Jak porovnat ceny zástupců GDPR pro EU a UK

• Článek 27 GDPR a UK GDPR vyžadují samostatné zástupce pro EU a UK
• Ceny a služby se liší: vždy ověřte, co je zahrnuto a skryté náklady
• Někteří poskytovatelé nabízejí oba mandáty v jednom objednání
• Pozor na poplatky za zřízení, limity na požadavky, obnovy a vyloučené služby
• Ne všechny firmy službu potřebují: ověřte svou situaci

Aktualizováno 20 October 2026 · 9 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 20 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co vyžaduje zákon: Článek 27 GDPR a UK GDPR

Článek 27 GDPR stanoví, že každý správce nebo zpracovatel, který není usazen v EU, ale nabízí zboží nebo služby osobám v EU nebo sleduje jejich chování, musí písemně jmenovat zástupce v Unii. Toto pravidlo platí i pro Spojené království dle článku 27 UK GDPR. Zástupce musí být fyzická nebo právnická osoba skutečně usazená na území a formálně přijmout mandát. Jmenování musí být uvedeno v zásadách ochrany osobních údajů s identitou a kontakty zástupce. Nepřítomnost jmenování je samostatným porušením, sankcionovatelným až do výše 10 milionů eur nebo 2 % celosvětového obratu podle článku 83 GDPR. Konkrétní případ: Locatefamily.com byla pokutována 525 000 € nizozemským úřadem za nenominování zástupce.

Od roku 2021, po Brexitu, firmy zpracovávající data občanů EU i UK musí jmenovat dva samostatné zástupce, jednoho pro každé území, protože předpisy jsou nyní oddělené. Existence rozhodnutí o přiměřenosti (např. mezi EU a UK) tuto povinnost neodstraňuje: přiměřenost se týká přenosu dat, nikoli právní reprezentace pro práva subjektů údajů nebo požadavky úřadů.

Jak vybrat správného zástupce GDPR

Výběr nejvhodnějšího zástupce GDPR závisí na několika praktických a strategických faktorech. Nejprve ověřte, zda vaše firma potřebuje zástupce jak pro EU, tak pro UK: mnoho firem mimo EU/UK, které prodávají nebo monitorují uživatele v obou oblastech, musí jmenovat dva samostatné zástupce. Někteří poskytovatelé, jako REP27, nabízejí oba mandáty v jednom objednání, což usnadňuje správu a snižuje náklady oproti samostatným nákupům.

Zvažte pečlivě:

• Územní pokrytí: je poskytovatel skutečně usazen v EU a/nebo UK?
• Zveřejněná cena: zohledněte roční náklady i případné poplatky za zřízení, obnovu nebo další požadavky.
• Zahrnuté služby: ověřte, zda jsou zahrnuty správa požadavků, vícejazyčné znění zásad ochrany osobních údajů, vedení záznamů dle čl. 30 a poskytování ověřitelných certifikátů.
• Snadnost nástupu a obnovy: jednotný proces pro obě území snižuje chyby a riziko prošlých termínů.
• Jazyková podpora a podpora požadavků: klíčové pro firmy působící ve více evropských zemích.

Nejlepší volba závisí na vašem obchodním modelu, přítomnosti na více trzích a potřebě zjednodušit soulad s předpisy v různých jurisdikcích.

Co skutečně cena zahrnuje: pozor na detaily

Ceny zveřejněné poskytovateli se mohou výrazně lišit nejen výší, ale hlavně tím, co skutečně zahrnují. Někteří poskytovatelé účtují vysoké poplatky za zřízení (až €2,000), jiní omezují počet požadavků bez dalších nákladů (Janus Compliance: 50/rok, pak £8 za každý). REP27 nabízí ke každému placenému plánu také bezplatné posouzení pro Švýcarsko dle nového federálního zákona (nFADP) s podepsaným prohlášením o výjimce, pokud zástupce ve Švýcarsku není potřeba.

Důležité je ověřit:

• Počet požadavků zahrnutých v plánu
• Skutečnou vícejazyčnou podporu (např. texty ochrany osobních údajů v 8 jazycích u REP27)
• Správu záznamů dle čl. 30: někteří poskytovatelé je vedou jen v pokročilých plánech
• Veřejně ověřitelné certifikáty a odznaky
• Výši obnovovacích poplatků oproti prvnímu roku

Praktický příklad: nákup samostatného zástupce pro EU a UK může zdvojnásobit náklady (např. REP27: €290 + €290 = €580), zatímco kombinovaný plán začíná na €390. GDPR Gateway účtuje poplatek za zřízení až €2,000, který je třeba započítat do prvního roku.

Souhrnná tabulka:

Skryté náklady a podmínky: co poskytovatelé často neříkají

Mnoho poskytovatelů nezdůrazňuje některé náklady a podmínky, které mohou výrazně ovlivnit výdaje a správu souladu. Například GDPR Gateway účtuje poplatek za zřízení až €2,000 navíc k ročnímu poplatku. Janus Compliance omezuje počet požadavků na 50 ročně, s příplatkem £8 za každou další. REP27 jasně uvádí, že některé činnosti nepřijímá (citlivá data, děti, vysoce rizikové činnosti, zprostředkování dat, hazard, kryptoměny, zbraně, spotřebitelské léky, činnosti vyžadující licence, které klient nemá).

Další aspekty k zvážení:

• Automatické obnovy: většina poskytovatelů obnovuje službu automaticky, často s výpovědní lhůtou 30 dní (REP27) nebo nespecifikovanou.
• Omezení odpovědnosti: zástupce nenahrazuje DPO, neodpovídá za obsah žádostí, pouze je přeposílá klientovi.
• Správa záznamů: ne všichni poskytovatelé vedou záznamy dle čl. 30, nebo jen v pokročilých plánech.
• Vyloučené služby: právní poradenství, audity, správa složitých požadavků nebo zvláštních kategorií dat jsou často mimo rozsah.

Před výběrem vždy požádejte o písemný seznam zahrnutých služeb, limitů a vyloučení a ověřte si pravidla obnovy a ukončení smlouvy.

Jak probíhá jmenování: krok za krokem

1. Ověřte svou situaci: Jste usazeni mimo EU/UK a nabízíte zboží/služby nebo monitorujete uživatele v těchto územích? Pokud ano, jmenování je povinné.
2. Vyberte poskytovatele: Prohlédněte si tabulku cen a služeb. Pokud potřebujete oba mandáty, ověřte, že je poskytovatel nabízí společně.
3. Vyplňte onboarding formulář: Někteří poskytovatelé (např. REP27) nabízejí jeden formulář pro obě území, což snižuje chyby a čas.
4. Kontrola a podpis: Poskytovatel ověří údaje, připraví mandáty a podepíše je digitálně (REP27 používá eIDAS elektronický podpis).
5. Obdržení certifikátů: Dostanete dva samostatné certifikáty s QR kódem a veřejnou stránkou pro ověření.
6. Aktualizace zásad ochrany osobních údajů: Vložte do nich dvě textové řádky poskytnuté poskytovatelem, jednu pro EU a jednu pro UK, v požadovaných jazycích.
7. Správa požadavků: Poskytovatel přeposílá požadavky od úřadů a subjektů údajů v zákonných lhůtách (např. REP27 do 2 pracovních dnů, priorita u Standard/Multi).
8. Obnova: Jedno datum expirace a jedna faktura usnadňují správu. Pozor na výpovědní lhůtu pro zrušení.

Praktický checklist:

1. Identifikujte cílové země a ověřte potřebu zástupce
2. Porovnejte ceny a služby pomocí tabulky
3. Zkontrolujte limity, skryté náklady a vyloučení
4. Připravte firemní dokumenty požadované poskytovatelem
5. Vyplňte formulář jmenování
6. Obdržíte a archivujte certifikáty
7. Aktualizujte zásady ochrany osobních údajů
8. Monitorujte požadavky přeposílané zástupcem

Rizika a sankce: co se stane, když nezjmenujete zástupce

Nejmenování zástupce, pokud je povinné, vystavuje firmu reálným rizikům a vysokým sankcím. Článek 83 GDPR stanoví pokuty až do výše 10 milionů eur nebo 2 % celosvětového obratu, podle toho, která částka je vyšší. Nepřítomnost jmenování je samostatným porušením: není nutné, aby došlo k úniku dat, aby byla uložena pokuta. Reálný případ: Locatefamily.com byla pokutována 525 000 € nizozemským úřadem pouze za nenominování zástupce.

Kromě pokut mohou následovat:

• Příkazy k pozastavení zpracování dat
• Povinnost okamžitého jmenování s krátkými lhůtami
• Poškození reputace: zveřejnění sankce je běžné
• Ztráta zákazníků a obchodních partnerů požadujících soulad

Úřady mohou jednat i na základě podnětů uživatelů či konkurence. Formální soulad je proto klíčový nejen pro vyhnutí se sankcím, ale i pro udržení důvěry na trhu.

Praktické scénáře: jaké povinnosti a řešení zvolit

• US SaaS s klienty v EU a UK: Musí jmenovat dva samostatné zástupce, jednoho pro EU a jednoho pro UK. Nejefektivnější je vybrat poskytovatele, který nabízí oba mandáty v jednom objednání (např. REP27, GDPR Gateway, Prighter). To snižuje náklady, čas a riziko různých termínů.
• Čínský prodejce na Amazon EU: Pokud prodává spotřebitelům v EU, je povinen jmenovat zástupce EU. Pokud prodává i v UK, potřebuje i zástupce UK. Může ušetřit volbou kombinovaného plánu místo dvou samostatných smluv.
• Online obchod UK prodávající ve Francii: Potřebuje pouze zástupce EU, protože má sídlo v UK. Zástupce UK není potřeba, pokud nenabízí zboží/služby nebo nesleduje uživatele v UK.

Rozhodovací matice:

Tato scénáře pomáhají rychle určit povinnost a nejefektivnější řešení.

Co poskytovatelé obvykle neříkají: vyloučení, limity a odpovědnost

Mnoho poskytovatelů neuvádí některé důležité podmínky:

• Vyloučení činností: REP27 nepřijímá klienty, kteří zpracovávají citlivá data (čl. 9), trestní data (čl. 10), služby pro osoby mladší 16 let, rozsáhlé sledování nebo profilování, zprostředkování dat, hazard, kryptoměny, zbraně, spotřebitelské léky či činnosti vyžadující licence, které klient nevlastní.
• Omezení odpovědnosti: Zástupce neposkytuje právní poradenství, není DPO, neodpovídá za obsah žádostí, pouze je přeposílá klientovi. Substantivní soulad je odpovědností firmy.
• Výpovědní lhůta: REP27 vyžaduje písemné zrušení nejméně 30 dní před vypršením. Jiní poskytovatelé nemusí mít jasné podmínky.
• Poplatky za další požadavky: Janus Compliance účtuje £8 za každou požadavek nad rámec 50 zahrnutých. Jiní poskytovatelé limity nebo poplatky neuvádějí.
• Správa záznamů dle čl. 30: Ne všichni poskytovatelé je vedou; někteří jen v pokročilých plánech.

Před podpisem vždy požádejte o kompletní seznam vyloučení, limitů a podmínek obnovy či ukončení.