Jak zweryfikować swojego przedstawiciela GDPR lub osobę odpowiedzialną GPSR

• Artykuł 27 GDPR wymaga pisemnego, weryfikowalnego przedstawiciela UE dla firm spoza UE.
• REP27 dostarcza certyfikat z weryfikacją online dla każdego powołania.
• Sprawdź dane firmy w rejestrach publicznych dla autentyczności.
• Porównaj, co jest w cenie: nie wszyscy dostawcy oferują publiczną weryfikację.
• Wyjątki dotyczą przetwarzania okazjonalnego, niskiego ryzyka.

Zaktualizowano 3 listopada 2026 · 6 sprawdzonych źródeł

Porównanie dostawców

Ceny opublikowane na stronie każdego dostawcy w dniu 3 listopada 2026, bez VAT, chyba że zaznaczono inaczej. Każdy wiersz prowadzi do źródła.

Co wymaga prawo: Artykuł 27 GDPR i GPSR

Dla każdej firmy spoza UE lub Wielkiej Brytanii, która kieruje ofertę do klientów europejskich, zrozumienie wymogów prawnych dotyczących powołania przedstawiciela jest kluczowe. Artykuł 27 Rozporządzenia o Ochronie Danych Osobowych (GDPR) nakłada na administratorów i podmioty przetwarzające bez siedziby w UE obowiązek pisemnego wyznaczenia przedstawiciela zlokalizowanego w państwie członkowskim, gdzie znajdują się osoby, których dane dotyczą. Przedstawiciel ten pełni rolę lokalnego kontaktu dla organów i osób fizycznych w sprawach ochrony danych. Ogólne Rozporządzenie o Bezpieczeństwie Produktów (GPSR) wymaga podobnie osoby odpowiedzialnej dla sprzedawców spoza UE, zapewniając lokalny, odpowiedzialny kontakt w kwestiach bezpieczeństwa produktów.

• Artykuł 27(1): Administratorzy/przetwarzający spoza UE muszą wyznaczyć przedstawiciela na piśmie.
• Artykuł 27(3): Przedstawiciel musi mieć siedzibę w odpowiednim państwie UE.
• Artykuł 27(4): Organy nadzorcze i osoby, których dane dotyczą, mogą kontaktować się z przedstawicielem zamiast lub dodatkowo do administratora/przetwarzającego.
• Artykuł 27(2): Istnieją wyjątki dla przetwarzania okazjonalnego, niskiego ryzyka i nie na dużą skalę.
• GPSR: Wymaga osoby odpowiedzialnej za zgodność i bezpieczeństwo produktów dla producentów spoza UE wprowadzających produkty na rynek UE.

Nieprzestrzeganie tych wymogów może skutkować wysokimi karami administracyjnymi: do 20 mln € lub 4% rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa, za naruszenia GDPR. Przepisy mają zapewnić, że organy UE i konsumenci zawsze mają wiarygodny, lokalny punkt kontaktowy w kwestiach ochrony danych i bezpieczeństwa produktów, nawet jeśli faktyczna firma znajduje się poza UE.

Dla firm sprzedających do UE przez platformy internetowe lub bezpośrednio, powołanie zgodnego, weryfikowalnego przedstawiciela lub osoby odpowiedzialnej to nie tylko formalność – to wymóg prawny. Zawsze sprawdzaj oficjalny tekst lub konsultuj się ze specjalistą, aby potwierdzić, które obowiązki dotyczą Twojego modelu biznesowego i przepływów danych.

Jak wybrać i zweryfikować prawdziwego, aktywnego przedstawiciela

Wybór legalnego przedstawiciela GDPR lub GPSR jest kluczowy dla zgodności i budowania zaufania wobec organów UE, platform i klientów. Oto jak upewnić się, że Twój dostawca jest prawdziwy i aktywny:

1. Certyfikat z publiczną weryfikacją: Najpewniejszym dowodem jest podpisany certyfikat z kodem QR lub unikalnym linkiem weryfikacyjnym. REP27 wydaje takie certyfikaty, pozwalając każdemu (w tym organom i platformom) natychmiast potwierdzić ważność powołania online. Zawsze poproś o próbkę przed podjęciem decyzji.
2. Sprawdź dane firmy w rejestrach publicznych: Zweryfikuj podmiot prawny dostawcy w odpowiednim rejestrze publicznym kraju. Na przykład powołania REP27 są podpisywane przez Europe Services SE, zarejestrowaną w Pradze, co można potwierdzić w czeskim rejestrze handlowym. Ta transparentność jest kluczowa; dostawca, którego nie da się publicznie zweryfikować, może nie być akceptowany przez organy.
3. Potwierdź zakres i ważność: Upewnij się, że certyfikat lub mandat jasno określa typ powołania (GDPR, GPSR itd.), okres obowiązywania i podmiot prawny odpowiedzialny. Strony weryfikacyjne powinny pokazywać nazwę klienta, usługę i daty ważności, ale nie dane wewnętrzne.
4. Bezpośredni kontakt: Rzetelni dostawcy publikują dane kontaktowe i odpowiadają na zapytania weryfikacyjne. Jeśli otrzymasz dokument, którego nie da się zweryfikować lub nie wskazuje poprawnej firmy, skontaktuj się bezpośrednio z dostawcą w celu potwierdzenia.

Poniżej porównanie, co jest wliczone, czego nie ma i jakie mogą być dodatkowe opłaty u poszczególnych dostawców (na podstawie dostępnych danych):

Zawsze żądaj dokumentacji i demonstracji procesu weryfikacji przed powołaniem dostawcy. To kluczowy krok, by uniknąć nieważnych lub fałszywych powołań.

Co naprawdę obejmuje cena (i ukryte koszty)

Ceny dostawców mogą być mylące, jeśli nie sprawdzisz, co faktycznie obejmują. Podana cena może dotyczyć tylko podstawowego powołania, podczas gdy ważne funkcje – takie jak publiczna weryfikacja, wydanie certyfikatu czy aktualizacje – mogą kosztować dodatkowo lub wcale nie być dostępne.

• Certyfikat i publiczna weryfikacja: REP27 standardowo zapewnia weryfikowalny certyfikat. U innych sprawdź, czy to jest w pakiecie, czy opcja dodatkowa.
• Aktualizacje i zmiany: Jeśli zmienią się dane firmy, zapytaj, czy aktualizacje mandatu lub certyfikatu są w cenie, czy płatne osobno.
• Przeglądy roczne i kontrole zgodności: EU Shield oferuje roczny przegląd zgodności w cenie. Inni mogą tego nie mieć lub wymagać dodatkowych opłat.
• Przekazywanie korespondencji: Niektórzy dostawcy, np. EU Shield, deklarują przekazywanie korespondencji z osobami i organami w ciągu jednego dnia roboczego. U innych zapytaj, czy jest to w cenie lub czy są opłaty za każde żądanie.
• Pokrycie wieloregulacyjne: Tylko niektórzy (np. REP27, Regingada) oferują powołania dla wielu regulacji (GDPR, GPSR, AI Act itd.). Jeśli potrzebujesz więcej niż jednego rodzaju przedstawiciela, potwierdź, czy to możliwe i za ile.

Ukryte koszty mogą obejmować:

• Opłaty za każde żądanie przekazania lub odpowiedzi na korespondencję osób lub organów.
• Opłaty za aktualizacje danych firmy lub certyfikatów.
• Dodatkowe opłaty za dokumentację zgodności lub przeglądy roczne.
• Koszty pokrycia wielu regulacji lub jurysdykcji.

Zawsze żądaj pełnej, szczegółowej listy cen i wyjaśnienia, co jest w cenie, zanim podpiszesz umowę. Jeśli dostawca nie potrafi lub nie chce tego określić, zachowaj ostrożność.

Jak przebiega powołanie: krok po kroku

Powołanie przedstawiciela GDPR lub osoby odpowiedzialnej GPSR to formalny proces. Oto jak to działa u renomowanych dostawców, takich jak REP27, i czego się spodziewać na każdym etapie:

1. Określ swoje obowiązki: Skorzystaj z darmowych narzędzi lub konsultacji z dostawcą, aby ustalić, które regulacje dotyczą Twojej działalności (GDPR, GPSR, AI Act itd.).
2. Wybierz dostawcę: Wybierz dostawcę, który obejmuje wymagane regulacje i oferuje weryfikowalną dokumentację.
3. Prześlij dane firmy: Wypełnij formularz z danymi podmiotu prawnego, siedziby, informacjami o produkcie/usłudze i dokumentacją.
4. Weryfikacja ludzka: Osoba (nie system automatyczny) sprawdza kompletność i zgodność dokumentów. REP27 zwykle wykonuje to w ciągu 24 godzin roboczych.
5. Podpisanie mandatu: Upoważniony przedstawiciel dostawcy podpisuje list powołania lub mandat. Dokument ten wskazuje dostawcę jako oficjalnego przedstawiciela lub osobę odpowiedzialną.
6. Wydanie certyfikatu: Otrzymujesz podpisany certyfikat z kodem QR lub kodem weryfikacyjnym. Certyfikat służy do polityk prywatności, etykiet produktów lub formularzy zgodności na platformach.
7. Publiczna weryfikacja: Każdy może sprawdzić ważność powołania za pomocą kodu lub linku. Strona weryfikacyjna pokazuje nazwę firmy, rodzaj powołania i okres ważności.
8. Aktualizacja informacji: Wprowadź dane przedstawiciela i link weryfikacyjny do polityki prywatności, etykiety produktu lub profilu na platformie zgodnie z wymogami.

Lista kontrolna dla kupujących:

1. Ustal, które przepisy UE/WB dotyczą Twojej działalności.
2. Zbierz wszystkie dokumenty firmy i produktu/usługi.
3. Zbadaj dostawców i sprawdź wpisy w rejestrach publicznych.
4. Poproś o próbkę certyfikatu i przetestuj proces weryfikacji.
5. Wyjaśnij, co jest w cenie i czy są dodatkowe opłaty.
6. Podpisz mandat i zaktualizuj dokumentację zgodności.

Ryzyka, kary i czego dostawcy zwykle nie mówią

Powołanie niezgodnego lub nieweryfikowalnego przedstawiciela naraża firmę na poważne ryzyka:

• Kary: Zgodnie z GDPR, nieprzestrzeganie artykułu 27 może skutkować karami do 20 mln € lub 4% światowego obrotu, w zależności od tego, która kwota jest wyższa. Naruszenia GPSR mogą skutkować zakazem sprzedaży lub wycofaniem produktów.
• Usunięcie z platform: Główne platformy, takie jak Amazon i eBay, wymagają dowodu ważnego przedstawiciela UE lub osoby odpowiedzialnej. Brak takiego dowodu może skutkować zawieszeniem konta lub usunięciem produktów.
• Postępowania prawne: Organy lub konsumenci mogą wszcząć postępowania prawne, jeśli przedstawiciel jest nieosiągalny lub nieweryfikowalny.

Czego dostawcy zwykle nie mówią:

• Wyłączenia: Większość dostawców, w tym REP27, nie udziela porad prawnych ani nie reprezentuje w sądzie. Ich rola to wyłącznie punkt kontaktowy zgodnie z prawem.
• Okresy wypowiedzenia: Umowy mogą wymagać wcześniejszego wypowiedzenia lub procedur zmiany powołania. Zawsze sprawdzaj warunki przed podpisaniem.
• Ograniczenia odpowiedzialności: Przedstawiciel nie przejmuje odpowiedzialności za zgodność. Odpowiedzialność pozostaje po stronie firmy.
• Opłaty za żądania: Niektórzy dostawcy mogą pobierać opłaty za każde przekazanie żądania osoby lub organu lub za aktualizacje danych. Nie zawsze jest to ujawniane z góry.

Dokładnie przeanalizuj warunki dostawcy i zadawaj pytania o wyłączenia, odpowiedzialność i dodatkowe opłaty. Transparentny dostawca odpowie jasno i udostępni dokumentację.

Macierz decyzji: czy potrzebujesz przedstawiciela?

Nie każda firma spoza UE potrzebuje przedstawiciela GDPR lub GPSR. Poniższa tabela pomaga zdecydować na podstawie modelu biznesowego, kanałów sprzedaży i bazy klientów:

Zawsze potwierdź swoje obowiązki, korzystając z oficjalnego tekstu lub kwalifikowanego audytu zgodności. W razie wątpliwości skorzystaj z darmowego sprawdzenia oferowanego przez dostawców takich jak REP27 lub skonsultuj się ze specjalistą.

Realistyczne scenariusze i najprostsza zgodna ścieżka

• Amerykańska firma SaaS z użytkownikami UE: Firma oferuje usługę w chmurze dla klientów UE, ale nie ma biura w UE. Zgodnie z artykułem 27 GDPR musi powołać przedstawiciela UE. Najprostsza droga to wyznaczenie dostawcy takiego jak REP27, otrzymanie weryfikowalnego certyfikatu i aktualizacja polityki prywatności o dane przedstawiciela i link weryfikacyjny.
• Chiński sprzedawca na Amazon: Sprzedaje elektronikę konsumencką na Amazon.de i wysyła bezpośrednio z Chin. Obowiązują go zarówno GDPR, jak i GPSR: GDPR dla danych klientów, GPSR dla bezpieczeństwa produktów. Powinien powołać dostawcę obejmującego obie role (REP27 i Regingada oferują wieloregulacyjne pokrycie), następnie dostarczyć certyfikat Amazonowi i zaktualizować oferty zgodnie z wymogami.
• Sklep internetowy z Wielkiej Brytanii sprzedający do UE: Po Brexicie sklep z siedzibą w UK sprzedający klientom UE musi powołać przedstawiciela GDPR UE. Najprostsza droga to wyznaczenie REP27 lub podobnego dostawcy, uzyskanie certyfikatu i aktualizacja strony oraz polityki prywatności.

We wszystkich scenariuszach kluczowe kroki to: ustalenie obowiązujących przepisów, wybór dostawcy z publiczną weryfikacją, uzyskanie certyfikatu i aktualizacja dokumentacji zgodności. To zapewnia zgodność prawną i płynne działanie na platformach i rynkach UE.