Potřebuji zástupce GDPR pro EU i UK?

• Pro EU a UK je potřeba mít samostatné zástupce, pokud cílíte na obě oblasti.
• Článek 27 GDPR (EU) a článek 27 UK GDPR jsou odlišné právní povinnosti.
• Kombinované služby mohou snížit administrativu a náklady oproti samostatným poskytovatelům.
• Pokuty za nedodržení mohou dosáhnout 10 milionů € nebo 2 % celosvětového obratu.
• Firmy založené v EU nebo UK jsou osvobozeny od zástupce pro své vlastní území.

Aktualizováno 18 October 2026 · 7 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 18 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co zákon vyžaduje: Článek 27 EU a UK GDPR

Článek 27 EU GDPR a UK GDPR ukládají jasnou povinnost: pokud vaše společnost není založena v EU nebo UK, ale nabízí zboží či služby nebo monitoruje chování jednotlivců v těchto územích, musíte jmenovat zástupce se sídlem v každém příslušném regionu. Toto platí pro správce i zpracovatele. Zástupce je místním kontaktem pro subjekty údajů a dozorové orgány a jeho údaje musí být uvedeny ve vašich zásadách ochrany osobních údajů.

Po Brexitu se UK GDPR stalo samostatným režimem. To znamená, že zástupce EU nemůže zastupovat UK a naopak. Každé jmenování musí být samostatné, písemné a u entity fyzicky sídlící v dané jurisdikci. Zástupce musí být schopen odpovídat na žádosti jednotlivců i úřadů a může být požadováno, aby držel váš záznam o činnostech zpracování podle článku 30. Nepřidělení zástupce je samostatným porušením s pokutami až do výše 10 milionů € nebo 2 % celosvětového obratu (čl. 83 GDPR).

Existují výjimky: společnosti s reálným sídlem (nikoliv jen poštovní schránkou) v EU nebo UK nepotřebují zástupce pro své vlastní území. Například britská firma prodávající do EU potřebuje zástupce EU, ale ne UK. Naopak firma z EU prodávající do UK potřebuje jen zástupce UK. Firmy se skutečným sídlem v obou regionech jsou osvobozeny od požadavků pro svá území.

Jak vybrat zástupce GDPR: Klíčové faktory

Výběr správného zástupce GDPR je klíčový pro dodržování předpisů a efektivitu provozu. Zde jsou hlavní faktory, které je třeba zvážit:

• Územní pokrytí: Poskytovatel musí být právně založen v EU pro zastoupení EU a v UK pro zastoupení UK. Kombinované služby (např. REP27) mohou vydat obě jmenování v jedné objednávce, což šetří čas a snižuje riziko administrativních chyb.
• Rozsah služeb: Zhodnoťte, zda poskytovatel nabízí pouze zákonný minimum, nebo i přidané hodnoty jako texty do zásad ochrany, vícejazyčnou správu žádostí a vedení záznamů podle článku 30. Například REP27 zahrnuje texty do zásad v 8 jazycích a certifikát ověřitelný QR kódem, zatímco Janus Compliance nastavuje limit korespondence a účtuje příplatky za další položky.
• Obnova a administrativa: Kombinovaní poskytovatelé synchronizují data obnov a dokumentaci, čímž snižují riziko nechtěného propadnutí. Samostatní poskytovatelé znamenají samostatné onboardingy a obnovy, což zvyšuje administrativní zátěž a riziko opomenutí.
• Transparentnost poplatků: Hledejte jasné ceny a zveřejnění případných dalších poplatků (např. za žádost, onboarding nebo další jazyky či certifikáty).
• Vyloučení a omezení: Většina poskytovatelů nevykonává právní poradenství, služby pověřence pro ochranu osobních údajů (DPO) ani audity dodržování. Někteří, jako REP27, také vylučují zvláštní kategorie údajů, děti do 16 let a rozsáhlé monitorování či profilování.

Tabulka zahrnutých / nezahrnutých služeb a příplatků

Co cena skutečně zahrnuje (a nezahrnuje)

Je důležité rozumět, co za svou cenu dostanete. Poskytovatelé se liší nejen cenou, ale i obsahem ročního předplatného:

• REP27 — Europe Services, SE: Za €390/rok (Základ) získáte jmenování podle článku 27 pro EU i UK, dva certifikáty (jeden pro každé území), texty do zásad v několika jazycích, ověření QR kódem, žádostní službu a švýcarské posouzení (pro zjištění potřeby švýcarského zástupce). Základní plán zahrnuje až 10 přeposlaných žádostí ročně; neomezené žádosti a vedení záznamů podle článku 30 jsou v dražších plánech. Právní poradenství, služby DPO a audity nejsou zahrnuty.
• Janus Compliance: Cena je za území: £349/rok pro UK a €449/rok pro EU. Každý plán zahrnuje 50 položek korespondence ročně (kromě korespondence s ICO); každá další položka stojí £8. Kombinované pokrytí EU+UK vyžaduje dvě samostatné předplatné bez slevy. Právní poradenství a neomezená korespondence nejsou zahrnuty.
• Euverify: £490/rok za zastoupení EU nebo UK (plán Startup) s funkcemi jako GDPR zástupce, ROPA Builder, certifikát GDPR zástupce, sjednocená schránka DSR, odznak důvěry, auditní stopa a překlad DSR. Kombinované pokrytí vyžaduje dvě předplatné. Informace o příplatcích na vyžádání.
• Gabsor: $948/rok (plán Essential) za zastoupení EU i UK včetně compliance dashboardu, Trust Center, úryvku zásad ochrany, odznaku, ROPA builderu, správy DSAR a auditní stopy. Informace o příplatcích či limitech na vyžádání.

Vždy si ověřte, zda uvedená cena pokrývá obě oblasti nebo jen jednu. Většina poskytovatelů nezahrnuje právní poradenství, služby DPO ani audity. Někteří vylučují zpracování vysoce rizikových údajů nebo služby zaměřené na děti. Před nákupem si důkladně prostudujte vyloučení a podmínky poskytovatele.

Skryté náklady a co poskytovatelé obvykle nezmiňují

I když se základní ceny mohou zdát podobné, skryté náklady a provozní rizika mohou být významné. Na co si dát pozor:

• Poplatky za žádost: Janus Compliance zahrnuje 50 položek korespondence ročně, ale účtuje £8 za každou další. REP27 Základní plán zahrnuje až 10 žádostí ročně, neomezené žádosti jsou v dražších plánech. Někteří poskytovatelé neuvádějí jasně svou politiku za žádosti, proto si vždy ověřte před závazkem.
• Samostatný onboarding a obnovy: Použití dvou poskytovatelů pro EU a UK znamená dvojnásobnou administrativu a dvě různá data obnov. To zvyšuje riziko propadnutí jmenování, což je porušení článku 27. Kombinované služby (např. REP27) synchronizují obnovy a snižují administrativu.
• Vyloučení: Většina poskytovatelů nevykonává právní poradenství, služby DPO ani audity. REP27 konkrétně vylučuje zvláštní kategorie údajů, děti do 16 let, rozsáhlé monitorování, obchodování s daty, obsah pro dospělé, hazard, kryptoměny, zbraně a farmaceutika. Pokud vaše podnikání spadá do těchto oblastí, nemusíte mít možnost využít některé poskytovatele.
• Výpovědní lhůty: REP27 vyžaduje písemné oznámení minimálně 30 dní před vypršením ke zrušení. Vždy zkontrolujte podmínky zrušení, abyste se vyhnuli nechtěným obnovám.
• Omezení odpovědnosti: Žádný z porovnávaných poskytovatelů nezveřejňuje limity své odpovědnosti v dostupných datech. Vždy si vyžádejte a prostudujte smlouvu poskytovatele ohledně odpovědnosti a odškodnění.

Mějte na paměti, že někteří poskytovatelé nemusí zahrnovat texty do zásad ochrany, vícejazyčnou podporu nebo ověření QR kódem jako standard. Tyto opomenutí mohou vést k nedodržení předpisů nebo zvýšené práci pro váš tým.

Jak probíhá jmenování: Krok za krokem

Jmenování zástupce GDPR je proces, který musí být dokumentován a ověřitelný. Zde je praktický, krok za krokem seznam, který zajistí dodržení předpisů:

1. Zhodnoťte své povinnosti: Určete, zda vaše firma nabízí zboží/služby nebo monitoruje jednotlivce v EU, UK nebo obou.
2. Vyberte poskytovatele: Zvolte poskytovatele se sídlem v požadovaném území (nebo oba pro kombinovanou službu). Prostudujte si jeho vyloučení a zahrnuté funkce.
3. Dokončete onboarding: Vyplňte onboardingový formulář poskytovatele. Kombinované služby jako REP27 používají jeden formulář pro obě území, což šetří čas a snižuje riziko nekonzistentních odpovědí.
4. Kontrola poskytovatele: Poskytovatel zkontroluje vaši žádost a připraví jmenování. U kombinovaných služeb jsou obě mandáty vyhotoveny ze stejných údajů, což zajišťuje konzistenci.
5. Podpisy: EU entita poskytovatele podepíše jmenování pro EU; UK entita podepíše jmenování pro UK. Obdržíte dva samostatné, podepsané dokumenty.
6. Obdržení certifikátů a textů: Obdržíte dva certifikáty (jeden pro každé území), každý s unikátním ověřovacím kódem, a texty do zásad ochrany pro obě oblasti. REP27 poskytuje QR kódy a veřejné ověřovací stránky.
7. Aktualizujte zásady ochrany osobních údajů: Vložte oba texty do svých zásad. Použití pouze jednoho textu pro obě oblasti je nesprávné a může být regulátory zpochybněno.
8. Udržujte soulad: Zajistěte, aby váš zástupce byl schopen reagovat na žádosti subjektů údajů a úřadů. Obnovujte jmenování každý rok a uchovávejte záznamy o veškeré korespondenci.
9. Švýcarské posouzení (je-li relevantní): S REP27 získáte zdarma švýcarské posouzení, zda je potřeba švýcarský zástupce. Pokud ano, budete okamžitě informováni.

Dodržení tohoto seznamu minimalizuje riziko nedodržení a zajistí splnění požadavků článku 27 GDPR i UK GDPR.

Rozhodovací matice: Potřebuji zástupce EU, UK, nebo oba?

Pomocí této matice rychle určíte své povinnosti podle umístění a aktivit vaší firmy:

Tato matice pokrývá B2B, B2C i prodejce na tržištích (Amazon, Etsy, eBay). Pokud vaše firma není založena v EU ani UK, ale cílí na obě oblasti, musíte jmenovat zástupce v obou regionech. Pokud jste založeni v jednom, potřebujete zástupce jen pro druhé území. Pokud jste založeni v obou, zástupce nepotřebujete pro žádné z území.

Reálné scénáře: Která povinnost platí?

• Americká SaaS firma prodávající do EU i UK: Poskytovatel SaaS se sídlem v USA s klienty v EU i UK musí jmenovat zástupce GDPR pro EU i UK. REP27 může vydat obě jmenování v jedné objednávce za €390/rok, poskytuje dva certifikáty a texty do zásad pro obě území. To zjednodušuje dodržování a snižuje administrativní náročnost oproti samostatným poskytovatelům.
• Čínský prodejce na Amazonu s dodávkou do Německa a UK: Čínský prodejce nabízející produkty na Amazon.de i Amazon.co.uk a dodávající do obou zemí musí jmenovat oba zástupce EU i UK. Kombinované služby jsou nejjednodušší cestou, jak splnit obě povinnosti a snížit riziko nekonzistentní dokumentace či opomenutí obnov.
• Britský online obchod prodávající pouze v UK: Britský online prodejce, který necílí na obyvatele EU a nemonitoruje je, nepotřebuje zástupce EU. Jelikož je založen v UK, není povinen jmenovat ani zástupce UK. Jmenování podle článku 27 není potřeba.
• Firma z EU prodávající pouze do UK: Irská nebo německá firma prodávající zákazníkům v UK musí jmenovat zástupce UK, ale nepotřebuje zástupce EU pro své vlastní území.
• Prodejci na tržištích (Amazon, Etsy, eBay): Prodejci mimo EU/UK, kteří využívají tyto platformy k oslovení zákazníků v EU nebo UK, musí jmenovat příslušné zástupce. Někteří poskytovatelé, jako REP27, nabízejí kombinované služby speciálně pro prodejce na tržištích, což usnadňuje dodržování předpisů.

Rizika a pokuty za nedodržení

Nedodržení článku 27 GDPR nebo UK GDPR může mít vážné důsledky. Dozorové orgány mohou uložit správní pokuty až do výše 10 milionů € nebo 2 % celosvětového ročního obratu, podle toho, která částka je vyšší (článek 83 GDPR). Například nizozemský úřad uložil pokutu 525 000 € společnosti Locatefamily.com za neustanovení zástupce. Kromě finančních sankcí mohou úřady nařídit zastavení zpracování osobních údajů nebo omezit vaše obchodní aktivity v EU či UK.

Rizika nejsou jen pokuty. Pokud vaše jmenování zástupce propadne kvůli opomenutí obnovy, nebo pokud vaše zásady ochrany osobních údajů nesprávně uvádějí zástupce, můžete být shledáni v rozporu se zákonem. To může vést k vyšetřování, poškození pověsti a ztrátě důvěry zákazníků. Použití kombinovaného poskytovatele snižuje riziko administrativních chyb a zajišťuje, že obě jmenování jsou aktuální a ověřitelná.

Konečně, neodpovězení na žádosti subjektů údajů nebo úřadů včas může být rovněž považováno za porušení. Zajistěte, aby váš poskytovatel nabízel spolehlivou žádostní službu a aby vaše interní procesy zvládaly přeposlané žádosti v zákonných lhůtách.