Registro de actividades de tratamiento (artículo 30)

El registro de actividades de tratamiento que el artículo 30 del RGPD exige a los responsables y encargados del tratamiento. Debe describir, entre otras cosas, los fines del tratamiento, las categorías de interesados y datos, los destinatarios, las eventuales transferencias a terceros países, los plazos de conservación y las medidas de seguridad. Debe estar por escrito, mantenerse actualizado y poder facilitarse a la autoridad de protección de datos cuando lo solicite. La excepción para empresas con menos de 250 empleados es limitada, por lo que en la práctica casi todas las empresas deberían llevar un registro.