Jak americké firmy prodávající ve Francii mohou jmenovat zástupce EU podle článku 27 GDPR

• Článek 27 GDPR vyžaduje, aby nečlenské firmy EU, které nabízejí zboží/služby nebo monitorují osoby v EU, jmenovaly zástupce v EU.
• Existují výjimky pro příležitostné, nízkorizikové, nesenzitivní zpracování a veřejné orgány.
• REP27, EU Shield a rep4eu jsou zavedení poskytovatelé s různými cenami a službami.
• Zástupce musí být v členském státě EU pokrývajícím vaše zákazníky (např. Francie).
• Nedodržení může vést k správním pokutám podle článku 83 GDPR.
• Poskytovatelé se liší rychlostí, transparentností a zahrnutou podporou shody.

Aktualizováno 27 October 2026 · 5 zdroje zkontrolovány

Porovnaní poskytovatelé

Ceny uvedené na webových stránkách každého poskytovatele k 27 October 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co zákon vyžaduje: vysvětlení článku 27 GDPR

Článek 27 GDPR je klíčový pro nečlenské firmy EU, které komunikují s obyvateli EU. Pokud vaše americká firma nabízí zboží nebo služby osobám ve Francii či jinde v EU, nebo sleduje jejich chování (např. pomocí analytiky, cookies či cíleného marketingu), musíte jmenovat zástupce sídlícího v EU. Platí to bez ohledu na to, zda prodáváte přes vlastní web, tržiště jako Amazon nebo přímým oslovením.

Článek 27 odst. 1 vyžaduje písemné zmocnění zástupce, který je vaším místním kontaktem pro subjekty údajů a dozorové orgány v EU. Zástupce musí být sídlící v členském státě EU, kde jsou vaši zákazníci (článek 27 odst. 3), takže pro Francii musí být zástupce v EU pokrývajícím francouzské subjekty údajů. Údaje o zástupci musí být uvedeny ve vašich zásadách ochrany osobních údajů a přístupné jednotlivcům i úřadům.

Existují výjimky (článek 27 odst. 2): zástupce nepotřebujete, pokud je vaše zpracování pouze příležitostné, nezahrnuje rozsáhlé zpracování zvláštních kategorií údajů (např. zdraví, rasa, náboženství) nebo trestních údajů a pravděpodobně neohrožuje práva a svobody jednotlivců. Veřejné orgány jsou vždy osvobozeny (článek 27 odst. 2 písm. b).

Nejmenování zástupce může vést k správním pokutám podle článku 83, který upravuje porušení GDPR. Neexistuje žádná lhůta na nápravu: zástupce musíte jmenovat ihned, jakmile na vás GDPR dopadá.

• Klíčové právní odkazy: Článek 27 GDPR, Článek 83 GDPR

Jak vybrat zástupce EU: rozhodovací matice a praktické úvahy

Výběr správného zástupce EU je zásadní pro dodržení předpisů a kontinuitu podnikání. Poskytovatel musí být sídlící v členském státě EU, kde jsou vaši subjekty údajů, a měl by nabízet ověřitelnou, transparentní a rychlou službu. Zvažte váš obchodní model, zákaznickou základnu a úroveň podpory shody, kterou potřebujete.

Praktické tipy:

• Zkontrolujte, zda je adresa a údaje o společnosti poskytovatele veřejně ověřitelné (důležité pro důvěru a akceptaci na tržištích).
• Zvažte rychlost jmenování a zda obdržíte certifikát nebo veřejnou verifikaci (užitečné pro tržiště a audity).
• Posuďte, zda potřebujete doplňky jako správu záznamů podle článku 30 nebo roční kontroly shody.
• Pro prodeje v několika jurisdikcích (EU a UK) zvažte poskytovatele nabízející obě služby v jedné smlouvě.

Co cena skutečně zahrnuje: podrobné srovnání poskytovatelů

Služby zástupce EU se výrazně liší v tom, co je zahrnuto v uvedené ceně. Někteří nabízejí jen základní právní jmenování, jiní přidávají doplňkové služby pro shodu. Níže je podrobné srovnání na základě dostupných údajů:

Základní cena REP27 pokrývá nezbytnosti podle článku 27 GDPR: podepsané jmenování, certifikát s QR kódem (užitečné pro tržiště), veřejnou verifikaci a textaci zásad ochrany osobních údajů. EU Shield zahrnuje správu záznamů podle článku 30 a roční kontrolu shody – cenné pro firmy potřebující průběžnou podporu. rep4eu zdůrazňuje živé pokrytí a podporu vstupu na trh, ale v dostupných údajích neuvádí doplňky.

Vždy si potvrďte, co je zahrnuto, a požádejte o smlouvu nebo podmínky služby před nákupem. Některé funkce (např. vedení záznamů, kontroly shody) mohou být volitelné nebo za příplatek.

Skryté náklady, výjimky a co poskytovatelé obvykle nezmiňují

Ačkoliv zveřejněné ceny mohou vypadat jasně, skryté náklady a výjimky jsou běžné. Na co si dát pozor, vycházející z dostupných údajů:

• Vedení záznamů podle článku 30: Není zahrnuto u REP27, zahrnuto u EU Shield. Pokud potřebujete správu záznamů o zpracování, ověřte, zda je součástí balíčku.
• Roční kontrola shody: Zahrnuto u EU Shield, nikoli u REP27 nebo rep4eu. Může být důležitá pro průběžnou shodu, zejména pokud se podnikání nebo zpracování často mění.
• Další služby: Jmenování odpovědné osoby pro produkty (GPSR), kosmetiku, AI Act apod. jsou samostatné a cenově individuální u všech poskytovatelů.
• Výpovědní lhůty a poplatky za požadavky: V dostupných údajích neuvedeno. Někteří poskytovatelé mohou vyžadovat výpovědní lhůtu nebo účtovat za další úkony – vždy si prostudujte smlouvu.
• Omezení odpovědnosti: Článek 27 odst. 5 uvádí, že zástupce není odpovědný za vaše porušení GDPR. Poskytovatelé to málokdy zdůrazňují, ale znamená to, že vy zůstáváte odpovědní za shodu a případné pokuty.

Praktické rady:

• Požádejte o úplný seznam zahrnutých a vyloučených služeb před podpisem.
• Zeptejte se na výpovědní lhůty, poplatky za požadavky a dobu odezvy podpory.
• Buďte obezřetní u poskytovatelů, kteří nemohou prokázat své sídlo v EU nebo jejichž údaje nejsou veřejně ověřitelné.

Jak probíhá jmenování: krok za krokem pro americké firmy

1. Zhodnoťte své povinnosti: Použijte výše uvedenou rozhodovací matici, zda potřebujete zástupce EU. Pokud si nejste jisti, konzultujte odborníka na shodu nebo využijte bezplatný kontrolní nástroj poskytovatele.
2. Vyberte poskytovatele: Porovnejte REP27, EU Shield a rep4eu podle ceny, zahrnutých funkcí a transparentnosti. Ujistěte se, že poskytovatel je sídlící v členském státě EU pokrývajícím vaše zákazníky.
3. Připravte podklady: Shromážděte právní název firmy, adresu sídla, kontaktní údaje, popis vašich zpracovatelských aktivit a informace o zákaznících v EU (např. země, objem, povaha údajů).
4. Odešlete podklady poskytovateli: Pošlete svůj soubor poskytovateli. REP27 provádí lidskou kontrolu do 24 pracovních hodin; u ostatních se lhůty liší.
5. Obdržíte jmenování a certifikát: Po schválení poskytovatel podepíše jmenování. REP27 vydává certifikát s QR kódem a veřejnou stránku verifikace. Použijte je pro tržiště a audity.
6. Aktualizujte zásady ochrany osobních údajů: Vložte jméno, adresu a kontaktní údaje zástupce do svých zásad, jak vám poskytovatel dodá.
7. Uchovávejte dokumentaci: Uchovejte jmenování, certifikát a veškerou korespondenci pro úřady a požadavky tržišť.
8. Roční kontrola: Pokud se změní zpracování nebo rozšíříte do nových zemí EU, aktualizujte jmenování zástupce.

Dnešní kontrolní seznam:

1. Zhodnoťte své prodeje a zpracování v EU.
2. Vyberte a kontaktujte poskytovatele.
3. Připravte a odešlete podklady.
4. Obdržíte a implementujte jmenování a certifikát.
5. Aktualizujte zásady ochrany a informujte tým.

Rizika, pokuty a vymáhání: co se stane, když ignorujete článek 27?

Nedodržení článku 27 GDPR přináší významná rizika. Dozorové orgány v kterékoli zemi EU, kde máte zákazníky, mohou provádět šetření a vymáhat požadavek. Pokuty za nedodržení jsou upraveny v článku 83 GDPR, který umožňuje správní pokuty až do 20 milionů eur nebo 4 % celosvětového obratu za nejzávažnější porušení. I když nejmenování zástupce není vždy považováno za nejzávažnější porušení, může vést k:

• Přímým pokutám za nedodržení článku 27
• Nařízením zastavit zpracování nebo prodej v EU do doby shody
• Odstranění nebo pozastavení z tržišť (Amazon, Etsy, eBay), pokud nemůžete prokázat shodu
• Ztrátě důvěry zákazníků a partnerů v EU

Úřady mohou kontaktovat přímo vašeho zástupce, ale mohou také vymáhat sankce přímo vůči vaší firmě. Zástupce není odpovědný za vaše jednání (článek 27 odst. 5), ale je vaším oficiálním kontaktem pro všechny GDPR záležitosti v EU. Poskytovatelé málokdy zdůrazňují, že za shodu a případné sankce zůstáváte plně odpovědní vy.

Pro minimalizaci rizika:

• Jmenujte zástupce ihned, jak začnete nabízet zboží/služby nebo sledovat osoby v EU
• Mějte dokumentaci aktuální a přístupnou
• Rychle reagujte na požadavky zástupce nebo úřadů

Reálné scénáře: která povinnost platí a nejjednodušší cesta k shodě

• Scénář 1: Americká SaaS firma s francouzskými uživateli
  Vaše SaaS platforma sbírá analytiku a nabízí služby uživatelům ve Francii. Musíte jmenovat zástupce EU podle článku 27 GDPR. Nejjednodušší cesta: vyberte poskytovatele (např. REP27), odešlete údaje o firmě a zpracování, obdržíte podepsané jmenování a certifikát, aktualizujete zásady ochrany osobních údajů. Výjimka neplatí, pokud zpracování není opravdu příležitostné a nízkorizikové.
• Scénář 2: Čínský prodejce na Amazonu dodávající do Francie
  Prodáváte fyzické produkty francouzským zákazníkům přes Amazon. Potřebujete jak zástupce GDPR podle článku 27 (pro zpracování osobních údajů), tak odpovědnou osobu GPSR (pro bezpečnost produktů). Jde o samostatná jmenování a poplatky. Vyberte poskytovatele, kteří nabízejí obě služby (REP27 pokrývá obě), a aktualizujte označení produktů a zásady ochrany osobních údajů.
• Scénář 3: Britský online obchod s francouzskými zákazníky
  Po Brexitu váš britský obchod prodává do Francie. Jste považováni za nečlenskou firmu EU a musíte jmenovat zástupce GDPR v EU. Vyberte poskytovatele, dokončete jmenování a aktualizujte zásady ochrany osobních údajů. Pokud také prodáváte do UK, zvažte poskytovatele nabízející obě jmenování EU i UK pro efektivitu.

Ve všech případech mějte připravenou dokumentaci pro úřady a tržiště. Pokud prodáváte pouze B2B a nikdy nezpracováváte data jednotlivců v EU, nebo je vaše zpracování opravdu příležitostné a nízkorizikové, zástupce možná nepotřebujete. V pochybnostech konzultujte odborníka nebo použijte kontrolní nástroj poskytovatele.