Gäller GDPR även för egenföretagare och små företag?

Ja, även egenföretagare och små företag omfattas

GDPR gäller för alla som behandlar personuppgifter, oavsett företagets storlek. Lagen innehåller ingen nedre gräns för antalet anställda eller omsättningen. Så snart namn, e-postadresser, fakturor med kunduppgifter, en personaladministration eller en kundbas i ett CRM-system lagras, behandlas personuppgifter enligt lagen — och därmed är GDPR tillämplig. En egenföretagare med tre kunder i ett kalkylblad omfattas här på samma sätt som ett företag med hundra anställda.

Det som skiljer sig är omfattningen av de skyldigheter som följer av denna tillämplighet. GDPR innehåller till exempel ett lättare undantag från kravet att föra ett register över behandlingsaktiviteter: organisationer med färre än 250 anställda behöver i princip inte föra detta register, såvida inte behandlingen är återkommande, medför risker för den registrerades rättigheter eller avser särskilda datakategorier. I praktiken gäller detta undantag många mindre företag mindre långt än det vid första anblicken verkar lova, för att lagra kunduppgifter är sällan verkligt tillfälligt.

Var detta följer från: artikel 2 och artikel 30 GDPR

GDPRs materiella tillämpningsområde anges i artikel 2: förordningen är tillämplig på helt eller delvis automatiserad behandling av personuppgifter och på behandling som utgör en del av en fil. Undantaget från registerplikt för mindre organisationer finns i artikel 30 med de där angivna villkoren. Eftersom GDPR är en förordning, gäller denna kärna direkt och likformigt i varje medlemsstat — i Nederland på samma sätt som i Tyskland. Det som skiljer sig mellan länderna är vilken tillsynsmyndighet som övervakar: i Nederland är det Myndigheten för dataskydd, i Tyskland tillsynsmyndigheten i den delstat där verksamheten är etablerad.