Jak přepnout nebo vyměnit zástupce EU GDPR či odpovědnou osobu GPSR

• Přepnutí vyžaduje nový písemný mandát (GDPR čl. 27 odst. 1)
• Aktualizujte oznámení o ochraně osobních údajů a označení produktů s novými údaji
• Oznámte starému zástupci ukončení předchozího mandátu
• Zkontrolujte, co je v ceně: vyřizování žádostí, certifikáty, podpora
• Ceny a služby se u poskytovatelů výrazně liší

Aktualizováno 30 October 2026 · 8 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 30 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co zákon vyžaduje (GDPR článek 27, GPSR článek 16)

Pro firmy mimo EU prodávající nebo sledující osoby v EU vyžaduje článek 27 odst. 1 GDPR písemné jmenování zástupce se sídlem v EU. Tento zástupce slouží jako kontaktní místo pro úřady na ochranu údajů a subjekty údajů. Musí být zřízen v členském státě, kde se nacházejí subjekty údajů (čl. 27 odst. 3). Pro prodejce produktů vyžaduje článek 16 GPSR jmenování odpovědné osoby se sídlem v EU, která je uvedena na štítcích a dokumentaci produktů. Tato pravidla platí pro většinu nečlenských firem nabízejících zboží nebo služby spotřebitelům v EU nebo sledujících jejich chování online. Výjimky jsou uvedeny v čl. 27 odst. 2 GDPR pro příležitostné zpracování, nezpracování zvláštních kategorií údajů ve velkém rozsahu a aktivity s nízkým rizikem. Veřejné orgány jsou také vyjmuty. Většina běžných online prodejců a poskytovatelů služeb však tyto výjimky nesplňuje a musí zástupce jmenovat.

Zákon nestanovuje formální proces přepnutí zástupce, ale je nutné zajistit písemné jmenování nového zástupce a včasnou aktualizaci veřejných dokumentů (oznámení o ochraně osobních údajů, štítky produktů). To zajistí, že úřady i jednotlivci budou mít vždy správný kontakt.

Jak vybrat nového zástupce nebo odpovědnou osobu

Výběr správného poskytovatele je klíčový pro soulad a bezproblémový provoz. Nejprve ověřte, že poskytovatel je právně zřízen v EU (pro GDPR) nebo v UK (pro UK GDPR) a může poskytnout písemný mandát. Zkontrolujte, zda pokrývá všechny země, kde máte zákazníky, jak vyžaduje čl. 27 odst. 3 GDPR. Posuďte, co je v ceně: někteří poskytovatelé, například REP27, nabízejí ověřitelný certifikát, neomezené vyřizování žádostí a připravené texty pro oznámení a štítky. Jiní mohou poskytovat jen virtuální adresu nebo účtovat příplatky za vyřizování žádostí či vystavení certifikátů.

Zvažte model podpory: REP27 slibuje lidské schválení a rychlé zapojení (do 24 hodin), zatímco rep4eu nabízí 72hodinovou emailovou odezvu. EU Shield zahrnuje pojištění profesní odpovědnosti, což může být důležité pro firmy hledající větší jistotu. Gabsor a Usantis nabízejí nástroje pro soulad a úryvky zásad ochrany soukromí, což může pomoci firmám s další dokumentací.

Vždy ověřte veřejnou registraci poskytovatele, možnost vydání certifikátů a zda účtuje příplatky za žádosti, certifikáty nebo podporu. Pomůže to předejít skrytým nákladům a zajistit trvalý soulad.

Co cena skutečně zahrnuje

Uveřejněné ceny za služby zástupců GDPR a GPSR mohou být zavádějící, pokud nezkontrolujete, co je skutečně v ceně. Například základní cena REP27 (od 290 €/rok) zahrnuje písemný mandát, ověřitelný certifikát, neomezené vyřizování žádostí a připravený text pro oznámení o ochraně osobních údajů nebo štítky produktů. Nejsou uváděny žádné příplatky za žádosti či certifikáty. Naproti tomu Usantis účtuje 30–80 $ měsíčně za virtuální adresu, ale nabízí omezené nebo žádné vyřizování žádostí – pokud je kontaktují úřady nebo subjekty údajů, můžete muset platit navíc nebo žádost vyřídit sami. Cena EU Shield 490 €/rok zahrnuje EU adresu, doručení písemností, uchování ROPA a pojištění odpovědnosti, ale podrobnosti o příplatcích nejsou zveřejněny. Rep4eu pokrývá všech 27 států EU, poskytuje podepsaný dopis a vyřizuje korespondenci za 348 €/rok s 72hodinovou emailovou podporou. Gabsor za 79 $ měsíčně zahrnuje zastoupení EU i UK, nástroje pro soulad a úryvek zásad ochrany soukromí, ale podpora a příplatky nejsou na veřejné stránce detailně popsány.

Vždy si vyžádejte podrobný rozpis zahrnutých služeb, zejména pokud očekáváte časté žádosti od úřadů nebo subjektů údajů, nebo potřebujete certifikáty pro tržiště. Někteří poskytovatelé mohou účtovat příplatky za každou žádost, certifikát nebo za více entit či produktových řad. Jiní mohou omezovat počet podporovaných uživatelů nebo členů týmu. Transparentnost a ověřitelnost jsou klíčové – REP27 například poskytuje veřejnou ověřovací stránku pro každé jmenování, což je nezbytné pro kontroly regulátorů a onboarding na tržištích.

Skryté náklady a výjimky

Při přepnutí nebo jmenování nového zástupce mohou skryté náklady a výjimky způsobit mezery v souladu nebo neočekávané výdaje. Někteří poskytovatelé inzerují nízkou základní cenu, ale účtují navíc za vyřizování žádostí od úřadů, vystavování certifikátů nebo podporu více právních subjektů či produktů. Například cena Usantis pokrývá jen virtuální adresu bez vyřizování žádostí. EU Shield a rep4eu nezveřejňují podrobnosti o příplatcích či výjimkách, proto si tyto informace vyžádejte před podpisem smlouvy. Gabsor zahrnuje nástroje pro soulad, ale nespecifikuje, zda jsou poplatky za žádosti či certifikáty.

REP27 jasně uvádí, že neomezené žádosti a vystavení certifikátů jsou v ceně, ale neposkytuje právní poradenství ani zastupování u soudu. To je běžné – většina zástupců nepřebírá vaši právní odpovědnost ani vás nezastupuje u soudu. Za dodržování předpisů a reakce na šetření či sankce odpovídáte vy. Výpovědní lhůty a minimální doby smluv nejsou vždy zveřejněné, proto si tyto podmínky před přepnutím ujasněte. Při přepnutí zajistěte, aby nedošlo k překryvu nebo mezeře v zastoupení, což by mohlo vést k nesouladu.

• Zkontrolujte poplatky za žádost nebo produkt
• Zeptejte se na výpovědní lhůty
• Ujasněte si limity odpovědnosti a výjimky (např. bez právního poradenství či zastupování)
• Potvrďte, zda jsou certifikáty a veřejná ověřitelnost zahrnuty

Jak probíhá jmenování: krok za krokem

Přepnutí nebo jmenování nového zástupce GDPR či odpovědné osoby GPSR zahrnuje několik konkrétních kroků. Postup je následující:

1. Určete své povinnosti: Využijte bezplatnou kontrolu poskytovatele nebo konzultujte jejich onboarding tým, zda potřebujete zástupce GDPR, odpovědnou osobu GPSR, nebo obojí. REP27 nabízí bezplatné posouzení vašich aktivit a zákaznické základny.
2. Porovnejte poskytovatele: Prohlédněte si tabulku výše a požádejte o podrobné popisy služeb a podmínky u každého poskytovatele.
3. Zahajte onboarding u nového poskytovatele: Vyplňte jejich onboardingový formulář s údaji o vaší firmě, produktech/službách a oblasti působnosti. REP27 provádí lidské schválení do 24 pracovních hodin.
4. Podepište písemný mandát: Poskytovatel vám zašle mandát k podpisu. Je to zákonná povinnost podle GDPR čl. 27 odst. 1 a GPSR čl. 16.
5. Obdržíte certifikát a podpůrné dokumenty: REP27 zasílá podepsaný dopis, certifikát s QR kódem a ověřovacím kódem a připravený text pro oznámení o ochraně osobních údajů nebo štítky produktů. Jiní poskytovatelé mohou vydat podepsaný dopis o jmenování nebo odznak souladu.
6. Aktualizujte oznámení o ochraně osobních údajů a štítky produktů: Nahraďte údaje starého zástupce novými ve všech veřejných dokumentech a online zásadách.
7. Informujte předchozího zástupce: Písemně oznámte starému poskytovateli ukončení jeho mandátu. Předejdete tak zmatkům a zajistíte, že v oficiálních dokumentech bude uveden pouze nový zástupce.
8. Uchovejte si veškerou dokumentaci: Uchovejte kopie podepsaného mandátu, certifikátu a důkaz o aktualizaci oznámení a štítků. Tyto dokumenty mohou být vyžádány úřady nebo tržišti.

Kontrolní seznam k dnešnímu dni:

1. Určete, zda potřebujete zástupce GDPR/GPSR
2. Porovnejte poskytovatele a vyžádejte podrobné informace o službách
3. Zahajte onboarding a odevzdejte požadované dokumenty
4. Podepište mandát a získejte certifikát
5. Aktualizujte všechna veřejná oznámení a štítky
6. Informujte starého poskytovatele písemně
7. Uchovejte důkazy o jmenování a aktualizacích

Rizika, pokuty a co poskytovatelé obvykle neříkají

Nejmenování nebo neaktualizování zástupce EU či odpovědné osoby může vést k vážným regulačním důsledkům. Podle GDPR mohou úřady kontaktovat přímo vašeho zástupce (čl. 27 odst. 4), a pokud vás nebo zástupce nedosáhnou, hrozí vyšetřování či pokuty. Jmenování zástupce nepřenáší vaši právní odpovědnost – čl. 27 odst. 5 GDPR jasně uvádí, že zůstáváte odpovědní za soulad a případná vymáhání. Stejné platí podle GPSR pro shodu produktů.

Poskytovatelé málokdy zdůrazňují některé výjimky a rizika:

• Vyloučení odpovědnosti: Zástupci nepřebírají vaši právní odpovědnost ani nehradí pokuty.
• Výpovědní lhůty: Někteří poskytovatelé mohou vyžadovat výpovědní lhůty, které nejsou vždy zveřejněné.
• Poplatky za žádosti nebo produkty: Někteří účtují příplatky za vyřizování žádostí, vystavení certifikátů nebo podporu více produktů či entit.
• Omezení služeb: Většina zástupců neposkytuje právní poradenství ani zastupování u soudu. Právní služby je nutné zajistit samostatně.

Pro minimalizaci rizik:

• Zajistěte, aby poskytovatel vydával ověřitelný certifikát a byl zřízen v požadované jurisdikci
• Udržujte oznámení o ochraně osobních údajů a štítky produktů aktuální
• Uchovávejte veškerou dokumentaci a důkazy o souladu

Reálné scénáře: co dělat

• Americká SaaS firma s uživateli v EU: Zpracováváte osobní údaje obyvatel EU, ale nemáte kancelář v EU. Musíte jmenovat zástupce GDPR v EU. Vyberte poskytovatele (např. REP27, rep4eu), dokončete onboarding, podepište mandát, aktualizujte oznámení o ochraně osobních údajů s novými kontaktními údaji a uchovejte certifikát pro ověření úřady nebo klienty.
• Čínský prodejce na Amazonu s dodávkou do EU: Prodáváte spotřební zboží přímo zákazníkům v EU přes Amazon. Musíte jmenovat odpovědnou osobu GPSR v EU a uvést její údaje na štítcích produktů. Vyberte poskytovatele (např. REP27), podepište mandát, aktualizujte štítky a uchovejte certifikát pro kontroly na tržišti. Pokud již používáte dovozce se sídlem v EU, nemusíte mít samostatnou odpovědnou osobu.
• Britský online obchod prodávající do EU: Prodáváte digitální služby i fyzické zboží zákazníkům v EU. Potřebujete jak zástupce GDPR, tak odpovědnou osobu GPSR. Jeden poskytovatel může pokrýt obě role (např. REP27), ale musíte podepsat samostatné mandáty pro každou povinnost. Aktualizujte oznámení o ochraně osobních údajů a štítky a uchovejte všechny certifikáty a podpůrné dokumenty.

Ve všech scénářích dodržujte výše uvedený krok za krokem kontrolní seznam a ujasněte si s poskytovatelem, co je v ceně a jaká podpora je dostupná při žádostech od úřadů nebo subjektů údajů.