El RGPD especifica que se puede disponer de un solo documento que incluya todos los sistemas de tratamiento y tratamientos con datos personales de los que una persona física o jurídica sea responsable, un documento por cada sistema de tratamiento, o los que determine el responsable atendiendo a los criterios organizativos que haya establecido.

Cualquiera de las opciones puede ser válida. En este caso se ha optado por el primer tipo, organizando el «registro de actividades de tratamiento» en dos partes: en la primera se recogen las medidas que afectan a todos los sistemas de información de forma común con independencia del sistema de tratamiento sobre el que se organizan: informatizado, manual o mixto, y en la segunda se incluye un anexo por cada sistema de tratamiento, con las medidas que le afecten de forma concreta. Además, se han especificado aquellas medidas que afectan sólo a sistemas de tratamiento automatizados y las que afectan a los no automatizados de forma exclusiva.

El modelo se ha redactado con el objeto de recopilar las exigencias mínimas establecidas por el Reglamento. Es posible y recomendable incorporar cualquier otra medida que se considere oportuna para aumentar la seguridad de los tratamientos, o incluso, adoptar las medidas exigidas para un nivel de seguridad superior al que por el tipo de información les correspondería, teniendo en cuenta la infraestructura y las circunstancias particulares de la organización.