måste jag som egen företagare även upprätthålla ett behandlingsregister

Oftast ja, även utan personal

En enskild näringsidkare eller frilansare omfattas av GDPR så snart personuppgifter behandlas, och det är fallet för nästan varje företag — en kundbas, en e-postlista, fakturor med namn och adresser, allt räknas. GDPR gör ingen undantag för små företag eller enskilda näringsidkare som sådan; skyldigheten att föra ett register beror inte på organisationsform utan på vad som behandlas och hur ofta.

I praktiken gäller undantaget från registerplikt endast för organisationer med färre än 250 anställda, och då endast om behandlingen är tillfällig, inte utgör någon risk för personerna vars uppgifter det är, och inte avser särskilda kategorier av uppgifter såsom hälsa eller straffregisterkort. En frilansare som strukturellt registrerar kunduppgifter, skickar nyhetsbrev eller använder ett bokföringsprogram, behandlar enligt huvudregeln inte tillfälligt — därmed faller undantaget bort och återstår huvudregeln: föra ett register. Vad som exakt måste ingå i det beskrivs på sidan om vad som måste ingå i ett behandlingsregister.

Vad detta vilar på: artikel 2 och artikel 30 i GDPR

Artikel 2 i GDPR fastställer det materiella tillämpningsområdet: förordningen gäller för behandling av personuppgifter, oavsett organisationens storlek eller form som behandlar. Artikel 30 i GDPR fastställer skyldigheten att föra ett register för både den personuppgiftsansvarige och personuppgiftsbiträdet, och innehåller i samma artikel undantaget för små organisationer med tillfällig, lågrisk-behandling. Dessa två artiklar fungerar tillsammans: den ena fastställer om GDPR är tillämplig, den andra om registerskyldigheten därmed också faktiskt gäller. För den som är osäker på sin egen roll — relevant eftersom det bland annat avgör vad som måste registreras — erbjuder sidan om personuppgiftsbiträde eller personuppgiftsansvarig mer vägledning. Tillsynen över att artikel 30 följs ligger hos tillsynsmyndigheten i medlemsstaten där företaget är etablerat — i Sverige är det Datainspektionen; i andra EU-länder är det tillsynsmyndigheten i det landet. Skyldigheten själv, och undantaget från den, finns i förordningen och gäller därför överallt i EU på samma sätt.