• RODO dotyczy:

- Firmy lub podmiotu przetwarzającego dane osobowe w ramach działalności jednego z jej oddziałów mających siedzibę w UE, niezależnie od tego, gdzie dane są przetwarzane;

- Firmy z siedzibą poza UE oferującą towary/ usługi (płatne lub bezpłatne) lub monitorującą zachowanie osób fizycznych w UE.

- Jeśli firma jest małym lub średnim przedsiębiorstwem („MŚP”), które przetwarza dane osobowe zgodnie z powyższym opisem, należy przestrzegać przepisów RODO. Jeśli jednak przetwarzanie danych osobowych nie jest podstawową częścią działalności firmy, a działalność nie stwarza ryzyka dla osób fizycznych, wówczas niektóre obowiązki wynikające z RODO nie będą miały zastosowania (na przykład powołanie inspektora ochrony danych). „Podstawowe działania” powinny obejmować działania, w których przetwarzanie danych stanowi nieodłączną część działań administratora lub podmiotu przetwarzającego.

• Kiedy rozporządzenie ma a kiedy nie ma zastosowania?

• MA ZASTOSOWANIE. Niewielka firma zajmująca się kształceniem wyższym na odległość, z siedzibą poza UE. Jej działalność skierowana jest głównie do uniwersytetów hiszpańskich i portugalskich w UE. Oferuje bezpłatne porady na temat wielu kursów uniwersyteckich, a studenci potrzebują nazwy użytkownika i hasła, aby uzyskać dostęp do materiałów online. Firma podaje wspomnianą nazwę użytkownika i hasło, gdy studenci wypełnią formularz rejestracyjny.

• NIE MA ZASTOSOWANIA. Firma jest usługodawcą spoza UE. Świadczy usługi klientom spoza UE. Klienci mogą korzystać z jej usług podczas podróży do innych krajów, w tym w obrębie UE. Pod warunkiem, że firma nie kieruje swoich usług konkretnie do osób w UE, nie podlega przepisom RODO.

Stosowanie przepisów o ochronie danych nie zależy od wielkości firmy/organizacji, ale od charakteru jej działań. Działania wiążące się z wysokim ryzykiem dla praw i wolności osób fizycznych, niezależnie od tego, czy są realizowane przez MŚP, czy przez dużą korporację, powodują zastosowanie bardziej rygorystycznych zasad. Niektóre obowiązki wynikające z RODO mogą jednak nie mieć zastosowania do wszystkich firm z MŚP. Na przykład firmy zatrudniające mniej niż 250 pracowników nie muszą prowadzić rejestrów swoich działań związanych z przetwarzaniem danych, chyba że przetwarzanie danych osobowych jest regularną działalnością, stanowi zagrożenie dla praw i wolności osób fizycznych lub dotyczy danych wrażliwych lub rejestrów karnych.

• Podobnie firmy z MŚP będą musiały wyznaczyć inspektora ochrony danych tylko wtedy, gdy ich przetwarzanie jest główną działalnością i stwarza szczególne zagrożenia dla praw i wolności osób fizycznych (takie jak monitorowanie osób fizycznych lub przetwarzanie danych chronionych lub rejestrów karnych), w szczególności dlatego, że zostało to zrobione na dużą skalę.

• Reguły dotyczą tylko danych osobowych osób fizycznych, nie regulują one danych o firmach ani innych podmiotach prawnych. Informacje dotyczące jednoosobowych firm mogą jednak stanowić dane osobowe, jeżeli pozwalają na identyfikację osoby fizycznej. Zasady dotyczą również wszystkich danych osobowych dotyczących osób fizycznych w trakcie działalności zawodowej, takich jak pracownicy firmy/ organizacji, biznesowe adresy e-mail, takie jak „imię.nazwa@firma.eu” lub firmowe numery telefonów pracowników.