musím si jako OSVČ vést záznamy o zpracování osobních údajů

Obvykle ano, i bez zaměstnanců

Jednoosobní podnik nebo OSVČ podléhá GDPR, jakmile zpracovává osobní údaje, a to je u téměř každého podniku případ — seznam zákazníků, seznam příjemců newsletteru, faktury s jmény a adresami, to vše se počítá. GDPR nevytváří výjimku pro malé podniky nebo jednoosobní podniky jako takové; povinnost vést přehled nezávisí na právní formě, ale na tom, co se zpracovává a jak často.

V praxi se výjimka z povinnosti vést přehled vztahuje pouze na organizace s méně než 250 zaměstnanci, a i pak pouze v případě, že je zpracování příležitostné, nevytvořuje riziko pro osoby, jejichž údaje jde, a netýká se zvláštních kategorií údajů, jako jsou údaje o zdraví nebo trestněprávní informace. OSVČ, která systematicky zaznamenává údaje zákazníků, rozesílá newsletter nebo pracuje s účetním balíčkem, zpracovává zpravidla ne příležitostně — tím pádem výjimka odpadá a zůstává základní pravidlo: vést přehled. Co do něj přesně patří, je popsáno na stránce o registru činností zpracování.

Čeho se to týká: článek 2 a článek 30 GDPR

Článek 2 GDPR určuje hmotný rozsah použití: nařízení se vztahuje na zpracování osobních údajů, bez ohledu na velikost nebo formu organizace, která je zpracovává. Článek 30 GDPR ukládá povinnost vést přehled jak správci, tak zpracovateli, a v témže článku obsahuje výjimku pro malé organizace s příležitostným a nízkorizikům zpracováním. Tyto dva články pracují společně: jeden určuje, zda se GDPR uplatňuje, druhý, zda se povinnost vést přehled v jeho rámci opravdu uplatňuje. Pro ty, kdo si nejsou jisti, zda jejich role je rolí zpracovatele nebo správce — relevantní proto, že to částečně určuje, co se musí zaznamenat — stránka o zpracovateli nebo správci poskytuje více podpory. Dohled nad dodržováním článku 30 náleží orgánu státu, ve kterém je podnik založen — v Nizozemsku je to Úřad pro ochranu osobních údajů; v jiných zemích EU je to orgán dané země. Samotná povinnost a výjimka z ní jsou obsaženy v nařízení a platí tedy v celé EU stejně.