Onze perguntas que nos fazem antes de contratar um representante UE

A maioria das perguntas que recebemos não é sobre a norma. É sobre o que acontece depois: quem responde, em quanto tempo, quanto custa quando algo acontece de verdade. Estas são as onze mais frequentes, respondidas com a maior clareza possível — incluindo as duas em que a resposta honesta nos custa a venda.

1. Isto aplica-se mesmo a nós?

O artigo 3.º(2) do RGPD abrange uma empresa estabelecida fora da União quando oferece bens ou serviços a pessoas que estão na UE, ou monitoriza o seu comportamento. Não existe limiar de faturação nem número mínimo de clientes. Oferecer algo gratuitamente conta na mesma, porque o que desencadeia a obrigação é o tratamento de dados pessoais e não o pagamento. Vender a outras empresas não muda nada, porque do outro lado estão pessoas singulares.

A isenção do artigo 27.º(2)(a) existe, mas é estreita: tratamento ocasional, de baixo risco, sem categorias especiais. Raramente se ajusta a uma atividade comercial.

2. O nosso DPO não trata disto?

Não, e é o mal-entendido mais caro do setor. O encarregado da proteção de dados trabalha ao abrigo dos artigos 37.º a 39.º, aconselha internamente e pode estar em qualquer parte do mundo. O representante trabalha ao abrigo do artigo 27.º, recebe em vez de aconselhar, e tem de estar estabelecido na União. Segundo as orientações do CEPD, a mesma entidade não pode acumular os dois papéis para a mesma empresa, porque podem entrar em conflito.

3. Pode fazê-lo o nosso distribuidor europeu ou o nosso escritório de advogados?

Apenas se essa entidade estiver estabelecida na União e aceitar formalmente o papel por escrito. Um distribuidor que nunca assinou uma nomeação não é o seu representante, e um escritório que o defende também não. O que o artigo 27.º exige é uma entidade nomeada, publicada na sua política de privacidade, à qual autoridades e titulares de dados possam dirigir-se.

4. O que recebemos concretamente?

Quatro coisas. Uma carta de nomeação assinada nos termos do artigo 27.º(1), com assinatura eletrónica conforme ao Regulamento (UE) n.º 910/2014 — não uma imagem digitalizada. Um certificado com QR e código de verificação que responde num registo público em tempo real. O texto exato dos artigos 13.º e 14.º para a sua política de privacidade, gerado em cada idioma publicado pelo seu site. E um endereço dedicado, com caixa de correio e formulário, onde chegam os pedidos.

5. O que acontece no dia em que uma autoridade escreve?

Hora zero: a mensagem chega ao endereço dedicado, é carimbada, recebe um número de referência e fica arquivada no registo. Em dois dias úteis chega ao seu contacto designado, com o original em anexo e o prazo indicado com clareza. Dia trinta: expira o prazo do pedido do titular, e o balcão mostra-o a ambas as partes para que ninguém saiba tarde demais.

O que nunca fazemos é responder sobre o fundo, negociar ou falar em seu nome. O artigo 27.º faz de nós um ponto de contacto, não um advogado de defesa, e o contrato di-lo expressamente.

6. Porque é que o certificado tem um código em vez de ser um PDF?

Porque um PDF prova o que era verdade no dia da assinatura. Não diz nada sobre hoje, e qualquer pessoa o pode alterar com um editor de texto.

O nosso selo é uma linha de HTML que lê o registo de nomeações em tempo real: verde enquanto a nomeação está ativa, vermelho no dia em que caduca. Ninguém pode mostrar um estado que já não tem — nós incluídos. É precisamente essa restrição que dá valor: um selo que não pode deixar de mentir não vale nada.

7. Quanto custa realmente?

290 euros por ano para a União, com até dez pedidos reencaminhados. 490 euros com pedidos ilimitados, guarda do seu registo do artigo 30.º para as autoridades, e o balcão em oito idiomas com o prazo de trinta dias visível para ambas as partes. 890 euros acrescentam a pessoa responsável nos termos do artigo 16.º GPSR, o mandatário nos termos do Regulamento (UE) 2019/1020 e uma caixa de correio dedicada só a si. A partir do segundo ano as renovações descem para 240, 390 e 690 euros.

Os preços não incluem IVA, a faturação é anual antecipada e o cancelamento antes da renovação é livre. As atividades reguladas e de risco elevado — dados de saúde, biometria, crédito, encontros, menores, intermediação de dados — são orçamentadas à parte.

O número que conta mais do que todos: não se cobra nada por pedido, em nenhum plano. Neste mercado, entre cinquenta e duzentos euros por contacto é o habitual, e descobre-se no décimo primeiro mês, quando já não há margem para discutir.

8. Cobre também o Reino Unido?

Não. Desde o Brexit, o UK GDPR é um regime separado com a sua própria autoridade. Um representante estabelecido num Estado-Membro não tem legitimidade perante o ICO, por isso quem alcança ambos os mercados precisa de duas nomeações. Emitimo-las num único pedido, a partir de 390 euros por ano, com dois certificados, dois códigos e duas linhas de texto para a política de privacidade — porque uma única linha a nomear uma só entidade estaria errada perante a outra autoridade.

9. Nomear-vos torna-nos responsáveis por tudo na Europa?

Não. Não cria um estabelecimento, não desloca a residência fiscal e não estende o RGPD a tratamentos que já estavam fora do seu âmbito. Dá às autoridades e aos titulares um endereço alcançável.

E o artigo 27.º(5) é explícito: as ações podem continuar a ser intentadas diretamente contra si. Qualquer fornecedor que insinue que a nomeação é um escudo está a vender algo que o regulamento não contém.

10. Somos uma pessoa só, não uma sociedade. Podemos na mesma?

Sim, e é uma novidade recente, porque o pressuposto deste mercado já não se aplica. Uma parte significativa dos bens que chegam a compradores europeus vem de pessoas singulares e trabalhadores independentes que vendem em marketplaces sem site próprio.

O formulário aceita particulares: número fiscal ou de identificação nacional em vez do número de registo, o seu nome em vez da denominação social, um canal de venda em vez de um site. O campo da sociedade nem sequer é pedido.

11. Como sabemos que são reais?

Verifiquem-nos como dizemos aos clientes para verificarem qualquer pessoa. A Europe Services SE é IČO 03571785 no registo comercial checo; a REP27 LTD é 17385889 na Companies House. Ambos públicos. O registo de clientes também é público, por isso podem ver que empresas representamos realmente em vez de acreditarem na nossa palavra. E o certificado de exemplo no site tem um código funcional que responde na mesma página pública que o vosso.

As duas respostas que nos custam dinheiro

Algumas empresas não precisam de nós, e dizemo-lo antes de pagarem. Se já estão estabelecidos num Estado-Membro, o artigo 27.º não vos diz respeito de todo. Se vendem cosméticos, a pessoa responsável de que precisam é a do Regulamento 1223/2009, com o ficheiro de informações do produto e a notificação CPNP: um papel diferente, com um fornecedor diferente. Se as vossas embalagens caem no âmbito do PPWR, é preciso um mandatário em cada Estado-Membro alcançado, não um para a Europa.

Estas duas não cobrimos, e dizê-lo é muito mais fácil quando ninguém pagou ainda. É também por isso que os primeiros sete dias são gratuitos e sem cartão: a representação está ativa desde a primeira hora, o pagamento começa apenas ao oitavo dia, e não guardamos nada com que vos cobrar se decidirem sair.

Uma pergunta para vós

O que continuo a remoer é mais amplo do que esta obrigação. Quase toda a prova de conformidade é autodeclarada, o que transforma a diligência sobre fornecedores num exercício de leitura de quão bem alguém se documentou. O artigo 27.º é um dos poucos pontos em que um terceiro pode verificar a afirmação sem perguntar.

Portanto: que parte da vossa diligência sobre fornecedores poderia ser verificada sem perguntar ao fornecedor? Escrevam nos comentários — a minha resposta honesta é mais baixa do que gostaria.