Alle verwerkingen van persoonsgebonden gegevens dienen gedocumenteerd te worden. Dit mag elektronisch en automatisch. Het moet op een dusdanige wijze gebeuren dat bij een datalek te herleiden is door wie of wat, wanneer en op welke wijze de verwerking is gedaan.