Quanto custa nomear um representante UK GDPR? Preços e comparação 2026

• Obrigação para empresas fora do Reino Unido que oferecem serviços ou monitoram pessoas no Reino Unido (Art. 27 UK GDPR).
• Preços anuais de £120 a £1.450; REP27 a €290/ano (somente UK) ou €390/ano (UK+UE).
• O representante deve estar estabelecido no Reino Unido e atuar como ponto de contato para titulares e ICO.
• Serviços incluídos: encaminhamento de solicitações, manutenção do registro de tratamentos, certificados, suporte para aviso de privacidade.
• Quem já está estabelecido no Reino Unido ou trata dados apenas ocasionalmente pode estar isento.
• Sanções de até £8,7 milhões ou 2% do faturamento global se não nomear representante quando obrigatório.

Atualizado 20 October 2026 · 9 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 20 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que a lei exige: Artigo 27 UK GDPR

O Artigo 27 UK GDPR determina que todo controlador ou processador não estabelecido no Reino Unido, mas que oferece bens ou serviços a pessoas no Reino Unido ou monitora seu comportamento, deve nomear um representante estabelecido no Reino Unido (fonte oficial). O representante atua como ponto de contato para os titulares e para o Information Commissioner’s Office (ICO). A nomeação deve ser feita por escrito e os dados do representante devem ser publicados na política de privacidade da empresa. O representante deve ser capaz de receber e encaminhar prontamente as solicitações dos titulares e do ICO, além de manter o registro das atividades de tratamento (Art. 30 UK GDPR).

As isenções são limitadas: a obrigação não se aplica se o tratamento for apenas ocasional, não regular ou sistemático, e não apresentar riscos para os direitos e liberdades dos titulares. Autoridades públicas também estão excluídas. O descumprimento pode acarretar sanções de até £8,7 milhões ou 2% do faturamento global.

A regulamentação é rigorosa: a presença de ao menos um elemento (oferta de serviços a residentes UK ou monitoramento comportamental) aciona a obrigação. É fundamental avaliar cuidadosamente sua atividade e, em caso de dúvida, consultar as FAQs oficiais ou solicitar avaliação ao fornecedor escolhido.

Como escolher o representante UK GDPR

A escolha do representante UK GDPR deve considerar vários fatores práticos e estratégicos. Primeiro, avalie se você opera somente no Reino Unido ou também na União Europeia: neste último caso, um fornecedor que oferece ambos os serviços (como REP27) pode simplificar a gestão e reduzir custos. Considere também a rapidez na emissão da designação (REP27 promete 24 horas), a disponibilidade de suporte multilíngue, a existência de equipes dedicadas para encaminhamento de solicitações e gestão dos registros de tratamento.

Outros pontos a considerar são a transparência sobre custos extras (por exemplo, Janus Compliance cobra £250/h para respostas personalizadas ou traduções), a facilidade de onboarding (um único formulário para UK+UE com REP27), e a presença de ferramentas digitais como selo de conformidade, plataformas de gestão ou construtores para o registro de tratamentos (ROPA). Alguns fornecedores, como GDPR Gateway, oferecem também endereços físicos em Londres, úteis para quem precisa de um ponto formal de correspondência.

Em resumo: escolha um fornecedor que atenda suas necessidades de cobertura territorial, serviços incluídos, rapidez e transparência nos custos. Se atua em vários mercados, considere a conveniência de uma gestão unificada.

O que o serviço realmente inclui: comparação detalhada

O serviço de representação UK GDPR pode variar bastante entre fornecedores. Elementos comuns são a designação formal (documento assinado e certificado), o encaminhamento das solicitações de titulares e autoridades (ICO) e o suporte para a redação do aviso de privacidade. Alguns fornecedores, como REP27, incluem também a gestão do registro de tratamentos (Art. 30), fornecimento de certificados verificáveis com QR code e possibilidade de receber documentação em múltiplos idiomas.

Outros, como Janus Compliance, oferecem um serviço básico mas cobram custos extras para atividades adicionais como elaboração de respostas ao ICO ou traduções (£250/h). Fornecedores como Gabsor e Euverify focam em plataformas digitais que integram selo de conformidade, ferramentas para gestão de solicitações (caixa DSR), trilha de auditoria e construtor para o registro de tratamentos. GDPR Gateway oferece endereços físicos em Londres e UE, com taxa inicial de configuração.

A tabela abaixo resume as principais diferenças:

Antes de escolher, verifique se o serviço cobre todas as necessidades da sua empresa: desde a gestão de solicitações multilíngues, produção de documentação certificada, até o suporte na manutenção dos registros e na gestão de eventuais auditorias.

Custos ocultos e limites: o que os fornecedores não dizem

Muitos fornecedores apresentam um preço base competitivo, mas podem aplicar custos adicionais para serviços não incluídos. Por exemplo, Janus Compliance cobra £250/h para respostas personalizadas ao ICO ou traduções, enquanto GDPR Gateway exige uma taxa inicial de configuração (valor sob consulta). Outros fornecedores podem limitar o número de solicitações gerenciadas sem custo extra ou aplicar política de uso justo (DataRep).

Alguns serviços não incluem consultoria jurídica ou elaboração de respostas detalhadas às autoridades: o representante, de fato, não substitui o Data Protection Officer (DPO) nem cuida da conformidade geral da empresa. A responsabilidade do representante é limitada ao papel de ponto de contato e encaminhamento de comunicações; não responde por violações GDPR da empresa.

Outro aspecto frequentemente negligenciado é a gestão da renovação: com dois fornecedores diferentes para UK e UE, corre-se o risco de perder cobertura por desalinhamento das datas de vencimento. REP27 resolve esse problema oferecendo uma única data de renovação para ambas as designações. Por fim, sempre verifique as condições contratuais: alguns fornecedores podem prever prazos de aviso para cessação do serviço ou limitações de responsabilidade em caso de erros ou omissões.

Em resumo, antes de escolher avalie:

• Custos extras para serviços adicionais (respostas, traduções, onboarding)
• Taxas iniciais de configuração
• Limitações de responsabilidade e exclusões
• Gestão de prazos e renovações

Como funciona a nomeação: passo a passo

A nomeação de um representante UK GDPR segue um processo preciso, que pode ser concluído em poucos dias se você tiver as informações necessárias:

1. Verificação da obrigação: Confira se oferece bens/serviços ou monitora pessoas no Reino Unido e não possui organização local estável.
2. Escolha do fornecedor: Avalie os serviços oferecidos, preços, cobertura territorial e rapidez de emissão.
3. Preenchimento do formulário: Forneça dados da empresa, descrição dos tratamentos, contatos e documentação solicitada pelo fornecedor.
4. Emissão da designação: O fornecedor prepara a designação formal, assina e certifica (REP27 o faz em até 24 horas).
5. Recebimento do certificado: Receba o certificado e documentação para inserir na política de privacidade.
6. Atualização do aviso de privacidade: Insira os dados de contato do representante na política de privacidade da empresa, conforme exigido por lei.
7. Gestão das solicitações: O representante recebe e encaminha prontamente as solicitações de titulares e ICO, mantém o registro de tratamentos e colabora em inspeções.
8. Renovação anual: Planeje a renovação para evitar interrupções na cobertura.

Checklist prática:

1. Verifique se oferece serviços/bens ou monitora pessoas no UK.
2. Confira se já possui organização estável no Reino Unido.
3. Avalie a frequência e risco do tratamento de dados.
4. Escolha um fornecedor adequado para cobertura e serviços.
5. Complete a nomeação por escrito e receba o certificado.
6. Atualize o aviso de privacidade com os dados do representante.
7. Assegure que o fornecedor encaminhe as solicitações prontamente.
8. Planeje a renovação anual para evitar interrupções.

Riscos e sanções: o que acontece se não nomear o representante

A não nomeação do representante UK GDPR quando obrigatória traz riscos significativos. O ICO pode aplicar sanções de até £8,7 milhões ou 2% do faturamento global anual, conforme o maior valor (fonte oficial). A infração é autônoma: mesmo sem outras ilegalidades, a simples omissão da nomeação pode ser penalizada. Um exemplo concreto é a multa de 525.000 euros aplicada pela autoridade holandesa à Locatefamily.com por não nomear representante UE (caso similar, mas princípio aplicável no UK).

O representante não é responsável pelas violações GDPR da empresa, mas deve encaminhar prontamente todas as solicitações recebidas e colaborar com o ICO em investigações. A falta de colaboração ou atraso no encaminhamento pode ser considerada violação adicional. Em auditorias ou reclamações, a existência de uma designação válida e facilmente verificável (ex.: certificado com QR code) é fundamental para demonstrar conformidade.

Para reduzir riscos:

• Nomeie o representante assim que surgir a obrigação.
• Assegure que o fornecedor seja facilmente contatável e responda rapidamente.
• Guarde toda a documentação relativa à nomeação e comunicações com o representante.
• Atualize prontamente a política de privacidade da empresa.

Cenários práticos: três exemplos reais

• SaaS dos EUA com usuários UK: Uma empresa SaaS americana que oferece serviços a usuários no Reino Unido deve nomear um representante UK GDPR. Se também vende na UE, pode escolher um fornecedor como REP27 que oferece designação combinada UK+UE com um único formulário, dois certificados distintos e uma única data de renovação. Caso contrário, pode optar por um fornecedor somente UK como DataRep ou Janus Compliance.
• Vendedor chinês na Amazon UK: Uma empresa chinesa que vende produtos na Amazon UK deve nomear um representante UK GDPR se processa diretamente dados pessoais dos clientes (por exemplo, para envio ou suporte pós-venda). Se a Amazon atua como controlador único dos dados, a obrigação pode não existir. Em caso de dúvida, recomenda-se avaliação específica.
• Loja online UK com clientes apenas UK: Uma loja online com sede e atividade real no Reino Unido não precisa nomear representante, mesmo vendendo para clientes britânicos. A obrigação é para quem não está estabelecido no Reino Unido e oferece serviços ou monitora residentes UK.

Esses cenários mostram como a avaliação da necessidade depende de fatores concretos: país de estabelecimento, modo de tratamento de dados e relação com marketplaces.

O que os fornecedores geralmente não dizem

Muitos fornecedores não destacam algumas limitações e condições importantes. Por exemplo, a nomeação do representante não substitui a consultoria sobre conformidade geral nem o papel de Data Protection Officer (DPO). O representante não oferece suporte jurídico contínuo, não elabora respostas detalhadas ao ICO (salvo taxa extra) e não assume responsabilidade por violações cometidas pela empresa.

Outros aspectos pouco divulgados:

• Possíveis custos extras para onboarding, traduções, respostas personalizadas ou gestão de solicitações complexas.
• Taxas iniciais de configuração (ex.: GDPR Gateway) ou custos de renovação superiores ao preço inicial.
• Limitações contratuais de responsabilidade e prazos de aviso para cessação do serviço.
• A necessidade de atualizar o aviso de privacidade e documentação interna sempre que trocar de fornecedor ou renovar a designação.

Para evitar surpresas, é fundamental ler atentamente as condições contratuais, pedir esclarecimentos sobre os serviços efetivamente incluídos e planejar a gestão dos prazos e comunicações com o fornecedor escolhido.