Które firmy muszą wyznaczyć przedstawiciela GDPR w UE?

• Obowiązek dla firm spoza UE przetwarzających dane osób w UE (art. 3(2), 27 GDPR)
• Zwolnienia: organy publiczne, przetwarzanie okazjonalne/nie na dużą skalę/bez wysokiego ryzyka (art. 27(2))
• Kary do 10 mln € lub 2% globalnego obrotu (art. 83(4)(a))
• Przedstawiciel to punkt kontaktowy dla organów i osób, których dane dotyczą (art. 4(17))
• Ceny roczne: od 290 € do ponad 1 000 € (październik 2026)
• Usługi i koszty różnią się: uwaga na dodatkowe żądania, języki i odnowienia

Zaktualizowane 18 October 2026 · 6 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 18 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Co wymaga prawo: kluczowe artykuły GDPR

Obowiązek wyznaczenia przedstawiciela w UE wynika z artykułu 27 GDPR, który dotyczy każdego administratora lub podmiotu przetwarzającego nieustanowionego w Unii Europejskiej, ale oferującego towary lub usługi osobom w UE albo monitorującego ich zachowanie (art. 3(2) GDPR). Obowiązek ten dotyczy zarówno firm B2C, jak i B2B, jeśli przetwarzają dane osobowe osób w UE. Przedstawiciel, zdefiniowany w art. 4(17) GDPR, to osoba fizyczna lub prawna z siedzibą w UE wyznaczona jako punkt kontaktowy dla organów nadzorczych i osób, których dane dotyczą.

Istnieją konkretne zwolnienia (art. 27(2) GDPR): organy publiczne, przetwarzanie okazjonalne, nie na dużą skalę i bez wysokiego ryzyka dla praw i wolności osób. Jeśli choć jeden z tych warunków nie jest spełniony, obowiązek wyznaczenia nadal obowiązuje.

Kary za brak wyznaczenia są surowe: art. 83(4)(a) GDPR przewiduje grzywny do 10 mln € lub 2% rocznego globalnego obrotu. Przykład: Locatefamily.com została ukarana grzywną 525 000 € za brak przedstawiciela.

Poza wyznaczeniem, przedstawiciel musi być formalnie powołany na podstawie pisemnego mandatu i wyrazić zgodę na rolę. Sama publikacja adresu nie wystarcza. Ponadto przedstawiciel musi być w stanie na żądanie organów przedstawić rejestr czynności przetwarzania (art. 30 GDPR).

Podsumowując, wyznaczenie przedstawiciela UE jest obowiązkowe dla większości firm spoza UE, które działają bezpośrednio lub pośrednio na danych osobowych mieszkańców UE, z nielicznymi wyjątkami.

Jak wybrać przedstawiciela UE: praktyczne kryteria i porównanie usług

Wybór przedstawiciela GDPR UE to nie tylko kwestia ceny: kluczowe jest zrozumienie, co faktycznie obejmuje usługa. Dostawcy dzielą się na trzy kategorie:

• Tier 1 – tylko adres: Oferuje jedynie adres pocztowy w UE, który przekazuje korespondencję. Nie akceptuje formalnie obowiązków art. 27, nie prowadzi rejestrów, nie gwarantuje terminów odpowiedzi. To najtańsze, ale ryzykowne rozwiązanie.
• Tier 2 – pełne wyznaczenie: Zapewnia pisemny mandat, biuro obsługi zgłoszeń, prowadzenie rejestru art. 30, gwarantowaną odpowiedź organom w określonym czasie. To, czego wymaga GDPR.
• Tier 3 – kancelaria prawna: Oprócz reprezentacji oferuje doradztwo prawne i dodatkowe usługi, ale za znacznie wyższą cenę, często niepotrzebną większości firm.

Porównanie usług w tabeli:

Praktyczna rada: zawsze żądaj wzoru mandatu przed zakupem, sprawdź, kto prowadzi rejestr art. 30 i jakie języki są obsługiwane. Tania usługa, która nie akceptuje formalnie obowiązków art. 27, niesie wysokie ryzyko.

Co naprawdę obejmuje cena i jak rozpoznać ukryte koszty

Ceny przedstawicieli GDPR UE bardzo się różnią, od poniżej 300 € do ponad 2 000 € rocznie (październik 2026), ale różnice często wynikają z zakresu usług. Na co zwrócić uwagę:

• Opłata za zgłoszenie: Niektórzy dostawcy pobierają dodatkową opłatę (od 25 € do 90 €) za każde zgłoszenie osoby lub organu, inni (np. REP27 od Standard) oferują nieograniczone zgłoszenia w cenie.
• Obsługa rejestru art. 30: GDPR wymaga, by przedstawiciel prowadził rejestr czynności przetwarzania. Niektóre podstawowe plany tego nie zawierają lub wymagają dodatkowej opłaty (do 400 €/rok).
• Obsługiwane języki: Często tylko angielski jest w planach podstawowych; obsługa wielojęzyczna może być dodatkowo płatna.
• Opłaty za onboarding/konfigurację: Niektórzy dostawcy pobierają opłaty aktywacyjne do 250 €.
• Podwyżki przy odnowieniu: Koszt może wzrosnąć od drugiego roku. REP27 oferuje niższe odnowienia niż cena pierwszego roku.

Podsumowanie ukrytych kosztów w tabeli:

Rada: zawsze proś o symulację całkowitych kosztów dla Twojego scenariusza (liczba zgłoszeń, języki, odnowienia) i sprawdź, co się dzieje po przekroczeniu limitów.

Jak przebiega wyznaczenie: krok po kroku i lista kontrolna

Wyznaczenie przedstawiciela GDPR UE odbywa się według określonego schematu. Oto jak postępować:

1. Sprawdź obowiązek: Zweryfikuj, czy Twoja firma oferuje towary/usługi lub monitoruje osoby w UE (art. 3(2), 27 GDPR).
2. Wybierz dostawcę: Oceń ceny, zakres usług, języki i ukryte koszty. Zawsze żądaj wzoru wyznaczenia.
3. Ukończ onboarding: Prześlij dane firmy i wymagane informacje dostawcy. Niektórzy, jak REP27, wymagają też wypełnienia rejestru art. 30 (od Standard).
4. Odbierz dokumenty: Uzyskaj podpisany przez obie strony list wyznaczenia, certyfikat QR i instrukcje do polityki prywatności.
5. Opublikuj dane: Umieść nazwę, adres i email przedstawiciela w polityce prywatności (art. 13/14 GDPR).
6. Rozpocznij działanie: Dostawca obsługuje otrzymane zgłoszenia i przekazuje je w określonym terminie (np. do 2 dni roboczych z REP27, ten sam dzień dla organów od Standard).

Lista kontrolna:

1. Sprawdź art. 3(2) i 27 GDPR
2. Poproś i przeczytaj wzór wyznaczenia
3. Zapytaj, kto prowadzi rejestr art. 30
4. Zweryfikuj gwarantowane terminy odpowiedzi
5. Oblicz całkowite koszty (zgłoszenia, języki, odnowienia)
6. Upewnij się, że publikacja w polityce prywatności jest zgodna

Uwaga: wyznaczenie jest ważne tylko, jeśli przedstawiciel formalnie zaakceptuje rolę na piśmie, a list jest podpisany przez obie strony.

Ryzyka i kary: co się dzieje przy niewypełnieniu obowiązku

Brak wyznaczenia przedstawiciela UE, gdy jest wymagany, stanowi samodzielne naruszenie GDPR (art. 83(4)(a)). Organy nadzorcze mogą nałożyć kary do 10 mln € lub 2% rocznego globalnego obrotu, w zależności od tego, która kwota jest wyższa. Kary te obowiązują nawet jeśli wszystkie inne wymogi GDPR są spełnione, ale brakuje formalnego wyznaczenia.

Przykład z życia: Locatefamily.com została ukarana grzywną 525 000 € przez holenderski organ za brak przedstawiciela. Ponadto organy mogą nakazać zawieszenie przetwarzania lub publikację naruszenia.

Inne praktyczne ryzyka:

• Niekompletny mandat (np. tylko adres pocztowy) nie chroni przed karami
• Brak terminowej odpowiedzi organom może pogorszyć sytuację
• Odpowiedzialność pozostaje zawsze po stronie administratora/podmiotu (art. 27(5)), nawet jeśli przedstawiciel jest wyznaczony

Podsumowanie: wybór dostawcy tylko ze względu na najniższą cenę, bez sprawdzenia formalnego przyjęcia obowiązków art. 27 i prowadzenia rejestru art. 30, naraża na poważne ryzyka prawne i reputacyjne.

Czego dostawcy często nie mówią: ograniczenia, wyłączenia i odnowienia

• Wiele planów podstawowych to tylko adresy pocztowe: Nie akceptują formalnie obowiązków art. 27, nie prowadzą rejestrów, nie gwarantują odpowiedzi organom.
• Koszty za zgłoszenie mogą przewyższyć roczną opłatę: Miesiąc z dużą liczbą zgłoszeń może znacznie podnieść wydatki.
• Obsługa wielojęzyczna jest rzadka: Często tylko angielski jest w cenie; REP27 oferuje biuro w 8 językach od Standard.
• Odnowienia często są droższe po pierwszym roku: Wielu dostawców stosuje ceny promocyjne tylko na pierwszy rok; REP27 oferuje niższe i przejrzyste odnowienia.
• Odpowiedzialność prawna zawsze po stronie klienta: Przedstawiciel nie odpowiada za naruszenia, które pozostają po stronie administratora/podmiotu (art. 27(5)).
• Częste wyłączenia: Dane wrażliwe (art. 9), dane sądowe (art. 10), usługi dla dzieci, hazard, farmaceutyki, broń, kryptowaluty często nie są akceptowane.

Rada: zawsze żądaj pisemnej listy, co jest w cenie, co wyłączone oraz warunków odnowienia i rezygnacji.

Macierz decyzyjna: kto musi wyznaczyć przedstawiciela? (B2B, B2C, marketplace, rozmiar)

W praktyce: większość firm spoza UE mających klientów, użytkowników lub odbiorców w UE musi wyznaczyć przedstawiciela, zarówno B2B, jak i B2C, zarówno na własnej stronie, jak i na marketplace.

3 praktyczne scenariusze: jaki obowiązek i jakie rozwiązanie wybrać

1. SaaS USA z klientami UE: Amerykański dostawca SaaS sprzedający subskrypcje firmom lub użytkownikom UE musi wyznaczyć przedstawiciela UE, opublikować dane w polityce prywatności i prowadzić rejestr art. 30. Rozwiązanie: plan Standard REP27, który obejmuje nieograniczone zgłoszenia, prowadzenie rejestru i biuro wielojęzyczne.
2. Chiński sprzedawca na Amazon: Firma z Chin sprzedająca produkty konsumentom UE przez Amazon podlega obowiązkowi. Jeśli sprzedaje też do Szwajcarii, trzeba rozważyć obowiązek nFADP. Rozwiązanie: plan Multi REP27, który zawiera także bezpłatną ocenę szwajcarską.
3. Sklep online UK tylko B2B: Jeśli nie przetwarza danych osób fizycznych UE (tylko firmy, bez kontaktów osobistych), może być zwolniony. Jeśli jednak zbiera dane administratorów/użytkowników UE, obowiązek istnieje. Rozwiązanie: ocena indywidualna, ale w razie wątpliwości lepiej wyznaczyć przedstawiciela.

Te scenariusze pokazują, że ocena powinna uwzględniać zarówno rodzaj klienteli (B2B/B2C), jak i typ danych oraz obecność monitoringu.