Vrijedi li GDPR i za samostalne obrtnika i male tvrtke?

Da, GDPR se primjenjuje i na samozaposlene i na mala poduzeća

GDPR se primjenjuje na svakoga tko obrađuje osobne podatke, bez obzira na veličinu poduzeća. U zakonu nema donje granice za broj zaposlenika ili prihod. Čim se čuvaju imena, e-mail adrese, računi s podacima o kupcima, administracija osoblja ili baza podataka o kupcima u CRM-sustavu, radi se o obradi osobnih podataka u smislu zakona — i dakle o primjenjivosti GDPR-a. Samozaposlenac s tri kupca u proračunskoj tablici pada pod to baš kao i poduzeće sa sto zaposlenih.

Što se razlikuje je opseg obveza koje proizlaze iz te primjenjivosti. Tako GDPR pozna lakšu iznimku za vođenje registra aktivnosti obrade: organizacije s manje od 250 zaposlenih u načelu ne trebaju voditi taj registar, osim ako obrada nije povremena, ako nosi rizik za prava pojedinaca na koje se podaci odnose, ili ako se tiče posebnih kategorija podataka. U praksi ta iznimka ide mnogo manje daleko za manja poduzeća nego što se čini na prvi pogled, jer je čuvanje podataka o kupcima rijetko zaista povremeno.

Gdje je to navedeno: članak 2 i članak 30 GDPR-a

Materijalno područje primjene GDPR-a navedeno je u članku 2: uredba se primjenjuje na potpuno ili djelomično automatizirane obrade osobnih podataka, te na obrade koje čine dio arhiva. Iznimka od obveze vođenja registra za manja organizacije navedena je u članku 30, s njima navedenim uvjetima. Budući da je GDPR uredba, ta jezgra vrijedi neposredno i jednako u svakoj državi članici — u Nizozemskoj jednako kao u Njemačkoj. Što se po državi razlikuje je koji nadzorni organ nadzire: u Nizozemskoj je to Autoritet za zaštitu podataka, u Njemačkoj nadzorni organ zemlje na kojem se nalazit.