Registo das atividades de tratamento (artigo 30.º)

O registo das atividades de tratamento que o artigo 30.º do RGPD exige aos responsáveis e subcontratantes do tratamento. Deve descrever, entre outras coisas, as finalidades do tratamento, as categorias de titulares e de dados, os destinatários, eventuais transferências para países terceiros, os prazos de conservação e as medidas de segurança. Deve ser escrito, mantido atualizado, e disponibilizado à autoridade de proteção de dados quando solicitado. A exceção para empresas com menos de 250 trabalhadores é limitada, pelo que, na prática, quase todas as empresas deveriam manter um registo.