czy jako samozatrudniony muszę prowadzić rejestr przetwarzania danych

Zwykle tak, nawet bez pracowników

Jednoosobowa działalność gospodarcza lub samozatrudniony pracownik podlega RODO od momentu, gdy przetwarza dane osobowe, a to ma miejsce w prawie każdym przedsiębiorstwie — baza klientów, lista mailingowa, faktury z imionami i adresami, to wszystko się liczy. RODO nie przewiduje wyjątku dla małych firm ani jednoosobowych działalności gospodarczych jako takich; obowiązek prowadzenia rejestru nie zależy od formy prawnej, ale od tego, co się przetwarza i jak często.

W praktyce wyjątek od rejestru dotyczy tylko organizacji zatrudniających mniej niż 250 pracowników, i to tylko wtedy, gdy przetwarzanie jest okazjonalne, nie stanowi ryzyka dla osób, których dane dotyczą, i nie dotyczy danych szczególnych, takich jak dane dotyczące zdrowia lub informacje karne. Samozatrudniony pracownik, który systematycznie rejestruje dane klientów, wysyła biuletyn informacyjny lub pracuje z pakietem księgowym, zwykle nie przetwarza okazjonalnie — w ten sposób wyjątek traci moc i pozostaje główna zasada: prowadzić rejestr. To, co dokładnie powinno w nim się znaleźć, zostało opisane na stronie dotyczącej co powinno znaleźć się w rejestrze działań przetwarzania.

Na czym to się opiera: artykuł 2 i artykuł 30 RODO

Artykuł 2 RODO określa materialne pole zastosowania: rozporządzenie ma zastosowanie do przetwarzania danych osobowych, niezależnie od wielkości lub formy organizacji przetwarzającej. Artykuł 30 RODO nakłada obowiązek prowadzenia rejestru zarówno na administratora danych, jak i na podmiotu przetwarzającego, a w tym samym artykule zawiera wyjątek dla małych organizacji zajmujących się okazjonalnym, niskoryztkowym przetwarzaniem. Te dwa artykuły pracują razem: jeden określa, czy RODO ma zastosowanie, drugi — czy obowiązek prowadzenia rejestru rzeczywiście ma zastosowanie. Dla osób, które wątpią, czy ich rola to rola administratora czy podmiotu przetwarzającego — istotne, ponieważ to między innymi określa, co należy zarejestrować — strona dotycząca administratora czy podmiotu przetwarzającego zapewnia lepszą orientację. Nadzór nad przestrzeganiem artykułu 30 spoczywa na organie nadzorczym państwa członkowskiego, w którym przedsiębiorstwo ma siedzibę — w Holandii jest to Urząd Ochrony Danych Osobowych; w innych krajach UE jest to organ nadzorczy tego kraju. Obowiązek sam w sobie i wyjątek od niego znajdują się w rozporządzeniu i stosują się w ten sam sposób na całym terenie UE.