pitääkö minun pitää käsittelyrekisteriä yrittäjänä

Yleensä kyllä, myös ilman henkilöstöä

Yksittäinen liikkeenharjoittaja tai freelancer kuuluu GDPR:n soveltamisalaan heti, kun he käsittelevät henkilötietoja, mikä on lähes jokaisen yrityksen kohdalla — asiakasrekisteri, postitusluettelo, laskut nimillä ja osoitteilla, kaikki lasketaan mukaan. GDPR ei tee poikkeusta pienille yrityksille tai yksittäisille liikkeenharjoittajille sinänsä; velvollisuus pitää rekisteriä riippuu siitä, mitä käsitellään ja kuinka usein, ei oikeusmuodosta.

Käytännössä rekisteristä vapautus koskee vain organisaatioita, joissa on alle 250 työntekijää, ja silloinkaan vain, jos käsittely on satunnaista, ei aiheuta riskiä henkilöille, joiden tietoja se koskee, eikä koske erityisiä tietoja, kuten terveyttä tai rikostuomioita. Freelancer, joka säännöllisesti tallentaa asiakastiedot, lähettää uutiskirjeen tai käyttää kirjanpitojärjestelmää, ei yleensä käsittele tietoja satunnaisesti — silloin vapautus raukeaa ja pääsääntö jää: pidä rekisteriä. Mitä siihen tarkalleen on sisällytettävä, on kuvattu sivulla mitä käsittelyrekisteriin on sisällytettävä.

Mille tämä perustuu: GDPR:n 2 ja 30 artikla

GDPR:n 2 artiklassa määritellään soveltamisalue: asetus koskee henkilötietojen käsittelyä organisaation koosta tai muodosta riippumatta. GDPR:n 30 artiklassa vahvistetaan rekisterivelvollisuus sekä rekisterinpitäjälle että käsittelijälle, ja samassa artiklassa mainitaan vapautus pienille organisaatioille, joilla on satunnaista, matalan riskin käsittelyä. Nämä kaksi artiklaa toimivat yhdessä: toinen määrää, koskeeko GDPR:ää, toinen sen sijaan sitä, onko rekisterivelvollisuus todella voimassa. Joille, jotka epäröivät omaa rooliaan — se, ovatko he käsittelijä vai rekisterinpitäjä, on merkityksellinen, koska se osittain määrää, mitä on rekisteröitävä — sivulla on apua käsittelijä tai rekisterinpitäjä Valvonta GDPR:n 30 artiklan noudattamisesta kuuluu siihen jäsenvaltioon, jossa yritys sijaitsee — Suomessa valvontaviranomainen on Tietosuojavaltuutetun toimisto; muissa EU-maissa se on kyseisen maan valvontaviranomainen. Itse velvollisuus ja siitä vapautus ovat asetuksessa ja pätevät siten koko EU:ssa samalla tavalla.