Koskeeko GDPR myös freelancereita ja pieniä yrityksiä?

Kyllä, myös itsenäiset ammatinharjoittajat ja pienet yritykset kuuluvat soveltamisalaan

GDPR koskee kaikkia, jotka käsittelevät henkilötietoja, riippumatta yrityksen koosta. Laissa ei ole asetettu alarajaa työntekijöiden määrälle tai liikevaihdolle. Heti kun pidempään nimia, sähköpostiosoitteita, laskuja asiakastietojen kanssa, henkilöstörekisteriä tai asiakastietokantaa CRM-järjestelmässä, kyse on henkilötietojen käsittelystä lain merkityksessä — ja siten GDPR:n soveltamisalasta. Itsenäinen ammatinharjoittaja, jolla on kolme asiakasta taulukkolaskennassa, kuuluu tähän yhtä lailla kuin yritys, jolla on sata työntekijää.

Mitä kuitenkin vaihtelee, on niistä soveltamisalaehdoista seuraavien velvoitteiden laajuus. Siten GDPR tunnetaan kevyemmän poikkeaman rekisterin pitämisen osalta: organisaatiot, joissa on alle 250 työntekijää, eivät periaatteessa tarvitse pitää tätä rekisteriä, ellei käsittely ole satunnaista, sisällä riskiä rekisteröityjen oikeuksille tai koske erityisiä henkilötietoryhmiä. Käytännössä se poikkeus ei yllä niin pitkälle pienemmissä yrityksissä kuin se ensikatsomuksella näyttää lupaavan, sillä asiakastietojen pitäminen on harvoin todella satunnaista.

Mistä tämä johtuu: artikla 2 ja artikla 30 GDPR

GDPR:n aineellinen soveltamisala on artiklassa 2: asetus soveltuu kokonaan tai osittain automatisoituun henkilötietojen käsittelyyn ja käsittelyyn, joka on osa rekisteriä. Poikkeus pienempien organisaatioiden rekisterointivelvoitteesta on artiklassa 30, joissa mainittujen ehtojen mukaan. Koska GDPR on asetus, sen keskeiset osat ovat voimassa suoraan ja samalla tavalla jokaisessa jäsenvaltiossa — Alankomaissa yhtä lailla kuin Saksassa. Mitä eri puolilla maata vaihtelee, on se, mihin valvontaviranomainen valvoo: Alankomaissa se on henkilötietojen suojaviranomainen, Saksassa kyseisen liittovaltion osavaltionsa valvontaviranomainen.