Quem precisa de um representante UK GDPR? Tudo o que você precisa saber (2026)

• Obrigação para empresas fora do Reino Unido que oferecem bens/serviços ou monitoram usuários no Reino Unido
• Não é necessário se estiver estabelecido no Reino Unido ou se o tratamento for realmente ocasional
• O representante deve ser nomeado por escrito e publicado
• Sanções de até £17,5 milhões ou 4% do faturamento global
• Preços e serviços variam entre provedores: comparação detalhada abaixo

Atualizado 21 October 2026 · 9 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 21 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que a lei exige: Artigo 27 UK GDPR

O Artigo 27 do UK GDPR estabelece que todo controlador ou processador de dados não estabelecido no Reino Unido, mas que oferece bens ou serviços a pessoas no Reino Unido ou monitora seu comportamento, deve nomear por escrito um representante UK GDPR. O representante deve estar estabelecido no Reino Unido e atuar como ponto de contato local para os titulares dos dados e para o Information Commissioner's Office (ICO). A obrigação aplica-se independentemente da presença física de servidores ou infraestrutura no Reino Unido: o que conta é a existência de atividades reais e contínuas (não basta um endereço postal ou um armazém terceirizado).

• Obrigação de nomeação: A designação deve ser escrita e publicada no aviso de privacidade, com dados de contato acessíveis.
• Responsabilidades: O representante atua como ponto de contato, mas não exime o controlador/processador das responsabilidades e obrigações (Art. 27(4)).
• Isenções: A obrigação não se aplica se o tratamento for realmente ocasional, não incluir dados sensíveis ou criminais e não apresentar riscos aos direitos dos titulares (Art. 27(2)-(6)). Todas essas condições devem ser atendidas.
• Sanções: A falta de nomeação é uma infração autônoma e pode acarretar multas de até £17,5 milhões ou 4% do faturamento global (fonte).

A regulamentação aplica-se a qualquer empresa fora do Reino Unido que:

• Venda produtos ou serviços a clientes no Reino Unido (mesmo B2B se envolver dados pessoais)
• Monitore o comportamento de pessoas no Reino Unido (por exemplo, via cookies, analytics, publicidade direcionada)

Fontes: Artigo 27 UK GDPR, ICO

Como escolher o provedor: critérios, comparação e serviços incluídos

A escolha do provedor de representação UK GDPR é fundamental para evitar erros de conformidade e custos ocultos. Aqui estão os critérios práticos a considerar:

• Cobertura territorial: Alguns provedores oferecem apenas Reino Unido, outros também a representação UE (útil para empresas que vendem em ambas as áreas).
• Preço e renovação: Os preços variam de £120 a mais de £750/ano; verifique se a renovação tem desconto ou se há custos adicionais.
• Serviços incluídos: Além da nomeação formal, alguns provedores oferecem selo de verificação, texto para aviso de privacidade, gestão de DSAR, registros de tratamento, trilha de auditoria e suporte multilíngue.
• Prazo para nomeação: REP27 emite a nomeação em até 24 horas; outros provedores nem sempre especificam os prazos.
• Certificações e verificações públicas: REP27 fornece certificado com QR code e verificação pública; outros oferecem selo ou Trust Center.

Tabela de inclusões/exclusões (Outubro 2026):

A melhor escolha depende de onde você opera, suas necessidades de auditoria e da necessidade de cobertura combinada UK+UE. Se vende em ambos os mercados, uma solução combinada como REP27 reduz custos e complexidade administrativa.

O que o preço realmente inclui: detalhes práticos e matriz de decisão

O preço divulgado pelos provedores pode incluir serviços muito diferentes. Alguns oferecem apenas a nomeação formal, outros incluem ferramentas de auditoria, selo de verificação, texto para aviso de privacidade, gestão de DSAR, registros de tratamento e suporte multilíngue. É essencial verificar o que está efetivamente incluído e quais serviços são opcionais ou pagos à parte.

Por exemplo, REP27 oferece duas nomeações (UK+UE), dois certificados, texto para aviso de privacidade em 8 idiomas, suporte a solicitações, registros de tratamento e selo verificável. Gabsor e Euverify também oferecem Trust Center, selo, trilha de auditoria e gestão de DSAR. FSREG, GDPR Gateway, Janus e DataRep UK focam na representação UK, com serviços básicos e encaminhamento de solicitações.

Tabela prática de decisão:

Atenção: o tratamento "ocasional" é interpretado de forma restritiva. Mesmo um pequeno e-commerce que recebe pedidos regularmente não é considerado ocasional. Em caso de dúvidas, sempre verifique com o provedor antes de contratar.

Custos ocultos e limitações: o que os provedores não dizem

Muitos provedores não deixam claras algumas condições e limitações:

• Responsabilidade limitada: O representante não assume a responsabilidade legal do controlador/processador; atua apenas como ponto de contato (Art. 27(4)).
• Exclusões: Nenhum provedor atua como DPO ou oferece consultoria de privacidade incluída no preço da representação. A consultoria geralmente é "sob consulta" e pode ter custos adicionais.
• Custos extras: Alguns provedores cobram taxas adicionais para solicitações complexas, alteração de dados, serviços avançados de auditoria ou gestão de grandes volumes de solicitações. Esses custos são geralmente "sob consulta" e nem sempre publicados.
• Período de aviso: O prazo para rescisão do serviço nem sempre é especificado. É importante verificar as condições contratuais.
• Renovação e troca: REP27 oferece renovação com preço reduzido e troca facilitada de outro provedor, mas outros podem não oferecer descontos ou facilidades.

Tabela resumida de exclusões e limitações (Outubro 2026):

Dica prática: sempre peça ao provedor uma lista escrita dos serviços incluídos e das possíveis taxas extras antes de assinar.

Como funciona a nomeação: passo a passo, checklist e prazos

A nomeação do representante UK GDPR é um processo que pode ser concluído rapidamente se os passos corretos forem seguidos. Aqui está um guia prático passo a passo:

1. Verifique se você está sujeito à obrigação: Responda às três perguntas chave: (1) Você está estabelecido fora do Reino Unido? (2) Oferece bens/serviços ou monitora usuários no Reino Unido? (3) Trata dados pessoais?
2. Escolha o provedor: Avalie cobertura (apenas UK ou também UE), serviços incluídos, preço e prazos de emissão.
3. Preencha o formulário de nomeação: Forneça dados da empresa, descrição dos tratamentos, contatos e documentos necessários. Com REP27 o processo leva cerca de 5 minutos.
4. Receba a nomeação: O provedor emite a nomeação assinada, o certificado e o texto para o aviso de privacidade (REP27 em 24 horas).
5. Atualize o aviso de privacidade: Insira o texto fornecido pelo provedor, com os dados do representante UK e formas de contato.
6. Publique e comunique: Assegure que a nomeação seja facilmente acessível para usuários e autoridades.
7. Renove anualmente: Acompanhe o vencimento e renove para evitar interrupções na conformidade.

Checklist rápida:

• Você tem clientes ou usuários no Reino Unido?
• Oferece serviços ou monitora comportamentos?
• Já nomeou um representante?
• Atualizou o aviso de privacidade?
• Verificou a cobertura e os serviços incluídos?

O prazo típico varia de 24 horas (REP27) a alguns dias úteis, dependendo do provedor e da completude dos dados fornecidos.

Riscos, sanções e casos práticos: cenários reais

A falta de nomeação de um representante UK GDPR quando exigido traz riscos concretos: sanções de até £17,5 milhões ou 4% do faturamento global (fonte), bloqueio de relações comerciais e danos reputacionais. O representante não elimina a responsabilidade do controlador, mas garante um ponto de contato local para usuários e ICO.

Três cenários reais:

• SaaS dos EUA que oferece serviços a usuários UK e UE: Deve nomear representante tanto para UK quanto para UE. Solução mais eficiente: provedor que oferece nomeação combinada (ex. REP27), com um único onboarding e documentos separados.
• Vendedor chinês na Amazon UK: Mesmo sem sede física, se vende para clientes UK deve nomear representante UK GDPR. Pode escolher provedores focados só no UK ou, se vender também na UE, solução combinada.
• Loja online UK que vende só no UK: Se já está estabelecida no Reino Unido (escritório, filial, pessoal), não tem obrigação de representante. Se for empresa UE vendendo para clientes UK, deve nomear representante UK GDPR.

Matriz prática de decisão:

Dica: não espere uma solicitação do ICO ou de um cliente. A nomeação é preventiva e a falta de conformidade pode ser detectada até por verificações online.