¿También debo registrar las violaciones de datos que no comunico?

Las filtraciones sin notificación también deben registrarse

Sí, en la mayoría de los casos, cada filtración de datos recibe un lugar en el registro, incluso si no se ha notificado a una autoridad de supervisión. El registro no pretende ser un resumen de notificaciones, sino un resumen de todos los incidentes que se han producido, con la evaluación correspondiente: qué sucedió, qué datos estaban implicados, qué riesgo se estimó y por qué se notificó o no. Una filtración que no genera obligación de notificación porque el riesgo para los interesados se consideró bajo simplemente se incluye en el registro.

Lo que normalmente no necesita estar en el registro son incidentes que no constituyan un incidente en relación con datos personales —por ejemplo, una interrupción del servicio sin que se hayan filtrado, perdido o procesado ilícitamente datos. Tan pronto como hay un incidente en relación con datos personales, se cuenta para el registro, independientemente de si se notificó a la autoridad de supervisión e independientemente de si se informó a los interesados.

Esto se deriva de la obligación de documentación del artículo 33 del RGPD

El artículo 33 del RGPD no solo regula la notificación dentro de 72 horas, sino que también contiene una obligación de documentación separada: todo incidente en relación con datos personales se documenta, con los hechos, las consecuencias y las medidas adoptadas, para que una autoridad de supervisión pueda verificarlo posteriormente. Esta obligación de documentación es independiente de si realmente se realizó la notificación. Qué autoridad de supervisión puede solicitar ese registro varía según el Estado miembro —en los Países Bajos es la Autoridad de Protección de Datos, en Alemania la autoridad de supervisión del estado federal donde se encuentre el establecimiento—, pero la obligación de documentar procede directamente del Reglamento y se aplica de la misma forma en cada Estado miembro. La Autoridad de Protección de Datos también señala en su información sobre filtraciones de datos que la documentación es un paso separado, independiente de si se notifica o no.