Quais empresas precisam de representante da UE para GDPR?

• O Artigo 27 do RGPD obriga empresas não-UE com atividade direcionada à UE a nomear representante.
• A obrigação aplica-se a controladores e processadores fora da UE conforme Art. 3(2).
• Exclui autoridades públicas e tratamentos ocasionais de baixo risco.
• Multas por descumprimento: até 10 milhões de euros ou 2% do faturamento global.
• O representante deve estar na UE e aceitar o mandato por escrito.
• Comparar preços e serviços é essencial: há diferenças e custos ocultos.

Atualizado 21 October 2026 · 8 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 21 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que a lei exige? (Artigos 3 e 27 do RGPD)

O Regulamento Geral de Proteção de Dados (RGPD) estabelece em seu Artigo 27 que qualquer empresa ou entidade estabelecida fora da União Europeia (UE) que, conforme o Artigo 3(2), ofereça bens ou serviços a pessoas na UE ou monitore seu comportamento, deve nomear por escrito um representante na UE. Esse representante atua como ponto de contato para titulares de dados e autoridades de proteção de dados, e deve estar estabelecido em um dos Estados-membros onde haja titulares afetados.

• A obrigação aplica-se tanto a controladores quanto a processadores fora da UE.
• A nomeação deve ser formalizada por escrito e assinada por ambas as partes, detalhando o escopo, obrigações e duração do mandato.
• O representante deve manter um registro das atividades de tratamento (Art. 30 RGPD) e cooperar com as autoridades quando solicitado.
• Exceções: não é exigido representante para autoridades públicas nem para tratamentos ocasionais, de baixo risco e que não incluam categorias especiais de dados ou dados criminais.

A falta de nomeação constitui infração independente segundo o Artigo 83(4)(a), punível com multa de até 10 milhões de euros ou 2% do volume global de negócios, o que for maior. Um exemplo real é a multa de 525.000 euros aplicada à Locatefamily.com pela autoridade holandesa por não nomear representante.

O representante não assume a responsabilidade legal pelo tratamento: esta permanece com o controlador ou processador original. Sua função é administrativa e de contato, não de consultoria jurídica.

Como escolher um representante da UE: critérios principais e comparação

Escolher um representante da UE adequado é crucial para cumprir o RGPD e evitar sanções. Nem todos os serviços são equivalentes: alguns oferecem apenas um endereço postal, enquanto outros assumem formalmente o mandato e gerenciam solicitações e registros. Antes de decidir, considere:

• Nomeação formal: O fornecedor aceita explicitamente o mandato Art. 27 e assina?
• Gestão de registros: Mantém e apresenta o registro de atividades (Art. 30) se solicitado por autoridade?
• Idiomas de atendimento: O serviço cobre os idiomas necessários para seus clientes e autoridades?
• Custos adicionais: Há cobranças por cada solicitação, idiomas extras ou renovação?
• Certificados e verificação: Oferece certificado verificável e mecanismos públicos de checagem?

Comparativo de serviços (informação pública de outubro de 2026):

Peça sempre a carta de nomeação antes de pagar e verifique se aceita todas as tarefas exigidas pelo RGPD.

O que o preço realmente inclui? Tarifas, níveis e custos ocultos

O preço divulgado pelos fornecedores de representante da UE pode variar bastante e nem sempre reflete o custo total do serviço. É fundamental analisar o que cada tarifa inclui e quais cobranças podem surgir depois.

• Tarifas base: Variam de menos de €300/ano até mais de €2.000/ano, dependendo se oferecem apenas endereço, nomeação formal ou serviços legais adicionais.
• Custos por solicitação: Alguns cobram entre €25 e €90 por cada solicitação de titular gerenciada. Isso pode elevar muito o custo real se receber muitas solicitações.
• Gestão de registros: Manter e apresentar o registro de atividades (Art. 30) geralmente tem custo adicional de €100 a €400/ano em muitos fornecedores. REP27 inclui desde o plano Standard.
• Idiomas e suporte: Suporte multilíngue é raro nos planos básicos; REP27 cobre 8 idiomas no Standard e Multi.
• Renovações: Alguns fornecedores aumentam o preço após o primeiro ano. REP27 reduz o valor da renovação a partir do segundo ano.

Exemplo prático: uma empresa que recebe 20 solicitações por ano e contrata plano com custo por solicitação pode acabar pagando mais que o dobro do preço base. Sempre peça o contrato e calcule o custo total anual antes de decidir.

Resumo dos níveis de serviço:

• Endereço postal: Apenas encaminhamento, sem aceitação formal nem gestão de registros.
• Nomeação formal: Mandato assinado, gestão de solicitações e registros, compromisso de resposta.
• Retentor legal: Inclui consultoria jurídica, geralmente desnecessária para a maioria das empresas.

Como funciona a nomeação passo a passo: guia prático

O processo de nomeação de um representante da UE sob o RGPD deve ser rigoroso e documentado. Veja um guia passo a passo para cumprir corretamente:

1. Avalie a obrigação: Confirme se sua empresa está fora da UE e se oferece bens/serviços ou monitora pessoas na UE.
2. Escolha o fornecedor: Opte por um fornecedor que aceite explicitamente o mandato Art. 27 e esteja estabelecido na UE.
3. Solicite a carta de nomeação: Peça o rascunho da carta e verifique se inclui aceitação formal, escopo, gestão de registros e prazos de resposta.
4. Assine e contra-assine: Assine a nomeação; o fornecedor deve contra-assinar (REP27 faz em 24h).
5. Receba o certificado: O fornecedor deve emitir certificado verificável com QR e página pública.
6. Atualize sua política de privacidade: Inclua os dados do representante (nome, endereço, email) no aviso de privacidade conforme Art. 13/14 RGPD.
7. Operação: O representante recebe, registra e encaminha solicitações de titulares e autoridades conforme prazos. No REP27, solicitações são encaminhadas em 2 dias úteis (ou mesmo dia para autoridades nos planos Standard/Multi).
8. Gestão de registros: Se o plano incluir, o representante mantém o registro Art. 30 e o entrega às autoridades se solicitado.

Checklist para compradores:

1. Sua empresa oferece bens/serviços ou monitora pessoas na UE?
2. Está fora da UE?
3. O tratamento é mais que ocasional e não está excluído?
4. Peça a carta de nomeação e verifique que aceita tarefas Art. 27.
5. Informe-se sobre custos extras: solicitações, idiomas, renovação.
6. Confirme se mantêm seu registro Art. 30 e o entregam às autoridades.
7. Verifique suporte nos idiomas necessários.
8. Cheque o prazo de resposta para autoridades.
9. Assine e publique dados do representante na política de privacidade.

Riscos, sanções e cenários de descumprimento

Não nomear um representante da UE quando obrigatório é infração independente sob o RGPD, punível com multas de até 10 milhões de euros ou 2% do volume global de negócios, conforme Artigo 83(4)(a). Autoridades podem iniciar procedimentos mesmo sem denúncia prévia, e falta de resposta ou nomeação inválida agravam as consequências.

• Exemplo real: Locatefamily.com foi multada em 525.000 euros pela autoridade holandesa apenas por não ter representante nomeado.
• Mandato inválido: Nomear só um endereço postal ou fornecedor que não aceite formalmente o mandato pode ser pior que não nomear, pois nomeia-se terceiro que não responderá às autoridades.
• Responsabilidade: O representante não assume responsabilidade legal pelo tratamento, mas deve cooperar plenamente com autoridades e facilitar comunicação com controlador fora da UE.

Recomendações para evitar riscos:

• Verifique que o mandato esteja assinado e aceite expressamente as tarefas do Art. 27.
• Confirme que o representante mantenha e apresente o registro Art. 30 se solicitado.
• Não confie só em preços baixos: revise o real escopo do serviço e prazos de resposta.

O descumprimento pode afetar reputação, capacidade de operar na UE e acarretar sanções econômicas significativas.

Matriz de decisão: você precisa de representante da UE?

A matriz abaixo ajuda a determinar se sua empresa precisa de representante da UE sob o RGPD. Analise sua situação e verifique se a obrigação se aplica:

Exemplos concretos:

• Um SaaS dos EUA que permite registro de usuários da UE: Sim, precisa de representante.
• Um fabricante chinês que vende produtos na Amazon para clientes da UE: Sim, precisa de representante.
• Uma ONG canadense que processa dados apenas de doadores fora da UE: Não precisa de representante.

O que os fornecedores geralmente não dizem: exclusões, renovações e limites

Muitos fornecedores omitem detalhes importantes que podem afetar o cumprimento e o custo real do serviço. É fundamental ler a letra miúda e perguntar antes de contratar:

• Apenas endereço postal: Alguns oferecem só endereço na UE, sem aceitar formalmente o mandato nem se comprometer a responder solicitações ou manter registros.
• Gestão de registros: A maioria não inclui gestão e entrega do registro Art. 30 no preço base; pode representar custo anual significativo.
• Suporte limitado: Geralmente só em inglês, mesmo que anunciem cobertura UE. REP27 inclui 8 idiomas no Standard e Multi.
• Custos por solicitação: Cobranças por cada solicitação podem ultrapassar o preço anual se receber muitas demandas.
• Renovações automáticas: Alguns contratos renovam automaticamente com aumento de preço após o primeiro ano. REP27 reduz o preço na renovação.
• Limites de responsabilidade: O representante não assume sua responsabilidade legal nem oferece consultoria jurídica, salvo contratação específica.
• Atividades excluídas: REP27 não aceita clientes que tratem dados de categorias especiais, criminais, atividades de alto risco, menores de 16 anos, scraping, conteúdo adulto, armas, criptomoedas ou que exijam licença.

Peça sempre o contrato e verifique todos os pontos antes de se comprometer.

Cenários práticos: exemplos de obrigação e caminhos para conformidade

Para ilustrar como se aplica a obrigação de representante da UE, veja três cenários reais e a rota mais simples para cumprir:

• SaaS dos EUA que vende para empresas e consumidores na UE: Deve nomear representante UE. O plano Standard do REP27 cobre solicitações ilimitadas, suporte em 8 idiomas e manutenção de registros. Inclua dados do representante na política de privacidade e responda às solicitações via desk.
• Vendedor chinês na Amazon que envia para a UE: Obrigação de representante conforme RGPD Art. 27. Se vender produtos sujeitos a marcação CE ou GPSR, REP27 Multi cobre também figura de responsável GPSR e representante autorizado CE. Inclua dados em listagens e documentação do produto.
• Loja online do Reino Unido que continua vendendo para a UE: Após Brexit, precisa de representante UE e, em muitos casos, também UK. EUverify oferece ambos em um plano; REP27 oferece separadamente com desconto se contratados juntos. Inclua ambos dados na política de privacidade e responda conforme cada jurisdição.

Em todos os casos, a nomeação deve ser formal, assinada e refletida na documentação pública e privada da empresa.