Register över behandling (artikel 30)

Det register över behandlingsaktiviteter som artikel 30 i GDPR kräver att personuppgiftsansvariga och personuppgiftsbiträden för. Registret ska bland annat beskriva ändamålen med behandlingen, kategorier av registrerade och uppgifter, mottagare, eventuella överföringar till tredjeland, gallringsfrister och säkerhetsåtgärder. Det ska vara skriftligt, hållas uppdaterat och kunna lämnas ut till tillsynsmyndigheten på begäran. Undantaget för företag med färre än 250 anställda är snävt, så i praktiken bör i princip alla företag föra ett register.