Decision ID: 19ffe82d-afba-5703-bca8-a90ea4c492f4
Year: 2012
Language: fr
Court: GE_CJ
Chamber: GE_CJ_013
Canton: GE
Region: Région lémanique
Law Area: public_law

EN FAIT
1. Dès lors que les moyens d’authentification de leur personnel étaient devenus obsolètes, les Hôpitaux universitaires de Genève (ci-après : HUG) ont désiré remédier à la situation et lancé un appel d’offres, en procédure ouverte, publié dans la Feuille d’Avis Officielle de la République et Canton de Genève le 29 août 2011. Le marché était composé de deux lots: un système d’authentification intégré et un moyen d’authentification biométrique, de sorte à ce que les intimés acquissent une nouvelle solution de signature unique.
Les offres devaient être envoyées aux HUG jusqu’au 10 octobre 2011. Un délai était fixé au 23 septembre 2011 pour formuler des questions par écrit. Des variantes étaient admises. Le dossier d’appel d’offres était disponible à l’adresse www.simap.ch jusqu’au 7 octobre 2011. Cet appel d’offre pouvait faire l’objet d’un recours à la chambre administrative de la Cour de justice (ci-après: la chambre administrative) à Genève.
Le marché serait adjugé selon les critères et la pondération suivants :
- coûts d’acquisitions et d’exploitation sur 5 ans 40 %
- adéquation fonctionnelle et technique 40 %
- pérennité du soumissionnaire et du produit 20 %.
Le cahier des charges fonctionnel et technique précise que « le mécanisme de saisie automatique des mots de passe doit pouvoir fonctionner lorsque l’utilisateur n’est pas connecté au réseau à condition qu’il ait pu se connecter une première fois à la solution SSO sur le réseau interne HUG » (no 6.3, p. 35). Une copie de la représentation numérique du facteur biométrique peut être faite sur les postes clients afin notamment de permettre une connexion en l’absence du réseau informatique des HUG (no 9.1 p. 45).
2. Le 10 octobre 2011, il a été procédé à l’ouverture des offres. Trois entreprises avaient soumissionné: Telecom Systems S.A., Evidian et Avencis S.A. (ci-après : Avencis).
3. Avencis est une société française active dans la sécurisation des accès aux systèmes d’information, sise 8 Passage Brulon, à Paris.
Elle propose des « solutions » notamment pour les établissements de santé, visant à permettre au personnel soignant et administratif d’accéder rapidement au système d’information hospitalier (SIH) de manière sécurisée, en protégeant la confidentialité des données des patients.
4. Après avoir écarté l’offre de Telecom Systems S.A, car elle ne répondait pas à leurs critères de sélection, les HUG ont informé Avencis, le 12 décembre 2011, que le marché était adjugé à la société Evidian. Elle obtenait le deuxième rang sur deux offres évaluées.
5. Le 16 décembre 2011, agissant en personne, Avencis a recouru contre cette décision auprès de la chambre administrative de la Cour de justice (ci-après : la chambre administrative), demandant à ce que son offre soit réexaminée.
Son offre était plus favorable aux intimés que celle d’Evidian en matière de performance et de disponibilité.
Le stockage des données du personnel des HUG devait respecter les usages et l’art en matière de sécurité, par l’utilisation d’un cache local stocké non pas dans le poste de travail, tel que le proposait Evidian, mais dans le lecteur biométrique lui-même, soit la solution qu’elle proposait. L’utilisation de solutions biométriques était soumise à l’agrément du Bureau de la protection des données et de la transparence à Genève (ci-après : BPDT).
Le prix était un critère discriminant dans le choix opéré par les HUG, qui ne permettait pas de répondre aux exigences légales en matière de sécurisation des données.
La recourante produisait un courriel émanant du BPDT, lequel indiquait que le traitement de données personnelles devait respecter le principe de la proportionnalité et que la sécurité des données devait être garantie par les HUG et également par un sous-traitant. Une solution proposée par un tiers ne permettant pas la sécurité des données collectées notamment dans le cadre du système de biométrie ne pouvaient pas être validées par les HUG, ni par le BPDT. Des tests étaient nécessaires. Des informations complémentaires relatives au choix du système de reconnaissance biométrique étaient disponibles sur le site internet du préposé cantonal à la protection des données.
6. Le 9 février 2012, les HUG ont conclu à l’irrecevabilité du recours, subsidiairement à son rejet ainsi qu’à la condamnation de la recourante aux frais et dépens.
La restitution de l’effet suspensif n’ayant pas été demandée, ils avaient conclu le marché avec Evidian.
Chacun des deux lots visés par l’appel d’offres devaient comprendre les éléments suivants : des prestations d’intégration logicielles, d’accompagnement, d’assistance au démarrage et d’assistance aux utilisateurs; des prestations de formation ; des prestations de documentation ; de maintenance. De plus, le soumissionnaire devait offrir les solutions suivantes (les variantes étaient autorisées) :
un lecteur biométrique à contact utilisant l’empreinte digitale ;
un lecteur biométrique sans contact utilisant les technologies des réseaux veineux.
Le recours n’était pas recevable au sens de la loi de procédure applicable. Il ne remplissait ni les conditions d’un recours ni celles d’une demande de reconsidération. La motivation était insuffisante. Avencis se bornait à affirmer que la solution proposée par Evidian et choisie par les HUG ne correspondait pas aux exigences de sécurité des données, sans indiquer la violation d’une base légale. Un tel grief d’opportunité ne relevait pas du pouvoir d’examen de la chambre administrative. La recourante ignorait le contenu de l’offre soumise par Evidian. Dès lors, son recours tombait à faux.
Les critères étaient les suivants :
- coûts d’acquisition et d’exploitation sur cinq ans (pondération : 40 %)
- adéquation fonctionnelle et technique (pondération : 40 %)
- pérennité du soumissionnaire et du produit (pondération : 20 %)
Le critère du prix et/ou sa pondération ne pouvait plus être contesté par la recourante une fois passé le délai de recours mentionné lors de la publication de l’appel d’offres.
Le lecteur biométrique à contact d’Evidian n’impliquait pas le stockage de l’empreinte digitale mais uniquement le stockage de la représentation numérique de l’empreinte dans la station de travail. Il était impossible de reconstruire l’image de l’empreinte à partir d’une représentation numérique. Cette solution disposait d’un mécanisme de cache local similaire à celui d’Avencis mais à un coût moindre.
L’offre d’Evidian était meilleure que celle d’Avencis selon les critères établis par les intimés, raison pour laquelle l’offre de la recourante n’avait pas été retenue.
La loi fédérale sur la protection des données régissait uniquement le traitement de données concernant des personnes physiques et morales effectué par des personnes privées ou des organes fédéraux et non par des institutions publiques cantonales. La loi genevoise sur l’information du public, l’accès aux documents et la protection des données personnelles, en revanche, était applicable. Le courriel du BPDT n’émettait aucun avis sur l’offre d’Evidian. L’appel d’offre avait précisément été effectué en collaboration avec le BPDT. L’agrément n’était en aucun cas une obligation légale. La chambre administrative n’avait pas le pouvoir d’examiner la conformité de la décision d’adjudication à la législation sur la protection des données.
7. Le 10 février 2012, Avencis a transmis à la chambre administrative un complément d’information à l’appui de son recours.
Le document traitait de méthodes d’authentification et d’aspect techniques de l’enregistrement de données ainsi que de leur protection, suivant les systèmes que la recourante proposait.
8. Le 15 février 2012, les HUG ont demandé à la chambre administrative d’écarter cette pièce du dossier. Ils n’avaient pas connaissance de l’octroi d’un délai pour communiquer des observations. De plus, le courrier n’était ni daté ni signé.
9. Le 23 février 2012, les parties n’ayant pas formulé de requête complémentaire, la cause a été gardée à juger.

EN DROIT
1. Le marché offert est soumis notamment à l’Accord intercantonal sur les marchés publics du 25 novembre 1994 (AIMP -
L 6 05
), au règlement sur la passation des marchés publics du 17 décembre 2007 (RMP -
L 6 05.01
), à la loi autorisant le Conseil d’Etat à adhérer à l’accord intercantonal sur les marchés publics du 12 juin 1997 (L-AIMP -
L 6 05.0
), ainsi qu’à la loi sur la procédure administrative du 12 septembre 1985 (LPA -
E 5 10
).
2. a. En vertu des art. 62 al. 2 let b LPA, 15 al. 1 et 2 AIMP, 15 L-AIMP et 56 RMP, le recours est adressé à la chambre administrative dans les dix jours dès la notification de la décision. Interjeté en temps utile devant la juridiction compétente, le recours est recevable de ce point de vue.
b. Selon l’art. 65 LPA, l’acte de recours contient, sous peine d’irrecevabilité, la désignation de la décision attaquée et les conclusions du recourant (al. 1). L’acte de recours contient également l’exposé des motifs ainsi que l’indication des moyens de preuve. Les pièces dont dispose le recourant doivent être jointes (al. 2).
Les exigences formelles posées par le législateur n’ont d’autre but que de permettre à la juridiction administrative de déterminer l’objet du litige qui lui est soumis et de donner l’occasion à la partie intimée de répondre aux griefs formulés à son encontre (
ATA/1/2007
du 9 janvier 2007;
ATA/632/2005
du 27 septembre 2005 ;
ATA/251/2004
du 23 mars 2004 ; ATA F. du 8 septembre 1992). Cette exigence est considérée comme remplie lorsque les motifs du recours, sans énoncer de conclusions formelles, permettent de comprendre aisément ce que le recourant désire (
ATA/807/2005
du 29 novembre 2005). En revanche, tel n’est pas le cas d’un recours sommaire se bornant, en matière de marchés publics, à invoquer des arguments techniques et de politique commerciale, n’indiquant au demeurant aucun moyen de preuve et ne fournissant aucune pièce (
ATA/795/2005
du 22 novembre 2005).
En l’espèce, la recourante a fourni la copie de la décision entreprise avec son « recours », selon la dénomination qu’elle a utilisée. Bien qu’elle ne prenne pas de conclusions formelles, la lecture de cet acte permet de comprendre qu’elle conclut à l’annulation de la décision précitée en tant qu’elle écarte son offre de la procédure d’appel d’offres et qu’elle demande le constat de l’illicéité en résultant. Elle allègue que l’adjudicateur a violé la législation relative à la sécurité des données et produit un courriel du préposé cantonal à la protection des données en ce sens. Dès lors, les conditions de l’art. 65 LPA sont remplies et le recours est recevable à ce titre, quand bien même la recourante a demandé à ce que l’attribution du marché soit "réexaminée", cette terminologie ne pouvant pas être assimilée à une demande de reconsidération ou de révision au sens des art. 48 et 80 LPA.
c. Selon l’art. 60 let. b LPA, la qualité pour recourir appartient à toute personne touchée directement par une décision et ayant un intérêt personnel digne de protection à ce qu’elle soit annulée ou modifiée. Tel est le cas de celle à laquelle la décision attaquée occasionne des inconvénients qui pourraient être évités grâce au succès du recours, qu’il s’agisse d’intérêts juridiques ou de simples intérêts de fait (
ATA/517/2009
du 13 octobre 2009).
En l’espèce, le contrat ayant été conclu entre l’adjudicataire et un autre soumissionnaire (art. 46 RMP), il convient de déterminer si la recourante conserve un intérêt digne de protection au maintien du recours.
Selon l’art. 18 al. 2 AIMP, lorsque le contrat est déjà conclu, l’autorité qui admet le recours ne peut que constater le caractère illicite de la décision. Si cette illicéité est prononcée, le recourant peut demander la réparation de son dommage, limité aux dépenses qu’il a subies en relation avec les procédures de soumissions et de recours (art. 3 al. 3 L-AIMP). Par ailleurs, selon l’arrêt du Tribunal fédéral
2P.307/2005
du 24 mai 2006, le recourant qui conteste une décision d’adjudication et qui déclare vouloir maintenir son recours après la conclusion du contrat conclut, au moins implicitement, à la constatation de l’illicéité de l’adjudication, que des dommages-intérêts soient réclamés ou non.
En tant que soumissionnaire évincée et, bien que le contrat a été déjà conclu, la recourante conserve un intérêt actuel à recourir contre la décision d’adjudication au sens de l’art. 60 let. b LPA, son recours étant à même d’ouvrir ses droits à une indemnisation (ATF
125 II 86
, consid. 5 b p. 96).
Dès lors que toutes les conditions ci-dessus énumérées sont remplies, le recours est recevable.
3. Selon l’art. 15 al. 1bis let. a AIMP, l’appel d’offres est également sujet à recours, indépendamment du recours prévu ultérieurement contre la décision d’adjudication.
Conformément à la jurisprudence, les griefs à l’encontre de l’appel d’offres ne peuvent plus être invoqués dans le cadre d’un recours dirigé contre la décision d’adjudication (Arrêt du Tribunal fédéral
2P.47/2004
du 6 avril 2004 ;
ATA/677/2005
du 12 octobre 2005). Le Tribunal fédéral a en outre déjà jugé qu’il était admissible d’exiger des candidats qu’ils contestent immédiatement les documents d’appels d’offres prétendument incomplets ou entachés d’autres vices de forme lors de la procédure d’appel d’offres déjà et non dans le cadre d’un recours dirigé contre la décision d’adjudication (cf. ATF
130 I 241
consid 4.2 ;
129 I 313
consid. 6.2 ;
125 I 203
).
En l’espèce, la recourante conteste le fait que, dans la solution retenue, des données confidentielles soient stockées dans les stations de travail et non uniquement dans les lecteurs biométriques. Cette possibilité étant expressément prévue dans l’appel d’offre et ses annexes, elle aurait dû être contestée initialement et ce grief, qui ne peut être invoqué dans un recours contre la décision d’adjudication, est irrecevable.
Il en va de même du reproche concernant le poids donné au critère « coûts d’acquisition et d’exploitation sur cinq ans », discriminant selon la recourante.
4. L’art. 2 de la loi fédérale sur la protection des données du 19 juin 1992 (LPD -
RS 235.1
) prescrit que le traitement de données concernant des personnes physiques et morales effectué par des personnes privées et des organes fédéraux est régi par cette loi.
Les intimés constituent un établissement de droit public au sens des art. 1 et 5 de la loi cantonale sur les établissements publics médicaux (LEPM -
K 2 05
).
Dès lors, ils sont exclus de la notion d’organes fédéraux au sens de l’art. 2 al. 1 let. b LPD. Aucune interprétation de la loi à cet égard n’est possible, que ce soit de manière téléologique, littérale ou historique (Message du Conseil fédéral concernant la loi fédérale sur la protection des données du 23 mars 1988, FF 1988, vol. II p. 453). La LPD n’est ainsi pas applicable au cas d’espèce.
5. La loi sur l’information du public, l’accès aux documents et la protection des données personnelles du 5 octobre 2001 (LIPAD -
A 2 08
) trouve en revanche application en vertu de son art. 3 let. c, dès lors que les intimés sont un établissement de droit public cantonal au sens de cet article.
Cependant, cette loi ne donne aucun droit à la recourante, dès lors que les HUG ne traitent pas de données confidentielles la concernant (art. 44 ss LIPAD).
De plus, le recours d’Avencis ne peut être assimilé à une dénonciation au sens de l’art. 23 al. 5 du règlement d’application de la LIPAD du 21 décembre 2011 (RIPAD -
A 2 08.01
), dénonciation qui devrait en tout état être, selon la disposition précitée, adressée à l’autorité intimée.
6. Au vu de ce qui précède, le recours sera rejeté dans la mesure où il est recevable. Vu cette issue, un émolument de CHF 1’000.- sera mis à la charge de la recourante. Aucune indemnité de procédure ne sera allouée aux HUG conformément à la jurisprudence de la chambre de céans (
ATA/79/2011
du 8 février 2011 - art. 87 LPA).
* * * * *