We appointed a representative under the LGPD. Does that count?

No. That representative is in Brazil, for foreign controllers reaching Brazilians. Article 27 requires one established in the United Kingdom.

Is Brazil covered by a UK adequacy decision?

No. Transfers from the UK generally require the IDTA or the addendum to the standard clauses.

We sell only to British companies, not consumers.

The individuals at those companies are data subjects. Their contact details are personal data under the UK GDPR.

Artigo 27 UK GDPR · Brasil

Representante no Reino Unido para empresas brasileiras

O Brasil construiu a LGPD de perto sobre o modelo europeu, o que significa que as empresas brasileiras reconhecem esta exigência de imediato — pelo lado oposto. A LGPD pede que controladores estrangeiros nomeiem um representante no Brasil. O UK GDPR pede o mesmo dos controladores brasileiros que alcançam pessoas na Grã-Bretanha, e a simetria é exata.

A LGPD é o espelho, não a resposta

O artigo 5.º da LGPD exige um representante no Brasil para controladores estabelecidos no exterior. O artigo 27 do UK GDPR exige um na Grã-Bretanha para controladores estabelecidos no exterior. Cada regra protege o próprio território, e cumprir a brasileira nada diz à ICO. Uma empresa alcançada pelas duas precisa de duas nomeações, em dois países, indicando duas entidades.

Comparação da exigência da LGPD com a sua imagem espelhada britânica — Cada regra protege o próprio território. Nenhuma responde pela outra.

Tratamento de pedidos correntes de assinatura vindos de utilizadores na Grã-Bretanha — Aqui é o volume, não o incidente, que expõe a falta de um representante.

A ANPD e a ICO fiscalizam separadamente

A Autoridade Nacional de Proteção de Dados supervisiona o tratamento brasileiro. O Information Commissioner's Office supervisiona os assuntos britânicos e espera um representante com endereço britânico. Nenhuma das autoridades age pela outra, e nenhuma aceita uma nomeação que indique uma entidade no território da outra.

Software e agronegócio, duas exposições diferentes

As empresas brasileiras de software que vendem assinaturas a utilizadores britânicos guardam dados de conta, registos de uso e identificadores de pagamento, e os seus utilizadores exercem direitos com facilidade. O agronegócio e os exportadores de commodities guardam muito menos dados pessoais, mas lidam com contrapartes britânicas cujas equipas de conformidade perguntam por escrito. O primeiro grupo enfrenta pedidos; o segundo enfrenta questionários. Ambos precisam da mesma nomeação.

Sem adequação, a questão da transferência vem a seguir

O Reino Unido não reconheceu o Brasil como adequado. Os dados que saem da Grã-Bretanha exigem, em geral, o IDTA ou o adendo. É um instrumento separado da nomeação e aparece na mesma conversa, normalmente na semana seguinte à primeira.

O que publicar na política de privacidade

Um parágrafo que indique uma entidade estabelecida no Reino Unido, ao lado do que o seu texto de LGPD já diz. Fornecemo-lo em português e em inglês. Se também nomeou um representante europeu, esse é um terceiro parágrafo e não uma substituição: três territórios, três entidades indicadas, cada uma respondendo à sua autoridade.

Duas exigências espelhadas

LGPD artigo 5.º	Brasil	Controladores estrangeiros nomeiam um representante no Brasil
UK GDPR artigo 27	Reino Unido	Controladores estrangeiros nomeiam um na Grã-Bretanha
Fiscalização	ANPD no Brasil, ICO na Grã-Bretanha	Nenhuma age pela outra
Transferências RU → Brasil	Sem decisão de adequação	Exige IDTA ou adendo
RGPD artigo 27	União	Uma terceira nomeação se visar a UE

Assinaturas de software e o volume de pedidos

As empresas brasileiras de software que vendem a utilizadores britânicos encontram isto pelo volume e não por um incidente isolado. Os produtos por assinatura geram cancelamentos de conta, disputas de reembolso e pedidos de eliminação como rotina, e cada um é um pedido ao abrigo do UK GDPR com um prazo associado. Um representante transforma esse fluxo em algo registado e encaminhado em vez de algo descoberto tarde.

Perguntas de empresas brasileiras

Nomeámos um representante ao abrigo da LGPD. Isso conta?

Não. Esse representante está no Brasil, para controladores estrangeiros que alcançam brasileiros. O artigo 27 exige um estabelecido no Reino Unido.

O Brasil está abrangido por uma decisão de adequação do Reino Unido?

Não. As transferências a partir do Reino Unido exigem, em geral, o IDTA ou o adendo às cláusulas-padrão.

Vendemos apenas a empresas britânicas, não a consumidores.

As pessoas dessas empresas são titulares de dados. Os seus contactos são dados pessoais ao abrigo do UK GDPR.

Podemos receber a redação em português?

Sim. A nomeação e o certificado são emitidos em inglês; a redação para a sua política de privacidade é fornecida também em português.

Nomeado hoje, verificável hoje

Uma taxa anual, sem custo por pedido. Desde 290 € por ano para o Reino Unido, 390 € para o Reino Unido e a União em conjunto.

Como funciona o serviço para o Reino Unido Preços

Um processo de fiscalização aberto onde nunca foi indicado um representante — Os produtos por assinatura geram pedidos todas as semanas, não de vez em quando.

Um balcão de pedidos a receber o volume que as assinaturas de software produzem — A LGPD exige o mesmo das empresas estrangeiras. Simetria, não substituição.

Empresas noutros países, a mesma obrigação

O que muda de um país para outro não é a regra, mas o caminho até ela.