Vztahuje se nařízení na osobní podnikatele a malé podniky?

Ano, vztahuje se i na OSVČ a malé podniky

GDPR se vztahuje na každého, kdo zpracovává osobní údaje, bez ohledu na velikost podniku. V zákoně není stanovena žádná dolní hranice pro počet zaměstnanců nebo tržby. Jakmile se uchovávají jména, e-mailové adresy, faktury s údaji o zákaznících, personalistika nebo seznam zákazníků v systému CRM, jedná se o zpracování osobních údajů ve smyslu zákona — a tedy o použitelnost GDPR. Samostatný podnikatel se třemi zákazníky v tabulce spadá pod GDPR stejně jako společnost se sto zaměstnanci.

Co se však liší, je rozsah povinností, které z této použitelnosti vyplývají. GDPR tak zná mírnější výjimku z povinnosti vést záznam o zpracování: organizace s méně než 250 zaměstnanci v zásadě nemusí vést tento záznam, pokud zpracování není příležitostné, nese-li sebou riziko pro práva subjektů údajů, nebo se týká zvláštních kategorií údajů. V praxi se tato výjimka týká mnoha menších podniků méně, než se na první pohled zdá, protože uchovávání údajů o zákaznících je zřídka skutečně příležitostné.

Kde to vyplývá: čl. 2 a čl. 30 GDPR

Věcný rozsah použití GDPR je stanoven v článku 2: nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na zpracování, které je součástí spisu. Výjimka z povinnosti vést záznam pro menší organizace je uvedena v článku 30 s tam uvedenými podmínkami. Protože GDPR je nařízení, platí toto jádro přímo a stejně v každém členském státě — v Nederlandsku stejně jako v Německu. Co se od země k zemi liší, je který orgán dohledu jej kontroluje: v Nederlandsku je to Autoriteit Persoonsgegevens, v Německu je to orgán dohledu příslušného regionu, kde se sídlo nachází.