Jak porovnat poskytovatele právního zástupce pro firmy mimo EU

• Povinnost pro firmy mimo EU, které zpracovávají data rezidentů EU (Článek 27 GDPR)
• Roční ceny zveřejněné: od 290 EUR do více než 1 500 USD
• Zahrnuté služby a pokrytí se liší mezi poskytovateli
• Rychlé jmenování a ověřitelné certifikáty: ne vždy součástí
• Rizika: pokuty až 10 milionů eur nebo 2 % obratu

Aktualizováno 26 October 2026 · 8 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 26 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co vyžaduje zákon: Článek 27 GDPR a Data Act

Článek 27 GDPR ukládá správcům a zpracovatelům, kteří nejsou usazeni v EU, ale nabízejí zboží nebo služby osobám v EU nebo sledují chování rezidentů EU, povinnost jmenovat zástupce v Unii. Tento zástupce slouží jako kontaktní místo pro orgány na ochranu osobních údajů a subjekty údajů, usnadňuje komunikaci a vyřizování žádostí.

Nejmenování se považuje za samostatný přestupek, který může být pokutován až do výše 10 milionů eur nebo 2 % celosvětového ročního obratu, jak stanoví Článek 83(4)(a) GDPR. Příkladem je pokuta 525 000 eur udělená Locatefamily.com nizozemským úřadem za nevyjmenování zástupce.

• Písemná povinnost: jmenování musí být formálně písemné (Čl. 27(1) GDPR).
• Rychlá odpověď: zástupce musí včas reagovat na žádosti úřadů a subjektů údajů.
• Správa záznamů: povinnost vést a na vyžádání předkládat záznamy o zpracování (Čl. 30 GDPR).
• Data Act: pro poskytovatele cloudových služeb mimo EU, kteří prodávají služby v Unii, Data Act ukládá jmenování zástupce a specifická pravidla pro přepínání, přenositelnost a mazání dat.
• Švýcarsko: Článek 14 nFADP ukládá jmenování zástupce pouze pokud jsou splněny všechny podmínky (nabídka rezidentům, rozsáhlé zpracování, pravidelnost, vysoké riziko).

Právní zástupce EU není vyžadován pro firmy již usazené v EU ani pro ty, které nezpracovávají data rezidentů EU.

Jak vybrat poskytovatele: praktická kritéria a srovnání služeb

Výběr poskytovatele právního zástupce EU by měl být založen na objektivních a ověřitelných kritériích. Hlavními faktory jsou:

• Zveřejněná roční cena: preferujte poskytovatele s transparentními a ověřenými cenami.
• Doba jmenování: někteří poskytovatelé, jako REP27, garantují jmenování do 24 hodin.
• Geografické pokrytí: ověřte, zda služba pokrývá pouze EU nebo i celé Evropské hospodářské pásmo (EHP) a Švýcarsko (hodnocení, nikoli přímé zastoupení).
• Certifikáty a jmenovací dopisy: přítomnost ověřitelných certifikátů (QR kód, elektronický podpis) zvyšuje bezpečnost a sledovatelnost.
• Dostupné jazyky: vícejazyčná dokumentace (např. oznámení o ochraně soukromí v 8 jazycích u REP27) usnadňuje soulad v různých zemích.
• Doplňkové služby: někteří poskytovatelé zahrnují švýcarské hodnocení, externího DPO, školení nebo dashboard pro compliance.

Tabulka zahrnutí/vyloučení:

Transparentnost ohledně zahrnutých služeb je klíčová: vždy požadujte podrobný seznam zahrnutých služeb a případných dodatečných poplatků před podpisem smlouvy.

Co skutečně cena zahrnuje: pozor na skryté náklady

Zveřejněná cena u každého poskytovatele může pokrývat pouze základní službu právního zástupce, zatímco další služby mohou být volitelné nebo za příplatek. Zvažte následující:

• Jmenovací dopis a elektronický podpis: zásadní pro důkaz souladu, ale ne vždy dostupné v ověřitelné podobě.
• Ověřitelný certifikát: REP27 nabízí certifikát s QR kódem a veřejnou ověřitelností, vhodný pro audity a kontroly.
• Přeposílání žádostí: ověřte garantované doby odezvy (např. REP27: přeposílání do 2 pracovních dnů).
• Vícejazyčné oznámení o ochraně soukromí: důležité pro firmy působící ve více zemích EU.
• Záznamy dle Čl. 30 GDPR: správa záznamů může být zahrnuta nebo ne; ověřte, zda je poskytovatel vede a předkládá na vyžádání.
• Švýcarské hodnocení nFADP: REP27 jej zahrnuje, jiní poskytovatelé to nespecifikují.

Někteří poskytovatelé, jako DataShield, zahrnují doplňkové služby (externí DPO, školení, dashboard), ale cena začíná na 1 500 USD/rok. EaseCert nabízí jednorázovou platbu, vhodnou pro ty, kdo hledají řešení bez pravidelných poplatků. Vždy se informujte o případných nákladech na aktualizace, dodatečné žádosti, onboarding nebo další dokumentaci.

Jak probíhá jmenování: krok za krokem a požadované dokumenty

1. Ověření povinnosti: Zjistěte, zda vaše firma nabízí zboží/služby nebo sleduje rezidenty EU bez právní sídla v Unii.
2. Výběr poskytovatele: Porovnejte ceny, zahrnuté služby, dobu odezvy a geografické pokrytí.
3. Sběr dat: Poskytněte poskytovateli informace o firmě, detaily o zpracování, oznámení o ochraně soukromí a případně záznamy dle Čl. 30 GDPR.
4. Formální jmenování: Obdržíte podepsaný (elektronicky, pokud je to možné) jmenovací dopis a certifikát zastoupení. REP27 garantuje vydání do 24 hodin.
5. Publikace: Aktualizujte zásady ochrany soukromí a oficiální firemní kanály s údaji o zástupci EU.
6. Průběžná správa: Udržujte záznamy o zpracování aktuální a zajistěte, aby zástupce byl informován o změnách.

Praktický kontrolní seznam:

1. Ověřte, zda nabízíte zboží/služby nebo sledujete rezidenty EU
2. Zkontrolujte, zda máte právní sídlo v EU
3. Porovnejte zveřejněné ceny a zahrnuté služby
4. Požádejte o detaily k době jmenování a certifikaci
5. Zeptejte se na vícejazyčné oznámení a švýcarské hodnocení
6. Ověřte možné dodatečné náklady za žádosti nebo aktualizace
7. Postupujte s písemným jmenováním a aktualizujte zásady ochrany soukromí

Jmenování platí po dobu trvání smluvního vztahu a může být kdykoli aktualizováno nebo odvoláno s oznámením úřadům a aktualizací veřejné dokumentace.

Rizika, pokuty a co se stane, když nezjmenujete

Nejmenování zástupce EU přináší reálná rizika a významné sankce. Podle Článku 83(4)(a) GDPR mohou pokuty dosáhnout až 10 milionů eur nebo 2 % celosvětového ročního obratu, podle toho, která částka je vyšší. Orgány mohou navíc:

• Zastavit zpracování dat v EU
• Uvalit provozní omezení nebo další povinnosti
• Požadovat vymazání nezákonně získaných dat
• Poškodit reputaci firmy s negativními dopady na zákazníky a partnery

Příkladem je pokuta 525 000 eur udělená Locatefamily.com za nevyjmenování zástupce. I prodlení s odpověďmi na žádosti úřadů či subjektů údajů může zhoršit pozici firmy a vést k dalším kontrolám či sankcím.

Riziko se netýká jen velkých firem: i malé a střední podniky a prodejci na tržištích podléhají povinnosti, pokud zpracovávají data rezidentů EU. Nedodržení může také znemožnit přístup na evropské trhy a strategická partnerství.

Rozhodovací matice: kdo službu skutečně potřebuje?

Rozhodnutí závisí na tom, kde jsou vaši zákazníci a zda zpracováváte osobní údaje rezidentů EU. I prodejci na tržištích jako Amazon, Etsy nebo eBay podléhají povinnosti, pokud nemají sídlo v EU a prodávají evropským zákazníkům.

Co poskytovatelé obvykle nezmiňují: výjimky a omezení

• Někteří poskytovatelé účtují dodatečné poplatky za aktualizace, časté žádosti nebo onboarding: vždy ověřte smluvní transparentnost.
• Ne všichni vydávají ověřitelné certifikáty nebo digitálně podepsané dopisy: může to ztížit prokazování souladu při auditech.
• Pokrytí může vylučovat Norsko, Island, Lichtenštejnsko nebo Švýcarsko: vždy ověřte, zda služba platí pro celé EHP nebo jen EU.
• Odpovědnost poskytovatele je často smluvně omezena a nepokrývá případné pokuty uložené klientovi.
• Časy odezvy na žádosti nejsou vždy smluvně garantovány: explicitně požadujte SLA a postup eskalace.
• Služby jako švýcarské hodnocení nFADP jsou vzácné a často nejsou součástí, s výjimkou například REP27.

Před podpisem vždy vyžadujte podrobný seznam zahrnutého, vyloučeného a podmínky odstoupení či změny poskytovatele.

3 realistické scénáře: jakou povinnost a cestu zvolit

• SaaS USA: Nabízí služby klientům v EU bez sídla v EU. Musí jmenovat zástupce dle Čl. 27 GDPR. Postup: vybrat poskytovatele s pokrytím EHP, obdržet dopis/certifikát, aktualizovat zásady ochrany soukromí a dokumentaci.
• Prodejce na Amazonu z Číny: Prodává na tržišti EU bez sídla v EU. Povinnost dle Čl. 27 GDPR. Postup: jmenovat zástupce, zveřejnit údaje v zásadách ochrany soukromí, spravovat žádosti úřadů a zákazníků přes zástupce.
• Online obchod UK po Brexitu: Prodává zákazníkům v EU bez sídla v EU. Povinnost právního zástupce EU, ne UK. Postup: jmenovat zástupce EU, aktualizovat dokumenty a zásady ochrany soukromí, ověřit, zda je potřeba i zástupce pro UK.

Ve všech případech by volba poskytovatele měla vycházet z transparentnosti, rychlosti jmenování a zahrnutých služeb. Nejménění zástupce vystavuje firmu právním a obchodním rizikům.