Kto potrzebuje inspektora ochrony danych w UE? Dostawcy i ceny 2026

• Obowiązek IOD: organy publiczne lub szeroka kontrola/szczególne dane (art. 37 RODO)
• Przedstawiciel UE zgodnie z art. 27 RODO dla firm spoza UE z klientami lub użytkownikami z UE
• Kary do 10 mln € lub 2% światowego obrotu za naruszenie (art. 83 RODO)
• REP27: przedstawiciel UE dla całego EOG od 290 €/rok, w tym certyfikat i więcej
• Zakres usług i dodatkowe opłaty różnią się znacznie między dostawcami
• Nie każdy potrzebuje IOD lub przedstawiciela UE – zobacz matrycę decyzyjną

Zaktualizowane 19 October 2026 · 6 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 19 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Co wymaga RODO? (artykuły 27, 37, 83)

Ogólne rozporządzenie o ochronie danych (RODO) rozróżnia dwie kluczowe role: inspektora ochrony danych (IOD) oraz przedstawiciela UE. Obowiązki te dotyczą różnych firm i sytuacji:

• Inspektor ochrony danych (IOD, art. 37-39): IOD jest obowiązkowy dla organów publicznych oraz firm, których główna działalność obejmuje szeroko zakrojoną, systematyczną kontrolę osób lub szerokie przetwarzanie szczególnych kategorii danych osobowych (np. dane zdrowotne, poglądy polityczne). Zadania IOD określa art. 39 RODO i obejmują doradztwo, nadzór nad przestrzeganiem przepisów, punkt kontaktowy dla organów i osób oraz wsparcie przy ocenach skutków dla ochrony danych.
• Przedstawiciel UE (art. 27): Firmy spoza UE, które oferują towary lub usługi osobom w UE lub monitorują zachowanie obywateli UE (np. śledzenie, analityka), muszą wyznaczyć pisemnego przedstawiciela UE. Przedstawiciel jest punktem kontaktowym dla organów nadzorczych i osób oraz prowadzi rejestr czynności przetwarzania (art. 30), jeśli dostawca to realizuje.

Obowiązek wyznaczenia przedstawiciela UE nie dotyczy, jeśli przetwarzanie jest sporadyczne, nie obejmuje szczególnych danych i nie stanowi ryzyka dla praw i wolności osób. Wyznaczenie IOD nie jest wymagane dla wielu małych firm, jeśli nie prowadzą szerokiej kontroli lub przetwarzania szczególnych danych.

Kary: Naruszenie obowiązku wyznaczenia przedstawiciela UE może skutkować karą do 10 mln € lub 2% światowego rocznego obrotu (art. 83 ust. 4 RODO). Holenderski organ nadzoru nałożył np. na Locatefamily.com karę 525 000 € za brak przedstawiciela UE.

Obowiązek wyznaczenia IOD reguluje art. 37 RODO (źródło), zadania art. 39 (źródło), a kary art. 83 (źródło).

Jak wybrać odpowiedniego dostawcę? Kluczowe kryteria i porównanie

Wybór odpowiedniego przedstawiciela UE lub dostawcy usług IOD jest kluczowy dla zgodności z przepisami. Oferty różnią się znacznie pod względem zakresu usług, czasów reakcji i ukrytych kosztów. Należy zwrócić uwagę na:

• Czy dostawca pisemnie akceptuje obowiązki zgodnie z art. 27 RODO? Prawdziwe pełnomocnictwo musi wyraźnie obejmować obowiązki wynikające z art. 27. Samo udostępnienie skrzynki pocztowej lub adresu nie wystarczy.
• Kto prowadzi rejestr czynności przetwarzania (art. 30)? RODO wymaga, aby przedstawiciel na żądanie udostępniał ten rejestr. Nie wszyscy dostawcy to realizują.
• Czasy reakcji na zapytania: Jak szybko są przekazywane zapytania od organów nadzorczych lub osób? Obietnica „best-efforts” bez terminu jest ryzykowna. REP27 gwarantuje przekazanie w ciągu 2 dni roboczych (standard: tego samego dnia przy zapytaniach od organów).
• Języki: Czy zapytania są obsługiwane w kilku językach UE? REP27 oferuje obsługę w 8 językach, wiele ofert podstawowych tylko po angielsku.
• Dodatkowe opłaty: Czy wszystkie usługi są w cenie, czy są opłaty za zapytanie, język lub prowadzenie rejestru?

Porównanie bezpośrednie:

Zawsze żądaj pisma wyznaczającego i sprawdź, czy obowiązki z art. 27 są wyraźnie przejęte. Poproś o pisemne potwierdzenie zakresu usług i struktury kosztów przed zawarciem umowy.

Co jest w cenie? Gdzie czyhają ukryte koszty?

Modele cenowe dla przedstawicieli UE i usług IOD są bardzo różne. Wielu dostawców przyciąga niskimi cenami startowymi, ale nalicza dodatkowe opłaty za każde zapytanie od osób lub organów (typowo 25–90 € za zapytanie). Prowadzenie rejestru art. 30 bywa dodatkowo płatne (100–400 €/rok). W REP27 od taryfy standard wszystkie zapytania są w cenie, rejestr prowadzony, brak ukrytych opłat. Sprawdź szczególnie:

• Czy cena dotyczy pojedynczego zapytania, czy nieograniczonych zapytań
• Czy rejestr art. 30 jest w cenie
• Czy odnowienie jest droższe (w REP27 cena spada w kolejnym roku)
• Czy dodatkowe języki są płatne

Niektórzy oferują tylko adres pocztowy bez faktycznego przejęcia obowiązków prawnych. To niezgodne z przepisami i może skutkować karami. Poniższe zestawienie pokazuje typowe pułapki cenowe:

Przeczytaj uważnie warunki i żądaj pełnego wykazu usług przed zobowiązaniem się.

Jak przebiega wyznaczenie? Instrukcja krok po kroku i matryca decyzyjna

Wyznaczenie przedstawiciela UE lub IOD u rzetelnych dostawców przebiega według jasnego schematu. Tak zapewnisz zgodność z przepisami:

1. Sprawdź, czy potrzebujesz przedstawiciela UE lub IOD (patrz matryca poniżej).
2. Porównaj dostawców i poproś o pismo wyznaczające do weryfikacji.
3. Wypełnij formularz wdrożeniowy (dane firmy, przetwarzanie, osoby kontaktowe).
4. Otrzymaj podpisane pismo i certyfikat (w REP27 w ciągu 24 godzin).
5. Opublikuj dane kontaktowe przedstawiciela w polityce prywatności (art. 13/14 RODO).
6. Przygotuj rejestr art. 30 lub zleć jego prowadzenie dostawcy.
7. W razie potrzeby wykonaj bezpłatną kontrolę reprezentacji w Szwajcarii (REP27).

Matryca decyzyjna:

Matryca pomaga uniknąć błędnych inwestycji i wybrać odpowiednie rozwiązanie zgodności.

Lista kontrolna na dziś:

1. Sprawdź, czy podlegasz pod art. 27 lub 37 RODO.
2. Porównaj co najmniej trzech dostawców (zakres usług, cena, dodatkowe opłaty).
3. Poproś o pismo wyznaczające i sprawdź przejęcie obowiązków.
4. Zapytaj o prowadzenie rejestru art. 30 i czasy reakcji.
5. Zamów usługę i udokumentuj wyznaczenie.
6. Zaktualizuj politykę prywatności i procesy wewnętrzne.

Czego dostawcy często nie mówią: wyłączenia, wypowiedzenie, odpowiedzialność

Wielu dostawców pomija w marketingu ważne szczegóły, które mogą mieć kluczowe znaczenie w razie problemów:

• Brak doradztwa prawnego: Przedstawiciel UE nie może świadczyć doradztwa prawnego w ramach reprezentacji. W kwestiach prawnych potrzebny jest osobny prawnik lub IOD.
• Odpowiedzialność pozostaje po stronie zleceniodawcy: Zgodnie z art. 27 ust. 5 RODO odpowiedzialność za naruszenia ochrony danych zawsze spoczywa na administratorze lub podmiocie przetwarzającym. Przedstawiciel jest tylko punktem kontaktowym i nie odpowiada za błędy zleceniodawcy.
• Okresy wypowiedzenia i automatyczne odnowienia: Warunki wypowiedzenia różnią się. W REP27 wypowiedzenie jest możliwe z 30-dniowym wyprzedzeniem przed odnowieniem. Sprawdź, jak regulowane jest przekazywanie zapytań i rejestrów.
• Opłaty za zapytania: Wielu dostawców nalicza dodatkowe opłaty za każde zapytanie od osób lub organów, ukryte w regulaminie. W REP27 Standard i Multi wszystkie zapytania są w cenie.
• Języki i obsługa: Usługa reklamowana na cały obszar UE często jest dostępna tylko po angielsku. REP27 oferuje obsługę w 8 językach, co ułatwia spełnienie wymogów prawnych.
• Brak przejęcia specjalnej odpowiedzialności produktowej: Rola odpowiedzialnego GPSR lub autoryzowanego przedstawiciela CE jest dostępna tylko w taryfie Multi REP27, nie w podstawowej.

Dokładnie przeczytaj regulamin i pismo wyznaczające. Sprawdź, czy dostawca gwarantuje przekazanie dokumentów przy zmianie dostawcy.

Trzy realistyczne scenariusze: jak prawidłowo spełnić obowiązek

1. US SaaS z klientami w UE: Amerykańska firma software’owa oferuje rozwiązanie w chmurze dla klientów UE. Nie przetwarza szczególnych danych, ale monitoruje aktywność użytkowników (np. logowania, statystyki). Wynik: obowiązek przedstawiciela UE zgodnie z art. 27 RODO. IOD jest wymagany tylko przy szerokiej kontroli lub przetwarzaniu szczególnych danych. Najtańsze i zgodne rozwiązanie: REP27 Standard – wszystkie zapytania w cenie, prowadzenie rejestru, obsługa w 8 językach.
2. Chiński sprzedawca na Amazon: Sprzedawca z Chin sprzedaje na Amazon.de klientom UE. Potrzebuje przedstawiciela UE (art. 27 RODO) i ewentualnie odpowiedzialnego GPSR za zgodność produktu. IOD nie jest wymagany, jeśli nie ma szerokiej kontroli lub szczególnych danych. Kompleksowe rozwiązanie: REP27 Multi – przedstawiciel UE i GPSR w jednej umowie, jeden kontakt, certyfikat.
3. UK sklep online bez klientów UE: Brytyjski sklep internetowy sprzedaje wyłącznie klientom w Wielkiej Brytanii i nie przetwarza danych obywateli UE. Wynik: brak obowiązku wyznaczenia przedstawiciela UE lub IOD. Obowiązek powstaje dopiero przy celowym kierowaniu oferty lub dostawie do klientów UE.

Scenariusze pokazują, jak ważne jest sprawdzenie modelu biznesowego. Kto celowo kieruje ofertę do klientów UE lub monitoruje ich zachowanie, musi wyznaczyć przedstawiciela UE – niezależnie od wielkości firmy.