Czy potrzebuję przedstawicieli GDPR UE i UK?

Co naprawdę obejmuje cena (i czego nie obejmuje)

Zrozumienie, co otrzymujesz za swoją opłatę, jest kluczowe. Dostawcy różnią się nie tylko ceną, ale i zakresem rocznej subskrypcji:

• REP27 — Europe Services, SE: Za 390 €/rok (Base) otrzymujesz wyznaczenia Art. 27 UE i UK, dwa certyfikaty (po jednym na każde terytorium), tekst polityki prywatności w wielu językach, weryfikację QR, biuro obsługi zgłoszeń oraz ocenę szwajcarską (czy potrzebny jest przedstawiciel szwajcarski). Plan Base zawiera do 10 przekazanych żądań rocznie; nieograniczone żądania i rejestracja Art. 30 dostępne w wyższych planach. Brak opłat za żądania w planach Standard i Multi. Doradztwo prawne, ABI i audyty nie są wliczone.
• Janus Compliance: Opłaty za każde terytorium: £349/rok za UK i €449/rok za UE. Każdy plan zawiera 50 pozycji korespondencji rocznie (bez korespondencji ICO); każda dodatkowa pozycja kosztuje £8. Łączenie UE+UK wymaga dwóch osobnych subskrypcji, bez zniżki. Doradztwo prawne i nieograniczona korespondencja nie są wliczone.
• Euverify: £490/rok za reprezentację UE lub UK (plan Startup), z funkcjami takimi jak przedstawiciel GDPR, kreator ROPA, certyfikat, zunifikowana skrzynka DSR, znak zaufania, ścieżka audytu i tłumaczenie DSR. Łączenie wymaga dwóch subskrypcji. Szczegóły opłat dodatkowych na zapytanie.
• Gabsor: $948/rok (plan Essential) za reprezentację UE i UK, w tym panel zgodności, centrum zaufania, fragment polityki prywatności, odznaka, kreator ROPA, zarządzanie DSAR i ścieżka audytu. Szczegóły opłat lub limitów na zapytanie.

Zawsze sprawdzaj, czy podana cena obejmuje oba regiony, czy tylko jeden. Większość dostawców nie uwzględnia doradztwa prawnego, ABI ani audytów zgodności. Niektórzy wyłączają przetwarzanie wysokiego ryzyka lub usługi skierowane do dzieci. Przed zakupem dokładnie zapoznaj się z wyłączeniami i warunkami dostawcy.

Ukryte koszty i czego dostawcy zwykle nie mówią

Choć ceny podstawowe mogą wyglądać podobnie, ukryte koszty i ryzyka operacyjne mogą się sumować. Oto na co zwrócić uwagę:

• Opłaty za każde żądanie: Janus Compliance zawiera 50 pozycji korespondencji rocznie, ale pobiera £8 za każdą dodatkową. Plan Base REP27 obejmuje do 10 żądań rocznie, z nieograniczonymi w wyższych planach. Niektórzy dostawcy nie ujawniają polityki opłat za żądania, więc zawsze potwierdzaj przed zakupem.
• Oddzielne wdrożenia i odnowienia: Korzystanie z dwóch dostawców dla UE i UK oznacza podwójną papierologię i dwa różne terminy odnowień. Zwiększa to ryzyko wygaszenia wyznaczenia, co samo w sobie jest naruszeniem Art. 27. Usługi łączone (np. REP27) synchronizują odnowienia i zmniejszają administrację.
• Wyłączenia: Większość dostawców wyklucza doradztwo prawne, ABI i audyty. REP27 wyraźnie wyłącza dane szczególnej kategorii, dzieci poniżej 16 lat, monitoring na dużą skalę, brokerów danych, treści dla dorosłych, hazard, kryptowaluty, broń i farmaceutyki. Jeśli Twoja firma działa w tych obszarach, możesz nie móc skorzystać z niektórych dostawców.
• Okresy wypowiedzenia: REP27 wymaga pisemnego wypowiedzenia co najmniej 30 dni przed wygaśnięciem umowy. Zawsze sprawdzaj politykę anulowania, aby uniknąć niechcianych odnowień.
• Limity odpowiedzialności: Żaden z porównywanych dostawców nie publikuje limitów odpowiedzialności w dostępnych danych. Zawsze żądaj i sprawdzaj umowę dostawcy pod kątem klauzul odpowiedzialności i odszkodowań.

Pamiętaj, że niektórzy dostawcy mogą nie oferować standardowo tekstu polityki prywatności, wsparcia wielojęzycznego ani weryfikacji QR. Braki te mogą prowadzić do niezgodności lub dodatkowej pracy dla Twojego zespołu.

Jak przebiega wyznaczenie: krok po kroku

Wyznaczenie przedstawiciela GDPR to proces, który musi być udokumentowany i weryfikowalny. Oto praktyczna lista kroków, aby zapewnić zgodność:

1. Oceń swoje obowiązki: Sprawdź, czy Twoja firma oferuje towary/usługi lub monitoruje osoby w UE, UK lub obu.
2. Wybierz dostawcę: Wybierz dostawcę zarejestrowanego na wymaganym terytorium (lub obu dla usługi łączonej). Sprawdź wyłączenia i oferowane funkcje.
3. Wypełnij onboarding: Wypełnij formularz wdrożeniowy dostawcy. Usługi łączone, jak REP27, używają jednego formularza dla obu terytoriów, oszczędzając czas i zmniejszając ryzyko niespójnych danych.
4. Weryfikacja przez dostawcę: Dostawca analizuje zgłoszenie i przygotowuje wyznaczenia. W usługach łączonych oba mandaty są tworzone na podstawie tych samych danych, co zapewnia spójność.
5. Podpisy: Podmiot UE podpisuje wyznaczenie UE; podmiot UK podpisuje wyznaczenie UK. Otrzymujesz dwa osobne, podpisane dokumenty.
6. Odbierz certyfikaty i teksty: Otrzymujesz dwa certyfikaty (po jednym na terytorium), każdy z unikalnym kodem weryfikacyjnym, oraz teksty do polityki prywatności dla obu. REP27 dostarcza kody QR i publiczne strony weryfikacyjne.
7. Zaktualizuj politykę prywatności: Wstaw oba teksty do polityki prywatności. Użycie tylko jednego tekstu dla obu terytoriów jest błędne i może zostać zakwestionowane przez regulatorów.
8. Utrzymuj zgodność: Zapewnij, że przedstawiciel odpowiada na żądania osób i organów. Odnawiaj wyznaczenie corocznie i przechowuj dokumentację korespondencji.
9. Ocena szwajcarska (jeśli dotyczy): Z REP27 otrzymujesz bezpłatną ocenę, czy potrzebny jest przedstawiciel szwajcarski. W razie potrzeby zostaniesz o tym natychmiast poinformowany.

Przestrzeganie tej listy minimalizuje ryzyko naruszeń i zapewnia spełnienie wymogów Art. 27 GDPR i UK GDPR.

Macierz decyzji: potrzebuję przedstawiciela UE, UK czy obu?

Skorzystaj z tej macierzy, aby szybko określić obowiązki w zależności od lokalizacji firmy i działalności:

Macierz obejmuje sprzedawców B2B, B2C oraz na platformach (Amazon, Etsy, eBay). Jeśli firma nie jest zarejestrowana ani w UE, ani w UK, ale kieruje ofertę do obu, musi wyznaczyć przedstawicieli w obu regionach. Jeśli jest zarejestrowana w jednym, potrzebuje przedstawiciela tylko dla drugiego. Jeśli w obu, nie potrzebuje przedstawiciela dla żadnego z nich.

Realistyczne scenariusze: jaki obowiązek obowiązuje?

• Firma SaaS z USA sprzedająca do UE i UK: Firma SaaS z USA z klientami w obu regionach musi wyznaczyć przedstawiciela GDPR UE i UK. REP27 może wydać oba wyznaczenia w jednym zamówieniu za 390 €/rok, dostarczając dwa certyfikaty i tekst polityki prywatności dla obu terytoriów. Upraszcza to zgodność i zmniejsza obciążenia administracyjne w porównaniu z oddzielnymi dostawcami.
• Chiński sprzedawca Amazon wysyłający do Niemiec i UK: Sprzedawca na Amazon.de i Amazon.co.uk wysyłający do obu krajów musi wyznaczyć przedstawicieli UE i UK. Usługi łączone to najprostsza droga, zapewniająca spełnienie obu obowiązków i zmniejszająca ryzyko niespójnej dokumentacji lub pominięcia odnowienia.
• Sklep internetowy z UK sprzedający tylko na UK: Firma z UK, która nie kieruje oferty do mieszkańców UE ani ich nie monitoruje, nie potrzebuje przedstawiciela UE. Jako firma z UK jest zwolniona z obowiązku przedstawiciela UK. Nie wymaga się przedstawiciela z Art. 27.
• Firma z UE sprzedająca tylko do UK: Firma z Irlandii lub Niemiec sprzedająca do UK musi wyznaczyć przedstawiciela UK, ale nie potrzebuje przedstawiciela UE dla własnego terytorium.
• Sprzedawcy na platformach (Amazon, Etsy, eBay): Sprzedawcy spoza UE/UK korzystający z tych platform, aby dotrzeć do klientów UE lub UK, muszą wyznaczyć odpowiednich przedstawicieli. Niektórzy dostawcy, jak REP27, oferują usługi łączone specjalnie dla sprzedawców na platformach, upraszczając zgodność.

Ryzyka i kary za niezgodność

Brak zgodności z Art. 27 GDPR lub UK GDPR może mieć poważne konsekwencje. Organy nadzorcze mogą nałożyć kary administracyjne do 10 mln € lub 2% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa (Art. 83 RODO). Na przykład holenderski organ ukarał Locatefamily.com karą 525 000 € za brak wyznaczenia przedstawiciela. Oprócz kar finansowych organy mogą nakazać zaprzestanie przetwarzania danych osobowych lub ograniczyć działalność firmy w UE lub UK.

Ryzyka nie ograniczają się do kar. Jeśli przedstawiciel wygaśnie z powodu pominięcia odnowienia lub jeśli polityka prywatności nie zawiera poprawnych danych obu przedstawicieli, możesz zostać uznany za naruszającego prawo. Może to skutkować dochodzeniami, utratą reputacji i zaufania klientów. Korzystanie z usług łączonych zmniejsza ryzyko błędów administracyjnych i zapewnia aktualność oraz weryfikowalność obu wyznaczeń.

Wreszcie, brak terminowej odpowiedzi na żądania osób lub organów może być również traktowany jako naruszenie. Upewnij się, że Twój dostawca oferuje niezawodne biuro obsługi zgłoszeń oraz że masz wewnętrzne procedury obsługi przekazanych żądań w ustawowych terminach.