1. Els òrgans que constitueixen l’Administració pública, inclosos els organismes autònoms o entitats parapúbliques, així com tota empresa o organització pública, que siguin responsables o encarregats del tractament de dades personals, han de portar un registre de les activitats de tractament efectuades sota la seva responsabilitat.
2. Tota empresa o organització privada que siguin responsables del tractament de dades personals o encarregat del tractament, ha de portar, si escau, un registre de les activitats de tractament efectuades sota la seva responsabilitat.
3. Cada responsable, i si escau el seu representant, han de portar un registre de les activitats de tractament efectuades sota la seva responsabilitat. Aquest registre ha de contenir tota la informació següent:
a) El nom i les dades de contacte del responsable. Si escau, també del corresponsable, del representant del responsable i del delegat de protecció de dades.
b) Les finalitats del tractament.
c) Una descripció de les categories de persones interessades i de les categories de dades personals.
d) Les categories de destinataris als quals s’han comunicat o es comunicaran les dades personals, inclosos els destinataris en tercers països o en organitzacions internacionals.
e) Si escau, les transferències de dades personals a un tercer país o a una organització internacional, inclosa la identificació d’aquest tercer país o organització internacional. En el cas de les transferències referides a l’apartat 2 de l’article 45, a més, la documentació de garanties adequades.
f) Si és possible, els terminis previstos per suprimir les diferents categories de dades.
g) Si és possible, una descripció general de les mesures tècniques i organitzatives de seguretat a què es refereix l’apartat 1 de l’article 35.
4. Cada encarregat del tractament i, si escau, el seu representant, que porten el registre, hi han d’indicar totes les categories d’activitats de tractament efectuades per compte d’un responsable. El registre ha de contenir:
a) El nom i les dades de contacte de l’encarregat o dels encarregats i de cada responsable per compte del qual actua l’encarregat i, si escau, del representant del responsable o de l’encarregat i del delegat de protecció de dades.
b) Les categories de tractaments efectuats per compte de cada responsable.
c) Si escau, les transferències de dades personals a un tercer país o a una organització internacional, inclosa la identificació d’aquest tercer país o organització internacional. En el cas de les transferències referides a l’apartat 2 de l’article 45, a més, la documentació de garanties adequades.
d) Si és possible, una descripció general de les mesures tècniques i organitzatives de seguretat a què es refereix a l’apartat 1 de l’article 35.
5. Els registres han de constar per escrit, inclòs el format electrònic.
6. Quan el responsable o l’encarregat del tractament hagin designat un delegat de protecció de dades, li han de comunicar qualsevol addició, modificació o exclusió en el contingut dels registres.
7. El responsable o l’encarregat del tractament i, si escau, el seu representant, han de posar el registre a disposició de l’Agència Andorrana de Protecció de Dades quan aquesta autoritat de control ho sol·liciti.
8. Les obligacions que estableixen els apartats 2 a 4 no s’apliquen a cap empresa ni organització que tingui menys de 50 treballadors, tret que el tractament pugui comportar un risc per als drets i les llibertats de les persones interessades, no sigui ocasional o inclogui les categories especials de dades personals esmentades a l’article 9, o les dades personals relatives a condemnes i infraccions penals a què es refereix l’article 10.