Quem precisa nomear um representante GDPR na UE?

• O Artigo 27 do GDPR exige que a maioria das empresas fora da UE que processam dados da UE nomeiem um representante na UE.
• Isenções: processamento ocasional, de baixo risco ou atividades relacionadas à segurança nacional/defesa.
• O representante deve estar estabelecido em um Estado-membro da UE onde os titulares dos dados estejam localizados.
• Os dados de contato devem ser fornecidos aos titulares dos dados e autoridades.
• A não conformidade pode levar a multas de até €10 milhões ou 2% do faturamento mundial.
• Os provedores oferecem diferentes níveis de serviço: apenas endereço, mandato completo ou assessoria jurídica.
• Os preços variam amplamente; taxas ocultas por solicitação ou renovação são comuns.

Atualizado 16 October 2026 · 8 fontes verificadas

Provedores comparados

Preços conforme publicados no site de cada provedor em 16 October 2026, excluindo IVA, a menos que indicado. Cada linha liga à sua fonte.

O que o Artigo 27 do GDPR exige

O Artigo 27 do GDPR estabelece uma obrigação clara: qualquer controlador ou processador não estabelecido na UE, mas sujeito ao Artigo 3(2) (oferecendo bens ou serviços a indivíduos na UE ou monitorando seu comportamento), deve nomear um representante por escrito na UE antes de iniciar qualquer atividade de processamento de dados. Esta regra garante que os titulares de dados e autoridades supervisoras da UE tenham um ponto de contato local para questões de privacidade, mesmo quando a empresa está fora da UE.

Existem isenções importantes. O Artigo 27 não se aplica se:

• Seu processamento for apenas ocasional, não incluir processamento em grande escala de categorias especiais de dados e for improvável que represente risco aos direitos e liberdades dos indivíduos.
• Suas atividades estiverem relacionadas à segurança nacional ou defesa.

O representante deve estar estabelecido em um dos Estados-membros da UE onde os titulares dos dados que você processa estão localizados. A nomeação deve ser feita por escrito e o representante deve estar autorizado a agir em seu nome em relação às obrigações do GDPR. Os dados de contato do representante devem ser fornecidos tanto aos titulares dos dados quanto às autoridades supervisoras e publicados no seu aviso de privacidade.

O não cumprimento é uma infração autônoma sob o Artigo 83(4)(a), punível com multas de até €10 milhões ou 2% do faturamento mundial. A autoridade holandesa multou Locatefamily.com em €525.000 por esta violação. O representante não é um escudo: o Artigo 27(5) esclarece que nomear um representante não impede ações contra sua própria empresa.

• Tabela de Incluído / Não Incluído / Taxas Extras

Como escolher um representante GDPR

Escolher o representante GDPR correto é fundamental para conformidade e eficiência operacional. Os provedores oferecem três níveis principais de serviço:

• Nível 1: Apenas endereço – Serviço simples de encaminhamento postal. Sem mandato, sem registros, sem obrigações específicas do GDPR. O mais barato, mas não conforme com os requisitos do Artigo 27.
• Nível 2: Designação – Mandato escrito, certificado, central de solicitações e gestão de registros do Artigo 30. É o que o Artigo 27 espera: o provedor aceita o papel e responsabilidades por escrito, mantém registros e compromete-se a encaminhar solicitações dentro de um prazo definido.
• Nível 3: Assessoria jurídica – Um escritório de advocacia atua como representante e também fornece aconselhamento jurídico. É caro e só necessário se desejar consultoria jurídica contínua, que não faz parte do papel do Artigo 27.

Ao comparar provedores, pergunte:

• O mandato aceita explicitamente as tarefas do Artigo 27?
• Quem mantém o registro do Artigo 30 e como ele é apresentado às autoridades?
• Qual é o tempo de resposta para encaminhar solicitações das autoridades?
• Existem taxas por solicitação ou renovação?
• Há suporte multilíngue disponível?

Alguns provedores, como o REP27, emitem carta de designação assinada e certificado em 24 horas, com suporte multilíngue e sem taxas por solicitação nos planos Standard e Multi. Outros podem cobrar por solicitação ou fornecer apenas um endereço de encaminhamento, o que não atende aos requisitos do GDPR.

Matriz de decisão:

Sempre solicite o modelo de designação do provedor antes de pagar. Se não listar e aceitar as tarefas do Artigo 27, você não está adquirindo um serviço conforme.

O que o preço realmente inclui

Os preços dos serviços de representante GDPR variam de menos de €300 a mais de €2.000 por ano. Essa variação reflete o escopo do que é realmente fornecido. Um preço baixo pode cobrir apenas um endereço postal, enquanto uma taxa maior pode incluir mandato completo, central de solicitações e gestão de registros. Principais inclusões a verificar:

• Aceitação escrita das tarefas do Artigo 27: O provedor deve aceitar formalmente o papel e obrigações por escrito.
• Certificado e verificação pública: Um certificado verificável tranquiliza clientes, auditores e autoridades. O REP27 fornece certificado com código QR e página pública de verificação.
• Atendimento multilíngue de solicitações: Essencial para cobertura pan-UE. O REP27 oferece 8 idiomas a partir do plano Standard.
• Gestão de registros do Artigo 30: O provedor deve manter e apresentar seus registros às autoridades. Isso está incluído nos planos Standard e Multi do REP27.
• Taxas por solicitação ou aumentos na renovação: Alguns provedores cobram €25–€90 por solicitação de titular ou aumentam preços após o primeiro ano. O plano Standard do REP27 não cobra por solicitação e os preços de renovação caem no segundo ano.

Compare o que está incluído em cada plano, não apenas o preço principal. Por exemplo, o plano Base do REP27 cobre até 10 solicitações por ano, enquanto os planos Standard e Multi oferecem solicitações ilimitadas e gestão de registros. Muitos concorrentes não divulgam detalhes completos ou exigem solicitação.

Sempre pergunte o preço de renovação do segundo ano por escrito, pois preços promocionais são comuns. Para empresas que precisam de representação combinada UE e Reino Unido, alguns provedores (incluindo REP27) oferecem ambos os serviços, às vezes com desconto.

Custos ocultos e exclusões

Muitos provedores anunciam taxas anuais baixas, mas adicionam cobranças significativas por serviços essenciais. Custos ocultos comuns incluem:

• Taxas por solicitação de titular: Alguns cobram €25–€90 por solicitação, o que pode ultrapassar rapidamente a assinatura anual se receber várias solicitações por mês.
• Taxas de configuração ou onboarding: Taxas únicas de €0–€250 são comuns. O REP27 inclui configuração na taxa anual.
• Suporte adicional de idiomas: Planos básicos podem cobrir apenas inglês. Os planos Standard e Multi do REP27 incluem 8 idiomas.
• Gestão de registros do Artigo 30: Alguns cobram €100–€400 por ano para manter e apresentar registros. O REP27 inclui isso nos planos Standard e Multi.
• Aumentos na renovação: Alguns aumentam preços após o primeiro ano. As taxas de renovação do REP27 caem para €240/€390/€690 a partir do segundo ano.

Assessoria jurídica, serviços de DPO e auditorias de conformidade não são incluídos pelo REP27 ou pela maioria dos concorrentes. O REP27 não responde às solicitações no mérito; apenas as encaminha para você. A designação não impede a aplicação direta contra sua empresa.

Provedores raramente destacam essas exclusões e taxas extras em seu marketing. Leia sempre o mandato e os termos do serviço cuidadosamente antes de assinar. Pergunte especificamente sobre cobranças por solicitação, preços de renovação e o que acontece se precisar alterar ou cancelar o serviço.

Como funciona a nomeação: passo a passo

1. Avalie a aplicabilidade: Determine se você é controlador ou processador fora da UE sujeito ao Artigo 3(2) GDPR (oferecendo bens/serviços ou monitorando indivíduos na UE).
2. Identifique países-alvo: Liste os Estados-membros da UE onde seus titulares de dados estão localizados. Seu representante deve estar estabelecido em pelo menos um desses países.
3. Selecione provedores: Compare serviços, preços e termos publicados. Solicite o modelo de designação para garantir que cobre obrigações do Artigo 27.
4. Revise taxas ocultas: Pergunte sobre cobranças por solicitação, taxas de onboarding, suporte de idiomas e preços de renovação.
5. Complete o onboarding: Preencha o formulário do provedor, fornecendo dados da empresa, escopo do processamento e informações de contato.
6. Receba mandato contra-assinado: O provedor revisa seu arquivo e emite carta de designação assinada (REP27: em 24 horas). Você também recebe certificado e código de verificação.
7. Atualize aviso de privacidade: Adicione nome, endereço e contatos do representante conforme exigido pelo Artigo 13(1)(a).
8. Mantenha registros de conformidade: Guarde mandato assinado, certificado e registro do Artigo 30 para auditorias. Não publique o mandato completo ou termos comerciais.
9. Operação contínua: O provedor registra e encaminha solicitações de titulares e autoridades dentro do prazo acordado. Para REP27, é em até dois dias úteis (ou mesmo dia para autoridades nos planos Standard/Multi).
10. Renove ou cancele: Monitore datas de renovação e termos de cancelamento. REP27 permite cancelamento antes da renovação e fornece confirmação por escrito.

Este processo garante que você cumpra o Artigo 27 e esteja preparado para auditorias ou investigações regulatórias.

Riscos e multas por não conformidade

Nomear um representante na UE não é opcional para a maioria das empresas fora da UE que processam dados pessoais da UE. Os riscos da não conformidade são significativos:

• Infração autônoma: Não nomear um representante é violação do Artigo 83(4)(a) GDPR, independentemente de ter ocorrido violação de dados.
• Multas: Autoridades podem impor multas de até €10 milhões ou 2% do faturamento mundial anual, o que for maior. Por exemplo, Locatefamily.com foi multada em €525.000 pela autoridade holandesa por não nomear representante.
• Aplicação direta: Nomear representante não protege sua empresa de ações ou responsabilidades. Autoridades podem agir diretamente contra seu negócio (Artigo 27(5)).
• Risco operacional: Sem representante, você pode não conseguir responder a solicitações de titulares ou investigações regulatórias a tempo, levando a penalidades e danos reputacionais.

Para mitigar esses riscos, assegure que seu provedor emita mandato contra-assinado, mantenha seu registro do Artigo 30 (se necessário) e comprometa-se a encaminhar solicitações dentro do prazo. Mantenha toda documentação pronta para auditorias. Se o provedor não puder atuar para seu negócio (ex: atividades proibidas), deve reembolsar integralmente e fornecer confirmação por escrito, como faz o REP27.

O que os provedores geralmente não dizem

Muitos provedores de representantes GDPR não divulgam totalmente as limitações e exclusões de seus serviços. Omissões comuns incluem:

• Apenas encaminhamento postal: Algumas ofertas básicas são só um endereço postal, não um mandato verdadeiro do Artigo 27. Isso não atende aos requisitos do GDPR.
• Taxas por solicitação: Taxas anuais baixas podem ocultar cobranças altas por solicitação, tornando o serviço caro se receber várias solicitações.
• Registros não mantidos: Alguns não mantêm seu registro do Artigo 30, que é obrigatório para conformidade. Sempre verifique quem mantém e apresenta o registro.
• Renovações automáticas e aumentos de preço: Muitos aumentam preços após o primeiro ano ou renovam automaticamente sem aviso claro. Sempre peça o preço do segundo ano por escrito.
• Limites de responsabilidade: O representante não é responsável por suas violações do GDPR. O Artigo 27(5) deixa claro que sua empresa continua totalmente responsável.
• Rescisão e transferência: Verifique o que acontece com solicitações pendentes e registros se mudar ou cancelar o provedor. O REP27 especifica confirmação escrita e procedimentos de transferência.

Leia sempre a descrição do serviço e o mandato cuidadosamente. Solicite todos os termos por escrito antes de contratar e esclareça o que está incluído, excluído e sujeito a taxas extras.

Checklist: Como nomear um representante GDPR hoje

1. Confirme se você é controlador ou processador fora da UE sujeito ao Artigo 3(2) GDPR.
2. Identifique em quais países da UE seus titulares de dados estão.
3. Selecione provedores que ofereçam mandato escrito do Artigo 27.
4. Solicite e revise o modelo de designação.
5. Verifique taxas ocultas e termos de renovação.
6. Complete o onboarding e receba documentos contra-assinados.
7. Atualize seu aviso de privacidade com dados do representante.
8. Guarde o mandato assinado e certificado para auditorias.
9. Assegure que seu registro do Artigo 30 seja mantido e acessível, se necessário.
10. Monitore datas de renovação e termos de cancelamento para evitar cobranças indesejadas.

Seguir esta checklist ajuda a alcançar e manter conformidade, evitar multas e responder eficientemente a solicitações de titulares e autoridades.

Cenários realistas: quem precisa do quê?

• SaaS dos EUA vendendo para empresas e consumidores da UE: Deve nomear representante da UE conforme Artigo 27. O plano Standard do REP27 cobre todos os requisitos: mandato escrito, encaminhamento ilimitado de solicitações, gestão de registros e suporte multilíngue. O plano Base é adequado para baixo volume, mas o Standard é recomendado para a maioria dos SaaS.
• Vendedor chinês na Amazon em marketplaces da UE: Precisa de representante GDPR da UE (proteção de dados) e, para conformidade de produto, pessoa responsável GPSR. O plano Multi do REP27 cobre ambos os papéis com um pedido e uma data de renovação, simplificando a conformidade para vendedores na Amazon, Etsy ou eBay.
• Loja online do Reino Unido com clientes na UE: Após o Brexit, empresas do Reino Unido que oferecem bens ou serviços à UE devem nomear representante da UE. O plano Base ou Standard do REP27 é adequado, dependendo do volume de solicitações de titulares e necessidade de gestão de registros. Se também vender produtos com marca CE, considere o plano Multi para representação combinada.

Em cada cenário, a rota mais simples e conforme é nomear um provedor que emita mandato assinado, mantenha seus registros (se necessário) e forneça documentação clara e verificável para auditorias e clientes.