Sanction proportionnée, effective et dissuasive

Définition

Le principe de sanction proportionnée, effective et dissuasive est un critère juridique commun à de nombreux cadres réglementaires européens de conformité et de cybersécurité, notamment le RGPD, la directive NIS2, le règlement DORA et l'AI Act, imposant que les sanctions prononcées par les autorités de contrôle en cas de manquement soient à la fois adaptées à la gravité réelle du manquement constaté, capables de faire cesser effectivement la situation de non-conformité, et suffisamment sévères pour décourager une répétition du manquement, tant par l'organisation sanctionnée que par les autres acteurs du secteur observant les conséquences de cette sanction. Ce principe encadre la marge d'appréciation dont disposent les autorités dans la fixation du montant effectif d'une sanction, qui doit tenir compte de critères objectifs tels que la nature et la durée du manquement, son caractère intentionnel ou négligent, les mesures déjà prises pour atténuer les conséquences du manquement, ainsi que la situation financière de l'organisation, évitant ainsi qu'une sanction ne soit à la fois trop clémente pour avoir un effet dissuasif réel ou disproportionnée au point de menacer sa viabilité économique sans justification suffisante. Ce triple critère, hérité du droit européen de la concurrence et étendu aux régulations numériques récentes, structure la doctrine de sanction publiée par plusieurs autorités, notamment la CNIL, pour objectiver leur pratique décisionnelle.