Les opérations de collecte, de consultation, de modification, de communication ou d'effacement des données font l'objet d'un journal comprenant l'identifiant et la fonction de leur auteur ainsi que la date, l'heure, le motif de l'opération et, le cas échéant, les destinataires des données. Ces informations sont conservées pendant un délai de trois ans.