Kto potrzebuje przedstawiciela UK GDPR? Wszystko, co musisz wiedzieć (2026)

• Obowiązek dla firm spoza UK oferujących towary/usługi lub monitorujących użytkowników UK
• Nie dotyczy firm z siedzibą w UK lub przetwarzania naprawdę okazjonalnego
• Przedstawiciel musi być wyznaczony na piśmie i opublikowany
• Kary do 17,5 mln £ lub 4% światowego obrotu
• Ceny i usługi różnią się w zależności od dostawcy: szczegółowe porównanie poniżej

Zaktualizowane 21 October 2026 · 9 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 21 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Co wymaga prawo: Artykuł 27 UK GDPR

Artykuł 27 UK GDPR stanowi, że każdy administrator lub podmiot przetwarzający nieposiadający siedziby w Wielkiej Brytanii, ale oferujący towary lub usługi osobom w Wielkiej Brytanii lub monitorujący ich zachowanie, musi na piśmie wyznaczyć przedstawiciela UK GDPR. Przedstawiciel musi mieć siedzibę w Wielkiej Brytanii i pełnić rolę lokalnego punktu kontaktowego dla osób, których dane dotyczą, oraz dla Information Commissioner's Office (ICO). Obowiązek dotyczy niezależnie od fizycznej obecności serwerów czy infrastruktury w UK: liczy się rzeczywista i ciągła działalność (nie wystarczy adres pocztowy czy magazyn zewnętrzny).

• Obowiązek wyznaczenia: Nominacja musi być pisemna i opublikowana w polityce prywatności z dostępnymi danymi kontaktowymi.
• Odpowiedzialność: Przedstawiciel działa jako punkt kontaktowy, ale nie zwalnia administratora/podmiotu przetwarzającego z odpowiedzialności i obowiązków (Art. 27(4)).
• Zwolnienia: Obowiązek nie dotyczy, jeśli przetwarzanie jest naprawdę okazjonalne, nie obejmuje danych wrażliwych ani karnych i nie niesie ryzyka dla praw osób (Art. 27(2)-(6)). Wszystkie warunki muszą być spełnione.
• Kary: Brak nominacji jest samodzielnym naruszeniem i może skutkować karami do 17,5 mln £ lub 4% światowego obrotu (źródło).

Przepisy dotyczą każdej firmy spoza UK, która:

• Sprzedaje produkty lub usługi klientom w Wielkiej Brytanii (także B2B, jeśli przetwarzane są dane osobowe)
• Monitoruje zachowanie osób w Wielkiej Brytanii (np. przez cookie, analitykę, reklamy targetowane)

Źródła: Artykuł 27 UK GDPR, ICO

Jak wybrać dostawcę: kryteria, porównanie i usługi w cenie

Wybór dostawcy przedstawicielstwa UK GDPR jest kluczowy, by uniknąć błędów zgodności i ukrytych kosztów. Oto praktyczne kryteria do oceny:

• Zakres terytorialny: Niektórzy dostawcy oferują tylko UK, inni także przedstawicielstwo UE (przydatne dla firm sprzedających na oba rynki).
• Cena i odnowienie: Ceny wahają się od 120 £ do ponad 750 £ rocznie; sprawdź, czy odnowienie jest ze zniżką lub czy są dodatkowe opłaty.
• Usługi w cenie: Poza formalną nominacją niektórzy dostawcy oferują odznaki weryfikacyjne, teksty do polityki prywatności, obsługę DSAR, rejestry przetwarzań, ścieżki audytu i wielojęzyczne biura obsługi.
• Czas nominacji: REP27 wydaje nominację w ciągu 24 godzin; inni dostawcy nie zawsze podają czas realizacji.
• Certyfikaty i weryfikacje publiczne: REP27 zapewnia certyfikat z kodem QR i publiczną weryfikację; inni oferują odznaki lub Trust Center.

Tabela usług w cenie (październik 2026):

Najlepszy wybór zależy od miejsca działalności, potrzeb audytowych i konieczności pokrycia UK+UE. Jeśli sprzedajesz na obu rynkach, rozwiązanie łączone jak REP27 zmniejsza koszty i złożoność administracyjną.

Co naprawdę obejmuje cena: szczegóły i matryca decyzji

Cena podawana przez dostawców może obejmować bardzo różne usługi. Niektórzy oferują tylko formalną nominację, inni dołączają narzędzia audytowe, odznaki weryfikacyjne, teksty do polityki prywatności, obsługę DSAR, rejestry przetwarzań i wielojęzyczne biura obsługi. Ważne jest, by sprawdzić, co faktycznie jest w cenie, a co jest opcjonalne lub płatne dodatkowo.

Na przykład REP27 oferuje dwie nominacje (UK+UE), dwa certyfikaty, teksty do polityki prywatności w 8 językach, biuro zgłoszeń, rejestr przetwarzań i odznakę weryfikowalną. Gabsor i Euverify oferują też Trust Center, odznakę, ścieżkę audytu i obsługę DSAR. FSREG, GDPR Gateway, Janus i DataRep UK koncentrują się na przedstawicielstwie UK z podstawową obsługą i przekazywaniem zgłoszeń.

Praktyczna tabela decyzyjna:

Uwaga: „Przetwarzanie okazjonalne” jest interpretowane restrykcyjnie. Nawet mały e-commerce z regularnymi zamówieniami nie jest traktowany jako okazjonalny. W razie wątpliwości zawsze konsultuj się z dostawcą przed zakupem.

Ukryte koszty i ograniczenia: czego dostawcy nie mówią

Wielu dostawców nie podkreśla wyraźnie pewnych warunków i ograniczeń:

• Ograniczona odpowiedzialność: Przedstawiciel nie ponosi prawnej odpowiedzialności za administratora/podmiot przetwarzający; pełni tylko funkcję punktu kontaktowego (Art. 27(4)).
• Wyłączenia: Żaden dostawca nie pełni funkcji IOD ani nie oferuje doradztwa w zakresie prywatności w cenie przedstawicielstwa. Doradztwo jest często „Na życzenie” i może wiązać się z dodatkowymi kosztami.
• Dodatkowe opłaty: Niektórzy dostawcy naliczają opłaty za skomplikowane zgłoszenia, zmiany danych, zaawansowane audyty lub obsługę dużej liczby zgłoszeń. Koszty te są często „Na życzenie” i nie zawsze jawne.
• Okres wypowiedzenia: Okres wypowiedzenia usługi nie jest zawsze określony. Ważne jest sprawdzenie warunków umowy.
• Odnowienie i zmiana dostawcy: REP27 oferuje odnowienie po obniżonej cenie i ułatwiony switch z innego dostawcy, inni mogą nie mieć takich udogodnień.

Podsumowująca tabela wyłączeń i ograniczeń (październik 2026):

Praktyczna rada: zawsze proś dostawcę o pisemną listę usług w cenie i ewentualnych dodatkowych opłat przed podpisaniem umowy.

Jak przebiega nominacja: krok po kroku, lista kontrolna i terminy

Nominacja przedstawiciela UK GDPR to proces, który można szybko zakończyć, jeśli postępuje się zgodnie z właściwymi krokami. Oto praktyczny przewodnik krok po kroku:

1. Sprawdź, czy podlegasz obowiązkowi: Odpowiedz na trzy kluczowe pytania: (1) Czy masz siedzibę poza Wielką Brytanią? (2) Czy oferujesz towary/usługi lub monitorujesz użytkowników UK? (3) Czy przetwarzasz dane osobowe?
2. Wybierz dostawcę: Oceń zakres (tylko UK czy także UE), usługi w cenie, cenę i czas realizacji.
3. Wypełnij formularz nominacji: Podaj dane firmy, opis przetwarzań, osoby kontaktowe i wymagane dokumenty. Z REP27 proces trwa około 5 minut.
4. Odbierz nominację: Dostawca wystawia nominację podpisaną, certyfikat i tekst do polityki prywatności (REP27 w 24 godziny).
5. Zaktualizuj politykę prywatności: Wstaw tekst dostarczony przez dostawcę z danymi przedstawiciela UK i sposobami kontaktu.
6. Opublikuj i poinformuj: Upewnij się, że nominacja jest łatwo dostępna dla użytkowników i organów.
7. Odnowienie co roku: Śledź termin ważności i odnawiaj, by uniknąć przerw w zgodności.

Szybka lista kontrolna:

• Czy masz klientów lub użytkowników w UK?
• Czy oferujesz usługi lub monitorujesz zachowania?
• Czy masz już wyznaczonego przedstawiciela?
• Czy zaktualizowałeś politykę prywatności?
• Czy sprawdziłeś zakres i usługi w cenie?

Typowy czas realizacji to od 24 godzin (REP27) do kilku dni roboczych, w zależności od dostawcy i kompletności danych.

Ryzyka, kary i przykłady: rzeczywiste scenariusze

Brak nominacji przedstawiciela UK GDPR, gdy jest wymagany, niesie realne ryzyko: kary do 17,5 mln £ lub 4% światowego obrotu (źródło), blokadę relacji handlowych i szkody reputacyjne. Przedstawiciel nie eliminuje odpowiedzialności administratora, ale zapewnia lokalny punkt kontaktowy dla użytkowników i ICO.

Trzy rzeczywiste scenariusze:

• US SaaS oferujący usługi użytkownikom UK i UE: Musi wyznaczyć przedstawiciela zarówno UK, jak i UE. Najefektywniejsze rozwiązanie: dostawca oferujący nominację łączoną (np. REP27), z jednym procesem i oddzielnymi dokumentami.
• Chiński sprzedawca na Amazon UK: Nawet bez fizycznej siedziby, jeśli sprzedaje klientom UK, musi wyznaczyć przedstawiciela UK GDPR. Może wybrać dostawcę skoncentrowanego tylko na UK lub, jeśli sprzedaje też w UE, rozwiązanie łączone.
• Sklep online UK sprzedający tylko w UK: Jeśli ma siedzibę w Wielkiej Brytanii (biuro, oddział, personel), nie ma obowiązku przedstawiciela. Jeśli jest firmą UE sprzedającą klientom UK, musi wyznaczyć przedstawiciela UK GDPR.

Praktyczna matryca decyzji:

Porada: nie czekaj na wezwanie ICO lub klienta. Nominacja jest obowiązkowa z wyprzedzeniem, a brak zgodności może być wykryty także podczas kontroli online.