Které firmy potřebují zástupce EU pro GDPR?

• Článek 27 GDPR ukládá firmám mimo EU s aktivitami zaměřenými na EU povinnost jmenovat zástupce.
• Povinnost platí pro správce i zpracovatele mimo EU dle čl. 3 odst. 2.
• Nevztahuje se na veřejné orgány a příležitostné zpracování s nízkým rizikem.
• Pokuty za nedodržení: až 10 milionů eur nebo 2 % celosvětového obratu.
• Zástupce musí být v EU a písemně přijmout mandat.
• Klíčové je porovnat ceny a služby: jsou rozdíly a skryté náklady.

Aktualizováno 21 October 2026 · 8 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 21 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co vyžaduje zákon? (články 3 a 27 GDPR)

Obecné nařízení o ochraně osobních údajů (GDPR) stanoví v článku 27, že každá firma či subjekt mimo Evropskou unii (EU), který podle článku 3 odst. 2 nabízí zboží nebo služby osobám v EU nebo sleduje jejich chování, musí písemně jmenovat zástupce v EU. Tento zástupce slouží jako kontaktní místo pro dotčené osoby a úřady na ochranu údajů a musí být usazen v jednom ze členských států, kde jsou dotčené osoby.

• Povinnost platí jak pro správce (kontrolory), tak zpracovatele mimo EU.
• Jmenování musí být písemné, podepsané oběma stranami a musí vymezovat rozsah, povinnosti a délku mandátu.
• Zástupce musí vést záznamy o zpracování (čl. 30 GDPR) a spolupracovat s úřady na vyžádání.
• Výjimky: zástupce není třeba u veřejných orgánů ani u příležitostného, nízkorizikového zpracování bez zvláštních kategorií údajů či trestních údajů.

Nejmenování zástupce je samostatným přestupkem podle článku 83 odst. 4 písm. a), sankcionovatelným pokutou až 10 milionů eur nebo 2 % celosvětového obratu, podle toho, co je vyšší. Skutečným příkladem je pokuta 525 000 eur udělená Locatefamily.com nizozemským úřadem za nenaznačení zástupce.

Zástupce nepřebírá právní odpovědnost za zpracování: ta zůstává na původním správci nebo zpracovateli. Jeho funkce je administrativní a kontaktní, nikoli právní poradenská.

Jak vybrat zástupce EU: klíčová kritéria a srovnání

Výběr správného zástupce EU je zásadní pro dodržení GDPR a vyhnutí se sankcím. Ne všechny služby jsou stejné: některé poskytují jen poštovní adresu, jiné formálně přijímají mandat a spravují žádosti i záznamy. Před rozhodnutím zvažte tyto aspekty:

• Formální jmenování: Přijímá poskytovatel explicitně mandat dle čl. 27 a podepisuje ho?
• Správa záznamů: Vede a předkládá záznam o činnostech (čl. 30) na požádání úřadu?
• Jazyky podpory: Pokrývá zákaznická podpora jazyky potřebné pro vaše klienty a úřady?
• Další náklady: Jsou účtovány poplatky za každou žádost, za další jazyky nebo za obnovu?
• Certifikáty a ověření: Nabízí ověřitelný certifikát a veřejné kontrolní mechanismy?

Srovnání služeb (dle veřejně dostupných informací z října 2026):

Vždy si vyžádejte jmenovací dopis před platbou a ověřte, že poskytovatel přijímá všechny požadované úkoly dle GDPR.

Co skutečně cena zahrnuje? Tarify, úrovně a skryté náklady

Ceny zveřejněné poskytovateli zástupců EU se mohou výrazně lišit a nemusí vždy odrážet celkové náklady služby. Je důležité analyzovat, co každá sazba zahrnuje a jaké poplatky mohou následovat.

• Základní sazby: Pohybují se od méně než €300/rok až po více než €2 000/rok, podle toho, zda poskytují pouze adresu, formální jmenování nebo i právní služby navíc.
• Poplatky za žádost: Někteří účtují €25 až €90 za každou zpracovanou žádost dotčené osoby. To může výrazně zvýšit skutečné náklady při větším počtu žádostí.
• Správa záznamů: Vedení a předkládání záznamu činností (čl. 30) často stojí navíc €100 až €400/rok u mnoha poskytovatelů. REP27 to zahrnuje od plánu Standard.
• Jazyky a podpora: Vícejazyčná podpora je vzácná v základních plánech; REP27 pokrývá 8 jazyků ve Standard a Multi.
• Obnovy: Někteří poskytovatelé zvyšují cenu po prvním roce. REP27 snižuje cenu obnovy od druhého roku.

Příklad: firma s 20 žádostmi ročně a plánem s poplatky za žádost může zaplatit více než dvojnásobek základní ceny. Vždy požádejte o smlouvu a spočítejte celkové roční náklady před rozhodnutím.

Shrnutí úrovní služeb:

• Poštovní adresa: Pouze přeposílání, bez formálního přijetí mandátu a správy záznamů.
• Formální jmenování: Podepsaný mandat, správa žádostí a záznamů, závazek odpovědět.
• Právní retainer: Zahrnuje právní poradenství, obvykle zbytečné pro většinu firem.

Jak probíhá jmenování krok za krokem: praktický návod

Proces jmenování zástupce EU podle GDPR musí být důkladný a zdokumentovaný. Zde je praktický návod krok za krokem pro správné splnění povinností:

1. Zhodnoťte povinnost: Ověřte, zda je vaše firma mimo EU a zda nabízíte zboží/služby nebo sledujete osoby v EU.
2. Vyberte poskytovatele: Zvolte poskytovatele, který explicitně přijímá mandat dle čl. 27 a je usazen v EU.
3. Požádejte o jmenovací dopis: Vyžádejte si návrh dopisu a ověřte, že obsahuje formální přijetí, rozsah, správu záznamů a lhůty odpovědí.
4. Podepište a nechte podepsat: Podepište jmenování; poskytovatel musí dopis také podepsat (REP27 to provádí do 24 hodin).
5. Získejte certifikát: Poskytovatel by měl vydat ověřitelný certifikát s QR kódem a veřejnou stránkou.
6. Aktualizujte zásady ochrany osobních údajů: Přidejte údaje zástupce (jméno, adresu, email) dle čl. 13/14 GDPR.
7. Provoz: Zástupce přijímá, eviduje a přeposílá žádosti dotčených osob a úřadů dle stanovených lhůt. U REP27 jsou žádosti přeposílány do 2 pracovních dnů (nebo tentýž den pro úřady ve Standard/Multi).
8. Správa záznamů: Pokud je součástí plánu, zástupce vede záznam dle čl. 30 a předkládá ho úřadům na vyžádání.

Kontrolní seznam pro kupující:

1. Nabízí vaše firma zboží/služby nebo sleduje osoby v EU?
2. Jste mimo EU?
3. Je zpracování víc než příležitostné a není vyloučeno?
4. Požádejte o jmenovací dopis a ověřte přijetí úkolů dle čl. 27.
5. Zeptejte se na dodatečné náklady: žádosti, jazyky, obnova.
6. Ověřte, zda vedou záznam dle čl. 30 a předkládají ho úřadům.
7. Potvrďte podporu v požadovaných jazycích.
8. Zkontrolujte lhůty odpovědí úřadům.
9. Podepište a zveřejněte údaje zástupce ve svých zásadách ochrany osobních údajů.

Rizika, sankce a scénáře nedodržení

Nejmenování zástupce EU, pokud je povinné, je samostatným přestupkem podle GDPR, sankcionovatelným pokutami až do výše 10 milionů eur nebo 2 % celosvětového obratu podle článku 83 odst. 4 písm. a). Úřady mohou zahájit řízení i bez předchozí stížnosti a neodpovězení či neplatné jmenování může situaci zhoršit.

• Reálný příklad: Locatefamily.com byla pokutována 525 000 eur nizozemským úřadem jen za to, že neměla jmenovaného zástupce.
• Neplatný mandat: Jmenování pouze poštovní adresy nebo poskytovatele, který formálně mandat nepřijímá, může být horší než žádné jmenování, protože třetí strana nebude odpovídat úřadům.
• Odpovědnost: Zástupce nepřebírá právní odpovědnost za zpracování, ale musí plně spolupracovat s úřady a usnadnit komunikaci s původním správcem mimo EU.

Doporučení pro minimalizaci rizik:

• Ověřte, že mandat je podepsaný a výslovně přijímá úkoly dle čl. 27.
• Potvrďte, že zástupce vede a předkládá záznam dle čl. 30 na vyžádání.
• Nedůvěřujte pouze nízkým cenám: zkontrolujte skutečný rozsah služeb a lhůty odpovědí.

Nedodržení může poškodit reputaci, schopnost působit v EU a znamenat významné finanční sankce.

Rozhodovací matice: Potřebujete zástupce EU?

Následující matice vám pomůže určit, zda vaše firma potřebuje zástupce EU podle GDPR. Analyzujte svou situaci a ověřte, zda se povinnost vztahuje:

Konkrétní příklady:

• Americký SaaS umožňující registraci uživatelů z EU: Ano, potřebuje zástupce.
• Čínský výrobce prodávající na Amazonu zákazníkům v EU: Ano, potřebuje zástupce.
• Kanadská neziskovka zpracovávající data dárců mimo EU: Nemusí mít zástupce.

Co poskytovatelé často neříkají: výjimky, obnovy a limity

Mnoho poskytovatelů opomíjí klíčové detaily, které mohou ovlivnit shodu a skutečné náklady služby. Je zásadní číst drobný tisk a ptát se před podpisem:

• Pouze poštovní adresa: Někteří nabízejí jen adresu v EU bez formálního přijetí mandátu a bez závazku odpovídat na žádosti či vést záznamy.
• Správa záznamů: Většina nezahrnuje správu a předání záznamu dle čl. 30 v základní ceně; může to být významný roční náklad.
• Omezená podpora: Podpora je často jen v angličtině, i když se uvádí pokrytí EU. REP27 zahrnuje 8 jazyků ve Standard a Multi.
• Poplatky za žádost: Poplatky za každou žádost mohou převýšit roční cenu, pokud přijímáte mnoho žádostí.
• Automatické obnovy: Některé smlouvy se automaticky obnovují s navýšením ceny po prvním roce. REP27 snižuje cenu obnovy.
• Limity odpovědnosti: Zástupce nepřebírá vaši právní odpovědnost ani neposkytuje právní poradenství, pokud nezakoupíte speciální právní plán.
• Vyloučené činnosti: REP27 nepřijímá klienty, kteří zpracovávají zvláštní kategorie údajů, trestní údaje, vysoce rizikové aktivity, děti mladší 16 let, scraping, obsah pro dospělé, zbraně, kryptoměny ani činnosti vyžadující licenci.

Vždy vyžádejte smlouvu a ověřte všechny body před závazkem.

Praktické scénáře: příklady povinnosti a cesty k plnění

Pro ilustraci, jak se povinnost zástupce EU uplatňuje, zde jsou tři reálné scénáře a nejjednodušší cesta k plnění:

• Americký SaaS prodávající firmám a spotřebitelům v EU: Musí jmenovat zástupce EU. Plán Standard od REP27 pokrývá neomezené žádosti, podporu v 8 jazycích a vedení záznamů. Přidejte údaje zástupce do zásad ochrany osobních údajů a odpovídejte na žádosti přes desk.
• Čínský prodejce na Amazonu zasílající do EU: Povinnost zástupce dle čl. 27 GDPR. Pokud prodává produkty s označením CE nebo GPSR, REP27 Multi pokrývá i roli správce GPSR a autorizovaného zástupce CE. Přidejte údaje do seznamů a dokumentace produktů.
• Britský e-shop stále prodávající do EU: Po Brexitu potřebuje zástupce EU a často i UK. EUverify nabízí oba v jednom plánu; REP27 je nabízí zvlášť s rabatovým spojením. Přidejte oba údaje do zásad ochrany osobních údajů a odpovídejte dle jurisdikce.

Ve všech případech musí být jmenování formální, podepsané a zaznamenané v dokumentaci firmy.