Citation: 1C_235/2021 E. 3.2

3.2. Intitulé "Test d'intrusion - ACTIS, Présentation des résultats", le document litigieux est une présentation powerpoint d'une cinquantaine de pages. Il présente notamment le nombre de vulnérabilités identifiées sur la plateforme en question et les risques liés à chacune d'elles, ainsi que l'effort et le temps estimés pour y remédier. Par définition, les indications qui figurent dans ce document sont très sensibles puisqu'elles identifient les failles de sécurité du système ainsi que la manière de les exploiter. La diffusion de telles informations faciliterait à l'évidence des opérations de piratage de l'application. S'agissant d'une plateforme développée au niveau cantonal pour la gestion des permis de construire, il apparaît évident qu'un acte de piratage pourrait perturber les procédures en matière de construction sur une large échelle, et compromettrait la confidentialité et l'intégrité de données qui peuvent s'avérer sensibles. Un tel risque peut, à tout le moins sans arbitraire, être qualifié de grave. La manière dont le document a été transmis à la cour cantonale (non pas en main propre mais par courrier recommandé, comme cela se fait habituellement pour les communications avec les instances judiciaires) ne permet aucunement de remettre en cause l'existence d'un tel risque. A la lecture du document en question, on ignore les vulnérabilités auxquelles il a pu être remédié (et dans quelle mesure) et celles qui demeureraient encore actuellement. La réponse à cette question nécessiterait donc une interpellation supplémentaire de l'administration concernée. Dans sa réponse, la DGNSI indique que les problèmes de sécurité de la plateforme ACTIS ne sont pas entièrement résolus, les vulnérabilités constatées affectant des systèmes et applications connexes, ce qui complexifie leur traitement. Quoi qu'il en soit, on ne saurait prétendre, comme le fait le recourant, que la révélation des failles de sécurité qui auraient été entretemps réparées ne présenterait pas de risque. De telles indications peuvent notamment mettre en évidence des points sensibles de l'application et faciliter les tentatives d'intrusion, de blocage ou de détournement. L'arrêt attaqué ne comporte au demeurant aucune contradiction avec le précédent arrêt de la CDAP (GE.2019.0010 du 4 octobre 2019) autorisant la remise d'un procès-verbal du COPIL - ACTIS, après caviardage de toutes les informations liées aux problèmes de sécurité. Ce premier arrêt relève que les renseignements sur les vulnérabilités d'un système informatique ne doivent pas être accessibles, même si l'autorité estime, à raison ou à tort, que la vulnérabilité a été comblée (consid. 4b/bb). C'est dès lors également sans arbitraire que le risque a été reconnu comme encore actuel, quelles que soient les vulnérabilités concernées.