Jak porównać dostawców przedstawicieli GDPR UE i Wielkiej Brytanii

• Artykuł 27 GDPR wymaga przedstawiciela w UE dla firm spoza UE
• Kary mogą sięgać 10 mln € lub 2% globalnego obrotu
• REP27 obejmuje UE i Wielką Brytanię w jednym zamówieniu, ceny od 290 do 990 €/rok
• Nie każda firma potrzebuje usługi: decyzja wg profilu
• Porównaj zakres usług, ograniczenia i ukryte koszty
• Sprawdź, czy dostawca ma siedzibę w wymaganych krajach

Zaktualizowane 26 October 2026 · 6 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 26 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Co wymaga prawo: Artykuł 27 GDPR i UK GDPR

Artykuł 27 GDPR nakłada obowiązek, aby każda firma spoza Unii Europejskiej oferująca towary, usługi lub monitorująca zachowanie osób w UE wyznaczyła na piśmie przedstawiciela mającego siedzibę w państwie członkowskim UE (źródło). Podobna zasada obowiązuje w Wielkiej Brytanii po Brexicie, wymagając lokalnego przedstawiciela dla firm zagranicznych przetwarzających dane mieszkańców UK. Wyznaczenie jest obowiązkowe nawet jeśli firma nie ma fizycznej obecności w UE lub UK. Nieprzestrzeganie grozi karami do 10 mln € lub 2% globalnego rocznego obrotu, w zależności co jest wyższe. Przykład praktyczny: Locatefamily.com ukarano grzywną 525.000 € za brak przedstawiciela.

Przedstawiciel musi być dostępny do komunikacji z organami ochrony danych i osobami, których dane dotyczą. Nie dotyczy to organów publicznych ani firm przetwarzających dane tylko okazjonalnie i bez ryzyka dla praw i wolności osób. Przedstawiciel jest punktem kontaktowym dla zgłoszeń osób i organów, ale nie zastępuje Inspektora Ochrony Danych (IOD).

Kluczowe jest, aby przedstawiciel miał siedzibę na wymaganym terytorium, gdyż wyznaczenie przez podmiot spoza UE lub UK nie jest ważne przed lokalnymi organami.

Jak wybrać: praktyczne kryteria porównania dostawców

Wybór odpowiedniego przedstawiciela jest kluczowy, aby uniknąć ryzyk i niepotrzebnych kosztów. Oceń następujące kryteria:

• Siedziba: Przedstawiciel musi mieć siedzibę w UE (i/lub UK). Na przykład REP27 ma podmioty w Czechach (UE) i Wielkiej Brytanii, co pozwala objąć oba systemy jednym zamówieniem.
• Publikowana cena: Porównaj roczne opłaty i odnowienia. REP27 oferuje plany od 290 do 990 €/rok (UE) i 390 do 990 €/rok (UE+UK), konkurenci od 490 € do 1.450 £/rok.
• Zakres usług: Certyfikat, wording do polityki prywatności, biuro obsługi zgłoszeń, języki, przechowywanie rejestrów (Art. 30), ocena Szwajcarii (REP27), ubezpieczenie odpowiedzialności (EU Shield).
• Ograniczenia i wyłączenia: Liczba zgłoszeń, wyłączenia sektorów lub typów danych (REP27 nie przyjmuje danych wrażliwych, dużych wolumenów, sektorów regulowanych itd.).
• Proces wyznaczenia: Łatwość, czas realizacji (REP27: do 24h), zsynchronizowane odnowienia, wystawianie weryfikowalnych certyfikatów.

Sprawdź też, czy dostawca oferuje wording w wielu językach (przydatne dla stron wielojęzycznych) oraz czy wspiera synchronizację odnowień obu terytoriów, by uniknąć przerw w zgodności.

Co faktycznie obejmuje cena (a co nie)

Nie wszyscy dostawcy oferują te same usługi w cenie podstawowej. Szczegółowa analiza zakresu usług zapobiega niespodziankom i ukrytym kosztom. Porównanie:

REP27 jasno określa, co jest wliczone i wyłączone: plan Podstawowy do 10 zgłoszeń rocznie; nielimitowane w wyższych planach. Wlicza wording do polityki prywatności w 8 językach i bezpłatną ocenę dla Szwajcarii (Art. 14 nFADP). Nie obejmuje danych wrażliwych, usług dla dzieci, dużych wolumenów, sektorów regulowanych, treści dla dorosłych, gier, kryptowalut, broni ani farmaceutyków konsumenckich. Inni dostawcy nie podają publicznie ograniczeń ani wyłączeń.

Zaleca się przed podpisaniem umowy prosić o szczegółowe informacje o limitach i wyłączeniach, zwłaszcza dla firm z sektorów wrażliwych lub dużym wolumenem danych.

Ukryte koszty i wyłączenia: czego dostawcy zwykle nie mówią

Porównując dostawców, ważne jest, by analizować nie tylko cenę wyjściową, ale też ukryte koszty i wyłączenia w umowie. Kluczowe punkty:

• Limity wolumenu: REP27 ogranicza do 10 zgłoszeń rocznie w planie Podstawowym; nielimitowane w planach Standard/Multi. Inni dostawcy nie podają limitów publicznie.
• Jasne wyłączenia: REP27 nie przyjmuje danych wrażliwych (Art. 9/10), usług dziecięcych, dużych wolumenów, sektorów regulowanych, treści dla dorosłych, gier, kryptowalut, broni, farmaceutyków konsumenckich ani działalności wymagającej licencji.
• Odnowienia i rabaty: REP27 oferuje rabat na coroczne odnowienie (np. plan Podstawowy spada z 290 € do 240 €/rok dla jednego terytorium, 320 € dla obu). Inni dostawcy nie podają polityki odnowień ani rabatów.
• Ubezpieczenie odpowiedzialności: Tylko EU Shield wspomina o ubezpieczeniu odpowiedzialności zawodowej, co jest ważne dla firm dbających o ryzyka prawne.
• Okresy wypowiedzenia: REP27 wymaga pisemnego wypowiedzenia z co najmniej 30-dniowym wyprzedzeniem. Inni dostawcy nie podają publicznie terminów wypowiedzenia.
• Usługi niewliczone: Żaden dostawca, w tym REP27, nie pełni funkcji działu zgodności, IOD, doradztwa prawnego ani nie odpowiada na zgłoszenia merytorycznie. Rola polega na przekazywaniu i formalnym przedstawicielstwie.

Zawsze żądaj pełnej umowy i dokładnie czytaj wyłączenia oraz warunki odnowienia przed podpisaniem. Zapobiega to niespodziankom i zapewnia ciągłą zgodność.

Jak przebiega nominacja: praktyczny przewodnik krok po kroku

Proces wyznaczenia przedstawiciela GDPR jest prosty, ale wymaga uwagi na szczegóły. Typowy przebieg z REP27 i punkty porównania z innymi dostawcami:

1. Wybór dostawcy i planu: Wybierz plan odpowiedni do wolumenu zgłoszeń i terytoriów (UE, UK lub oba).
2. Wypełnienie formularza: Podaj dane firmy, opis przetwarzania i kraje docelowe. W REP27 jeden formularz obejmuje oba terytoria, unikając powielania danych.
3. Weryfikacja i wydanie: Specjalista sprawdza dokumenty. REP27 wydaje dwie nominacje (UE i UK) tego samego dnia, każdą podpisaną przez lokalny podmiot (Europe Services, SE dla UE; REP27 LTD dla UK).
4. Odbiór certyfikatów: Otrzymujesz dwa certyfikaty, dwa kody weryfikacyjne i wording w 8 językach. Każdy certyfikat jest weryfikowalny przez QR kod i stronę publiczną.
5. Aktualizacja polityki prywatności: Dodaj dostarczone linijki na swojej stronie. Uwaga: jeden komunikat dla obu terytoriów jest błędny; każdy organ wymaga wzmianki o lokalnym podmiocie.
6. Coroczne odnowienie: REP27 synchronizuje odnowienia obu terytoriów, unikając przerw. Rabat na odnowienie stosowany automatycznie.

Inni dostawcy mogą wymagać oddzielnych procesów dla UE i UK, z różnymi formularzami, terminami odnowienia i wordingiem. Zwiększa to ryzyko niespójności i przerw w zgodności.

Lista kontrolna dla kupujących:

1. Sprawdź, czy twoja firma jest spoza UE/UK i oferuje towary/usługi lub monitoruje mieszkańców.
2. Potwierdź, że nie jesteś zwolniony (działalność okazjonalna, niskie ryzyko, sektor publiczny).
3. Wybierz dostawców z siedzibą na wymaganym terytorium.
4. Porównaj ceny, limity, zakres usług i wyłączenia.
5. Zażądaj formalnego wyznaczenia i weryfikowalnego certyfikatu.
6. Zaktualizuj politykę prywatności odpowiednimi zapisami.
7. Zaplanuj odnowienie i prowadź rejestry do audytu.

Ryzyka, kary i konsekwencje braku zgodności

Niezastosowanie się do Artykułu 27 GDPR może mieć poważne konsekwencje. Kara może sięgnąć 10 mln € lub 2% globalnego rocznego obrotu, w zależności co jest wyższe (źródło). Przykład: Locatefamily.com ukarano 525.000 € za brak przedstawiciela w UE. Poza karami istnieje ryzyko blokady operacji, kontroli organów ochrony danych i poważnych szkód reputacyjnych.

Przedstawiciel jest formalnym punktem kontaktowym dla osób i organów. Bez niego firma może być uznana za "nieosiągalną" przez organy, co zwiększa ryzyko sankcji. Brak przedstawiciela może też utrudnić zawieranie umów z partnerami europejskimi, którzy często wymagają dowodu zgodności jako warunku współpracy.

Innym ryzykiem jest niespójność dokumentacji: korzystając z dwóch różnych dostawców dla UE i UK, mogą pojawić się rozbieżności w rejestrach, wordingach i terminach odnowienia, co może budzić wątpliwości podczas audytów. REP27 zmniejsza to ryzyko, wydając oba certyfikaty razem, z zsynchronizowanym wordingiem i terminami.

Podsumowanie ryzyk:

• Wysokie i natychmiastowe kary
• Blokada operacji i umów
• Szkody reputacyjne
• Utrata szans biznesowych
• Ryzyko niespójności dokumentacji

Praktyczne scenariusze: jakie obowiązki obowiązują? Przykłady

• Amerykański SaaS sprzedający do UE i UK: Potrzebuje przedstawiciela w obu terytoriach. Najprostsze rozwiązanie to REP27, który obejmuje UE i UK w jednym zamówieniu, obniżając koszty i unikając niespójności. SaaS otrzymuje dwa certyfikaty, wording dla każdego terytorium i zsynchronizowane odnowienie.
• Chiński sprzedawca na Amazon Europe: Jeśli zbiera dane klientów bezpośrednio (np. listy e-mail, własne CRM), potrzebuje przedstawiciela w UE. Jeśli korzysta tylko z marketplace i nie przetwarza danych poza platformą, może być objęty ochroną. REP27 oferuje wording i certyfikat dla marketplace, ale nie obejmuje dużych wolumenów ani sektorów regulowanych.
• Sklep internetowy z UK sprzedający do Francji: Potrzebuje przedstawiciela w UE, ale nie w UK. REP27 szybko wystawia nominację UE z wordingiem po francusku. Nie potrzebuje przedstawiciela w UK, jeśli jest tam już zarejestrowany.

Decyzja wg profilu: