+Article 32 7.

Article 32 7.

Lorsqu’elles prennent toute mesure d’exécution visée au paragraphe 4 ou 5, les autorités compétentes respectent les droits de la défense et tiennent compte des circonstances propres à chaque cas et, au minimum, tiennent dûment compte:

a) 

de la gravité de la violation et de l’importance des dispositions enfreintes, les faits suivants, entre autres, devant être considérés en tout état de cause comme graves:

i) 

les violations répétées;

ii) 

le fait de ne pas notifier des incidents importants ou de ne pas y remédier;

iii) 

le fait de ne pas pallier les insuffisances à la suite d’instructions contraignantes des autorités compétentes;

iv) 

le fait d’entraver des audits ou des activités de contrôle ordonnées par l’autorité compétente à la suite de la constatation d’une violation;

v) 

la fourniture d’informations fausses ou manifestement inexactes relatives aux mesures de gestion des risques en matière de cybersécurité ou aux obligations d’information prévues aux articles 21 et 23;

b) 

de la durée de la violation;

c) 

de toute violation antérieure pertinente commise par l’entité concernée;

d) 

des dommages matériels, corporels ou moraux causés, y compris des pertes financières ou économiques, des effets sur d’autres services et du nombre d’utilisateurs touchés;

e) 

du fait que l’auteur de la violation a agi délibérément ou par négligence;

f) 

des mesures prises par l’entité pour prévenir ou atténuer les dommages matériels, corporels ou moraux;

g) 

de l’application de codes de conduite approuvés ou de mécanismes de certification approuvés;

h) 

du degré de coopération avec les autorités compétentes des personnes physiques ou morales tenues pour responsables.

1. Vue d’ensemble

,

1.1 Références

1.2 Exigences identifiées

1.3 Normes associées

2. Exigences identifiées

Exigences

3. Normes associées

Normes