Publication de la sanction (naming and shaming)

Définition

La publication de la sanction, désignée familièrement par l'expression anglaise naming and shaming, est une mesure complémentaire que de nombreuses autorités de contrôle peuvent décider d'associer à une sanction pécuniaire ou à une injonction, consistant à rendre publique, généralement sur leur site internet, l'identité de l'organisation sanctionnée ainsi que la nature du manquement constaté, ajoutant ainsi une dimension réputationnelle à la sanction financière proprement dite. Cette publication vise un double objectif : dissuader l'organisation sanctionnée et l'ensemble des acteurs du secteur concerné de reproduire un manquement similaire, en exposant les conséquences réputationnelles concrètes d'une non-conformité avérée, et informer le public, notamment les clients et partenaires de l'organisation sanctionnée, d'un manquement susceptible d'affecter leurs propres intérêts, en particulier pour les manquements les plus graves touchant à la protection de données personnelles ou à la sécurité de services essentiels. La CNIL publie ainsi régulièrement ses décisions de sanction les plus significatives, tandis que la directive NIS2 et le règlement DORA prévoient également des mécanismes de publication similaires pour les sanctions les plus sévères prononcées à l'encontre d'entités relevant de leur champ d'application respectif. Pour une organisation, l'impact réputationnel de cette publication dépasse souvent en pratique le seul montant financier de la sanction elle-même, en particulier lorsque la décision publiée est largement relayée par les médias spécialisés ou généralistes.