kas pean kui iseseisev ettevõtja ka andmekäitlemise registrit pidama

Tavaliselt jah, ka ilma personalita

Üheksakond või füüsiline isik, kes teeb omaette teenust (zzp), kuulub GDPR alla niipea, kui töödelakse isikuandmeid, ja see kehtib peaaegu igas ettevõttes — klientide nimekiri, e-posti leviloend, arved nimedega ja aadressidega, see juba loeb. GDPR ei tee erandit väikestele ettevõtetele ega üheksakondadele sellisena; kohustus pidada registrit ei sõltu juriidilisest vormist, vaid sellest, millised andmed töödeldakse ja kui sageli.

Praktikas kehtib registri erandus ainult organisatsioonidele, millel on alla 250 töötaja, ja seejuures ainult siis, kui töötlemine on juhusliku iseloomuga, ei tekita riski nende inimeste jaoks, kelle andmetega on tegemist, ja ei käsitle eriliiki andmeid nagu terviseinfo või kuriteostatistika. Füüsiline isik, kes teeb omaette teenust ja regulaarselt fikseerib klientide andmeid, saadab e-posti uudiskiri või kasutab raamatupidamise tarkvara, töötleb reeglina mitte juhuslikult — sellega kaob erand ja jääb põhireegel: pidada registrit. Mis täpselt sinna peab minema, on kirjeldatud lehel kuidas töötlemisregistrit pidada.

Millel see põhineb: GDPR artikkel 2 ja artikkel 30

GDPR artikkel 2 määratleb materiaalne kohaldamisala: määrust kohaldatakse isikuandmete töötlemisele, sõltumata nende andmeid töötleva organisatsiooni suurusest või vormist. GDPR artikkel 30 kehtestab kohustuse pidada registrit nii andmete vastutava isiku kui ka andmete töötleja kohta ja sisaldab samas artiklis erandit väikeste organisatsioonide kohta, kus töötlemine on juhuslik ja madala riskiga. Need kaks artiklit töötavad koos: üks määrab, kas GDPR on kohaldatav, teine määrab, kas registri pidamise kohustus selles raames tegelikult kehtib. Kellele, kes kahtlevad, kas tema roll on andmete töötleja või andmete vastutava isiku roll — see on oluline, sest see määrab ka, mis tuleb registreerida — pakub leht andmete töötleja või andmete vastutav isik rohkem tuge. Järelevalvet artikli 30 järgimise üle teostab liikmesriigi järelevalveasutus, kus ettevõte on asutatud — Hollandis on see Autoriteit Persoonsgegevens; teistes EL-i riikides on see selle riigi järelevalveasutus. Kohustus ise ja selle erand on küll määruses ning kehtivad seega kogu EL-is ühtemoodi.