Protokoll over behandlingsaktiviteter (artikkel 30)

Protokollen over behandlingsaktiviteter som artikkel 30 i GDPR krever at behandlingsansvarlige og databehandlere fører. Protokollen skal blant annet beskrive formålene med behandlingen, kategorier av registrerte og opplysninger, mottakere, eventuelle overføringer til tredjeland, slettefrister og sikkerhetstiltak. Den skal være skriftlig, holdes oppdatert og kunne fremlegges for tilsynsmyndigheten på forespørsel. Unntaket for virksomheter med færre enn 250 ansatte er snevert, så i praksis bør så godt som alle virksomheter føre en protokoll.