Kdo potřebuje pověřence pro ochranu osobních údajů v EU? Poskytovatelé a ceny 2026

• Povinnost DPO: Veřejné instituce nebo rozsáhlé sledování/zvláštní údaje (čl. 37 GDPR)
• Zástupce EU podle čl. 27 GDPR pro firmy mimo EU s klienty či uživateli v EU
• Pokuty až 10 mil. € nebo 2 % celosvětového obratu při porušení (čl. 83 GDPR)
• REP27: Zástupce EU pro celý EHP od 290 €/rok včetně certifikátu a dalších služeb
• Rozsah služeb a příplatky se u poskytovatelů výrazně liší
• Ne každý potřebuje DPO nebo zástupce EU – viz rozhodovací matice

Aktualizováno 19 October 2026 · 6 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 19 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co požaduje GDPR? (články 27, 37, 83)

Obecné nařízení o ochraně osobních údajů (GDPR) rozlišuje dvě klíčové role: pověřence pro ochranu osobních údajů (DPO) a zástupce EU. Tyto povinnosti se vztahují na různé firmy a situace:

• Pověřenec pro ochranu osobních údajů (DPO, čl. 37-39): DPO je povinný pro veřejné instituce a firmy, jejichž hlavní činností je rozsáhlé, systematické sledování osob nebo rozsáhlé zpracování zvláštních kategorií osobních údajů (např. zdravotní údaje, politické názory). Úkoly DPO jsou stanoveny v čl. 39 GDPR a zahrnují poradenství, dohled nad dodržováním, kontaktní místo pro úřady a subjekty a podporu při posuzování dopadů na ochranu údajů.
• Zástupce EU (čl. 27): Firmy mimo EU, které nabízejí zboží nebo služby osobám v EU nebo sledují chování občanů EU (např. sledování, analytika), musí písemně jmenovat zástupce v EU. Zástupce slouží jako kontaktní místo pro dozorové orgány a subjekty a vede rejstřík zpracovatelských činností (čl. 30), pokud to poskytovatel přebírá.

Povinnost jmenovat zástupce EU neplatí, pokud je zpracování příležitostné, nezahrnuje zvláštní údaje a nepředstavuje riziko pro práva a svobody subjektů. Jmenování DPO není u malých firem nutné, pokud nedochází k rozsáhlému sledování nebo zpracování zvláštních kategorií údajů.

Pokuty: Porušení povinnosti jmenovat zástupce EU může být sankcionováno pokutou až 10 mil. € nebo 2 % celosvětového ročního obratu (čl. 83 odst. 4 GDPR). Například nizozemský dozorový úřad uložil pokutu 525 000 € firmě Locatefamily.com za chybějící zástupce EU.

Povinnost jmenovat DPO je stanovena v čl. 37 GDPR (zdroj), úkoly v čl. 39 (zdroj) a pokuty v čl. 83 (zdroj).

Jak vybrat správného poskytovatele? Klíčová kritéria a srovnání

Výběr vhodného zástupce EU nebo DPO poskytovatele je zásadní pro dodržování předpisů. Nabídky se výrazně liší v rozsahu služeb, reakčních dobách a skrytých poplatcích. Zvažte následující kritéria:

• Akceptuje poskytovatel písemně úkoly podle čl. 27 GDPR? Skutečné zmocnění musí výslovně převzít úkoly a povinnosti podle čl. 27. Pouhé poštovní schránky nebo adresa nestačí.
• Kdo vede rejstřík podle čl. 30? GDPR vyžaduje, aby zástupce na vyžádání poskytl rejstřík zpracovatelských činností. Ne všichni poskytovatelé tuto službu zajišťují.
• Reakční doby na dotazy: Jak rychle jsou dotazy od dozorových orgánů nebo subjektů přeposílány? „Best-efforts“ bez lhůty je rizikové. REP27 garantuje přeposlání do 2 pracovních dnů (standardně ve stejný den u dotazů od úřadů).
• Jazyky: Jsou dotazy řešeny ve více jazycích EU? REP27 nabízí podporu v 8 jazycích, mnoho základních nabídek pouze v angličtině.
• Příplatky: Jsou všechny služby zahrnuty v ceně, nebo se účtují příplatky za dotazy, jazyky nebo vedení rejstříku?

Přímé srovnání:

Vždy si vyžádejte jmenovací dopis a ověřte, zda jsou úkoly podle čl. 27 výslovně převzaty. Nechte si písemně potvrdit rozsah služeb a cenovou strukturu.

Co je v ceně? Kde hrozí skryté náklady?

Cenové modely pro zástupce EU a DPO služby se velmi liší. Mnoho poskytovatelů láká nízkou vstupní cenou, ale účtuje příplatky za každý dotaz od subjektů nebo úřadů (typicky 25–90 € za dotaz). Vedení rejstříku podle čl. 30 bývá často zpoplatněno zvlášť (100–400 €/rok). U REP27 jsou od tarifu Standard všechny dotazy v ceně, rejstřík veden a nejsou žádné skryté poplatky. Zkontrolujte zejména:

• Zda cena platí za dotaz nebo jsou dotazy neomezené
• Zda je rejstřík podle čl. 30 zahrnut
• Zda je prodloužení dražší (u REP27 cena klesá v dalším roce)
• Zda jsou příplatky za další jazyky

Někteří poskytovatelé nabízejí jen poštovní adresu bez skutečného převzetí zákonných úkolů. To není v souladu a může vést k pokutám. Přehled typických cenových pastí:

Pečlivě si přečtěte podmínky a požádejte o kompletní přehled služeb před závazkem.

Jak probíhá objednávka? Krok za krokem a rozhodovací matice

Objednávka zástupce EU nebo DPO u seriózních poskytovatelů má jasný postup. Zajistíte tak splnění zákonných požadavků:

1. Zkontrolujte, zda potřebujete zástupce EU nebo DPO (viz matice níže).
2. Porovnejte poskytovatele a vyžádejte si jmenovací dopis k posouzení.
3. Vyplňte onboarding formulář (údaje o firmě, zpracování dat, kontaktní osoby).
4. Získejte potvrzení a certifikát (u REP27 do 24 hodin).
5. Zveřejněte kontaktní údaje zástupce ve své zásadě ochrany osobních údajů (čl. 13/14 GDPR).
6. Udržujte rejstřík podle čl. 30 dostupný (nebo jej nechte vést poskytovatelem).
7. Pokud je potřeba: Proveďte bezplatnou kontrolu zastoupení ve Švýcarsku (REP27).

Rozhodovací matice:

Tato matice pomáhá vyhnout se zbytečným nákladům a správně zvolit řešení pro soulad s předpisy.

Dnešní kontrolní seznam:

1. Zkontrolujte, zda spadáte pod čl. 27 nebo čl. 37 GDPR.
2. Porovnejte alespoň tři poskytovatele (rozsah služeb, cena, příplatky).
3. Vyžádejte si jmenovací dopis a ověřte převzetí úkolů.
4. Zeptejte se na vedení rejstříku čl. 30 a reakční doby.
5. Objednejte službu a dokumentujte objednávku.
6. Aktualizujte zásady ochrany osobních údajů a interní procesy.

Co poskytovatelé často nezmiňují: vyloučení, výpověď, odpovědnost

Mnoho poskytovatelů v marketingu opomíjí důležité detaily, které jsou v praxi zásadní:

• Žádné právní poradenství: Zástupce EU nesmí poskytovat právní poradenství v rámci zastoupení. Pro právní otázky je třeba samostatný právník nebo DPO.
• Odpovědnost zůstává na zadavateli: Podle čl. 27 odst. 5 GDPR odpovědnost za porušení ochrany údajů vždy nese správce nebo zpracovatel. Zástupce je pouze kontaktním místem a nenese odpovědnost za chyby zadavatele.
• Výpovědní lhůty a automatické prodloužení: Podmínky výpovědi se liší. U REP27 lze vypovědět s 30denní výpovědní lhůtou před prodloužením. Zkontrolujte, jak je řešeno předání dotazů a rejstříků.
• Poplatky za jednotlivé dotazy: Mnoho poskytovatelů účtuje příplatky za každý dotaz od subjektů nebo úřadů, které jsou uvedeny v podmínkách. U REP27 Standard a Multi jsou všechny dotazy v ceně.
• Jazyky a podpora: EU služby často fungují jen v angličtině. REP27 nabízí podporu v 8 jazycích, což usnadňuje splnění zákonných požadavků.
• Žádné převzetí speciální produktové odpovědnosti: Role odpovědného GPSR nebo autorizovaného zástupce CE je zahrnuta jen v tarifu REP27 Multi, ne v základním tarifu.

Pečlivě si přečtěte obchodní podmínky a jmenovací dopis. Ověřte, zda poskytovatel garantuje předání dokumentace při změně zástupce.

Tři realistické scénáře: Jak správně splnit povinnost

1. US SaaS poskytovatel s klienty v EU: Americká softwarová firma nabízí cloudové řešení pro klienty v EU. Nezpracovává zvláštní údaje, ale sleduje aktivity uživatelů (např. přihlášení, statistiky). Výsledek: povinnost jmenovat zástupce EU podle čl. 27 GDPR. DPO je nutný jen při rozsáhlém sledování nebo zvláštních údajích. Nejlevnější a v souladu řešení: REP27 Standard – všechny dotazy v ceně, vedení rejstříku, podpora v 8 jazycích.
2. Čínský prodejce na Amazonu: Prodejce z Číny prodává přes Amazon.de zákazníkům v EU. Potřebuje zástupce EU (čl. 27 GDPR) a případně odpovědného GPSR za produktovou shodu. DPO není potřeba, pokud nedochází k rozsáhlému sledování či zvláštním údajům. Kompletní řešení: REP27 Multi – zástupce EU a GPSR v jedné smlouvě, jeden kontaktní bod, certifikát.
3. Britský e-shop bez klientů v EU: Britský webový obchod prodává jen zákazníkům ve Velké Británii a nezpracovává údaje občanů EU. Výsledek: žádná povinnost jmenovat zástupce EU ani DPO. Povinnost by vznikla až při cíleném oslovení nebo dodávce do EU.

Tyto scénáře ukazují, jak důležité je prověřit vlastní obchodní model. Kdo cíleně oslovuje zákazníky v EU nebo sleduje jejich chování, musí jmenovat zástupce EU – bez ohledu na velikost firmy.