devo mantenere un registro delle attività di trattamento anche come lavoratore autonomo

Di solito sì, anche senza dipendenti

Una ditta individuale o un lavoratore autonomo rientra nel GDPR non appena vengono elaborati dati personali, e ciò accade presso praticamente ogni azienda — un elenco di clienti, una mailing list, fatture con nomi e indirizzi, tutto ciò conta. Il GDPR non prevede un'eccezione per le piccole imprese o le ditte individuali in quanto tali; l'obbligo di tenere un registro non dipende dalla forma giuridica, ma da ciò che viene elaborato e con quale frequenza.

La pratica è che l'eccezione al registro si applica solo alle organizzazioni con meno di 250 dipendenti, e anche solo se l'elaborazione è occasionale, non comporta rischi per le persone i cui dati sono in questione e non riguarda dati particolari come la salute o le informazioni su condanne penali. Un lavoratore autonomo che registra sistematicamente i dati dei clienti, invia una newsletter o utilizza un software di contabilità, in genere non effettua un'elaborazione occasionale — con ciò viene meno l'eccezione e rimane la regola principale: tenere un registro. Quello che deve figurarvi esattamente è descritto nella pagina su cosa deve figurare in un registro dei trattamenti.

Su quale base: articolo 2 e articolo 30 del GDPR

L'articolo 2 del GDPR disciplina l'ambito di applicazione materiale: il regolamento si applica all'elaborazione di dati personali, indipendentemente dalle dimensioni o dalla forma dell'organizzazione che effettua il trattamento. L'articolo 30 del GDPR impone l'obbligo di un registro sia al titolare del trattamento che al responsabile del trattamento, e contiene nello stesso articolo l'eccezione per le piccole organizzazioni che effettuano un trattamento occasionale e a basso rischio. Questi due articoli operano insieme: uno stabilisce se il GDPR è applicabile, l'altro se l'obbligo del registro all'interno di esso si applica effettivamente. Per chi ha dubbi se il proprio ruolo sia quello di responsabile del trattamento o titolare del trattamento — rilevante perché determina anche in parte ciò che deve essere registrato — la pagina su responsabile del trattamento o titolare del trattamento offre maggior orientamento. La vigilanza sul rispetto dell'articolo 30 spetta all'autorità di controllo dello Stato membro in cui l'impresa è stabilita — nei Paesi Bassi è l'Autorità per la protezione dei dati; negli altri paesi dell'UE è l'autorità di controllo di quel paese. L'obbligo stesso, e l'eccezione ad esso, sono contenuti nel regolamento e si applicano quindi in tutta l'UE nello stesso modo.