-
(1)
個々の管理者、及び、該当する場合、管理者の代理人は、その責任において、取扱活動の記録を保管する。
その記録は、以下の情報の全てを含める：
- 管理者、及び、該当する場合、共同管理者、管理者の代理人並びにデータ保護オフィサーの名前及び連絡先；
- 取扱いの目的；
- データ主体の類型の記述及び個人データの種類の記述；
- 取得者の類型（第三国又は国際機関内の取得者を含む）であって、個人データが開示された、又は、開示されるもの；
- 該当する場合、第三国又は国際機関に対する個人データの移転（当該第三国若しくは国際機関の識別を含む）、及び、第49条第1項第2副項に規定する移転の場合、適正な保護措置を示す文書；
- 可能なときは、異なる種類毎のデータの削除のために予定されている期限；
- 可能なときは、第32条第1項に規定する技術的及び組織的安全管理措置の概要。
-
(2)
個々の処理者、及び、該当する場合、処理者の代理人は、管理者の代わりに行われる全ての種類の取扱いの記録を保管する。以下の事項を含める：
- 処理者及び処理者が代わりに活動している個々の管理者の名前及び連絡先、並びに、該当する場合、管理者又は処理者の代理人及びデータ保護オフィサーの名前及び連絡先；
- 個々の管理者の代わりに行われる取扱いの種類；
- 該当する場合、第三国又は国際機関に対する個人データの移転（当該第三国若しくは国際機関の識別を含む）、及び、第49条第1項第2副項に規定する移転の場合、適切な保護措置を示す文書；
- 可能なときは、第32条第1項に規定する技術的及び組織的安全管理措置の一般的な記述。
-
(3)
第1項及び第2項に規定する記録は、書面によるものとし、電子的方式も含むものとする。
-
(4)
管理者又は処理者、及び、該当する場合、管理者の又は処理者の代理人は、要請に応じて、当該記録を監督機関が利用できるようにする。
-
(5)
第1項及び第2項に規定する義務は、従業者の数が250名未満の企業又は組織に対しては、実施する取扱いがデータ主体の権利及び自由に対してリスクを発生させる可能性がある場合、その取扱いが一時的なものではない場合、又は、その取扱いが第9条第1項に規定する特別な種類のデータを含んでおり、若しくは、第10条に規定する有罪判決及び犯罪行為と関連するものである場合を除き、適用されない。