|
+Article 32 7. |
Article 32 7.Lorsqu’elles prennent toute mesure d’exécution visée au paragraphe 4 ou 5, les autorités compétentes respectent les droits de la défense et tiennent compte des circonstances propres à chaque cas et, au minimum, tiennent dûment compte:
a)
de la gravité de la violation et de l’importance des dispositions enfreintes, les faits suivants, entre autres, devant être considérés en tout état de cause comme graves:
i)
les violations répétées;
ii)
le fait de ne pas notifier des incidents importants ou de ne pas y remédier;
iii)
le fait de ne pas pallier les insuffisances à la suite d’instructions contraignantes des autorités compétentes;
iv)
le fait d’entraver des audits ou des activités de contrôle ordonnées par l’autorité compétente à la suite de la constatation d’une violation;
v)
la fourniture d’informations fausses ou manifestement inexactes relatives aux mesures de gestion des risques en matière de cybersécurité ou aux obligations d’information prévues aux articles 21 et 23;
b)
de la durée de la violation;
c)
de toute violation antérieure pertinente commise par l’entité concernée;
d)
des dommages matériels, corporels ou moraux causés, y compris des pertes financières ou économiques, des effets sur d’autres services et du nombre d’utilisateurs touchés;
e)
du fait que l’auteur de la violation a agi délibérément ou par négligence;
f)
des mesures prises par l’entité pour prévenir ou atténuer les dommages matériels, corporels ou moraux;
g)
de l’application de codes de conduite approuvés ou de mécanismes de certification approuvés;
h)
du degré de coopération avec les autorités compétentes des personnes physiques ou morales tenues pour responsables. 1. Vue d’ensemble
1.1 Références1.2 Exigences identifiées1.3 Normes associées2. Exigences identifiées
3. Normes associées
|