Jak porównać dostawców reprezentacji prawnej dla firm spoza UE

• Obowiązek dla firm spoza UE przetwarzających dane mieszkańców UE (Art. 27 GDPR)
• Opublikowane ceny roczne: od 290 EUR do ponad 1 500 USD
• Zakres usług i zasięg różnią się w zależności od dostawcy
• Szybkie wyznaczenie i weryfikowalne certyfikaty: nie zawsze w cenie
• Ryzyka: kary do 10 mln euro lub 2% rocznego obrotu

Zaktualizowane 26 October 2026 · 8 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 26 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Co wymaga prawo: Artykuł 27 GDPR i Data Act

Artykuł 27 GDPR nakłada na administratorów i podmioty przetwarzające dane spoza UE, którzy oferują towary lub usługi osobom w UE lub monitorują zachowanie mieszkańców UE, obowiązek wyznaczenia przedstawiciela w Unii. Przedstawiciel ten pełni rolę punktu kontaktowego dla organów ochrony danych i osób, których dane dotyczą, ułatwiając komunikację i obsługę zgłoszeń.

Brak wyznaczenia jest samodzielnym naruszeniem, karanym grzywną do 10 milionów euro lub 2% rocznego obrotu globalnego, zgodnie z Art. 83(4)(a) GDPR. Przykładem jest kara 525 000 euro nałożona na Locatefamily.com przez holenderski organ za brak przedstawiciela.

• Obowiązek pisemny: wyznaczenie musi być dokonane na piśmie (Art. 27(1) GDPR).
• Szybka odpowiedź: przedstawiciel powinien niezwłocznie odpowiadać na zapytania organów i osób.
• Zarządzanie rejestrami: obowiązek prowadzenia i udostępniania na żądanie rejestrów czynności przetwarzania (Art. 30 GDPR).
• Data Act: dla dostawców chmurowych spoza UE sprzedających usługi w UE, Data Act wymaga wyznaczenia przedstawiciela oraz reguł dotyczących przełączania, przenoszenia i usuwania danych.
• Szwajcaria: Art. 14 nFADP wymaga wyznaczenia przedstawiciela tylko jeśli spełnione są wszystkie warunki (oferta dla mieszkańców, przetwarzanie na dużą skalę, regularność, wysokie ryzyko).

Reprezentacja UE nie jest wymagana dla firm już zarejestrowanych w UE ani dla tych, które nie przetwarzają danych mieszkańców UE.

Jak wybrać dostawcę: praktyczne kryteria i porównanie usług

Wybór dostawcy reprezentacji prawnej UE powinien opierać się na obiektywnych i weryfikowalnych kryteriach. Główne elementy do oceny to:

• Opublikowana cena roczna: preferuj dostawców z transparentnymi i zweryfikowanymi cenami.
• Czas wyznaczenia: niektórzy dostawcy, jak REP27, gwarantują wyznaczenie w ciągu 24 godzin.
• Zasięg geograficzny: sprawdź, czy usługa obejmuje tylko UE, czy także całe Europejskie Obszar Gospodarczy (EOG) i Szwajcarię (ocena, nie bezpośrednia reprezentacja).
• Certyfikaty i listy wyznaczenia: obecność weryfikowalnych certyfikatów (kod QR, podpis elektroniczny) zapewnia większe bezpieczeństwo i śledzenie.
• Dostępne języki: wielojęzyczna dokumentacja (np. powiadomienie o prywatności w 8 językach w REP27) ułatwia zgodność w wielu krajach.
• Usługi dodatkowe: niektórzy dostawcy oferują ocenę Szwajcarii, zewnętrznego IOD, szkolenia lub panele compliance.

Tablica włączeń/wyłączeń:

Przejrzystość co do włączeń jest kluczowa: zawsze żądaj szczegółowej listy usług i ewentualnych dodatkowych opłat przed podpisaniem umowy.

Co naprawdę obejmuje cena: uwaga na ukryte koszty

Opublikowana cena każdego dostawcy może dotyczyć tylko podstawowej usługi reprezentacji, podczas gdy inne usługi mogą być opcjonalne lub wymagać dodatkowych opłat. Należy uwzględnić:

• List wyznaczenia i podpis elektroniczny: kluczowe dla dowodu zgodności, ale nie zawsze dostępne w formacie weryfikowalnym.
• Weryfikowalny certyfikat: REP27 oferuje certyfikat z kodem QR i publiczną weryfikacją, przydatny podczas audytów.
• Przekazywanie zapytań: sprawdź gwarantowane czasy odpowiedzi (np. REP27: przekazanie w ciągu 2 dni roboczych).
• Wielojęzyczne powiadomienie o prywatności: ważne dla firm działających w wielu krajach UE.
• Rejestry Art. 30 GDPR: zarządzanie rejestrami może być w cenie lub nie; sprawdź, czy dostawca je prowadzi i udostępnia na żądanie.
• Ocena Szwajcarii nFADP: REP27 oferuje ją w cenie, inni dostawcy często nie podają informacji.

Niektórzy dostawcy, jak DataShield, oferują usługi dodatkowe (IOD, szkolenia, panel), ale cena zaczyna się od 1 500 USD rocznie. EaseCert proponuje jednorazową opłatę, korzystną dla tych, którzy chcą uniknąć abonamentu. Zawsze pytaj o koszty aktualizacji, dodatkowych zapytań, onboardingu czy dokumentacji.

Jak przebiega wyznaczenie: krok po kroku i wymagane dokumenty

1. Weryfikacja obowiązku: Sprawdź, czy Twoja firma oferuje towary/usługi lub monitoruje mieszkańców UE bez siedziby w Unii.
2. Wybór dostawcy: Porównaj ceny, włączone usługi, czas reakcji i zasięg geograficzny.
3. Zbieranie danych: Przekaż dostawcy informacje o firmie, szczegóły przetwarzania, powiadomienie o prywatności oraz, jeśli wymagane, rejestry Art. 30 GDPR.
4. Formalne wyznaczenie: Otrzymaj podpisany list wyznaczenia (elektronicznie, jeśli przewidziano) oraz certyfikat reprezentacji. REP27 gwarantuje wydanie w 24 godziny.
5. Publikacja: Zaktualizuj politykę prywatności i oficjalne kanały firmy o dane przedstawiciela UE.
6. Zarządzanie bieżące: Utrzymuj aktualne rejestry czynności przetwarzania i informuj przedstawiciela o zmianach.

Praktyczna lista kontrolna:

1. Sprawdź, czy oferujesz towary/usługi lub monitorujesz mieszkańców UE
2. Zweryfikuj, czy masz już siedzibę w UE
3. Porównaj opublikowane ceny i włączone usługi
4. Zapytaj o czas wyznaczenia i certyfikację
5. Sprawdź, czy są włączone wielojęzyczne powiadomienia i ocena Szwajcarii
6. Zweryfikuj dodatkowe koszty za zapytania lub aktualizacje
7. Przystąp do wyznaczenia na piśmie i zaktualizuj politykę prywatności

Wyznaczenie jest ważne tak długo, jak trwa umowa i może być aktualizowane lub odwołane w dowolnym momencie, z powiadomieniem organów i aktualizacją dokumentacji publicznej.

Ryzyka, kary i co się dzieje, gdy nie wyznaczysz

Brak wyznaczenia przedstawiciela UE wiąże się z realnymi ryzykami i poważnymi sankcjami. Zgodnie z Art. 83(4)(a) GDPR, kary mogą sięgać do 10 milionów euro lub 2% rocznego obrotu globalnego, w zależności od wyższej wartości. Organy mogą także:

• Zablokować przetwarzanie danych w UE
• Nakładać ograniczenia operacyjne lub dodatkowe obowiązki
• Żądać usunięcia nielegalnie zebranych danych
• Naruszyć reputację firmy, wpływając negatywnie na klientów i partnerów

Przykładem jest kara 525 000 euro nałożona na Locatefamily.com za brak wyznaczenia. Opóźnienia w odpowiedziach na zapytania organów lub osób mogą pogorszyć sytuację firmy i skutkować dodatkowymi kontrolami lub sankcjami.

Ryzyko dotyczy nie tylko dużych firm: także MŚP i sprzedawcy na platformach marketplace podlegają obowiązkowi, jeśli przetwarzają dane mieszkańców UE. Brak zgodności może też zamknąć dostęp do rynków i strategicznych partnerstw w Europie.

Macierz decyzyjna: kto naprawdę potrzebuje usługi?

Decyzja zależy od lokalizacji Twoich klientów i czy przetwarzasz dane osobowe mieszkańców UE. Sprzedawcy na platformach takich jak Amazon, Etsy czy eBay również podlegają obowiązkowi, jeśli nie mają siedziby w UE i sprzedają klientom europejskim.

Czego dostawcy zwykle nie mówią: wyłączenia i ograniczenia

• Niektórzy dostawcy nakładają dodatkowe opłaty za aktualizacje, częste zapytania lub onboarding: zawsze sprawdzaj przejrzystość umowy.
• Nie wszyscy wydają weryfikowalne certyfikaty lub listy podpisane cyfrowo: może to utrudnić dowód zgodności podczas audytu.
• Zasięg może wykluczać Norwegię, Islandię, Liechtenstein lub Szwajcarię: zawsze sprawdzaj, czy usługa obejmuje cały EOG czy tylko UE.
• Odpowiedzialność dostawcy jest często ograniczona umownie i nie obejmuje kar nałożonych na klienta.
• Czasy reakcji na zapytania nie zawsze są gwarantowane umownie: wyraźnie pytaj o SLA i procedury eskalacji.
• Usługi takie jak ocena Szwajcarii nFADP są rzadkie i często nie wliczone, z wyjątkiem np. REP27.

Przed podpisaniem zawsze żądaj szczegółowej listy tego, co jest wliczone, co wyłączone oraz warunków odstąpienia lub zmiany dostawcy.

3 realistyczne scenariusze: jaki obowiązek i ścieżkę wybrać

• USA SaaS: Oferuje usługi klientom UE bez siedziby w UE. Musi wyznaczyć przedstawiciela zgodnie z Art. 27 GDPR. Ścieżka: wybierz dostawcę z zasięgiem EOG, odbierz listę/certyfikat, zaktualizuj politykę prywatności i dokumentację.
• Sprzedawca Amazon z Chin: Sprzedaje na rynku UE bez siedziby w UE. Obowiązek Art. 27 GDPR. Ścieżka: wyznaczenie przedstawiciela, publikacja danych w polityce prywatności, obsługa zapytań od organów i klientów przez przedstawiciela.
• Sklep online UK po Brexicie: Sprzedaje klientom UE bez siedziby w UE. Obowiązek reprezentacji UE, nie UK. Ścieżka: wyznaczenie przedstawiciela UE, aktualizacja dokumentów i polityki prywatności, sprawdzenie potrzeby przedstawiciela UK dla klientów brytyjskich.

We wszystkich przypadkach wybór dostawcy powinien opierać się na przejrzystości, szybkości wyznaczenia i włączonych usługach. Brak wyznaczenia naraża na ryzyka prawne i biznesowe.