Registre des activités de traitement (article 30)

Le registre des activités de traitement que l'article 30 du RGPD impose aux responsables du traitement et aux sous-traitants de tenir. Il doit notamment décrire les finalités du traitement, les catégories de personnes concernées et de données, les destinataires, les éventuels transferts vers des pays tiers, les délais de conservation et les mesures de sécurité. Il doit être écrit, tenu à jour, et pouvoir être communiqué à l'autorité de protection des données sur demande. L'exception prévue pour les entreprises de moins de 250 salariés est étroite, de sorte qu'en pratique presque toutes les entreprises devraient tenir un registre.