Kdo opravdu potřebuje zástupce podle GDPR — a proč se některé firmy rozhodnou být vidět

 V GDPR je věta, která tiše platí pro tisíce firem, které si ji nikdy nepřečetly. Říká, že pokud sídlíte mimo Evropskou unii a oslovujete lidi uvnitř ní, někdo usazený v Unii musí být zastižitelný vaším jménem — jmenované kontaktní místo pro úřady i pro jednotlivce. Nazývá se zástupce podle Článku 27. Spojené království po brexitu přidalo svou zrcadlovou verzi pod UK GDPR. A většina firem, které ho potřebují, netuší, že ho potřebují.

Tohle není prodejní text. Je to pokus jasně odpovědět na otázky, které si lidé skutečně kladou, když na tuto povinnost poprvé narazí — a vysvětlit jednu věc, která překvapí téměř každého: proč se některé firmy, místo aby skrývaly, že jsou zastoupeny, rozhodnou být za to uvedeny veřejně.

„Týká se mě to vůbec?"

Povinnost nehledí na vaši velikost ani obrat. Sleduje jedinou věc: dosah. Jste-li správce nebo zpracovatel usazený mimo EU a nabízíte zboží či služby lidem v Unii nebo sledujete jejich chování, Článek 3(2) vás zahrnuje do působnosti. Není žádný obratový práh. V praxi to zasáhne mnoho firem, které se za „zaměřené na EU" vůbec nepovažují — americký software s evropskými registracemi, aplikaci s uživateli ve Francii nebo Německu, zpracovatele, který spravuje evropská data pro vlastní klienty. A už nejde jen o firmy: i osoby samostatně výdělečně činné a prodejci působící jen na tržištích, kdo vede obchod na Amazonu nebo Etsy bez vlastního webu, spadají pod stejnou logiku ve chvíli, kdy osloví zákazníky v EU.

„Není to totéž co pověřenec (DPO)?"

Ne, a je to nejčastější záměna. Zástupce je vaše vnější kontaktní místo uvnitř Unie podle Článku 27. Pověřenec pro ochranu osobních údajů je vnitřní poradní role podle Článků 37 až 39. Jsou to různé úlohy a jeden subjekt nemůže být pro tutéž firmu správně obojím.

„EU, nebo UK — co potřebuji?"

Záleží na tom, kde jsou vaši lidé. Oslovujete-li jednotlivce v EU, potřebujete zástupce pro EU. Oslovujete-li jednotlivce ve Spojeném království, potřebujete zástupce pro UK. Oslovujete-li oboje — a mnoho firem ano — potřebujete oba, protože jde o dvě samostatné právní povinnosti, ne o jednu. Upřímná odpověď zní, že spousta firem potřebuje dvojici a druhou polovinu objeví pozdě.

Proč zde „bezpečnost" znamená „ověřitelnost"

Když se někdo ptá, zda je zastoupení „bezpečné", obvykle tím myslí něco konkrétního: mohu věřit, že je skutečné, aktuální a prokazatelné — ne PDF, které mi kdosi jednou poslal a zapomněl na ně? Ta otázka je důležitá, protože u Článku 27 už nejde jen o uspokojení úřadu. Jde o uspokojení kupujícího. Když firma prověřuje dodavatele, „kdo je váš zástupce pro EU a mohu si to ověřit?" je dnes běžná položka. Statický dokument, který by mohl tvrdit cokoli, takovou konverzaci nepřežije. Jmenování, které lze zkontrolovat proti živému rejstříku, ano. Ta ověřitelnost — certifikát s kódem, který si kdokoli může naskenovat a potvrdit, že je právě teď platný — je to, co zde „bezpečnost" skutečně znamená.

Překvapivá část: rozhodnout se být vidět

Být zastoupen podle Článku 27 je ze své podstaty veřejný fakt. Jméno vašeho zástupce musí stejně být ve vašich zásadách ochrany soukromí. Některé firmy jdou o krok dál a souhlasí, že budou veřejně uvedeny i na straně zástupce. Proč by se k tomu někdo hlásil? Protože zde viditelnost a důvěra míří stejným směrem. Pro zastoupenou firmu je veřejné uvedení malý, ověřitelný signál vlastním zákazníkům a partnerům — ano, udělali jsme to pořádně, a tady si to můžete potvrdit. Děje se to jen se souhlasem; nikdo není uveden, kdo nesouhlasil. Ale když firma souhlasí, celé uspořádání se stává průhlednějším — přesně to, o co Článek 27 od začátku usiloval.

Kam zapadá sedmidenní zkušební verze

Tady je praktická část a důvod, proč je tato povinnost méně zastrašující, než zní. Nemusíte se rozhodovat naslepo. Můžete začít bezplatnou sedmidenní zkušební verzí, bez platební karty, a skutečně vidět, jak zastoupení vypadá — podepsané jmenování, certifikát, živý ověřovací odznak — než se k čemukoli zavážete. U povinnosti postavené zcela na průhlednosti působí možnost prohlédnout si ji před koupí jako jádro věci, ne jako bonus. Web se dokonce nainstaluje do telefonu jako aplikace, takže váš stav a vaše přepážka pro žádosti cestují s vámi, místo aby ležely v šuplíku.

Poctivé hranice

Dvě věci stojí za jasné vyřčení. Zástupce je kontaktní místo, ne štít: Článek 27(5) výslovně říká, že úřady mohou stále jednat přímo proti vám, a jmenování nevytváří usazení v EU ani nepřesouvá vaše daňové sídlo. A není to právní poradenství. Kdo to popisuje jako imunitu, popisuje něco, co nařízení neobsahuje.

Závěr je tišší než prodejní text. Článek 27 je široká, obyčejná povinnost, která zasáhne obyčejné firmy ve chvíli, kdy mají evropské uživatele. Celá jeho logika je průhlednost — zastižitelné, ověřitelné kontaktní místo, které si každý může potvrdit. Firmy, které k němu tak přistupují, včetně těch, které se rozhodnou být uvedeny veřejně, nekupují ochranu. Dělají něco ověřitelného.

Takže upřímná otázka pro každého, kdo se kdy potkal s compliance dodavatele: když vám řekl, že je „v souladu s GDPR", ověřili jste si skutečně, zda má zástupce pro EU — nebo nakonec stačilo „jsme v souladu"? Rád bych věděl, jak často se někdo opravdu podívá 👇