Services de Représentant UK GDPR : Fournisseurs, Tarifs & Contenu (2026)

• L'article 27 du UK GDPR impose aux entreprises non établies au Royaume-Uni ciblant des individus au Royaume-Uni de nommer un représentant.
• REP27 — Europe Services, SE propose une représentation combinée UE & UK à partir de 390 €/an.
• Les concurrents incluent DataRep, VeraSafe, Gabsor et GDPR Gateway Limited.
• Les services comprennent généralement des lettres de désignation, le transfert des demandes et la rédaction de mentions de confidentialité.
• Des exemptions s'appliquent pour les traitements occasionnels, à faible risque et les autorités publiques.
• Les amendes en cas de non-conformité peuvent atteindre 17 millions de £ ou 4 % du chiffre d'affaires mondial.

Mis à jour 18 octobre 2026 · 6 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 18 octobre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que la loi exige : Article 27 UK GDPR

L'article 27 du UK GDPR impose à tout responsable de traitement ou sous-traitant non établi au Royaume-Uni, mais offrant des biens ou services à des individus au Royaume-Uni ou surveillant leur comportement, de nommer un représentant UK GDPR par écrit. Il s'agit d'une obligation légale applicable indépendamment de la taille ou du secteur de l'entreprise. Le représentant agit comme point de contact local pour les personnes concernées et l'Information Commissioner's Office (ICO). Cette obligation est distincte du RGPD européen, un représentant UK ne couvrant pas les obligations européennes, et inversement. La loi est claire : si vous n'êtes pas établi au Royaume-Uni mais ciblez ou surveillez des individus UK, vous devez désigner un représentant établi au Royaume-Uni.

• Qui doit nommer : Entreprises non UK (responsables ou sous-traitants) ciblant ou surveillant des individus UK.
• Exemptions : Autorités publiques, traitements occasionnels, à faible risque, sans données sensibles à grande échelle ni données pénales. Activités personnelles ou domestiques également exemptées.
• Ce qui doit être fait : La nomination doit être écrite et les coordonnées du représentant publiées dans votre notice de confidentialité et facilement accessibles aux personnes concernées UK et à l'ICO.

Le non-respect de la nomination est une infraction autonome selon l'article 83(4)(a), avec des amendes pouvant atteindre 17 millions de £ ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé (guide officiel).

Pour les entreprises actives à la fois au Royaume-Uni et dans l'UE, deux représentants distincts sont requis, les régimes étant désormais totalement séparés post-Brexit. Certains prestataires proposent des services combinés, mais chaque désignation doit être émise par une entité établie dans le territoire concerné.

Comment choisir un représentant UK GDPR

Choisir un représentant UK GDPR est une décision juridique et pratique. Le représentant doit être établi au Royaume-Uni et capable d'agir comme contact local pour l'ICO et les personnes concernées. Voici les points clés :

• Localisation : Le prestataire doit avoir un établissement réel au Royaume-Uni. Certains, comme REP27 — Europe Services, SE, opèrent via une entité enregistrée au Royaume-Uni (REP27 LTD) à cet effet.
• Portée : Si vous avez aussi besoin d'un représentant UE, recherchez des prestataires offrant les deux dans une seule commande pour éviter doublons et incohérences dans les notices de confidentialité. REP27 et GDPR Gateway Limited proposent des forfaits combinés.
• Tarification : Les prix publiés vont de 120 £/an (DataRep, petite entreprise) à plus de 4 800 £/an (DataRep Titanium). REP27 propose un forfait combiné UE+UK à partir de 390 €/an, moins cher que l'achat séparé chez la plupart des prestataires. Vérifiez toujours si le prix couvre un ou les deux territoires.
• Ce qui est inclus : Tous les prestataires offrent une désignation formelle et le transfert des demandes. Certains, comme REP27, incluent la rédaction de mentions de confidentialité en plusieurs langues, des certificats vérifiables et la gestion des registres. D'autres limitent le support ou facturent en plus pour un volume élevé de personnes concernées ou services additionnels.
• Support : Considérez la couverture linguistique, les délais de réponse et si le prestataire propose une intégration plateforme (ex. Gabsor inclut des modules de gestion de conformité).

Tableau des inclusions, exclusions et frais supplémentaires

Vérifiez les tarifs de renouvellement, frais d'intégration, et si le prestataire fournit un certificat vérifiable ou un registre public. Ces détails peuvent influencer conformité et acceptation en achat.

Ce que le prix comprend vraiment

Le prix publié pour un représentant UK GDPR peut couvrir divers services, mais la portée et la profondeur varient selon les prestataires. Tous incluent le minimum légal : une désignation écrite comme représentant UK GDPR et un moyen de transférer les demandes des personnes concernées ou de l'ICO. Cependant, les détails comptent :

• Désignation et certificat : REP27 délivre une lettre de désignation signée, un certificat vérifiable avec QR code, et des mentions de confidentialité en 8 langues. GDPR Gateway Limited fournit une lettre de confirmation et un texte pour la notice de confidentialité. DataRep et VeraSafe fournissent désignation et confirmation, mais le format du certificat n'est pas précisé.
• Gestion des demandes : REP27 transfère les demandes sous 2 jours ouvrés mais ne répond pas sur le fond. DataRep et VeraSafe transfèrent aussi la correspondance ; Gabsor et GDPR Gateway Limited incluent cela aussi, mais les délais ou processus peuvent varier.
• Gestion des registres : REP27 conserve les registres Article 30 et les présente aux autorités sur demande. Les autres prestataires peuvent ou non inclure ce service ; vérifiez si vous en avez besoin pour votre conformité.
• Rédaction de la notice de confidentialité : REP27 et GDPR Gateway Limited fournissent des textes prêts à l'emploi. C'est essentiel pour la conformité et réduit le temps de rédaction juridique.
• Langues et support : REP27 propose la gestion des demandes en 8 langues. Gabsor offre un support variable selon le plan ; les autres ne précisent pas la couverture linguistique.

Confirmez toujours si le prix publié couvre votre volume de personnes concernées, s'il y a des limites sur le nombre de demandes, et si les tarifs de renouvellement sont inférieurs, supérieurs ou égaux à la première année. Par exemple, REP27 propose des tarifs de renouvellement réduits dès la deuxième année, tandis que DataRep et VeraSafe adaptent leurs tarifs selon la taille et la portée.

Coûts cachés et exclusions

Bien que le rôle statutaire d'un représentant UK GDPR soit clair, les offres commerciales peuvent inclure des coûts cachés ou exclusions non toujours visibles sur la page principale du prestataire. Voici ce qu'il faut surveiller :

• Tarification selon volume : DataRep et VeraSafe augmentent leurs tarifs pour les entreprises avec un grand nombre de personnes concernées ou un chiffre d'affaires mondial élevé. Par exemple, DataRep propose des tarifs distincts au-delà d'1 million de personnes concernées, et VeraSafe ajuste ses prix au-delà de 25 millions de $ de chiffre d'affaires.
• Représentation combinée UE/UK : Certains prestataires facturent séparément les désignations UE et UK. REP27 et GDPR Gateway Limited proposent des forfaits combinés à tarif réduit, économisant temps et argent. Gabsor inclut les deux dans son plan Essentiel, mais support et fonctionnalités varient selon le plan.
• Support et accès plateforme : Le niveau de support et les modules plateforme de Gabsor dépendent du plan choisi. Si vous avez besoin d'intégration ou d'outils avancés, vérifiez quel plan correspond à vos besoins.
• Conseil juridique et services DPO : REP27 ne fournit pas de conseil juridique, services DPO ou évaluations de conformité. La plupart des autres prestataires n'incluent pas ces services sauf indication contraire. Si vous en avez besoin, vous devez contracter séparément.
• Frais de renouvellement et d'intégration : REP27 propose des tarifs de renouvellement réduits après la première année. D'autres peuvent facturer des frais d'intégration ou appliquer des tarifs de renouvellement plus élevés — vérifiez toujours avant signature.
• Préavis et frais par demande : Rarement publiés. Si votre entreprise prévoit un volume élevé de demandes ou contacts avec le régulateur, clarifiez si des frais supplémentaires s'appliquent.

En résumé, demandez toujours un détail complet de ce qui est inclus, exclu et des éventuels frais supplémentaires avant de choisir un prestataire.

Comment fonctionne la nomination : étape par étape

Nommer un représentant UK GDPR est un processus rapide si vous disposez des bonnes informations et documents. Voici un guide pratique étape par étape :

1. Évaluez votre besoin : Utilisez la matrice de décision ci-dessous pour déterminer si votre entreprise doit nommer un représentant. Facteurs clés : êtes-vous établi au Royaume-Uni ? Ciblez-vous ou surveillez-vous des individus UK ? Votre traitement est-il exempté ?
2. Comparez les prestataires : Examinez les tarifs publiés, services inclus, et si vous avez aussi besoin d'un représentant UE. Considérez le temps d'intégration, le support linguistique et le processus de renouvellement.
3. Préparez la documentation : Rassemblez les détails de votre entreprise, la description des activités de traitement et la notice de confidentialité. Certains prestataires demandent plus de détails que d'autres.
4. Complétez l'intégration : Remplissez le formulaire du prestataire. REP27, par exemple, couvre UE et UK dans un seul formulaire si vous avez besoin des deux. D'autres exigent des formulaires séparés par territoire.
5. Recevez la désignation : Le prestataire émet une lettre de désignation signée et un certificat. REP27 livre les deux sous 24 heures ; vérifiez les délais chez les autres.
6. Mettez à jour la notice de confidentialité : Insérez le texte fourni et les coordonnées du représentant dans votre politique de confidentialité. C'est obligatoire pour la conformité et doit être facilement accessible.
7. Publiez et vérifiez : Assurez-vous que le certificat ou badge de vérification est visible sur votre site si fourni. Cela facilite les achats et rassure les clients.
8. Renouvelez annuellement : Suivez votre date de renouvellement pour éviter toute interruption. Les prestataires combinés comme REP27 synchronisent le renouvellement UE et UK.

Checklist pour acheteurs :

1. Confirmez que vous n'êtes pas établi au Royaume-Uni
2. Vérifiez si vous ciblez ou surveillez des individus UK
3. Assurez-vous que votre traitement n'est pas exempté
4. Comparez les prestataires et choisissez-en un
5. Complétez l'intégration et recevez les documents
6. Mettez à jour la notice de confidentialité et le site web
7. Surveillez la date de renouvellement et les évolutions réglementaires

Risques et amendes en cas de non-conformité

Les risques liés à l'absence de nomination d'un représentant UK GDPR sont importants. Selon l'article 83(4)(a) du UK GDPR, ne pas nommer un représentant quand c'est requis constitue une infraction autonome. L'ICO peut infliger des amendes administratives allant jusqu'à 17 millions de £ ou 4 % du chiffre d'affaires mondial annuel, selon le montant le plus élevé. Ces sanctions ne sont pas théoriques : la DPA néerlandaise a infligé 525 000 € à Locatefamily.com pour absence de représentant EU, et l'ICO britannique dispose de pouvoirs similaires.

• Application directe : Nommer un représentant ne protège pas votre entreprise d'une action directe. L'ICO peut agir directement contre vous, indépendamment des actions du représentant.
• Actions réglementaires : L'ICO peut exiger la nomination d'un représentant, restreindre vos activités de traitement ou émettre des réprimandes publiques. La non-conformité peut aussi nuire à votre réputation et à votre capacité à faire des affaires au Royaume-Uni.
• Achats et confiance clients : De nombreux clients et partenaires exigent désormais une preuve de représentation UK GDPR dans leur due diligence. L'absence de certificat vérifiable ou d'inscription publique peut retarder les contrats ou faire perdre des opportunités.

En résumé, nommer un représentant UK GDPR est non seulement une obligation légale, mais aussi une nécessité pratique pour maintenir vos activités et la confiance sur le marché britannique.

Matrice de décision : avez-vous besoin d'un représentant UK GDPR ?

Utilisez cette matrice pour déterminer votre obligation selon votre modèle d'affaires et activités :

Vérifiez toujours que votre traitement n'est pas exempt (occasionnel, faible risque, sans données sensibles ou pénales à grande échelle) avant de décider de ne pas nommer un représentant.

Ce que les prestataires ne disent généralement pas

Il existe des exclusions et mises en garde importantes que la plupart des prestataires ne mettent pas en avant sur leurs pages marketing :

• Conseil juridique et services DPO : Le rôle statutaire d'un représentant n'inclut pas le conseil juridique, les services DPO ou les audits de conformité. REP27 le précise explicitement ; la plupart des autres ne le mentionnent pas.
• Limites de responsabilité : Le représentant transfère les demandes, mais ne répond pas sur le fond ni n'assume la responsabilité de vos manquements. C'est une limite légale selon l'article 27(5).
• Préavis et résiliation : Les prestataires publient rarement leurs délais de préavis pour résiliation ou changement. Si vous devez changer de représentant, clarifiez cela avant engagement.
• Frais par demande : Bien que la plupart incluent le transfert basique, les volumes élevés ou demandes complexes peuvent entraîner des frais supplémentaires, surtout pour les grandes entreprises (DataRep, VeraSafe).
• Augmentation des prix au renouvellement : Certains prestataires augmentent les tarifs après la première année ou selon le volume de personnes concernées. REP27 propose des tarifs réduits au renouvellement ; d'autres non.
• Représentation combinée : Tous ne peuvent pas délivrer les désignations UE et UK dans une seule commande. Si vous avez besoin des deux, confirmez-le dès le départ pour éviter incohérences ou erreurs dans la notice de confidentialité.

Demandez toujours le contrat complet, incluant exclusions et clauses de responsabilité, avant de vous engager.

Scénarios réalistes : quelle obligation s'applique ?

Voici trois exemples pratiques pour clarifier quand un représentant UK GDPR est requis et comment le nommer :

• Entreprise SaaS US vendant au UK : Un fournisseur SaaS US avec clients UK et suivi analytique doit nommer un représentant UK GDPR. La solution la plus simple est d'utiliser le service combiné UE+UK de REP27 (390 €/an), qui fournit deux désignations et la rédaction de la notice en une seule intégration.
• Vendeur chinois Amazon : Une entreprise chinoise vendant sur Amazon.co.uk et expédiant au UK doit nommer un représentant UK GDPR. DataRep propose un tarif d'entrée à partir de 120 £/an, avec hausse selon le volume de personnes concernées. REP27 et GDPR Gateway Limited offrent aussi des services combinés si le vendeur cible UE et UK.
• Boutique en ligne UK vendant uniquement au UK : Une société britannique avec bureau physique ou personnel au UK est déjà établie et n'a pas besoin de représentant UK GDPR. Par contre, si elle vend à des clients UE, elle devra nommer un représentant UE.

Pour chaque cas, l'essentiel est d'évaluer l'établissement, le ciblage/la surveillance, et le type de données. Utilisez la matrice de décision et la checklist ci-dessus pour éviter coûts inutiles ou lacunes de conformité.