BOLETÍN OFICIAL DEL ESTADO
Núm. 126

Jueves 27 de mayo de 2021
Artículo 32.

Sec. I. Pág. 64124

Registros de las actividades de tratamiento.

1. Cada responsable debe conservar un registro de todas las actividades de
tratamiento de datos personales efectuadas bajo su responsabilidad. Dicho registro deberá
contener la información siguiente:
a) La identificación del responsable del tratamiento y sus datos de contacto, así
como, en su caso, del corresponsable y del delegado de protección de datos.
b) Los fines del tratamiento.
c) Las categorías de destinatarios a quienes se hayan comunicado o vayan a
comunicarse los datos personales, incluidos los destinatarios en Estados que no sean
miembros de la Unión Europea u organizaciones internacionales.
d) La descripción de las categorías de interesados y de las categorías de datos
personales.
e) El recurso a la elaboración de perfiles, en su caso.
f) Las categorías de transferencias de datos personales a un Estado que no sea
miembro de la Unión Europea o a una organización internacional, en su caso.
g) La indicación de la base jurídica del tratamiento, así como, en su caso, las
transferencias internacionales de las que van a ser objeto los datos personales.
h) Los plazos previstos para la supresión de las diferentes categorías de datos
personales, cuando sea posible.
i) La descripción general de las medidas técnicas y organizativas de seguridad a las
que se refiere el artículo 37.1, cuando sea posible.
2. Cada encargado del tratamiento llevará un registro de todas las actividades de
tratamiento de datos personales efectuadas en nombre de un responsable. Este registro
contendrá la información siguiente:
a) El nombre y los datos de contacto del encargado o encargados del tratamiento,
de cada responsable del tratamiento en cuyo nombre actúe el encargado y, en su caso,
del delegado de protección de datos.
b) Las categorías de tratamientos efectuados en nombre de cada responsable.
c) Las transferencias de datos personales a un Estado que no sea miembro de la
Unión Europea o a una organización internacional, en su caso, incluida la identificación de
dicho Estado o de dicha organización internacional cuando el responsable del tratamiento
así lo ordene explícitamente.
d) La descripción general de las medidas técnicas y organizativas de seguridad a las
que se refiere el artículo 37.1, cuando sea posible.
3. Los registros referidos en este artículo se establecerán y llevarán por escrito,
incluida la posibilidad del formato electrónico.
Estos registros estarán a disposición de la autoridad de protección de datos
competente, a solicitud de esta, de conformidad con lo dispuesto legalmente.
4. Los responsables de los tratamientos harán público el registro de sus actividades
de tratamiento, accesible por medios electrónicos, en el que constará la información a la
que se refiere el apartado 1.
Registro de operaciones.

1. Los responsables y encargados del tratamiento deberán mantener registros de, al
menos, las siguientes operaciones de tratamiento en sistemas de tratamiento
automatizados: recogida, alteración, consulta, comunicación, incluidas las transferencias,
y combinación o supresión. Los registros de consulta y comunicación harán posible
determinar la justificación, la fecha y la hora de tales operaciones y, en la medida de lo
posible, el nombre de la persona que consultó o comunicó los datos personales, así como
la identidad de los destinatarios de dichos datos personales.

cve: BOE-A-2021-8806
Verificable en https://www.boe.es

Artículo 33.