Arrêt 254281 - Marchés publics - 15/07/2022

id="page_main" x-ms-format-detection="none"> Imprimer cette page Taille d'impression S M L XL Nouvelle recherche JUPORTAL Fermer l'onglet Conseil d'État Jugement/arrêt du 15 juillet 2022 No ECLI: ECLI:BE:RVSCE:2022:ARR.254.281 No Rôle: A. 236644/VI-22369 Affaire: Arrêt 254281 - Marchés publics - 15/07/2022 Domaine juridique: Droit administratif Date d'introduction: 2022-07-15 Consultations: 84 - dernière vue 2026-06-10 07:16 Fiche Arrêt no 254.281 du 15 juillet 2022 Marchés et travaux publics - Marchés publics Décision : Rejet Thésaurus Cassation: CONSEIL D'ETAT Thésaurus UTU: DROIT PUBLIC ET ADMINISTRATIF - CONSEIL D'ÉTAT - Arrêts (Conseil d'État) Texte de la décision CONSEIL D’ÉTAT, SECTION DU CONTENTIEUX ADMINISTRATIF LE PRÉSIDENT DE LA VIe CHAMBRE SIÉGEANT EN RÉFÉRÉ no 254.281 du 15 juillet 2022 A. 236.644/VI-22.369 En cause : 1. la société à responsabilité limitée PRIVACY PRAXIS, 2. la société à responsabilité limitée GDPR AGENCY, 3. la société à responsabilité limitée FRÉDÉRIC DECHAMPS SC, ayant toutes élu domicile chez Me Stéphane RIXHON, avocat, boulevard du Souverain 68/7 1170 Bruxelles, contre : la Société wallonne du Logement, ayant élu domicile chez Me Gauthier ERVYN, avocat, avenue Hermann Debroux 40 1160 Bruxelles. ------------------------------------------------------------------------------------------------------ I. Objet de la requête Par une requête introduite le 17 juin 2022, la SRL Privacy Praxis, la SRL GDPR Agency et la SRL Frédéric Dechamps SC demandent la suspension, selon la procédure d’extrême urgence, de l’exécution de : « - (premier acte attaqué) La décision d’attribution du marché portant “Rapport au directeur général Approuvé en date du 3 juin 2022 n° 2022/117/26/03” communiquée par e-mail en date du 10 juin 2022 (...) - (deuxième acte attaqué) La même décision, notifiée le 3 juin puis retirée le 10 juin (...) - (troisième acte attaqué) Le cahier spécial des charges “accord-cadre désignation de consultants dans le cadre de la mise en conformité au RGPD” (...) ». Par une requête introduite le 27 juin 2022, les mêmes requérantes demandent l’annulation des décisions précitées ainsi que de « la décision d’attribution du marché portant “rapport au directeur général Approuvé en date du 28 avril 2022 n° 2022/xxx/26/02” communiquée par e-mail en date du ? (…), pour autant qu’elle ne soit pas retirée de l’ordonnancement juridique ». VIexturg - 22.369 - 1/33 II. Procédure Par une ordonnance du 20 juin 2022, l’affaire a été fixée à l’audience du 4 juillet 2022. La contribution et les droits visés respectivement aux articles 66, 6°, et 70, du règlement général de procédure ont été acquittés. La partie adverse a déposé une note d’observations et le dossier administratif. Mme Florence Piret, conseiller d’État, président f.f., a exposé son rapport. Me Aude Valizadeh, loco Me Stéphane Rixhon, avocat, comparaissant pour les parties requérantes et Me Matthieu Leysen, loco Me Gauthier Ervyn, avocat, comparaissant pour la partie adverse, ont été entendus en leurs observations. M. Lionel Renders, auditeur au Conseil d’État, a été entendu en son avis conforme. Il est fait application des dispositions relatives à l’emploi des langues, inscrites au titre VI, chapitre II, des lois sur le Conseil d’État, coordonnées le 12 janvier 1973. III. Faits utiles à l’examen de la demande Selon la relation qu’en donnent les requérantes, les faits utiles à l’examen de la demande de suspension se présentent comme il suit : « 1. Les parties requérantes, spécialisées dans le traitement des données (…) ont formé un consortium en vue de participer au marché public de la partie adverse 2. Le 9 décembre 2021, la Société wallonne du Logement publie un avis de marché, par procédure ouverte européenne, avec avis rectificatif au 12 janvier 2022. Le cahier spécial des charges indique notamment que : “ACCORD-CADRE Désignation de consultants dans le cadre de la mise en conformité au RGPD” “2. Disposer des ressources humaines nécessaires pour exécuter le marché en assurant un niveau de qualité approprié VIexturg - 22.369 - 2/33 Le soumissionnaire doit disposer des ressources humaines suffisantes pour mener à bien les prestations requises pour la mission objet du présent cahier des charges. Vu la variété des tâches liées aux objectifs à atteindre, le soumissionnaire doit pouvoir affecter à l’exécution et au suivi de la mission des profils de juristes, de responsables IT et de gestionnaires de projets. Les prestataires de services doivent disposer d’un curriculum vitae incluant la preuve d’un diplôme, d’une formation ou d’une expertise dans l’un de ces domaines. Sous peine d’exclusion, il est obligatoire que l’équipe dispose d’un profil juridique, d’un profil IT et un profil gestionnaire de projets de types experts seniors. Les profils juniors ne font l’objet d’aucune contrainte quant à leur catégorie (IT / Juridique / gestion de projets). Une même personne peut combiner plusieurs expertises pour autant que celles-ci soient démontrées au sein de son curriculum vitae. Les personnes affectées à cette mission doivent avoir une grande expérience dans le domaine de la protection des données. A ce titre, le curriculum fera apparaître le caractère senior du prestataire de services, sachant qu’un Senior doit avoir au minimum 4 années d’expérience dans ce type de tâches. Le curriculum fera également apparaître une brève description des projets effectués par la personne, qui correspondent au domaine concerné par le marché ainsi que le périmètre des interventions de ladite personne dans le cadre de la mission (IT, juridique, gestion de projet). Sous peine d’exclusion, les personnes proposées dans le cadre de la sélection qualitative sont supposées être les personnes qui effectueront les futures missions lors de l’exécution du marché. Le soumissionnaire doit joindre une liste reprenant la composition de l'équipe et les titres d'études des membres de celle-ci. Les personnes proposées doivent être effectivement disponibles pour l’exécution des prestations. Tout changement dans la liste des personnes constituant l’équipe devra obtenir l’approbation préalable du pouvoir adjudicateur. Le soumissionnaire devra prouver que les personnes proposées disposent des connaissances dans les disciplines suivantes : • Normes ISO 27001, ISO 27002 ou ISO 27005, ISO 27701; • Avoir suivi une formation / certification lead implementer ISO 27001; • Avoir suivi une formation sur les normes ISO 27001, ISO 27002 ou ISO 27005; • Avoir suivi une formation de DPO (délégué à la protection des données). La personne désignée comme délégué à la protection des données doit avoir suivi une formation de DPO (délégué à la protection des données)”. (p. 12) “2.4. Critère d'attribution 2.4.1. Définition des critères L’adjudicateur attribue le marché à l’offre régulière présentant le meilleur rapport qualité/prix en fonction des critères d’attribution définis à la case F en tête du cahier spécial des charges. 2.4.2. Documents à fournir Pour l’évaluation des critères d’attribution, l'offre doit comprendre sous peine d’exclusion les documents suivants, établis en langue française exclusivement, en double exemplaire et en format A4 maximum : • Critère n° 1 VIexturg - 22.369 - 3/33 • La formule d’engagement de soumission (voir annexe 1) • L’inventaire (voir annexe 2) • Critère n° 2 Une note d’intention sur la méthodologie proposée pour mettre en œuvre les mesures techniques et organisationnelles exigées par la réglementation, expliquant comment le consultant compte aborder le projet en tenant compte notamment de la taille et l’infrastructure de l’organisation, du planning, et du délai de réalisation. Les notes d’intention doivent permettre au Pouvoir Adjudicateur d’appréhender l’approche conceptuelle du soumissionnaire, il ne s’agit pas d’études de projet. Cette note peut être illustrée par des exemples de réalisations antérieures. NB : Tous ces documents seront facilement repérables et seront inventoriés à l’analyse des candidatures 2.4.3. Évaluation des critères • Critère n° 1 (60 points) Le montant global des prestations (La somme du taux horaire, qui est le taux forfaitaire, multiplié par le nombre d’heures de prestations): Il s’agira pour le soumissionnaire de fournir un coût global pour la mission (3 ans). Le score maximum de 60 est attribué au soumissionnaire offrant le prix le plus bas. Le score des autres soumissionnaires pour ce critère sera calculé sur la base de la formule suivante : Soit Pmin = prix le plus bas Pi = prix de l’offre pour laquelle on calcule la cote A = 60 x (Pmin /Pi) • Critère n° 2 (40 points) La méthodologie proposée : Le soumissionnaire joindra à son offre, une note dans laquelle il développera la méthode de travail qu’il envisage de mettre en œuvre et ce, sur base des informations reprises dans le présent cahier spécial des charges. Cette note peut être accompagnée de toute la documentation que le soumissionnaire jugera utile. Une attention particulière sera apportée aux outils qu’il est possible de développer au sein de chaque SLSP. Un prestataire, même s’il peut soumissionner pour autant de lots qu’il le souhaite et qu’il est mieux-disant pour l’ensemble des lots, ne pourra se voir attribuer que deux lots maximum suivant sa capacité et ce, selon l’ordre de préférence qu’il aura indiqué dans le formulaire de soumission. La cotation est déterminée suivant l’appréciation formelle et motivée des critères par l’adjudicateur. Elle s’appuiera notamment sur les critères suivants : • La compréhension de la problématique; • La connaissance du secteur du logement d’utilité publique et ses spécificités vis-à-vis des traitements de données; • La capacité à appréhender la réalité plurielle du réseau logement, notamment liée à la taille et à l’organisation de chaque SLSP; VIexturg - 22.369 - 4/33 • La qualité de la méthodologie proposée et l’adaptation aux contextes des activités des SLSP; • La capacité à rendre accessible et mobilisable l’information. (p. 15)” “1.1.1. Protection des données - traitement des données à caractère personnel Tous les documents et informations orales ou écrites communiquées aux soumissionnaires ou dont ils ont connaissance dans le cadre de la procédure d’attribution et dans le cadre de l’exécution du marché public sont considérés comme strictement confidentiels. Ces documents ou informations ne pourront en aucun cas être communiqués à des tiers ou utilisés à des objectifs étrangers à la préparation de l’offre ou à l’exécution du marché, sauf autorisation préalable et écrite de l’adjudicateur. L’adjudicateur s’abstiendra de divulguer à des tiers les informations ayant été expressément considérées comme confidentielles par les soumissionnaires, sans avoir obtenu au préalable l’autorisation de ces derniers. Cette obligation de confidentialité n’est cependant pas d’application : • Quand l’information en question est déjà tombée dans le domaine public, d’une autre manière qu’en violation de la présente disposition; • Quand la communication de l’information est requise par la disposition légale, une décision judiciaire; • Quand l’information est destinée à des conseillers financiers, juridiques ou assimilés ou soumis à une obligation de secret professionnel; • Quand l’information est nécessaire dans une procédure juridictionnelle mais uniquement en vue d’assurer le respect des droits de la défense ou le droit à un procès équitable. Sous réserve de l’application de la législation sur la transparence administrative, les soumissionnaires sont invités à indiquer expressément quelle(

s)partie(
s)de leur offre doit (doivent) être considérée(
s)comme confidentielle(s). Traitement des données à caractère personnel La législation sur la protection des données désigne toute législation en vigueur au sein de l'Union européenne en matière de protection des données personnelles, y compris : • Le Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données (ci-après RGPD). • La loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (ci-après LVP). Les termes responsable du traitement , sous-traitant , personne concernée , données à caractère personnel , violation de données à caractère personnel et traitement ont la même définition que celle donnée dans la législation sur la protection des données. Les termes traité et traiter doivent être interprétés conformément à la définition du traitement . Le sous-traitant (adjudicataire), dans le cadre du présent marché, agira au nom et pour le compte du responsable du traitement. Le Responsable de traitement met à disposition du Sous-traitant (adjudicataire) des données à caractère personnel (tel que défini dans le RGPD) dont il est responsable. Le sous-traitant (adjudicataire) reconnaît être soumis aux droits et obligations du RGPD et de la LVP spécifiques aux sous-traitants. Le sous-traitant (adjudicataire) reconnaît en outre que le responsable du traitement est soumis aux droits et obligations du RGPD et de la LVP spécifiques aux sous-traitants. VIexturg - 22.369 - 5/33 Le sous-traitant (adjudicataire) reconnaît également présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du RGPD et garantisse la protection des droits de la personne concernée. Le sous-traitant (adjudicataire) ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Dans le cas d'une autorisation écrite générale, le sous-traitant (adjudicataire) informe le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d'émettre des objections à l'encontre de ces changements. Lorsque des données à caractère personnel sont traitées par le sous-traitant (adjudicataire), ses agents, ses employés ou ses prestataires intermédiaires dans le cadre du marché ou en rapport avec celui-ci, le sous-traitant (adjudicataire) s'engage à et fait en sorte que les agents, les prestataires intermédiaires et les employés s'engagent à : • Ne traiter, ne transférer, ne modifier, n'amender ou n'altérer les données personnelles et ne divulguer ou n'autoriser la divulgation des données personnelles à des tiers que : • conformément aux instructions du responsable de traitement ; ou • dans les circonstances requises par la législation de l'Union ou de l'État membre à laquelle est soumise le sous-traitant, auquel cas le sous-traitant doit informer le responsable de traitement de cette obligation légale avant le traitement de ces données personnelles, sauf lorsque la loi interdit de communiquer de telles informations pour des motifs d'intérêt public importants ; • Prendre toutes les mesures raisonnables pour veiller à ce que tous les employés, agents et prestataires intermédiaires susceptibles d'avoir accès aux données personnelles : • soient informés de la nature confidentielle des données personnelles ; et • soient soumis aux engagements de confidentialité ou aux obligations professionnelles ou légales de confidentialité applicables à de telles données personnelles et à leur traitement; • Sauf lorsque des directives légales prévoient qu'un sous-traitant ou un responsable de traitement n'est pas tenu de signaler une violation de données personnelles, avertir sans délai le responsable de traitement dès qu'ils ont connaissance d'une telle violation de données personnelles et apporter leur assistance au responsable de traitement, en tenant compte de la nature du traitement et des informations à la disposition du sous-traitant, pour l'aider à respecter ses obligations de notification, enquête, correction et remédiation d'une violation de données personnelles prévues par la législation sur la protection des données; • Coopérer, à la demande du responsable de traitement, dans la mesure raisonnable et nécessaire pour permettre à ce dernier de respecter les droits d'une personne concernée visés par la législation sur la protection des données concernant les données personnelles traitées par le sous-traitant aux termes des contrats et se conformer à toute évaluation, demande, avis ou enquête visée par la législation sur la protection des données, y compris par un organe de régulation, sous réserve d'un préavis raisonnable. • Autoriser uniquement les prestataires intermédiaires acceptés par le responsable de traitement à traiter des données personnelles, sous réserve des conditions suivantes : • Le responsable de traitement doit être préalablement informé de l'identité du prestataire intermédiaire proposé; • les contrats conclus entre le sous-traitant (adjudicataire) et le prestataire intermédiaire doivent prévoir des dispositions essentiellement similaires à celles stipulées dans le présent avenant; VIexturg - 22.369 - 6/33 • le sous-traitant (adjudicataire) restera entièrement responsable vis-à-vis du responsable de traitement, conformément aux termes des contrats, notamment en matière de responsabilité, dans le cas où un prestataire de services intermédiaire ne respecterait pas ses obligations en rapport avec le traitement des données à caractère personnel. • Cesser le traitement des données personnelles à l'expiration ou à la résiliation des contrats ou, en cas de cessation anticipée, le service qui en est l'objet et, au choix du responsable de traitement, renvoyer ou supprimer les données personnelles et toute copie de celles-ci ou des informations qu'elles contiennent, sans préjudice des obligations légales en vigueur dans l'Union ou dans l'État membre concernant l'archivage ou le stockage de ces données personnelles. Le responsable de traitement accepte par les présentes que le sous-traitant (adjudicataire) engage une société du groupe du sous-traitant pour le traitement des données personnelles comme stipulé dans les présentes dispositions. Sur demande, le sous-traitant (adjudicataire) fournira au responsable de traitement toutes les informations nécessaires pour démontrer qu'il respecte ses obligations aux termes des présentes dispositions, autorisera et contribuera aux audits, y compris aux inspections, réalisés par le responsable de traitement. Compte tenu de l'état des connaissances, des coûts de mise en œuvre mais aussi de la nature, de la portée, du contexte et des finalités du traitement ainsi que de la probabilité et de la gravité du risque pour les droits et libertés des personnes concernées, chaque partie doit appliquer et veiller à ce que ses agents, prestataires intermédiaires et employés appliquent les mesures techniques et organisationnelles appropriées, et ce afin de garantir un niveau de sécurité adapté au risque, en prenant tout particulièrement en compte le risque de destruction, perte, altération accidentelle ou illégale des données à caractère personnel ou le risque de divulgation ou d'accès non autorisé à ces données. Le sous-traitant (adjudicataire) devra fournir une assistance raisonnable au responsable de traitement pour la réalisation d'analyses d'impact relatives à la protection des données et pour les consultations préalables avec les autorités de contrôle compétentes dans les cas où le responsable de traitement jugerait raisonnable de le faire en vertu de l'article 35 ou 36 du RGPD, pour autant que cela concerne uniquement le traitement des données personnelles effectué par le sous-traitant (adjudicataire) et en prenant en compte la nature du traitement et les informations dont dispose le sous-traitant (adjudicataire).” (...) “2. Objet du marché Le présent marché vise la conclusion d’un accord-cadre ayant pour objet des services et portant sur l’accompagnement multidisciplinaire dans le cadre de la mise en conformité, des sociétés de logement de service public (ci-après SLSP) adhérentes et de la Société wallonne du Logement, au règlement général sur la protection des données (RGPD). Les SLSP ont besoin d’être guidées et accompagnées dans les démarches de mise en conformité pour faire face aux compétences nouvellement créées en matière d’application du RGPD. Le niveau de conformité peut grandement varier en fonction de la structure ou des ressources internes dont dispose chaque SLSP et de son niveau de maturité matière de sécurité de l'information. Dans le cadre d’une approche proportionnée à la taille et l’infrastructure de l’organisme, aux moyens et aux risques réels pour la sécurité des données, le consultant fournit son expertise en vue de développer, d’améliorer et de contribuer à la mise en œuvre des processus de mise en conformité de la SLSP au RGPD. La mission demandée est d’assurer, au sein de la SLSP, la gestion des processus de mise en conformité au RGPD, l’organisation qui en découle et son suivi, ainsi VIexturg - 22.369 - 7/33 que la mission du DPO telle qu’elle est décrite par le règlement général de la protection des données (RGPD) en son article 39. Votre intervention aura pour objectifs de guider en termes méthodologique et d’actions les SLSP aux fins d’une mise en conformité au RGPD et de la mise en œuvre d’une organisation adaptée assurant le maintien de cette conformité dans un contexte de changement”. (…). Il poursuit de la manière suivante : Il s’agit du troisième acte attaqué (…). 3. Le 15 janvier 2022, les parties requérantes déposent leur offre pour tous les lots du marché (…). 4. Par un courriel du 28 avril 2022, les parties requérantes reçoivent la notification de l’attribution du marché. Cet acte d’attribution fait l’objet d’un arrêt de suspension d’extrême urgence rendu par le Conseil d’État le 1er juin 2022. 5. Par un courriel du 3 juin 2022, les parties reçoivent la notification de la nouvelle attribution du marché (…). 6. Puis par un courriel du 10 juin 2022, cette décision du 3 juin est à nouveau retirée et le marché est de nouveau notifié. Il s’agit du premier acte attaqué (…) ». IV. Recevabilité IV.1. Thèses des parties 1. Requête Les requérantes soutiennent que le recours est recevable en tant qu’il est dirigé contre le cahier spécial des charges (troisième acte attaqué) « en vertu de la jurisprudence de l’assemblée générale du Conseil d’État n° 152.173 du 2 décembre 2005 ». Elles renvoient aussi à l’arrêt n° 253.899 du 1er juin 2022, où le Conseil d’État a jugé qu’elles pouvaient invoquer, dans le cadre de leur recours dirigé contre la décision d’attribution de l’accord-cadre litigieux, les illégalités qui affectent la décision d’approuver le cahier spécial des charges. Elles estiment qu’elles sont recevables à attaquer la décision d’attribution de l’accord-cadre litigieux « puisqu’il s’agit de la décision qui cause présentement grief ». Elles précisent qu’ « [i]l n’est pas clair de savoir comment la décision d’attribution du 3 juin aurait été retirée, ni si la suspension de la décision du 10 juin ne ferait pas revivre la décision du 3 juin, de sorte qu’il est de l’intérêt d’une bonne justice de diriger le recours à la fois contre les décisions du 3 et du 10 juin, respectivement le deuxième et le premier acte attaqué ». VIexturg - 22.369 - 8/33 Elles font enfin valoir que les décisions d’attribution sont bien connexes « au cahier spécial des charges puisqu’elles se basent légalement dessus » et que ces deux décisions sont elles-mêmes connexes entre elles puisqu’ « il n’est pas manifeste que l’acte du 3 juin a fait l’objet d’un retrait » et que « ce retrait n’est, en toute hypothèse, pas définitif, de sorte qu’il est de l’intérêt d’une bonne justice de recourir contre les deux actes, dans la même requête en suspension ». 2. Note d’observations La partie adverse conteste la recevabilité de la demande de suspension en tant qu’elle est introduite contre le deuxième acte attaqué, dès lors qu’il s’agit, selon elle, d’« une simple proposition de décision » préalable à la décision d’attribution et donc d’un acte préparatoire qui n’est pas susceptible de recours devant le Conseil d’État. Elle ajoute que le recours est également irrecevable en tant qu’il est dirigé contre le troisième acte attaqué, comme le Conseil d’État l’a déjà jugé dans son arrêt n° 253.899 du 1er juin 2022. IV.2. Appréciation du Conseil d’État Quant au troisième acte attaqué Il résulte de la combinaison des articles 14 et 15 de la loi du 17 juin 2013 précitée que le législateur a confié au Conseil d'État la compétence de statuer sur « les décisions prises par les autorités adjudicatrices ». La demande de suspension a notamment pour objet « le cahier spécial des charges “accord-cadre désignation de consultants dans le cadre de la mise en conformité au RGPD” ». Un tel cahier ne constitue pas une décision prise par une autorité adjudicatrice. Même à interpréter la requête comme visant la décision d’approuver le cahier spécial des charges, les requérantes ne contestent pas avoir eu connaissance de l’existence de cette décision plus de quinze jours avant l’introduction de la présente demande de suspension. Introduite en dehors du délai de quinze jours, prévu par l’article 23, § 3, de la loi du 17 juin 2013 précitée, la demande de suspension serait, en conséquence, de toute façon, irrecevable en tant qu’elle porterait sur cet objet. VIexturg - 22.369 - 9/33 La demande de suspension est irrecevable en tant qu’elle est dirigée contre le troisième acte attaqué. Cette conclusion n’exclut toutefois pas que les requérantes puissent, le cas échéant, invoquer, dans le cadre de leur recours, en tant qu’il est dirigé contre la décision d’attribution de l’accord-cadre litigieux, les irrégularités qui, à leur estime, entacheraient la décision d’approbation du cahier spécial des charges. L’arrêt SA Labonorm, n° 152.173 du 2 décembre 2005 – cité par la requérante – ne dit pas autre chose. Quant au deuxième acte attaqué Il ressort des pièces du dossier que le directeur général de la partie adverse a, le 3 juin 2022, signé deux décisions portant attribution de l’accord-cadre litigieux. Le seul élément qui distingue ces deux décisions consiste dans le fait que, dans le corps de l’une d’elles – celle communiquée à la requérante le 3 juin 2022 –, on trouve la mention « Il est proposé au Directeur général », tandis que, dans l’autre – communiquée à la requérante le 10 juin 2022 – figure, en lieu et place, la mention « Le directeur général décide ». Ces deux décisions sont cependant identiquement approuvées et signées, le même jour, par le directeur général de la partie adverse, qui s’en est approprié le contenu. Par souci de sécurité juridique, il y a lieu prima facie d’accueillir le recours en tant qu’il est dirigé contre les deux décisions d’attribution du 3 juin 2022 (premier et deuxième actes attaqués). Ces deux décisions sont, par ailleurs, connexes puisqu’elles ont le même objet et que les critiques de légalité formulées dans les moyens de la requête visent indifféremment chacun de ces actes. V. Moyen unique V.1. Thèse des parties requérantes Les requérantes prennent un moyen unique de la violation du règlement général sur la protection des données (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, ci-après « RGPD », notamment ses articles 4 (distinction entre le DPO, le responsable et le sous-traitant), 25 (protection des données dès la conception), 37, 5°, (qualité dans la désignation du DPO) 38 et 39 VIexturg - 22.369 - 10/33 (missions et fonctions du DPO), de la Constitution, notamment ses articles 10 et 11 (égalité et non-discrimination, et proportionnalité), 143 (conflits d’intérêts) et 159 (exception d’illégalité), de la loi du 17 juin 2016 relative aux marchés publics, notamment ses articles 4 (égalité, non-discrimination et transparence), 71 (sélection qualitative) et 81 (critères d’attribution), de la loi du 29 juillet 1991 relative à la motivation formelle des actes administratifs, de la loi du 17 juin 2013 relative à la motivation, à l'information et aux voies de recours en matière de marchés publics, de certains marchés de travaux, de fournitures et de services et de concessions, notamment son article 36 (motivation formelle), des principes généraux de droit, notamment les principes d’égalité, de non-discrimination et de proportionnalité, de transparence, de minutie, de confiance légitime, relatifs à la motivation au fond et en la forme des actes administratifs et de l’interdiction de la confusion entre les critères de la sélection et de l’attribution et la prévention des conflits d’intérêts, de l’absence, l’erreur, l’insuffisance ou la contrariété dans les causes ou les motifs ainsi que de l’erreur manifeste d’appréciation. Dans une première branche, les requérantes font grief au cahier spécial des charges de confier aux attributaires des marchés subséquents de l’accord-cadre une triple mission, à savoir assurer

(1)la mission de délégué à la protection des données (ci-après : « DPO ») pour la partie adverse et les sociétés de logement de service public (ci-après : « SLSP ») bénéficiaires de la centrale d’achat,

(2)la mission d’implémenter le RGPD au sein de ces institutions et

(3)une mission de sous-traitance des données à caractère personnel dont ces institutions sont les responsables du traitement, alors que le RGPD limite strictement les missions du DPO et interdit de lui confier des tâches qui sont incompatibles ou en conflit d’intérêts avec ses missions premières, ce pour garantir son indépendance, et que concrètement le cahier spécial des charges prévoit de confier au DPO des tâches incompatibles et en conflit d’intérêts avec ses missions. Elles développent leur argumentation comme il suit : « Missions de l’adjudicataire d’après le CSC : […] Le marché litigieux a pour titre “désignation de consultants dans le cadre de la mise en conformité au RGPD”. L’objet du marché est décrit de la sorte : “ 2. Objet du marché Le présent marché vise la conclusion d’un accord-cadre ayant pour objet des services et portant sur l’accompagnement multidisciplinaire dans le cadre de la mise en conformité, des sociétés de logement de service public (ci-après SLSP) adhérentes et de la Société wallonne du Logement, au règlement général sur la protection des données (RGPD). VIexturg - 22.369 - 11/33 Les SLSP ont besoin d’être guidées et accompagnées dans les démarches de mise en conformité pour faire face aux compétences nouvellement créées en matière d’application du RGPD. Le niveau de conformité peut grandement varier en fonction de la structure ou des ressources internes dont dispose chaque SLSP et de son niveau de maturité matière de sécurité de l'information. Dans le cadre d’une approche proportionnée à la taille et l’infrastructure de l’organisme, aux moyens et aux risques réels pour la sécurité des données, le consultant fournit son expertise en vue de développer, d’améliorer et de contribuer à la mise en œuvre des processus de mise en conformité de la SLSP au RGPD. La mission demandée est d’assurer, au sein de la SLSP, la gestion des processus de mise en conformité au RGPD, l’organisation qui en découle et son suivi, ainsi que la mission du DPO telle qu’elle est décrite par le règlement général de la protection des données (RGPD) en son article 39. Votre intervention aura pour objectifs de guider en termes méthodologiques et d’actions les SLSP aux fins d’une mise en conformité au RGPD et de la mise en œuvre d’une organisation adaptée assurant le maintien de cette conformité dans un contexte de changement.” La mission de DPO est ainsi reléguée à la fin de la description du marché, comme un accessoire de l’autre volet de missions. Ces autres missions concernent : - l’accompagnement multidisciplinaire dans le cadre de la mise en conformité ; - guider et accompagner les SLSP dans les démarches de mise en conformité; - fournir son expertise en vue de développer, d’améliorer et de contribuer à la mise en œuvre des processus de mise en conformité de la SLSP au RGPD; - assurer, au sein de la SLSP, la gestion des processus de mise en conformité au RGPD, l’organisation qui en découle et son suivi; - guider en termes méthodologiques et d’actions les SLSP aux fins d’une mise en conformité au RGPD et de la mise en œuvre d’une organisation adaptée assurant le maintien de cette conformité dans un contexte de changement. Concrètement, ces missions se matérialisent par une liste de “livrables” (point 4, p. 27 du CSC) parmi lesquels : la “rédaction du plan d’action générique ou de diagnostics adaptés aux besoins”, ou encore des “missions” (5, p. 28) avec parmi celles-ci : “ Implémentation Accompagnement dans la gestion et l’évolution du registre des traitements. Mise en place/Évolution de processus particuliers relatifs au privacy by design/default et aux principes de protection des données en général. Assistance juridique dans la problématique du traitement des données à caractère personnel. Mise à niveau/Élaboration de contrats de sous-traitance. Mise en place de procédure de notification de violation de données; Mise en place/Mise à niveau de procédure pour respecter les droits des personnes concernées. Accompagnement dans le cadre de la mise en place de politiques de sécurité générale et spécifiques en matière de protection des données. Étude d’impact sur la protection des données : Mise à niveau/Élaboration de procédure de gestion des risques permettant d’évaluer le bien-fondé du traitement, d’apprécier les risques sur les droits et libertés des personnes afin de déterminer des mesures pour traiter ces risques et répondre au RGPD. Accompagnement sur le volet technique en matière de sécurisation. Mise à niveau/Élaboration des outils permettant d’appréhender le niveau de sécurisation des données et pouvoir faire face aux failles de sécurité.” Mais aussi une mission 5.5. “service DPO Externe”… VIexturg - 22.369 - 12/33 Ce n’est pas tout. Le CSC affirme aussi que l’adjudicataire du marché comme un sous-traitant au regard de la législation RGPD (p. 18 du CSC) et lui confie les missions suivantes : “- Le sous-traitant (adjudicataire), dans le cadre du présent marché, agira au nom et pour le compte du responsable du traitement. - Le sous-traitant (adjudicataire) reconnaît être soumis aux droits et obligations du RGPD et de la LVP spécifiques aux sous-traitants. Le sous- traitant (adjudicataire) reconnaît en outre que le responsable du traitement est soumis aux droits et obligations du RGPD et de la LVP spécifiques aux sous-traitants”; - “Le sous-traitant (adjudicataire) ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement”; - il doit en outre “Coopérer, à la demande du responsable de traitement, dans la mesure raisonnable et nécessaire pour permettre à ce dernier de respecter les droits d'une personne concernée visés par la législation sur la protection des données concernant les données personnelles traitées par le sous-traitant aux termes des contrats et se conformer à toute évaluation, demande, avis ou enquête visée par la législation sur la protection des données, y compris par un organe de régulation, sous réserve d'un préavis raisonnable. - Le sous-traitant (adjudicataire) devra fournir une assistance raisonnable au responsable de traitement pour la réalisation d'analyses d'impact relatives à la protection des données et pour les consultations préalables avec les autorités de contrôle compétentes dans les cas où le responsable de traitement jugerait raisonnable de le faire en vertu de l'article 35 ou 36 du RGPD, pour autant que cela concerne uniquement le traitement des données personnelles effectué par le sous-traitant (adjudicataire) et en prenant en compte la nature du traitement et les informations dont dispose le sous- traitant (adjudicataire)”. Le CSC ajoute que “Lorsque des données à caractère personnel sont traitées par le sous-traitant (adjudicataire), ses agents, ses employés ou ses prestataires intermédiaires dans le cadre du marché ou en rapport avec celui-ci, le sous- traitant (adjudicataire) s'engage à et fait en sorte que les agents, les prestataires intermédiaires et les employés s'engagent à : • Ne traiter, ne transférer, ne modifier, n'amender ou n'altérer les données personnelles et ne divulguer ou n'autoriser la divulgation des données personnelles à des tiers que : […] conformément aux instructions du responsable de traitement” Le marché confie donc bien trois types de missions à l’adjudicataire : premièrement DPO; deuxièmement, des missions de conseil et troisièmement des missions de mise en conformité du RGPD en qualité de sous-traitant des pouvoirs adjudicateurs. Les première et troisième fonctions sont clairement incompatibles. Quant à la deuxième, elle se retrouvera très régulièrement en situation de conflit d’intérêts avec la mission de DPO, les prestations étant dans ce dernier cas, à analyser au cas par cas. Missions légales du DPO […] L’article 39 du RGPD indique que : “ Article 39 Missions du délégué à la protection des données 1. Les missions du délégué à la protection des données sont au moins les suivantes :

a)informer et conseiller le responsable du traitement ou le sous- traitant ainsi que les employés qui procèdent au traitement sur les obligations qui leur incombent en vertu du présent règlement et d'autres dispositions du VIexturg - 22.369 - 13/33 droit de l'Union ou du droit des États membres en matière de protection des données;
b)contrôler le respect du présent règlement, d'autres dispositions du droit de l'Union ou du droit des États membres en matière de protection des données et des règles internes du responsable du traitement ou du sous-traitant en matière de protection des données à caractère personnel, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement, et les audits s'y rapportant;
c)dispenser des conseils, sur demande, en ce qui concerne l'analyse d'impact relative à la protection des données et vérifier l'exécution de celle-ci en vertu de l'article 35;
d)coopérer avec l'autorité de contrôle;
e)faire office de point de contact pour l'autorité de contrôle sur les questions relatives au traitement, y compris la consultation préalable visée à l'article 36, et mener des consultations, le cas échéant, sur tout autre sujet. 2. Le délégué à la protection des données tient dûment compte, dans l'accomplissement de ses missions, du risque associé aux opérations de traitement compte tenu de la nature, de la portée, du contexte et des finalités du traitement.” L’article 38 du RGPD précise et complète : “ Fonction du délégué à la protection des données (…) 3. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données ne reçoive aucune instruction en ce qui concerne l'exercice des missions. Le délégué à la protection des données ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous- traitant pour l'exercice de ses missions. Le délégué à la protection des données fait directement rapport au niveau le plus élevé de la direction du responsable du traitement ou du sous-traitant. 5. Le délégué à la protection des données est soumis au secret professionnel ou à une obligation de confidentialité en ce qui concerne l'exercice de ses missions, conformément au droit de l'Union ou au droit des États membres. 6. Le délégué à la protection des données peut exécuter d'autres missions et tâches. Le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n'entraînent pas de conflit d'intérêts.” Incompatibilités et conflits d’intérêts […] Selon les lignes directrices adoptées au sein de l’Union européenne : “ Les DPD (DPO) ne sont pas personnellement responsables en cas de non- respect du RGPD. Ce dernier établit clairement que c’est le responsable du traitement ou le sous-traitant qui est tenu de s’assurer et d’être en mesure de démontrer que le traitement est effectué conformément à ses dispositions (article 24, paragraphe 1). Le respect de la protection des données relève de la responsabilité du responsable du traitement ou du sous-traitant.” (Lignes directrices concernant les délégués à la protection des données (DPD), Adoptées le 13 décembre 2016, p. 6) Les deux fonctions de DPO (DPD) et de sous-traitant sont donc fondamentalement incompatibles l’une avec l’autre. Si le DPO est sous-traitant, il se retrouve dans la situation de devoir traiter des données personnelles au nom et pour le compte du responsable de données (le pouvoir adjudicateur ou les sociétés de logement sociaux) (comme l’indique clairement le CSC) et en même temps, il doit exercer les missions légales du DPO, à savoir celles reprises aux articles 38 et 39 du RGPD (conseiller et contrôler le respect du RGPD en toute indépendance). En d’autres mots, il est à la fois le contrôlant et le contrôlé, mais également celui qui implémente le RGPD (comme cela est rappelé dans l’objet du marché et confirmé par les développements relatifs à sa qualité de sous-traitant) et celui qui VIexturg - 22.369 - 14/33 est supposé pouvoir donner des conseils aux personnes chargées d’implémenter le RGPD. L’autorité de protection des données complète cette analyse : “ Concernant le résultat de l'évaluation des risques, selon lequel une décision finale a été prise par les représentants au sein de l'équipe ou du département responsable des services ou clients affectés, le délégué à la protection des données est uniquement informé, pas consulté. Cela est conforme à l'article 38.1 du RGPD combiné à l'article 39.1.
a)du RGPD qui exige que le délégué à la protection des données ait un rôle consultatif à l'égard du responsable du traitement, mais ne soit pas coresponsable de la décision finale. Sur cette base, la Chambre Contentieuse confirme que le délégué à la protection des données est uniquement informé de la décision finale relative aux risques.” (APD, Décision quant au fond 18/2020 du 28 avril 2020) […] Certes, l’article 37.6 du RGPD prévoit que : “Le délégué à la protection des données peut être un membre du personnel du responsable du traitement ou du sous-traitant, ou exercer ses missions sur la base d'un contrat de service.” Être membre du personnel d’un sous-traitant ne signifie pas être sous-traitant soi- même. Cette disposition vise surtout le fait qu’un sous-traitant peut avoir lui-même un DPO auquel il peut se référer, lequel peut être engagé dans les liens d’un contrat de travail (C. DE Terwangne et K. Rosier, Le Règlement général sur la protection des données – analyse approfondie, Bruxelles, Larcier, 2018, pp. 569-570). Dans ce cas, le DPO peut effectivement être travailleur du sous-traitant, mais dans une telle hypothèse, le risque de conflit d’intérêts est important et il appartient au responsable ou au sous-traitant de veiller à l’absence de tels conflits. L’APD indique dans le même sens : “De functionaris voor gegevensbescherming van de verweerder vervult naast die functie ook de functie van directeur audit, risk en compliance bij de verweerder. Uit dit dossier blijkt dat de functionaris voor gegevensbescherming zich niet in een positie bevindt die voldoende vrij is van een belangenconflict (zoals opgelegd door artikel 38, lid 6 AVG) en onvoldoende wordt betrokken bij de discussies over inbreuken in verband met persoonsgegevens (zoals opgelegd door artikel 38, lid 1 AVG). (…) Belangenconflict bij de functionaris voor gegevensbescherming • Conflicterende taken. De verweerder stelt in zijn schrijven van 03/04/2019 en van 12/06/2019 dat zijn functionaris voor gegevensbescherming enkel een adviserende rol heeft en geen beslissingen kan nemen over het doel en de middelen van de verwerking wat ook vermeld wordt in de [Richtlijnen voor functionarissen voor gegevensbescherming (Data Protection Officer, DPO) van de Groep] . 2 Het bestaan van een belangenconflict is echter niet beperkt tot de gevallen waar een persoon het doel en de middelen van de verwerking bepaalt. Belangenconflicten moeten steeds geval per geval worden beoordeeld. Het voormelde schrijven van de verweerder toont aan dat haar functionaris voor gegevensbescherming meer doet dan de verweerder intern te adviseren aangezien die persoon binnen Y (de verweerder) conflicterende taken uitvoert die een aanzienlijke operationele verantwoordelijkheid inhouden voor gegevensverwerkingsprocessen die vallen onder het domein audit, risk en compliance. • Pragmatische benadering in Duitsland en in rechtsleer, VIexturg - 22.369 - 15/33 3 die […] verwijzen naar criteria zoals

(1)het al dan niet bestaan van zelfcontrole door een toonaangevende functiehouder binnen de onderneming,

(2)het al dan niet bestaan van interne regels voor belangenconflicten, en

(3)het dragen van een belangrijke operationele verantwoordelijkheid met een impact op persoonsgegevens, ... • De verweerder had tot voor kort geen beleid om belangenconflicten te voorkomen. Pas na aangetekende brieven van de GBA van 04/03/2019 en 16/05/2019 die de positie van de functionaris voor gegevensbescherming in vraag stelden werd via het schrijven van de verweerder van 12/06/2019 een niet gedateerd document “Y (verweerder) DPO Charter” bezorgd, dat nog moest worden geagendeerd voor het Audit en Compliance Comité in juli 2019 (zoals vermeld op pagina 6 van voormeld schrijven van de verweerder). Het opmaken van een dergelijk document impliceert niet dat daarmee afdoende is aangetoond dat de functionaris voor gegevensbescherming onafhankelijk werkt”. VIexturg - 22.369 - 16/33 La doctrine ajoute que : “Tout membre du personnel peut être amené à gérer des traitements de données au sein de l’organisation : le juriste qui gère des dossiers contentieux, le responsable des ressources humaines qui est à la manœuvre pour le traitement de données relatives aux employés, etc. Un élément déterminant pourrait être le pouvoir décisionnel ou non qu’a le délégué à la protection des données dans l’exercice de son autre fonction. En ce sens, le Groupe 29 mentionne une série de fonctions qui ne seraient a priori pas compatibles avec la fonction de délégué à la protection des données et qui ont en commun d’être celles de dirigeants de l’entreprise ou de départements d’une organisation (…) Un autre cas de figure est celui du délégué à la protection des données désigné par contrat de service et qui est extérieur à l’organisation. L’absence de conflit d’intérêts peut être liée aux tâches confiées (un délégué intervenant comme consultant, mais qui serait sollicité pour d’autres missions au sein de l’organisation du responsable du traitement ou du sous-traitant, un avocat qui agirait comme délégué à la protection des données et qui ne pourrait défendre l’entité en justice sur ces questions), aux clients d’une personne morale qui auraient des intérêts opposés, mais également à la situation du tiers par rapport par exemple à une autorité de contrôle. On imagine mal une personne siégeant dans une autorité de contrôle intervenir comme délégué à la protection des données dans une quelconque organisation.” (RGPD, op cit, p. 579). En l’espèce, les missions confiées au DPO, notamment le fait de traiter des données comme sous-traitant, mais également d’implémenter et de guider directement l’implémentation du RGPD sont clairement incompatibles avec le statut de DPO. De plus, le DPO désigné sera constamment en conflit d’intérêts par rapport aux missions qui lui seront confiées, ce qui le mettra en infraction avec le RGPD ou en infraction contractuelle avec le pouvoir adjudicateur. Le cahier spécial des charges précise d’ailleurs que l’adjudicataire devra traiter des données en qualité de sous-traitant tout en se conformant aux instructions des adjudicateurs, alors même que le RGPD interdit que l’adjudicateur reçoive de telles instructions. À cet égard, le cahier spécial des charges prévoit que si l’adjudicataire refuse à plusieurs reprises d’exécuter les missions confiées (par exemple, car le risque d’un conflit d’intérêts serait trop manifeste ?), il se retrouvera en bas de liste, ce qui le pénalisera pour la suite de l’exécution du marché (article 2.15 du CSC). Toutes ces missions confiées sont donc incompatibles les unes avec les autres, et génèreront une multitude de conflits d’intérêts dans le chef de l’adjudicataire qui sera contrôleur et contrôlé, DPO et Sous-traitant, implémentateur du RGPD et conseiller supposé indépendant, le tout avec des risques de sanctions en cas de non-accomplissement des missions. […] Les parties requérantes ont tenté d’attirer l’attention du pouvoir adjudicateur sur ce problème du cahier des charges de la manière suivante : VIexturg - 22.369 - 17/33 Il aurait pourtant été aisé de démêler ce problème, en allotissant le marché de sorte que les tâches de DPO soient confiées à des adjudicataires qui n’auraient pas pu occuper les autres fonctions, missions et livrables visés par le marché. Tel n’a pas été le choix réalisé par le pouvoir adjudicateur. Le troisième acte attaqué méconnaît donc les articles 4 (distinction entre le DPO, le responsable et le sous-traitant), 25 (protection des données dès la conception), 38 et 39 (missions et fonctions du DPO) du RGPD puisqu’il confond manifestement les fonctions de sous-traitant, de responsable et de DPO et met sur la tête de l’adjudicataire des obligations incompatibles les unes avec les autres. Les missions confiées étant incompatibles, l’attribution ne pouvait pas se réaliser légalement sur cette base ni dans la moindre transparence, de sorte que les articles 4 et 81 de la loi du 17 juin 2016 sont également violés. L’article 143 de la Constitution (conflits d’intérêts) et le principe général éponyme sont pareillement violés puisque le Cahier spécial des charges a pour effet de créer un conflit d’intérêts à charge de l’adjudicataire. Le cahier spécial repose encore sur une erreur de droit puisqu’il permet de confier des missions incompatibles entre elles à la même personne. Pour toutes ces raisons, le troisième acte attaqué est illégal et doit être suspendu. Il doit à tout le moins être écarté par voie incidente, sur base de l’article 159 de la Constitution, sauf à violer également cette disposition. Les deux décisions d’attribution qui reposent sur ce CSC illégal doivent être suspendues. Puisqu’elles confient des missions incompatibles entre elles à des personnes identiques, elles violent en outre les principes de motivation au fond et en la forme, ainsi que les lois de 1991 et de 2013 qui consacrent le principe de motivation formelle, ainsi que les différentes dispositions normatives indiquées ci-dessus. » Dans une deuxième branche, les requérantes soutiennent que le deuxième critère d’attribution du marché se confond avec des critères de sélection, ce que la réglementation sur les marchés publics interdit. Elles ajoutent que cette VIexturg - 22.369 - 18/33 confusion entre critères de sélection et d’attribution est confirmée dans la décision d’attribution qui utilise largement les expériences mentionnées dans le cadre de la sélection qualitative pour évaluer les offres au regard du deuxième critère d’attribution. Elles développent leur argumentation comme il suit : « Selon la doctrine, la “sélection qualitative est une étape qui doit permettre au pouvoir adjudicateur d’écarter des soumissionnaires parce qu’ils sont dans une cause d’exclusion ou parce qu’ils ne présentent pas les garanties suffisantes attestant de leur capacité économique, financière ou technique à effectuer tel ou tel march” (P. Thiel, Memento de marchés publics et PPP, 2020, p. 323.) Les critères d’attribution permettent quant à eux de sélectionner la meilleure offre. Les critères d’attribution peuvent être de plusieurs natures, mais, tout comme il l’a été précisé ci-dessus, sont encadrés par la loi et l’enseignement de la pratique et de la jurisprudence. À cette fin, ne peuvent constituer des critères d’attribution les critères qui ne visent pas à identifier l’offre économiquement la plus avantageuse, mais qui sont liés essentiellement à l’appréciation de la capacité technique et professionnelle des soumissionnaires à exécuter le marché en question. 1. Les critères d’attribution utilisés visent en réalité à démontrer que les adjudicataires “présentent (…) les garanties suffisantes attestant de leur capacité (…) technique à effectuer” le Marché : il s’agit d’un critère de sélection qualitative. Une telle confusion entre les critères de sélection et d’attribution n’est pas permise par la législation. 2. La confusion est encore plus flagrante lorsqu’est examinée la méthode utilisée par le pouvoir adjudicateur pour analyser les offres dans les deux décisions d’attribution querellées. Si le pouvoir adjudicateur laissait, dans le CSC, la possibilité d’ “illustrer la note par des exemples de réalisation antérieure”, les décisions d’attribution se limitent essentiellement à lister de manière peu claire ou cohérente les différentes réalisations, transformant ce critère en une seconde sélection qualitative. Ainsi : “ Approach Belgium, vu que : (…) Expertise en tant que service de cybersécurité et protection de données. Nombreuses expériences positives dans la mise en conformité RGPD. DPO pour plusieurs organisations”. Cette appréciation vise clairement et uniquement la capacité technique d’Approach Belgium. Il en est de même des appréciations suivantes : “Nombreuses expériences acquises dans le secteur du logement”; “connaissance des spécificités des SLSP”; “connaissance de l’écosystème technique et organisationnel des SLSP”. Il en est de même pour les autres adjudicataires : ATAYA : “spécialisé dans la protection des données depuis de nombreuses années”; “Nombreuses expériences positives”; “Nombreuses expériences acquises dans le secteur du logement wallon et bruxellois”; “Approche basée sur une grande expérience acquise auprès des nombreuses sociétés de logements sociaux”. CONSULTIS BE SRL : “expertise dans les systèmes des audits organisationnels et managériaux”; “Nombreuses expériences positives dans la mise en conformité RGPD”; VIexturg - 22.369 - 19/33 “DPO pour plusieurs organisations”; “Mise en avant d’une expérience en matière de mise en conformité au RGPD”. CRANIUM BELGIUM : “expertise dans la sécurité de l’information et la protection de la vie privée”; “nombreuses expériences positives dans la mise en conformité RGPD”; “DPO pour plusieurs organisations”. CTI CONSULTING SRL : “Expertise dans l’IT, la sécurité de l’information et la protection de la vie privée”; “Nombreuses expériences positives dans la mise en conformité RGPD; “DPO pour plusieurs organisations”; E&V Partners : “Expertise dans l’IT, la sécurité de l’information et la protection de la vie privée”; “nombreuses expériences positives dans la mise en conformité RGPD DPO pour plusieurs organisations”. MIELABELO SRL : “Consultant dans plusieurs SLSP et administrations publiques wallonnes” NAXOS et co.”; “Consultant dans plusieurs SLSP et administrations publiques wallonnes”. NETWORK RESEARCH BELGIUM SA : “Spécialisé dans l’ICT et la sécurité de l’information”; “Partenaire disposant d’expertises multidisciplinaires”; “nombreuses expériences positives”. OCTOGONE : “nombreuses expériences positives dans la mise en conformité RGPD”; “DPO pour plusieurs organisations”; “Mise en avant des expériences en tant que DPO pour plusieurs SLSP”. PRIVANOT : “DPO pour plusieurs organisations.”; “Nombreuses expériences positives dans la mise en conformité”; “Expérience dans de nombreuses institutions publiques dont une SLSP”. Ces mentions des deux premiers actes attaqués confirment que le deuxième critère utilisé a en réalité consisté surtout à examiner les expériences passées des soumissionnaires, c’est-à-dire à clairement confondre les critères d’attribution et de sélection qualitative, et à comparer les offres sur base de critères qui auraient dû être retenus pour la sélection qualitative (déjà réalisée, par ailleurs, par d’autres critères). Compte tenu de ces éléments, les articles 10 et 11 de la Constitution et 4 de la loi sur les marchés publics sont violés, puisque les principes d’égalité et de non- discrimination sont méconnus par les actes attaqués qui font référence à des critères d’attribution du CSC et leur application dans les décisions d’attribution qui sont interprétés de manière arbitraire, non cohérente et en confusion totale dans les notions de critères de sélection et d’attribution (articles 71 et 81 de la loi sur les marchés publics). La motivation formelle du premier acte attaqué est également inadéquate, à défaut de clairement séparer les notions de critères de sélection et d’attribution, et d’interpréter les critères d’attribution comme des critères de sélection (expérience passée de candidat, etc.). Aucun motif régulier au fond n’est, de même, présent au sein des deux actes querellés, qui confondent les deux notions, de sorte que les deux actes querellés sont illégaux. » V.2. Appréciation du Conseil d’État Quant à la première branche VIexturg - 22.369 - 20/33 L’article 4, 7°, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE (ci-après « RGPD ») définit le « responsable du traitement » comme « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement […] ». L’article 4, 8°, du même règlement définit le « sous-traitant » comme « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ». L’article 24 du RGPD précise la « Responsabilité du responsable du traitement » en ces termes : « 1. Compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement. Ces mesures sont réexaminées et actualisées si nécessaire. 2. Lorsque cela est proportionné au regard des activités de traitement, les mesures visées au paragraphe 1 comprennent la mise en œuvre de politiques appropriées en matière de protection des données par le responsable du traitement. 3. L'application d'un code de conduite approuvé comme le prévoit l'article 40 ou de mécanismes de certification approuvés comme le prévoit l'article 42 peut servir d'élément pour démontrer le respect des obligations incombant au responsable du traitement. » L’article 25 du même règlement intitulé « Protection des données dès la conception et protection des données par défaut » précise ce qui suit : « 1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, que présente le traitement pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre, tant au moment de la détermination des moyens du traitement qu'au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en œuvre les principes relatifs à la protection des données, par exemple la minimisation des données, de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du présent règlement et de protéger les droits de la personne concernée. 2. Le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. Cela s'applique à la quantité de données à caractère personnel collectées, à l'étendue de leur traitement, à leur durée de conservation et à leur accessibilité. En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre VIexturg - 22.369 - 21/33 indéterminé de personnes physiques sans l'intervention de la personne physique concernée. 3. Un mécanisme de certification approuvé en vertu de l'article 42 peut servir d'élément pour démontrer le respect des exigences énoncées aux paragraphes 1 et 2 du présent article. » Les articles 37 à 39 du RGPD sont relatifs au « délégué à la protection des données », désigné par l’abréviation « DPO » pour Data protection Officer. L’article 37 détermine les cas dans lesquels un DPO est désigné. Le paragraphe 5 de cette disposition prévoit qu’il « est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir les missions visées à l'article 39 ». Quant au paragraphe 6, il précise que « [l]e délégué à la protection des données peut être un membre du personnel du responsable du traitement ou du sous-traitant, ou exercer ses missions sur la base d'un contrat de service ». Ceci implique qu’il peut être désigné par voie de marché public, comme c’est le cas en l’espèce. Les articles 38 et 39 précisent la fonction et les missions du délégué à la protection des données. Ces dispositions sont rédigées comme il suit : « Article 38 – Fonction du délégué à la protection des données 1. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel. 2. Le responsable du traitement et le sous-traitant aident le délégué à la protection des données à exercer les missions visées à l'article 39 en fournissant les ressources nécessaires pour exercer ces missions, ainsi que l'accès aux données à caractère personnel et aux opérations de traitement, et lui permettant d'entretenir ses connaissances spécialisées. 3. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données ne reçoive aucune instruction en ce qui concerne l'exercice des missions. Le délégué à la protection des données ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l'exercice de ses missions. Le délégué à la protection des données fait directement rapport au niveau le plus élevé de la direction du responsable du traitement ou du sous-traitant. 4. Les personnes concernées peuvent prendre contact avec le délégué à la protection des données au sujet de toutes les questions relatives au traitement de leurs données à caractère personnel et à l'exercice des droits que leur confère le présent règlement. 5. Le délégué à la protection des données est soumis au secret professionnel ou à une obligation de confidentialité en ce qui concerne l'exercice de ses missions, conformément au droit de l'Union ou au droit des États membres. 6. Le délégué à la protection des données peut exécuter d'autres missions et tâches. Le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n'entraînent pas de conflit d'intérêts. Article 39 – Missions du délégué à la protection des données VIexturg - 22.369 - 22/33 1. Les missions du délégué à la protection des données sont au moins les suivantes :

a)informer et conseiller le responsable du traitement ou le sous-traitant ainsi que les employés qui procèdent au traitement sur les obligations qui leur incombent en vertu du présent règlement et d'autres dispositions du droit de l'Union ou du droit des États membres en matière de protection des données;
b)contrôler le respect du présent règlement, d'autres dispositions du droit de l'Union ou du droit des États membres en matière de protection des données et des règles internes du responsable du traitement ou du sous-traitant en matière de protection des données à caractère personnel, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement, et les audits s'y rapportant;
c)dispenser des conseils, sur demande, en ce qui concerne l'analyse d'impact relative à la protection des données et vérifier l'exécution de celle-ci en vertu de l'article 35;
d)coopérer avec l'autorité de contrôle;
e)faire office de point de contact pour l'autorité de contrôle sur les questions relatives au traitement, y compris la consultation préalable visée à l'article 36, et mener des consultations, le cas échéant, sur tout autre sujet. 2. Le délégué à la protection des données tient dûment compte, dans l'accomplissement de ses missions, du risque associé aux opérations de traitement compte tenu de la nature, de la portée, du contexte et des finalités du traitement ». Il se déduit de ces dispositions que le DPO a, outre une mission de contrôle, un rôle d’information et de conseil auprès du responsable du traitement (ou de son sous-traitant). Il exerce, pour le responsable du traitement (ou son sous- traitant) une fonction tant d’accompagnement et de suivi que de contrôle au sens strict. Il est ainsi « associé d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel ». Pour garantir son indépendance, il ne peut recevoir « aucune instruction » en ce qui concerne l’exercice de ses missions et, s’il peut exercer d’autres missions et tâches, « le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n'entraînent pas de conflit d'intérêts ». À peine de se trouver exposé à des tels conflits, le DPO ne peut détenir de pouvoir de décisions sur la politique à mener en matière de protection des données ni décider lui-même de l'implémentation des mesures nécessaires à cette fin. Le DPO ne peut déterminer les finalités et les moyens du traitement des données à caractère personnel ni opérer lui-même ce traitement. Mais le DPO est celui qui conseille le responsable du traitement (ou son sous-traitant) sur la manière dont ces traitements doivent se réaliser. Dans le respect des limites ainsi posées, le DPO peut émettre des avis et des recommandations sur la mise en conformité au RGPD et exercer, dans le même temps, sa mission de contrôle auprès du responsable du traitement (ou son sous-traitant). L’accord-cadre litigieux est divisé en sept lots, constitués par zones géographiques. Dix attributaires sont sélectionnés par lot avec un système de désignation « en cascade » pour chaque commande (marchés subséquents), sur la base du classement des offres établi pour chaque lot. VIexturg - 22.369 - 23/33 Le cahier spécial des charges du marché litigieux décrit, en introduction (tableau en en-tête), l’ « objet de l’accord-cadre » en ces termes : L’objet de l’accord-cadre est précisé plus avant dans les clauses techniques de la deuxième partie du cahier. Il y est mentionné ce qui suit : L’objet du marché implique que les attributaires des différents lots de l’accord-cadre sont désignés comme délégués externes à la protection des données (DPO externes) auprès de la partie adverse ou des SLSP qui passent commande dans le cadre des marchés subséquents. Les clauses techniques du cahier détaillent les types de « missions » qui peuvent être confiées aux attributaires, lesquelles prennent la forme de « livrables ». Les requérantes n’expliquent pas en quoi les missions décrites dans le cahier spécial des charges dépasseraient celles d’un DPO, induiraient des conflits d’intérêts dans son chef ou mettraient en cause son indépendance fonctionnelle. Elles se limitent à alléguer la survenance de tels conflits sans toutefois identifier VIexturg - 22.369 - 24/33 concrètement ces derniers. Dans la mesure où un examen en extrême urgence permet d’en juger, le cahier spécial des charges ne confie pourtant pas aux attributaires des marchés subséquents la mission de décider eux-mêmes de l’implémentation du RGPD et des mesures à mettre en œuvre à cette fin. Ces attributaires semblent pouvoir se cantonner aux rôles de contrôle et de conseil que doit endosser un DPO. Ainsi, le cahier insiste, à plusieurs endroits, sur la fonction d’ « information », d’ « accompagnement », d’ « assistance », de « guidance » et de « conseil » des attributaires auprès de la partie adverse et des SLSP. La mention que « la mission demandée est d’assurer, au sein de la SLSP, la gestion des processus de mise en conformité au RGPD, l’organisation qui en découle et son suivi, ainsi que la mission du DPO » est immédiatement suivie de celle qui précise que l’intervention de l’attributaire a « pour objectif de guider en termes méthodologiques et d’actions les SLSP aux fins d’une mise en conformité au RGPD […] ». Sous le titre « 5.3 implémentation » – dont les requérantes font grand cas –, il est, à nouveau, renvoyé au rôle d’accompagnement et d’assistance du DPO. Et à la question posée, avant le dépôt des offres, par les requérantes qui dénonçaient l’existence de conflits d’intérêts entre les missions de DPO et d’ « implémentation du RGPD », la partie adverse a clairement répondu que les adjudicataires des différents lots du marché, devraient, en tant que DPO, être « en mesure d’accomplir [leurs] tâches de manière indépendante », ce qui implique qu’ils « n’[ont] pas de pouvoir de décision sur les opérations ». Par ailleurs et toujours dans les limites de ce que permet un examen en extrême urgence, il ne paraît pas ressortir des dispositions du cahier spécial des charges que les attributaires des marchés subséquents se verraient attribuer d’autres missions que celles de conseil pour la mise en conformité au RGPD et de contrôle du respect de ce règlement. Les requérantes ne démontrent pas que les attributaires devraient procéder, eux-mêmes, au traitement de données à caractère personnel en qualité de sous-traitants pour le compte de la partie adverse ou des autres bénéficiaires de la centrale d’achat. La partie adverse peut prima facie être suivie lorsqu’elle explique que le point « 2.15.6. Protection des données – traitement des données à caractère personnel » constitue une clause de style qui est insérée dans tous ses cahiers spéciaux des charges, quel que soit le marché, et qu’il s’agit uniquement de rappeler la réglementation applicable en matière de protection et de traitement des données que tout adjudicataire est tenu de respecter dans le cadre de l’exécution d’un marché dès qu’il est lui-même confronté à ce type de données. Il n’est pas inutile, à cet égard, de rappeler que la simple « consultation » ou « utilisation » de données à caractère personnel constitue déjà un « traitement » de données, au sens de l’article 4, 2°, du RGPD. C’est en ce sens qu’il convient, à première vue, de comprendre la disposition du titre 2.15.6. qui prévoit que le « sous- traitant (adjudicataire) reconnaît être soumis aux droits et obligations du RGPD et de VIexturg - 22.369 - 25/33 la LVP spécifiques aux sous-traitants » ainsi que les dispositions suivantes. Le point 2.15.6. – qui est repris dans les clauses administratives de la première partie du cahier – semble, dès lors, bien étranger aux clauses techniques de la deuxième partie du cahier qui définissent l’objet de l’accord-cadre litigieux, les « livrables » et les missions confiées aux attributaires des marchés subséquents à cet accord-cadre. Pour le surplus, les griefs formulés par les parties requérantes quant à la manière dont l’accord-cadre aurait dû, selon elles, être organisé visent à remettre en cause l’appréciation retenue en opportunité par la partie adverse pour répondre à ses propres besoins et à ceux des autres bénéficiaires de la centrale d’achat, en sorte que seule une erreur manifeste d’appréciation pourrait être censurée. Or, les parties requérantes ne font qu’opposer leur propre appréciation à celle retenue par le pouvoir adjudicateur, sans démontrer que les choix posés par ce dernier procéderaient d’une telle erreur. Le moyen unique, en sa première branche, n’est pas sérieux sans qu’il soit nécessaire d’examiner d’autres causes éventuelles de rejet. Quant à la deuxième branche Dans une procédure de passation de marché public, les étapes de la sélection qualitative des soumissionnaires et de la comparaison des offres au regard du ou des critères d'attribution sont distinctes, étant régies par des règles différentes et répondant à des objectifs différents. Ceci implique notamment que les mêmes critères ne peuvent pas être utilisés indifféremment à l'un ou l'autre stade de la procédure. L'attribution du marché se fait après la vérification de l'aptitude des soumissionnaires à exécuter le marché et, à ce stade, ce n'est plus le soumissionnaire qui est évalué, mais la qualité de son offre. Les critères d’attribution ont pour objet de déterminer l'offre économiquement la plus avantageuse. Il ressort de l’article 81 de la loi du 17 juin 2016 relative aux marchés publics que, pour déterminer l’offre économiquement la plus avantageuse, le pouvoir adjudicateur peut déterminer des critères portant notamment sur « l’organisation, les qualifications et l'expérience du personnel assigné à l'exécution du marché » lorsque « la qualité du personnel assigné peut avoir une influence significative sur le niveau d'exécution du marché ». Tel paraît être le cas du présent marché qui a pour objet « la désignation de consultants dans le cadre de la mise en conformité au RGPD ». Pour ce type de marché, il semble permis, dans le cadre des critères d’attribution, de prendre en compte et d’apprécier l’expérience ou d’autres éléments de capacité des équipes assignées, ces éléments pouvant affecter de manière significative la qualité de l’exécution du marché. VIexturg - 22.369 - 26/33 Le point 2.2.2. des clauses administratives du cahier spécial des charges définit les critères de sélection qualitative comme il suit : VIexturg - 22.369 - 27/33 Le point 2.4. des clauses administratives du cahier spécial des charges définit les critères d’attribution en ces termes : VIexturg - 22.369 - 28/33 […] Les requérantes se limitent à énumérer ces différents « critères » sans spécifier en quoi, à leur estime, ils consisteraient en des critères de sélection qualitative. Pour ce qu’un examen de la cause en extrême urgence permet d’en juger, la partie adverse semble pouvoir être suivie lorsqu’elle soutient que les éléments respectivement mobilisés par elle pour les critères de sélection et d’attribution ne sont pas identiques. Au titre de la sélection qualitative, les candidats doivent, d’une part, disposer d’une expérience minimale (quatre références sur les trois dernières années) en matière de mise en conformité au RGPD et d’accompagnement transversal « dans un environnement administratif » (sans autre précision) et, d’autre part, assigner à l’exécution du marché des personnes qui présentent au moins un profil juridique, IT et gestion de projet, disposent de certaines certifications ou ont suivi certaines formations et justifient au minimum quatre années d’expérience dans le domaine de la protection des données. Quant au deuxième critère d’attribution – qui est critiqué par la requérante –, il semble, comme le soutient la partie adverse, se référer aux besoins plus spécifiques de la partie adverse et des SLSP auxquels le marché en cause a plus particulièrement vocation à pourvoir, dès lors qu’il implique la valorisation de compétences qui ont principalement trait à la connaissance du secteur du logement d’utilité publique et à la compatibilité des services à fournir avec les spécificités de ce secteur et des SLSP en particulier. Ce critère d’attribution VIexturg - 22.369 - 29/33 est évalué sur la base d’une note d’intention, à joindre à l’offre, qui doit exposer la méthodologie proposée pour assurer la mise en conformité au RGPD en « expliquant comment le consultant compte aborder le projet en tenant compte notamment de la taille et l’infrastructure de l’organisation, du planning et du délai de réalisation ». Il est précisé que cette note « peut être illustrée par des exemples de réalisations antérieures ». Comme le relève la partie adverse, la méthodologie de travail sera d’autant plus convaincante et adaptée aux besoins que les soumissionnaires peuvent démontrer que leurs équipes disposent d’une expérience et d’une connaissance du secteur du logement d’utilité publique, des SLSP en particulier, et de leurs spécificités pour ce qui concerne la protection et le traitement des données. Prima facie, les critères de sélection et d’attribution précités n’impliquent pas de redondance. La partie adverse applique au seul stade de l’attribution du marché un critère qui n’a pas servi à sélectionner les soumissionnaires sur leur capacité technique et professionnelle à exécuter le marché. Du reste, les requérantes n’exposent pas en quoi – ni a fortiori ne démontrent que – le deuxième critère d’attribution relatif à « la méthodologie proposée » ne permettrait pas de départager les offres entre elles afin de déterminer l’offre économiquement la plus avantageuse, eu égard aux besoins spécifiques que le marché litigieux entend couvrir. Quant à la méthode utilisée par la partie adverse pour évaluer ce second critère d’attribution, le rapport d’analyse des offres auquel renvoie la décision d’attribution précise ce qui suit : VIexturg - 22.369 - 30/33 Dans sa requête, les requérantes ne reproduisent que des extraits choisis du rapport d’analyse des offres, qui pointent « les expériences passées » des différents soumissionnaires alors qu’une lecture intégrale de l’analyse effectuée rend compte de ce que nombre d’éléments retenus dans l’appréciation n’ont rien à voir avec l’expérience des soumissionnaires. Par ailleurs, les « expériences passées » identifiées par la partie adverse sont essentiellement en rapport avec le secteur du logement d’utilité publique et des SLSP en particulier. Comme il vient d’être exposé, ces expériences permettent aux soumissionnaires de valoriser leurs compétences à cet égard et de montrer l’adaptabilité de leur projet au contexte particulier des SLSP. Or, ces éléments ne sont pas vérifiés lors de la sélection qualitative. Les éléments d’expérience retenus dans l’appréciation du deuxième critère d’attribution se distinguent des seuils minimaux à démontrer dans le cadre de la sélection qualitative (cf supra). Du reste, les requérantes ne soutiennent pas que la partie adverse aurait, à l’occasion de l’évaluation des offres, fait une application incorrecte des critères de sélection et d’attribution prévus par le cahier spécial des charges ou que l’appréciation faite des différentes offres et de leur offre, en particulier, procéderait d’une erreur manifeste d’appréciation. Le moyen unique, en sa deuxième branche, n’est pas sérieux, sans qu’il soit nécessaire d’examiner d’autres causes éventuelles de rejet. VI. Confidentialité Les requérantes demandent la confidentialité de leur offre et de ses annexes qu’elles déposent, afin de ne pas nuire au secret des affaires. Il s’agit de la pièce 6 annexée à la requête. VIexturg - 22.369 - 31/33 La partie adverse formule la même demande pour les offres qu’elle dépose ainsi que pour l’annexe au rapport d’analyse des offres du 2 juin 2022 relatif au contrôle des prix des différentes offres. Il s’agit des pièces B, E, G, H, K et P du dossier administratif. Ces demandes n’étant pas contestées, il y a lieu, à ce stade de la procédure, de maintenir la confidentialité des pièces concernées. PAR CES MOTIFS, LE CONSEIL D’ÉTAT DÉCIDE : Article 1er. La demande de suspension d’extrême urgence est rejetée. Article 2. L’exécution immédiate du présent arrêt est ordonnée. Article 3. La pièce 6 annexée à la requête et les pièces B, E, G, H, K et P du dossier administratif sont, à ce stade de la procédure, tenues pour confidentielles. Article 4. Les dépens, en ce compris l’indemnité de procédure, sont réservés. Ainsi prononcé à Bruxelles, en audience publique de la VIe chambre siégeant en référé, le 15 juillet 2022, par : Florence Piret, conseiller d’État, président f.f., Nathalie Roba, greffier. Le Greffier, Le Président, VIexturg - 22.369 - 32/33 Nathalie Roba Florence Piret VIexturg - 22.369 - 33/33 Document PDF ECLI:BE:RVSCE:2022:ARR.254.281 Publication(
s)liée(
s)suivi par: ECLI:BE:RVSCE:2022:ARR.254.907 Imprimer cette page Taille d'impression S M L XL Nouvelle recherche JUPORTAL Fermer l'onglet <div

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.