Ce companii trebuie să numească un reprezentant GDPR în UE?

• Obligație pentru companiile extra-UE care prelucrează datele persoanelor din UE (art. 3(2), 27 GDPR)
• Excepții: autorități publice, prelucrări ocazionale/nu pe scară largă/fără riscuri ridicate (art. 27(2))
• Amenzi până la 10 milioane € sau 2% din cifra de afaceri globală (art. 83(4)(a))
• Reprezentantul este punctul de contact pentru autorități și persoanele vizate (art. 4(17))
• Prețuri anuale publicate: de la €290 până la peste €1.000 (octombrie 2026)
• Servicii și costuri variate: atenție la cereri suplimentare, limbi și reînnoiri

Actualizat 18 October 2026 · 6 surse verificate

Furnizori comparați

Prețuri publicate pe site-ul fiecărui furnizor la data de 18 October 2026, excluzând TVA-ul, cu excepția cazului în care se specifică altfel. Fiecare rând este legat de sursa sa.

Ce cere legea: articole cheie din GDPR

Obligația de a numi un reprezentant în UE derivă din articolul 27 al GDPR, aplicabil oricărui operator sau responsabil de prelucrare care nu este stabilit în Uniunea Europeană, dar oferă bunuri sau servicii persoanelor din UE sau le monitorizează comportamentul (art. 3(2) GDPR). Această obligație se aplică atât companiilor B2C, cât și B2B, dacă prelucrează date personale ale indivizilor din UE. Reprezentantul, definit la art. 4(17) GDPR, este persoana fizică sau juridică stabilită în UE desemnată să acționeze ca punct de contact pentru autoritățile de control și persoanele vizate.

Există excepții specifice (art. 27(2) GDPR): autorități publice, prelucrări ocazionale, nu pe scară largă și fără riscuri ridicate pentru drepturile și libertățile persoanelor vizate. Dacă oricare dintre aceste condiții nu este îndeplinită, obligația de numire se aplică în continuare.

Sancțiunile pentru nerespectare sunt severe: art. 83(4)(a) GDPR prevede amenzi de până la 10 milioane € sau 2% din cifra de afaceri globală anuală. Un exemplu concret: Locatefamily.com a fost amendată cu €525.000 pentru ne-nominalizarea unui reprezentant.

Pe lângă numire, reprezentantul trebuie desemnat formal prin mandat scris și să accepte explicit rolul. Publicarea simplă a unei adrese nu este suficientă. De asemenea, reprezentantul trebuie să poată produce registrul activităților de prelucrare (art. 30 GDPR) la cererea autorităților.

În concluzie, numirea unui reprezentant UE este obligatorie pentru majoritatea companiilor extra-UE care operează direct sau indirect cu date personale ale rezidenților UE, cu excepții rare.

Cum alegi reprezentantul UE: criterii practice și comparație servicii

Alegerea unui reprezentant GDPR UE nu este doar o chestiune de preț: este esențial să înțelegi ce include efectiv serviciul. Furnizorii se împart în trei categorii:

• Tier 1 – Doar adresă: Oferă doar o adresă poștală în UE care redirecționează corespondența. Nu acceptă formal atribuțiile art. 27, nu țin registre, nu garantează timpi de răspuns. Este soluția cea mai ieftină, dar riscantă.
• Tier 2 – Numire completă: Oferă mandat scris, desk pentru cereri, gestionarea registrului art. 30, răspuns garantat autorităților în termene fixe. Este ceea ce cere GDPR efectiv.
• Tier 3 – Cabinet de avocatură: Pe lângă reprezentare, oferă consultanță juridică și servicii suplimentare, dar la costuri mult mai mari, adesea ne-necesare pentru majoritatea companiilor.

Tabloul comparativ al serviciilor incluse:

Sfat practic: cere întotdeauna modelul de mandat înainte de a cumpăra, verifică cine ține registrul art. 30 și ce limbi sunt suportate. Un serviciu ieftin care nu acceptă formal atribuțiile art. 27 te expune unor riscuri mari.

Ce include cu adevărat prețul și cum recunoști costurile ascunse

Prețurile reprezentanților GDPR UE variază mult, de la sub €300 până la peste €2.000 anual (octombrie 2026), dar diferența stă adesea în serviciile efectiv incluse. Iată ce trebuie verificat:

• Taxă per cerere: Unii furnizori aplică cost suplimentar (de la €25 la €90) pentru fiecare cerere a persoanei vizate sau autorității, în timp ce alții (ex. REP27 de la Standard) includ cereri nelimitate.
• Gestionarea registrului art. 30: GDPR cere ca reprezentantul să țină registrul activităților de prelucrare. Unele planuri de bază nu îl includ sau îl taxează separat (până la €400/an).
• Limbi suportate: Deseori doar engleza este inclusă în planurile entry-level; gestionarea multilingvă poate fi un cost suplimentar.
• Costuri de onboarding/configurare: Unii furnizori percep taxe de activare până la €250.
• Creșteri la reînnoire: Costul poate crește din al doilea an. REP27, de exemplu, oferă reînnoiri reduse față de primul an.

Tabloul sumar al principalelor costuri ascunse:

Sfat: cere întotdeauna o simulare a costurilor totale pentru scenariul tău (număr cereri, limbi, reînnoiri) și verifică ce se întâmplă dacă depășești pragurile.

Cum funcționează numirea: ghid pas cu pas și checklist

Numirea unui reprezentant GDPR UE urmează un proces clar. Iată pașii:

1. Verifică obligația: Confirmă dacă firma ta oferă bunuri/servicii sau monitorizează persoane în UE (art. 3(2), 27 GDPR).
2. Alege furnizorul: Evaluează prețuri, servicii incluse, limbi și costuri ascunse. Cere întotdeauna modelul de numire.
3. Completează onboarding-ul: Trimite datele companiei și informațiile cerute de furnizor. Unii, ca REP27, cer și completarea registrului art. 30 (de la Standard).
4. Primește documentele: Obține scrisoarea de numire semnată de ambele părți, certificatul QR și instrucțiunile pentru politica de confidențialitate.
5. Publică datele: Include numele, adresa și emailul reprezentantului în politica de confidențialitate (art. 13/14 GDPR).
6. Operaționalitate: Furnizorul gestionează cererile primite și le transmite în termenele prevăzute (ex. în 2 zile lucrătoare cu REP27, în aceeași zi pentru autorități de la Standard).

Checklist operațional:

1. Verifică art. 3(2) și 27 GDPR
2. Cere și citește template-ul de numire
3. Întreabă cine ține registrul art. 30
4. Verifică timpii de răspuns garantați
5. Calculează costurile totale (cereri, limbi, reînnoiri)
6. Asigură-te că publicarea în politica de confidențialitate este conformă

Atenție: numirea este valabilă doar dacă reprezentantul acceptă formal în scris și scrisoarea este semnată de ambele părți.

Riscuri și sancțiuni: ce se întâmplă în caz de neconformitate

Nenumirea unui reprezentant UE când este obligatoriu constituie o încălcare autonomă a GDPR (art. 83(4)(a)). Autoritățile de control pot aplica amenzi până la 10 milioane € sau 2% din cifra de afaceri globală anuală, în funcție de ce este mai mare. Aceste sancțiuni se aplică chiar dacă toate celelalte măsuri GDPR sunt respectate, dar lipsește numirea formală.

Un caz real: Locatefamily.com a fost amendată cu €525.000 de autoritatea olandeză doar pentru ne-nominalizarea reprezentantului. În plus, autoritățile pot ordona suspendarea prelucrărilor sau publicarea încălcării.

Alte riscuri practice:

• Un mandat incomplet (ex. doar adresă poștală) nu protejează de sancțiuni
• Nerespectarea termenelor de răspuns către autorități poate agrava situația
• Răspunderea rămâne întotdeauna la operatorul/responsabilul prelucrării (art. 27(5)), chiar dacă reprezentantul este numit

Concluzie: alegerea unui furnizor doar după prețul cel mai mic, fără a verifica acceptarea formală a atribuțiilor art. 27 și ținerea registrului art. 30, expune la riscuri legale și reputaționale majore.

Ce nu spun furnizorii de obicei: limite, excluderi și reînnoiri

• Mulți planuri de bază oferă doar adrese poștale: Nu acceptă formal atribuțiile art. 27, nu țin registre, nu garantează răspuns autorităților.
• Costurile per cerere pot depăși abonamentul anual: O lună cu multe cereri poate crește cheltuielile mult peste așteptări.
• Gestionarea multilingvă este rară: Deseori doar engleza este inclusă; REP27 oferă desk în 8 limbi de la Standard.
• Reînnoirea crește adesea după primul an: Mulți furnizori aplică prețuri promoționale doar pentru primul an; REP27 oferă reînnoiri reduse și transparente.
• Răspunderea legală rămâne întotdeauna la client: Reprezentantul nu preia responsabilitatea pentru încălcări, care rămâne la operator/responsabil (art. 27(5)).
• Excluderi frecvente: Date sensibile (art. 9), date judiciare (art. 10), servicii pentru minori, gambling, pharma, arme, crypto adesea nu sunt acceptate.

Sfat: cere întotdeauna o listă scrisă ce este inclus, ce este exclus și condițiile de reînnoire și reziliere.

Matrice decizională: cine trebuie să numească reprezentantul? (B2B, B2C, marketplace, dimensiuni)

Practic: majoritatea companiilor extra-UE cu clienți, utilizatori sau destinatari în UE trebuie să numească reprezentantul, fie B2B sau B2C, pe site propriu sau prin marketplace.

3 scenarii practice: ce obligație se aplică și ce soluție să alegi

1. SaaS SUA cu clienți UE: Un furnizor SaaS american care vinde abonamente companiilor sau utilizatorilor UE trebuie să numească un reprezentant UE, să publice datele în politica de confidențialitate și să țină registrul art. 30. Soluție: plan Standard REP27, care include cereri nelimitate, gestionarea registrului și desk multilingv.
2. Vânzător chinez pe Amazon: O companie chineză care vinde produse prin Amazon consumatorilor UE este obligată complet. Dacă vinde și în Elveția, trebuie evaluat și obligația nFADP. Soluție: plan Multi REP27, care include și evaluarea elvețiană gratuită.
3. Shop online UK doar B2B: Dacă nu prelucrează date personale UE (doar companii, fără contact personal), poate fi exceptat. Dacă colectează date ale administratorilor/utilizatorilor UE, obligația se aplică. Soluție: evaluare caz cu caz, dar în caz de dubiu, e recomandat să numești reprezentant.

Aceste scenarii arată că evaluarea trebuie făcută pe baza clientelei (B2B/B2C), tipului de date prelucrate și a activității de monitorizare.