Quais empresas devem nomear um representante GDPR na UE?

• Obrigação para empresas fora da UE que processam dados de pessoas na UE (art. 3(2), 27 GDPR)
• Isenções: autoridades públicas, tratamentos ocasionais/não em larga escala/sem riscos elevados (art. 27(2))
• Multas até €10 milhões ou 2% do faturamento global (art. 83(4)(a))
• O representante é ponto de contato para autoridades e titulares (art. 4(17))
• Preços anuais publicados: de €290 a mais de €1.000 (outubro 2026)
• Serviços e custos variam: atenção a pedidos extras, idiomas e renovações

Atualizado 18 October 2026 · 6 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 18 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que a lei exige: artigos chave do GDPR

A obrigação de nomear um representante na UE nasce do artigo 27 do GDPR, que se aplica a qualquer controlador ou processador não estabelecido na União Europeia mas que oferece bens ou serviços a pessoas na UE, ou monitora seu comportamento (art. 3(2) GDPR). Essa obrigação abrange empresas B2C e B2B que tratam dados pessoais de indivíduos na UE. O representante, definido no art. 4(17) GDPR, é a pessoa física ou jurídica estabelecida na UE designada para atuar como ponto de contato para as autoridades de controle e titulares.

Existem isenções específicas (art. 27(2) GDPR): autoridades públicas, tratamentos ocasionais, não em larga escala e que não apresentam riscos elevados para os direitos e liberdades dos titulares. Se qualquer uma dessas condições não for cumprida, a obrigação de nomeação aplica-se.

As sanções por não nomeação são severas: o art. 83(4)(a) GDPR prevê multas até €10 milhões ou 2% do faturamento global anual. Um exemplo concreto: Locatefamily.com foi multada em €525.000 por não ter nomeado um representante.

Além da nomeação, o representante deve ser formalmente designado com mandato escrito e aceitar explicitamente o papel. A simples publicação de um endereço não é suficiente. Além disso, o representante deve ser capaz de apresentar o registro das atividades de tratamento (art. 30 GDPR) mediante solicitação das autoridades.

Em resumo, a nomeação de um representante UE é obrigatória para a maioria das empresas fora da UE que operam direta ou indiretamente com dados pessoais de residentes na União, salvo raras exceções.

Como escolher o representante UE: critérios práticos e comparação de serviços

Escolher um representante GDPR UE não é apenas uma questão de preço: é essencial entender o que o serviço realmente inclui. Os provedores se dividem em três categorias:

• Tier 1 – Apenas endereço: Oferece apenas um endereço postal na UE que encaminha a correspondência. Não aceita formalmente as obrigações do art. 27, não mantém registros, não garante tempos de resposta. É a solução mais barata, porém arriscada.
• Tier 2 – Designação completa: Fornece mandato escrito, central de solicitações, gestão do registro art. 30, resposta garantida às autoridades em prazos definidos. É o que o GDPR realmente exige.
• Tier 3 – Escritório de advocacia: Além da representação, oferece consultoria jurídica e serviços adicionais, porém a custos muito superiores, muitas vezes desnecessários para a maioria das empresas.

Tabela comparativa dos serviços incluídos:

Dica prática: sempre peça o modelo de mandato antes de comprar, verifique quem mantém o registro art. 30 e quais idiomas são suportados. Um serviço barato que não aceita formalmente as obrigações do art. 27 expõe a riscos elevados.

O que o preço realmente inclui e como identificar custos ocultos

Os preços dos representantes GDPR UE variam muito, de menos de €300 a mais de €2.000 anuais (outubro 2026), mas a diferença geralmente está nos serviços efetivamente incluídos. Veja o que verificar:

• Taxa por solicitação: Alguns provedores cobram custo extra (de €25 a €90) por cada solicitação de titular ou autoridade, enquanto outros (como REP27 a partir do Standard) incluem solicitações ilimitadas.
• Gestão do registro art. 30: O GDPR exige que o representante mantenha o registro das atividades de tratamento. Alguns planos básicos não incluem ou cobram à parte (até €400/ano).
• Idiomas suportados: Frequentemente apenas inglês está incluído nos planos básicos; gestão multilíngue pode ser extra.
• Custos de onboarding/configuração: Alguns provedores cobram taxa de ativação até €250.
• Aumentos na renovação: O custo pode subir a partir do segundo ano. REP27, por exemplo, prevê renovações com valores reduzidos em relação ao primeiro ano.

Tabela resumo dos principais custos ocultos:

Dica: sempre peça uma simulação dos custos totais para seu cenário (número de solicitações, idiomas, renovações) e verifique o que acontece em caso de ultrapassagem dos limites.

Como funciona a nomeação: guia passo a passo e checklist

A nomeação de um representante GDPR UE segue um processo preciso. Veja como proceder:

1. Verifique a obrigação: Confirme se sua empresa oferece bens/serviços ou monitora pessoas na UE (art. 3(2), 27 GDPR).
2. Escolha o provedor: Avalie preços, serviços incluídos, idiomas e presença de custos ocultos. Sempre solicite o modelo de designação.
3. Complete o onboarding: Envie dados da empresa e informações solicitadas pelo provedor. Alguns, como REP27, também exigem preenchimento do registro art. 30 (a partir do Standard).
4. Receba documentos: Obtenha a carta de designação assinada por ambas as partes, certificado QR e instruções para a política de privacidade.
5. Publique os dados: Insira nome, endereço e e-mail do representante na política de privacidade (art. 13/14 GDPR).
6. Operação: O provedor gerencia as solicitações recebidas e as encaminha dentro dos prazos previstos (ex. até 2 dias úteis com REP27, mesmo dia para autoridades a partir do Standard).

Checklist operacional:

1. Verifique art. 3(2) e 27 GDPR
2. Solicite e leia o modelo de designação
3. Pergunte quem mantém o registro art. 30
4. Verifique tempos de resposta garantidos
5. Calcule custos totais (solicitações, idiomas, renovações)
6. Assegure que a publicação na política de privacidade está conforme

Atenção: a nomeação é válida somente se o representante aceitar formalmente por escrito e a carta for assinada por ambas as partes.

Riscos e sanções: o que acontece em caso de descumprimento

Não nomear um representante UE quando exigido é uma infração autônoma do GDPR (art. 83(4)(a)). As autoridades de controle podem aplicar multas de até €10 milhões ou 2% do faturamento global anual, o que for maior. Essas sanções aplicam-se mesmo que todas as outras medidas do GDPR sejam cumpridas, mas a nomeação formal falte.

Um caso real: Locatefamily.com foi multada em €525.000 pela autoridade holandesa apenas por não ter nomeado o representante. Além disso, as autoridades podem ordenar suspensão dos tratamentos ou divulgação da violação.

Outros riscos práticos:

• Mandato incompleto (ex. apenas endereço postal) não protege contra multas
• Falta de resposta rápida às autoridades pode agravar a situação
• A responsabilidade permanece sempre com o controlador/processador (art. 27(5)), mesmo com representante nomeado

Conclusão: escolher um provedor apenas pelo preço mais baixo, sem verificar que aceita formalmente as obrigações do art. 27 e mantém o registro art. 30, expõe a riscos legais e reputacionais significativos.

O que os fornecedores frequentemente não dizem: limites, exclusões e renovações

• Muitos planos básicos são apenas endereços postais: Não aceitam formalmente as obrigações do art. 27, não mantêm registros, não garantem resposta às autoridades.
• Custos por solicitação podem superar a anuidade: Um mês com muitas solicitações pode elevar o gasto além do previsto.
• Gestão multilíngue é rara: Frequentemente apenas inglês está incluído; REP27 oferece central em 8 idiomas a partir do Standard.
• Renovação geralmente aumenta após o primeiro ano: Muitos provedores aplicam preços promocionais só no primeiro ano; REP27 prevê renovações reduzidas e transparentes.
• Responsabilidade legal permanece sempre com o cliente: O representante não assume responsabilidade por violações, que permanecem com o controlador/processador (art. 27(5)).
• Exclusões frequentes: Dados sensíveis (art. 9), dados judiciais (art. 10), serviços para menores, jogos de azar, farmacêutico, armas, cripto frequentemente não são aceitos.

Dica: sempre peça uma lista escrita do que está incluído, excluído e quais são as condições de renovação e rescisão.

Matriz decisória: quem deve nomear o representante? (B2B, B2C, marketplace, tamanho)

Na prática: a maioria das empresas fora da UE que têm clientes, usuários ou destinatários na UE deve nomear o representante, seja B2B ou B2C, seja em site próprio ou marketplace.

3 cenários práticos: qual obrigação se aplica e qual solução escolher

1. SaaS dos EUA com clientes UE: Um fornecedor SaaS americano que vende assinaturas para empresas ou usuários UE deve nomear um representante UE, publicar os dados na política de privacidade e manter o registro art. 30. Solução: plano Standard REP27, que inclui solicitações ilimitadas, gestão do registro e central multilíngue.
2. Vendedor chinês na Amazon: Uma empresa chinesa que vende produtos via Amazon para consumidores UE está plenamente sujeita à obrigação. Se vender também na Suíça, deve avaliar a obrigação nFADP. Solução: plano Multi REP27, que inclui avaliação suíça gratuita.
3. Loja online UK apenas B2B: Se não tratar dados de pessoas físicas UE (apenas empresas, sem contato pessoal), pode ser isenta. Se coletar dados de administradores/usuários UE, a obrigação aplica-se. Solução: avaliar caso a caso, mas em dúvida é melhor nomear representante.

Esses cenários mostram que a avaliação deve considerar tanto a clientela (B2B/B2C), quanto o tipo de dados tratados e a presença de monitoramento.