Jak zmienić lub zastąpić przedstawiciela GDPR lub osobę odpowiedzialną GPSR w UE

• Zmiana wymaga nowego pisemnego mandatu i aktualizacji dokumentacji.
• Artykuł 27 GDPR i GPSR wymagają przedstawiciela z siedzibą w UE dla firm spoza UE.
• Usługi i zakres oferowany przez dostawców różnią się – dokładnie porównaj przed zmianą.
• REP27 oferuje szybkie, weryfikowalne certyfikaty oraz publiczną weryfikację.
• Istnieją wyjątki dla okazjonalnego, niskiego ryzyka przetwarzania, ale większość sprzedawców potrzebuje przedstawiciela.

Zaktualizowane 28 October 2026 · 5 sprawdzone źródła

Porównani dostawcy

Ceny opublikowane na stronie każdego dostawcy w dniu 28 October 2026, z wyłączeniem VAT, chyba że zaznaczone inaczej. Każdy wiersz prowadzi do jego źródła.

Wymogi prawne: wyjaśnienie artykułu 27 GDPR i GPSR

Zgodnie z artykułem 27 Ogólnego rozporządzenia o ochronie danych (GDPR), każda firma spoza UE oferująca towary lub usługi osobom w UE lub monitorująca ich zachowanie musi wyznaczyć przedstawiciela w Unii. Przedstawiciel ten działa jako lokalny punkt kontaktowy dla osób, których dane dotyczą, oraz organów nadzorczych. Musi być ustanowiony w jednym z państw członkowskich UE, gdzie znajdują się osoby, których dane dotyczą. Wyznaczenie musi być dokonane na piśmie, a dane przedstawiciela muszą być opublikowane w polityce prywatności. Istnieją wyjątki dla przetwarzania okazjonalnego, które nie obejmuje dużej skali danych szczególnych kategorii lub danych kryminalnych i które nie stwarza ryzyka dla osób. Wyjątkiem są także organy publiczne.

Rozporządzenie o ogólnym bezpieczeństwie produktów (GPSR), Rozporządzenie (UE) 2023/988, wymaga od producentów i sprzedawców spoza UE wyznaczenia osoby odpowiedzialnej w UE. Imię i adres tej osoby muszą się pojawiać na etykietach produktów oraz być dostępne dla organów i platform handlowych. Osoba odpowiedzialna zapewnia zgodność produktu, obsługuje dokumentację i jest punktem kontaktowym w sprawach bezpieczeństwa. Brak wyznaczenia przedstawiciela lub osoby odpowiedzialnej może skutkować karami, usunięciem produktu z listy lub zablokowaniem sprzedaży.

• Artykuł 27 GDPR: Dotyczy administratorów/przetwarzających spoza UE oferujących towary/usługi lub monitorujących zachowanie w UE.
• Artykuł 16 GPSR: Dotyczy producentów i sprzedawców spoza UE produktów konsumenckich.
• Kluczowe wymogi: Pisemny mandat, siedziba w UE, publiczne dane kontaktowe oraz terminowa odpowiedź na organy.

Zarówno dla GDPR, jak i GPSR, przedstawiciel lub osoba odpowiedzialna nie przejmuje odpowiedzialności prawnej, ale jest obowiązkowym punktem kontaktowym dla zgodności i egzekwowania przepisów. Brak wyznaczenia lub aktualizacji przedstawiciela może prowadzić do poważnych ryzyk biznesowych i prawnych.

Jak wybrać nowego przedstawiciela lub osobę odpowiedzialną

Przy zmianie przedstawiciela GDPR lub osoby odpowiedzialnej GPSR ważne jest, aby wybrać dostawcę spełniającego zarówno wymogi prawne, jak i potrzeby biznesowe. Oto główne czynniki do rozważenia:

• Siedziba w UE: Dostawca musi mieć siedzibę w państwie członkowskim UE, gdzie znajdują się Twoi klienci. Na przykład mandaty REP27 podpisuje Europe Services SE w Pradze, Czechy, obejmując wszystkie kraje UE.
• Szybkość i dokumentacja: Jak szybko dostawca może wydać nowy mandat i certyfikat? REP27 i GDPR Gateway Limited gwarantują wyznaczenia w ciągu 24 godzin po otrzymaniu kompletnych danych.
• Zakres usług: Czy dostawca obejmuje wszystkie Twoje obowiązki (GDPR, GPSR, kosmetyki, AI Act itp.)? Niektórzy, jak REP27, oferują wielousługowe wsparcie z osobnymi certyfikatami dla każdego rozporządzenia.
• Przejrzystość i weryfikacja: Czy każdy może zweryfikować Twoje wyznaczenie online? REP27 zapewnia publiczną weryfikację, co jest cenne dla organów i platform handlowych.
• Usługi i wsparcie w cenie: Sprawdź, czy cena obejmuje tekst polityki prywatności, dane na etykietach produktów, przeglądy zgodności lub wsparcie dla wielu produktów/podmiotów.

Zawsze żądaj jasnego opisu usług i pytaj o dodatkowe opłaty, okresy wypowiedzenia lub ograniczenia wsparcia. Jeśli potrzebujesz pokryć zarówno GDPR, jak i GPSR, potwierdź, że dostawca może wydać oddzielne, weryfikowalne certyfikaty dla każdego obowiązku.

Co naprawdę obejmuje cena (i ukryte koszty)

Ceny przedstawicieli GDPR i GPSR różnią się znacznie – od 290 €/rok (REP27) do 860 €/rok (GDPR Gateway Limited) lub 79 $/miesiąc (Gabsor). Jednak rzeczywista wartość zależy od tego, co jest zawarte w cenie podstawowej, a co może generować dodatkowe koszty. Oto jak ocenić rzeczywisty koszt:

• Mandat i certyfikat: Wszyscy wymienieni dostawcy zapewniają pisemny mandat i list potwierdzający. REP27 i GDPR Gateway Limited oferują certyfikaty i tekst polityki prywatności.
• Publiczna weryfikacja: REP27 oferuje publiczną weryfikację wyznaczenia, co jest kluczowe dla przejrzystości wobec organów i platform. Inni dostawcy mogą tego nie oferować.
• Coroczne odnowienie: Większość dostawców pobiera opłaty roczne i wymaga odnowienia dla utrzymania zgodności. GDPR Gateway Limited wyraźnie zawiera potwierdzenie odnowienia.
• Limity produktów lub podmiotów: Usługa osoby odpowiedzialnej GPSR REP27 obejmuje nieograniczoną liczbę produktów w ramach planu, podczas gdy inni dostawcy mogą mieć limity (nieokreślone – pytaj przed podpisaniem).
• Narzędzia zgodności: Gabsor zawiera odznaki zgodności, Trust Center i kreator ROPA, które mogą być przydatne, ale nie są wymogiem prawnym.
• Ukryte opłaty: Niektórzy dostawcy mogą pobierać dodatkowo za kolejne podmioty, członków zespołu lub wsparcie na żądanie. Zawsze żądaj szczegółowego wykazu i potwierdzenia na piśmie, co jest w cenie.

Dostawcy rzadko podają okresy wypowiedzenia lub opłaty za wsparcie incydentalne. Jeśli przewidujesz częste zmiany lub intensywny kontakt z regulatorami, wyjaśnij te warunki wcześniej. Sprzedawcy produktów powinni upewnić się, że aktualizacje etykiet i dokumentacji są wliczone w usługę.

Jak przebiega wyznaczenie i zmiana: przewodnik krok po kroku

Zmiana przedstawiciela GDPR lub osoby odpowiedzialnej GPSR to proces wieloetapowy, wymagający starannej koordynacji, aby uniknąć luk w zgodności. Oto praktyczny przewodnik krok po kroku:

1. Określ swoje obowiązki: Skorzystaj z narzędzia do sprawdzenia zgodności (np. bezpłatna analiza REP27), aby potwierdzić, które przepisy Cię dotyczą: GDPR, GPSR, kosmetyki, AI Act itp.
2. Wybierz nowego dostawcę: Wybierz dostawcę z siedzibą w wymaganym kraju UE, z zakresem usług odpowiadającym Twoim potrzebom. Porównaj szybkość, dokumentację i oferowane funkcje.
3. Wypełnij onboarding: Wypełnij formularz onboardingowy dostawcy z danymi firmy, siedzibą oraz informacjami o produktach lub usługach. REP27 i inni weryfikują plik przed podpisaniem.
4. Podpisz mandat: Dostawca wydaje pisemny mandat, zwykle w ciągu 24 godzin dla REP27 i GDPR Gateway Limited. Otrzymujesz podpisany list, certyfikat oraz tekst polityki prywatności lub etykiet.
5. Zaktualizuj dokumentację: Niezwłocznie zaktualizuj politykę prywatności, stronę internetową i etykiety produktów, podając dane nowego przedstawiciela. Użyj dokładnego tekstu dostarczonego przez dostawcę.
6. Poinformuj poprzedniego dostawcę: Powiadom swojego starego przedstawiciela lub osobę odpowiedzialną o zmianie. Sprawdź, czy umowa wymaga okresu wypowiedzenia lub formalnego zakończenia.
7. Przekieruj korespondencję regulacyjną: Upewnij się, że cała korespondencja od organów, platform handlowych lub konsumentów jest przekierowana do nowego przedstawiciela. Sprzedawcy produktów powinni zaktualizować dane kont na Amazon, eBay lub innych platformach.
8. Przechowuj dokumenty: Zachowaj nowy certyfikat, mandat i korespondencję na potrzeby audytu. Korzystaj z linków do publicznej weryfikacji, jeśli są dostępne (jak w REP27).

Lista kontrolna przy zmianie:

1. Potwierdź, które obowiązki musisz spełnić.
2. Porównaj dostawców pod kątem siedziby w UE, szybkości i zakresu usług.
3. Podpisz nowy mandat i odbierz dokumentację.
4. Zaktualizuj wszystkie materiały publiczne (polityka prywatności, etykiety, konta na platformach).
5. Poinformuj poprzedniego dostawcę i przekieruj korespondencję.
6. Zachowaj dowody zgodności i certyfikaty weryfikacyjne.

Zmiana jest prosta, ale musi być zarządzana ostrożnie, aby uniknąć luk w zgodności lub nieporozumień dla organów i klientów.

Ryzyka, kary i co się stanie, jeśli popełnisz błąd

Brak wyznaczenia lub właściwej aktualizacji przedstawiciela GDPR lub osoby odpowiedzialnej GPSR niesie poważne ryzyka. Zgodnie z artykułem 83 GDPR, niezgodność może skutkować karami administracyjnymi do 10 milionów euro lub 2% światowego obrotu rocznego, w zależności od tego, która kwota jest wyższa. Przepisy dotyczące produktów, takie jak GPSR, mogą prowadzić do usunięcia produktów z listy, zablokowania sprzedaży lub wycofania, jeśli nie masz ważnej osoby odpowiedzialnej w UE.

• Kary regulacyjne: Organy nadzorcze mogą nałożyć wysokie kary za brak lub nieważną reprezentację. Kary dotyczą także firm spoza UE.
• Konsekwencje na platformach: Platformy takie jak Amazon i eBay wymagają dowodu ważnej osoby odpowiedzialnej dla ofert produktów. Brak aktualizacji może skutkować usunięciem produktu lub zawieszeniem konta.
• Zakłócenia w działalności: Bez ważnego przedstawiciela organy mogą blokować import, opóźniać wysyłki lub odmawiać realizacji żądań regulacyjnych. Może to zatrzymać działalność w UE.
• Odpowiedzialność: Przedstawiciel nie przejmuje Twojej odpowiedzialności. Nadal odpowiadasz za zgodność, ochronę danych i bezpieczeństwo produktów. Postępowania prawne mogą być wszczęte bezpośrednio przeciwko Twojej firmie.
• Ryzyko reputacyjne: Brak przejrzystości lub nieodpowiedź na żądania regulatorów może zaszkodzić reputacji wśród klientów, partnerów i organów.

Aby uniknąć tych ryzyk, upewnij się, że nowy dostawca ma siedzibę w wymaganym kraju UE, oferuje publiczną weryfikację i obejmuje wszystkie Twoje obowiązki. Utrzymuj dokumentację aktualną i odpowiadaj szybko na zapytania regulatorów.

Macierz decyzyjna: kto potrzebuje przedstawiciela GDPR lub osoby odpowiedzialnej GPSR?

Nie każda firma potrzebuje przedstawiciela GDPR lub osoby odpowiedzialnej GPSR. Skorzystaj z tej macierzy, aby określić swoje obowiązki:

Wyjątki dotyczą organów publicznych oraz przetwarzania okazjonalnego, niskiego ryzyka, bez danych szczególnych kategorii lub kryminalnych. Większość regularnych sprzedawców do UE, zwłaszcza korzystających z platform online lub przetwarzających dane konsumentów, musi wyznaczyć przedstawiciela lub osobę odpowiedzialną.

Czego dostawcy zwykle nie mówią

• REP27: Nie udziela porad prawnych ani reprezentacji sądowej; obejmuje tylko rolę przedstawiciela prawnego/osoby odpowiedzialnej. Klienci pozostają odpowiedzialni za zgodność i odpowiedzi na regulatorów.
• Okresy wypowiedzenia: Większość dostawców nie określa minimalnych okresów umów ani wypowiedzenia przy zmianie. Zawsze żądaj tych warunków na piśmie, aby uniknąć nakładania się lub luk w reprezentacji.
• Opłaty za żądanie: Dodatkowe opłaty za wsparcie, aktualizacje dokumentów lub pilne zlecenia są rzadko reklamowane. Zapytaj o pełny cennik przed podpisaniem.
• Ograniczenia odpowiedzialności: Przedstawiciel nie przejmuje Twojej odpowiedzialności prawnej. Musisz utrzymać własną zgodność i odpowiadać na działania regulatorów.
• Aktualizacje dokumentacji: Zmiana dostawcy wymaga natychmiastowej aktualizacji polityk prywatności, etykiet i kont na platformach. Brak aktualizacji może skutkować niezgodnością lub usunięciem produktu.
• Weryfikacja: Nie wszyscy dostawcy oferują publiczną weryfikację wyznaczenia. Ta funkcja jest ważna dla przejrzystości wobec organów i platform.

Przed wyznaczeniem lub zmianą dostawcy wyjaśnij wszystkie warunki, opłaty i ograniczenia wsparcia na piśmie. Upewnij się, że dane nowego dostawcy są publikowane i weryfikowalne zgodnie z prawem.

Realistyczne scenariusze: co obowiązuje i co zrobić

• Scenariusz 1: Amerykańska firma SaaS z użytkownikami w UE
  Amerykańska platforma SaaS zbiera dane osobowe od użytkowników w UE. Nie ma siedziby w UE. Firma musi wyznaczyć przedstawiciela GDPR w UE. Można wybrać REP27, EU Shield, Gabsor lub GDPR Gateway Limited. Po zmianie firma aktualizuje politykę prywatności z danymi nowego przedstawiciela i przechowuje certyfikat na potrzeby audytów.
• Scenariusz 2: Chiński sprzedawca na Amazon wysyłający do UE
  Chiński producent sprzedaje produkty konsumenckie klientom w UE przez Amazon. Sprzedawca musi wyznaczyć osobę odpowiedzialną GPSR dla etykiet produktów oraz, jeśli zbiera dane klientów, przedstawiciela GDPR. REP27 obejmuje oba obowiązki. Sprzedawca aktualizuje dane konta Amazon i etykiety po zmianie dostawcy, zapewniając ciągłą zgodność i nieprzerwaną sprzedaż.
• Scenariusz 3: Brytyjski sklep internetowy sprzedający do UE
  Brytyjski sprzedawca internetowy sprzedaje bezpośrednio konsumentom w UE. Po Brexicie Wielka Brytania nie jest częścią UE, więc sklep musi wyznaczyć przedstawiciela GDPR w UE. Sprzedawca wybiera dostawcę, podpisuje nowy mandat, aktualizuje politykę prywatności i informuje poprzedniego przedstawiciela. Jeśli sprzedaje produkty fizyczne, może też potrzebować osoby odpowiedzialnej GPSR.

We wszystkich scenariuszach kluczowe kroki to: wyznaczenie zgodnego dostawcy, aktualizacja wymaganej dokumentacji oraz przechowywanie dowodów zgodności dostępnych dla organów i platform.