Arrêt 246532 - Marchés publics - 23/12/2019

id="page_main" x-ms-format-detection="none"> Imprimer cette page Taille d'impression S M L XL Nouvelle recherche JUPORTAL Fermer l'onglet Conseil d'État Jugement/arrêt du 23 décembre 2019 No ECLI: ECLI:BE:RVSCE:2019:ARR.246.532 No Rôle: A. 229528/VI-21642 Affaire: Arrêt 246532 - Marchés publics - 23/12/2019 Domaine juridique: Droit administratif Date d'introduction: 2019-12-23 Consultations: 88 - dernière vue 2026-06-21 07:10 Fiche Arrêt no 246.532 du 23 décembre 2019 Marchés et travaux publics - Marchés publics Décision : Rejet Thésaurus Cassation: CONSEIL D'ETAT Thésaurus UTU: DROIT PUBLIC ET ADMINISTRATIF - CONSEIL D'ÉTAT - Arrêts (Conseil d'État) Texte de la décision CONSEIL D'ÉTAT, SECTION DU CONTENTIEUX ADMINISTRATIF LE PRÉSIDENT DE LA VIe CHAMBRE SIÉGEANT EN RÉFÉRÉ A R R ÊT no 246.532 du 23 décembre 2019 A. 229.528/VI-21.642 En cause : la société anonyme VENTURIS, ayant élu domicile chez Mes Cédric MOLITOR et Louise ERNOUX-NEUFCOEUR, avocats, rue de Suisse 24 1060 Bruxelles, contre : la Société coopérative à responsabilité limitée VIVAQUA, ayant élu domicile chez Mes Virginie DOR, Flore VERHOEVEN, Thomas DUBUISSON et Tom DE CORDIER, avocats, chaussée de La Hulpe 178 1170 Bruxelles. ------------------------------------------------------------------------------------------------------ I. Objet de la requête Par une requête introduite le 12 novembre 2019, la société anonyme (S.A.) VENTURIS demande la suspension selon la procédure d'extrême urgence de l'exécution de la "décision du Conseil d'administration de la scrl VIVAQUA du 23 octobre 2019 relative au marché de services juridiques relatif au recouvrement amiable et judiciaire des factures de consommation d'eau impayées en Région de Bruxelles-Capitale (Réf. CSCh 2046 – F05_4), par laquelle il est décidé : - de déclarer irrégulière l'offre de la s.a. VENTURIS et partant de rejeter cette offre; - d'attribuer le marché public à un autre soumissionnaire, dont l'identité n'a pas été communiquée à la s.a. VENTURIS". II. Procédure Par une ordonnance du 13 novembre 2019, l'affaire a été fixée à l'audience du 28 novembre 2019. Par un courrier du 26 novembre 2019, l’affaire a été remise à l’audience du 12 décembre 2019. VIexturg - 21.642 - 1/31 La note d'observations et le dossier administratif ont été déposés. La contribution et les droits visés respectivement aux articles 66, 6°, et à l'article 70 de l'arrêté du Régent du 23 août 1948 déterminant la procédure devant la section du contentieux administratif du Conseil d'État ont été acquittés. M. David DE ROY, conseiller d'État, Président f.f., a exposé son rapport. Mes Cédric MOLITOR et Louise ERNOUX-NEUFCOEUR, avocats, comparaissant pour la partie requérante, Mes Virginie DOR, Flore VERHOEVEN et Thomas DUBUISSON, avocats, comparaissant pour la partie adverse, ont été entendus en leurs observations. Mme Elisabeth WILLEMART, premier auditeur au Conseil d'État, a été entendue en son avis conforme. Il est fait application des dispositions relatives à l'emploi des langues, inscrites au titre VI, chapitre II, des lois sur le Conseil d'État, coordonnées le 12 janvier 1973. III. Exposé des faits utiles Selon la relation qu'en donne la partie adverse, les faits utiles à l'examen de la demande se présentent comme suit: " 1.1 Contexte, publication du marché et remise des offres initiales 1. La partie adverse, Vivaqua, a lancé un marché public de services juridiques ayant pour objet le recouvrement amiable et judiciaire des factures de consommation d'eau impayées en Région de Bruxelles-Capitale. Vivaqua étant une entité active dans le secteur de l'eau – qui est un des secteurs spéciaux au sens de la réglementation relative aux marchés publics – et le présent marché ayant un lien avec cette activité, la réglementation applicable au présent marché est celle applicable aux secteurs spéciaux, qui est une réglementation plus souple que celle applicable aux secteurs classiques, à savoir : - les titres 1 et 3 de la loi du 17 juin 2016 relative aux marchés publics (ci-après «loi du 17 juin 2016»); - l'arrêté royal du 18 juin 2017 relatif à la passation des marchés publics dans les secteurs spéciaux (ci-après «arrêté royal du 18 juin 2017»). 2. Ce marché a fait l'objet d'un avis, de même objet, qui a été envoyé le 11 janvier 2019 et publié, comme suit, au Bulletin des Adjudications (BDA) et au Journal officiel de l'Union européenne (JOUE) : ▪ l'avis de marché publié au BDA le 11 janvier 2019 porte la référence suivante : 2019-500879 (pièce n° 1); ▪ l'avis de marché publié au JOUE le 15 janvier 2019 porte la référence suivante : JO/S S10 20193-2019-FR (pièce n° 2). VIexturg - 21.642 - 2/31 3. Le marché est passé par procédure négociée directe avec mise en concurrence préalable, soit une procédure qui permet la négociation, et est régi par le Cahier spécial des charges portant la référence «CSC n° 2046» (ci-après «CSC») (pièce n° 7.a.). 4. Les cinq avis de marché rectificatifs suivants – ayant pour objet, selon le cas, de reporter la date de remise des offres et/ou d'apporter certaines clarifications aux documents du marché – ont été publiés, comme suit, au BDA et au JOUE : Publication Publication BDA Publication JOUE Objet 1 24 janvier 2019 29 janvier 2019 Report de la date de remise des offres (pièce n° 3.a.) (pièce n° 3.

b)au 5/03, au lieu du 28/02, et publication d'une nouvelle version de l'inventaire des prix 2 27 février 2019 1er mars 2019 Report de la date de remise des offres (pièce n° 4.a.) (pièce n° 4.
b)au 25/03, au lieu du 5/03. 3 7 mars 2019 12 mars 2019 Publication des «Questions-réponses» (pièce n° 5.a.) pièce n° 5.b.) et clarifications aux documents du marchés (cf. pièce n° 7.b., CSC version mars 2019) 4 27 mars 2019 1er avril Correction de l'inventaire de prix, (pièce n° 6.a.) (pièce n° 6.b.) précisions apportées aux «Questions- réponses» (cf. pièce n° 7.c.), et report de la date de remise des offres au 8/04, au lieu du 3/04. Ainsi, suite à la publication des avis rectificatifs précités, une seconde version du CSC a été publiée et communiquée aux soumissionnaires potentiels (cf. pièce n° 7.b.). Il y a donc deux versions du CSC : une première version, publiée en janvier 2019 (pièce n° 7.a), et une seconde version, publiée en mars 2019 (pièce n° 7.b). 5. Comme prévu par les documents du marché et comme imposé par l'article 14 de la loi du 17 juin 2016, les offres devaient être remises par voie électronique, via la plateforme e-Tendering de e-Procurement, au plus tard le 8 avril 2019. 6. Dans le délai imparti pour la remise des offres, les onze soumissionnaires suivants ont remis une offre : • EURO FIDES CREDIT MANAGEMENT – ci-après «EURO FIDES» – (pièce n° 8.a.); • MODERO GERECHTSDEURWAARDERS ANTWERPEN – ci-après «MODERO» – (pièces n° 9.a.); • VENTURIS, la partie requérante (pièce n° 10.a.); • FLANDERIJN INCASSO; • G. DE WILDE; • GEERT VAN GRIEKEN; • HUGEBRU; • INTERMEDIANCE; • IURIS-LINK; • LEGAL RECOVERY; et • MICHEL LEROY – SOCIETE MOMENTANEE LEROY-EXELIA. VIexturg - 21.642 - 3/31 1.2 Examen des offres initiales, clarifications aux documents du marché et remise des offres intermédiaires 7. Après un premier examen des offres, un e-mail a été adressé par la partie adverse, le 29 mai 2019, à tous les soumissionnaires en vue, notamment (cf. pièce n° 11) : o d'apporter certaines clarifications aux documents du marché; o d'attirer leur attention sur les irrégularités potentielles de leur offre, avec invitation à les corriger; o de leur demander des précisions nécessaires à l'examen de la régularité de leur offre; o de les inviter à compléter et, le cas échéant, adapter leur offre en tenant compte des éléments qui précèdent. Dans cet e-mail, la partie adverse a notamment communiqué aux soumissionnaires la méthode de cotation des offres (cf. pièce n° 12). 8. En d'autres termes, après la date fixée pour le dépôt des offres initiales (et donc, en pratique, après que tous les soumissionnaires aient déposé leur première offre – étant entendu qu'ils ont tous eu l'occasion, y compris la partie requérante, de déposer une nouvelle offre par la suite et donc, concrètement, eu la possibilité d'adapter leur offre sur base des éléments portés à leur connaissance dans cet e-mail du 29 mai 2019), Vivaqua a, conformément à la réglementation relative aux marchés publics et au prescrit de son CSC1, apporté deux clarifications aux documents du marché. 9. L'une de ces clarifications portait sur l'article 2.7.2. du CSC, relatif au transfert et à l'accès à des données personnelles en dehors de l'Union européenne, qui était en contradiction avec l'article 12 des annexes 7 et 8 du CSC, annexes reprenant le contrat relatif au traitement des données à caractère personnel à signer par l'adjudicataire (le point sur lequel ces deux parties se contredisaient est mis en évidence en [gras] ci-dessous – cf. infra, n° 10). À cet égard, l'on soulignera que la prévalence des obligations de l'adjudicataire en matière de protection des données (conformément au Règlement général sur la protection des données – ci-après «RGPD») reprises aux annexes 7 et 8 du CSC sur celles énoncées dans le corps même du CSC sous l'article 2.7. «Application du Règlement général sur la protection des données» était clairement indiquée dans celui-ci à l'article 2.7.1 avant-dernier paragraphe : «Les principales obligations de l'adjudicataire dans le cadre du contrat relatif au traitement des données à caractère personnel sont précisées pour information ci-dessous et formellement énoncées dans le contrat relatif au traitement des données à caractère personnel, qui se trouve à l'annexe 7 (sous-traitant) ou 8 (responsable de traitement subsidiaire). En cas d'attribution du marché, l'adjudicataire s'engage à signer ce contrat». Cette clarification, que la partie adverse a pris le soin d'intégrer dans son CSC, visait simplement à établir un ordre de priorité entre les différentes clauses du CSC traitant de cet aspect (RGPD), et ce en vue d'anticiper une éventuelle contradiction entre celles-ci. Déduire de cette précision et de la mention «pour information» que les obligations relatives au RGPD prévues dans les documents du marché ne revêtiraient pas un caractère essentiel ne constituerait pas une interprétation correcte et cohérente des documents du marché et de l'objet de celui-ci dont il ressort très clairement que l'aspect «traitement de données à caractère personnel» par l'adjudicataire est tout à fait prépondérant et qu'on ne peut donc lui accorder qu'une importance subsidiaire. 10. L'article 2.7.2. du CSC prévoyait ce qui suit : Version janvier 2019 (pièce 7.
a)Version mars 2019 (pièce 7.
b)Le traitement aura toujours lieu Le traitement aura toujours lieu VIexturg - 21.642 - 4/31 exclusivement sur la base des instructions exclusivement sur la base des instructions ou demandes écrites de VIVAQUA, ou demandes écrites de VIVAQUA, auxquelles le sous-traitant doit se auxquelles l'adjudicataire doit se conformer, à moins que, selon le candidat conformer, à moins que, selon sous-traitant, une instruction ne constitue l'adjudicataire, une instruction ne constitue un manquement au RGPD, auquel cas le un manquement au RGPD, auquel cas sous-traitant en informera VIVAQUA. l'adjudicataire en informera VIVAQUA. L'adjudicataire doit présenter des garanties Le candidat sous-traitant doit présenter des suffisantes quant à sa conformité au RGPD garanties suffisantes quant à sa conformité et celles de ses sous-traitants (ultérieurs) et au RGPD et celles de ses sous-traitants quant à la mise en oeuvre des mesures ultérieurs et quant à la mise en oeuvre des techniques et organisationnelles visées au mesures techniques et organisationnelles point 2.7.4 de manière à garantir les droits visées au point 2.7.4 de manière à garantir des personnes concernées dont les données les droits des personnes concernées dont à caractère personnel sont traitées. Ces les données à caractère personnel sont garanties seront décrites dans l'offre de traitées. Ces garanties seront décrites dans l'adjudicataire. l'offre du candidat sous-traitant. Le sous-traitant veille à ce que tous les L'adjudicataire veille à ce que tous les employés et sous-traitants ultérieurs qui employés et sous-traitants (ultérieurs) qui ont accès aux données à caractère ont accès aux données à caractère personnel fournies par VIVAQUA soient personnel fournies par VIVAQUA soient soumis à des obligations de confidentialité soumis à des obligations de confidentialité dans le cadre du traitement de ces données dans le cadre du traitement de ces données à caractère personnel. à caractère personnel. Le sous-traitant ne peut faire appel à des L'adjudicataire ne peut faire appel à des sous-traitants ultérieurs autres que ceux sous-traitants (ultérieurs) autres que ceux décrits dans son offre qu'à condition qu'il décrits dans son offre qu'à condition qu'il ait reçu au préalable l'approbation écrite de ait reçu au préalable l'approbation écrite de VIVAQUA. Il doit également y avoir un VIVAQUA. Il doit également y avoir un contrat entre le sous-traitant et des contrat entre l'adjudicataire et des sous-traitants ultérieurs couvrant les sous-traitants (ultérieurs) couvrant les mêmes droits et obligations que ceux fixés mêmes droits et obligations que ceux fixés dans le contrat relatif au traitement des dans le contrat relatif au traitement des données à caractère personnel; copie du ou données à caractère personnel; copie du ou des contrats concernés sera remise par le des contrats concernés sera remise par sous-traitant à VIVAQUA avant tout l'adjudicataire à VIVAQUA avant tout traitement de données à caractère traitement de données à caractère personnel. personnel. Le sous-traitant aidera VIVAQUA à L'adjudicataire aidera VIVAQUA à respecter toutes ses obligations en vertu du respecter toutes ses obligations en vertu du RGPD. Ainsi, le sous-traitant devra fournirRGPD. Ainsi, l'adjudicataire devra fournir à VIVAQUA les informations nécessaires à VIVAQUA les informations nécessaires en cas de manquement/violation en en cas de manquement/violation en matière matière de données à caractère personnel. de données à caractère personnel. Le sous-traitant prêtera également son L'adjudicataire prêtera également son assistance lors de l'exercice des droits des assistance lors de l'exercice des droits des personnes concernées et des actions personnes concernées et des actions entreprises par VIVAQUA à cet égard. entreprises par VIVAQUA à cet égard. L'adjudicataire doit également fournir une Au terme du traitement, le sous-traitant aide raisonnable à VIVAQUA par rapport devra arrêter le traitement des données à aux dispositions des articles 32 à 36 du caractère personnel fournies par RGPD, si cela est jugé nécessaire. VIVAQUA et renvoyer ou supprimer les copies existantes en fonction des instructions de VIVAQUA. Cette instruction devra également être transmise aux sous-traitants ultérieurs. A la demande de VIVAQUA, le Au terme du traitement, l'adjudicataire sous-traitant mettra à disposition toutes les devra arrêter le traitement des données à informations nécessaires pour démontrer caractère personnel fournies par le respect de toutes les obligations qui lui VIVAQUA et renvoyer ou supprimer les VIexturg - 21.642 - 5/31 sont imposées et permettra la réalisation copies existantes en fonction des d'audits, y compris des inspections, par instructions/demandes de VIVAQUA. VIVAQUA (ou son représentant). Cette instruction/demande devra également être transmise aux sous-traitants (ultérieurs). Le sous-traitant ne transférera pas de A la demande de VIVAQUA, données à caractère personnel en l'adjudicataire mettra à disposition toutes dehors de l'UE et empêchera l'accès aux les informations nécessaires pour données à caractère personnel à partir démontrer le respect de toutes les d'un pays n'appartenant pas à l'UE, à obligations qui lui sont imposées et l'exception de pays qui assurent un permettra la réalisation d'audits, y compris niveau de protection adéquat des des inspections, par VIVAQUA (ou son données suivant une décision représentant). d'adéquation de la Commission européenne. Les candidats sous-traitant L'adjudicataire ne transférera pas de mentionneront clairement dans leur données à caractère personnel en dehors offre si un tel transfert est envisagé et, le de l'UE et empêchera l'accès aux cas échéant, y joindront la décision données à caractère personnel à partir d'adéquation susvisée. d'un pays n'appartenant pas à l'UE, à l'exception de pays qui assurent un niveau de protection adéquat des données suivant une décision d'adéquation de la Commission européenne. Les soumissionnaires mentionneront clairement dans leur offre si un tel transfert est envisagé et, le cas échéant, y joindront la décision d'adéquation susvisée. Dans ce cadre, il est rappelé aux soumissionnaires qu'hormis les situations très spécifiques de l'article 49 du règlement général sur la protection des données, le traitement et le transfert de données vers un pays qui n'est pas membre de l'Union européenne sont uniquement autorisés
i)si le pays en question assure un niveau de protection adéquat et, ce faisant, figure sur la liste correspondante de la Commission européenne ou
ii)dans l'hypothèse où le pays en question n'assure pas un niveau de protection adéquat, des garanties appropriées quant au transfert et au traitement des données sont prévues dans les conditions de l'article 46 du règlement général sur la protection des données. Pour rappel : • point
i): la liste qui sera prise en considération sera celle en vigueur à la date du dépôt de l'offre. La liste de ces pays est définie par la Commission européenne et peut être consultée sur le site Internet suivant : https://ec.europa.eu/info/law/law-top ic/data-protection/data-transfersouts ide-eu/adequacy-protection-personal -data-non-eu-countries_fr • point
ii): la Commission européenne reconnaît uniquement à l'heure actuelle les clauses contractuelles types offrant des garanties suffisantes au sens de l'article 46, § 2, VIexturg - 21.642 - 6/31 c), du règlement général sur la protection des données. L'article 12 des annexes 7 et 8 du CSC, dont la substance n'a pas été modifiée dans la version du CSC de mars 2019, prévoyait ce qui suit : «Article 12 : Transfert en dehors de l'UE L'Adjudicataire ne transférera pas de Données à caractère personnel en dehors de l'UE et empêchera l'accès aux Données à caractère personnel à partir d'un pays n'appartenant pas à l'UE, à l'exception de pays qui assurent un niveau de protection adéquat des données suivant une décision d'adéquation de la Commission européenne. L'Adjudicataire en informera au préalable Vivaqua». 11. En d'autres termes, la contradiction dans les documents du marché était la suivante : • l'article 2.7.2. du CSC autorise le soumissionnaire/adjudicataire à transférer / donner accès à des données à caractère personnel dans un pays non membre de l'Union européenne pour autant que le pays concerné soit dispose d'une décision d'adéquation de la Commission européenne, attestant qu'il assure un niveau de protection adéquat des données soit offre des garanties suffisantes quant au transfert et au traitement des données au sens de l'article 46 du RGPD; • l'article 12 des annexes 7 et 8 du CSC autorise le soumissionnaire/adjudicataire à transférer / donner accès à des données à caractère personnel dans un pays non membre de l'Union européenne uniquement dans l'hypothèse où le pays concerné dispose d'une décision d'adéquation de la Commission européenne, attestant qu'il assure un niveau de protection adéquat des données. En d'autres termes, cette disposition du CSC ne permet pas au soumissionnaire/adjudicataire de transférer des données ou donner accès à celles-ci dans un pays non membre de l'Union européenne et ne faisant pas l'objet d'une décision d'adéquation de la Commission européenne, même en fournissant des garanties appropriées quant au transfert et au traitement des données. Il est d'emblée important de relever qu'initialement, dans le CSC tel que publié par Vivaqua en janvier 2019 (et donc préalablement à sa modification en mars 2019), l'article 2.7.2. du CSC était en conformité avec l'article 12 des annexes 7 et 8 en ce sens qu'il interdisait, au même titre que l'article 12, le transfert de données personnelles ou l'accès à celles-ci dans un pays non membre de l'UE n'ayant pas fait l'objet d'une décision d'adéquation de la Commission européenne. Ceci montre bien la volonté de la partie adverse de renforcer les garanties applicables en matière de protection des données et de n'autoriser le transfert et l'accès à des données à caractère personnel dans un pays non membre de l'Union européenne que dans l'hypothèse limitée visée par l'article 45 du RGPD, à savoir celle où le pays concerné dispose d'une décision d'adéquation de la Commission européenne. 12. Constatant cette contradiction dans les documents du marché, et conformément à la réglementation relative aux marchés publics et aux points 3.8 et 2.7.1. de son CSC2, la partie adverse a décidé de lever cette contradiction et de la corriger en revenant à la version de l'article 2.7.2. du CSC tel qu'initialement publié et supprimant ainsi le dernier paragraphe de l'article 2.7.2. du CSC, qui prévoyait ce qui suit : «Dans ce cadre, il est rappelé aux soumissionnaires qu'hormis les situations très spécifiques de l'article 49 du règlement général sur la protection des données, le traitement et le transfert de données vers un pays qui n'est pas membre de l'Union européenne sont uniquement autorisés
i)si le pays en question assure un niveau de protection adéquat et, ce faisant, figure sur la liste correspondante de la Commission européenne ou
ii)dans l'hypothèse où le pays en question n'assure pas un niveau de protection adéquat, des garanties appropriées quant au VIexturg - 21.642 - 7/31 transfert et au traitement des données sont prévues dans les conditions de l'article 46 du règlement général sur la protection des données. Pour rappel : • point
i): la liste qui sera prise en considération sera celle en vigueur à la date du dépôt de l'offre. La liste de ces pays est définie par la Commission européenne et peut être consultée sur le site Internet suivant : https://ec.europa.eu/info/law/law-topic/data-protection/data-transfersouts ide-eu/adequacy-protection-personal-data-non-eu-countries_fr • point
ii): la Commission européenne reconnaît uniquement à l'heure actuelle les clauses contractuelles types offrant des garanties suffisantes au sens de l'article 46, § 2, c), du règlement général sur la protection des données». En d'autres termes, cette obligation – à savoir celle subordonnant le transfert / l'accès à des données à caractère personnel dans un pays hors UE à l'obtention, par le pays concerné, d'une décision d'adéquation de la Commission européenne – figurait bel et bien dans les documents du marché (cf. article 12 des annexes 7 et 8) mais la partie adverse l'a simplement rendue plus cohérente en corrigeant cette contradiction, figurant dans le corps de son CSC. Par ailleurs, cette modification du CSC a été faite en parfaite conformité avec les principes d'égalité de traitement et de transparence (et, pour le surplus, des règles que la partie adverse s'était elle-même fixées dans son CSC – cf. point 3.8 du CSC) étant entendu que la partie adverse a porté cet élément à la connaissance de tous les soumissionnaires et leur a laissé à tous la possibilité de remettre une offre adaptée sur cette base (cf. pièce n° 11 – e-mail du 29 mai 2019). En ce qui concerne la partie requérante plus précisément, cet e-mail du 29 mai 2019 attirait notamment son attention sur les irrégularités dont était entachée son offre initiale, avec invitation à les corriger («(…) b. Information/justifications complémentaires – irrégularité; 1) Application du RGPD; Votre offre doit dans son état actuel être considérée comme irrégulière, eu égard aux éléments suivants : (…) De plus, au regard du cahier des charges, le transfert de données à votre filiale tunisienne et/ou l'accès à ces données par celle-ci sont interdits (article 2.7.2 du cahier des charges n° 2046), la Commission européenne n'ayant pris à ce jour aucune décision d'adéquation en terme de protection de données concernant la Tunisie») et se clôturait comme suit : «Nous vous invitons à compléter et, le cas échéant, revoir votre offre sur base des éléments qui précèdent pour le 11 juin 2019 à 11h00 au plus tard. Pour ce faire, il vous incombe de respecter les mêmes conditions de forme que celles imposées pour l'introduction de l'offre initiale (voir clause 3.6 du cahier des charges 2046). Nous vous signalons qu'une invitation à soumissionner vous est adressée en parallèle, par mail, via le site 'e-Notification'». 13. Suite à cet e-mail du 29 mai 2019 envoyé à tous les soumissionnaires, ces derniers ont eu l'occasion de remettre une nouvelle offre – qui constitue, pour EURO FIDES et MODERO, une offre intermédiaire (cf. pièces nos 8.b. et 9.b.) et, pour les autres, une offre finale/BAFO. Ces nouvelles offres ont été évaluées par la partie adverse par rapport aux exigences de sélection qualitative, à leur régularité et aux critères d'attribution. Sur base de cette analyse, un rapport intermédiaire d'analyse des offres, incluant une première analyse de la régularité des offres et une cotation de celles-ci par rapport aux critères d'attribution, a été rédigé par la partie adverse (cf. pièce n° 13.a, annexe 1 – rapport intermédiaire), et ce afin de donner suite à la procédure, conformément à ce qui était prévu dans le CSC («En fonction de la teneur des offres, Vivaqua se réserve le droit (…) d'établir une 'shortlist' des soumissionnaires invités à poursuivre les négociations, après une première évaluation du marché» – point 3.8). 14. En date du 11 juin 2019, la partie requérante a remis une offre finale/BAFO, datée du 7 juin (cf. pièce n° 10.b). Dans son offre, la partie requérante a clairement exprimé sa volonté de ne pas régulariser son offre en ce qui concerne l'irrégularité relevée ci-dessus, en lien avec le RGPD. VIexturg - 21.642 - 8/31 1.3 Négociation avec la «short-list» de trois soumissionnaires, invitation à remettre une offre finale/BAFO et classement définitif des offres 15. Sur cette base, le rapport intermédiaire a conduit, conformément aux prescriptions du CSC, à l'établissement d'une «short-list» de trois soumissionnaires invités à négocier et à remettre une offre finale («BAFO», Best and final offer), à savoir les soumissionnaires suivants : • EURO FIDES; • MODERO; • INTERMEDIANCE. 16. EUROS FIDES et MODERO ont, contrairement à INTERMEDIANCE, remis une nouvelle offre dans le délai imparti (cf. pièces n° 8.c. et 9.c.). Sur base des dernières adaptations et précisions apportées par ces soumissionnaires à leur offre, la partie adverse a procédé au classement final des offres, qui se lit comme suit : # Classement Soumissionnaires 1 EURO FIDES 2 MODERO 3 INTERMEDIANCE 4 MICHEL LEROY - SOCIETE MOMENTANEE LEROY-EXELIA 5 G. DE WILDE 6 GEERT VAN GRIEKEN 7 HUGEBRU 8 IURIS LINK 9 LEGAL RECOVERY 10 FLANDERIJN INCASSO 17. L'offre de la partie requérante, Venturis, n'a pas été analysée au regard des critères d'attribution du marché – et n'est donc pas reprise dans le classement ci-dessus – car elle a été déclarée irrégulière substantiellement et donc écartée par la partie adverse, et ce pour les deux motifs suivants (cf. infra) : - non-conformité de son offre à l'article 2.7.2. du CSC et à l'article 12 des annexes 7 et 8 (première irrégularité substantielle); - irrégularité de son offre en raison de la contradiction, constatée par la partie adverse dans le cadre de l'évaluation du critère d'attribution «qualité de l'équipe proposée», entre le nombre d'équivalents temps-plein renseigné dans son offre finale/BAFO (15 ETP) et la justification de ses coûts de laquelle il ressort qu'un nombre largement inférieur aux 15 ETP renseigné substantielle). L'extrait du rapport d'attribution qui a été communiqué à Venturis, détaillant les motifs de son éviction, se lit comme suit (cf. pièce n° 13.a, pp. 3 à 5) : 2. Irrégularités substantielles de l'offre de venturis Il ressort de l'examen des offres que l'offre de la société VENTURIS présente des irrégualirtés substantielles au sens de l'article 74 de l'arrêté royal du 18/06/2017 relatif à la passation des marchés publics dans les secteurs spéciaux. VIexturg - 21.642 - 9/31 Ces irrégularités sont les suivantes : 1) Non-conformité à l'article 2.7.2 du cahier spécial des charges et à l'article 12 des annexes 7 et 8 (contrats relatifs au traitement des données à caractère personnel) L'article 2.7.2 du cahier spécial des charges prévoit ceci : «(…) L'adjudicataire ne transférera pas de données à caractère personnel en dehors de l'UE et empêchera l'accès aux données à caractère personnel à partir d'un pays n'appartenant pas à l'UE, à l'exception de pays qui assurent un niveau de protection adéquat des données suivant une décision d'adéquation de la Commission européenne. Les soumissionnaires mentionneront clairement dans leur offre si un tel transfert est envisagé et, le cas échéant, y joindront la décision d'adéquation susvisée (…)». L'article 12 des annexes 7 et 8 prévoit ceci : «(…) Article 12 : Transfert en dehors de l'UE L'Adjudicataire ne transférera pas de données à caractère personnel en dehors de l'UE et empêchera l'acès aux données à caractère personnel à partir d'un pays n'appartenent pas l'UE, à l'exception de pays qui assurent un niveau de protection adéquat des données suivant une décision d'adéquation de la Commission européenne. L'Adjudicataire en informera au préalable VIVAQUA. (…)». Le soumissionnaire ne remplit pas cette obligation. En effet, il mentionne clairement dans son offre que, dans la phase de recouvrement amiable, sa filiale VENTURIS Tunisie prend en charge le traitement humain des dossiers, en ce compris l'activité Call Center - Contact Center et Black Office Center. Ce traitement implique incontestablement qu'il y ait transfert de données à caractère personnel (identité des débiteurs, adresse postale, adresse mail, numéro de téléphone,…) et/ou accès à celle-ci en Tunisie, pays n'ayant pas fait l'objet d'une décision d'adéquation de la Commission européenne à la date de la remise de l'offre. Pour pouvoir faire les tâches annoncées dans l'offre, il faut en effet pouvoir visualiser les données existantes des débiteurs (ce qui suppose y avoir accès). A cela s'ajoute le traitement des enregistrements des conversations téléphoniques (cfr. page 66 de l'offre), qui constituent également des données à caractère personnel. Il s'agit incontestablement d'une irrégularité substantielle car elle concerne une exigence substantielle clairement indiquée comme telle dans le cahier spécial des charges (le Conseil d'État a d'ailleurs jugé récemment qu'il était légitime de déduire du surlignement en gras d'une exigence par le pouvoir adjudicateur dans son cahier spécial des charges que ce dernier accordait à l'exigence concernée une importance essentielle et que le pouvoir adjudicateur ne commettait dès lors pas d'erreur manifeste d'appréciation en considérant qu'une offre qui n'était pas conforme à l'exigence en question était affectée d'une irrégularité substantielle. Voy. à cet égard : C.E., 31/07/2018, n° 242.166) et donnant de surcroît un avantage discriminatoire au soumissionnaire, en lui permettant d'exécuter le marché à des prix sensiblement inférieurs à ceux des autres soumissionnaires concernés, vu le niveau des salaires pratiqués en Tunisie et attestés par les justificatifs fournis par le soumissionnaire en vue de la vérification des prix. Interpellé sur l'irrégularité de son offre sur ce point, le soumissionnaire a refusé de la revoir et a fait valoir divers arguments pour justifier sa position, en annonçant que toute décision d'irrégularité de son offre serait elle-même considérée comme irrégulière à ses yeux. VIexturg - 21.642 - 10/31 Il ressort de l'analyse de VIVAQUA que les arguments de VENTURIS ne peuvent être retenus. Pour des raisons de confidentialité et, notamment, de protection des intérêts commerciaux du soumissionnaire, les arguments soulevés par VENTURIS et les réponses de VIVAQUA détaillés ci-dessous sont repris dans l'annexe 5 du présent rapport, qui ne sera communiquée qu'à VENTURIS. 2) Prix non valablement justifié En vue de la cotation du critère d'attribution «qualité de l'équipe proposée», il était demandé aux soumissionnaires de renseigner «le nombre de personnes équivalents temps-plein (ETP) qui seront spécifiquement dédicacées pour VIVAQUA à la gestion de la phase amiable

(1)et des audiences judiciaires

(2), avec identification des postes repris dans la justification des prix et sur lesquels le coût de ces personnes s'impute» (extrait du mail du 29/05/2019). Dans sa réponse du 11/06/2019, VENTURIS indique ceci en page 5 : «Notre Forecast en termes de mise à disposition de Ressources Humaines pour la Phase Amiable repose sur 15 ETP spécifiquement dédicacés et formés aux spécificités du marché. (…).» Or, dans le cadre de la justification du coût de traitement d'un dossier amiable, VENTURIS détermine le coût humain annuel de traitement des dossiers à un montant XXXX largement inférieur au coût de 15 personnes équivalents temps plein. En effet, il ressort des fiches salariales transmises avec l'offre que ce montant couvre en réalité uniquement la moitié du salaire annuel d'un agent chargé du recouvrement dans la filiale tunisienne XXXX soit 0,5 ETP. Le nombre de personnes spécifiquement dédicacées à l'exécution du marché faisant l'objet d'une évaluation dans le cadre des critères d'attribution du marché, il s'agit d'un élément dont la réalité doit absolument pouvoir être confirmée dans le cadre de la vérification des prix, et ce d'autant plus que le prix remis par VENTURIS pour ce poste est près de 4 fois inférieur à la moyenne des offres. Ceci risquerait en outre de poser des difficultés en cours d'exécution puisque l'engagement sur le nombre d'ETP dédicacés au marché et leur corrélation avec les prix du soumissionnaire n'est pas clair. L'offre de VENTURIS est dès lors irrégulière substantiellement sur ce point également. Compte tenu de ces irrégularités substantielles qui précèdent et de la volonté clairement exprimée par VENTURIS de ne pas régulariser son offre en ce qui concerne la première d'entre elles, il a été décidé de ne plus poursuivre les négociations avec ce soumissionnaire et de ne pas procéder à la cotation de son offre ».

Par e-mail et courrier recommandé du 28 octobre 2019, la partie adverse a notifié à la partie requérante la décision motivée d'écarter son offre pour irrégularité substantielle et d'attribuer le marché à un autre soumissionnaire, la société EURO FIDES (pièce n° 14). Il s'agit de l'acte attaqué (pièce n° 13)". IV. Premier moyen IV.
Thèse de la requérante La requérante soulève un premier moyen, qu'elle expose comme suit : VIexturg - 21.642 - 11/31 " Pris de la violation des articles 10 et 11 de la Constitution, des articles 4, 83, 84 et 159 de la loi du 17 juin 2016 relative aux marchés publics, de l'article 29/1 de la loi du 17 juin 2013 relative à la motivation, à l'information et aux voies de recours en matière de marchés publics, de certains marchés de travaux, de fournitures et de services et de concessions, des articles 44 et 74 de l'arrêté royal du 18 juin 2017 relatif à la passation des marchés publics dans les secteurs spéciaux , du cahier spécial des charges, des principes de bonne administration et en particulier, du devoir de minutie, du principe d'égalité et de concurrence entre soumissionnaires, du principe de transparence et du principe patere legem quam ipse fecisti, ainsi que de l'absence de motifs, de l'erreur de fait, de l'erreur manifeste d'appréciation et de l'excès de pouvoir; En ce que, première branche, la partie adverse, a modifié les documents du marché en supprimant le dernier paragraphe de l'article 2.7.2 du cahier spécial des charges après le dépôt des offres, avantageant de ce fait certaines offres au détriment d'autres offres; Que, deuxième branche, la partie adverse a déclaré l'offre de la requérante nulle au motif qu'elle méconnaitrait une exigence substantielle du cahier spécial des charges en ce qu'elle serait non-conforme à l'article 2.7.
du cahier spécial des charges et à l'article 12 des annexes 7 et 8, et au motif qu'elle donnerait un avantage discriminatoire à la requérante en lui permettant d'exécuter le marché à des prix sensiblement inférieurs à ceux des autres soumissionnaires concernés; que la partie adverse a par ailleurs considéré que le prix proposé par la requérante dans son offre n'était pas valablement justifié, entrainant l'irrégularité de l'offre soumise par la requérante, la partie adverse ayant en effet estimé que «l'engagement sur le nombre d'ETP dédicacés au marché et leur corrélation avec les prix du soumissionnaire n'est pas clair»; Alors que, première branche, l'autorité adjudicatrice doit vérifier la conformité des offres déposées aux conditions du cahier spécial des charges; qu'elle est tenue par les règles qu'elle a elle-même fixées, même dans une procédure négociée; que dans ce cadre, elle doit veiller à élaborer un cahier des charges clair et sans ambiguïté; que, selon la jurisprudence constante du Conseil d'État, qu'elle que soit la liberté dont l'autorité adjudicatrice jouit dans la définition des critères d'attribution, ceux-ci doivent être formulés d'une manière telle que tous les soumissionnaires raisonnablement informés et normalement soigneux doivent être en état de les interpréter de la même manière; que la modification des exigences du marché, intervenue après la soumissions et l'examen des offres, emporte une violation du principe d'égalité; que le seul fait que les règles modifiées aient été appliquées de la même manière à l'égard de tous les soumissionnaires, n'exclut pas que l'application de ces nouvelles règles, au lieu de celles initialement prévues, ait pu avoir un effet discriminatoire à l'encontre de certains soumissionnaires; Et alors que, deuxième branche, les prétendues irrégularités dénoncées par la partie adverse ne sont pas des irrégularités substantielles; que la partie adverse ne pouvait dès lors déclarer l'offre nulle sur cette base; qu'en tout état de cause, les motifs invoqués par la partie adverse pour justifier sa décision sont insuffisants et ne permettent pas de démontrer le caractère substantiel des irrégularités qu'elle dénonce; que la partie adverse n'a manifestement pas tenu compte des explications et justifications apportées à sa demande par la partie requérante le 7 juin 2019; qu'il appartenait pourtant de procéder à une analyse et à une comparaison minutieuse de toutes les offres. Développements
Quant à la première branche
La suppression du dernier paragraphe de l'article 2.7.
du cahier spécial des charges après le dépôt des offres implique l'interdiction du transfert de données à VIexturg - 21.642 - 12/31 caractère personnel en dehors de l'Union européenne et donc, le recours à des sous-traitants établis en dehors de l'Union européenne, ce qui était pourtant autorisé, aux conditions précisées à l'article 2.7.2 lors du dépôt des offres. Cette suppression aboutit de facto à modifier la méthodologie proposée par les soumissionnaires, s'agissant d'un critère d'attribution du marché pondéré à 30 points, ainsi que, de manière implicite mais certaine, le critère d'attribution relatif à la qualité de l'équipe proposée tel que décrit aux documents de marché et pondéré à 10 points.
De ce fait, la partie adverse viole manifestement les principes applicables en matière de marché public et notamment, les principes de transparence et d'égalité entre les soumissionnaires ainsi que le principe patere legem quam ipse fecisti. Selon la jurisprudence du Conseil d'État en effet, «Le pouvoir adjudicateur viole le principe d'égalité, le principe de transparence et le principe patere legem s'il analyse les offres en donnant du cahier spécial des charges une interprétation imprévisible, qui pénalise certaines offres» (C.E., 26 février 2014, n° 226.565).
S'il est admis, dans le cadre de marchés publics de secteurs spéciaux, que le pouvoir adjudicateur, dans le cadre d'une procédure négociée, peut effectivement négocier, dans une certaine mesure, les éléments définis dans les documents du marché, le Conseil d'État a déjà pu rappeler, sous l'empire de l'ancienne législation, qu'il n'en reste pas moins que le pouvoir adjudicateur est tenu de respecter les principes d'égalité et de transparence, de même que les règles essentielles qu'il s'est lui-même fixées dans l'avis de marché et dans le cahier spécial des charges, étant entendu à ce sujet que les conditions initiales du marché ne s'en trouvent pas substantiellement modifiées (C.E., 3 juin 2016, n° 234.930, s.a. AVK Belgium). Force est de constater qu'en l'espèce, la partie adverse a, par la modification apportée après le dépôt des offres à l'article 2.7.2 du cahier spécial des charges, manifestement méconnu ces principes.
Quant à la deuxième branche
En vertu de l'article 74, § 1er de l'arrêté royal du 18 juin 2017 relatif à la passation des marchés publics dans les secteurs spéciaux, constitue une irrégularité substantielle «celle qui est de nature à donner un avantage discriminatoire au soumissionnaire, à entraîner une distorsion de concurrence, à empêcher l'évaluation de l'offre du soumissionnaire ou la comparaison de celle-ci aux autres offres, ou à rendre inexistant, incomplet ou incertain l'engagement du soumissionnaire à exécuter le marché dans les conditions prévues». Selon la même disposition, sont notamment réputées substantielles les irrégularités suivantes : «1° le non-respect du droit environnemental, social ou du travail, pour autant que ce non-respect soit sanctionné pénalement; 2° le non-respect des exigences visées aux articles 46, 50, 51, § 1er, 52, 56, § 2, alinéa 1er, 61, § 2, 62, 81 et 89 du présent arrêté et par l'article 14 de la loi, pour autant qu'ils contiennent des obligations à l'égard des soumissionnaires; 3° le non-respect des exigences minimales et des exigences qui sont indiquées comme substantielles dans les documents du marchés». Face à une irrégularité substantielle, l'entité adjudicatrice a la possibilité, en vertu de l'article 74, § 5, de l'arrêté royal du 18 juin 2017, de déclarer l'offre nulle ou de la régulariser, sachant qu'il lui appartient, d'abord et avant tout, de démontrer et de justifier concrètement les raisons pour lesquelles l'irrégularité d'une offre devrait être considérée comme «substantielle».
En l'espèce, l'exigence de ne pas transférer de données à caractère personnel en VIexturg - 21.642 - 13/31 dehors de l'Union européenne et d'empêcher l'accès aux données à caractère personnel à partir d'un pays n'appartenant pas à l'Union européenne, à l'exception de pays qui assurent un niveau de protection adéquat des données suivant une décision d'adéquation de la Commission européenne, ne peut être qualifiée de condition essentielle du marché dont le non-respect constituerait une irrégularité substantielle. Contrairement à ce qu'affirme la partie adverse dans l'acte attaqué, il ne s'agit nullement d'une «exigence substantielle clairement indiquée comme telle dans le cahier spécial des charges». Il n'est en effet nulle part fait mention du caractère «substantiel» de cette exigence, aucun adjectif ou adverbe ne lui donnant une portée "essentielle", tandis qu'elle n'est pas prescrite à peine de nullité. Au contraire, la simple lecture des termes de l'article 2.7 du Cahier spécial des charges permet de le constater, puisqu'il y est précisé que «Les principales obligations du sous-traitant dans le cadre du contrat de sous-traitance sont précisées pour information ci-dessous» […]. Ce n'est donc qu'à titre de simple «information» que ces obligations sont énoncées, tandis qu'il est, en substance, renvoyé au contrat de sous-traitance repris à l'annexe 7, que le sous-traitant ne doit s'engager à signer qu'«en cas d'attribution du marché». À cet égard, le simple fait qu'il soit indiqué, en caractères gras, que les soumissionnaires doivent mentionner dans leur offre si un transfert de données est envisagé et de joindre, le cas échéant, la décision d'adéquation, ne suffit pas à pouvoir conclure que le non-respect de l'exigence reprise à l'article 2.7.2 serait une irrégularité substantielle. Tout au plus peut-on y déceler la volonté de la partie adverse d'attirer l'attention des soumissionnaires sur ce qui est plus spécifiquement attendu d'eux dans le cadre de la remise de leur offre, puisque toutes les considérations qui précèdent concernent en réalité le «sous-traitant», soit «l'adjudicataire», et non directement aux soumissionnaires. En tout état de cause, les termes de l'article 74 de l'Arrêté royal du 18 juin 2017 précité sont clairs et précisent que «sont réputées substantielles (…) le non-respect des exigences minimales et des exigences qui sont indiquées comme substantielles dans les documents du marché» (nous soulignons). À cet égard, il est précisé, dans le rapport au Roi concernant l'Arrêté royal du 17 avril 2017 relatif à la passation des marchés publics dans les secteurs classiques, au sujet de l'article 76 constituant le pendant de l'article 74 précité pour les secteurs classiques, qu'«Il faut également entendre par "irrégularité substantielle", le non-respect des exigences minimales et des exigences annoncées comme substantielles dans les documents du marché» […]. Force est de constater que tel n'est pas le cas en l'espèce pour ce qui concerne les exigences de la partie adverse en matière de protection des données.
C'est en outre à tort que la partie adverse affirme que le prix de l'offre soumise par la partie requérante ne serait pas valablement justifié. Il est en effet expressément spécifié, dans l'offre, le nombre d'ETP spécifiquement dédiés au marché, tout en étant précisé que cette mise à disposition, bien que spécifiquement dédiée, n'est pas exclusivement dédiée au marché. Cet état de fait est réexpliqué à l'occasion des justifications complémentaires apportées par la partie requérante suite à l'interpellation de la partie adverse à ce sujet, plus particulièrement sous le titre «À. Précisions générales» et le sous-titre «
Méthodologie de cotation des offres» (voy. p. 5 du BAFO Venturis du 7 juin 2019). La partie requérante y rappelle le nombre d'ETP spécifiquement dédicacés et formés aux spécificités du marché, susceptibles de prendre en charge les besoins VIexturg - 21.642 - 14/31 du marché, étant précisé qu'en dehors des sollicitations imposées par les évènements intervenants au cours de la journée, les agents peuvent être amenés à accomplir d'autres tâches pour d'autres clients. Il est ensuite précisé le temps passé par dossier par chaque ETP mis à disposition du marché. La justification de prix ainsi apportée par la partie requérante, déjà reprise dans son offre initiale, détermine le coût de traitement humain d'un dossier, qui est en adéquation avec le prix proposé par la partie requérante. Ces explications apportent tous les éclaircissements nécessaires à la compréhension du prix proposé par la partie requérante. Il est par conséquent tout à fait inexact d'affirmer, comme la partie adverse dans l'acte attaqué, que «l'engagement sur le nombre d'ETP dédicacés au marché et leur corrélation avec les prix du soumissionnaire n'est pas clair» et de conclure, suite à ce constat, à l'irrégularité substantielle de l'offre de la partie requérante, sans tenir compte des explications claires de la partie requérante reprises tant dans l'offre initiale que dans l'offre finale.
Il faut donc constater que c'est à tort que la partie adverse a écarté l'offre de la partie requérante au motif que celle-ci était irrégulière et a, de ce fait, violé le principe d'égalité entre candidats soumissionnaires, le principe de transparence et le principe Patere legem quam ipse fecisti.
Le moyen est par conséquent sérieux en ses deux branches". IV.
Appréciation du Conseil d'État Quant à la première branche En sa première branche, le moyen soutient que la partie adverse a, après le dépôt des offres, "modifié les documents du marché en supprimant le dernier paragraphe de l’article 2.7.2 du cahier spécial des charges" et estime en substance que, ce faisant, elle a méconnu le principe Patere legem quam ipse fecisti, ainsi que les principes d'égalité et de transparence. Répondant à cette première branche du moyen, la partie adverse soutient, à titre principal, que, se bornant à corriger une contradiction dans son cahier spécial des charges, elle n’a pas modifié celui-ci. A titre subsidiaire, elle fait valoir qu’en tout état de cause, elle était en droit de modifier son cahier spécial des charges en cours des négociations, après le dépôt des offres initiales. Sauf à considérer que la "clarification" apportée à l’article 2.7.2 du cahier spécial des charges dans la version "maart 2019" (soit la pièce 7.b du dossier administratif) était vouée à n’avoir d’autre effet que celui d’induire les soumissionnaires potentiels en erreur, il doit être admis qu’au travers de ce qui est présenté comme un "rappel" ("Dans ce cadre, il est rappelé aux soumissionnaires…"), la partie adverse a voulu préciser la portée de l’exception à l’interdiction de transfert en dehors de l’Union européenne, telle qu'elle la concevait, laissant ainsi entendre que VIexturg - 21.642 - 15/31 – nonobstant les termes de l'article 2.7.2 du cahier spécial des charges et de l'article 12 du contrat relatif au traitement des données à caractère personnel (entre le responsable du traitement et le sous-traitant) (ci-après désigné le "contrat") (annexe 7 au cahier spécial des charges) – cette exception valait non seulement pour les pays bénéficiant d'une décision d'adéquation au sens de l'article 45 du Règlement général sur la protection des données (ci-après désigné "R.G.P.D."), mais également dans l’hypothèse où serait invoquée une possibilité de transfert en vertu de l'article 46 de ce même règlement. Au regard du complément ainsi apporté à l’article 2.7.2 dans la version "Maart 2019" et de l’interprétation qu’il a pu favoriser, la suppression annoncée aux soumissionnaires en mai 2019 (soit après le dépôt des offres initiales) peut raisonnablement s’analyser – conformément à ce que suppose le premier moyen, en sa première branche – en une modification du cahier spécial des charges, décidée après le dépôt des offres. Dans les circonstances de l’espèce, ce que la partie adverse a annoncé, dans le courriel adressé à la requérante le 29 mai 2019, comme étant la suppression d’un paragraphe de l’article 2.7.2 du cahier des charges (présenté comme étant en contradiction avec l'article 12 du "contrat"), doit donc – pour les besoins de l’examen des griefs formulés au titre de la première branche du premier moyen – s’analyser en une modification des documents du marché, dans la mesure où le cahier des charges est bien modifié nonobstant le fait que l’article 12 du "contrat" n’a, quant à lui, formellement fait l'objet d'aucune modification. La modification invoquée par la requérante ne pouvant ainsi être exclue, les griefs formulés à son encontre doivent être examinés au regard des circonstances de l’espèce, d’une part, et de la portée qu’il y a lieu de reconnaître, en de telles circonstances, aux principes et dispositions dont la violation est invoquée par le moyen. Il n'est pas contesté que la modification du cahier spécial des charges invoquée par le moyen a été portée à la connaissance des soumissionnaires après la remise des offres initiales et que la partie adverse a simultanément offert à la requérante la possibilité de modifier son offre en conséquence. Cette modification apparaît ainsi s'inscrire dans le cadre de négociations entre la partie adverse et les soumissionnaires. Le cahier spécial des charges régit comme suit les négociations susceptibles d'être menées à la suite du dépôt des offres initiales: " 3.8 Négociations En fonction de la teneur des offres, VIVAQUA se réserve le droit VIexturg - 21.642 - 16/31 - de ne pas procéder à des négociations et d'attribuer le marché directement au soumissionnaire présentant l'offre la plus avantageuse, - de solliciter des soumissionnaires concernés une correction des irrégularités substantielles et/ou non substantielles de leur offre; - d'adapter le présent cahier spécial des charges sur certains oints et de reconsulter ensuite l'ensemble des soumissionnaires en vue de recevoir des offres adaptées, - d'établir une « short-list » des soumissionnaires invités à poursuivre les négociations, après une première évaluation du marché. Il appartient uniquement à VIVAQUA de solliciter ou non, auprès d'un, plusieurs ou l'ensemble des soumissionnaires, l'introduction d'une nouvelle offre après la date limite de réception des offres. Dans l'hypothèse où un soumissionnaire ne remettrait pas une offre adaptée dans el délai fixé par VIVAQUA dans le cadre des négociations, l'offre initiale ou précédente sera prise en considération en vue de l'évaluation de ce soumissionnaire". Le moyen n'élève aucune contestation à l'encontre de cette disposition et celle-ci ne paraît, prima facie, pas contraire aux dispositions législatives et réglementaires applicables à la procédure négociée avec mise en concurrence préalable, mode de passation choisi pour le marché litigieux. S'agissant du grief de violation du principe Patere legem quam ipse fecisti, dans le contexte d'un marché pour lequel le pouvoir adjudicateur dispose de la faculté d'adapter le cahier spécial des charges dans le cadre de négociations menées après le dépôt des offres initiales, une méconnaissance de ce principe ne peut être inférée du seul fait que de telles adaptations sont, comme en l'espèce, survenues dans le cadre de ces négociations. Par ailleurs, et dès lors que la modification du cahier spécial des charges contestée par le moyen paraît – à la faveur d'un examen effectué en extrême urgence – résulter de l'exercice de la faculté d'adaptation du cahier spécial des charges et qu'il n'apparaît pas – et n'est d'ailleurs pas soutenu – qu'en usant de cette faculté, la partie adverse aurait appliqué irrégulièrement la clause du cahier spécial des charges "3.8 Négociations", le grief n'est pas sérieux en tant qu'il invoque une violation du principe Patere legem quam ipse fecisti. En ce qui concerne l'atteinte alléguée aux principes d'égalité et de transparence, et s'il faut admettre qu'une modification – après le dépôt des offres initiales – de certaines conditions du marché préalablement annoncées puisse convenir à certains des soumissionnaires tandis qu'elle en contrarie d'autres, le seul fait de cette modification ne suffit pas à révéler une atteinte aux principes précités lorsque la faculté de modification est précisément reconnue au pouvoir adjudicateur dans le cadre des négociations qu'il peut mener avec les soumissionnaires. En l'espèce, une telle atteinte n'est, prima facie, pas avérée au vu de la circonstance que la partie adverse a, conformément au point 3.8 du cahier spécial des charges précité, VIexturg - 21.642 - 17/31 invité le requérant à adapter son offre en connaissance de cause à la suite de la rectification du cahier spécial des charges. Le moyen ne peut être déclaré sérieux en sa première branche. Quant à la deuxième branche En sa deuxième branche, le moyen reproche en substance à la partie adverse d'avoir considéré comme affectée d'irrégularités substantielles l'offre de la requérante, aux motifs, d'une part, de la non-conformité de l'offre de celle-ci à l'article 2.7.2 du cahier spécial des charges et à l'article 12 du "contrat" et, d'autre part, de ce que le prix proposé par la requérante ne serait pas valablement justifié. L'article 74 de l'arrêté royal du 18 juin 2017 relatif à la passation des marchés publics dans les secteurs spéciaux est libellé comme suit: " § 1er. L'entité adjudicatrice vérifie la régularité des offres. L'offre peut être affectée d'une irrégularité substantielle ou non substantielle. Constitue une irrégularité substantielle celle qui est de nature à donner un avantage discriminatoire au soumissionnaire, à entraîner une distorsion de concurrence, à empêcher l'évaluation de l'offre du soumissionnaire ou la comparaison de celle-ci aux autres offres, ou à rendre inexistant, incomplet ou incertain l'engagement du soumissionnaire à exécuter le marché dans les conditions prévues. Sont réputées substantielles notamment les irrégularités suivantes : 1° le non-respect du droit environnemental, social ou du travail, pour autant que ce non-respect soit sanctionné pénalement; 2° le non-respect des exigences visées aux articles 46, 50, 51, § 1er, 52, 56, § 2, alinéa 1er, 61, § 2, 62, 81 et 89 du présent arrêté et par l'article 14 de la loi, pour autant qu'ils contiennent des obligations à l'égard des soumissionnaires; 3° le non-respect des exigences minimales et des exigences qui sont indiquées comme substantielles dans les documents du marché. §
L'offre qui n'est affectée que d'une ou de plusieurs irrégularités non substantielles qui, même cumulées ou combinées, ne sont pas de nature à avoir les effets visés au paragraphe 1er, alinéa 3, n'est pas déclarée nulle. §
Lorsqu'il est fait usage d'une procédure ouverte ou restreinte, l'entité adjudicatrice déclare nulle l'offre affectée d'une irrégularité substantielle. Ceci est également le cas pour l'offre qui est affectée de plusieurs irrégularités non substantielles qui, du fait de leur cumul ou de leur combinaison, sont de nature à avoir les effets visés au paragraphe 1er, alinéa
§
Sans préjudice de l'article 121, § 6, alinéa 2, de la loi, le présent paragraphe s'applique à la vérification de la régularité des offres autres que les offres finales, pour les marchés dont le montant estimé est égal ou supérieur au seuil fixé pour la publicité européenne et pour lesquels il est fait usage d'une procédure permettant une négociation. Lorsqu'il s'agit d'une offre finale, le paragraphe 3 s'applique. Lorsqu'une offre comporte plusieurs irrégularités non substantielles qui du fait de leur cumul ou de leur combinaison, sont de nature à avoir les effets visés au VIexturg - 21.642 - 18/31 paragraphe 1er, alinéa 3, l'entité adjudicatrice offre au soumissionnaire la possibilité de régulariser ces irrégularités avant d'entamer les négociations. L'entité adjudicatrice déclare nulle l'offre affectée d'une irrégularité substantielle, sauf disposition contraire dans les documents du marché. Dans ce dernier cas, elle donne la possibilité au soumissionnaire de régulariser cette irrégularité avant d'entamer les négociations, à moins que l'entité adjudicatrice n'ait indiqué à propos de ladite irrégularité qu'elle ne peut faire l'objet d'une régularisation. §
Sans préjudice du paragraphe 2 et de l'article 121, § 6, alinéa 2, de la loi, le présent paragraphe s'applique à la vérification de la régularité des offres, pour les marchés dont le montant estimé est inférieur au seuil fixé pour la publicité européenne et pour lesquels il est fait usage d'une procédure permettant une négociation. L'entité adjudicatrice décide soit de déclarer nulle l'offre affectée d'une irrégularité substantielle, soit de faire régulariser cette irrégularité. Il en va de même si l'offre est affectée de plusieurs irrégularités non substantielles lorsque celles-ci, du fait de leur cumul ou de leur combinaison, sont de nature à avoir les effets visés au paragraphe 1er, alinéa 3". S'agissant des exigences relatives à l'application du R.G.P.D. – et sans qu'il soit nécessaire de déterminer si elles peuvent, ou non, être considérées comme ayant été "indiquées comme substantielles dans les documents du marché", il suffit de constater que la limitation contestée des possibilités de transfert de données à caractère personnel vers des pays tiers est imposée par l'article 12 du "contrat". Cette limitation est donc fixée au titre du contrat relatif au traitement des données à caractère personnel que la requérante s'engageait – par le dépôt de son offre – à respecter en cas d'attribution du marché. Comme l'a relevé la partie adverse, il doit être déduit des termes de l'offre finale déposée par la requérante, et après que celle-ci ait été invitée à adapter son offre initiale pour se conformer aux exigences que la partie adverse entendait imposer en matière d'application du R.G.P.D., plus particulièrement pour ce qui concerne les transferts vers des pays tiers, que la requérante n'entendait pas modifier son offre sur ce point. En refusant de modifier son offre initiale, la requérante faisait nécessairement surgir un doute quant à son engagement à respecter l'article 12 du "contrat" en cas d'attribution du marché litigieux, de sorte que la méconnaissance de l'exigence relative au transfert de données vers des pays tiers paraît, prima facie, être de nature à rendre incertain l'engagement de la requérante à exécuter le marché dans les conditions prévues. Dans ces circonstances, ne parait pas sérieux le grief du moyen, relatif à la qualification d'irrégularité substantielle qu'a retenue la partie adverse pour la non-conformité de l'offre de la requérante à l'article 2.7.2 du cahier spécial et à l'article VIexturg - 21.642 - 19/31 12 du "contrat". Dès lors que ce premier chef d'irrégularité substantielle suffit, prima facie, à justifier la décision d'évincer la requérante, il n'y a pas lieu d'examiner le grief formulé contre le deuxième chef d'irrégularité substantielle. Le moyen ne peut être déclaré sérieux en sa deuxième branche. V. Deuxième moyen V.
Thèse de la requérante La requérante soulève un premier moyen, qu'elle expose comme suit : " Pris de la violation des articles 10 et 11 de la Constitution, de l'article 4 de la loi du 17 juin 2016 relative aux marchés publics, des articles 28 et 44 à 50 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (Règlement général sur la protection des données – R.G.P.D.), des principes de primauté et d'effectivité du droit européen, des principes de bonne administration et en particulier, du devoir de minutie, des principes d'égalité, de non-discrimination et de proportionnalité, ainsi que de l'absence de motifs, de l'erreur manifeste d'appréciation et de l'excès de pouvoir; En ce que la partie adverse a, après le dépôt des offres, modifié le cahier spécial des charges pour supprimer le dernier paragraphe de l'article 2.7.2, lequel autorisait le transfert de données en dehors de l'Union européenne même vers un pays ne figurant pas sur la liste d'adéquation de la Commission européenne si des garanties appropriées quant au transfert et au traitement des données sont prévues dans les conditions de l'article 46 du R.G.P.D.; Alors que l'autorité adjudicatrice ne peut, pour effectuer ses choix, prendre en compte que des éléments légaux, admissibles et pertinents; qu'en l'espèce le refus de la partie adverse de prendre en considération les exceptions prévues aux articles 46 et 49 du R.G.P.D. est contraire à la règlementation européenne en matière de protection des données; que l'exigence de la partie adverse de n'admettre que le transfert de données vers des pays situés en dehors de l'Union européenne si et seulement si ceux-ci bénéficient d'une décision d'adéquation, contrairement à ce que permet le droit de l'Union, n'est pas justifié et en tout état de cause pas proportionné eu égard à l'objet du marché; que cette exigence crée par ailleurs une discrimination injustifiée entre soumissionnaires. Développements
En vertu du droit de l'Union européenne, le transfert de données à caractère personnel à l 'étranger peut reposer sur une «décision d 'adéquation» de la Commission, établissant qu 'un pays tiers fournit un niveau de protection des données qui est «substantiellement équivalent» à celui g aranti au sein de l'Union européenne. Une telle décision permet la libre circulation des données à caractère personnel vers ce pays tiers sans que l'exportateur des données n 'ait à fournir des garanties supplémentaires ou à obtenir une quelconque autorisation (COM

(2017)7 final, Communication de la Commission au Parlement européen et au Conseil sur l'échange et la protection de données à caractère personnel à l'ère de la mondialisation, 10 janvier 2017, p. 4). Conformément à l 'article 45, paragraphe 2 du R.G.P.D., dans le cadre de son évaluation d'adéquation, la Commission doit notamment tenir compte de l'état de VIexturg - 21.642 - 20/31 droit, du respect des droits de l'homme et des libertés fondamentales, de la législation pertinente, y compris en ce qui concerne la protection des données, la sécurité publique, la défense, la sécurité nationale et le droit pénal ainsi que de l'accès des autorités publiques aux données à caractère personnel. Ceux-ci doivent reposer sur des droits effectifs et opposables, y compris les recours administratifs et judiciaires que peuvent introduire les personnes concernées, et sur le fonctionnement effectif d'une autorité de contrôle indépendante chargée d'assurer le respect des règles en matière de protection des données et de les faire appliquer. L'adhésion à des conventions juridiquement contraignantes , en particulier la Convention n° 108 du Conseil de l'Europe, et la participation à des systèmes multilatéraux ou régionaux de protection des données, seront également prises en compte. Les décisions d'adéquation visent à éviter tout formalisme contractuel dans le cadre des échanges avec les pays qui en bénéficient et ainsi faciliter les échanges, notamment commerciaux, avec ces pays. Actuellement, seuls treize pays bénéficient d'une décision d'adéquation de l'Autorité de protection des données européenne. Ces pays sont soit étroitement intégrés dans l'Union européenne et ses Etats membres (Suisse, Andorre, Iles Féroé, Guernesey, Jersey, Ile de Man), soit d'importants partenaires commerciaux (Argentine, Canada, Israël, Etats-Unis, Japon), soit encore des pays jouant un rôle précurseur dans l'élaboration de lois en matière de protection des données dans leurs régions respectives (Nouvelle Zélande, Uruguay) (COM

(2017)7 final, Communication de la Commission au Parlement européen et au Conseil sur l'échange et la protection de données à caractère personnel à l'ère de la mondialisation, 10 janvier 2017, p. 7). En l'absence de décision d'adéquation, les transferts internationaux restent possibles moyennant la présentation de garanties supplémentaires, parmi lesquelles les clauses contractuelles types (CCT) et les règles d'entreprise contraignantes (REC) (art. 46 du R.G.P.D.). Par exemple, des CCT peuvent être insérées dans un contrat conclu entre des sous-traitants de l'Union européenne et des sous-traitants d'un pays tiers (les clauses types «de sous -traitant à sous-traitant») (COM

(2017)7 final, Communication de la Commission au Parlement européen et au Conseil sur l'échange et la protection de données à caractère personnel à l'ère de la mondialisation, 10 janvier 2017, p. 5). Les CCT permettent au responsable de traitement ou au sous-traitant d'offrir, par la voie contractuelle, une protection appropriée. La protection des données est ainsi assurée au moyen d'un contrat liant celui qui envoie les données et celui qui les reçoit et contenant des garanties suffisantes au regard de la protection des données. 2. En l'espèce, la partie requérante a exposé, sous le titre XIV de son offre, intitulé «Mesures de protection des données à caractère privé – RGPD» l'ensemble des mesures prises pour respecter les exigences du marché en matière de protection des données. Elle a dans ce cadre expressément fait savoir qu'elle a conclu avec sa filiale des clauses contractuelles standards conformes aux clauses préconisées par la Commission européenne sous le modèle 2001/497/CE, et qu'une copie de ces clauses a été déposée à la C.P.V.P. le 14 mars 2012. Il ressort, notamment, de ces clauses qu'aucune donnée n'est ni enregistrée, ni conservée sur le territoire tunisien, mais que les données personnelles sont uniquement stockées sur des serveurs en Belgique, tandis qu'elles ne sont pas transférées vers la Tunisie, étant seulement consultables via un outil de lecture sécurisé en fonction des appels à traiter. La partie requérante précise par ailleurs avoir mis en place toute une série de dispositions techniques particulières visant à renforcer la sécurité et la confidentialité des données traitées, toutes énoncées dans son offre. La requérante précise, à cet égard, dans son offre, que l'ensemble de ses serveurs, applicatifs et bases de données sont hébergées sur le territoire de l'Union européenne, dans la solution Amazon Web Services (AWS), étant par ailleurs spécifié que le «Groupe de travail Article 29», créé en vertu de la directive 95/46/CE du Parlement européen et du Conseil relative à la protection des données et chargé d'harmoniser VIexturg - 21.642 - 21/31 l'application des règles de protection des données dans l'ensemble de l'Union européenne et de conseiller la Commission européenne quant à l'adéquation des normes de protection des données dans les pays non membres de l'Union européenne, a approuvé le contrat de traitement de données d'AWS qui comprend des clauses types, estimant que ce contrat respectait les exigences de la directive en ce qui concerne les clauses types. Il est en outre précisé que la Tunisie a ratifié, le 18 juillet 2017 le Traité n° 108 du Conseil de l'Europe, relatif à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, et que celui-ci est entré en vigueur le 1er novembre 2017 sur le territoire tunisien. Enfin, la partie requérante précise avoir récemment remporté l'attribution d'un marché de recouvrement de créances de la SNCB, dans le cadre duquel la C.P.V.P. a contrôlé la filiale Venturis à Tunis et a rendu un avis positif quant au respect, par Venturis et sa filiale, de la législation sur la protection des données à caractère privé, après avoir constaté que les deux entités offraient les garanties de sécurité nécessaires en la matière. La partie requérante produit par ailleurs un courrier, daté du 3 avril 2018, émanant de la C.P.V.P. et confirmant expressément que sur base des informations dont le Secrétariat de la Commission dispose, la conclusion par la SA Venturis et sa filiale tunisienne des clauses contractuelles types précitées permet «d'apporter les garanties de transferts actuellement exigées par l'article 22 de l'actuelle loi vie privée du 8 décembre 1992», et qu'en outre «une garantie supplémentaire est offerte suite au contrôle sur place effectué conjointement par la Commission vie privée et l'Autorité de protection des données tunisiennes le 7 septembre dernier, dans les locaux de la filiale tunisienne». 3. Au vu de l'ensemble de ces éléments, il est évident que la partie requérante a prouvé, dans son offre, qu'elle apporte toutes les garanties nécessaires quant au respect du R.G.P.D., sans que la production d'une décision d'adéquation ne soit nécessaire, et qu'elle satisfait de ce fait de manière équivalente aux exigences de la partie adverse en la matière. La partie adverse n'expose d'ailleurs pas, dans l'acte attaqué, en quoi les nombreuses garanties avancées par la partie requérante dans son offre ne permettraient pas de satisfaire ses exigences en matière de protection des données, alors même que la conclusion de clauses contractuelles standards est admise par les autorités européennes et que la C.P.V.P. a attesté du respect, par la s.a. Venturis et sa filiale tunisienne, de la règlementation en matière de protection des données. Force est de constater que la partie adverse ne justifie pas les restrictions strictes qu'elle impose dans le cadre du marché à cet égard, puisqu'elle invoque uniquement, dans l'annexe à l'acte attaqué le souci de «garantir le respect, par l'adjudicataire, du Règlement général sur la protection des données personnelles compte tenu du très grand nombre de données personnelles qui vont être traitées par l'adjudicataire et des sanctions sévères (jusqu'à 4 % du chiffre d'affaires) prévues par cette règlementation à charge des responsables de traitement des données en cas de manquement», et ce alors même que le R.G.P.D. autorise expressément, en son article 46, le transfert de données international moyennant d'autres garanties que les seules décisions d'adéquation. Il est en outre manifestement disproportionné, pour la partie adverse, d'exiger que les données des débiteurs ne soient accessibles qu'à partir du sol européen ou d'un pays ayant fait l'objet d'une décision officielle d'accréditation de la Commission européenne, en excluant les autres garanties pourtant admises par le R.G.P.D. Le choix de la partie adverse de n'accepter, comme garantie du respect de la protection des données, que les décisions d'adéquation est par ailleurs discriminatoire, puisqu'il crée une différence de traitement non justifié entre les VIexturg - 21.642 - 22/31 soumissionnaires qui soit ne transfèrent pas ou ne permettant pas l'accès aux données en dehors du territoire de l'Union européenne, soit transfèrent ou permettent l'accès à de telles données sur le territoire des rares pays tiers bénéficiant d'une décision d'adéquation, et les soumissionnaires qui transfèrent ou permettent l'accès à ces données en respectant les obligations et garanties prévues à l'article 46 du R.G.P.D., alors que ces soumissionnaires respectent tous les dispositions du R.G.P.D. et garantissent de manière équivalente la protection des données qui leur sont confiées. Ce faisant, la partie adverse oppose un refus contraire à l'article 46 du R.G.P.D. et à l'économie générale du R.G.P.D., directement applicable en droit belge. 4. Le moyen est sérieux". V.2. Appréciation du Conseil d'État En substance, la requérante fait grief à la partie adverse d’avoir, par l’article 2.7.2 du cahier spécial des charges (dans la version résultant de la modification survenue en mai 2019) et par l’article 12 du "contrat", limité, dans le cadre du marché litigieux, la possibilité de recours aux transferts admissibles de données vers des pays tiers aux seuls transferts à destination des pays pour lesquels existent des décisions d’adéquation prises par la Commission européenne, alors que d’autres transferts en dehors de l’Union européenne peuvent être autorisés, notamment en vertu des articles 46 et 49 du R.G.P.D., vers des pays pour lesquels (à l’instar de la Tunisie) n’existe pas une décision d’adéquation au sens de l’article 45 dudit règlement. Les dispositions précitées des documents du marché seraient, à l’estime de la requérante, contraires à celles du R.G.P.D. et, en les adoptant comme telles, la partie adverse aurait méconnu les principes et dispositions visés par le moyen. Celui-ci reproche, par ailleurs, à la partie adverse de ne pas avoir pris en considération les garanties offertes pas la requérante en dépit de ce qu’elle ne pouvait produire une décision d’adéquation en vue d’un transfert vers la Tunisie. Quant à la limitation du recours aux transferts de données à destination des pays tiers Tel qu’il résulte de sa modification survenue en mai 2019, l’article 2.7.2 du cahier spécial des charges du marché litigieux est libellé comme suit : " Le traitement aura toujours lieu exclusivement sur la base des instructions ou demandes écrites de VIVAQUA, auxquelles le sous-traitant doit se conformer, à moins que, selon le candidat sous-traitant, une instruction ne constitue un manquement au RGPD, auquel cas le sous-traitant en informera VIVAQUA. Le candidat sous-traitant doit présenter des garanties suffisantes quant à sa conformité au RGPD et celles de ses sous-traitants ultérieurs et quant à la mise en oeuvre des mesures techniques et organisationnelles visées au point 2.7.4 de manière à garantir les droits des personnes concernées dont les données à caractère personnel sont traitées. Ces garanties seront décrites dans l'offre du candidat sous-traitant. VIexturg - 21.642 - 23/31 Le sous-traitant veille à ce que tous les employés et sous-traitants ultérieurs qui ont accès aux données à caractère personnel fournies par VIVAQUA soient soumis à des obligations de confidentialité dans le cadre du traitement de ces données à caractère personnel. Le sous-traitant ne peut faire appel à des sous-traitants ultérieurs autres que ceux décrits dans son offre qu'à condition qu'il ait reçu au préalable l'approbation écrite de VIVAQUA. Il doit également y avoir un contrat entre le sous-traitant et des sous-traitants ultérieurs couvrant les mêmes droits et obligations que ceux fixés dans le contrat relatif au traitement des données à caractère personnel; copie du ou des contrats concernés sera remise par le sous-traitant à VIVAQUA avant tout traitement de données à caractère personnel. Le sous-traitant aidera VIVAQUA à respecter toutes ses obligations en vertu du RGPD. Ainsi, le sous-traitant devra fournir à VIVAQUA les informations nécessaires en cas de manquement/violation en matière de données à caractère personnel. Le sous-traitant prêtera également son assistance lors de l'exercice des droits des personnes concernées et des actions entreprises par VIVAQUA à cet égard. Au terme du traitement, le sous-traitant devra arrêter le traitement des données à caractère personnel fournies par VIVAQUA et renvoyer ou supprimer les copies existantes en fonction des instructions de VIVAQUA. Cette instruction devra également être transmise aux sous-traitants ultérieurs. A la demande de VIVAQUA, le sous-traitant mettra à disposition toutes les informations nécessaires pour démontrer le respect de toutes les obligations qui lui sont imposées et permettra la réalisation d'audits, y compris des inspections, par VIVAQUA (ou son représentant). Le sous-traitant ne transférera pas de données à caractère personnel en dehors de l'UE et empêchera l'accès aux données à caractère personnel à partir d'un pays n'appartenant pas à l'UE, à l'exception de pays qui assurent un niveau de protection adéquat des données suivant une décision d'adéquation de la Commission européenne. Les candidats sous-traitant mentionneront clairement dans leur offre si un tel transfert est envisagé et, le cas échéant, y joindront la décision d'adéquation susvisée ". L’article 12 du "contrat" est libellé comme suit : " Article 12 : Transfert en dehors de l'UE L'Adjudicataire ne transférera pas de Données à caractère personnel en dehors de l'UE et empêchera l'accès aux Données à caractère personnel à partir d'un pays n'appartenant pas à l'UE, à l'exception de pays qui assurent un niveau de protection adéquat des données suivant une décision d'adéquation de la Commission européenne. Le Sous-traitant en informera au préalable le Responsable du traitement". Les dispositions du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après désigné R.G.P.D.) utiles à l’examen du moyen sont libellées comme suit : " Article 5 VIexturg - 21.642 - 24/31 Principes relatifs au traitement des données à caractère personnel 1. Les données à caractère personnel doivent être:

a)traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence);
b)collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités; le traitement ultérieur à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques n'est pas considéré, conformément à l'article 89, paragraphe 1, comme incompatible avec les finalités initiales (limitation des finalités);
c)adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données);
d)exactes et, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude);
e)conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation);
f)traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité); 2. Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui- ci est respecté (responsabilité)". "Article 28 Sous-traitant 1. Lorsqu'un traitement doit être effectué pour le compte d'un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée. 2. Le sous-traitant ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Dans le cas d'une autorisation écrite générale, le sous-traitant informe le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d'émettre des objections à l'encontre de ces changements. 3. Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l'Union ou du droit d'un État membre, qui lie le sous-traitant à l'égard du responsable du traitement, définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant:
a)ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, à moins qu'il ne soit tenu d'y procéder en vertu du droit de l'Union ou du droit de l'État membre auquel le sous-traitant est soumis; dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si VIexturg - 21.642 - 25/31 le droit concerné interdit une telle information pour des motifs importants d'intérêt public; […]". "CHAPITRE V Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales Article 44 Principe général applicable aux transferts Un transfert, vers un pays tiers ou à une organisation internationale, de données à caractère personnel qui font ou sont destinées à faire l'objet d'un traitement après ce transfert ne peut avoir lieu que si, sous réserve des autres dispositions du présent règlement, les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous-traitant, y compris pour les transferts ultérieurs de données à caractère personnel au départ du pays tiers ou de l'organisation internationale vers un autre pays tiers ou à une autre organisation internationale. Toutes les dispositions du présent chapitre sont appliquées de manière à ce que le niveau de protection des personnes physiques garanti par le présent règlement ne soit pas compromis. Article 45 Transferts fondés sur une décision d'adéquation 1. Un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale peut avoir lieu lorsque la Commission a constaté par voie de décision que le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou l'organisation internationale en question assure un niveau de protection adéquat. Un tel transfert ne nécessite pas d'autorisation spécifique. 2. […] 3.La Commission, après avoir évalué le caractère adéquat du niveau de protection, peut décider, par voie d'actes d'exécution, qu'un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers, ou une organisation internationale, assure un niveau de protection adéquat au sens du paragraphe 2 du présent article. L'acte d'exécution prévoit un mécanisme d'examen périodique, au moins tous les quatre ans, qui prend en compte toutes les évolutions pertinentes dans le pays tiers ou au sein de l'organisation internationale. L'acte d'exécution précise son champ d'application territorial et sectoriel et, le cas échéant, nomme la ou des autorités de contrôle visées au paragraphe 2, point b), du présent article. L'acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2. […] Article 46 Transferts moyennant des garanties appropriées 1. En l'absence de décision en vertu de l'article 45, paragraphe 3, le responsable du traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers ou à une organisation internationale que s'il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives. 2. Les garanties appropriées visées au paragraphe 1 peuvent être fournies, sans que cela ne nécessite une autorisation particulière d'une autorité de contrôle, par:
a)un instrument juridiquement contraignant et exécutoire entre les autorités ou organismes publics;
b)des règles d'entreprise contraignantes conformément à l'article 47;
c)des clauses types de protection des données adoptées par la Commission en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2;
d)des clauses types de protection des données adoptées par une autorité de contrôle et approuvées par la Commission en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2;
e)un code de conduite approuvé conformément à l'article 40, assorti de VIexturg - 21.642 - 26/31 l'engagement contraignant et exécutoire pris par le responsable du traitement ou le sous-traitant dans le pays tiers d'appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées; ou
f)un mécanisme de certification approuvé conformément à l'article 42, assorti de l'engagement contraignant et exécutoire pris par le responsable du traitement ou le sous-traitant dans le pays tiers d'appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées. 3. Sous réserve de l'autorisation de l'autorité de contrôle compétente, les garanties appropriées visées au paragraphe 1 peuvent aussi être fournies, notamment, par:
a)des clauses contractuelles entre le responsable du traitement ou le sous-traitant et le responsable du traitement, le sous-traitant ou le destinataire des données à caractère personnel dans le pays tiers ou l'organisation internationale; ou
b)des dispositions à intégrer dans des arrangements administratifs entre les autorités publiques ou les organismes publics qui prévoient des droits opposables et effectifs pour les personnes concernées. 4. L'autorité de contrôle applique le mécanisme de contrôle de la cohérence visé à l'article 63 dans les cas visés au paragraphe 3 du présent article. 5. Les autorisations accordées par un État membre ou une autorité de contrôle sur le fondement de l'article 26, paragraphe 2, de la directive 95/46/CE demeurent valables jusqu'à leur modification, leur remplacement ou leur abrogation, si nécessaire, par ladite autorité de contrôle. Les décisions adoptées par la Commission sur le fondement de l'article 26, paragraphe 4, de la directive 95/46/CE demeurent en vigueur jusqu'à leur modification, leur remplacement ou leur abrogation, si nécessaire, par une décision de la Commission adoptée conformément au paragraphe 2 du présent article. […] Article 49 Dérogations pour des situations particulières 1. En l'absence de décision d'adéquation en vertu de l'article 45, paragraphe 3, ou de garanties appropriées en vertu de l'article 46, y compris des règles d'entreprise contraignantes, un transfert ou un ensemble de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peut avoir lieu qu'à l'une des conditions suivantes:
a)la personne concernée a donné son consentement explicite au transfert envisagé, après avoir été informée des risques que ce transfert pouvait comporter pour elle en raison de l'absence de décision d'adéquation et de garanties appropriées;
b)le transfert est nécessaire à l'exécution d'un contrat entre la personne concernée et le responsable du traitement ou à la mise en œuvre de mesures précontractuelles prises à la demande de la personne concernée;
c)le transfert est nécessaire à la conclusion ou à l'exécution d'un contrat conclu dans l'intérêt de la personne concernée entre le responsable du traitement et une autre personne physique ou morale;
d)le transfert est nécessaire pour des motifs importants d'intérêt public;
e)le transfert est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice;
f)le transfert est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'autres personnes, lorsque la personne concernée se trouve dans l'incapacité physique ou juridique de donner son consentement;
g)le transfert a lieu au départ d'un registre qui, conformément au droit de l'Union ou au droit d'un État membre, est destiné à fournir des 'informations au public et est ouvert à la consultation du public en général ou de toute personne justifiant d'un intérêt légitime, mais uniquement dans la mesure où les conditions prévues pour la consultation dans le droit de l'Union ou le droit de l'État membre sont remplies dans le cas d'espèce. Lorsqu'un transfert ne peut pas être fondé sur une disposition de l'article 45 ou 46, y compris les dispositions relatives aux règles d'entreprise contraignantes, et qu'aucune des dérogations pour des situations particulières visées au premier alinéa du présent paragraphe n'est applicable, un transfert vers un pays tiers ou à une organisation internationale ne peut avoir lieu que si ce transfert ne revêt pas de VIexturg - 21.642 - 27/31 caractère répétitif, ne touche qu'un nombre limité de personnes concernées, est nécessaire aux fins des intérêts légitimes impérieux poursuivis par le responsable du traitement sur lesquels ne prévalent pas les intérêts ou les droits et libertés de la personne concernée, et si le responsable du traitement a évalué toutes les circonstances entourant le transfert de données et a offert, sur la base de cette évaluation, des garanties appropriées en ce qui concerne la protection des données à caractère personnel. Le responsable du traitement informe l'autorité de contrôle du transfert. Outre qu'il fournit les informations visées aux articles 13 et 14, le responsable du traitement informe la personne concernée du transfert et des intérêts légitimes impérieux qu'il poursuit. 2. Un transfert effectué en vertu du paragraphe 1, premier alinéa, point g), ne porte pas sur la totalité des données à caractère personnel ni sur des catégories entières de données à caractère personnel contenues dans le registre. Lorsque le registre est destiné à être consulté par des personnes justifiant d'un intérêt légitime, le transfert n'est effectué qu'à la demande de ces personnes ou lorsqu'elles en sont les destinataires. 3. Les points a), b), et
c)du premier alinéa du paragraphe 1 et le deuxième alinéa du paragraphe 1 ne sont pas applicables aux activités des autorités publiques dans l'exercice de leurs prérogatives de puissance publique. 4. L'intérêt public visé au paragraphe 1, premier alinéa, point d), est reconnu par le droit de l'Union ou le droit de l'État membre auquel le responsable du traitement est soumis. 5. En l'absence de décision d'adéquation, le droit de l'Union ou le droit d'un État membre peut, pour des motifs importants d'intérêt public, fixer expressément des limites au transfert de catégories spécifiques de données à caractère personnel vers un pays tiers ou à une organisation internationale. Les États membres notifient de telles dispositions à la Commission. 6. Le responsable du traitement ou le sous-traitant documente, dans les registres visés à l'article 30, l'évaluation ainsi que les garanties appropriées visées au paragraphe 1, deuxième alinéa, du présent article". Si les dispositions (principalement en cause, en l’espèce) des articles 45 et 46 du R.G.P.D. définissent les conditions auxquelles peuvent être autorisés des transferts de données en dehors de l’Union européenne, elles ne paraissent, prima facie, pas imposer au responsable du traitement l’obligation de recourir à ces différentes possibilités de transfert, de sorte que, pour un traitement de données particulier, le responsable du traitement peut envisager un transfert de données vers un pays bénéficiant d’une décision d’adéquation prise en vertu de l’article 45, mais ne pas souhaiter un tel transfert conformément au régime défini par l’article 46. Un tel choix peut notamment être déterminé par la manière dont le responsable du traitement entend concrètement prendre les mesures lui permettant d’assumer la responsabilité qui lui incombe en vertu de l’article 5.2 du R.G.P.D.. Par ailleurs, il paraît – toujours dans le cadre d’un examen effectué en extrême urgence – devoir être déduit de l’article 28 du R.G.P.D. (particulièrement en son point 3.
a)) que le sous-traitant ne peut lui-même décider d’un transfert hors de l’Union européenne, dès lors qu’il ne peut agir, pour un traitement de données à caractère personnel, que conformément au contrat visé au point 3 de l’article 28 et aux instructions du responsable de ce traitement, lesquelles instructions sont d’ailleurs expressément requises pour les transferts vers des pays tiers, en vertu du point 3. a). VIexturg - 21.642 - 28/31 C’est dans la ligne tracée par ces dispositions que s’est inscrit le choix posé par la partie adverse pour le marché litigieux et dont rendent compte l’article 12 du "contrat", ainsi que l’article 2.7.2 du cahier spécial, dans ses versions respectivement antérieure à mars 2019 et postérieure à la modification décidée en mai 2019. En décidant ainsi que, dans le cadre de ce marché de recouvrement de créances, son sous-traitant (au sens du R.G.P.D.) ne pourrait transférer les données hors de l’Union européenne que dans un pays bénéficiant d’une décision d’adéquation, elle n’a, prima facie, pas violé les dispositions et principes du droit européen que vise le moyen. Elle ne paraît pas davantage avoir méconnu les principes généraux de droit administratif invoqués, particulièrement le principe de proportionnalité. Elle a, en effet, pu raisonnablement choisir de n’avoir égard qu’à l’hypothèse de transfert de données vers des pays tiers qui lui permette de s’assurer sans doute le plus facilement du respect des obligations qui lui incombent, en sa qualité de responsable du traitement, au titre de l’article 5 du R.G.P.D.. Il suit de l’ensemble de ces considérations que le deuxième moyen ne peut être déclaré sérieux en tant qu’il critique le choix posé par la partie adverse pour limiter les possibilités de transferts de données vers les pays tiers. Quant à l’absence de prise en considérations des garanties offertes par la requérante Enfin, les considérations émises au point 2 des développements du moyen, à propos des garanties offertes par la requérante en dépit de ce qu’elle ne pouvait produire une décision d’adéquation en vue d’un transfert vers la Tunisie, sont sans intérêt dès lors que sont vainement critiqués, d’une part, le choix d’une limitation des possibilités de transferts vers des pays tiers aux seuls transferts vers des états bénéficiant de décisions d’adéquation et, d’autre part, l’acte attaqué en tant qu’il considère l’offre de la requérante comme étant entachée d’une irrégularité substantielle résultant de sa non-conformité à l’article 2.7.2 du cahier spécial des charges et à l’article 12 du "contrat". En tant qu’il repose sur ce grief, le deuxième moyen ne peut davantage être déclaré sérieux. VI. Confidentialité La requérante demande que soit maintenue la confidentialité des pièces II.1., II.2., II.3. et II.4. de son dossier. La partie adverse formule la même demande pour les pièces 8.a-c, 9.a-c, 10.a-b et 13.b.i-iii du dossier administratif. VIexturg - 21.642 - 29/31 Dès lors que ces demandes n'ont pas suscité d'objections, il y a lieu, à ce stade de la procédure, de préserver la confidentialité des pièces sur lesquelles elles portent. VII. Indemnité de procédure et autres dépens La partie adverse sollicite la condamnation de la requérante au paiement de l'indemnité de procédure de base de 700 euros. À l'audience du 12 décembre 2019, la requérante n'a fait état d'aucun élément dont le Conseil d'État pourrait tenir compte pour réduire le montant de l'indemnité sollicitée. Il y a lieu, en conséquence, de faire droit à la demande d'indemnité de procédure de la partie adverse. Le rejet de la demande de suspension justifie, par ailleurs, que les autres dépens soient laissés à la requérante. PAR CES MOTIFS, LE CONSEIL D'ÉTAT DÉCIDE : Article 1er. La demande de suspension d'extrême urgence est rejetée. Article 2. Les pièces II.1., II.2., II.3. et II.4. du dossier annexé à la requête, ainsi que les pièces 8.a-c, 9.a-c, 10.a-b et 13.b.i-iii du dossier administratif sont, à ce stade de la procédure, tenues pour confidentielles. Article 3. L'exécution immédiate du présent arrêt est ordonnée. VIexturg - 21.642 - 30/31 Article 4. La partie requérante supporte les dépens, à savoir le droit de rôle de 200 euros, la contribution de 20 euros et l'indemnité de procédure de 700 euros accordée à la partie adverse. Ainsi prononcé à Bruxelles, en audience publique de la VIe chambre siégeant en référé, le vingt-trois décembre deux mille dix-neuf par : David DE ROY, conseiller d'État, président f.f., Katty LAUVAU, greffier. Le Greffier, Le Président, Katty LAUVAU David DE ROY VIexturg - 21.642 - 31/31 Document PDF ECLI:BE:RVSCE:2019:ARR.246.532 Publication(
s)liée(
s)suivi par: ECLI:BE:RVSCE:2024:ARR.260.325 Imprimer cette page Taille d'impression S M L XL Nouvelle recherche JUPORTAL Fermer l'onglet <div

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.