Quem precisa de um Encarregado de Proteção de Dados na UE? Fornecedores & Preços 2026

• Obrigatoriedade de DPO: Entidades públicas ou monitoramento em larga escala/dados especiais (Art. 37 GDPR)
• Representante na UE segundo Art. 27 GDPR para empresas fora da UE com clientes ou usuários na UE
• Multas de até 10 milhões de € ou 2% do faturamento global em caso de infração (Art. 83 GDPR)
• REP27: Representante para todo o EEE a partir de 290 €/ano, incluindo certificado e mais
• Amplitude dos serviços e taxas adicionais variam muito entre fornecedores
• Nem todos precisam de DPO ou representante na UE – veja matriz de decisão

Atualizado 19 October 2026 · 6 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 19 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que exige a GDPR? (Artigos 27, 37, 83)

O Regulamento Geral de Proteção de Dados (GDPR) distingue dois papéis centrais: o Encarregado de Proteção de Dados (DPO) e o Representante na UE. Cada obrigação se aplica a diferentes empresas e situações:

• Encarregado de Proteção de Dados (DPO, Art. 37-39): O DPO é obrigatório para entidades públicas e empresas cuja atividade principal envolva monitoramento sistemático em larga escala de pessoas ou processamento extensivo de categorias especiais de dados pessoais (ex.: dados de saúde, opiniões políticas). As funções do DPO estão definidas no Art. 39 da GDPR e incluem consultoria, monitoramento da conformidade, ponto de contato para autoridades e titulares, e apoio em avaliações de impacto de privacidade.
• Representante na UE (Art. 27): Empresas fora da UE que oferecem bens ou serviços a pessoas na UE ou monitoram seu comportamento (ex.: rastreamento, análises) devem nomear um representante na UE por escrito. Este representante atua como ponto de contato para autoridades e titulares e mantém o registro das atividades de tratamento (Art. 30), se o fornecedor assumir essa responsabilidade.

A obrigação de nomear um representante na UE não se aplica se o tratamento for ocasional, não envolver dados especiais e não representar risco para os direitos e liberdades dos titulares. Pequenas empresas geralmente não precisam de DPO, desde que não realizem monitoramento em larga escala ou tratamento de dados especiais.

Multas: A falta de nomeação de representante na UE pode acarretar multas de até 10 milhões de € ou 2% do faturamento global anual (Art. 83, parágrafo 4 da GDPR). A autoridade holandesa, por exemplo, multou a Locatefamily.com em 525.000 € por ausência de representante na UE.

A obrigação de nomear DPO está no Art. 37 da GDPR (Fonte), suas funções no Art. 39 (Fonte), e as multas no Art. 83 (Fonte).

Como escolher o fornecedor certo? Critérios decisivos & comparação

Escolher um representante na UE ou serviço de DPO adequado é fundamental para a conformidade. As ofertas variam muito em escopo, tempos de resposta e custos ocultos. Verifique os seguintes critérios:

• O fornecedor aceita formalmente as tarefas do Art. 27 da GDPR? Um mandato real deve assumir explicitamente as obrigações do Art. 27. Um simples endereço postal não é suficiente.
• Quem mantém o registro do Art. 30? A GDPR exige que o representante disponibilize o registro das atividades de tratamento mediante solicitação. Nem todos os fornecedores assumem essa tarefa.
• Tempos de resposta às solicitações: Quão rápido as solicitações de autoridades ou titulares são encaminhadas? Uma promessa de "melhor esforço" sem prazo é arriscada. O REP27 garante encaminhamento em até 2 dias úteis (padrão: mesmo dia para autoridades).
• Idiomas: As solicitações são tratadas em vários idiomas da UE? O REP27 oferece atendimento em 8 idiomas, enquanto muitas ofertas básicas só em inglês.
• Taxas adicionais: Todos os serviços estão incluídos no preço ou há cobranças por solicitação, idioma ou manutenção do registro?

Comparação direta:

Peça sempre a carta de designação e verifique se as tarefas do Art. 27 são explicitamente assumidas. Solicite confirmação escrita do escopo e custos do serviço.

O que está incluído no preço? Onde há custos ocultos?

Os modelos de preços para representantes na UE e serviços de DPO variam muito. Muitos fornecedores atraem com preços baixos iniciais, mas cobram taxas extras por cada solicitação de titulares ou autoridades (tipicamente €25–90 por solicitação). A manutenção do registro Art. 30 também é frequentemente cobrada à parte (€100–400/ano). No REP27, a partir do plano padrão, todas as solicitações estão incluídas, o registro é mantido e não há taxas ocultas. Verifique especialmente:

• Se o preço cobre solicitações ilimitadas ou por solicitação
• Se o registro Art. 30 está incluído
• Se a renovação fica mais cara (no REP27 o preço diminui no ano seguinte)
• Se idiomas adicionais custam extra

Alguns fornecedores oferecem apenas um endereço postal sem assumir as obrigações legais reais. Isso não está em conformidade e pode resultar em multas. A tabela a seguir mostra armadilhas típicas de preços:

Leia os termos com atenção e peça uma visão completa dos serviços antes de contratar.

Como é o processo de nomeação? Guia passo a passo & matriz de decisão

A nomeação de um representante na UE ou DPO em fornecedores confiáveis segue um processo claro para garantir o cumprimento legal:

1. Verifique se precisa de representante na UE ou DPO (veja a matriz abaixo).
2. Compare fornecedores e solicite a carta de designação para análise.
3. Preencha o formulário de onboarding (dados da empresa, tratamento de dados, contatos).
4. Receba a confirmação e o certificado (no REP27 em até 24 horas).
5. Publique os dados do representante na sua política de privacidade (Art. 13/14 GDPR).
6. Mantenha o registro Art. 30 disponível (ou deixe o fornecedor manter).
7. Se necessário: realize a verificação gratuita de representação na Suíça (REP27).

Matriz de decisão:

Esta matriz ajuda a evitar investimentos errados e escolher a solução de conformidade correta.

Checklist para hoje:

1. Verifique se se enquadra no Art. 27 ou Art. 37 da GDPR.
2. Compare pelo menos três fornecedores (escopo, preço, taxas adicionais).
3. Solicite a carta de designação e confirme a assunção das tarefas.
4. Verifique a manutenção do registro Art. 30 e os tempos de resposta.
5. Contrate o serviço e documente a nomeação.
6. Atualize sua política de privacidade e processos internos.

O que os fornecedores geralmente não dizem: exclusões, cancelamento, responsabilidade

Muitos fornecedores omitem detalhes importantes que são decisivos em caso de problemas:

• Sem consultoria jurídica: O representante na UE não pode oferecer consultoria jurídica no âmbito da representação. Para questões legais, é necessário advogado ou DPO separado.
• Responsabilidade permanece com o contratante: Segundo o Art. 27(5) da GDPR, a responsabilidade por violações de dados é sempre do controlador ou processador. O representante é apenas ponto de contato e não responde por erros do contratante.
• Prazos de cancelamento e renovação automática: As condições variam. No REP27, cancelamento é possível com 30 dias antes da renovação. Verifique como é feita a transferência de solicitações e registros.
• Taxas por solicitação: Muitos fornecedores cobram taxas extras por cada solicitação de titulares ou autoridades, geralmente detalhadas nas letras miúdas. No REP27 Standard e Multi, todas as solicitações estão incluídas.
• Idiomas e central de atendimento: Serviços anunciados para toda a UE frequentemente só estão disponíveis em inglês. O REP27 oferece central em 8 idiomas, facilitando o cumprimento legal.
• Sem assunção de responsabilidade específica de produto: O papel de responsável GPSR ou representante autorizado CE está incluído apenas no plano Multi do REP27, não no básico.

Leia cuidadosamente os termos e a carta de designação. Verifique se o fornecedor garante a transferência dos documentos em caso de troca.

Três cenários realistas: como cumprir a obrigação corretamente

1. Fornecedor SaaS dos EUA com clientes na UE: Uma empresa americana oferece solução em nuvem para clientes da UE. Não processa dados especiais, mas monitora atividades dos usuários (ex.: logins, estatísticas). Resultado: Representante na UE obrigatório conforme Art. 27 GDPR. DPO só é necessário em caso de monitoramento em larga escala ou dados especiais. Solução mais econômica e conforme: REP27 Standard – todas as solicitações incluídas, registro mantido, central em 8 idiomas.
2. Vendedor chinês na Amazon: Um vendedor da China vende via Amazon.de para clientes da UE. Precisa de representante na UE (Art. 27 GDPR) e possivelmente responsável GPSR para conformidade de produto. DPO não é necessário se não houver monitoramento em larga escala ou dados especiais. Solução completa: REP27 Multi – representante na UE e responsável GPSR em um contrato, um ponto de contato, um certificado.
3. Loja online do Reino Unido sem clientes na UE: Loja britânica vende apenas para clientes no Reino Unido e não processa dados de cidadãos da UE. Resultado: Sem obrigação de nomear representante na UE ou DPO. A obrigação surgiria apenas se direcionasse ou entregasse a clientes da UE.

Esses cenários mostram a importância de analisar o modelo de negócio. Quem se dirige a clientes da UE ou monitora seu comportamento deve nomear representante na UE, independentemente do tamanho da empresa.