Também devo registar violações de dados que não notifico?

Vazamentos sem notificação também pertencem ao registro

Sim, na maioria dos casos, cada vazamento de dados recebe um lugar no registro, mesmo que nenhuma notificação tenha sido feita a uma autoridade supervisora. O registro não se destina a ser uma visão geral de notificações, mas uma visão geral de todas as violações que ocorreram, com a avaliação feita: o que aconteceu, quais dados estavam envolvidos, qual risco foi estimado e por que foi ou não notificado. Um vazamento que não gera obrigação de notificação porque o risco para os titulares foi estimado como baixo simplesmente se enquadra nisso.

O que geralmente não precisa estar no registro são incidentes que não constituem uma violação de dados pessoais — por exemplo, uma falha sem que dados tenham vazado, sido perdidos ou processados ilegalmente. Assim que houver uma violação, ela conta para o registro, independentemente de ter sido notificada à autoridade supervisora e independentemente de os titulares terem sido informados.

Isto resulta da obrigação de documentação do artigo 33 do RGPD

O artigo 33 do RGPD não apenas regula a notificação dentro de 72 horas, mas também contém uma obrigação de documentação separada: cada violação de dados pessoais é registada, com os fatos, as consequências e as medidas tomadas, para que uma autoridade supervisora possa verificar isto posteriormente. Esta obrigação de registro é independente de ter havido notificação real. Qual autoridade supervisora pode solicitar esse registro varia por estado-membro — nos Países Baixos é a Autoridade da Proteção de Dados, na Alemanha a autoridade supervisora do estado federado onde a entidade está estabelecida — mas a obrigação de documentar vem diretamente do regulamento e aplica-se da mesma forma em cada estado-membro. A Autoridade da Proteção de Dados também aponta em suas informações sobre vazamentos de dados que o registro é uma etapa separada, independente de ter havido ou não notificação.