Ισχύει ο GDPR και για εργολάβους και μικρές επιχειρήσεις;

Ναι, και οι ελεύθεροι επαγγελματίες και οι μικρές επιχειρήσεις υπόκεινται σε αυτόν

Ο GDPR ισχύει για όποιον επεξεργάζεται δεδομένα προσώπων, ανεξάρτητα από το μέγεθος της επιχείρησης. Δεν υπάρχει κατώτερο όριο στον αριθμό των εργαζομένων ή στο κύκλο εργασιών στο νόμο. Από τη στιγμή που διατηρούνται ονόματα, διευθύνσεις ηλεκτρονικού ταχυδρομείου, τιμολόγια με δεδομένα πελατών, ένα αρχείο προσωπικού ή μια βάση δεδομένων πελατών σε ένα σύστημα CRM, υπάρχει επεξεργασία δεδομένων προσώπων κατά την έννοια του νόμου — και επομένως εφαρμογή του GDPR. Ένας ελεύθερος επαγγελματίας με τρεις πελάτες σε ένα υπολογιστικό φύλλο εμπίπτει εδώ εξίσου όπως μια επιχείρηση με εκατό υπαλλήλους.

Ωστόσο, αυτό που διαφέρει είναι το εύρος των υποχρεώσεων που προκύπτουν από αυτήν την εφαρμογή. Για παράδειγμα, ο GDPR περιλαμβάνει μια ελαφρύτερη εξαίρεση για τη διατήρηση ενός αρχείου δραστηριοτήτων επεξεργασίας: οι οργανισμοί με λιγότερους από 250 υπαλλήλους δεν χρειάζεται κατ' αρχήν να τηρούν αυτό το αρχείο, εκτός αν η επεξεργασία δεν είναι περιστασιακή, ενέχει κίνδυνο για τα δικαιώματα των υποκειμένων ή αφορά ειδικές κατηγορίες δεδομένων. Στην πράξη, αυτή η εξαίρεση δεν βοηθά πολλές μικρότερες επιχειρήσεις περισσότερο από ό,τι φαίνεται με την πρώτη ματιά, διότι η διατήρηση δεδομένων πελατών είναι σπάνια πραγματικά περιστασιακή.

Όπου αυτό προκύπτει: άρθρο 2 και άρθρο 30 GDPR

Το ουσιαστικό πεδίο εφαρμογής του GDPR αναφέρεται στο άρθρο 2: η κανονιστική πράξη ισχύει για την εξ ολοκλήρου ή εν μέρει αυτοματοποιημένη επεξεργασία δεδομένων προσώπων, και για την επεξεργασία που αποτελεί μέρος ενός αρχείου. Η εξαίρεση από την υποχρέωση τήρησης αρχείου για μικρότερους οργανισμούς αναφέρεται στο άρθρο 30, με τις προϋποθέσεις που αναφέρονται σε αυτό. Επειδή ο GDPR είναι ένας κανονισμός, ισχύει αυτή η ουσία άμεσα και ίσως σε κάθε κράτος μέλος — στις Κάτω Χώρες εξίσου όπως και στη Γερμανία. Ωστόσο, αυτό που διαφέρει ανά χώρα είναι ποια αρχή επίβλεψης επιβλέπει: στις Κάτω Χώρες είναι η Αρχή Προστασίας Δεδομένων, στη Γερμανία η αρχή επίβλεψης του κρατιδίου στο οποίο βρίσκεται η εγκατάστασή.