Quanto custa um representante legal para empresas não europeias que oferecem serviços de processamento de dados?

• Obrigação para empresas fora da UE que processam dados de residentes da UE (GDPR Art. 27)
• Preços anuais publicados: de EUR 290 a EUR 1.500
• REP27 cobre todos os 27 Estados da UE + EEE sem sobretaxa
• Designação formal em até 24 horas (REP27)
• Multas de até 10 milhões de euros ou 2% do faturamento por não nomeação

Atualizado 23 October 2026 · 9 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 23 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que a lei exige: Artigo 27 GDPR e Data Act

O Artigo 27 do GDPR estabelece que toda empresa não europeia que oferece serviços ou produtos a residentes na UE, ou monitora seu comportamento, deve nomear um representante legal na União. Esse representante atua como ponto de contato para as autoridades de proteção de dados e para os titulares, devendo ser designado por escrito. O representante deve estar estabelecido em um dos Estados-membros onde se encontram os titulares e manter um registro das atividades de tratamento (Art. 30 GDPR). O Data Act, aplicável a fornecedores de serviços de processamento de dados (cloud, SaaS, IoT), exige a nomeação de um representante UE se o provedor não tiver sede na União. A não nomeação é considerada uma infração autônoma e pode acarretar multas de até 10 milhões de euros ou 2% do faturamento global anual, conforme o Artigo 83 GDPR. As autoridades podem contatar diretamente o representante para investigações ou solicitações.

Para empresas que oferecem serviços de processamento de dados, a nomeação de um representante legal é exigida tanto pelo GDPR quanto pelo Data Act, se operarem no mercado da UE. Não são obrigadas as empresas que não processam dados pessoais de residentes da UE ou que não oferecem serviços no território da União.

Como escolher o provedor certo

A escolha do representante legal UE deve basear-se em critérios práticos e transparentes. É fundamental verificar se o provedor cobre todos os 27 Estados-membros da UE e o Espaço Econômico Europeu (EEE) sem custos adicionais, como faz o REP27. A rapidez da designação é outro elemento-chave: REP27 emite a carta de nomeação em até 24 horas, enquanto outros provedores nem sempre especificam os prazos. É importante solicitar detalhes sobre como são gerenciadas as solicitações de titulares e autoridades, e se a documentação fornecida é multilíngue (REP27 oferece aviso de privacidade em 8 idiomas principais).

Outros aspectos a avaliar são a presença de certificados verificáveis, a gestão dos registros Art. 30, a possibilidade de receber uma avaliação gratuita para a Suíça (incluída no REP27), e eventuais limites sobre número de funcionários ou dados tratados (como no Brace Solutions). Sempre pergunte se há custos extras para serviços adicionais ou solicitações fora do plano básico.

• Verifique a cobertura geográfica (todos os 27 Estados da UE e EEE?)
• Confira a rapidez da designação (REP27: em até 24 horas)
• Peça detalhes sobre gestão de solicitações e idiomas suportados
• Avalie a presença de certificados verificáveis e documentação multilíngue
• Pergunte se estão incluídos serviços extras como avaliação para Suíça

O que o preço realmente inclui

Os preços publicados pelos provedores geralmente cobrem a designação formal como representante UE, a gestão das solicitações de titulares e autoridades, e a manutenção dos registros das atividades de tratamento (Art. 30 GDPR). O REP27, por exemplo, oferece cobertura completa para todos os 27 Estados da UE e o EEE sem custos adicionais, uma carta de designação assinada digitalmente, um certificado verificável via QR code, aviso de privacidade em 8 idiomas, gestão das solicitações em até 2 dias úteis e avaliação gratuita para a Suíça (Art. 14 nFADP). Outros provedores, como VeriSure Compliance, incluem também monitoramento e alertas, revisão anual e endereço dedicado.

Brace Solutions limita o serviço a pequenas empresas (até 50 funcionários e 2.000 titulares), enquanto DataShield especifica a presença de uma página pública de contato e a gestão das solicitações. Muitos provedores não detalham o que está incluído ou excluído do preço publicado, por isso é essencial solicitar uma lista detalhada dos serviços antes de assinar. Alguns serviços, como a representação na Suíça, não estão incluídos pelo REP27 se obrigatórios, mas é fornecida uma avaliação gratuita para verificar a necessidade.

Tabela de inclusões/exclusões:

Custos ocultos e limites típicos

Muitos provedores não especificam claramente se há custos adicionais para solicitações fora do plano básico, atualizações da documentação ou serviços personalizados. Por exemplo, o REP27 inclui a gestão das solicitações de autoridades e titulares em até 2 dias úteis, mas a representação na Suíça é excluída se obrigatória (a avaliação gratuita é fornecida). Brace Solutions limita o serviço a empresas com no máximo 50 funcionários e 2.000 titulares, enquanto outros provedores não declaram limites ou limites.

Alguns provedores podem cobrar por:

• Solicitações de autoridades particularmente complexas
• Revisões ou atualizações da documentação de privacidade
• Gestão de volumes elevados de solicitações de titulares
• Serviços de representação em países fora da UE (ex. Suíça)

É importante sempre solicitar uma lista detalhada dos serviços incluídos e das possíveis despesas extras antes de assinar. A transparência nos custos é fundamental para evitar surpresas e garantir a conformidade sem riscos de sanções ou bloqueios operacionais.

Tabela de limites e custos extras:

Como ocorre a nomeação: passo a passo

O procedimento de nomeação do representante legal UE segue etapas precisas, fundamentais para garantir a conformidade e reduzir o risco de sanções:

1. Avaliação da obrigação: Verifique se sua empresa oferece serviços ou produtos a residentes da UE ou monitora seu comportamento, e se processa dados pessoais.
2. Escolha do provedor: Compare os provedores disponíveis, verifique preços, serviços incluídos, prazos de designação e cobertura geográfica.
3. Solicitação do serviço: Preencha o formulário de solicitação no site do provedor escolhido e forneça as informações solicitadas (dados da empresa, atividades de tratamento, contatos).
4. Designação formal: Receba a carta de nomeação (REP27: assinada digitalmente, certificado com QR code), assine e arquive.
5. Atualização da política de privacidade: Insira os dados do representante UE na política de privacidade e em todos os documentos exigidos pelo GDPR (ex. informações Art. 13/14).
6. Gestão das solicitações: O representante recebe e gerencia solicitações de titulares e autoridades, encaminhando-as à empresa dentro dos prazos previstos.

Checklist prática:

1. Analise a clientela UE e os fluxos de dados pessoais
2. Verifique se sua atividade está sujeita à obrigação
3. Compare provedores e preços publicados
4. Solicite um orçamento detalhado
5. Complete a nomeação e atualize a documentação de privacidade
6. Guarde a carta de designação e o certificado
7. Verifique periodicamente a cobertura e a conformidade

Riscos e sanções por não nomeação

A não nomeação de um representante legal UE acarreta riscos legais e operacionais muito concretos. Segundo o Artigo 83 GDPR, as sanções podem chegar a 10 milhões de euros ou 2% do faturamento global anual, conforme o que for maior. O caso Locatefamily.com, multado em 525.000 euros apenas pela não nomeação, demonstra que as autoridades europeias aplicam a norma mesmo sem outras violações.

Além das multas, a não nomeação pode levar a:

• Bloqueios operacionais: as autoridades podem ordenar a suspensão dos tratamentos ou das atividades comerciais na UE
• Danos reputacionais: a publicação das sanções pode prejudicar a reputação da empresa
• Perda de clientes: muitas empresas da UE exigem prova da nomeação antes de assinar contratos

O representante legal é o ponto de contato direto para todas as solicitações de titulares e autoridades. A falta de resposta ou a gestão inadequada das solicitações pode agravar a posição da empresa em caso de investigação.

Tabela de riscos:

O que os provedores quase nunca dizem

Muitos provedores não destacam alguns aspectos críticos do serviço de representação legal UE:

• A nomeação de um representante não isenta a empresa de suas responsabilidades conforme o GDPR. O representante é apenas um intermediário, não o controlador ou responsável pelo tratamento.
• A designação deve estar sempre atualizada e documentada por escrito. Trocar de provedor exige atualização da política de privacidade e notificação às autoridades, se exigido.
• Alguns provedores aplicam limites sobre número de funcionários, titulares ou volume de dados tratados (ex. Brace Solutions), o que pode excluir empresas em crescimento.
• Serviços extras como a representação na Suíça não são incluídos pelo REP27 se obrigatórios, mas é fornecida avaliação gratuita para verificar a necessidade.
• Os prazos de resposta às solicitações de titulares e autoridades podem variar entre provedores; REP27 garante 2 dias úteis, outros não especificam.
• A presença de certificados verificáveis e aviso de privacidade multilíngue não é garantida por todos os provedores.
• Os provedores não são responsáveis pela não conformidade da empresa cliente: a responsabilidade final é sempre da empresa.

3 cenários práticos: qual obrigação e solução

• SaaS dos EUA com clientes UE: Uma empresa SaaS americana que oferece serviços a clientes da UE deve nomear um representante UE conforme o Art. 27 GDPR e o Data Act. A solução mais simples é escolher um provedor como o REP27, que garante cobertura EEE, designação rápida e documentação multilíngue.
• Vendedor chinês na Amazon EU: Um vendedor chinês que comercializa produtos na Amazon para clientes da UE deve nomear um representante UE se processar dados pessoais (ex. remessas, atendimento ao cliente). Pode escolher um provedor com experiência em e-commerce e preços claros; a representação é obrigatória mesmo vendendo via marketplace.
• Loja online UK B2B: Uma loja online britânica que vende apenas para empresas da UE e não processa dados pessoais de pessoas físicas não é obrigada a nomear um representante. Se tratar dados de contato de pessoas físicas (ex. representantes empresariais), a obrigação surge e deve nomear um representante UE.

Matriz de decisão: