Un dispositif de journalisation enregistre les opérations de collecte, de consultation, de modification, de communication et d'effacement des données à caractère personnel et informations contenues dans le traitement. L'enregistrement comprend l'auteur, la date, l'heure et le motif de l'opération ainsi que la référence des données à caractère personnel concernées, à l'exclusion de ces données elles-mêmes et, le cas échéant, le ou les destinataires de ces données.
Les informations enregistrées par le dispositif de journalisation sont conservées pendant un délai de trois ans.