CE, arrêt n°253677, du 06/05/2022, ASBL CENTRE INTERDISCIPLINAIRE DE BENCHMARKING ECONOMIE ET SANTE

L’association intercommunale VIVALIA n’est pas qu’un « simple pouvoir adjudicateur » qui ne disposerait d’aucune compétence en matière de protection des données. L’objet du marché litigieux, qui inclut le traitement de données à caractère personnel qui concernent notamment la santé, la rend « responsable du traitement » de ces données, au sens du RGPD. Elle est, dès lors, responsable du respect de ce règlement pour le traitement des données à caractère personnel qu’elle confie à l’attributaire du marché (article 5 du RGPD). La question du respect du RGPD concerne, certes, l’exécution du contrat, mais constitue également une « spécification technique » du marché. De par sa nature, cette spécification constitue une « exigence minimale » à laquelle les offres remises doivent nécessairement satisfaire. Son respect doit, dès lors, être vérifié par le pouvoir adjudicateur au stade du contrôle de la conformité des offres, avant d’attribuer le marché.