Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement.
Le registre du responsable du traitement contient au moins les indications suivantes:
l’identité du responsable du traitement;
la finalité du traitement;
une description des catégories de personnes concernées et des catégories de données personnelles traitées;
les catégories de destinataires;
dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation;
dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l’art. 8;
en cas de communication de données personnelles à l’étranger, le nom de l’État concerné et les garanties prévues à l’art. 16, al. 2.
Le registre du sous-traitant contient des indications concernant l’identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l’al. 2, let. f et g.
Les organes fédéraux déclarent leur registre d’activités de traitement au PFPDT.
Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d’atteinte à la personnalité des personnes concernées.