Article 27 GDPR & UK GDPR · Appointed in 24 hours · 27 member states + United Kingdom
Someone in Europe or the United Kingdom has to answer for you. That is the whole law in one sentence.
Artigo 27.º · Regulamento (UE) 2016/679
O seu endereço legal na Europa ou no Reino Unido, assinado em 24 horas.
Se a sua empresa está fora da União e chega a pessoas que estão dentro, a lei exige alguém na Europa que responda por si. Esse alguém somos nós: o nosso nome na sua política de privacidade, contactáveis por qualquer autoridade, verificáveis por quem tiver o código do certificado.
Lemos a sua política de privacidade pública e dizemos em dez segundos se há um representante na UE indicado.
Designação de representante na União
REP27 / CZ-03571785
Designação ativaQualquer pessoa — uma autoridade, um cliente, um comprador em due diligence — lê o código e vê a designação em tempo real.
Porque não é opcional
A falta de representante é a infração mais fácil de detetar.
Está visível na sua própria política de privacidade, do exterior, sem qualquer investigação. Segundo as orientações do CEPD 3/2018, a omissão é uma infração autónoma.
Coima da autoridade neerlandesa à Locatefamily.com por não designar representante na UE, com sanções periódicas até regularizar.
Coima máxima ao abrigo do art. 83.º, n.º 4, al. a) do RGPD — o valor mais elevado.
Autoridades que podem agir contra si: sem estabelecimento na UE fica fora do balcão único.
A designação
O que lhe chega
Tudo emitido na sua língua e em inglês, pronto a publicar e a mostrar a um regulador.
Carta de designação assinada
A designação escrita exigida pelo art. 27.º, n.º 1, com assinatura eletrónica conforme ao eIDAS.
Certificado verificável
Certificado datado com QR e código de verificação, que mostra se a designação está ativa.
Texto para a política de privacidade
A redação exata dos arts. 13.º e 14.º com o nosso nome e morada, em cada língua do seu site.
Balcão de pedidos
Morada, caixa e formulário dedicados. Cada pedido é registado e reencaminhado em dois dias úteis.
Selo dinâmico
Um selo que deixa de mentir quando deixa de pagar.
Os outros entregam um PDF. Nós, uma linha de HTML que lê o registo em tempo real: verde enquanto ativo, vermelho quando expira.
<script src="https://gdprrepresentative.com/badge.js"
data-code="R27-8F4K-2Q9D"></script>
Três passos, um dia
Do formulário ao certificado
Diga-nos o que trata
Cinco minutos: dados da empresa, registo do art. 30.º e uma pessoa de contacto.
Assine e pague
A carta é gerada a partir das suas respostas e assinada eletronicamente. Cartão ou débito SEPA, anual, com renovação automática.
Publique e esqueça
Certificado, selo e texto legal em 24 horas. A partir daí recebemos, registamos e reencaminhamos.
When someone actually writes
What happens the day a regulator emails us
This is the part nobody explains before you buy, so here it is in full.
- Hour 0. The message lands in your dedicated address. It is stamped, given a reference number and stored in the register.
- Within 2 business days. It reaches your nominated contact by email, with the original attached and the deadline the GDPR gives you clearly stated.
- Day 30. The clock on a data subject request runs out. The desk shows it to both sides, so nobody discovers it late.
- Always. We hand over your Article 30 records if an authority asks for them, and we tell you the same day that we did.
- Never. We do not answer on the merits, negotiate, or speak for you. Article 27 makes us a contact point, not a defence lawyer — and the contract says so.
Territory
One designation, twenty-seven authorities.
Because you have no establishment in the Union, the one-stop-shop does not apply to you: there is no single lead authority to deal with. Any national regulator whose residents you reach can open a file. The designation covers the member states listed on your certificate, and the desk answers in the language the person writes in.
Honest comparison
What the €150 providers leave out
Prices in this market run from about €150 to €1,500 a year. The gap is not the legal role — that is identical — it is what you can prove afterwards.
| Typical low-cost provider | REP27 | |
|---|---|---|
| Designation document | Static PDF, no way to check it is still valid | Certificate with QR and public verification, live status |
| Proof for a buyer or auditor | You email them the PDF and hope | They scan the code and see it themselves |
| Per-request charges | €50–200 each time an authority makes contact | Included from the Standard plan |
| Languages | English only, sometimes one local language | Site and desk in 8 languages, notice text generated per language |
| Article 30 records | You keep them; the representative has nothing to show | Held and produced on request, as Article 30(4) expects |
| Speed | Days, after an email exchange | 24 hours from form and payment |
Comparison based on publicly listed prices and terms of EU representative providers, checked in 2026. Providers change their offers — check theirs before you decide.
The document itself
Written, signed, dated — the way Article 27 wants it.
Article 27(1) does not accept a handshake or a line in a contract: the designation must be in writing. Ours states the represented company, the legal basis, the territory, the effective date and the verification code, and it is signed by both sides with an electronic signature that satisfies Regulation (EU) No 910/2014.
It also records what Article 27(5) makes explicit and most buyers forget: appointing a representative does not shield you from actions brought against you directly. We are your contact point in Europe, not a wall between you and a regulator — and any provider who tells you otherwise is selling something the regulation does not contain.
Registered somewhere else?
Start at the second-year price, not the first.
Companies already covered by another representative begin at our renewal price — €240, €390 and €690 a year — and keep it at every renewal. Check your site and continue.
Already have a representative
Already registered? You pay less than a new client.
We read your public privacy notice, tell you who is named there today, and open the switch price. Article 27 sets no notice period: the old designation ends when you say so, the new one starts the day it is signed.
Dois estabelecimentos
Um fornecedor, duas jurisdições
Um representante tem de estar estabelecido onde estão as pessoas. Os nossos estão: uma sociedade checa para a União e uma britânica para o Reino Unido. Escolhe um, ou ambos numa só encomenda.
União Europeia
Europe Services, SE
Representa-o perante as autoridades europeias ao abrigo do artigo 27.º do RGPD.
Reino Unido
REP27 LTD
Representa-o perante o Information Commissioner's Office ao abrigo do artigo 27.º do UK GDPR.
Preços
Uma anuidade. Sem custo por pedido.
Preços sem IVA. Faturação anual antecipada com renovação automática.
- Representante na UE nos termos do art. 27.º
- Carta de designação e certificado verificável
- Selo dinâmico e texto legal
- Até 10 pedidos reencaminhados por ano
- Tudo o do plano Base
- Pedidos reencaminhados ilimitados
- Guardamos o seu registo do art. 30.º
- Balcão em 8 línguas com o prazo de 30 dias à vista
- Tudo o do plano Standard
- Pessoa responsável nos termos do art. 16.º GPSR
- Mandatário, Reg. (UE) 2019/1020
- O seu nome e o nosso em embalagens e anúncios
- Caixa de correio dedicada só a si
From the second year the renewal is discounted: €240, €390 and €690 a year. Same service, lower price for staying.
Atividades reguladas e de risco elevado são orçamentadas à parte e ativadas em cinco dias úteis.
Sobre os “serviços dirigidos a menores de 16 anos”: conta a quem se dirige o serviço e de quem são recolhidos os dados. Se um adulto abre a conta e é um adulto a carregar o material, o facto de um menor aparecer no conteúdo não o torna um serviço para crianças — está abrangido pelos planos normais.
Solutions
Four questions decide it: establishment, reach, scale, sector.
Personal data
EU representative
Personal data of people in the Union. One designation, 27 states plus the EEA.
Who must appoint it Any controller or processor established outside the Union that offers goods or services to people in the EU, or monitors their behaviour. There is no size or turnover threshold.
What you receive Signed designation, certificate with a verification code, the paragraph for your privacy notice, the Article 30 record held for you, and a request desk in eight languages.
How long it takes Signed within 24 hours of a completed form.
Article 27 Regulation (EU) 2016/679 · from €290 / year
UK representative
REP27 LTD in Suffolk. Paired with the EU designation, one renewal date.
Who must appoint it Companies outside the United Kingdom that offer goods or services to people in the UK or monitor their behaviour. EU-established companies included, since Brexit.
What you receive A second designation signed by REP27 LTD, company number 17385889, with its own certificate, its own verification code and its own privacy notice wording.
How long it takes Issued together with the EU designation.
Article 27 UK GDPR · +€100
EEA coverage
Iceland, Norway and Liechtenstein apply the GDPR. Included, not an extra.
Who must appoint it Anyone already appointing an Article 27 representative whose users also sit in the three EEA states.
What you receive The same designation, with privacy notice wording that names the European Economic Area rather than only the Union.
How long it takes Included from day one.
GDPR incorporated into the EEA Agreement, July 2018 · on request
Change provider
Moving an existing designation, without a gap in coverage.
Who must appoint it Companies already represented by another provider, at renewal or after poor service.
What you receive The new designation signed first, your privacy notice updated the same day, the previous arrangement terminated afterwards. Switch price instead of the full one.
How long it takes Same working day.
Article 27 Regulation (EU) 2016/679 · from €240 / year
Products and marketplaces
Responsible person
Product safety. Named on the label, checked by every marketplace.
Who must appoint it Anyone placing physical consumer products on the EU market without an operator established in the Union: sellers, importers, private label brands, dropshippers.
What you receive Signed designation, the exact wording to print on the label, the values for marketplace fields, technical documentation held for ten years and an authority desk.
How long it takes Signed within 24 hours.
Article 16 Regulation (EU) 2023/988 · from €290 / year
Amazon, eBay, Etsy, TikTok Shop
The compliance fields that block your listings, filled correctly.
Who must appoint it Sellers whose offers are suppressed on the European sites because the responsible person field is empty or holds a third-country address.
What you receive Copy-and-paste values for each platform, with an ASCII fallback for tools that break on accented characters, plus the certificate a platform can verify.
How long it takes Listings usually return within hours of saving valid details.
Article 16 Regulation (EU) 2023/988 · on request
Labels and documents
What has to be printed on the product, and in which language.
Who must appoint it Anyone whose marketplace fields are complete but whose packaging says nothing. Inspectors open the box, not the listing.
What you receive The five mandatory blocks, warning wording per market language, and your technical file kept available to authorities.
How long it takes Wording supplied with the designation.
Article 16 Regulation (EU) 2023/988 · on request
Which products are covered
Second-hand, spare parts, samples, B2B, digital: the cases people get wrong.
Who must appoint it Anyone unsure whether the regulation reaches their catalogue at all. Buying a designation you do not need is also waste.
What you receive The four questions in the order the regulation asks them, and a written scope decision you can keep with your records.
How long it takes Fifteen minutes of reading.
Articles 2 and 3 Regulation (EU) 2023/988 · on request
New regulations
NIS2 representative
Mandatory for non-EU cloud, DNS, CDN, marketplaces and search engines.
Who must appoint it Providers established outside the Union of DNS services, TLD registries, cloud computing, data centres, content delivery networks, managed services, online marketplaces, search engines and social platforms.
What you receive Written designation in a Member State where you offer services, contact point for the national authority, and the documentation kept at their disposal.
How long it takes Signed within 24 hours of the intake call.
Article 26(3) Directive (EU) 2022/2555 · from €490 / year
Data Act representative
Connected products and related services. Applies since 12 September 2025.
Who must appoint it Data holders established outside the Union that place connected products on the EU market or offer related services to users in the Union. Micro and small enterprises are largely carved out of the data sharing duties.
What you receive Written designation, a published contact point, and the mandate kept at the disposal of the competent authorities.
How long it takes Signed within 24 hours of the intake call.
Regulation (EU) 2023/2854 · from €490 / year
CRA authorised representative
Software and connected hardware. Decides which CSIRT receives your 24-hour report.
Who must appoint it Manufacturers outside the Union of products with digital elements. The appointment is optional under Article 18, and it is what determines the reporting route under Article 14.
What you receive Written mandate, EU declaration of conformity and technical documentation kept for ten years or the support period, and cooperation with market surveillance.
How long it takes Signed within 24 hours of the intake call.
Articles 14 and 18 Regulation (EU) 2024/2847 · from €490 / year
EUDR authorised representative
Deforestation regulation. Timber, coffee, cocoa, rubber, soy, leather.
Who must appoint it Operators and traders established outside the Union placing covered commodities on the EU market.
What you receive Written mandate, due diligence statements kept available, and the contact point for the competent authorities.
How long it takes On request, after an intake call.
Article 6 Regulation (EU) 2023/1115 · on request
Terminologia
O mesmo papel, sob cada nome procurado
O artigo 27.º do RGPD usa um termo, o mercado uma dúzia. Representante RGPD, serviço de representação, representante UE, representante de proteção de dados e representante autorizado descrevem o mesmo: o ponto de contacto estabelecido na União ao abrigo do art. 27.º(4).
A maioria dos pedidos chega como representante RGPD para empresas dos EUA ou representante europeu para uma firma sem escritório aqui. A pergunta é a mesma: como designar um representante na UE sem abrir filial. Por mandato, num dia.
Perguntam primeiro pelo custo do representante RGPD: desde 290 € no primeiro ano, menos na renovação. Quem esconde o preço costuma cobrar por pedido. Os nossos serviços são uma taxa única.
Dois nomes, duas coisas. Um representante UK responde à ICO e não cobre a União. A pessoa responsável do art. 16.º GPSR trata de segurança de produtos: incluída no plano Multi, com o mandatário CE.
A obrigação abrange responsáveis e subcontratantes do art. 3.º(2). Um consultor ou um encarregado de proteção de dados é outro papel: somos o ponto de contacto, não o seu consultor.
Selling into Britain too? See the UK representative under Article 27 of the UK GDPR — and whether you actually need one — a separate obligation with its own regulator.
Practical guides: how to appoint a representative, representative or DPO, and what a complete service includes.
Not sure which obligation applies to you? Compare Article 27 and Article 16 side by side — the two are independent, and most companies selling physical goods need both.
O artigo 27.º, em claro
O que nos perguntam antes de assinar
Quem precisa de representante na UE?
Qualquer responsável ou subcontratante estabelecido fora da UE que ofereça bens ou serviços a pessoas na União ou controle o seu comportamento, nos termos do art. 3.º, n.º 2. A designação tem de ser escrita.
O que acontece se não o designarmos?
É uma infração autónoma: até 10 milhões de euros ou 2% do volume de negócios mundial. A autoridade neerlandesa aplicou 525.000 euros à Locatefamily.com só por isso.
É o mesmo que o encarregado de proteção de dados?
Não. O representante é o ponto de contacto na União (art. 27.º); o EPD é uma função interna (arts. 37.º a 39.º) e a mesma entidade não pode acumular.
Estamos no Reino Unido. Aplica-se?
Sim. O Reino Unido é país terceiro para efeitos do RGPD.
O que fazem quando uma autoridade escreve?
Registamos, reencaminhamos em dois dias úteis e guardamos o comprovativo. Não respondemos quanto ao mérito nem prestamos aconselhamento jurídico.
Can we use our EU distributor or our law firm instead?
Only if that entity is established in the Union and formally accepts the role in writing. A distributor who has not signed a designation is not your representative, and a law firm acting as counsel is not one either. What Article 27 requires is a named, established entity that authorities and data subjects can address, published in your privacy notice.
Does appointing a representative make us liable in the EU for everything?
No. It does not create a new establishment, it does not move your tax residence, and it does not extend the GDPR to processing that was already outside its scope. It gives European authorities and individuals a reachable address. Article 27(5) also confirms that they can still act against you directly.
What do we publish in our privacy notice?
The representative's identity and contact details, under Articles 13(1)(a) and 14(1)(a). We generate the exact sentence in each language of your site: name, street address in Prague, and the dedicated email for data subject requests.
We are a processor, not a controller. Does Article 27 still apply?
Yes. Article 27 covers both controllers and processors caught by Article 3(2). If you process EU personal data on behalf of clients and have no EU establishment, you need a representative too — and your clients increasingly ask to see it before signing.
Quanto tempo demora?
Carta e certificado em 24 horas após o formulário e o pagamento.
Um representante na UE cobre também o Reino Unido?
Não. Desde o Brexit o UK GDPR é um regime próprio com o seu regulador, a ICO. Um representante estabelecido num Estado-Membro não tem legitimidade perante ela, por isso quem vende nos dois mercados precisa de duas designações. Emitimo-las numa só encomenda, desde 390 € por ano.
O que recebemos ao contratar a UE e o Reino Unido em conjunto?
Duas designações assinadas, dois certificados e dois códigos de verificação: um indica a Europe Services SE em Praga, o outro a REP27 LTD, sociedade 17385889, em Mildenhall. Mais duas linhas para a sua política de privacidade. Um pagamento, um formulário, uma renovação.
Talk to a person
Ask before you buy
Tell us where you are established and what you process. We answer with a straight yes or no on whether Article 27 applies to you, and what it would cost.
Verifique primeiro o seu site. Não custa nada.
Se a sua política já indica um representante, dizemos-lhe. Se não, saberá em dez segundos o que uma autoridade vê.
Fazer a verificação