kötelezően vezetnem kell-e feldolgozási nyilvántartást zzp-ként

Általában igen, személyzet nélkül is

A kizárólagos tevékenységet folytató egyéni vállalkozó a GDPR hatálya alá tartozik, amint személyes adatokat kezel, és ez szinte minden vállalkozásnál előfordul — ügyfélnyilvántartás, levelezési lista, számlákon szereplő nevek és címek, mindez már számít. A GDPR nem tesz kivételt a kisvállalkozások vagy egyéni vállalkozások számára mint olyanok; a feldolgozási nyilvántartás vezetésének kötelezettsége nem az újraformálástól függ, hanem attól, hogy mit kezelnek és milyen gyakran.

A gyakorlatban a nyilvántartásra vonatkozó kivétel csak a 250-nél kevesebb munkavállalóval rendelkező szervezetekre vonatkozik, és akkor is csak akkor, ha a feldolgozás eseti jellegű, nem jelent kockázatot azoknak, akiknek az adatai feldolgozásra kerülnek, és nem érint különleges adatokat, mint az egészség vagy büntetőjogi információk. Egy zzp'er, aki rendszeres ügyfélkezelést végez, hírleveleket küld vagy könyvelőszoftverrel dolgozik, általában nem eseti jellegű feldolgozást végez — ezzel a kivétel eltűnik, és a fő szabály marad: nyilvántartást vezetni. Hogy pontosan mi kell belekerüljön, ezt a lapján ismerteti mi kerüljön be a feldolgozási nyilvántartásba.

Mitől függ ez: az AVG 2. és 30. cikkei

Az AVG 2. cikke határozza meg az anyagi hatály terjedelmét: a rendelet a személyes adatok feldolgozására vonatkozik, függetlenül az adatkezelő szervezet méretétől vagy formájától. Az AVG 30. cikke kötelezettséget ír elő a nyilvántartás vezetésére mind az adatkezelő, mind az adatfeldolgozó részére, és ugyanebben a cikkben meghatározza a kisvállalkozások eseti, alacsony kockázatú feldolgozásának kivételét. Ez a két cikk együtt működik: az egyik határozza meg, hogy a GDPR alkalmazandó-e, a másik pedig azt, hogy a nyilvántartási kötelezettség valóban érvényes-e. Azok számára, akik bizonytalan abban, hogy saját szerepe adatfeldolgozóé vagy adatkezelőé — ez azért fontos, mert mások között ez is meghatározza, hogy mit kell rögzíteni — a lapja ad további támogatást adatfeldolgozó vagy adatkezelő A 30. cikk betartásának felügyeletét az annak az tagállamnak a felügyeleti hatósága végzi, ahol a vállalkozás székhelye van — Hollandiában ez a Persoonsgegevens Autoriteit; más EU-országokban az adott ország felügyeleti hatósága. Maga a kötelezettség és annak kivétele azonban a rendeletben szerepel, és ezért az EU-ban mindenütt ugyanúgy érvényes.