Dois-je aussi enregistrer les violations de données que je ne signale pas ?

Les fuites sans notification appartiennent également au registre

Oui, dans la plupart des cas, chaque violation de données a une place dans le registre, même si aucune notification n'a été adressée à une autorité de contrôle. Le registre ne vise pas à être un aperçu des notifications, mais un aperçu de toutes les violations qui se sont produites, avec l'évaluation qui y a été associée : ce qui s'est passé, quelles données ont été impliquées, quel risque a été évalué et pourquoi une notification a ou n'a pas été adressée. Une fuite qui n'entraîne pas d'obligation de notification parce que le risque pour les personnes concernées a été évalué comme faible s'y ajoute simplement.

Ce qui n'a généralement pas besoin de figurer dans le registre, ce sont les incidents qui ne constituent pas une violation de données à caractère personnel — par exemple une panne sans que des données aient été divulguées, perdues ou traitées illégalement. Dès lors qu'il y a effectivement une violation, celle-ci compte pour le registre, indépendamment de la question de savoir si une notification a été adressée à l'autorité de contrôle et indépendamment de la question de savoir si les personnes concernées ont été informées.

Cela découle de l'obligation de documentation de l'article 33 du RGPD

L'article 33 du RGPD ne régit pas seulement la notification dans les 72 heures, mais contient également une obligation de documentation distincte : chaque violation de données à caractère personnel est enregistrée, avec les faits, les conséquences et les mesures prises, afin qu'une autorité de contrôle puisse vérifier cela ultérieurement. Cette obligation d'enregistrement est indépendante de la question de savoir si une notification a effectivement été adressée. L'autorité de contrôle qui peut demander ce registre varie selon l'État membre — aux Pays-Bas, c'est l'Autorité néerlandaise de protection des données, en Allemagne l'autorité de contrôle du Land où se trouve le siège — mais l'obligation de documenter provient directement du règlement et s'applique de la même manière dans chaque État membre. L'Autorité néerlandaise de protection des données souligne également dans ses informations sur les violations de données que l'enregistrement est une étape distincte, indépendamment de la notification ou non.