Které firmy musí jmenovat zástupce GDPR v EU?

• Povinnost pro firmy mimo EU, které zpracovávají data osob v EU (čl. 3 odst. 2, 27 GDPR)
• Výjimky: veřejné orgány, příležitostné/ne masové zpracování bez vysokého rizika (čl. 27 odst. 2)
• Pokuty až 10 milionů € nebo 2 % celosvětového obratu (čl. 83 odst. 4 písm. a)
• Zástupce je kontaktní osobou pro úřady a subjekty údajů (čl. 4 odst. 17)
• Roční ceny zveřejněny: od 290 € do více než 1 000 € (říjen 2026)
• Služby a náklady se liší: pozor na extra požadavky, jazyky a obnovy

Aktualizováno 18 October 2026 · 6 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 18 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co vyžaduje zákon: klíčové články GDPR

Povinnost jmenovat zástupce v EU vyplývá z článku 27 GDPR, který se vztahuje na každého správce nebo zpracovatele mimo Evropskou unii, který nabízí zboží nebo služby osobám v EU, nebo sleduje jejich chování (čl. 3 odst. 2 GDPR). Tato povinnost platí pro firmy B2C i B2B, pokud zpracovávají osobní údaje osob v EU. Zástupce, definovaný v čl. 4 odst. 17 GDPR, je fyzická nebo právnická osoba se sídlem v EU, určená jako kontaktní místo pro dozorové orgány a subjekty údajů.

Existují specifické výjimky (čl. 27 odst. 2 GDPR): veřejné orgány, příležitostné zpracování, ne masové a bez vysokého rizika pro práva a svobody subjektů údajů. Pokud není splněna i jen jedna z těchto podmínek, povinnost jmenování platí.

Pokuty za nepojmenování jsou přísné: čl. 83 odst. 4 písm. a) GDPR stanoví pokuty až do výše 10 milionů eur nebo 2 % celosvětového ročního obratu. Příklad: Locatefamily.com byla pokutována částkou 525 000 € za nepojmenování zástupce.

Kromě jmenování musí být zástupce formálně určen písemným mandátem a musí výslovně přijmout roli. Pouhé zveřejnění adresy nestačí. Dále musí být zástupce schopen na vyžádání úřadů předložit registr činností zpracování (čl. 30 GDPR).

Stručně řečeno, jmenování zástupce v EU je povinné pro většinu firem mimo EU, které přímo či nepřímo pracují s osobními údaji rezidentů EU, s výjimkou vzácných případů.

Jak vybrat zástupce EU: praktická kritéria a srovnání služeb

Výběr zástupce GDPR EU není jen otázkou ceny: je zásadní pochopit, co služba skutečně zahrnuje. Poskytovatelé se dělí do tří kategorií:

• Úroveň 1 – Pouze adresa: Nabízí pouze poštovní adresu v EU, která přeposílá korespondenci. Formálně nepřijímá povinnosti dle čl. 27, nevede registry, nezaručuje reakční lhůty. Nejlevnější, ale rizikové řešení.
• Úroveň 2 – Kompletní jmenování: Poskytuje písemný mandát, podporu požadavků, správu registru dle čl. 30, garantované reakce úřadům v předepsaných lhůtách. To je skutečně požadavek GDPR.
• Úroveň 3 – Právní kancelář: Kromě zastupování nabízí právní poradenství a další služby, ale za mnohem vyšší cenu, často zbytečnou pro většinu firem.

Porovnávací tabulka zahrnutých služeb:

Praktická rada: vždy si vyžádejte vzor mandátu před nákupem, ověřte, kdo vede registr dle čl. 30 a jaké jazyky jsou podporovány. Levná služba, která formálně nepřijímá povinnosti dle čl. 27, představuje vysoké riziko.

Co skutečně cena zahrnuje a jak poznat skryté náklady

Ceny zástupců GDPR EU se velmi liší, od méně než 300 € až po více než 2 000 € ročně (říjen 2026), ale rozdíl často spočívá v reálně zahrnutých službách. Kontrolujte následující:

• Poplatek za požadavek: Někteří poskytovatelé účtují extra poplatek (25 až 90 €) za každý požadavek subjektu údajů nebo úřadu, jiní (např. REP27 od Standard) zahrnují neomezené požadavky.
• Správa registru dle čl. 30: GDPR vyžaduje, aby zástupce vedl registr činností zpracování. Některé základní plány to nezahrnují nebo účtují zvlášť (až 400 €/rok).
• Podpora jazyků: Často je v základních plánech zahrnuta pouze angličtina; vícejazyčná podpora může být příplatková.
• Poplatky za onboarding/nastavení: Někteří poskytovatelé účtují aktivační poplatek až 250 €.
• Zvýšení ceny při obnově: Cena může růst od druhého roku. REP27 např. nabízí snížené obnovy oproti prvnímu roku.

Souhrnná tabulka hlavních skrytých nákladů:

Rada: vždy si vyžádejte simulaci celkových nákladů pro váš scénář (počet požadavků, jazyky, obnovy) a ověřte, co se stane při překročení limitů.

Jak probíhá jmenování: krok za krokem a kontrolní seznam

Jmenování zástupce GDPR EU má přesný postup. Postupujte takto:

1. Ověřte povinnost: Zkontrolujte, zda vaše firma nabízí zboží/služby nebo sleduje osoby v EU (čl. 3 odst. 2, 27 GDPR).
2. Vyberte poskytovatele: Zvažte ceny, zahrnuté služby, jazyky a skryté náklady. Vždy si vyžádejte vzor jmenovacího dopisu.
3. Dokončete onboarding: Zašlete údaje o firmě a požadované informace poskytovateli. Někteří, jako REP27, vyžadují i vyplnění registru dle čl. 30 (od Standard).
4. Získejte dokumenty: Obdržíte podepsaný jmenovací dopis oběma stranami, QR certifikát a instrukce pro zásady ochrany osobních údajů.
5. Zveřejněte údaje: Uveďte jméno, adresu a e-mail zástupce v zásadách ochrany osobních údajů (čl. 13/14 GDPR).
6. Provoz: Poskytovatel spravuje přijaté požadavky a předává je v předepsaných lhůtách (např. do 2 pracovních dnů u REP27, tentýž den pro úřady od Standard).

Kontrolní seznam:

1. Ověření dle čl. 3 odst. 2 a 27 GDPR
2. Vyžádejte a přečtěte si vzor jmenovacího dopisu
3. Zjistěte, kdo vede registr dle čl. 30
4. Ověřte garantované reakční lhůty
5. Vypočítejte celkové náklady (požadavky, jazyky, obnovy)
6. Zajistěte správné zveřejnění v zásadách ochrany osobních údajů

Upozornění: jmenování je platné pouze pokud zástupce formálně písemně přijme roli a dopis je podepsán oběma stranami.

Rizika a sankce: co hrozí při nesplnění povinnosti

Nejmenování zástupce EU, pokud je povinné, je samostatným porušením GDPR (čl. 83 odst. 4 písm. a)). Dozorové orgány mohou uložit pokuty až do 10 milionů eur nebo 2 % celosvětového ročního obratu, podle toho, co je vyšší. Tyto sankce platí i pokud jsou ostatní povinnosti GDPR splněny, ale chybí formální jmenování.

Příklad z praxe: Locatefamily.com byla pokutována 525 000 € nizozemským úřadem jen za nepojmenování zástupce. Úřady mohou také nařídit pozastavení zpracování nebo zveřejnění porušení.

Další praktická rizika:

• Neúplný mandát (např. pouze poštovní adresa) nechrání před sankcemi
• Neodpovídání úřadům včas může situaci zhoršit
• Odpovědnost zůstává vždy u správce/zpracovatele (čl. 27 odst. 5), i když je zástupce jmenován

Závěr: volba poskytovatele jen podle nejnižší ceny bez ověření, že formálně přijímá povinnosti dle čl. 27 a vede registr dle čl. 30, vystavuje firmu významným právním a reputačním rizikům.

Co poskytovatelé často nezmiňují: omezení, výluky a obnovy

• Mnoho základních plánů nabízí jen poštovní adresu: Nepřijímají formálně povinnosti dle čl. 27, nevedou registry, nezaručují odpovědi úřadům.
• Náklady za požadavky mohou převýšit roční poplatek: Měsíc s vysokým počtem požadavků může výrazně navýšit náklady.
• Vícejazyčná podpora je vzácná: Často je zahrnuta pouze angličtina; REP27 nabízí podporu v 8 jazycích od Standard.
• Cena obnovy často roste po prvním roce: Mnoho poskytovatelů nabízí promo ceny jen první rok; REP27 má transparentní a snížené obnovy.
• Právní odpovědnost zůstává vždy u klienta: Zástupce nepřebírá odpovědnost za porušení, ta zůstává u správce/zpracovatele (čl. 27 odst. 5).
• Časté výluky: Citlivá data (čl. 9), soudní data (čl. 10), služby pro nezletilé, hazard, farmaceutika, zbraně, kryptoměny často nejsou přijímány.

Rada: vždy si vyžádejte písemný seznam toho, co je zahrnuto, co vyloučeno a podmínky obnovy a ukončení smlouvy.

Rozhodovací matice: kdo musí jmenovat zástupce? (B2B, B2C, marketplace, velikost)

V praxi: většina firem mimo EU, které mají klienty, uživatele nebo příjemce v EU, musí jmenovat zástupce, a to jak B2B, tak B2C, ať už na vlastním webu nebo přes marketplace.

3 praktické scénáře: jaká povinnost platí a jaké řešení zvolit

1. USA SaaS s klienty v EU: Americký SaaS poskytovatel prodávající předplatné firmám nebo uživatelům v EU musí jmenovat zástupce v EU, zveřejnit údaje v zásadách ochrany osobních údajů a vést registr dle čl. 30. Řešení: Standardní plán REP27, který zahrnuje neomezené požadavky, správu registru a vícejazyčnou podporu.
2. Čínský prodejce na Amazonu: Čínská firma prodávající produkty spotřebitelům v EU přes Amazon plně podléhá povinnosti. Pokud prodává i ve Švýcarsku, je třeba zvážit povinnost dle nFADP. Řešení: plán Multi REP27, který zahrnuje i bezplatné švýcarské hodnocení.
3. UK e-shop pouze B2B: Pokud nezpracovává data fyzických osob v EU (pouze firmy, bez osobních kontaktů), může být osvobozen. Pokud ale shromažďuje data adminů/uživatelů v EU, povinnost platí. Řešení: posoudit případ od případu, ale v případě pochybností raději zástupce jmenovat.

Tyto scénáře ukazují, že posouzení závisí jak na typu zákazníků (B2B/B2C), tak na druhu zpracovávaných dat a aktivitách sledování.