Záznamy podle článku 30 GDPR nejsou seznamem každého otevření souboru.
Jde o obecný katalog činností, například:
- vedení školní matriky,
- přijímací řízení,
- evidence úrazů,
- personální agenda,
- mzdová agenda,
- školní stravování,
- evidence docházky,
- provoz kamerového systému,
- zveřejňování fotografií,
- správa uživatelských účtů,
- poskytování poradenských služeb,
- organizace soutěží a akcí.
Záznam má obsahovat zejména:
- identifikaci správce,
- účely zpracování,
- kategorie subjektů údajů,
- kategorie osobních údajů,
- kategorie příjemců,
- informace o předávání mimo Evropský hospodářský prostor,
- předpokládané lhůty výmazu,
- obecný popis bezpečnostních opatření.
Výjimka pro organizace do 250 zaměstnanců je velmi omezená. Školy obvykle provádějí pravidelné, nikoliv příležitostné zpracování a pracují také se zvláštními kategoriemi údajů. Proto by měly záznamy vést. ÚOOÚ výslovně upozorňuje, že záznamy zachycují obecné činnosti a že výjimka pro malé organizace je v praxi úzká.