Záznamy o činnostech zpracování jsou záznamy, které jsou správci osobních údajů podle GDPR povinni vést o jejich zpracování a na žádost je zpřístupnit dozorovému orgánu, kterým je Úřad pro ochranu osobních údajů.
Vést záznamy o činnostech zpracování se netýká správců zaměstnávajících méně než 250 osob, ledaže zpracování, které provádí, pravděpodobně představuje riziko pro práva a svobody subjektů údajů, zpracování není příležitostné, nebo zahrnuje zpracování zvláštních kategorií údajů nebo osobních údajů týkajících se rozsudků v trestních věcech.
GDPR vymezuje, jaké konkrétní údaje musí být součástí takové dokumentace o zpracování osobních údajů.
Jsou-li osobní údaje zpracovávány zpracovatelem, je možné tuto povinnost přenést na zpracovatele. GDPR uvádí výjimky, kdy není správce povinen vést dokumentaci o zpracování (správce s méně než 250 osobami). Ovšem i menší organizace mohou zpracovávat velký objem dat a provádět vysoce rizikové zpracování, při kterém hrozí únik či zneužití osobních údajů. Výjimka je tudíž omezena jen na taková zpracování, která není možné považovat za riziková a závažným způsobem nezasáhnou do práv a svobod jednotlivců. V případě, že zpracování je možné považovat za rizikové a současně se jedná o správce s méně než 250 osobami, a zpracování není výjimečné, je nutné záznamy o zpracování vést.
