Il GDPR si applica anche ai liberi professionisti e alle piccole aziende?

Sì, anche i lavoratori autonomi e le piccole imprese rientrano nel suo ambito di applicazione

Il Regolamento generale sulla protezione dei dati (RGPD) si applica a chiunque tratti dati personali, indipendentemente dalle dimensioni dell'azienda. La legge non fissa una soglia minima per il numero di dipendenti o il fatturato. Non appena vengono conservati nomi, indirizzi e-mail, fatture con dati dei clienti, una gestione del personale o un elenco di clienti in un sistema CRM, si tratta di trattamento di dati personali secondo la legge — e quindi di applicabilità del RGPD. Un lavoratore autonomo con tre clienti in un foglio di calcolo è soggetto a questa norma quanto un'azienda con cento dipendenti.

Ciò che invece varia è l'ampiezza degli obblighi che derivano da questa applicabilità. Il RGPD prevede un'eccezione più leggera per la tenuta di un registro delle attività di trattamento: le organizzazioni con meno di 250 dipendenti in linea di principio non sono tenute a mantenere tale registro, a meno che il trattamento non sia occasionale, comporti un rischio per i diritti delle persone interessate o riguardi categorie particolari di dati. In pratica, questa eccezione si rivela meno vantaggiosa per molte piccole aziende di quanto sembri a prima vista, poiché la conservazione dei dati dei clienti è raramente veramente occasionale.

Da dove deriva: articolo 2 e articolo 30 RGPD

L'ambito materiale di applicazione del RGPD è stabilito nell'articolo 2: il Regolamento si applica al trattamento di dati personali interamente o parzialmente automatizzato e al trattamento che forma parte di un archivio. L'eccezione all'obbligo di registro per le organizzazioni più piccole è stabilita nell'articolo 30, con le condizioni ivi menzionate. Poiché il RGPD è un Regolamento, il suo nucleo si applica direttamente e uniformemente in ogni Stato membro — nei Paesi Bassi così come in Germania. Ciò che varia da un Paese all'altro è quale autorità di controllo vigila: nei Paesi Bassi è l'Autorità per la protezione dei dati, in Germania l'autorità di controllo del Land in cui ha sede l'organizzazione.