Трябва ли като самостоятелен предприемач да поддържам регистър на дейностите по обработка на данни?

Обикновено да, дори без персонал

Еднолично дружество или самостоятелен професионалист попада под GDPR веднага щом обработва лични данни, а това е случаят при почти всяко предприятие — клиентска база, списък за разпращане, фактури с имена и адреси, всичко това се счита. GDPR не прави изключение за малки предприятия или еднолични дружества като такива; задължението да се води регистър не зависи от правната форма, а от това какви данни се обработват и с каква честота.

На практика изключението от регистъра се отнася само за организации с по-малко от 250 служители, и то само ако обработката е случайна, не представя риск за хората, чиито данни са в регистъра, и не се отнася до специални данни като здравословното състояние или информация, свързана със съдимост. Самостоятелен професионалист, който систематично записва данни на клиенти, разпраща бюлетин или работи с счетоводен софтуер, като правило не обработва случайно — с това отпада изключението и остава основното правило: да се води регистър. Какво точно трябва да стои в него, е описано на страницата за какво трябва да стои в регистъра на обработваните дейности.

На какво се основава това: член 2 и член 30 на GDPR

Член 2 на GDPR определя материалния обхват на приложение: разпоредбата се прилага за обработката на лични данни, независимо от размера или формата на организацията, която обработва. Член 30 на GDPR установява задължението да се води регистър както при отговорния за обработката, така и при обработвателя, и съдържа в същия член изключението за малки организации с случайна, нискорискова обработка. Тези два члена работят заедно: единият определя дали GDPR се прилага, другият дали задължението да се води регистър наистина важи. За тези, които се съмняват дали собствената им роля е на обработвател или отговорен за обработката — важно е, защото това отчасти определя какво трябва да бъде регистрирано — страницата за обработвател или отговорен за обработката предоставя повече указания. Надзорът върху спазването на член 30 лежи на надзорния орган на държавата членка, в която е установено предприятието — в Нидерландия това е Autoriteit Persoonsgegevens; в други държави членки на ЕС това е надзорният орган на тази страна. Самото задължение и изключението от него са закрепени в разпоредбата и затова важат еднакво в цялата ЕС.