenza legale, servizi DPO e audit di conformità. Alcuni, come REP27, escludono anche dati sensibili, minori sotto i 16 anni e monitoraggio o profilazione su larga scala.

Tabella: Incluso / Non incluso / Costi extra

Cosa include (e cosa esclude) realmente il prezzo

Comprendere cosa si ottiene per la tariffa è fondamentale. I fornitori differiscono non solo nel prezzo ma anche in cosa includono nell'abbonamento annuale:

• REP27 — Europe Services, SE: Per €390/anno (Base) ricevi entrambe le nomine Articolo 27 UE e UK, due certificati (uno per ciascun territorio), testi per l'informativa privacy in più lingue, verifica QR, desk richieste e valutazione svizzera (per verificare se serve un rappresentante svizzero). Il piano Base include fino a 10 richieste inoltrate l'anno; richieste illimitate e registro Articolo 30 sono disponibili nei piani superiori. Non sono incluse consulenza legale, servizi DPO e audit.
• Janus Compliance: Tariffe per territorio: £349/anno per UK e €449/anno per UE. Ogni piano include 50 corrispondenze/anno (esclusa corrispondenza ICO); ogni richiesta aggiuntiva costa £8. La copertura combinata UE+UK richiede due abbonamenti separati, senza sconto combinato. Non sono incluse consulenza legale e corrispondenza illimitata.
• Euverify: £490/anno per rappresentanza UE o UK (piano Startup), con funzionalità come rappresentante GDPR, ROPA Builder, certificato GDPR, inbox unificata DSR, Trust Badge, Audit Trail e traduzione DSR. La copertura combinata richiede due abbonamenti. Costi extra su richiesta.
• Gabsor: $948/anno (piano Essential) per rappresentanza UE e UK, inclusi dashboard compliance, Trust Center, snippet privacy policy, badge, ROPA builder, gestione DSAR e audit trail. Costi extra o limiti su richiesta.

Verifica sempre se il prezzo pubblicato copre entrambi i territori o solo uno. La maggior parte dei fornitori non include consulenza legale, servizi DPO o audit. Alcuni escludono trattamenti ad alto rischio o servizi per minori. Controlla le esclusioni e i termini prima dell'acquisto.

Costi nascosti e cosa i fornitori di solito non dicono

Pur avendo prezzi simili, i costi nascosti e i rischi operativi possono sommarsi. Ecco cosa controllare:

• Costi per richiesta: Janus Compliance include 50 corrispondenze/anno, ma addebita £8 per ogni richiesta aggiuntiva. REP27 Base include fino a 10 richieste/anno, con richieste illimitate nei piani superiori. Alcuni fornitori non dichiarano chiaramente la politica per richiesta, quindi verifica sempre prima di sottoscrivere.
• Onboarding e rinnovi separati: Usare due fornitori per UE e UK significa doppia documentazione di onboarding e due date di rinnovo diverse. Ciò aumenta il rischio di scadenze dimenticate, che costituiscono violazione dell'articolo 27. I servizi combinati (come REP27) sincronizzano i rinnovi e riducono l'amministrazione.
• Esclusioni: La maggior parte esclude consulenza legale, servizi DPO e audit. REP27 esclude dati sensibili, minori sotto 16 anni, monitoraggio su larga scala, intermediazione dati, contenuti per adulti, gioco d'azzardo, cryptoasset, armi e farmaceutici. Se la tua attività rientra in queste categorie, potresti non poter nominare certi fornitori.
• Preavvisi: REP27 richiede comunicazione scritta almeno 30 giorni prima della scadenza per cancellare. Controlla sempre la politica di cancellazione per evitare rinnovi indesiderati.
• Limiti di responsabilità: Nessuno dei fornitori in questa comparazione pubblica i limiti di responsabilità nei dati disponibili. Richiedi e verifica sempre il contratto per clausole di responsabilità e indennizzo.

Attenzione che alcuni fornitori potrebbero non includere testi per l'informativa, supporto multilingue o verifica QR come standard. Queste omissioni possono causare non conformità o lavoro extra per il tuo team.

Come funziona la nomina: checklist passo-passo

La nomina di un rappresentante GDPR è un processo che deve essere documentato e verificabile. Ecco una checklist pratica per garantire la conformità:

1. Valuta i tuoi obblighi: Determina se la tua azienda offre beni/servizi o monitora individui in UE, UK o entrambi.
2. Scegli un fornitore: Seleziona un fornitore stabilito nel territorio richiesto (o entrambi per servizio combinato). Verifica esclusioni e funzionalità incluse.
3. Completa l'onboarding: Compila il modulo di onboarding del fornitore. I servizi combinati come REP27 usano un modulo unico per entrambi i territori, risparmiando tempo e riducendo rischi di risposte incoerenti.
4. Revisione fornitore: Il fornitore esamina la tua richiesta e redige la/e nomina/e. Nei servizi combinati, entrambe le nomine sono redatte dalle stesse risposte, garantendo coerenza.
5. Firme: L'entità UE del fornitore firma la nomina UE; l'entità UK firma quella UK. Ricevi due documenti firmati separatamente.
6. Ricevi certificati e testi: Ricevi due certificati (uno per ciascun territorio), ciascuno con codice di verifica unico, e testi per l'informativa privacy per entrambi. REP27 fornisce codici QR e pagine di verifica pubbliche.
7. Aggiorna l'informativa privacy: Inserisci entrambe le righe di testo nell'informativa. Usare una sola riga per entrambi è scorretto e può essere segnalato dalle autorità.
8. Mantieni la conformità: Assicurati che il rappresentante possa rispondere a richieste di interessati e autorità. Rinnova annualmente e conserva i registri di tutta la corrispondenza.
9. Valutazione svizzera (se applicabile): Con REP27 ricevi anche una valutazione svizzera gratuita per capire se serve un rappresentante svizzero. Se necessario, vieni subito informato.

Seguire questa checklist minimizza i rischi di non conformità e garantisce il rispetto degli obblighi di Articolo 27 GDPR e UK GDPR.

Matrice decisionale: serve un rappresentante UE, UK o entrambi?

Usa questa matrice decisionale per determinare rapidamente i tuoi obblighi in base alla sede e attività della tua azienda:

Questa matrice copre vendite B2B, B2C e marketplace (Amazon, Etsy, eBay). Se la tua azienda non è stabilita né in UE né in UK ma si rivolge a entrambi, devi nominare rappresentanti in entrambi i territori. Se sei stabilito in uno solo, serve un rappresentante per l'altro. Se sei stabilito in entrambi, non serve rappresentante per nessuno dei due.

Scenari realistici: quale obbligo si applica?

• Azienda SaaS USA che vende a UE e UK: Un fornitore SaaS USA con clienti in UE e UK deve nominare sia un rappresentante GDPR UE che uno UK. REP27 può emettere entrambe le nomine in un unico ordine a €390/anno, fornendo due certificati e testi per l'informativa per entrambi i territori. Questo semplifica la conformità e riduce l'onere amministrativo rispetto a fornitori separati.
• Venditore cinese Amazon che spedisce in Germania e UK: Un venditore cinese su Amazon.de e Amazon.co.uk che spedisce in Germania e Regno Unito deve nominare entrambi i rappresentanti UE e UK. I servizi combinati sono la soluzione più semplice, assicurando il rispetto di entrambi gli obblighi e riducendo il rischio di documentazione incoerente o rinnovi mancati.
• Negozio online UK che vende solo a clienti UK: Un rivenditore online UK che non si rivolge né monitora residenti UE non necessita di un rappresentante UE. Essendo stabilito nel Regno Unito, è esente dalla nomina di un rappresentante UK. Nessun rappresentante Articolo 27 è richiesto.
• Azienda UE che vende solo a UK: Un'azienda irlandese o tedesca che vende a consumatori UK deve nominare un rappresentante UK GDPR ma non necessita di un rappresentante UE per il proprio territorio.
• Venditori marketplace (Amazon, Etsy, eBay): I venditori non UE/UK che usano queste piattaforme per raggiungere clienti UE o UK devono nominare i rappresentanti rilevanti. Alcuni fornitori, come REP27, offrono servizi combinati specifici per venditori marketplace, semplificando la conformità.

Rischi e sanzioni per mancata conformità

La mancata conformità all'articolo 27 GDPR o UK GDPR può avere conseguenze gravi. Le autorità di controllo possono imporre sanzioni amministrative fino a 10 milioni di € o al 2% del fatturato annuo globale, a seconda di quale sia maggiore (Articolo 83 GDPR). Ad esempio, l'autorità olandese ha multato Locatefamily.com per €525.000 per mancata nomina di un rappresentante. Oltre alle sanzioni finanziarie, le autorità possono ordinare la cessazione del trattamento dati o limitare le attività commerciali in UE o UK.

I rischi non si limitano alle multe. Se il tuo rappresentante scade per mancato rinnovo o la tua informativa privacy non nomina correttamente entrambi i rappresentanti, potresti essere in violazione di legge. Ciò può portare a indagini, danni reputazionali e perdita di fiducia dei clienti. Usare un fornitore combinato riduce il rischio di errori amministrativi e garantisce che entrambe le nomine siano aggiornate e verificabili.

Infine, la mancata risposta tempestiva a richieste di interessati o autorità può anch'essa costituire violazione. Assicurati che il tuo fornitore offra un desk richieste affidabile e che tu abbia processi interni per gestire le richieste inoltrate entro i termini di legge.