(1) Operatorul este obligat să țină evidența tuturor categoriilor de activități de prelucrare aflate în responsabilitatea sa.

(2) Evidența prevăzută la alin. (1) cuprinde următoarele informații:

a) denumirea și datele de contact ale operatorului și, după caz, ale operatorului asociat și ale responsabilului cu protecția datelor;

b) scopul sau scopurile prelucrării;

c) categoriile de destinatari cărora le-au fost sau le vor fi divulgate datele cu caracter personal, inclusiv destinatarii din țări terțe sau organizații internaționale;

d) o descriere a categoriilor de persoane vizate și a categoriilor de date cu caracter personal care sunt prelucrate;

e) dacă este cazul, mențiuni cu privire la desfășurarea activității de creare de profiluri;

f) dacă este cazul, categoriile de transferuri de date cu caracter personal către un stat terț sau o organizație internațională;

g) indicarea temeiului juridic al operațiunii de prelucrare, inclusiv al transferurilor de date cu caracter personal efectuate;

h) dacă este posibil, termenele-limită preconizate pentru ștergerea diferitelor categorii de date cu caracter personal;

i) dacă este posibil, o descriere generală a măsurilor tehnice și organizatorice de securitate menționate la art. 35 .