πρέπει ως ατομικός επαγγελματίας να τηρώ ένα μητρώο δραστηριοτήτων επεξεργασίας

Συνήθως ναι, ακόμα και χωρίς προσωπικό

Μια μεμονωμένη επιχείρηση ή ελεύθερος επαγγελματίας υπόκειται στη GDPR από τη στιγμή που επεξεργάζεται προσωπικά δεδομένα, και αυτό συμβαίνει στις περισσότερες επιχειρήσεις — μια λίστα πελατών, μια λίστα αποστολής, τιμολόγια με ονόματα και διευθύνσεις, όλα αυτά έχουν σημασία. Ο κανονισμός δεν κάνει εξαίρεση για μικρές επιχειρήσεις ή μεμονωμένες επιχειρήσεις ως τέτοιες· η υποχρέωση να τηρείται ένα αρχείο δεν εξαρτάται από τη νομική μορφή, αλλά από το τι επεξεργάζεται και πόσο συχνά.

Στην πράξη, η εξαίρεση από το αρχείο ισχύει μόνο για οργανισμούς με λιγότερα από 250 άτομα προσωπικού, και ακόμα και τότε μόνο εάν η επεξεργασία είναι περιστασιακή, δεν δημιουργεί κίνδυνο για τα άτομα των οποίων τα δεδομένα είναι, και δεν αφορά ευαίσθητα δεδομένα όπως η υγεία ή οι ποινικές πληροφορίες. Ένας ελεύθερος επαγγελματίας που καταχωρεί δεδομένα πελατών κατά τρόπο δομημένο, αποστέλλει ένα δελτίο ειδήσεων ή χρησιμοποιεί ένα λογιστικό πακέτο, συνήθως δεν κάνει περιστασιακή επεξεργασία — με αυτόν τον τρόπο η εξαίρεση παύει να ισχύει και παραμένει ο κύριος κανόνας: τήρηση ενός αρχείου. Τι ακριβώς πρέπει να περιλαμβάνεται σε αυτό, περιγράφεται στη σελίδα σχετικά με τι πρέπει να περιλαμβάνεται σε ένα αρχείο δραστηριοτήτων επεξεργασίας.

Πού στηρίζεται αυτό: άρθρο 2 και άρθρο 30 της GDPR

Το άρθρο 2 της GDPR καθορίζει το υλικό πεδίο εφαρμογής: ο κανονισμός ισχύει για την επεξεργασία προσωπικών δεδομένων, ανεξάρτητα από το μέγεθος ή τη μορφή του οργανισμού που κάνει την επεξεργασία. Το άρθρο 30 της GDPR θεσπίζει την υποχρέωση τήρησης αρχείου τόσο για τον υπεύθυνο επεξεργασίας όσο και για τον εργολάβο επεξεργασίας, και περιλαμβάνει στο ίδιο άρθρο την εξαίρεση για μικρούς οργανισμούς με περιστασιακή, χαμηλού κινδύνου επεξεργασία. Αυτά τα δύο άρθρα λειτουργούν μαζί: το ένα καθορίζει εάν ο κανονισμός ισχύει, το άλλο εάν η υποχρέωση τήρησης αρχείου εντός αυτού του πλαισίου ισχύει στην πραγματικότητα. Για όσους αμφιβάλλουν για το ρόλο τους — εάν είναι ρόλος εργολάβου επεξεργασίας ή υπευθύνου επεξεργασίας — σημαντικό γιατί αυτό καθορίζει εν μέρει τι πρέπει να καταχωρηθεί — η σελίδα σχετικά με εργολάβος επεξεργασίας ή υπεύθυνος επεξεργασίας παρέχει περισσότερη βοήθεια. Η εποπτεία της συμμόρφωσης με το άρθρο 30 βαρύνει την αρχή επιβολής του κράτους μέλους όπου είναι εγκατεστημένη η επιχείρηση — στην Ολλανδία είναι η Αρχή Προστασίας Προσωπικών Δεδομένων· σε άλλες χώρες της ΕΕ είναι η αρχή του εν λόγω κράτους. Η υποχρέωση αυτή, και η εξαίρεση σε αυτή, περιλαμβάνονται στον κανονισμό και ισχύουν επομένως σε ολόκληρη την ΕΕ με τον ίδιο τρόπο.