Moet een organisatie vastleggen wie toegang heeft (gehad) tot persoonsgegevens?

Ja. Een organisatie is verantwoordelijk voor de beveiliging van de persoonsgegevens die zij verwerkt. Een van de maatregelen hiertoe is te registreren (loggen) wat medewerkers met de gegevens doen. In logbestanden moeten ook andere relevante gebeurtenissen vastgelegd worden, zoals bijvoorbeeld pogingen om ongeautoriseerd toegang te krijgen tot gegevens of verstoringen die kunnen leiden tot verminking of verlies van persoonsgegevens. Vervolgens moeten de logbestanden periodiek worden gecheckt op indicaties van onrechtmatige toegang of onrechtmatig gebruik van de persoonsgegevens, eventueel gevolgd door actie.