quem é responsável por relatar uma violação de dados dentro da minha empresa

A responsabilidade recai sobre a organização, não sobre um único funcionário

O RGPD estabelece a obrigação de notificação na organização que é responsável pelo tratamento, não num colaborador individual que descobriu ou causou a falha. O RGPD não especifica quem dentro da empresa deve executar a notificação — essa é uma questão interna. Na prática, costuma ser o proprietário, um diretor ou alguém especificamente designado para gerir assuntos de privacidade, como um encarregado de proteção de dados se tiver sido designado. No caso de um trabalhador independente ou uma pequena empresa sem uma função separada, essa responsabilidade geralmente recai sobre quem dirige a empresa.

O que é certo é que tem de haver alguém que saiba que uma notificação pode ser necessária assim que uma falha se verifique, e que possa avaliar se o que exatamente constitui uma falha de segurança de dados é aplicável aqui. Uma empresa que não tenha definido quem trata disso corre o risco de uma falha ser assinalada mas ninguém dar o passo seguinte — enquanto o prazo começa a contar a partir do momento da descoberta. Mesmo que o tratamento tenha sido subcontratado a um terceiro, isso não altera quem continua responsável pela notificação: é e continua a ser a própria organização, também quando um fornecedor notifica ele próprio uma falha de segurança de dados.

Onde isso resulta: artigo 33.º do RGPD

O artigo 33.º do RGPD refere-se sempre ao "responsável pelo tratamento" como a parte que deve notificar a autoridade de supervisão, sem prescrever uma função ou pessoa interna específica; quem o executa de facto é responsabilidade da organização. A Autoridade da Proteção de Dados confirma na sua página sobre falhas de segurança de dados que a obrigação de notificação recai sobre a organização e não sobre um colaborador específico. A que autoridade de supervisão a notificação deve ser feita varia de acordo com o Estado-membro: nos Países Baixos é a Autoridade da Proteção de Dados, enquanto noutros locais da UE a autoridade de supervisão nacional própria é a entidade designada. Mais informações sobre os passos a seguir e o papel da autoridade de supervisão constam de quando uma falha de segurança de dados deve ser notificada à Autoridade da Proteção de Dados.