Jak ověřit svého GDPR zástupce EU nebo odpovědnou osobu GPSR

• Článek 27 GDPR vyžaduje písemného, ověřitelného zástupce EU pro společnosti mimo EU.
• REP27 poskytuje certifikát s online ověřením pro každé jmenování.
• Ověřte údaje o společnosti ve veřejných rejstřících pro autentizaci.
• Porovnejte, co je zahrnuto: ne všichni poskytovatelé nabízejí veřejné ověření.
• Výjimky platí pouze pro příležitostné, nízkorizikové zpracování.

Aktualizováno 3. listopadu 2026 · 6 ověřených zdrojů

Srovnání poskytovatelů

Ceny podle webu každého poskytovatele ke dni 3. listopadu 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co vyžaduje zákon: Článek 27 GDPR a GPSR

Pro jakýkoli podnik mimo EU nebo Velkou Británii, který cílí na evropské zákazníky, je zásadní pochopit právní požadavky na jmenování zástupce. Článek 27 Obecného nařízení o ochraně osobních údajů (GDPR) ukládá správcům a zpracovatelům bez sídla v EU povinnost písemně jmenovat zástupce v členském státě, kde se nacházejí dotčené osoby. Tento zástupce slouží jako místní kontakt pro úřady a jednotlivce v otázkách ochrany osobních údajů. Nařízení o obecné bezpečnosti výrobků (GPSR) obdobně vyžaduje odpovědnou osobu pro prodejce výrobků mimo EU, která zajišťuje místní a odpovědný kontakt pro otázky bezpečnosti výrobků.

• Článek 27(1): Správci/zpracovatelé mimo EU musí písemně jmenovat zástupce.
• Článek 27(3): Zástupce musí být usazen v příslušném členském státě EU.
• Článek 27(4): Dozorové orgány a dotčené osoby mohou kontaktovat zástupce kromě nebo místo správce/zpracovatele.
• Článek 27(2): Výjimky platí pro příležitostné, nelarge-scale a nízkorizikové zpracování.
• GPSR: Vyžaduje odpovědnou osobu pro shodu a bezpečnost výrobků pro výrobce mimo EU uvádějící výrobky na trh EU.

Nedodržení těchto požadavků může vést k významným správním pokutám: až 20 milionů € nebo 4 % ročního celosvětového obratu, podle toho, co je vyšší, za porušení GDPR. Pravidla jsou navržena tak, aby úřady EU a spotřebitelé vždy měli spolehlivý místní kontakt pro otázky ochrany údajů a bezpečnosti výrobků, i když je skutečný podnik mimo EU.

Pro společnosti prodávající do EU přes online platformy nebo přímo není jmenování souladuplného, ověřitelného zástupce nebo odpovědné osoby jen formalitou – je to zákonná nutnost. Vždy si ověřte oficiální text nebo konzultujte specialistu, abyste potvrdili, které povinnosti se vztahují na váš obchodní model a toky dat.

Jak vybrat a ověřit skutečného, aktivního zástupce

Výběr legitimního GDPR nebo GPSR zástupce je klíčový pro dodržení předpisů a budování důvěry u úřadů EU, tržišť a zákazníků. Zde je návod, jak zajistit, že váš poskytovatel je skutečný a aktivní:

1. Certifikát s veřejným ověřením: Nejpevnější důkaz je podepsaný certifikát s QR kódem nebo unikátním ověřovacím odkazem. REP27 vydává takové certifikáty, které umožňují komukoli (včetně úřadů a tržišť) okamžitě ověřit platnost jmenování online. Vždy si vyžádejte ukázku před závazkem.
2. Ověřte údaje o společnosti ve veřejných rejstřících: Zkontrolujte právní subjekt poskytovatele v příslušném veřejném rejstříku země. Například jmenování REP27 jsou podepsána společností Europe Services SE, registrovanou v Praze, což lze ověřit v českém obchodním rejstříku. Tato transparentnost je zásadní; poskytovatel, kterého nelze veřejně ověřit, nemusí být úřady akceptován.
3. Potvrďte rozsah a platnost: Ujistěte se, že certifikát nebo mandát jasně uvádí typ jmenování (GDPR, GPSR atd.), pokryté období a odpovědnou právnickou osobu. Veřejné ověřovací stránky by měly zobrazovat jméno klienta, službu a platnost, ale ne citlivá interní data.
4. Přímý kontakt: Spolehliví poskytovatelé zveřejňují své kontaktní údaje a reagují na žádosti o ověření. Pokud obdržíte dokument, který nelze ověřit nebo neuvádí správnou společnost, kontaktujte poskytovatele přímo pro potvrzení.

Níže je srovnání, co je zahrnuto, nezahrnuto nebo může být za příplatek u jednotlivých poskytovatelů (dle dostupných údajů):

Vždy si vyžádejte dokumentaci a ukázku ověřovacího procesu před jmenováním poskytovatele. Tento krok je nezbytný k zabránění neplatným nebo podvodným jmenováním.

Co cena skutečně zahrnuje (a skryté náklady)

Ceny poskytovatelů mohou být zavádějící, pokud nezkontrolujete, co skutečně zahrnují. Uveřejněná cena může pokrývat pouze základní jmenování, zatímco nezbytné funkce – jako veřejné ověření, vydání certifikátu nebo aktualizace – mohou být za příplatek nebo vůbec nedostupné.

• Certifikát a veřejné ověření: REP27 standardně zahrnuje ověřitelný certifikát. U ostatních ověřte, zda je to součást balíčku nebo volitelný příplatek.
• Aktualizace a změny: Pokud se změní údaje o vaší společnosti, zeptejte se, zda jsou aktualizace mandátu či certifikátu zahrnuty v ceně nebo zda se účtují zvlášť.
• Roční přezkum a kontroly souladu: EU Shield uvádí roční přezkum souladu v ceně. U jiných poskytovatelů to nemusí být zahrnuto nebo může být za příplatek.
• Přeposílání korespondence: Někteří poskytovatelé, jako EU Shield, uvádějí, že korespondence s dotčenými osobami a úřady je přeposílána do jednoho pracovního dne. U ostatních zjistěte, zda je to zahrnuto nebo zda se účtují poplatky za každý požadavek.
• Víceregulační pokrytí: Pouze někteří poskytovatelé (např. REP27, Regingada) nabízejí jmenování pro více předpisů (GDPR, GPSR, AI Act atd.). Pokud potřebujete více typů zástupců, ověřte, zda je to možné a jaké jsou náklady.

Skryté náklady mohou zahrnovat:

• Poplatky za přeposílání nebo odpovědi na žádosti dotčených osob či úřadů.
• Poplatky za aktualizace údajů o společnosti nebo certifikátů.
• Dodatečné poplatky za dokumentaci souladu nebo roční přezkum.
• Náklady na pokrytí více předpisů nebo jurisdikcí.

Vždy si vyžádejte kompletní, položkový ceník a ujasněte si, co je zahrnuto před podpisem smlouvy. Pokud poskytovatel nemůže nebo nechce specifikovat, postupujte opatrně.

Jak probíhá jmenování: krok za krokem

Jmenování GDPR zástupce nebo odpovědné osoby GPSR je formální proces. Zde je, jak to funguje u renomovaných poskytovatelů jako REP27, a co můžete očekávat v jednotlivých krocích:

1. Určete své povinnosti: Použijte bezplatné nástroje nebo konzultujte poskytovatele, abyste zjistili, které předpisy se na váš podnik vztahují (GDPR, GPSR, AI Act atd.).
2. Vyberte poskytovatele: Zvolte poskytovatele, který pokrývá požadované předpisy a nabízí ověřitelnou dokumentaci.
3. Odevzdejte údaje o společnosti: Vyplňte formulář s údaji o právnické osobě, sídle, informacemi o produktu nebo službě a relevantní dokumentací.
4. Kontrola člověkem: Osoba (nikoli automatizovaný systém) zkontroluje váš podklad pro úplnost a soulad. REP27 obvykle dokončí kontrolu do 24 pracovních hodin.
5. Podpis mandátu: Oprávněný zástupce poskytovatele podepíše jmenovací dopis nebo mandát. Tento dokument jmenuje poskytovatele vaším oficiálním zástupcem nebo odpovědnou osobou.
6. Vydání certifikátu: Obdržíte podepsaný certifikát s QR kódem nebo ověřovacím kódem. Tento certifikát slouží pro oznámení o ochraně soukromí, označení výrobků nebo formuláře souladu na tržištích.
7. Veřejné ověření: Každý může ověřit platnost vašeho jmenování pomocí kódu nebo odkazu. Ověřovací stránka zobrazuje název vaší společnosti, typ jmenování a platnost.
8. Aktualizujte svá oznámení: Vložte údaje zástupce a ověřovací řádek do oznámení o ochraně soukromí, označení výrobků nebo profilu na tržišti podle potřeby.

Kontrolní seznam pro kupující:

1. Určete, která pravidla EU/UK se na váš podnik vztahují.
2. Shromážděte veškerou dokumentaci o společnosti a produktech/službách.
3. Prozkoumejte poskytovatele a ověřte zápisy ve veřejných rejstřících.
4. Vyžádejte si ukázkový certifikát a otestujte ověřovací proces.
5. Ujasněte si, co je zahrnuto v ceně a jaké jsou případné příplatky.
6. Podepište mandát a aktualizujte dokumentaci souladu.

Rizika, pokuty a co poskytovatelé obvykle neříkají

Jmenování nevyhovujícího nebo neověřitelného zástupce vystavuje váš podnik významným rizikům:

• Pokuty: Podle GDPR může nedodržení článku 27 vést k pokutám až 20 milionů € nebo 4 % celosvětového obratu, podle toho, co je vyšší. Porušení GPSR může vést k zákazu nebo stažení výrobků z trhu.
• Vyřazení z tržišť: Hlavní platformy jako Amazon a eBay vyžadují důkaz platného zástupce EU nebo odpovědné osoby. Nedodání může vést k pozastavení účtu nebo odstranění produktů.
• Právní kroky: Úřady nebo spotřebitelé mohou zahájit právní kroky proti vaší společnosti, pokud zástupce nelze kontaktovat nebo ověřit.

Co poskytovatelé obvykle neříkají:

• Vyloučení: Většina poskytovatelů, včetně REP27, nenabízí právní poradenství ani soudní zastupování. Jejich role je výhradně kontaktní bod dle zákona.
• Výpovědní lhůty: Smlouvy mohou vyžadovat výpovědní lhůty pro ukončení nebo změnu jmenování. Vždy si ověřte podmínky před podpisem.
• Omezení odpovědnosti: Zástupce nepřebírá vaši odpovědnost za dodržování GDPR nebo GPSR. Odpovědnost zůstává na vaší společnosti.
• Poplatky za požadavky: Někteří poskytovatelé mohou účtovat poplatky za každou žádost dotčených osob nebo úřadů, nebo za aktualizace záznamů. Tyto poplatky nejsou vždy zveřejněny předem.

Pečlivě si prostudujte podmínky poskytovatele a ptejte se explicitně na vyloučení, odpovědnost a příplatky. Transparentní poskytovatel odpoví jasně a poskytne dokumentaci.

Rozhodovací matice: Potřebuji zástupce?

Ne každá společnost mimo EU potřebuje GDPR nebo GPSR zástupce. Tabulka níže vám pomůže rozhodnout podle vašeho obchodního modelu, prodejních kanálů a zákaznické základny:

Vždy potvrďte své povinnosti podle oficiálního textu nebo kvalifikované kontroly souladu. V případě pochybností využijte bezplatné kontroly od poskytovatelů jako REP27 nebo konzultujte specialistu.

Reálné scénáře a nejjednodušší cesta ke shodě

• Americká SaaS společnost s uživateli v EU: Společnost nabízí cloudovou službu zákazníkům v EU, ale nemá EU kancelář. Podle článku 27 GDPR musí jmenovat zástupce EU. Nejjednodušší cesta je jmenovat poskytovatele jako REP27, získat ověřitelný certifikát a aktualizovat oznámení o ochraně soukromí o údaje zástupce a ověřovací odkaz.
• Čínský prodejce na Amazonu: Prodává spotřební elektroniku na Amazon.de a zasílá přímo z Číny. Platí GDPR i GPSR: GDPR pro údaje zákazníků, GPSR pro bezpečnost výrobků. Prodejce by měl jmenovat poskytovatele pokrývající obě role (REP27 a Regingada nabízejí víceregulační pokrytí), předložit certifikát Amazonu a aktualizovat produktové nabídky podle požadavků.
• Britský online obchod prodávající do EU: Po Brexitu musí britský obchod prodávající zákazníkům v EU jmenovat zástupce GDPR EU. Nejjednodušší cesta je jmenovat REP27 nebo podobného poskytovatele, získat certifikát a aktualizovat web a oznámení o ochraně soukromí.

Ve všech scénářích jsou klíčové kroky: určit, která pravidla platí, vybrat poskytovatele s veřejným ověřením, získat certifikát a aktualizovat dokumentaci souladu. To zajistí právní shodu i hladký provoz na tržištích a platformách EU.