trebuie să mențin ca persoană fizică independentă și un registru de activități de prelucrare

De obicei da, chiar și fără personal

O întreprindere unipersonală sau o persoană care lucrează pe cont propriu intră sub incidența RGPD imediat ce prelucrează date cu caracter personal, ceea ce se întâmplă în cazul aproape oricărei întreprinderi — o bază de date cu clienți, o listă de corespondență, facturi cu nume și adrese, toate acestea se numără. RGPD nu face excepție pentru întreprinderile mici sau pentru întreprinderile unipersonale ca atare; obligația de a menține un registru nu depinde de forma juridică, ci de ceea ce se prelucrează și de cât de des.

Practica arată că excepția privind registrul se aplică doar organizațiilor cu mai puțin de 250 de angajați, și chiar și atunci doar dacă prelucrarea este ocazională, nu prezintă risc pentru persoanele ale căror date sunt în joc, și nu privește date speciale precum sănătatea sau informații privind antecedentele penale. O persoană care lucrează pe cont propriu și care înregistrează în mod sistematic datele clienților, trimite un buletin de informare sau lucrează cu un software de contabilitate, de obicei nu prelucrează ocazional — prin urmare excepția nu se aplică și rămâne regula principală: a menține un registru. Ceea ce trebuie să se afle exact în el este descris pe pagina privind ceea ce trebuie să se afle într-un registru de prelucrare.

Baza pentru aceasta: articolul 2 și articolul 30 din RGPD

Articolul 2 din RGPD stabilește domeniul de aplicare material: regulamentul se aplică prelucrării datelor cu caracter personal, indiferent de mărimea sau forma organizației care prelucrează. Articolul 30 din RGPD impune obligația de a menține un registru atât pentru responsabilul de prelucrare cât și pentru prelucrător, și conține în același articol excepția pentru organizațiile mici care se ocupă cu prelucrarea ocazională și cu risc redus. Aceste două articole lucreaza împreună: unul determină dacă RGPD se aplică, celălalt determină dacă obligația de a menține un registru se aplică efectiv în cadrul acesteia. Pentru cine nu este sigur dacă propriul rol este acela de prelucrător sau de responsabil de prelucrare — ceea ce este relevant deoarece determină și ce trebuie înregistrat — pagina privind prelucrător sau responsabil de prelucrare oferă mai multă sprijin. Supravegherea conformității cu articolul 30 aparține autorității de supraveghere din statul membru unde este stabilită întreprinderea — în Țările de Jos este Autoritatea pentru protecția datelor; în alte țări UE, aceasta este autoritatea de supraveghere a acelei țări. Obligația însăși, și excepția de la ea, se găsesc în regulament și se aplică deci în toată UE în același mod.