Devo anche tenere traccia delle violazioni dei dati che non notifico?

Le violazioni senza notifica rientrano comunque nel registro

Sì, nella maggior parte dei casi ogni violazione di dati ha un posto nel registro, anche se non è stata notificata a un'autorità di controllo. Il registro non è inteso come elenco di notifiche, ma come elenco di tutte le violazioni che si sono verificate, con la valutazione effettuata: cosa è successo, quali dati erano coinvolti, quale rischio è stato stimato e perché è stata o non è stata effettuata la notifica. Una violazione che non comporta l'obbligo di notifica perché il rischio per gli interessati è stato valutato come basso vi rientra comunque.

Ciò che di solito non deve rientrare nel registro sono gli incidenti che non costituiscono una violazione dei dati personali — ad esempio un'interruzione del servizio senza che i dati siano stati divulgati, persi o elaborati illegittimamente. Non appena si verifica una violazione, essa conta ai fini del registro, indipendentemente dal fatto che sia stata notificata all'autorità di controllo e indipendentemente dal fatto che gli interessati siano stati informati.

Ciò deriva dall'obbligo di documentazione dell'articolo 33 GDPR

L'articolo 33 del GDPR non disciplina solo la notifica entro 72 ore, ma contiene anche un obbligo di documentazione separato: ogni violazione di dati personali è registrata, con i fatti, le conseguenze e le misure adottate, in modo che un'autorità di controllo possa verificarlo successivamente. Questo obbligo di registrazione è indipendente dal fatto che la notifica sia stata effettivamente trasmessa. L'autorità di controllo competente per richiedere quel registro varia da uno Stato membro all'altro — nei Paesi Bassi è l'Autorità per la protezione dei dati, in Germania l'autorità di controllo dello Stato federale in cui ha sede l'azienda — ma l'obbligo di documentazione deriva direttamente dal regolamento e si applica allo stesso modo in ogni Stato membro. Anche l'Autorità per la protezione dei dati nei Paesi Bassi sottolinea nelle sue informazioni sulle violazioni di dati che la registrazione è un passaggio separato, indipendente dal fatto che la notifica sia effettuata o meno.