mon fournisseur signale une violation de données, dois-je le signaler moi-même aussi

Une violation de données chez votre fournisseur peut également affecter votre obligation de notification

Oui, c'est possible, même si le fournisseur a déjà signalé lui-même la violation. Un fournisseur qui traite des données clients pour vous — un logiciel de comptabilité, un outil d'emailing, un prestataire d'hébergement — est dans le langage du RGPD généralement un sous-traitant, et vous restez alors le responsable du traitement. L'obligation de notification auprès de l'autorité de surveillance et auprès des personnes concernées incombe au responsable du traitement, non au sous-traitant. Le fournisseur qui la signale à sa propre autorité de surveillance ne satisfait donc pas automatiquement à votre propre obligation.

Ce que le fournisseur doit faire selon le contrat de sous-traitance, c'est signaler la violation sans retard injustifié dès qu'il en a connaissance. À partir de ce moment, vous devez évaluer s'il s'agit d'une violation au sens de l'article qu'est-ce qu'une violation de données exactement ?, et si elle doit être notifiée à l'Autorité néerlandaise de protection des données et éventuellement aux personnes concernées. Le fait qu'un fournisseur ait signalé l'incident à sa propre autorité de surveillance — parfois dans un autre pays — ne change rien à cette évaluation propre que vous effectuez en tant que responsable du traitement.

Tel qu'il découle des articles 28 et 33 du RGPD

L'article 28 du RGPD régit la relation entre le responsable du traitement et le sous-traitant, et le contrat de sous-traitance correspondant stipule que le sous-traitant doit signaler une violation au responsable du traitement ; l'article 33 du RGPD impose une obligation de notification à l'autorité de surveillance au responsable du traitement, avec les délais et critères que l'Autorité néerlandaise de protection des données et l'EDPB précisent dans leurs lignes directrices. Cette répartition s'applique de la même manière dans chaque État membre, seule varie l'autorité de surveillance qui reçoit la notification : aux Pays-Bas, c'est l'Autorité néerlandaise de protection des données, dans les autres États membres c'est l'autorité de surveillance de ce pays — ce qui est pertinent si le fournisseur s'y trouve ou si les données clients de personnes concernées proviennent de plusieurs pays. Ce que vos arrangements propres avec le fournisseur doivent prévoir à ce sujet, et si cet accord est conforme, est décrit à dois-je signer un contrat de sous-traitance que mon client m'envoie ?.