Czy mogę mieć reprezentanta GDPR UE i UK u jednego dostawcy?

• Oddzielni reprezentanci GDPR UE i UK są prawnie wymagani dla firm spoza UE/UK (art. 27 GDPR UE i UK).
• REP27 wydaje oba wyznaczenia w jednym zamówieniu, z dwoma certyfikatami i dwoma liniami w informacji o prywatności.
• Łączne ceny od 390 €/rok (REP27), z rabatami na odnowienia.
• Inni dostawcy to Privacy Core Services, Representa, Euverify i The DPO Centre.
• Kto potrzebuje obu: firmy spoza UE/UK sprzedające lub monitorujące na obu terytoriach.

Zaktualizowane 17 October 2026 · 9 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 17 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Wymogi prawne: art. 27 GDPR UE i UK

Artykuł 27 GDPR UE (źródło) oraz GDPR UK (źródło) nakładają jasny obowiązek prawny: jeśli Twoja firma jest zarejestrowana poza UE i/lub UK, ale oferuje towary lub usługi albo monitoruje zachowanie osób na tych terytoriach, musisz wyznaczyć reprezentanta dla każdego z nich. Reprezentanci są oficjalnym punktem kontaktowym dla osób, których dane dotyczą, oraz organów nadzorczych. Wymogi są odrębne dla każdego systemu, szczególnie po Brexicie. Reprezentant UE musi mieć siedzibę w państwie członkowskim UE, gdzie znajdują się osoby, których dane dotyczą. Reprezentant UK musi mieć siedzibę w Wielkiej Brytanii. Brak wyznaczenia reprezentanta jest samodzielnym naruszeniem, podlegającym karom do 10 mln € lub 2% rocznego światowego obrotu (art. 83 GDPR UE). Holenderski organ nałożył karę 525 000 € na Locatefamily.com za brak reprezentanta UE. Decyzje o adekwatności (pozwalające na transfer danych) nie zwalniają z tego obowiązku. Jeden reprezentant nie może obejmować obu terytoriów, chyba że jest prawnie ustanowiony w obu. Dlatego dostawcy tacy jak REP27 działają przez oddzielne podmioty prawne w UE i UK, wydając dwa wyznaczenia, dwa certyfikaty i dwie linie tekstu w informacji o prywatności. Taki ścisły rozdział jest niezbędny: informacja o prywatności zawierająca tylko jeden podmiot jest niezgodna dla drugiego terytorium. Dostawcy muszą zapewnić, że każde wyznaczenie spełnia wymogi prawne odpowiedniego systemu oraz że Twoja dokumentacja jest poprawna dla obu regulatorów.

Jak wybrać łącznego reprezentanta GDPR UE i UK

Wybór dostawcy reprezentacji GDPR UE i UK to strategiczna decyzja dotycząca zgodności. Pierwszym krokiem jest potwierdzenie, że dostawca ma prawne siedziby zarówno w UE, jak i w UK. To nie tylko formalność: tylko podmioty z rzeczywistą siedzibą na danym terytorium mogą być Twoim reprezentantem zgodnie z art. 27. REP27 na przykład prowadzi Europe Services, SE w Pradze dla UE oraz REP27 LTD w Suffolk dla UK, wydając oba wyznaczenia w jednym procesie. Privacy Core Services i Representa również deklarują siedziby w obu regionach. Euverify i The DPO Centre mają siedzibę w UK, ale oferują reprezentację UE, więc sprawdź, czy ich siedziba UE spełnia Twoje wymagania.
Następnie przeanalizuj proces wdrożenia. Dobry dostawca zaoferuje jedno, skoordynowane wdrożenie dla obu terytoriów, zmniejszając powielanie administracyjne. REP27 używa jednego formularza dla obu, zapewniając spójne odpowiedzi i eliminując ryzyko sprzecznej dokumentacji. Privacy Core Services reklamuje skoordynowane wdrożenie i raportowanie.
Rozważ, co jest wliczone w cenę: czy otrzymujesz dwa podpisane wyznaczenia, dwa certyfikaty i tekst informacji o prywatności dla obu systemów? Czy jest biuro obsługi zapytań dla osób i organów? Czy prowadzone są rejestry przetwarzania (art. 30) i są dostępne na żądanie?
Na koniec sprawdź proces odnowienia. Synchronizacja dat odnowienia dla obu terytoriów zapobiega przypadkowym przerwom. REP27 oferuje jedną fakturę i jedną datę odnowienia, z rabatami od drugiego roku.
Tabela: Co jest wliczone / nie wliczone / dodatkowe opłaty:

Co naprawdę obejmuje cena: funkcje i wartość

Zrozumienie, co faktycznie otrzymujesz za podaną cenę, jest kluczowe. Reprezentacja łączona powinna dostarczyć dwa prawnie ważne wyznaczenia — jedno dla UE, jedno dla UK — każde podpisane przez lokalny podmiot, plus dwa certyfikaty i tekst informacji o prywatności dla obu systemów. Plan Base REP27 (390 €/rok) obejmuje oba wyznaczenia, dwa certyfikaty (z kodem QR i publiczną weryfikacją), tekst informacji o prywatności w wielu językach oraz biuro obsługi zapytań dla obu terytoriów. Plany Standard i Multi dodają nieograniczoną liczbę zapytań, prowadzenie rejestrów przetwarzania dostępnych na żądanie oraz wsparcie wielojęzyczne. Ceny odnowienia są obniżone od drugiego roku (320 €/rok dla Base). Euverify oferuje plan miesięczny (41 £/miesiąc), który zawiera narzędzia cyfrowe do zgodności, takie jak śledzenie zapytań i odznaka weryfikacyjna, ale nie precyzuje, czy wdrożenie jest zintegrowane lub czy są dodatkowe opłaty za zapytania. Privacy Core Services, Representa i The DPO Centre wymagają wyceny i nie publikują szczegółów o wliczonych funkcjach ani możliwych dodatkowych opłatach.
Kluczowe punkty do sprawdzenia:

• Czy oba wyznaczenia są prawnie ważne i podpisane przez podmioty z siedzibą w UE i UK?
• Czy jest dostarczony tekst informacji o prywatności dla obu systemów?
• Czy wliczone jest przekazywanie zapytań i prowadzenie rejestrów, i czy są limity lub opłaty za zapytanie?
• Czy jest jedna data odnowienia i jedna faktura?
• Czy są opłaty za wdrożenie lub przegląd dokumentów?

REP27 jasno informuje, co nie jest wliczone: porady prawne, usługi IOD i audyty zgodności nie są częścią pakietu. To typowe dla większości dostawców, którzy pełnią wyłącznie rolę ustawowego reprezentanta, a nie konsultanta ds. zgodności. Zawsze wyjaśnij, co jest, a co nie jest wliczone przed wyznaczeniem dostawcy.

Ukryte koszty i czego dostawcy zwykle nie mówią

Porównując dostawców, ważne jest, aby spojrzeć poza cenę podstawową. Ukryte koszty i wyłączenia mogą znacząco wpłynąć na całkowity koszt zgodności i ryzyko operacyjne.
Typowe ukryte koszty i wyłączenia:

• Opłaty za zapytanie: Niektórzy dostawcy mogą pobierać dodatkowo za obsługę lub przekazywanie zapytań osób lub organów. REP27 w planie Base obejmuje do 10 przekazanych zapytań rocznie; nieograniczone zapytania są w wyższych planach. W przypadku innych dostawców informacje te nie zawsze są publikowane — pytaj bezpośrednio.
• Opłaty za wdrożenie/przegląd dokumentów: Niektórzy mogą pobierać opłaty za początkowe wdrożenie lub przegląd dokumentacji. REP27 nie podaje takich opłat.
• Synchronizacja odnowień: Korzystanie z dwóch oddzielnych dostawców dla UE i UK może oznaczać różne daty odnowienia, zwiększając ryzyko przypadkowych przerw. REP27 synchronizuje odnowienia dla obu terytoriów.
• Błędy w informacji o prywatności: Wiele firm błędnie wskazuje tylko jednego reprezentanta dla obu systemów, co może powodować problemy z zgodnością. REP27 dostarcza dwie linie tekstu informacji o prywatności, aby temu zapobiec.
• Wyłączenia: Większość dostawców, w tym REP27, nie oferuje porad prawnych, usług IOD ani audytów zgodności w ramach roli reprezentanta. Przekazują zapytania, ale nie odpowiadają merytorycznie.
• Okresy wypowiedzenia i odpowiedzialność: Dostawcy mogą mieć określone okresy wypowiedzenia lub ograniczenia odpowiedzialności — zawsze sprawdzaj warunki przed podpisaniem umowy.

Zawsze żądaj pełnej listy usług wliczonych, limitów i potencjalnych dodatkowych opłat przed wyznaczeniem reprezentanta. Pomoże to uniknąć niespodziewanych kosztów i zapewni zgodność na obu terytoriach.

Jak przebiega wyznaczenie: krok po kroku

Wyznaczenie łącznego reprezentanta GDPR UE i UK powinno być proste, jeśli wybierzesz odpowiedniego dostawcę. Oto typowy przebieg na przykładzie REP27:

1. Sprawdzenie kwalifikacji: Potwierdź, że Twoja firma jest zarejestrowana poza UE i UK oraz oferuje towary/usługi lub monitoruje osoby na obu terytoriach.
2. Wybór dostawcy: Wybierz dostawcę z prawdziwymi siedzibami w UE i UK.
3. Wdrożenie: Wypełnij jeden formularz obejmujący oba terytoria. Proces REP27 trwa około pięciu minut i wymaga podania danych firmy i przetwarzania tylko raz.
4. Przegląd dokumentów: Pracownik weryfikuje plik. Oba mandaty są sporządzane na podstawie tych samych odpowiedzi, co zapewnia spójność i eliminuje sprzeczności.
5. Wyznaczenie i kontrasygnata: Wyznaczenie UE podpisuje Europe Services, SE (Praga); wyznaczenie UK — REP27 LTD (Suffolk). Każde to osobny dokument prawny.
6. Certyfikaty i tekst informacji o prywatności: Otrzymujesz dwa certyfikaty (jeden dla każdego systemu) i dwie linie tekstu informacji o prywatności. Każdy certyfikat jest weryfikowalny online i posiada unikalny kod (R27- dla UE, UK27- dla UK).
7. Wdrożenie w praktyce: Zaktualizuj swoją informację o prywatności i wewnętrzne rejestry o nowe dane.
8. Odnowienie: Oba wyznaczenia odnawiane są w tym samym terminie, z rabatami od drugiego roku. Otrzymujesz jedną fakturę za oba.

Proces ten zapewnia zgodność prawną, zmniejsza obciążenie administracyjne i minimalizuje ryzyko błędów. Inni dostawcy mogą mieć podobne kroki, ale zawsze potwierdzaj szczegóły, zwłaszcza dotyczące wdrożenia, dokumentacji i synchronizacji odnowień.

Macierz decyzji: potrzebujesz obu, jednego czy żadnego?

Określenie, czy potrzebujesz reprezentanta UE, UK, obu czy żadnego, zależy od lokalizacji i działalności Twojej firmy. Skorzystaj z poniższej macierzy, aby wyjaśnić swoje obowiązki:

Kluczowe punkty:

• Posiadanie rzeczywistej, stabilnej siedziby (nie tylko skrzynki pocztowej) na danym terytorium zwalnia z obowiązku reprezentanta.
• Sprzedawcy na marketplace spoza UE/UK muszą wyznaczyć reprezentantów, jeśli sprzedają klientom na tych terytoriach.
• Firmy B2B i B2C są objęte, jeśli celują lub monitorują osoby w UE/UK.
• Firmy bez działalności w UE lub UK nie potrzebują reprezentanta.

Lista kontrolna: jak wyznaczyć łącznego reprezentanta już dziś

1. Oceń działalność firmy: czy oferujesz towary/usługi lub monitorujesz osoby w UE i UK?
2. Potwierdź, że nie masz siedziby w UE lub UK (jeśli masz, nie potrzebujesz reprezentanta dla tego terytorium).
3. Zbadaj dostawców z prawdziwymi siedzibami w obu terytoriach (patrz tabela powyżej).
4. Przygotuj dane firmy i przetwarzania (informacja o prywatności, przepływy danych, dane kontaktowe).
5. Wypełnij jeden formularz wdrożeniowy dla obu systemów (REP27 i niektórzy inni to oferują).
6. Przejrzyj i zatwierdź projekty wyznaczeń i tekstu informacji o prywatności dostarczone przez reprezentanta.
7. Otrzymaj dwa podpisane certyfikaty i dwie linie tekstu informacji o prywatności.
8. Zaktualizuj stronę internetową i dokumentację o nowe dane.
9. Ustaw przypomnienia o zsynchronizowanych odnowieniach, aby uniknąć przerw.
10. Monitoruj zmiany w działalności, które mogą wpłynąć na obowiązki (np. ekspansja na nowe rynki).

Ta lista kontrolna zapewnia zgodność z art. 27 GDPR UE i UK przy minimalnym wysiłku administracyjnym.

Ryzyka, kary i realne scenariusze

Nieprzestrzeganie art. 27 może prowadzić do poważnych ryzyk finansowych i reputacyjnych. Najbardziej bezpośrednim ryzykiem są kary regulacyjne: zgodnie z art. 83 GDPR UE mogą sięgać do 10 mln € lub 2% rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. Holenderski organ nałożył karę 525 000 € na Locatefamily.com za brak reprezentanta UE. Brytyjski ICO ma podobne uprawnienia egzekucyjne na mocy GDPR UK.
Inne ryzyka to:

• Błędy w informacji o prywatności: wskazanie tylko jednego reprezentanta dla obu systemów może skutkować niezgodnością i kontrolami regulatorów.
• Przerwy w odnowieniach: korzystanie z dwóch dostawców z różnymi datami odnowienia zwiększa ryzyko przypadkowych przerw i czasowej niezgodności.
• Obciążenie administracyjne: zarządzanie dwoma oddzielnymi dostawcami zwiększa ryzyko niespójnej dokumentacji i pominiętych obowiązków.

• Scenariusz 1: amerykańska firma SaaS sprzedająca do UE i UK — potrzebuje obu reprezentantów. REP27 oferuje oba w jednym zamówieniu, ze zsynchronizowanym wdrożeniem i odnowieniem.
• Scenariusz 2: chiński sprzedawca Amazon wysyłający tylko do UE — potrzebuje tylko reprezentanta UE, bo nie ma działalności w UK. REP27 i inni oferują plany tylko UE.
• Scenariusz 3: sklep internetowy z UK sprzedający do UE — potrzebuje tylko reprezentanta UE, bo jest już zarejestrowany w UK. Odwrotnie dla firm z UE sprzedających do UK.

Wybór dostawcy łączonego zmniejsza te ryzyka, zapewniając zgodność prawną, prostotę administracyjną i poprawną dokumentację dla obu systemów.