Ogni titolare del trattamento deve tenere un registro delle attivita' di trattamento svolte sotto la propria responsabilita' che includa, tra l'altro,

• le finalita' del trattamento;

• una descrizione delle categorie di dati e di destinatari dei dati;

• ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 32, paragrafo 1 (articolo 30, paragrafo 1).

Inoltre, il titolare del trattamento deve valutare la probabilita' di un rischio elevato, anche qualora decida in ultima analisi di non realizzare una valutazione d'impatto sulla protezione dei dati.

Fonte: Autorità Garante - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI - Linee guida in materia di valutazione d'impatto sulla protezione dei dati e determinazione della possibilita' che il trattamento "possa presentare un rischio elevato" ai fini del regolamento (UE) 2016/679