Her kontrolör ve, uygun olduğu hallerde, kontrolörün temsilcisi kendi sorumluluğu altındaki işleme faaliyetlerine ilişkin bir kayıt tutar. Bu kayıt aşağıdaki bilgilerin tamamını ihtiva eder:
kontrolör ve, uygun olduğu hallerde, ortak kontrolör, kontrolörün temsilcisi ve veri koruma görevlisinin isim ve irtibat bilgileri;
işleme amaçları;
veri sahibi kategorileri ve kişisel veri kategorileriyle ilgili bir açıklama;
üçüncü ülkeler veya uluslararası kuruluşlardaki alıcılar da dahil olmak üzere, kişisel verilerin açıklandığı veya açıklanacağı alıcı kategorileri;
uygun olduğu hallerde, üçüncü bir ülke veya uluslararası bir kuruluşun tanımlanması ve, 49(1) maddesinin ikinci alt paragrafında atıfta bulunulan aktarımlar olması halinde, uygun güvencelere ilişkin belgelendirme de dahil olmak üzere, söz konusu üçüncü ülke veya uluslararası kuruluşa yönelik kişisel veri aktarımları;
mümkün olması halinde, farklı kategorilerdeki verilerin silinmesiyle ilgili öngörülen süre sınırları;
mümkün olması halinde, 32(1) maddesinde atıfta bulunulan teknik ve düzenlemeye ilişkin güvenlik tedbirlerine yönelik genel bir açıklama.
Her işleyici ve, uygun olduğu hallerde, işleyicinin temsilcisi bir kontrolör adına gerçekleştirilen tüm kategorilerdeki işleme faaliyetlerine ilişkin olarak aşağıdakileri ihtiva eden bir kayıt tutar:
işleyici veya işleyiciler ile işleyicinin adına hareket ettiği her kontrolörün ve, uygun olduğu hallerde, kontrolör ya da işleyicinin temsilcisi ve veri koruma görevlisinin isim ve irtibat bilgileri;
her işleyici adına gerçekleştirilen işleme kategorileri;
uygun olduğu hallerde, üçüncü bir ülke veya uluslararası bir kuruluşun tanımlanması ve, 49(1) maddesinin ikinci alt paragrafında atıfta bulunulan aktarımlar olması halinde, uygun güvencelere ilişkin belgelendirme de dahil olmak üzere, söz konusu üçüncü ülke veya uluslararası kuruluşa yönelik kişisel veri aktarımları;
mümkün olması halinde, 32(1) maddesinde atıfta bulunulan teknik ve düzenlemeye ilişkin güvenlik tedbirlerine yönelik genel bir açıklama.
1 ve 2. paragraflarda atıfta bulunulan kayıtlar elektronik format da dahil olmak üzere yazılı olarak tutulur.
Kontrolör ve işleyici ile, uygun olduğu hallerde, kontrolörün veya işleyicinin temsilcisi, talep üzerine, kayıtları denetim makamına sağlar.
Gerçekleştirdiği işleme faaliyetinin veri sahiplerinin hakları ve özgürlükleri açısından bir riske sebebiyet vermesinin muhtemel olmaması, işleme faaliyetinin nadiren gerçekleştirilmemesi veya işleme faaliyetinin 9(1) maddesinde atıfta bulunulan özel kategorilerdeki verileri yad a 10. maddede atıfta bulunulan mahkumiyet kararları ve ceza gerektiren suçlara ilişkin kişisel verileri kapsamaması durumunda, 1 ve 2. paragraflarda atıfta bulunulan yükümlülükler 250’den az kişi istihdam eden bir işletme veya kuruluşa uygulanmaz.
