Vzťahuje sa GDPR aj na samostatných podnikateľov a malé podniky?

Áno, aj jednotlivci v osobnom mene a malé podniky sa na neho vzťahujú

Nariadenie GDPR sa vzťahuje na každého, kto spracováva osobné údaje, bez ohľadu na veľkosť podniku. V zákone nie je stanovená dolná hranica počtu zamestnancov ani tržieb. Hneď ako sa uchovávajú mená, e-mailové adresy, faktúry s údajmi zákazníkov, personálna agenda alebo databáza zákazníkov v systéme CRM, ide o spracovanie osobných údajov v zmysle zákona — a teda o aplikáciu nariadenia GDPR. Samostatný zárobkovo činný človeľ s tromi zákazníkmi v tabuľke podľa toho podlieha tak isto ako podnik so sto zamestnancami.

Čo sa však líši, je rozsah povinností, ktoré z tejto aplikácie vyplývajú. Nariadenie GDPR pozná ľahšiu výnimku na vedenie registra spracovateľských činností: organizácie s menej ako 250 zamestnancami nemusia tento register v zásade viesť, pokiaľ ide o spracovanie, ktoré nie je príležitostné, nepredstavuje riziko pre práva dotknutých osôb alebo sa nedotýka špecialnych kategórií údajov. V praxi sa táto výnimka dotýka oveľa menších podnikov menej, ako sa zdá na prvý pohľad, pretože uchovávanie údajov zákazníkov je len zriedka skutočne príležitostné.

Odkiaľ to vyplýva: čl. 2 a čl. 30 nariadenia GDPR

Vecný rozsah platnosti nariadenia GDPR je stanovený v čl. 2: nariadenie sa vzťahuje na spracovanie osobných údajov, ktoré je úplne alebo čiastočne automatizované, a na spracovanie, ktoré tvorí časť súboru. Výnimka z povinnosti viesť register pre menšie organizácie je v čl. 30 s podmienkami v ňom uvedenými. Pretože je nariadenie GDPR nariadením, jeho základné časti sa uplatňujú priamo a jednotne v každom členskom štáte — v Holandsku rovnako ako v Nemecku. Čo sa však v jednotlivých krajinách líši, je to, ktorý dozorovný orgán doň dohliada: v Holandsku je to Autoridad pre ochranu osobných údajov, v Nemecku dozorovný orgán krajiny, v ktorej sa sídlo nachádza.