Kolik stojí právní zástupce pro firmy mimo EU nabízející služby zpracování dat?

• Povinnost pro firmy mimo EU, které zpracovávají data rezidentů EU (GDPR čl. 27)
• Roční ceny zveřejněny: od 290 EUR do 1 500 EUR
• REP27 pokrývá všech 27 států EU + EHP bez příplatku
• Formální jmenování do 24 hodin (REP27)
• Pokuty až 10 milionů eur nebo 2 % obratu za nevyjmenování

Aktualizováno 23 October 2026 · 9 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 23 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co vyžaduje zákon: Článek 27 GDPR a Data Act

Článek 27 GDPR stanoví, že každá firma mimo EU, která nabízí služby nebo produkty rezidentům EU, nebo sleduje jejich chování, musí jmenovat právního zástupce v Unii. Tento zástupce slouží jako kontaktní bod pro úřady na ochranu osobních údajů a subjekty údajů a musí být jmenován písemně. Zástupce musí mít sídlo v jednom z členských států, kde se nacházejí subjekty údajů, a vést registr činností zpracování (čl. 30 GDPR). Data Act, platný pro poskytovatele služeb zpracování dat (cloud, SaaS, IoT), ukládá povinnost jmenovat zástupce EU, pokud poskytovatel nemá sídlo v Unii. Nejmění jmenování je samostatným porušením a může vést k pokutám až 10 milionů eur nebo 2 % celosvětového obratu podle čl. 83 GDPR. Úřady mohou přímo kontaktovat zástupce pro šetření nebo žádosti.

Pro firmy nabízející služby zpracování dat je jmenování právního zástupce povinné podle GDPR i Data Act, pokud působí na trhu EU. Povinnost nemají firmy, které nezpracovávají osobní údaje rezidentů EU nebo nenabízejí služby na území Unie.

Jak vybrat správného poskytovatele

Výběr právního zástupce EU by měl být založen na praktických a transparentních kritériích. Je klíčové ověřit, že poskytovatel pokrývá všech 27 členských států EU a Evropský hospodářský prostor (EHP) bez dalších poplatků, jako to dělá REP27. Rychlost jmenování je další důležitý faktor: REP27 vydává dopis o jmenování do 24 hodin, zatímco jiní poskytovatelé často nespecifikují dobu. Je důležité zjistit, jak jsou spravovány žádosti subjektů a úřadů a zda je dokumentace vícejazyčná (REP27 nabízí privacy notice v 8 hlavních jazycích).

Další aspekty k posouzení jsou přítomnost ověřitelných certifikátů, správa registrů dle čl. 30, možnost získat bezplatné hodnocení pro Švýcarsko (v ceně REP27) a případná omezení počtu zaměstnanců nebo zpracovávaných dat (např. Brace Solutions). Vždy se ptejte na možné dodatečné poplatky za služby nad rámec základního plánu.

• Zkontrolujte geografické pokrytí (všechny státy EU a EHP?)
• Ověřte rychlost jmenování (REP27: do 24 hodin)
• Požádejte o podrobnosti o správě žádostí a podporovaných jazycích
• Zvažte přítomnost ověřitelných certifikátů a vícejazyčné dokumentace
• Zeptejte se na zahrnuté extra služby, jako hodnocení Švýcarska

Co cena skutečně zahrnuje

Ceny zveřejněné poskytovateli obvykle zahrnují formální jmenování jako právního zástupce EU, správu žádostí subjektů údajů a úřadů a vedení registrů činností zpracování (čl. 30 GDPR). REP27 například nabízí kompletní pokrytí všech 27 států EU a EHP bez dalších poplatků, digitálně podepsaný dopis o jmenování, ověřitelný certifikát s QR kódem, privacy notice v 8 jazycích, správu žádostí do 2 pracovních dnů a bezplatné hodnocení Švýcarska (čl. 14 nFADP). Jiní poskytovatelé, jako VeriSure Compliance, zahrnují také monitoring, upozornění, roční revizi a dedikovanou adresu.

Brace Solutions omezuje službu na malé firmy (do 50 zaměstnanců a 2 000 subjektů), zatímco DataShield uvádí veřejnou kontaktní stránku a správu žádostí. Mnoho poskytovatelů však neuvádí podrobnosti o tom, co je v ceně zahrnuto nebo vyloučeno, proto je důležité požádat o detailní seznam služeb před podpisem smlouvy. Některé služby, jako zastoupení ve Švýcarsku, nejsou v ceně REP27, ale je poskytnuto bezplatné hodnocení, zda je potřeba.

Tabulka zahrnutí/vyloučení:

Skryté náklady a typická omezení

Mnoho poskytovatelů nespecifikuje jasně, zda jsou účtovány další poplatky za žádosti mimo základní plán, aktualizace dokumentace nebo personalizované služby. Například REP27 zahrnuje správu žádostí úřadů a subjektů do 2 pracovních dnů, ale zastoupení ve Švýcarsku je vyloučeno, pokud je povinné (poskytuje však bezplatné hodnocení). Brace Solutions omezuje službu na firmy s maximálně 50 zaměstnanci a 2 000 subjekty, zatímco jiní poskytovatelé limity neuvádějí.

Některé možné dodatečné náklady mohou být za:

• Komplexní žádosti úřadů
• Revize nebo aktualizace dokumentace o ochraně soukromí
• Správu vysokého objemu žádostí subjektů údajů
• Zastoupení v zemích mimo EU (např. Švýcarsko)

Je důležité vždy požádat o detailní seznam zahrnutých služeb a možných extra nákladů před podpisem smlouvy. Transparentnost nákladů je klíčová pro předcházení nepříjemným překvapením a zajištění souladu bez rizika sankcí či omezení provozu.

Tabulka omezení a dodatečných nákladů:

Jak probíhá jmenování: krok za krokem

Postup jmenování právního zástupce EU má přesné kroky, které jsou zásadní pro zajištění souladu a snížení rizika sankcí:

1. Posouzení povinnosti: Ověřte, zda vaše firma nabízí služby nebo produkty rezidentům EU nebo sleduje jejich chování a zda zpracovává osobní údaje.
2. Výběr poskytovatele: Porovnejte dostupné poskytovatele, ověřte ceny, zahrnuté služby, dobu jmenování a geografické pokrytí.
3. Žádost o službu: Vyplňte formulář žádosti na webu vybraného poskytovatele a poskytněte požadované informace (údaje o firmě, činnosti zpracování, kontakty).
4. Formální jmenování: Obdržíte dopis o jmenování (REP27: digitálně podepsaný, certifikát s QR kódem), podepište jej a uložte.
5. Aktualizace zásad ochrany soukromí: Uveďte údaje o zástupci EU v zásadách ochrany soukromí a v dalších dokumentech požadovaných GDPR (např. informace dle čl. 13/14).
6. Správa žádostí: Zástupce přijímá a spravuje žádosti subjektů a úřadů, předává je firmě v předepsaných lhůtách.

Praktický checklist:

1. Analyzujte klientelu v EU a toky osobních údajů
2. Ověřte, zda na vás povinnost platí
3. Porovnejte poskytovatele a zveřejněné ceny
4. Požádejte o detailní cenovou nabídku
5. Dokončete jmenování a aktualizujte dokumentaci o ochraně soukromí
6. Uložte dopis o jmenování a certifikát
7. Pravidelně kontrolujte pokrytí a soulad

Rizika a sankce za nevyjmenování

Nevyjmenování právního zástupce EU přináší velmi reálná právní a provozní rizika. Podle čl. 83 GDPR mohou sankce dosáhnout až 10 milionů eur nebo 2 % celosvětového obratu, podle toho, co je vyšší. Případ Locatefamily.com, pokutovaný 525 000 eur pouze za nevyjmenování, ukazuje, že úřady EU tuto povinnost vymáhají i bez dalších porušení.

Kromě pokut může nevyjmenování vést k:

• Provozním blokacím: úřady mohou nařídit pozastavení zpracování nebo obchodních aktivit v EU
• Poškození reputace: zveřejnění sankcí může poškodit pověst firmy
• Ztrátě zákazníků: mnoho firem v EU požaduje důkaz o jmenování před uzavřením smluv

Právní zástupce je přímým kontaktem pro všechny žádosti subjektů a úřadů. Neodpovězení nebo nesprávná správa žádostí může zhoršit pozici firmy při šetření.

Tabulka rizik:

Co poskytovatelé téměř nikdy neříkají

Mnoho poskytovatelů nezmiňuje některé kritické aspekty služby právního zástupce EU:

• Jmenování zástupce nezbavuje firmu odpovědnosti podle GDPR. Zástupce je pouze prostředník, nikoli správce nebo zpracovatel údajů.
• Jmenování musí být vždy aktuální a písemně zdokumentované. Změna poskytovatele vyžaduje aktualizaci zásad ochrany soukromí a případné oznámení úřadům.
• Někteří poskytovatelé uplatňují limity na počet zaměstnanců, subjektů nebo objem dat (např. Brace Solutions), což může vyloučit rostoucí firmy.
• Extra služby jako zastoupení ve Švýcarsku nejsou u REP27 zahrnuty, pokud jsou povinné, ale poskytuje se bezplatné hodnocení, zda je potřeba.
• Doba reakce na žádosti subjektů a úřadů se u poskytovatelů liší; REP27 garantuje 2 pracovní dny, jiní nespecifikují.
• Ověřitelné certifikáty a vícejazyčné privacy notice nejsou u všech poskytovatelů samozřejmostí.
• Poskytovatelé nejsou odpovědní za nesoulad firmy; konečná odpovědnost vždy leží na firmě.

3 praktické scénáře: jaká povinnost a řešení

• SaaS USA s klienty v EU: Americká SaaS firma nabízející služby klientům v EU musí jmenovat zástupce EU podle čl. 27 GDPR a Data Act. Nejjednodušší je vybrat poskytovatele jako REP27, který zaručuje pokrytí EHP, rychlé jmenování a vícejazyčnou dokumentaci.
• Čínský prodejce na Amazon EU: Čínský prodejce prodávající na Amazon klientům v EU musí jmenovat zástupce EU, pokud zpracovává osobní údaje (např. doručení, zákaznický servis). Může zvolit poskytovatele se zkušenostmi v e-commerce a jasnými cenami; zastoupení je povinné i při prodeji přes marketplace.
• Online obchod UK B2B: Britský online obchod prodávající pouze firmám v EU a nezpracovávající osobní údaje fyzických osob není povinen jmenovat zástupce. Pokud však zpracovává kontaktní údaje fyzických osob (např. firemní kontakty), povinnost nastává a musí být jmenován zástupce EU.

Rozhodovací matice: