moet ik als zzp'er ook een verwerkingsregister bijhouden

Meestal wel, ook zonder personeel

Een eenmanszaak of zzp'er valt onder de AVG zodra er persoonsgegevens verwerkt worden, en dat is bij vrijwel elke onderneming het geval — een klantenbestand, een mailinglijst, facturen met namen en adressen erop, dat telt al mee. De AVG maakt geen uitzondering voor kleine bedrijven of eenmanszaken als zodanig; de verplichting om een register bij te houden hangt niet af van de rechtsvorm, maar van wat er verwerkt wordt en hoe vaak.

De praktijk is dat de uitzondering op het register alleen geldt voor organisaties met minder dan 250 medewerkers, en dan ook nog alleen als de verwerking incidenteel is, geen risico oplevert voor de mensen wiens gegevens het zijn, en geen bijzondere gegevens betreft zoals gezondheid of strafrechtelijke informatie. Een zzp'er die structureel klantgegevens vastlegt, een nieuwsbrief verstuurt of met een boekhoudpakket werkt, verwerkt in de regel niet incidenteel — daarmee vervalt de uitzondering en resteert de hoofdregel: een register bijhouden. Wat daar precies in moet staan, staat beschreven op de pagina over wat er in een verwerkingsregister moet staan.

Waar dat op rust: artikel 2 en artikel 30 van de AVG

Artikel 2 van de AVG bepaalt het materiële toepassingsgebied: de verordening geldt voor de verwerking van persoonsgegevens, ongeacht de grootte of vorm van de organisatie die verwerkt. Artikel 30 van de AVG legt de verplichting tot een register neer bij zowel de verwerkingsverantwoordelijke als de verwerker, en bevat in hetzelfde artikel de uitzondering voor kleine organisaties met incidentele, laag-risico verwerking. Deze twee artikelen werken samen: het ene bepaalt of de AVG van toepassing is, het andere of de registerplicht daarbinnen ook echt geldt. Voor wie twijfelt of de eigen rol die van verwerker of verwerkingsverantwoordelijke is — relevant omdat dat mede bepaalt wat er geregistreerd moet worden — biedt de pagina over verwerker of verwerkingsverantwoordelijke meer houvast. Toezicht op de naleving van artikel 30 ligt bij de toezichthouder van de lidstaat waar de onderneming is gevestigd — in Nederland is dat de Autoriteit Persoonsgegevens; in andere EU-landen is dat de toezichthouder van dat land. De verplichting zelf, en de uitzondering erop, staan wel in de verordening en gelden dus overal in de EU op dezelfde manier.