Comment vérifier que mon représentant GDPR UE ou responsable GPSR est réel et actif

• L'article 27 du RGPD exige un représentant UE écrit et vérifiable pour les entreprises hors UE.
• REP27 fournit un certificat avec vérification en ligne pour chaque nomination.
• Vérifiez les détails de l'entreprise dans les registres publics pour authentification.
• Comparez ce qui est inclus : tous les prestataires n'offrent pas la vérification publique.
• Des exemptions s'appliquent uniquement pour les traitements occasionnels, à faible risque.

Mis à jour 3 novembre 2026 · 6 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 3 novembre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que la loi exige : article 27 RGPD et GPSR

Pour toute entreprise hors UE ou Royaume-Uni ciblant des clients européens, comprendre les exigences légales pour nommer un représentant est essentiel. L'article 27 du Règlement Général sur la Protection des Données (RGPD) oblige les responsables de traitement et sous-traitants sans établissement dans l'UE à désigner par écrit un représentant établi dans un État membre où se trouvent les personnes concernées. Ce représentant agit comme contact local pour les autorités et individus concernant la protection des données. Le Règlement général sur la sécurité des produits (GPSR) exige de même une personne responsable pour les vendeurs non-UE, garantissant un contact local et responsable pour les questions de sécurité produit.

• Article 27(1) : Les responsables/sous-traitants hors UE doivent nommer un représentant par écrit.
• Article 27(3) : Le représentant doit être établi dans un État membre pertinent.
• Article 27(4) : Les autorités de contrôle et les personnes concernées peuvent contacter le représentant en plus ou à la place du responsable/sous-traitant.
• Article 27(2) : Des exemptions existent pour les traitements occasionnels, non massifs et peu risqués pour les droits et libertés des individus.
• GPSR : Exige une personne responsable pour la conformité et sécurité des produits pour les fabricants non-UE mettant des produits sur le marché UE.

Le non-respect de ces exigences peut entraîner des amendes administratives importantes : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé, pour les violations du RGPD. Ces règles assurent que les autorités et consommateurs européens disposent toujours d'un point de contact local fiable pour les questions de protection des données et sécurité des produits, même si l'entreprise est située hors UE.

Pour les entreprises vendant à l'UE via des plateformes en ligne ou directement, nommer un représentant ou responsable conforme et vérifiable n'est pas une simple formalité, mais une obligation légale. Vérifiez toujours le texte officiel ou consultez un spécialiste pour confirmer les obligations applicables à votre modèle commercial et flux de données.

Comment choisir et vérifier un représentant réel et actif

Choisir un représentant GDPR ou GPSR légitime est crucial pour la conformité et pour instaurer la confiance auprès des autorités UE, places de marché et clients. Voici comment s'assurer que votre prestataire est réel et actif :

1. Certificat avec vérification publique : La preuve la plus solide est un certificat signé avec un QR code ou un lien de vérification unique. REP27 délivre de tels certificats, permettant à quiconque (autorités, places de marché) de confirmer instantanément la validité de la nomination en ligne. Demandez toujours un exemple avant de vous engager.
2. Vérifiez les détails de l'entreprise dans les registres publics : Vérifiez l'entité juridique du prestataire dans le registre public du pays concerné. Par exemple, les nominations UE de REP27 sont signées par Europe Services SE, enregistrée à Prague et vérifiable dans le registre commercial tchèque. Cette transparence est essentielle ; un prestataire non vérifiable publiquement peut ne pas être accepté par les autorités.
3. Confirmez la portée et la validité : Assurez-vous que le certificat ou mandat précise clairement le type de nomination (RGPD, GPSR, etc.), la période couverte et l'entité juridique responsable. Les pages de vérification publique doivent afficher le nom du client, le service et les dates de validité, sans données internes sensibles.
4. Contact direct : Les prestataires fiables publient leurs coordonnées et répondent aux demandes de vérification. Si vous recevez un document non vérifiable ou sans nom de la bonne entreprise, contactez directement le prestataire pour confirmation.

Voici un comparatif de ce qui est inclus, non inclus ou peut engendrer des frais supplémentaires selon les prestataires (d'après les données disponibles) :

Demandez toujours la documentation et une démonstration du processus de vérification avant de nommer un prestataire. Cette étape est essentielle pour éviter des nominations invalides ou frauduleuses.

Ce que le prix inclut vraiment (et coûts cachés)

Les tarifs des prestataires peuvent être trompeurs si vous ne vérifiez pas ce qui est réellement inclus. Le prix publié peut ne couvrir que la nomination de base, tandis que des fonctionnalités essentielles — telles que la vérification publique, l'émission de certificat ou les mises à jour — peuvent coûter en supplément ou ne pas être proposées.

• Certificat et vérification publique : REP27 inclut un certificat vérifiable en standard. Pour les autres, vérifiez si cela fait partie du forfait ou est optionnel.
• Mises à jour et modifications : Si les détails de votre entreprise changent, demandez si les mises à jour du mandat ou certificat sont incluses ou facturées séparément.
• Revue annuelle et contrôles de conformité : EU Shield annonce une revue annuelle de conformité incluse. Pour d'autres prestataires, cela peut ne pas être inclus ou engendrer des frais.
• Transmission de la correspondance : Certains prestataires, comme EU Shield, précisent que la correspondance avec les personnes concernées et autorités est transmise sous un jour ouvré. Pour d'autres, demandez si cela est inclus ou facturé à la demande.
• Couverture multi-réglementation : Seuls certains prestataires (ex. REP27, Regingada) proposent des nominations pour plusieurs réglementations (RGPD, GPSR, loi IA, etc.). Si vous avez besoin de plusieurs types de représentants, confirmez la possibilité et le coût.

Les coûts cachés peuvent inclure :

• Frais par demande pour la transmission ou réponse aux requêtes des personnes concernées ou autorités.
• Frais pour mise à jour des détails d'entreprise ou certificats.
• Frais supplémentaires pour documentation de conformité ou revues annuelles.
• Coûts pour couverture de plusieurs réglementations ou juridictions.

Demandez toujours une liste de prix complète et détaillée et clarifiez ce qui est inclus avant de signer. Si un prestataire ne peut ou ne veut pas préciser, soyez prudent.

Comment fonctionne la nomination : étape par étape

Nommer un représentant RGPD ou responsable GPSR est un processus formel. Voici comment cela fonctionne avec des prestataires réputés tels que REP27, et ce à quoi vous devez vous attendre à chaque étape :

1. Identifiez vos obligations : Utilisez des outils gratuits ou consultez le prestataire pour déterminer quelles réglementations s'appliquent à votre activité (RGPD, GPSR, loi IA, etc.).
2. Choisissez un prestataire : Sélectionnez un prestataire couvrant les réglementations requises et offrant une documentation vérifiable.
3. Soumettez les détails de l'entreprise : Remplissez un dossier avec votre entité juridique, lieu d'établissement, informations sur les produits ou services, et documents pertinents.
4. Revue humaine : Une personne (pas un système automatisé) vérifie votre dossier pour complétude et conformité. REP27 réalise généralement cela sous 24 heures ouvrées.
5. Signature du mandat : Le signataire autorisé du prestataire signe la lettre de nomination ou mandat. Ce document nomme le prestataire comme votre représentant officiel ou responsable.
6. Émission du certificat : Vous recevez un certificat signé avec un QR code ou code de vérification. Ce certificat sert pour les mentions de confidentialité, étiquettes produit ou formulaires de conformité des places de marché.
7. Vérification publique : Toute personne peut vérifier la validité de votre nomination via le code ou lien. La page de vérification affiche le nom de votre entreprise, le type de nomination et la période de validité.
8. Mettez à jour vos mentions : Insérez les coordonnées du représentant et la ligne de vérification dans votre politique de confidentialité, étiquette produit ou profil de place de marché selon les besoins.

Liste de contrôle pour les acheteurs :

1. Déterminez quelles règles UE/Royaume-Uni s'appliquent à votre activité.
2. Rassemblez toute la documentation d'entreprise et produit/service.
3. Recherchez les prestataires et vérifiez les inscriptions dans les registres publics.
4. Demandez un certificat d'exemple et testez le processus de vérification.
5. Clarifiez ce qui est inclus dans le prix et les éventuels frais supplémentaires.
6. Signez le mandat et mettez à jour votre documentation de conformité.

Risques, amendes et ce que les prestataires ne disent généralement pas

Nommer un représentant non conforme ou non vérifiable expose votre entreprise à des risques importants :

• Amendes : Selon le RGPD, le non-respect de l'article 27 peut entraîner des amendes jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé. Les violations GPSR peuvent entraîner des interdictions ou rappels de produits.
• Retrait des places de marché : Les grandes plateformes comme Amazon et eBay exigent la preuve d'un représentant UE ou responsable valide. Le défaut de fournir cela peut conduire à la suspension de compte ou au retrait des produits.
• Actions judiciaires : Les autorités ou consommateurs peuvent engager des poursuites si le représentant ne peut être joint ou vérifié.

Ce que les prestataires ne disent généralement pas :

• Exclusions : La plupart des prestataires, y compris REP27, ne fournissent pas de conseils juridiques ni de représentation en justice. Leur rôle est strictement celui de point de contact défini par la loi.
• Délais de préavis : Les contrats peuvent exiger un préavis pour résilier ou modifier la nomination. Vérifiez toujours les conditions avant signature.
• Limites de responsabilité : Le représentant n'assume pas votre responsabilité en matière de conformité. La responsabilité RGPD ou GPSR reste à votre entreprise.
• Frais par demande : Certains prestataires peuvent facturer chaque demande des personnes concernées ou autorités transmise, ou pour les mises à jour. Ces frais ne sont pas toujours annoncés clairement.

Examinez attentivement les conditions du prestataire et posez des questions explicites sur les exclusions, responsabilités et frais supplémentaires. Un prestataire transparent répondra clairement et fournira des documents.

Matrice de décision : ai-je besoin d'un représentant ?

Toute entreprise hors UE n'a pas nécessairement besoin d'un représentant RGPD ou GPSR. Le tableau ci-dessous vous aide à décider selon votre modèle commercial, canaux de vente et clientèle :

Confirmez toujours vos obligations en consultant le texte officiel ou un contrôle de conformité qualifié. En cas de doute, utilisez le contrôle gratuit proposé par des prestataires comme REP27 ou consultez un spécialiste.

Scénarios réalistes et voie la plus simple conforme

• Entreprise SaaS américaine avec utilisateurs UE : L'entreprise offre un service cloud à des clients UE sans bureau dans l'UE. Selon l'article 27 RGPD, elle doit nommer un représentant UE. La voie la plus simple est de nommer un prestataire comme REP27, recevoir un certificat vérifiable et mettre à jour la politique de confidentialité avec les coordonnées du représentant et le lien de vérification.
• Vendeur chinois sur Amazon : Le vendeur propose des produits électroniques grand public sur Amazon.de et expédie directement depuis la Chine. RGPD et GPSR s'appliquent : RGPD pour les données clients, GPSR pour la sécurité produit. Le vendeur doit nommer un prestataire couvrant les deux rôles (REP27 et Regingada offrent une couverture multi-réglementation), puis fournir le certificat à Amazon et mettre à jour les fiches produit selon les exigences.
• Boutique en ligne britannique vendant à l'UE : Après le Brexit, une boutique en ligne basée au Royaume-Uni vendant à des clients UE doit nommer un représentant RGPD UE. La voie la plus simple est de nommer REP27 ou un prestataire similaire, obtenir un certificat et mettre à jour le site web et la politique de confidentialité en conséquence.

Dans tous les cas, les étapes clés sont : déterminer quelles règles s'appliquent, choisir un prestataire avec vérification publique, obtenir le certificat et mettre à jour la documentation de conformité. Cela garantit conformité légale et bon fonctionnement sur les places de marché et plateformes UE.