quelles sont les conséquences si je ne signale pas une violation de données à l'AP

Ne pas signaler peut avoir des conséquences qui vont au-delà de la fuite elle-même

Celui qui ne signale pas une fuite de données relevant de l'obligation de notification à l'autorité de contrôle risque que cette autorité ne l'apprenne d'elle-même et n'agisse en vertu de l'article 33 du RGPD, qui établit l'obligation de notification dans le délai qui y est mentionné. L'Autorité néerlandaise de protection des données et les autres autorités de contrôle européennes ont le pouvoir de mener des enquêtes, de poser des questions et, en cas de violation constatée, d'imposer une sanction. L'absence de notification d'une fuite est souvent découverte parce qu'une personne concernée porte plainte, parce que des données apparaissent ailleurs, ou parce qu'un sous-traitant ou un fournisseur signale la fuite et l'autorité de contrôle approfondit à partir de là — voir aussi que faire si un fournisseur signale une fuite de données.

En plus du risque auprès de l'autorité de contrôle, il y a encore un autre enjeu : le non-signalement d'une fuite est indépendant de la question de savoir si les personnes dont les données sont concernées doivent être informées. Cette obligation découle de l'article 34 du RGPD et peut subsister même si la notification à l'autorité de contrôle n'a pas eu lieu — avec tous les dommages à la réputation et la perte de confiance qui peuvent en résulter si cela est découvert plus tard. Même une fuite qui n'est pas soumise à l'obligation de notification doit être enregistrée dans vos propres dossiers ; voir pourquoi les fuites de données non signalées doivent également être enregistrées.

Ce qui en est dit dans les règles

L'obligation de notification figure à l'article 33 du RGPD, et cette obligation s'applique directement dans chaque État membre de l'UE. Le destinataire de la notification varie selon le pays : aux Pays-Bas, il s'agit de l'Autorité néerlandaise de protection des données, dans d'autres États membres, l'autorité de contrôle nationale de ce pays — le CEPD tient un registre de ces autorités de contrôle et publie des lignes directrices sur l'interprétation de l'obligation de notification. Les modalités précises de ce qui doit ou ne doit pas être notifié sont décrites sur la page évaluer si une fuite de données doit être signalée.