CE, arrêt n°246532, du 23/12/2019, SA VENTURIS

En décidant que, dans le cadre d’un marché de recouvrement de créances, son sous-traitant ne pourrait transférer les données hors de l’Union européenne que dans un pays bénéficiant d’une décision d’adéquation, le pouvoir adjudicateur n’a, prima facie, pas violé les articles 28 et 44 à 50 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. Il ne paraît pas davantage avoir méconnu les principes généraux de droit administratif, particulièrement le principe de proportionnalité. Il a, en effet, pu raisonnablement choisir de n’avoir égard qu’à l’hypothèse de transfert de données vers des pays tiers qui lui permette de s’assurer sans doute le plus facilement du respect des obligations qui lui incombent, en sa qualité de responsable du traitement, au titre de l’article 5 du R.G.P.D.