como autónomo, preciso manter um registo de atividades de processamento

Geralmente sim, mesmo sem pessoal

Uma empresa individual ou trabalhador independente fica sujeito ao RGPD assim que processa dados pessoais, e isso ocorre em praticamente todas as empresas — uma base de clientes, uma lista de correio, faturas com nomes e endereços, tudo isso conta. O RGPD não faz exceção para pequenas empresas ou empresas individuais como tal; a obrigação de manter um registo não depende da forma jurídica, mas do que é processado e com que frequência.

Na prática, a exceção ao registo aplica-se apenas a organizações com menos de 250 colaboradores, e ainda assim apenas se o processamento for ocasional, não apresentar risco para as pessoas cujos dados estão em causa, e não envolver dados especiais como saúde ou informações criminais. Um trabalhador independente que regista regularmente dados de clientes, envia uma newsletter ou trabalha com um pacote de contabilidade, geralmente não processa ocasionalmente — com isto, a exceção desaparece e mantém-se a regra principal: manter um registo. O que deve estar exatamente nele está descrito na página sobre o que deve constar num registo de atividades de processamento.

Onde isto se baseia: artigo 2.º e artigo 30.º do RGPD

O artigo 2.º do RGPD estabelece o âmbito de aplicação material: o regulamento aplica-se ao processamento de dados pessoais, independentemente da dimensão ou forma da organização que processa. O artigo 30.º do RGPD impõe a obrigação de manter um registo tanto ao responsável pelo tratamento como ao subcontratante, e contém no mesmo artigo a exceção para pequenas organizações com processamento ocasional e de baixo risco. Estes dois artigos trabalham em conjunto: um determina se o RGPD se aplica, o outro se a obrigação de registo se aplica realmente dentro dele. Para quem tem dúvidas sobre se o seu papel é o de subcontratante ou responsável pelo tratamento — relevante porque isso também determina em parte o que deve ser registado — a página sobre subcontratante ou responsável pelo tratamento oferece mais orientação. A supervisão do cumprimento do artigo 30.º compete à autoridade de controlo do Estado-membro onde a empresa está estabelecida — nos Países Baixos é a Autoridade Nacional para a Proteção de Dados; noutros países da UE é a autoridade de controlo desse país. A obrigação em si, e a exceção que lhe é aplicável, constam do regulamento e aplicam-se portanto da mesma forma em toda a UE.