Ce que le cahier des charges exige fonctionnellement est une exigence minimale — même si les mots 'obligatoire' ou 'module' n'apparaissent jamais
Le Conseil d'État refuse la suspension : un outil que le cahier des charges exige de pouvoir effectuer des analyses 'natives' au regard des normes ISO 9001, 14001 et 45001 est une exigence minimale au sens de l'article 76 de l'arrêté royal de passation — ne pas démontrer cette fonctionnalité rend l'offre substantiellement irrégulière, même si le document ne mentionne jamais le mot 'modules'.
Que s'est-il passé ?
L'intercommunale IGRETEC a passé un marché de services de 355.500 € HTVA pour l'accompagnement de sa certification ISO/IEC 27001 et la mise en place d'une culture et d'un outil de gestion des risques. Procédure ouverte, publication européenne. Quatre soumissionnaires : Ataya & Partners, Mielabelo, Collaboration Betters The World et Privacy Praxis. Le rapport d'attribution du 28 juin 2023 recommandait Mielabelo, le bureau exécutif a attribué le 4 juillet. L'offre de Privacy Praxis a été déclarée nulle sur la base de l'article 76, § 1er, alinéa 4, 3°, de l'arrêté royal du 18 avril 2017 : l'outil unique proposé manquait les modules permettant de réaliser de manière 'native' les analyses de maturité et d'écart par rapport à ISO/IEC 9001, 14001 et 45001. Privacy Praxis a introduit un recours en suspension d'extrême urgence avec trois arguments : (1) le CSC ne mentionne nulle part l'obligation de joindre de tels 'modules', (2) la fonctionnalité n'est pas qualifiée d'exigence minimale ou substantielle, et (3) leur outil couvre les fonctionnalités demandées via les modules 27001, GDPR et gestion des risques. Le Conseil a rejeté les trois. La partie technique du CSC énumérait comme première fonctionnalité de l'outil 'des analyses de maturité et d'écart de manière native par rapport aux standards ISO/IEC 27001, 27005, 9001, 14001, 45001, NIST, OWASP, GDPR'. Combinée à la mention 'au minimum', à la mise en gras des obligations principales et à l'exigence de remettre une 'note détaillée' démontrant chaque fonctionnalité, cette énumération constitue prima facie une exigence minimale au sens de l'article 76. Une exigence minimale n'a pas besoin d'être qualifiée de 'substantielle' — il suffit que le rédacteur ait voulu lui donner cette portée, parce que sa méconnaissance affecte l'égalité, la comparabilité ou la bonne exécution. Privacy Praxis affirmait que son 'Smart Global Governance' couvrait 27001 et GDPR, mais restait muette sur 9001, 14001 et 45001 — précisément les standards sur lesquels portait le grief. L'argument d'inégalité de traitement n'a pas tenu : Privacy Praxis ne démontrait pas que les autres soumissionnaires aient été interrogés sur les mêmes lacunes avant exclusion. Deux autres soumissionnaires offraient le même 'Smart Global Governance' et avaient déposé des offres régulières — preuve que les mêmes informations étaient disponibles. Le second moyen — caractère illégal du CSC pour défaut de transparence — a aussi échoué : le CSC n'impose pas des modules, il exige une solution unique ; les modules dépendent du choix du soumissionnaire. Le 'rapport d'analyse des offres' a été qualifié d'acte préparatoire non attaquable. La décision implicite de non-attribution a été déclarée irrecevable, l'offre n'ayant pas été évaluée au regard des critères. Suspension rejetée. Privacy Praxis paie le droit de rôle (200 €), la contribution (24 €) et l'indemnité de procédure (770 €).
Pourquoi c'est important ?
Beaucoup de soumissionnaires — et de pouvoirs adjudicateurs — pensent qu'une exigence n'est 'minimale' ou 'substantielle' que si le document l'étiquette ainsi. C'est faux. L'article 76 de l'arrêté royal distingue trois types d'irrégularité substantielle, et le troisième — non-respect des exigences minimales et des exigences indiquées comme substantielles — est lu fonctionnellement par le Conseil d'État : une clause est une exigence minimale quand son rédacteur a voulu lui donner cette portée. Indicateurs : listes de ce que l'outil doit 'au minimum' faire, passages en gras, insistance répétée, note détaillée requise par fonctionnalité. Pour les soumissionnaires, cela signifie que vous ne pouvez pas vous en tirer avec un 'notre outil couvre tout' générique — vous devez prouver chaque norme citée. En manquer une, en procédure ouverte, oblige le pouvoir adjudicateur à déclarer l'offre nulle sans marge d'appréciation.
La leçon
Lisez le cahier des charges fonctionnellement, pas typographiquement. Si un outil doit 'nativement' effectuer des analyses au regard d'une liste de normes, chaque élément de cette liste est une exigence minimale. Soumettez et oubliez-en un ? Votre offre est déclarée nulle sans que le pouvoir adjudicateur puisse poser de questions ni autoriser la régularisation. Indiquez par norme comment votre outil effectue l'analyse, et si vous couvrez via un autre mécanisme ou une norme équivalente, expliquez pourquoi — ne vous arrêtez pas aux normes les plus faciles. Pour les pouvoirs adjudicateurs : une liste de fonctionnalités 'natives' dans une clause 'au minimum' est un appui juridique solide, même sans le label 'substantielle'.
Posez-vous la question
Votre cahier des charges contient-il un passage comme 'l'outil devra permettre... [liste de normes ou fonctionnalités]' ? Le soumissionnaire retenu a-t-il démontré chaque élément individuellement ? Sinon, son offre est substantiellement irrégulière et doit — en procédure ouverte ou restreinte — être déclarée nulle. En tant que soumissionnaire : avez-vous traité chaque fonction 'native' individuellement, ou vous reposez-vous sur une déclaration générale ?
À propos de cette base de données
Le Conseil d'État (Raad van State) est la plus haute juridiction administrative de Belgique. En matière de marchés publics — de l'attribution d'un contrat à l'exclusion d'un soumissionnaire — le Conseil d'État tranche en dernier ressort. Les arrêts de cette base de données sont résumés par TenderWolf en langage clair, avec des leçons pratiques pour les soumissionnaires et les pouvoirs adjudicateurs. Voir tous les arrêts →