meu fornecedor relata uma violação de dados — preciso relatar também

Uma violação de dados no seu fornecedor também pode afetar sua obrigação de notificação

Sim, pode, mesmo que o fornecedor já tenha notificado a violação. Um fornecedor que processa dados de clientes para você — um pacote contábil, uma ferramenta de e-mail, um serviço de hospedagem — é, na linguagem do RGPD, geralmente um processador, e você continua sendo o controlador. A obrigação de notificar a autoridade de supervisão e aos titulares dos dados recai sobre o controlador, não sobre o processador. O fornecedor que notifica sua própria autoridade de supervisão não cobre automaticamente sua própria obrigação.

O que o fornecedor deve fazer de acordo com o contrato de processamento de dados é notificar a violação sem atraso desnecessário assim que tiver conhecimento dela. A partir desse momento, começa para você a avaliação de se se trata de uma violação conforme definido em o que é exatamente uma violação de dados?, e se essa violação é obrigatória de notificar à Autoridade Holandesa de Proteção de Dados e eventualmente aos titulares dos dados. O fato de um fornecedor ter notificado o incidente à sua própria autoridade de supervisão — às vezes em outro país — não altera essa avaliação própria que você faz como controlador.

Onde isso decorre dos artigos 28.º e 33.º do RGPD

O artigo 28.º do RGPD regula a relação entre o controlador e o processador, e o contrato de processamento de dados associado estabelece que o processador deve notificar uma violação ao controlador; o artigo 33.º do RGPD estabelece a obrigação de notificar a autoridade de supervisão junto do controlador, com o prazo e critérios que a Autoridade Holandesa de Proteção de Dados e o EDPB detalham ainda mais em suas diretrizes. Esta divisão é a mesma em cada Estado-membro, apenas a autoridade de supervisão que recebe a notificação varia: na Holanda é a Autoridade Holandesa de Proteção de Dados, noutros Estados-membros é a autoridade de supervisão desse país — relevante se o fornecedor está localizado lá ou se os dados dos titulares de múltiplos países estão envolvidos. O que seus próprios acordos com o fornecedor devem estabelecer sobre isso, e se esse contrato está em conformidade, é descrito em devo assinar um contrato de processamento de dados que meu cliente envia?.