skal jeg som selvstændig også føre et behandlingsregister

Normalt ja, også uden medarbejdere

En enkeltmandsejendom eller selvstændig falder under GDPR'en, så snart der behandles personoplysninger, og det er tilfældet hos næsten enhver virksomhed — en kundeliste, en e-mail-abonnementsliste, fakturaer med navne og adresser, det tæller allerede med. GDPR'en gør ingen undtagelse for små virksomheder eller enkeltmandsejendome som sådan; forpligtelsen til at vedligeholde et register afhænger ikke af organisationsformen, men af hvad der behandles og hvor ofte.

I praksis gælder undtagelsen på registeret kun for organisationer med færre end 250 ansatte, og så kun hvis behandlingen er tilfældig, ikke udgør risiko for personerne, hvis oplysninger det er, og ikke vedrører særlige kategorier af oplysninger såsom sundhed eller strafferetlige informationer. En selvstændig, der strukturelt registrerer kundeoplysninger, sender et nyhedsbrev eller arbejder med et regnskabsprogram, behandler som regel ikke tilfældigt — dermed bortfalder undtagelsen og hovedreglen består: vedligeholde et register. Hvad der præcist skal stå i det, er beskrevet på siden om hvad der skal stå i et behandlingsregister.

Hvad det er baseret på: artikel 2 og artikel 30 i GDPR'en

Artikel 2 i GDPR'en fastlægger det materielle anvendelsesområde: forordningen gælder for behandling af personoplysninger, uanset størrelse eller form på den organisation, der behandler. Artikel 30 i GDPR'en pålægger forpligtelse til et register både for den dataansvarlige og for databehandleren, og indeholder i samme artikel undtagelsen for små organisationer med tilfældig, lavrisiko-behandling. Disse to artikler arbejder sammen: den ene fastlægger, om GDPR'en finder anvendelse, den anden om registerpligten derinde faktisk også gælder. For dem, der er usikre på, om deres egen rolle er den som databehandler eller dataansvarlig — relevant fordi det blandt andet afgør, hvad der skal registreres — giver siden om databehandler eller dataansvarlig mere vejledning. Tilsyn med overholdelsen af artikel 30 påhviler tilsynsmyndigheden i den medlemsstat, hvor virksomheden er etableret — i Danmark er det Datatilsynet; i andre EU-lande er det tilsynsmyndigheden i det pågældende land. Forpligtelsen selv, og undtagelsen herfra, er optaget i forordningen og gælder således overalt i EU på samme måde.