Przedstawiciel administratora spoza UE — art. 27 RODO, obowiązek i wyjątek

Stan prawny: 17 października 2026 r. Analiza WILIŃSKI LEGAL dotycząca ochrony danych.

Odpowiedź w skrócie

Podmioty niemające jednostki organizacyjnej w Unii, lecz objęte terytorialnym zakresem RODO na podstawie art. 3 ust. 2, muszą co do zasady wyznaczyć przedstawiciela w Unii. Art. 27 przewiduje wyjątki, m.in. dla określonego przetwarzania okazjonalnego o niskim ryzyku.

Eksterytorialne zastosowanie RODO

Firma może podlegać RODO mimo siedziby poza Unią, jeżeli oferuje towary lub usługi osobom znajdującym się w Unii albo monitoruje ich zachowanie na warunkach art. 3 ust. 2. Nie wystarcza sama techniczna dostępność strony internetowej z dowolnego państwa. Trzeba ustalić rzeczywiste kierowanie oferty do odbiorców i charakter procesów analitycznych. Dopiero po ocenie zakresu terytorialnego należy analizować obowiązek ustanowienia przedstawiciela.

Przedstawiciel w Unii

Art. 27 wymaga pisemnego wyznaczenia przedstawiciela na terytorium UE, w jednym z państw, gdzie znajdują się osoby, których dane przetwarzane są w związku z działalnością. Przedstawiciel może być adresatem komunikacji osób i organów nadzorczych w sprawach dotyczących zgodności. Nie należy mylić go z inspektorem ochrony danych ani uważać, że jego ustanowienie przenosi całą odpowiedzialność administratora na reprezentanta.

Wyjątek dla przetwarzania okazjonalnego

Przepis przewiduje szczególny wyjątek dla przetwarzania, które ma charakter okazjonalny, nie obejmuje określonych kategorii danych na dużą skalę i jest mało prawdopodobne, aby powodowało ryzyko naruszenia praw lub wolności, z uwzględnieniem charakteru, kontekstu, zakresu i celów. Warunki należy oceniać łącznie. Nie można twierdzić, że mała liczba użytkowników automatycznie zwalnia podmiot, jeżeli zachodzi istotne ryzyko albo stałe monitorowanie.

Organy publiczne

Odrębny wyjątek w art. 27 ust. 2 dotyczy organu lub podmiotu publicznego. Nie należy automatycznie rozszerzać go na prywatne spółki wykonujące usługi dla administracji. W przypadku podmiotów wielonarodowych trzeba ustalić, czy faktycznie posiadają jednostkę organizacyjną w UE i jaki podmiot jest administratorem określonego procesu. Formalny adres korespondencyjny nie oznacza zawsze rzeczywistej jednostki organizacyjnej.

Obowiązki przedstawiciela i dokumentacja

Przedstawiciel powinien być realnie dostępny dla osób i organów nadzorczych w sprawach dotyczących przetwarzania objętego RODO. Umowa powinna określić kanały komunikacji, zakres współpracy, dostęp do potrzebnych informacji i procedury przekazywania żądań. Nie można sprowadzić roli do anonimowego adresu e-mail, który nie jest obsługiwany. Jednocześnie podmiot spoza UE pozostaje odpowiedzialny za właściwe zabezpieczenia, podstawy przetwarzania i realizację praw osób.

Dostawca aplikacji i analiza ryzyka

Przedsiębiorca spoza UE uruchamia usługę adresowaną do polskich i niemieckich klientów. Zbiera dane do realizacji umów oraz monitoruje aktywność użytkowników w celu personalizacji. Powinien zbadać art. 3 ust. 2 i możliwość zastosowania art. 27. Należy ocenić, czy działalność jest regularna i jakie ryzyko generują kategorie informacji. Powołanie przedstawiciela nie zastępuje ewentualnych obowiązków dotyczących transferów danych i podmiotów przetwarzających.

Przykład

Platforma e-learningowa z siedzibą w państwie trzecim prowadzi polskojęzyczną sprzedaż i śledzi postępy osób znajdujących się w UE. Jeśli spełnia art. 3 ust. 2, musi rozważyć wyznaczenie przedstawiciela w UE, chyba że zastosowanie ma ustawowy wyjątek. Nie wystarczy ogólna deklaracja, że serwery są poza Unią. Znaczenie mają odbiorcy oferty, ryzyko przetwarzania i rzeczywista organizacja przedsiębiorcy.

Przejrzystość i dokumentacja decyzji

Administrator powinien umieć wykazać nie tylko to, że posiada politykę prywatności, ale również że rozpoznał własny cel przetwarzania i prawidłową podstawę ustawową. Każde odstępstwo od zasady wymaga udokumentowania konkretnych przesłanek. Warto określić osoby odpowiedzialne, terminy, źródła danych i procedury współpracy z podmiotami przetwarzającymi. Dla kontroli znaczenie mają faktycznie wdrożone mechanizmy, a nie same nazwy polityk i deklaracje marketingowe.

Skutki dla osoby, której dotyczą dane

Prawo do informacji i odpowiednio zorganizowane przetwarzanie mają umożliwiać osobie zrozumienie, jak jej dane są wykorzystywane. Jeśli administrator nie potrafi wyjaśnić tego procesu, utrudnia także późniejsze wykonywanie prawa dostępu, sprostowania, sprzeciwu lub usunięcia. Należy stosować język zrozumiały dla odbiorcy, a przy szczególnie złożonym systemie rozważyć warstwową strukturę komunikatów. Odrębnie ocenia się zagadnienia związane z dziećmi i osobami wymagającymi szczególnej ochrony.

Kontrargumenty i kontrola organu

W sporze podmiot może powoływać się na przepisy szczególne, interes publiczny albo wyjątki dotyczące określonego przetwarzania. Nie każda taka deklaracja jest jednak wystarczająca. Trzeba zidentyfikować konkretną normę i wskazać, w jakim zakresie ogranicza ona zwykłe obowiązki. Organ nadzorczy powinien otrzymać materiał umożliwiający ocenę ryzyka, a nie tylko oświadczenie o dobrej wierze. Nie można też automatycznie utożsamiać formalnego braku dokumentu z wystąpieniem każdej możliwej szkody.

Konkluzja

Właściwe stosowanie RODO wymaga odrębnego rozpoznania obowiązków informacyjnych, reguł organizacyjnych i mechanizmów kontroli ryzyka. Każdy przepis ma własne przesłanki, terminy i wyjątki. Najbezpieczniejszy model zakłada mapowanie procesów przed zbieraniem danych, dokumentowanie decyzji oraz okresowe sprawdzanie, czy rzeczywista działalność nadal odpowiada przyjętym założeniom. W przypadku zmian technologicznych należy zaktualizować ocenę, zamiast zakładać, że raz przygotowana klauzula pozostanie zawsze aktualna.

Miejsce przedstawiciela i język kontaktu

Przedstawiciel powinien być ustanowiony w państwie członkowskim, w którym znajdują się osoby objęte odpowiednim przetwarzaniem, zgodnie z warunkami art. 27. W działalności obejmującej klientów kilku państw trzeba rozsądnie zaprojektować kanały kontaktu i dostępność informacji. Nie chodzi wyłącznie o wpisanie przypadkowego adresu w polityce prywatności. Osoby i organy nadzorcze muszą mieć praktyczną możliwość nawiązania kontaktu w sprawach dotyczących danych. Warto zapewnić procedurę przekazywania wniosków administratorowi spoza UE oraz terminowe potwierdzanie ich odbioru. Przedstawiciel nie zastępuje administratora w podejmowaniu decyzji o celach przetwarzania.

Relacja do IOD i usługodawcy

Inspektor ochrony danych pełni inną funkcję niż przedstawiciel w Unii: doradza w zakresie zgodności i monitoruje przestrzeganie RODO na zasadach art. 37–39. Przedstawiciel z art. 27 jest natomiast określonym punktem kontaktowym podmiotu nieposiadającego odpowiedniej jednostki organizacyjnej w UE. Nie można automatycznie zakładać, że powołanie jednego podmiotu eliminuje odrębny obowiązek ustanowienia IOD, jeżeli zachodzą jego przesłanki. Podobnie przedstawiciel nie jest automatycznie podmiotem przetwarzającym każdą informację klientów. Role wymagają właściwej kwalifikacji umownej i organizacyjnej.

Ocena regularności przetwarzania

W praktyce trudno uznać stałą, wieloletnią obsługę użytkowników za przetwarzanie wyłącznie okazjonalne tylko dlatego, że spółka nie prowadzi biura w UE. Przy badaniu wyjątku z art. 27 należy ustalić częstotliwość operacji, skalę danych, poziom ryzyka i kategorie informacji. Przetwarzanie danych o zdrowiu lub monitorowanie zachowania może przemawiać za uważniejszą oceną, nawet gdy liczba osób nie jest bardzo duża. Wniosek nie może wynikać wyłącznie z liczby transakcji albo deklarowanego statusu małego przedsiębiorcy. Administrator powinien zachować uzasadnienie decyzji w dokumentacji zgodności.

Lista kontrolna

1. Ustal rolę administratora i konkretny cel.
2. Wskaż podstawę i zakres przetwarzania.
3. Sprawdź przesłanki, terminy i wyjątki.
4. Dokumentuj działania i stosowne zabezpieczenia.
5. Zadbaj o rzetelną komunikację z osobami i organami.

Źródło pierwotne

Rozporządzenie (UE) 2016/679, art. 27 i przepisy powiązane, EUR-Lex — tekst RODO.

Opracowanie informacyjne; nie stanowi porady w indywidualnej sprawie.