GDPR数据处理记录义务源于1995年欧盟通过的《关于涉及个人数据处理的个人保护以及此类数据自由流通和第95/46/EC/号指令》,由于该指令中并未将数据处理记录义务单列为一项独立的义务,而是将其纳入第18条第2款第(b)项规定的“报告监管机构的义务”中;随后2002年所颁布《隐私与电子通讯指令》的第5条“通信的机密性”和2006年所颁布《欧盟数据留存指令》的第3条“保留数据的义务”均逐渐开始单独制定条款对数据处理活动进行记录;经过多年的发展,2012年所颁布《欧盟议会和欧盟理事会关于规范个人数据处理中个人保护和所涉数据自由流通的条例建议案》的第28条“文件管理”和2016年所颁布《统一数据保护条例》第30条“处理活动的记录”均规定了详尽的数据处理记录内容。该项义务对应衔接了数据主体获得信息通知的权利,并且反映了数据处理过程中的各项主要原则,尤其是“问责原则”落地的具体体现,该义务有助于数据控制者和处理者运用记录内容评估数据处理风险,以此为数据处理过程确定安全措施。全面认知数据处理记录义务可从义务主体、内容、例外及例外限制、违法处罚措施四个维度展开:其义务主体包括数据控制者、数据处理者及其二者代表;其内容分别对数据控制者、数据处理者制定了不同的记录事项,不同的记录者侧重点有所不同,旨在有效保障数据主体的个人隐私;其例外及例外限制为人数少于250人的企业可以免于履行数据处理记录义务,但是当数据处理并不偶然、处理属于特殊种类数据或者刑事定罪犯罪数据的情况下需要予以记录;其违法处罚措施为如若未按照规定全面履行数据处理记录义务,则监管机构将对数据控制者或处理者予以行政处罚。我国现有法律法规中虽然提及相关责任主体有义务对数据处理过程予以记录,但是规定均较为宽泛粗略,且并未颁布严密的数据保护法,未能在一定程度上扼制相关企业贩卖客户个人信息及数据而导致严重数据泄露的事件发生。为此GDPR数据处理记录义务对我国构建相应个人信息和数据在处理过程中予以记录的配套法律法规制度,特别是记录义务主体划分、记录内容、例外规定、制裁措施等方面均具有借鉴意义。为推动制度健全完善,提高立法位阶是必然手段,并可从赋予监管机构相关行政权力以及指导性文件中制定处理记录模板着手,构建一个符合我国法制土壤的数据处理记录义务。