Kdo musí jmenovat zástupce GDPR v EU?

• Článek 27 GDPR vyžaduje, aby většina podniků mimo EU zpracovávajících data EU jmenovala zástupce v EU.
• Výjimky: příležitostné, nízkorizikové zpracování nebo činnosti související s národní bezpečností/obranou.
• Zástupce musí být usazen v členském státě EU, kde se nacházejí subjekty údajů.
• Kontaktní údaje musí být poskytnuty subjektům údajů i úřadům.
• Nesplnění může vést k pokutám až do výše 10 milionů eur nebo 2 % celosvětového obratu.
• Poskytovatelé nabízejí různé úrovně služeb: pouze adresa, plná mandátní služba nebo právní zastoupení.
• Ceny se výrazně liší; běžné jsou skryté poplatky za jednotlivé požadavky nebo obnovu.

Aktualizováno 16 October 2026 · 8 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 16 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co vyžaduje článek 27 GDPR

Článek 27 GDPR stanoví jasnou povinnost: každý správce nebo zpracovatel, který není usazen v EU, ale podléhá článku 3 odst. 2 (nabízí zboží nebo služby jednotlivcům v EU nebo sleduje jejich chování), musí před zahájením zpracování osobních údajů písemně jmenovat zástupce v EU. Toto pravidlo zajišťuje, že subjekty údajů a dozorové orgány v EU mají místní kontaktní místo pro záležitosti ochrany soukromí, i když je společnost mimo EU.

Existují důležité výjimky. Článek 27 se neuplatňuje, pokud:

• Vaše zpracování je pouze příležitostné, nezahrnuje rozsáhlé zpracování zvláštních kategorií údajů a pravděpodobně nepředstavuje riziko pro práva a svobody jednotlivců.
• Vaše činnosti souvisejí s národní bezpečností nebo obranou.

Zástupce musí být usazen v jednom z členských států EU, kde se nacházejí subjekty údajů, jejichž data zpracováváte. Jmenování musí být písemné a zástupce musí být oprávněn jednat vaším jménem ve vztahu k povinnostem podle GDPR. Kontaktní údaje zástupce musí být poskytnuty jak subjektům údajů, tak dozorovým orgánům a zveřejněny ve vašem oznámení o ochraně soukromí.

Porušení je samostatným přestupkem podle článku 83 odst. 4 písm. a), který lze trestat pokutou až do výše 10 milionů eur nebo 2 % celosvětového obratu. Nizozemský úřad uložil společnosti Locatefamily.com pokutu 525 000 eur za toto porušení. Zástupce není štítem: článek 27 odst. 5 upřesňuje, že jmenování zástupce nebrání postihům vůči vaší společnosti samotné.

• Tabulka zahrnutých / nezahrnutých / extra poplatků

Jak vybrat zástupce GDPR

Výběr správného zástupce GDPR je klíčový pro soulad a efektivitu provozu. Poskytovatelé nabízejí tři hlavní úrovně služeb:

• Úroveň 1: Pouze adresa – Jednoduchá služba přeposílání pošty. Žádný mandát, žádné záznamy, žádné GDPR specifické povinnosti. Nejlevnější, ale nesplňuje požadavky článku 27.
• Úroveň 2: Jmenování – Písemný mandát, certifikát, žádostní kancelář a správa záznamů podle článku 30. To je to, co článek 27 očekává: poskytovatel písemně přijímá roli a povinnosti, drží záznamy a zavazuje se předávat žádosti v daném časovém rámci.
• Úroveň 3: Právní zastoupení – Právnická firma působí jako zástupce a zároveň poskytuje právní poradenství. Je to nákladné a nutné pouze pokud chcete průběžné právní poradenství, které není součástí role podle článku 27.

Při porovnávání poskytovatelů se zeptejte:

• Přijímá mandát explicitně úkoly podle článku 27?
• Kdo drží záznam podle článku 30 a jak je předkládán úřadům?
• Jaká je doba odezvy na přeposílání žádostí od úřadů?
• Jsou účtovány poplatky za jednotlivé žádosti nebo obnovu?
• Je k dispozici vícejazyčná podpora?

Někteří poskytovatelé, jako REP27, vydávají podepsaný jmenovací dopis a certifikát do 24 hodin, s vícejazyčnou podporou a bez poplatků za žádosti u plánů Standard a Multi. Jiní mohou účtovat poplatky za žádost nebo poskytovat pouze přeposílací adresu, což nesplňuje požadavky GDPR.

Rozhodovací matice:

Vždy si vyžádejte vzor jmenování poskytovatele před zaplacením. Pokud neuvádí a nepřijímá úkoly podle článku 27, nekupujete službu v souladu s GDPR.

Co cena skutečně zahrnuje

Ceny služeb zástupce GDPR se pohybují od méně než 300 € až po více než 2 000 € ročně. Tento rozdíl odráží rozsah poskytovaných služeb. Nízká cena může pokrývat pouze poštovní adresu, zatímco vyšší poplatek zahrnuje plný mandát, žádostní kancelář a správu záznamů. Klíčové součásti ke kontrole:

• Písemné přijetí úkolů podle článku 27: Poskytovatel musí formálně přijmout roli a povinnosti písemně.
• Certifikát a veřejná ověřitelnost: Ověřitelný certifikát poskytuje jistotu klientům, auditorům i úřadům. REP27 poskytuje certifikát s QR kódem a veřejnou ověřovací stránku.
• Vícejazyčná správa žádostí: Nezbytné pro pokrytí celé EU. REP27 nabízí 8 jazyků od plánu Standard.
• Správa záznamů podle článku 30: Poskytovatel by měl držet a předkládat záznamy úřadům. Toto je zahrnuto v plánech Standard a Multi od REP27.
• Poplatky za jednotlivé žádosti nebo zvýšení obnovy: Někteří poskytovatelé účtují 25–90 € za žádost nebo zvyšují ceny po prvním roce. Standardní plán REP27 nemá poplatky za žádosti a ceny obnovy klesají od druhého roku.

Porovnávejte, co je zahrnuto v každém plánu, nejen základní cenu. Například plán Base od REP27 pokrývá až 10 žádostí ročně, zatímco Standard a Multi nabízejí neomezené žádosti a správu záznamů. Mnoho konkurentů nezveřejňuje úplné detaily nebo je poskytuje pouze na vyžádání.

Vždy si vyžádejte cenu obnovy na druhý rok písemně, protože uváděcí ceny jsou běžné. Pro společnosti potřebující kombinované zastoupení v EU a UK někteří poskytovatelé (včetně REP27) nabízejí obě služby často se slevou.

Skryté náklady a vyloučení

Mnoho poskytovatelů inzeruje nízké roční poplatky, ale přidává významné poplatky za základní služby. Běžné skryté náklady zahrnují:

• Poplatky za žádost subjektu údajů: Někteří poskytovatelé účtují 25–90 € za žádost, což může rychle překročit roční předplatné, pokud obdržíte více žádostí za měsíc.
• Poplatky za zřízení nebo onboarding: Jednorázové poplatky 0–250 € jsou běžné. REP27 zahrnuje zřízení v ročním poplatku.
• Dodatečná jazyková podpora: Základní plány mohou pokrývat pouze angličtinu. Plány Standard a Multi od REP27 zahrnují 8 jazyků.
• Správa záznamů podle článku 30: Někteří poskytovatelé účtují 100–400 € ročně za držení a předkládání záznamů. REP27 to zahrnuje ve Standard a Multi plánech.
• Zvýšení ceny při obnově: Někteří poskytovatelé zvyšují ceny po prvním roce. Poplatky za obnovu u REP27 klesají na 240/390/690 € od druhého roku.

Právní poradenství, služby pověřence pro ochranu osobních údajů a audity souladu nejsou zahrnuty u REP27 ani většiny konkurentů. REP27 nevyřizuje žádosti věcně; pouze je přeposílá vám. Jmenování nezabraňuje přímému vymáhání vůči vaší společnosti.

Poskytovatelé tyto výluky a dodatečné poplatky často nezmiňují v marketingu. Vždy si pečlivě přečtěte mandát a podmínky služby před podpisem. Zeptejte se konkrétně na poplatky za žádosti, ceny obnovy a postup při změně či ukončení služby.

Jak probíhá jmenování: krok za krokem

1. Zhodnoťte použitelnost: Určete, zda jste správce nebo zpracovatel mimo EU podléhající článku 3 odst. 2 GDPR (nabízíte zboží/služby nebo sledujete jednotlivce v EU).
2. Identifikujte cílové země: Seznamte členské státy EU, kde se nacházejí vaši subjekty údajů. Váš zástupce musí být usazen alespoň v jedné z těchto zemí.
3. Vyberte poskytovatele: Porovnejte zveřejněné služby, ceny a podmínky poskytovatelů. Vyžádejte si vzor jmenování, abyste ověřili pokrytí povinností podle článku 27.
4. Zkontrolujte skryté poplatky: Zeptejte se na poplatky za žádosti, onboarding, jazykovou podporu a ceny obnovy.
5. Dokončete onboarding: Vyplňte formulář poskytovatele, uveďte údaje o společnosti, rozsah zpracování a kontaktní informace.
6. Obdržíte podepsaný mandát: Poskytovatel zkontroluje váš soubor a vydá podepsaný jmenovací dopis (REP27: do 24 hodin). Obdržíte také certifikát a ověřovací kód.
7. Aktualizujte oznámení o ochraně soukromí: Přidejte jméno, adresu a kontaktní údaje zástupce podle požadavků článku 13 odst. 1 písm. a).
8. Uchovávejte záznamy o souladu: Uchovejte podepsaný mandát, certifikát a záznamy podle článku 30 pro audity. Nezveřejňujte celý mandát ani obchodní podmínky.
9. Provoz: Poskytovatel zaznamenává a přeposílá žádosti subjektů údajů a úřadů v dohodnuté lhůtě. U REP27 do dvou pracovních dnů (nebo tentýž den u úřadů u plánů Standard/Multi).
10. Obnova nebo ukončení: Sledujte termíny obnovy a podmínky zrušení. REP27 umožňuje zrušení před obnovou a poskytuje písemné potvrzení.

Tento postup zajistí splnění požadavků článku 27 a připravenost na audity či regulační dotazy.

Rizika a pokuty za nesoulad

Jmenování zástupce EU není volitelné pro většinu podniků mimo EU zpracovávajících osobní údaje EU. Rizika nesouladu jsou významná:

• Samostatný přestupek: Nepřidělení zástupce je porušením podle článku 83 odst. 4 písm. a) GDPR, bez ohledu na to, zda došlo k úniku dat.
• Pokuty: Dozorové orgány mohou uložit pokuty až do výše 10 milionů eur nebo 2 % celosvětového ročního obratu, podle toho, co je vyšší. Například Locatefamily.com byla nizozemským úřadem pokutována částkou 525 000 eur za nesplnění této povinnosti.
• Přímé vymáhání: Jmenování zástupce nezbavuje vaši společnost odpovědnosti či vymáhání. Úřady mohou stále jednat přímo proti vaší firmě (článek 27 odst. 5).
• Provozní riziko: Bez zástupce nemusíte být schopni včas reagovat na žádosti subjektů údajů nebo regulační dotazy, což vede k dalším sankcím a poškození reputace.

Pro zmírnění těchto rizik zajistěte, aby váš poskytovatel vydal podepsaný mandát, držel váš záznam podle článku 30 (je-li vyžadován) a zavázal se k předávání žádostí v daném časovém rámci. Uchovávejte veškerou dokumentaci pro audity. Pokud poskytovatel nemůže za vaši firmu jednat (např. kvůli zakázaným činnostem), měl by vám plně vrátit peníze a poskytnout písemné potvrzení, jak to dělá REP27.

Co poskytovatelé obvykle neříkají

Mnoho poskytovatelů zástupců GDPR neuvádí úplně omezení a vyloučení svých služeb. Běžné opomenutí zahrnují:

• Pouze přeposílání pošty: Některé základní nabídky jsou jen poštovní adresou, nikoliv skutečným mandátem podle článku 27. Tyto nesplňují požadavky GDPR.
• Poplatky za žádosti: Nízké roční poplatky mohou skrývat vysoké poplatky za jednotlivé žádosti, což může službu prodražit, pokud obdržíte více žádostí.
• Záznamy nejsou drženy: Někteří poskytovatelé neuchovávají váš záznam podle článku 30, který je pro soulad vyžadován. Vždy ověřte, kdo záznam drží a předkládá.
• Automatické obnovy a zvyšování cen: Mnoho poskytovatelů zvyšuje ceny po prvním roce nebo automaticky obnovuje smlouvu bez jasného upozornění. Vždy si vyžádejte cenu na druhý rok písemně.
• Omezení odpovědnosti: Zástupce nenese odpovědnost za vaše porušení GDPR. Článek 27 odst. 5 jasně uvádí, že vaše společnost zůstává plně odpovědná.
• Ukončení a předání: Zkontrolujte, co se stane s nevyřízenými žádostmi a záznamy při změně nebo ukončení poskytovatele. REP27 specifikuje písemné potvrzení a postup předání.

Vždy si pečlivě přečtěte popis služby a mandát. Vyžádejte si všechny podmínky písemně před závazkem a ujasněte si, co je zahrnuto, vyloučeno a podléhá dodatečným poplatkům.

Kontrolní seznam: Jak dnes jmenovat zástupce GDPR

1. Potvrďte, zda jste správce nebo zpracovatel mimo EU podléhající článku 3 odst. 2 GDPR.
2. Identifikujte země EU, kde se nacházejí vaši subjekty údajů.
3. Vyberte poskytovatele nabízející písemný mandát podle článku 27.
4. Vyžádejte a zkontrolujte vzor jmenování.
5. Zkontrolujte skryté poplatky a podmínky obnovy.
6. Dokončete onboarding a obdržíte podepsané dokumenty.
7. Aktualizujte oznámení o ochraně soukromí s kontaktními údaji zástupce.
8. Uchovejte podepsaný mandát a certifikát pro audity.
9. Zajistěte, že váš záznam podle článku 30 je držen a dostupný, pokud je vyžadován.
10. Sledujte termíny obnovy a podmínky zrušení, abyste se vyhnuli nežádoucím poplatkům.

Dodržování tohoto seznamu vám pomůže dosáhnout a udržet soulad, vyhnout se pokutám a efektivně reagovat na žádosti subjektů údajů a úřadů.

Reálné scénáře: kdo co potřebuje?

• Americký SaaS prodávající firmám i spotřebitelům v EU: Musí jmenovat zástupce EU podle článku 27. Standardní plán od REP27 pokrývá všechny požadavky: písemný mandát, neomezené přeposílání žádostí, správa záznamů a vícejazyčná podpora. Plán Base je vhodný pro nízký objem, ale Standard je doporučený pro většinu SaaS.
• Čínský prodejce na Amazonu na trzích EU: Potřebuje jak zástupce GDPR EU (pro ochranu údajů), tak odpovědnou osobu GPSR pro shodu s produktem. Plán Multi od REP27 pokrývá obě role jedním objednáním a jedním termínem obnovy, což usnadňuje soulad pro prodejce na Amazonu, Etsy nebo eBay.
• Britský online obchod s zákazníky v EU: Po brexitu musí britské firmy nabízející zboží nebo služby v EU jmenovat zástupce EU. Plán Base nebo Standard od REP27 je vhodný podle objemu žádostí a potřeby správy záznamů. Pokud také prodáváte výrobky s označením CE, zvažte plán Multi pro kombinované zastoupení.

V každém scénáři je nejjednodušší cestou k souladu jmenovat poskytovatele, který vydá podepsaný mandát, drží vaše záznamy (je-li vyžadováno) a poskytuje jasnou, ověřitelnou dokumentaci pro audity a klienty.