musím ako SZČO viesť aj register svojich spracovateľských činností

Väčšinou áno, aj bez zamestnancov

Samostatný podnikateľ alebo osoba vykonávajúca samostatnú činnosť podlieha GDPR akonáhle spracúva osobné údaje, a to je pri skoro každom podnikaní prípad — zoznam klientov, mailing list, faktúry s menami a adresami, to všetko sa počíta. GDPR nerobí výnimku pre malé podniky alebo samostatných podnikateľov ako takých; povinnosť viesť register nezávisí od právnej formy, ale od toho, aké údaje sa spracúvajú a ako často.

V praxi platí, že výnimka z povinnosti viesť register sa vzťahuje iba na organizácie s menej ako 250 zamestnancami, a aj potom len ak je spracúvanie príležitostné, nepredstavuje riziko pre osoby, ktorých údaje sú spracúvané, a netýka sa špeciálnych kategórií údajov ako zdravotný stav alebo informácie týkajúce sa trestného zákona. Samostatný podnikateľ, ktorý pravidelne zaznamenáva údaje klientov, rozsiela newsletter alebo pracuje s účtovným balíkom, zvyčajne nespracúva príležitostne — tým sa výnimka stratí a zostáva základné pravidlo: viesť register. Čo konkrétne v ňom musí byť, je opísané na stránke o aké údaje musia byť v registri spracúvania.

Kde je to zakotvené: článok 2 a článok 30 GDPR

Článok 2 GDPR určuje vecný rozsah pôsobnosti: nariadenie sa vzťahuje na spracúvanie osobných údajov bez ohľadu na veľkosť alebo formu organizácie, ktorá spracúva. Článok 30 GDPR stanovuje povinnosť viesť register ako pre správcu údajov, tak aj pre spracovateľa, a v tom istom článku obsahuje výnimku pre malé organizácie s príležitostným spracúvaním nízkého rizika. Tieto dva články pôsobia spolu: jeden určuje, či sa GDPR vzťahuje, druhý určuje, či sa povinnosť viesť register v rámci toho naozaj vzťahuje. Pre tých, ktorí si nie sú istí, či ich úloha je úlohou spracovateľa alebo správcu údajov — dôležité je to preto, že čiastočne určuje, čo sa musí zaregistrovať — ponúka stránka o spracovateľ alebo správca údajov viac podpory. Dohľad nad dodržiavaním článku 30 leží v kompetencii dozorovného úradu členského štátu, v ktorom je podnik usadený — v Holandsku je to Úrad na ochranu osobných údajov; v iných krajinách EÚ je to dozorovný úrad danej krajiny. Samotná povinnosť a výnimka z nej sú síce uvedené v nariadení a platia teda v celej EÚ rovnakým spôsobom.