¿debo mantener un registro de actividades de tratamiento como autónomo

Generalmente sí, incluso sin personal

Una empresa unipersonal o un autónomo están sujetos al RGPD en cuanto procesan datos personales, y eso ocurre en prácticamente todo negocio — un archivo de clientes, una lista de correo, facturas con nombres y direcciones, todo eso cuenta. El RGPD no hace excepciones para empresas pequeñas o negocios unipersonales como tales; la obligación de mantener un registro no depende de la forma jurídica, sino de qué se procesa y con qué frecuencia.

La práctica es que la excepción del registro solo se aplica a organizaciones con menos de 250 empleados, y aun así solo si el procesamiento es ocasional, no presenta riesgo para las personas cuyos datos son, y no afecta datos especiales como salud o información de antecedentes penales. Un autónomo que registra sistemáticamente datos de clientes, envía un boletín informativo o trabaja con un programa de contabilidad generalmente no procesa de forma ocasional — con eso desaparece la excepción y queda la regla general: mantener un registro. Lo que exactamente debe constar en él se describe en la página sobre qué debe constar en un registro de actividades de tratamiento.

En lo que se basa: artículo 2 y artículo 30 del RGPD

El artículo 2 del RGPD determina el ámbito de aplicación material: el reglamento se aplica al procesamiento de datos personales, independientemente del tamaño o forma de la organización que procesa. El artículo 30 del RGPD impone la obligación de un registro tanto al responsable del tratamiento como al encargado del tratamiento, y contiene en el mismo artículo la excepción para organizaciones pequeñas con tratamiento ocasional y de bajo riesgo. Estos dos artículos funcionan conjuntamente: uno determina si el RGPD es aplicable, el otro si la obligación del registro realmente aplica dentro de esto. Para quien dude si su propio rol es el de encargado del tratamiento o responsable del tratamiento — relevante porque eso también determina en parte qué debe registrarse — la página sobre encargado del tratamiento o responsable del tratamiento ofrece más orientación. La supervisión del cumplimiento del artículo 30 corresponde a la autoridad de control del Estado miembro donde la empresa está establecida — en los Países Bajos es la Autoridad de Protección de Datos; en otros países de la UE es la autoridad de control de ese país. La obligación en sí, y la excepción a ella, figuran en el reglamento y por lo tanto se aplican en toda la UE de la misma manera.