Kehtib GDPR ka füüsilisele isikule ja väikesele ettevõttele?

Jah, ka FIP-d ja väikeettevõtted kuuluvad selle alla

GDPR kehtib kõigil, kes töötlevad isikuandmeid, sõltumata ettevõtte suurusest. Seaduses pole töötajate arvu või käibe alumist piiri. Niipea, kui säilitatakse nimesid, e-posti aadresse, arveteid klientandmetega, personalihaldusteabel või klientide andmebaasi CRM-süsteemis, on tegemist isikuandmete töötlemisega seaduse tähenduses — ja seega GDPR-i kohaldamisega. Iseseisev ettevõtja kolme kliendiga arvutustabelis kuulub sinna sama hästi kui sada töötajaga ettevõte.

Erinevaks kujuneb aga nende kohaldamisest tulenev kohustuste ulatus. Nii tunneb GDPR töötlemismeerika pidamise kohta kergemat erandit: organisatsioonid, millel on vähem kui 250 töötajat, ei pea seda registrit põhimõtteliselt pidama, välja arvatud juhul, kui töötlemine ei ole juhusliku iseloomuga, kaasab subjektide õigusi puudutavat riski või käsitleb spetsiaalseid kategooriaid andmeid. Praktikas mõjub see erandi väiksematele ettevõtetele märksa vähem kui esmapilgul näib, sest klientandmete säilitamine on harva tõesti juhusliku iseloomuga.

Kust see tuleb: artikkel 2 ja artikkel 30 GDPR

GDPR-i aine poolest kohaldamise ulatus on kirjas artiklis 2: määrus kehtib täielikult või osaliselt automatiseeritud isikuandmete töötlemisele ning töötlemisele, mis on osa failist. Väiksematel organisatsioonidel töötlemismeerika pidamise kohustuse erandi on nimetatud artiklis 30 koos selles nimetatud tingimustega. Kuna GDPR on määrus, kehtib see tuum otse ja ühtemoodi igas liikmesriigis — Hollandis sama hästi kui Saksamaal. Erinevaks kujuneb aga riigiti, milline järelevalveasutus sellele järelevalvet teostab: Hollandis on selleks Isikuandmete Järelevalve Amet, Saksamaal selle maakonna järelevalveasutus, kus asutis asub.