Como comparar fornecedores de representação legal para empresas não europeias

• Obrigação para empresas extra-UE que processam dados de residentes UE (Art. 27 GDPR)
• Preços anuais publicados: de EUR 290 a USD 1.500+
• Serviços incluídos e cobertura variam entre fornecedores
• Designação rápida e certificados verificáveis: nem sempre incluídos
• Riscos: multas de até 10 milhões de euros ou 2% do faturamento

Atualizado 26 October 2026 · 8 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 26 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que a lei exige: Artigo 27 GDPR e Data Act

O Artigo 27 do GDPR obriga controladores e processadores não estabelecidos na UE, mas que oferecem bens ou serviços a pessoas na UE ou monitoram o comportamento de residentes UE, a nomear um representante na União. Esse representante atua como ponto de contato para as autoridades de proteção de dados e para os titulares dos dados, facilitando a comunicação e o gerenciamento das solicitações.

A não nomeação é considerada uma infração autônoma, sujeita a sanções administrativas de até 10 milhões de euros ou 2% do faturamento global anual, conforme o Artigo 83(4)(a) do GDPR. Um caso concreto é a multa de 525.000 euros aplicada à Locatefamily.com pela autoridade holandesa por não nomear o representante.

• Obrigação por escrito: a nomeação deve ser formalizada por escrito (Art. 27(1) GDPR).
• Resposta rápida: o representante deve responder prontamente às solicitações das autoridades e titulares.
• Gestão de registros: obrigação de manter e apresentar sob demanda os registros das atividades de tratamento (Art. 30 GDPR).
• Data Act: para fornecedores de cloud extra-UE que vendem serviços na União, o Data Act impõe a nomeação de representante e regras específicas sobre switching, portabilidade e exclusão de dados.
• Suíça: O Art. 14 nFADP exige nomeação de representante somente se todas as condições forem atendidas (oferta a residentes, tratamento em larga escala, regularidade, alto risco).

A representação UE não é exigida para empresas já estabelecidas na UE, nem para quem não processa dados de residentes UE.

Como escolher o fornecedor: critérios práticos e comparação de serviços

A escolha do fornecedor de representação legal UE deve basear-se em critérios objetivos e verificáveis. Os principais elementos a avaliar são:

• Preço anual publicado: prefira fornecedores com preços transparentes e verificados.
• Tempo de designação: alguns fornecedores, como REP27, garantem designação em até 24 horas.
• Cobertura geográfica: verifique se o serviço cobre apenas a UE ou também todo o Espaço Econômico Europeu (EEE) e a Suíça (avaliação, não representação direta).
• Certificados e cartas de nomeação: a presença de certificados verificáveis (QR code, assinatura eletrônica) oferece maior segurança e rastreabilidade.
• Idiomas disponíveis: documentação multilíngue (ex. aviso de privacidade em 8 idiomas com REP27) facilita a conformidade em vários países.
• Serviços extras: alguns fornecedores incluem avaliação Suíça, DPO externo, treinamento ou painel de compliance.

Tabela inclusões/exclusões:

Transparência sobre inclusões é fundamental: sempre solicite uma lista detalhada dos serviços incluídos e possíveis tarifas adicionais antes de assinar.

O que o preço realmente inclui: atenção aos custos ocultos

O preço publicado por cada fornecedor pode referir-se apenas ao serviço básico de representação, enquanto outros serviços podem ser opcionais ou sujeitos a custos adicionais. Veja o que considerar:

• Carta de nomeação e assinatura eletrônica: fundamental para prova de conformidade, mas nem sempre fornecida em formato verificável.
• Certificado verificável: REP27 oferece certificado com QR code e verificação pública, útil para auditorias e controles.
• Encaminhamento de solicitações: verifique os prazos garantidos de resposta (ex. REP27: encaminhamento em até 2 dias úteis).
• Aviso de privacidade multilíngue: importante para empresas que operam em vários países da UE.
• Registros Art. 30 GDPR: a gestão dos registros pode ser incluída ou não; verifique se o fornecedor os mantém e apresenta sob demanda.
• Avaliação Suíça nFADP: REP27 oferece incluída, outros fornecedores não especificam.

Alguns fornecedores, como DataShield, incluem serviços adicionais (DPO externo, treinamento, painel), mas o preço parte de $1,500/ano. EaseCert oferece fórmula única, útil para quem busca solução sem taxas recorrentes. Sempre pergunte sobre custos para atualizações, solicitações extras, onboarding ou documentação adicional.

Como funciona a nomeação: passo a passo e documentos necessários

1. Verificação da obrigação: Confirme se sua empresa oferece bens/serviços ou monitora residentes UE sem sede legal na União.
2. Escolha do fornecedor: Compare preços, serviços incluídos, prazos de resposta e cobertura geográfica.
3. Coleta de dados: Forneça ao fornecedor informações da empresa, detalhes das atividades de tratamento, aviso de privacidade e, se solicitado, registros Art. 30 GDPR.
4. Designação formal: Receba a carta de nomeação assinada (eletronicamente se previsto) e o certificado de representação. REP27 garante emissão em até 24 horas.
5. Publicação: Atualize a política de privacidade e os canais oficiais da empresa com os dados do representante UE.
6. Gestão contínua: Mantenha atualizados os registros das atividades de tratamento e assegure que o representante esteja sempre informado sobre eventuais mudanças.

Checklist prática:

1. Verifique se oferece bens/serviços ou monitora residentes UE
2. Confirme se já possui sede legal na UE
3. Compare preços publicados e serviços incluídos
4. Solicite detalhes sobre prazos de designação e certificação
5. Pergunte se estão incluídos aviso de privacidade multilíngue e avaliação Suíça
6. Verifique custos extras para solicitações ou atualizações
7. Proceda com a nomeação por escrito e atualize a política de privacidade

A nomeação é válida enquanto o contrato estiver ativo e pode ser atualizada ou revogada a qualquer momento, notificando as autoridades e atualizando a documentação pública.

Riscos, multas e consequências da não nomeação

A não nomeação de um representante UE traz riscos concretos e sanções significativas. Segundo o Artigo 83(4)(a) do GDPR, as multas podem chegar a 10 milhões de euros ou 2% do faturamento global anual, conforme o valor mais alto. As autoridades também podem:

• Bloquear as atividades de tratamento de dados na UE
• Impor restrições operacionais ou obrigações adicionais
• Exigir a exclusão de dados coletados ilegalmente
• Comprometer a reputação da empresa, afetando clientes e parceiros

Um exemplo concreto é a multa de 525.000 euros aplicada à Locatefamily.com pela falta de nomeação. Atrasos nas respostas às solicitações de autoridades ou titulares também podem agravar a situação da empresa e levar a controles ou sanções adicionais.

O risco não é exclusivo de grandes empresas: PMEs e vendedores em marketplaces também estão sujeitos à obrigação se processam dados de residentes UE. A não conformidade pode ainda impedir o acesso a mercados e parcerias estratégicas na Europa.

Matriz decisória: quem realmente precisa do serviço?

A decisão depende de onde estão seus clientes e se você processa dados pessoais de residentes UE. Vendedores em marketplaces como Amazon, Etsy ou eBay também estão sujeitos à obrigação se não têm sede UE e vendem para clientes europeus.

O que os fornecedores geralmente não dizem: exclusões e limitações

• Alguns fornecedores cobram taxas extras para atualizações, solicitações frequentes ou serviços de onboarding: sempre verifique a transparência contratual.
• Nem todos emitem certificados verificáveis ou cartas assinadas digitalmente: isso pode dificultar a prova de conformidade em auditorias.
• A cobertura pode excluir Noruega, Islândia, Liechtenstein ou Suíça: sempre verifique se o serviço é válido para todo o EEE ou apenas para a UE.
• A responsabilidade do fornecedor é frequentemente limitada contratualmente e não cobre eventuais sanções aplicadas à empresa cliente.
• Os prazos de resposta às solicitações nem sempre são garantidos contratualmente: peça explicitamente SLA e procedimentos de escalonamento.
• Serviços como avaliação Suíça nFADP são raros e geralmente não incluídos, exceto em casos como REP27.

Antes de assinar, sempre solicite uma lista detalhada do que está incluído, o que está excluído e as condições para rescisão ou troca de fornecedor.

3 cenários realistas: qual obrigação e caminho escolher

• SaaS EUA: Oferece serviços a clientes UE, sem sede UE. Deve nomear representante Art. 27 GDPR. Caminho: escolher fornecedor com cobertura EEE e receber carta/certificado; atualizar política de privacidade e documentação.
• Vendedor Amazon China: Vende em marketplace UE, sem sede UE. Obrigação Art. 27 GDPR. Caminho: nomear representante, publicar dados na política de privacidade, gerir solicitações de autoridades e clientes via representante.
• Loja online Reino Unido pós-Brexit: Vende para clientes UE, sem sede UE. Obrigação de representação UE, não do Reino Unido. Caminho: nomear representante UE, atualizar documentos e política de privacidade, verificar se também precisa de representante UK para clientes britânicos.

Em todos os casos, a escolha do fornecedor deve basear-se em transparência, rapidez na designação e serviços incluídos. A não nomeação expõe a riscos legais e comerciais.