Kdo potřebuje zástupce UK GDPR? Vše, co potřebujete vědět (2026)

• Povinnost pro firmy mimo UK, které nabízejí zboží/služby nebo sledují uživatele v UK
• Není potřeba, pokud je firma usazena v UK nebo je zpracování skutečně příležitostné
• Zástupce musí být jmenován písemně a zveřejněn
• Sankce až 17,5 milionu liber nebo 4 % celosvětového obratu
• Ceny a služby se liší podle poskytovatelů: podrobný přehled níže

Aktualizováno 21 October 2026 · 9 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 21 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co vyžaduje zákon: Článek 27 UK GDPR

Článek 27 UK GDPR stanoví, že každý správce nebo zpracovatel, který není usazen ve Spojeném království, ale nabízí zboží nebo služby osobám v UK nebo sleduje jejich chování, musí písemně jmenovat zástupce UK GDPR. Zástupce musí být usazen v UK a sloužit jako místní kontaktní bod pro subjekty údajů a Information Commissioner's Office (ICO). Povinnost platí bez ohledu na fyzickou přítomnost serverů nebo infrastruktury v UK: rozhodující je existence skutečné a trvalé činnosti (postačuje pouze poštovní adresa nebo sklad třetí strany nestačí).

• Povinnost jmenování: Jmenování musí být písemné a zveřejněné v privacy notice s dostupnými kontaktními údaji.
• Odpovědnost: Zástupce je kontaktním bodem, ale nezbavuje správce/zpracovatele odpovědnosti a povinností (čl. 27(4)).
• Výjimky: Povinnost neplatí, pokud je zpracování skutečně příležitostné, nezahrnuje citlivé či trestní údaje a nepředstavuje riziko pro práva subjektů údajů (čl. 27(2)-(6)). Všechny tyto podmínky musí být splněny.
• Sankce: Nepřidělení zástupce je samostatný přestupek a může vést k pokutám až do výše 17,5 milionu liber nebo 4 % celosvětového obratu (zdroj).

Pravidlo platí pro jakoukoli firmu mimo UK, která:

• Prodává produkty nebo služby zákazníkům v UK (i B2B, pokud jsou zpracovávány osobní údaje)
• Sleduje chování osob v UK (např. pomocí cookies, analytiky, cílené reklamy)

Zdroj: Článek 27 UK GDPR, ICO

Jak vybrat poskytovatele: kritéria, srovnání a zahrnuté služby

Výběr poskytovatele zástupce UK GDPR je klíčový pro správnou compliance a vyhnutí se skrytým nákladům. Zde jsou praktická kritéria k posouzení:

• Územní pokrytí: Někteří poskytovatelé nabízejí pouze UK, jiní i EU (užitečné pro firmy prodávající v obou regionech).
• Cena a obnova: Ceny se pohybují od 120 do více než 750 liber ročně; ověřte, zda je obnova se slevou nebo s dalšími poplatky.
• Zahrnuté služby: Kromě formálního jmenování někteří poskytovatelé nabízejí ověřovací odznaky, texty do privacy notice, správu DSAR, evidenci zpracování, audit trail a vícejazyčnou podporu.
• Doba jmenování: REP27 vydává jmenování do 24 hodin; jiní poskytovatelé často neuvedou přesné časy.
• Certifikace a veřejné ověření: REP27 poskytuje certifikát s QR kódem a veřejnou kontrolu; jiní nabízejí odznaky nebo Trust Center.

Tabulka zahrnutých služeb (říjen 2026):

Nejlepší volba závisí na tom, kde působíte, jaké máte potřeby auditu a zda potřebujete kombinovanou ochranu UK+EU. Pokud prodáváte na obou trzích, kombinované řešení jako REP27 snižuje náklady a administrativní složitost.

Co skutečně cena zahrnuje: praktické detaily a rozhodovací matice

Ceny zveřejněné poskytovateli mohou zahrnovat velmi odlišné služby. Někteří nabízejí pouze formální jmenování, jiní zahrnují auditní nástroje, ověřovací odznaky, texty do privacy notice, správu DSAR, evidenci zpracování a vícejazyčnou podporu. Je zásadní ověřit, co přesně je zahrnuto a které služby jsou volitelné nebo za příplatek.

Například REP27 nabízí dvě jmenování (UK+EU), dva certifikáty, texty do privacy notice v 8 jazycích, podporu požadavků, evidenci zpracování a ověřitelný odznak. Gabsor a Euverify také nabízejí Trust Center, odznak, audit trail a správu DSAR. FSREG, GDPR Gateway, Janus a DataRep UK se zaměřují na UK zastoupení s základními službami a přeposíláním požadavků.

Praktická rozhodovací tabulka:

Pozor: „příležitostné“ zpracování je vykládáno restriktivně. I malý e-shop s pravidelnými objednávkami není považován za příležitostný. V případě pochybností vždy ověřte u poskytovatele před nákupem.

Skryté náklady a omezení: co poskytovatelé často neříkají

Mnoho poskytovatelů nezdůrazňuje některé podmínky a omezení:

• Omezená odpovědnost: Zástupce nenese právní odpovědnost správce/zpracovatele; slouží pouze jako kontaktní bod (čl. 27(4)).
• Vyloučení: Žádný poskytovatel není DPO ani nenabízí privacy poradenství v ceně zástupce. Poradenství je často "Na vyžádání" a může být zpoplatněno.
• Dodatečné poplatky: Někteří účtují příplatky za složité požadavky, změny údajů, pokročilý audit nebo velké objemy požadavků. Tyto poplatky jsou často "Na vyžádání" a nejsou veřejně uvedeny.
• Výpovědní lhůta: Lhůta pro ukončení služby není vždy specifikována. Je důležité zkontrolovat smluvní podmínky.
• Obnova a přechod: REP27 nabízí obnovu za sníženou cenu a usnadněný přechod od jiného poskytovatele, jiní nemusí nabízet slevy či usnadnění.

Souhrnná tabulka vyloučení a omezení (říjen 2026):

Praktická rada: vždy si od poskytovatele vyžádejte písemný seznam zahrnutých služeb a případných dodatečných poplatků před podpisem smlouvy.

Jak probíhá jmenování: krok za krokem, kontrolní seznam a termíny

Jmenování zástupce UK GDPR je proces, který lze rychle dokončit, pokud dodržíte správné kroky. Praktický průvodce krok za krokem:

1. Ověřte, zda se vás povinnost týká: Odpovězte na tři klíčové otázky: (1) Jste usazeni mimo Spojené království? (2) Nabízíte zboží/služby nebo sledujete uživatele v UK? (3) Zpracováváte osobní údaje?
2. Vyberte poskytovatele: Zvažte pokrytí (pouze UK nebo i EU), zahrnuté služby, cenu a dobu vydání jmenování.
3. Vyplňte formulář jmenování: Poskytněte údaje o firmě, popis zpracování, kontaktní osoby a požadované dokumenty. U REP27 trvá proces cca 5 minut.
4. Obdržíte jmenování: Poskytovatel vydá podepsané jmenování, certifikát a text pro privacy notice (REP27 do 24 hodin).
5. Aktualizujte privacy notice: Vložte text od poskytovatele s údaji o zástupci UK a kontaktními údaji.
6. Zveřejněte a komunikujte: Zajistěte, aby bylo jmenování snadno dostupné uživatelům a úřadům.
7. Obnovujte ročně: Sledujte termín a obnovujte, aby nedošlo k přerušení compliance.

Rychlý kontrolní seznam:

• Máte zákazníky nebo uživatele v UK?
• Nabízíte služby nebo sledujete chování?
• Máte již jmenovaného zástupce?
• Aktualizovali jste privacy notice?
• Zkontrolovali jste pokrytí a zahrnuté služby?

Typická doba zpracování je 24 hodin (REP27) až několik pracovních dnů dle poskytovatele a kompletnosti údajů.

Rizika, sankce a praktické případy: reálné scénáře

Nejmenování zástupce UK GDPR, pokud je povinné, přináší reálná rizika: sankce až 17,5 milionu liber nebo 4 % celosvětového obratu (zdroj), blokaci obchodních vztahů a poškození reputace. Zástupce nezbavuje správce odpovědnosti, ale zajišťuje místní kontaktní bod pro uživatele a ICO.

Tři reálné scénáře:

• US SaaS nabízející služby uživatelům v UK a EU: Musí jmenovat zástupce jak pro UK, tak pro EU. Efektivní řešení: poskytovatel nabízející kombinované jmenování (např. REP27) s jedním onboardingem a samostatnými dokumenty.
• Čínský prodejce na Amazon UK: I bez fyzické přítomnosti, pokud prodává zákazníkům v UK, musí jmenovat zástupce UK GDPR. Může zvolit poskytovatele zaměřeného pouze na UK nebo kombinované řešení, pokud prodává i v EU.
• Online obchod UK prodávající jen v UK: Pokud je již usazen ve Spojeném království (kancelář, pobočka, zaměstnanci), nemá povinnost zástupce. Pokud je to ale firma z EU prodávající zákazníkům v UK, musí jmenovat zástupce UK GDPR.

Praktická rozhodovací tabulka:

Doporučení: nečekejte na výzvu od ICO nebo zákazníka. Jmenování je preventivní a nesplnění může být odhaleno i online kontrolami.