Toute mise en œuvre d'un traitement mentionné à l'article 1er est précédée de l'envoi, par le responsable du traitement, à la Commission nationale de l'informatique et des libertés d'un engagement de conformité aux dispositions du présent décret.
Un dossier technique décrivant le dispositif mis en place est établi et conservé avec l'engagement de conformité mentionné au précédent alinéa. Ces documents sont tenus à la disposition de la Commission nationale de l'informatique et des libertés.