1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement.
2 Le registre du responsable du traitement contient au moins les indications suivantes:
- a.
l’identité du responsable du traitement;
- b.
la finalité du traitement;
- c.
une description des catégories de personnes concernées et des catégories de données personnelles traitées;
- d.
les catégories de destinataires;
- e.
dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation;
- f.
dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l’art. 8;
- g.
en cas de communication de données personnelles à l’étranger, le nom de l’État concerné et les garanties prévues à l’art. 16, al. 2.
3 Le registre du sous-traitant contient des indications concernant l’identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l’al. 2, let. f et g.
4 Les organes fédéraux déclarent leur registre d’activités de traitement au PFPDT.
5 Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d’atteinte à la personnalité des personnes concernées.