Quem precisa mesmo de um representante RGPD — e por que algumas empresas escolhem aparecer publicamente

 Há uma linha no RGPD que se aplica em silêncio a milhares de empresas que nunca a leram. Diz que, se você está fora da União Europeia e alcança pessoas dentro dela, alguém estabelecido na União precisa estar acessível em seu nome — um ponto de contato com nome, para as autoridades e para as pessoas. Chama-se representante do Artigo 27. O Reino Unido, depois do Brexit, acrescentou a sua versão espelho sob o UK GDPR. E a maioria das empresas que precisa de um não sabe que precisa.

Isto não é um texto de venda. É uma tentativa de responder, com clareza, às perguntas que as pessoas realmente fazem quando tropeçam pela primeira vez nessa obrigação — e de explicar uma coisa que surpreende quase todo mundo: por que algumas empresas, longe de esconder que são representadas, escolhem aparecer publicamente por isso.

"Isto se aplica a mim?"

A obrigação não olha o seu tamanho nem o seu faturamento. Segue uma coisa só: o alcance. Se você é controlador ou operador estabelecido fora da UE e oferece bens ou serviços a pessoas na União, ou monitora o comportamento delas, o Artigo 3(2) o traz para o âmbito. Não há limite de receita. Na prática, alcança muitas empresas que não se veem como "voltadas para a UE" — o software americano com cadastros europeus, o app com usuários na França ou na Alemanha, o operador que trata dados europeus para os próprios clientes. E já não são só empresas: também os autônomos e os vendedores só de marketplace, quem toca uma loja na Amazon ou na Etsy sem site próprio, entram na mesma lógica assim que alcançam clientes da UE.

"Não é a mesma coisa que um DPO?"

Não, e é a confusão mais comum. O representante é o seu ponto de contato externo dentro da União sob o Artigo 27. O encarregado de proteção de dados é um papel interno de aconselhamento, sob os Artigos 37 a 39. São funções diferentes, e uma mesma entidade não pode ser corretamente ambas para a mesma empresa.

"UE ou UK — qual eu preciso?"

Depende de onde estão as suas pessoas. Se você alcança indivíduos na UE, precisa de um representante UE. Se alcança indivíduos no Reino Unido, precisa de um UK. Se alcança os dois — e muitos negócios alcançam — precisa dos dois, porque são dois deveres legais distintos, não um só. A resposta honesta é que muitíssimas empresas precisam do par e descobrem a segunda metade tarde.

Por que aqui "segurança" quer dizer "verificabilidade"

Quando se pergunta se um arranjo de representação é "seguro", costuma-se querer dizer algo específico: posso confiar que é real, atual e comprovável — não um PDF que alguém me mandou uma vez e esqueceu? A pergunta importa porque o Artigo 27 já não é só sobre satisfazer uma autoridade. É sobre satisfazer um comprador. Quando uma empresa faz due diligence num fornecedor, "quem é o seu representante UE, e posso verificar?" já é uma linha normal. Um documento estático que poderia dizer qualquer coisa não sobrevive a essa conversa. Uma designação que se pode conferir num registro ao vivo, sim. Essa verificabilidade — um certificado com um código que qualquer um pode escanear para confirmar que está ativo agora — é o que "segurança" quer dizer de verdade aqui.

A parte que surpreende: escolher aparecer

Ser representado sob o Artigo 27 é, por natureza, um fato público. O nome do seu representante tem de aparecer na sua política de privacidade de qualquer forma. Algumas empresas dão um passo além e consentem em figurar publicamente também do lado do representante. Por que alguém se ofereceria a isso? Porque aqui visibilidade e confiança apontam para a mesma direção. Para a empresa representada, aparecer publicamente é um sinal pequeno e verificável aos próprios clientes e parceiros — sim, fizemos isso direito, e aqui você pode confirmar. Só acontece com consentimento; ninguém é listado sem ter concordado. Mas quando uma empresa concorda, todo o arranjo fica mais transparente, que é exatamente o que o Artigo 27 buscava desde o início.

Onde entra o teste de sete dias

Aqui vai a parte prática, e a razão pela qual essa obrigação assusta menos do que parece. Você não precisa decidir às cegas. Pode começar com um teste grátis de sete dias, sem cartão, e ver de verdade como é ser representado — a designação assinada, o certificado, o selo de verificação ao vivo — antes de se comprometer com qualquer coisa. Para um dever construído inteiramente sobre transparência, poder inspecioná-lo antes de comprar parece ser o ponto, não um bônus. O site até se instala no celular como um app, então o seu status e o seu balcão de solicitações viajam com você em vez de ficar numa gaveta.

Os limites honestos

Duas coisas convém dizer com clareza. Um representante é um ponto de contato, não um escudo: o Artigo 27(5) é explícito ao dizer que as autoridades ainda podem agir diretamente contra você, e nomear um não cria um estabelecimento na UE nem muda a sua residência fiscal. E não é aconselhamento jurídico. Quem o descreve como imunidade está descrevendo algo que o regulamento não contém.

A conclusão é mais sóbria que um anúncio. O Artigo 27 é uma obrigação ampla e comum, que alcança empresas comuns assim que elas têm usuários europeus. Toda a sua lógica é transparência — um ponto de contato acessível e verificável que qualquer um pode confirmar. As empresas que o tratam assim, incluídas as que escolhem aparecer publicamente, não estão comprando proteção. Estão tornando algo verificável.

Então uma pergunta sincera, para quem já lidou com a conformidade de um fornecedor: quando ele disse que era "conforme ao RGPD", você realmente verificou se tinha um representante UE — ou "somos conformes" acabou bastando? Eu queria saber com que frequência alguém realmente olha 👇