mi proveedor notifica una infracción de datos, ¿debo notificarlo yo también

Una brecha de datos en tu proveedor también puede afectar tu obligación de notificación

Sí, puede suceder, aunque el proveedor ya haya notificado la brecha por su cuenta. Un proveedor que procesa datos de clientes para ti — un paquete de contabilidad, una herramienta de correo, un proveedor de alojamiento — es según la terminología del RGPD normalmente un encargado del tratamiento, y tú sigues siendo el responsable del tratamiento. La obligación de notificación a la autoridad supervisora y a los interesados recae sobre el responsable del tratamiento, no sobre el encargado del tratamiento. El proveedor que lo notifica a su propia autoridad supervisora, por lo tanto, no cubre automáticamente tu propia obligación.

Lo que el proveedor debe hacer según el contrato de encargo de tratamiento es notificarte la brecha sin demora indebida en cuanto se entere de ella. A partir de ese momento comienza para ti la evaluación de si se trata de una infracción en el sentido de ¿qué es exactamente una violación de datos?, y si esa notificación es obligatoria ante la Autoridad de Protección de Datos y posiblemente ante los interesados. El hecho de que un proveedor haya notificado el incidente a su propia autoridad supervisora — a veces en otro país — no cambia nada en tu propia evaluación como responsable del tratamiento.

Donde esto se desprende del artículo 28 y artículo 33 del RGPD

El artículo 28 del RGPD regula la relación entre el responsable del tratamiento y el encargado del tratamiento, y el correspondiente contrato de encargo de tratamiento establece que el encargado debe notificar una infracción al responsable del tratamiento; el artículo 33 del RGPD establece la obligación de notificación a la autoridad supervisora por parte del responsable del tratamiento, con los plazos y criterios que la Autoridad de Protección de Datos y el EDPB desarrollan más en sus directrices. Esta distribución es igual en cada Estado miembro, solo diferencia qué autoridad supervisora recibe la notificación: en los Países Bajos es la Autoridad de Protección de Datos, en otros Estados miembros la autoridad supervisora de ese país — relevante si el proveedor está ubicado allí o si los datos de clientes de interesados de varios países están implicados. Lo que tus propios acuerdos con el proveedor deben regular al respecto, y si ese contrato es adecuado, se describe en ¿debo firmar un contrato de encargo de tratamiento que me envía mi cliente?.