quais são as consequências se eu não relatar uma violação de dados à AP

Não informar pode ter consequências que vão além da falha em si

Quem não relata uma falha de segurança de dados sujeita a notificação obrigatória à autoridade supervisora corre o risco de que essa autoridade descubra por conta própria e atue com base no artigo 33 do RGPD, que regula a obrigação de notificação no prazo mencionado. A Autoridade Nacional de Proteção de Dados e as outras autoridades supervisoras europeias têm a competência para investigar, fazer perguntas e impor uma sanção se constatarem uma violação. O facto de uma falha não ter sido notificada muitas vezes vem à luz justamente porque um titular de dados apresenta uma reclamação, porque os dados surgem noutro lado, ou porque um processador ou fornecedor notifica a falha e a autoridade supervisora questiona a partir daí — ver também o que fazer se um fornecedor notificar uma falha de segurança de dados.

Para além do risco perante a autoridade supervisora, existe outra questão: a não notificação de uma falha é independente da questão de saber se as pessoas cujos dados estão em causa devem ser informadas. Essa obrigação resulta do artigo 34 do RGPD e pode subsistir mesmo que a notificação à autoridade supervisora tenha sido omitida — com todo o dano de reputação e perda de confiança que daí pode resultar se isso vier mais tarde à luz. Uma falha que não está sujeita a obrigação de notificação também deve constar nos registos internos; ver por que razão as falhas de segurança de dados não notificadas também devem ser registadas.

O que as normas dizem sobre isto

A obrigação de notificação consta do artigo 33 do RGPD e aplica-se diretamente em cada Estado-membro da UE. O local onde a notificação deve ser apresentada varia de acordo com o país: nos Países Baixos é a Autoridade Nacional de Proteção de Dados, noutros Estados-membros é a autoridade supervisora nacional desse país — o EDPB mantém uma lista de contactos dessas autoridades supervisoras e publica directrizes sobre a interpretação da obrigação de notificação. A descrição exata de quando algo deve ou não ser notificado consta na página sobre avaliar se uma falha de segurança de dados deve ser notificada.