# Swiss Caselaw Document

**Case Identifier:** 6730b557-5c64-52be-84c6-5b73eb914d7b
**Source:** Bundesverwaltungsgericht ()
**Court Level:** federal
**Decision Date:** 2025-11-20
**Language:** fr
**Title:** Bundesverwaltungsgericht 20.11.2025 A-6198/2024
**Docket/Reference:** 
**URL:** https://entscheidsuche.ch/docs/CH_BVGer/CH_BVGE_001_A-6198-2024_2025-11-20.pdf

## Full Text

B u n d e s v e r w a l t u ng s g e r i ch t  

T r i b un a l  ad m i n i s t r a t i f  f éd é r a l  

T r i b un a l e  am m in i s t r a t i vo  f e d e r a l e  

T r i b un a l  ad m i n i s t r a t i v  fe d e r a l  

 
 
    
 
 

 

  

 

 Cour I 

A-6198/2024 

 

 
 

  A r r ê t  d u  2 0  n o v e m b r e  2 0 2 5  

Composition 
 Claudia Pasqualetto Péquignot (présidente du collège),  

Christine Ackermann, Jürg Marcel Tiefenthal, juges, 

Jérôme Gurtner, greffier. 
 

 
 

Parties 
 A._______, 

représentée par 

Maîtres Aurélie Conrad Hari et Abdul Carrupt, 

recourante,  

 

 
contre 

 
 B._______, 

intimé, 

 

Préposé fédéral à la protection des données et à la 

transparence, 

autorité inférieure. 

  
 

 
 

Objet 
 Principe de la transparence ; décision du 29 août 2024. 

 

A-6198/2024 

Page 2 

Faits : 

A.  

En novembre 2022, plusieurs personnes physiques et morales ont informé 

le Préposé fédéral à la protection des données et à la transparence 

(PFPDT) que leur partenaire informatique, la société C._______ (ci-après 

également : la société C._______), dont le siège est à ***, avait été piratée. 

Le 29 novembre 2022, la société C._______ a elle-même annoncé cette 

cyberattaque auprès du PFPDT. 

Dans ce contexte, le PFPDT a reçu des demandes concernant cet 

événement de la part de clients commerciaux de la société C._______, 

notamment de la société A._______ (ci-après : A._______ ou la société), 

dont le siège est à ***. 

B.  

A la suite de cette cyberattaque, des failles de sécurité concernant le 

logiciel de gestion et de comptabilité ***, géré par cette dernière, ont 

entraîné une série de plaintes de la part de clients ne pouvant plus utiliser 

le logiciel *** ni accéder à leurs données. Il a également été signalé au 

PFPDT que des clients commerciaux de la société auraient eu accès aux 

données d’autres clients. 

C.  

Le 14 décembre 2022, le PFPDT a informé le public de l’ouverture d’une 

enquête préliminaire sur son site Internet. Dans ce contexte, des échanges 

d’écriture ont eu lieu et, dans un courrier du 23 février 2023, le PFPDT a 

informé la société que la procédure préliminaire était close. 

D.  

Le 16 octobre 2023, B._______ (ci-après : le requérant), avocat à ***, a 

demandé au PFPDT, en son nom personnel et en invoquant la loi fédérale 

sur la transparence, l’accès à tous les documents officiels (courriers, 

courriels, notes de dossiers, dossiers, etc., quel que soit le support) relatifs 

à la cyberattaque sur la société C._______, à la procédure préliminaire en 

résultant, aux échanges avec la société, à tout autre échange intervenu 

dans ce contexte (cyberattaque sur C._______), notamment avec le 

Centre national pour la cybersécurité (NCSC, désormais l’Office fédéral de 

la cybersécurité [OFCS]) et toute autre autorité ou tiers concerné. 

E.  

Le 27 octobre 2023, le PFPDT a informé le requérant que, dans la mesure 

A-6198/2024 

Page 3 

où sa requête portait sur des documents dont la consultation était 

susceptible de porter atteinte à la sphère privée de tiers, le délai légal de 

20 jours serait prolongé de la durée nécessaire à la prise en compte de 

leurs intérêts. Il a également indiqué qu’il était prévisible que certains 

documents auxquels il envisageait de donner accès ne pourraient pas être 

entièrement anonymisés et qu’une consultation de tiers serait donc 

nécessaire. 

F.  

Le 31 janvier 2024, le requérant a relancé le PFPDT concernant sa requête 

du 16 octobre 2023, en lui rappelant que la procédure en matière de 

transparence devait être « simple et rapide ». 

G.  

Le 1er février 2024, le PFPDT a en substance indiqué au requérant que la 

consultation des documents demandés pourrait porter atteinte à la vie 

privée de tiers et que le délai légal serait différé aussi longtemps que 

nécessaire pour tenir compte de leurs intérêts. 

H.  

Le 8 février 2024, le requérant a indiqué au PFPDT qu’il maintenait sa 

requête et l’a informé qu’il serait contraint de saisir le Tribunal administratif 

fédéral d’une plainte pour déni de justice si sa requête n’était pas honorée 

jusqu’au 30 mars 2024. 

I.  

Le 8 mars 2024, le PFPDT a informé la société qu’il avait reçu une 

demande d’accès à des documents la concernant, en lien avec la 

cyberattaque ayant visé la société C._______, et lui a imparti un délai pour 

exercer son droit d’être entendue. Le PFPDT a joint un bordereau 

comprenant 29 pièces sur lesquelles la société devait se prononcer. 

J.  

Le 12 avril 2024, la société, par l’intermédiaire de ses mandataires, a 

informé le PFPDT qu’elle s’opposait à la transmission, sans restriction, des 

documents la concernant. Elle a invoqué dans ce cadre plusieurs motifs 

d’opposition. 

La société a également souligné que la cyberattaque subie par la société 

C._______ faisait l’objet d’une procédure pénale diligentée par le Ministère 

public de la Confédération (MPC), sous la référence ***, et qu’elle était 

partie plaignante dans le cadre de cette procédure. Elle a précisé, en se 

A-6198/2024 

Page 4 

référant à un courrier du MPC du 16 janvier 2024, que, en raison du 

caractère sensible de cette instruction pénale et pour des raisons 

stratégiques, le MPC avait, pour l’heure, refusé de donner accès au dossier 

de la procédure pénale aux parties plaignantes, notamment afin de ne pas 

entraver la progression de son enquête. 

En résumé, la société a indiqué qu’à l’exception de la plupart des annexes 

de la pièce n° 25, qui contiennent des informations confidentielles et 

sensibles touchant au cœur de l’enquête menée par le MPC, une 

opposition partielle avec caviardage du contenu des pièces litigieuses avait 

été systématiquement préférée, afin de satisfaire au mieux au principe de 

proportionnalité. Elle a joint à son envoi une copie des documents visés 

par la demande d’accès, sur lesquels une proposition de caviardage a été 

apposée. 

K.  

Le 4 juin 2024, le PFPDT a adressé un courrier au MPC, en allemand, dans 

lequel il explique qu’une personne lui a demandé l’accès à des documents 

relatifs à la cyberattaque contre les sociétés A._______ et C._______, en 

invoquant la loi fédérale sur la transparence. Il a indiqué avoir invité les 

deux sociétés précitées à prendre position concernant la demande 

d’accès. Il a souligné que, dans sa prise de position du 12 avril 2024, la 

société A._______ a attiré l’attention du PFPDT sur une procédure pénale 

en cours ainsi que sur une décision du MPC du 16 janvier 2024, dans la 

laquelle les demandes de consultation du dossier formulées par les parties 

plaignantes ont été rejetées afin de ne pas compromettre le but de 

l’enquête. Après des explications concernant le champ d’application à 

raison de la matière de la loi fédérale sur la transparence et de la 

jurisprudence du Tribunal fédéral et du Tribunal de céans relative à cette 

matière, le PFPDT a demandé au MPC de pouvoir consulter le dossier de 

la procédure ***, afin de vérifier si les documents officiels dont il dispose 

constituent des dossiers pénaux au sens strict. 

L.  

Le 14 juin 2024, le MPC, par l’intermédiaire de son service juridique, s’est 

déterminé, en français, sur la demande du PFPDT. Il a en substance 

indiqué ce qui suit : 

« […]  

Vous nous demandez l’accès aux documents officiels concernant la procédure 

pénale *** en vertu de l’art. 101 al. 2 CPP [Code de procédure pénale suisse 

A-6198/2024 

Page 5 

du 5 octobre 2007 ; RS 312.0], afin de pouvoir déterminer si lesdits documents 

doivent être considérés comme des documents pénaux au sens étroit. 

Conformément à l’art. 10 al. 1 LTrans, la demande d’accès à des documents 

officiels doit être adressée à l’autorité qui les a produits ou qui les a reçus en 

tant que destinataire principal de la part de tiers qui ne sont pas soumis à la 

LTrans. En ce qui concerne les documents mentionnés dans la procédure 

pénale (***), ainsi que de la décision du 16 janvier 2024 du MPC, si une 

personne souhaite obtenir l’accès à des documents officiels provenant du 

MPC en vertu de la LTrans, c’est au MPC qu’elle doit directement adresser sa 

demande. 

Par conséquent, nous regrettons de ne pas pouvoir donner suite à votre 

demande d’accès au dossier en vertu de l’art. 101 al. 2 CPP. Nous vous prions 

de renvoyer la personne requérante à agir directement devant le MPC. 

[…]. » 

M.  

Le 18 juin 2024, le PFPDT a répondu au MPC en allemand que ce dernier 

n’avait pas donné suite à sa demande de consultation du dossier pénal, 

sans présenter de motifs justifiant son refus. Il a ajouté qu’étant donné que 

le MPC ne lui avait pas donné la possibilité de vérifier si les documents 

officiels dont il disposait étaient étroitement liés au dossier pénal de la 

procédure ***, il partait du principe que le MPC excluait que ces documents 

puissent être des dossiers pénaux au sens strict ou que leur mise à 

disposition puisse influencer la conduite de la procédure pénale par le 

MPC. 

N.  

Le 18 juillet 2024, le PFPDT a informé la société de sa prise de position 

concernant la demande d’accès. En conclusion, il a décidé de limiter 

l’accès aux documents demandés comme suit : 

- Documents n° 1, 2, 12, 16, 19, 22, 25, 27 et 29 : limitation par 

l’anonymisation des données personnelles et des données des 

personnes morales concernant les clients de A._______, son 

nouvel hébergeur de données et son prestataire de service dans le 

domaine de la cybersécurité et de la gestion de crise. 

- Les coordonnées des journalistes sont caviardées dans tous les 

documents. Les coordonnées des collaborateurs du PFPDT sont 

caviardées dans tous les documents. 

A-6198/2024 

Page 6 

- Pour le reste, l’accès aux documents sera accordé dans son 

intégralité. 

Le PFPDT a informé la société qu’elle pouvait lui demander de rendre une 

décision en cas de désaccord concernant la communication des 

informations sous la forme décrite dans sa prise de position, et qu’il n’y 

aurait pas de procédure de médiation. 

O.  

Le 19 juillet 2024, le PFPDT a informé le requérant qu’il avait invité « des 

tiers concernés » à prendre position sur la demande d’accès. Il a ajouté 

qu’il avait analysé leurs arguments et préparé une prise de position pour 

« chaque tiers concerné » et qu’il entendait lui octroyer l’accès aux 

documents officiels demandés, avec des limitations (cf. Faits, let. N supra). 

Le PFPDT a également informé le requérant que, dès réception de sa prise 

de position, « les tiers concernés » auraient la possibilité de faire part de 

leur désaccord et de requérir une décision susceptible d’être contestée. 

P.  

Le 29 juillet 2024, le requérant a indiqué être « extrêmement satisfait » que 

le PFPDT entendait lui octroyer l’accès aux documents demandés, et 

n’avait aucune remarque à formuler. 

Q.  

Le 2 août 2024, la société, par l’intermédiaire de ses mandataires, a 

sollicité la prise d’une décision de la part du PFPDT. 

R.  

Par décision du 29 août 2024, le PFPDT a décidé que l’accès aux 

documents officiels était en principe accordé, sous réserve des restrictions 

suivantes (ch. 2) : 

« Documents n° 1, 2, 12, 16, 19, 22, 25, 27 et 29 : limitation par 

l’anonymisation des données personnelles et des données de personnes 

morales concernant les clients de A._______, son nouvel hébergeur de 

données et son prestataire de service dans le domaine de la cybersécurité et 

de la gestion de crise. 

Les informations susmentionnées seront caviardées dans tous les documents 

dans la mesure où elles y figurent. 

Les données personnelles et coordonnées des journalistes sont caviardées 

dans tous les documents. 

A-6198/2024 

Page 7 

Les données personnelles de tiers dont l’intérêt public ne commande pas la 

publication sont caviardées dans tous les documents. 

Les coordonnées des collaborateurs du PFPDT et de l’OFCS sont caviardées 

dans tous les documents. 

Pour le reste, l’accès aux documents sera accordé dans son intégralité.  

[…] ». 

La décision a été notifiée à la société A._______, par l’entremise de ses 

mandataires, en sa qualité de « tiers entendu ». Une version caviardée de 

la décision a également été notifiée au requérant. 

Les 29 documents concernés par la demande d’accès, avec les passages 

caviardés (encadrés en rouge dans les documents), ont été joints à la 

décision. La pièce n° 25 du bordereau des documents contient 11 annexes. 

S.  

Par acte du 30 septembre 2024, la société A._______ (ci-après : la 

recourante) a interjeté un recours contre cette décision auprès du Tribunal 

administratif fédéral (ci-après : le Tribunal, la Cour de céans ou le TAF). 

Elle a principalement conclu, avec suite de frais et dépens, à ce que la 

décision du PFPDT (ci-après également : l’autorité inférieure) soit réformée 

en ce sens qu’un accès restreint au document n° 25 est accordé par le 

retrait intégral de ses annexes 1 à 10, en plus des restrictions déjà 

accordées au chiffre 2 du dispositif de la décision. Subsidiairement, elle a 

conclu à l’annulation de la décision attaquée et au renvoi de la cause au 

PFPDT afin qu’il rende une nouvelle décision dans le sens des 

considérants. 

T.  

Par ordonnance du 5 novembre 2024, le juge instructeur a invité la 

recourante à indiquer si son acte de recours et le bordereau (y compris les 

pièces) pouvaient être transmis tels quels au requérant (ci-après : l’intimé), 

ou à fournir un acte de recours anonymisé et à indiquer les pièces qui ne 

pourraient pas être transmises. 

U.  

Le 6 décembre 2024, la recourante a transmis au Tribunal une version 

caviardée de son recours, a demandé au Tribunal de retrancher la pièce 1 

annexée à son recours, à savoir la décision attaquée non caviardée, et a 

demandé au Tribunal d’inviter le PFPDT à lui communiquer les extraits de 

A-6198/2024 

Page 8 

sa décision envoyée à l’intimé, puis de lui octroyer un délai afin, le cas 

échéant, d’adapter le caviardage de son recours. 

V.  

Le 30 janvier 2025, la recourante a transmis au Tribunal une nouvelle 

version caviardée de son recours, sur la base de la décision caviardée du 

PFPDT, et a confirmé qu’elle s’opposait à la transmission non caviardée de 

la décision attaquée à l’intimé. 

W.  

Le 7 février 2025, l’intimé a indiqué qu’il lui était impossible de se 

déterminer en raison du caviardage du recours et qu’il s’en remettait à dire 

de justice. 

X.  

Dans sa réponse au recours du 16 mai 2025, l’autorité inférieure a conclu, 

avec suite de frais et dépens, au rejet du recours du 30 septembre 2024. 

Y.  

Le 19 septembre 2025, la recourante a informé le Tribunal qu’elle n’avait 

pas d’observations complémentaires à formuler. 

Z.  

Les autres faits seront repris, en tant que besoin, dans les considérants qui 

suivent. 

 

Droit : 

1.  

La procédure de recours est régie par la loi fédérale du 20 décembre 1968 

sur la procédure administrative (PA, RS 172.021), pour autant que la loi du 

17 juin 2005 sur le Tribunal administratif fédéral n’en dispose pas 

autrement (cf. art. 37 LTAF, RS 173.32). Le Tribunal administratif fédéral 

examine d’office sa compétence (cf. art. 7 PA) et librement la recevabilité 

des recours qui lui sont soumis. 

1.1 Sous réserve des exceptions prévues à l’art. 32 LTAF, non pertinentes 

en l’espèce, le Tribunal administratif fédéral connaît, en vertu de l’art. 31 

LTAF, des recours contre les décisions au sens de l’art. 5 PA, prises par les 

autorités mentionnées à l’art. 33 LTAF. Le PFPDT est une autorité au sens 

de la lettre d de cette dernière disposition et l’acte attaqué, en ce qu’il crée 

A-6198/2024 

Page 9 

des droits ou obligations, revêt les caractéristiques matérielles (cf. art. 5 

al. 1 PA) et formelles (cf. art. 35 PA) d’une décision, si bien que le Tribunal 

administratif fédéral est compétent pour examiner le présent recours 

(cf. arrêt du TAF A-6192/2015 du 11 janvier 2017 consid. 1.1). 

1.2 La recourante a pris part à la procédure devant l’autorité inférieure. Elle 

est particulièrement atteinte et a un intérêt digne de protection à requérir 

son annulation ou sa modification (cf. art. 48 al. 1 PA). Elle a donc qualité 

pour recourir. 

1.3 Présenté dans le délai (cf. art. 50 al. 1 PA) et les formes (cf. art. 52 al. 1 

PA) prescrits par la loi, le recours s’avère ainsi recevable, si bien qu’il 

convient d’entrer en matière. 

2.  

2.1 En sa qualité d’autorité de recours, le Tribunal dispose d’une pleine 

cognition. Il revoit librement l’application du droit par l’autorité inférieure 

(cf. art. 49 PA), y compris l’excès ou l’abus du pouvoir d’appréciation 

(let. a), la constatation inexacte ou incomplète des faits pertinents (let. b) 

et l’opportunité de la décision attaquée (let. c), tous griefs que le recourant 

peut soulever à l’appui de son recours. Conformément à la maxime 

inquisitoire, le Tribunal vérifie d’office les faits constatés par l’autorité 

inférieure (cf. art. 12 PA), sous réserve du devoir de collaborer des parties 

(cf. art. 13 PA). 

2.2 Le Tribunal applique le droit d’office, sans être lié par les motifs 

invoqués (cf. art. 62 al. 4 PA), ni par l’argumentation juridique développée 

dans la décision entreprise. Il se limite en principe aux griefs soulevés et 

n’examine les questions de droit non invoquées que dans la mesure où les 

arguments des parties ou le dossier l’y incitent (cf. ATF 135 I 91 

consid. 2.1 ; ATAF 2014/24 consid. 2.2, 2012/23 consid. 4). 

3.  

Selon la décision attaquée, le PFPDT a accordé l’accès aux documents 

requis par l’intimé, à l’exception des données personnelles qui ont été 

caviardées (cf. Faits, let. R supra). 

A l’appui de son recours, la recourante demande en substance que la 

décision du PFPDT soit réformée en ce sens qu’un accès restreint à la 

pièce n° 25 est accordé, en retirant intégralement ses annexes 1 à 10, en 

plus des restrictions déjà accordées au chiffre 2 du dispositif de la décision. 

A-6198/2024 

Page 10 

Sans entrer dans le détail du contenu des annexes en question, qui font 

l’objet de la présente procédure de recours, il convient de préciser que ces 

annexes concernent la recourante, la société C._______, ainsi que, dans 

une moindre mesure, le prestataire de services en matière de 

cybersécurité et de gestion de crise de la recourante. Il convient de préciser 

que la pièce n° 25 contient en réalité 11 annexes, et que la recourante ne 

semble pas s’opposer à la transmission de l’annexe n° 11 à l’intimé. 

La recourante considère que la décision du PFPDT viole l’art. 3 al. 1 let. a 

ch. 2 de la loi fédérale du 17 décembre 2004 sur le principe de la 

transparence dans l’administration (LTrans, RS 152.3), dans la mesure où 

le contenu des annexes 1 à 10 de la pièce n° 25 présente un lien direct et 

étroit avec l’objet de la procédure pénale en cours, qui vise à déterminer si 

les conditions des infractions liées à l’attaque informatique du 21 novembre 

2022 ont été réalisées, puis, le cas échéant, à identifier les auteurs de ces 

infractions. Elle estime à cet égard que le refus du MPC de donner accès 

au PFPDT au dossier pénal, et plus largement de communiquer sur la 

procédure pénale, renforce la démonstration du caractère sensible de 

l’instruction pénale en cours et la nécessité qui en découle de ne pas 

transmettre à des tiers non concernés des documents se trouvant dans le 

dossier pénal. La recourante soutient également que la décision attaquée 

viole l’art. 7 al. 1 let. a LTrans, car la transmission des annexes 1 à 10 de 

la pièce n° 25 porterait atteinte au processus de libre formation de l’opinion 

et de la volonté du MPC en interférant avec la procédure pénale en cours. 

Enfin, elle se plaint d’une violation du principe de la bonne foi et de 

l’interdiction de l’abus de droit (art. 5 al. 3 et 9 de la Constitution fédérale 

de la Confédération suisse du 18 avril 1999 [Cst., RS 101]), ainsi que d’une 

inopportunité de la décision attaquée. 

Comme on le verra dans les considérants qui suivent, le Tribunal n’est pas 

en mesure d’examiner ces griefs à ce stade, car l’autorité inférieure a violé 

l’art. 11 LTrans en omettant de consulter la société C._______ ou en 

n’expliquant pas pourquoi elle n’avait pas à la consulter (cf. consid. 4 infra). 

De plus, l’autorité inférieure a également violé le principe de la maxime 

d’office en n’instruisant pas suffisamment la cause, notamment en ce qui 

concerne les conséquences de la mise à disposition des documents 

concernés par la présente procédure sur la conduite de la procédure 

pénale pendante devant le MPC (cf. consid. 5 infra). Enfin, le Tribunal n’est 

pas en mesure de suivre le raisonnement de l’autorité inférieure 

concernant l’anonymisation de certains éléments et données figurant dans 

les annexes 1 à 10 de la pièce n° 25 (cf. consid. 6 infra). 

A-6198/2024 

Page 11 

 

4.  

4.1  

4.1.1 Selon l’art. 7 al. 2 LTrans, le droit d’accès est limité, différé ou refusé 

si l’accès au document officiel peut porter atteinte à la sphère privée de 

tiers, à moins qu’un intérêt public à la transparence ne soit 

exceptionnellement jugé prépondérant. 

Selon l’art. 9 al. 1 LTrans, les documents officiels contenant des données 

personnelles ou des données concernant des personnes morales doivent 

être si possible rendus anonymes avant qu’ils ne soient consultés. 

L’alinéa 2 de cette disposition dispose que lorsque la demande d’accès 

porte sur des documents officiels qui ne peuvent pas être rendus 

anonymes, l’art. 36 de la loi fédérale sur 25 septembre 2020 sur la 

protection des données (LPD, RS 235.1) est applicable pour les données 

personnelles et l’art. 57s de la loi fédérale du 21 mars 1997 sur 

l’organisation du gouvernement et de l’administration (LOGA, RS 172.010) 

pour les données concernant des personnes morales. L’art. 57s al. 4 LOGA 

prévoit que les organes fédéraux peuvent communiquer d’office des 

données concernant des personnes morales dans le cadre de l’information 

officielle du public, ou en vertu de la loi sur la transparence, si les conditions 

suivantes sont réunies : (let. a) les données sont en rapport avec 

l’accomplissement de tâches publiques ; (let. b) la communication répond 

à un intérêt public prépondérant. 

4.1.2 Lorsque l’autorité envisage d’accorder l’accès à un document officiel 

dont la consultation est susceptible de porter atteinte à la sphère privée de 

tiers, elle consulte les tiers concernés et les invite à se prononcer dans un 

délai de dix jours (art. 11 al. 1 LTrans). Elle les informe de sa prise de 

position sur la demande d’accès (art. 11 al. 2 LTrans). 

Le Tribunal fédéral a précisé que, même si la loi sur la transparence ne 

prévoit pas expressément d’exception à la consultation, le droit d’être 

entendu ne peut avoir un caractère absolu pour des raisons systématiques 

et téléologiques. Le droit d’être entendu est également soumis à une 

réserve de mise en œuvre, comme l’a déjà souligné le Conseil fédéral dans 

son message relatif à la loi sur la transparence (cf. message du 12 février 

2003 relatif à la loi fédérale sur la transparence dans l’administration [ci-

après : message LTrans], FF [Feuille fédérale] 2003 1807, 1858 [l’autorité 

« entend si possible la personne concernée »]), ce qui est également 

confirmé par la doctrine. Il est toutefois souligné à juste titre que la 

A-6198/2024 

Page 12 

renonciation à la consultation doit rester l’exception (cf. arrêt du 

TF 1C_50/2015 du 2 décembre 2015 consid. 6.2 et les réf. cit. ; voir aussi 

JÜRG SCHNEIDER/FLORIAN ROTH, in : Vasella/Blechta [édit.], Basler 

Kommentar Datenschutzgesetz/Öffentlichkeitsgesetz, 4e éd., 2024 [ci-

après : BSK BGÖ 2024], n° 7 ad art. 11 LTrans). Le droit d’être entendu 

repose sur un droit fondamental correspondant (art. 29 al. 2 Cst.), de 

nature formelle, qui doit donc être garanti indépendamment de la situation 

juridique matérielle. La renonciation à la consultation n’est donc 

envisageable qu’à titre exceptionnel et doit être dûment justifiée (cf. arrêt 

du TF 1C_50/2015 précité consid. 6.2). 

4.1.3 En résumé, selon l’art. 11 al. 1 LTrans, un tiers concerné par une 

demande d’accès doit être entendu si une restriction, un report ou un refus 

d’accès à des documents officiels peut être envisagé conformément à 

l’art. 7 al. 2 LTrans, en raison d’une éventuelle atteinte à sa sphère privée. 

La pratique devrait reconnaître un droit d’être entendu lorsque le document 

officiel en question contient des informations sur une personne physique 

ou morale tierce identifiée ou identifiable (premier critère), et que la mise à 

disposition de ce document est susceptible de porter atteinte de manière 

effective à la sphère privée du tiers concerné (second critère). Une 

consultation ne peut être omise que dans des cas exceptionnels (pour un 

exemple récent de renonciation à la consultation admise, voir l’arrêt du 

TAF A-313/2025 du 7 août 2025 consid. 9). Sont notamment considérées 

comme des informations sur une personne physique ou morale déterminée 

ou déterminable, les secrets professionnels, commerciaux ou de 

fabrication au sens de l’art. 7 al. 1 let. g LTrans (cf. SCHNEIDER/ROTH, in : 

BSK BGÖ 2024, n° 1a ad art. 11 LTrans). 

Si l’autorité a l’intention de ne pas accorder l’accès à des données 

personnelles ou à des données de personnes morales parce qu’elle refuse 

totalement l’accès au document officiel concerné ou que les données 

peuvent être anonymisées (art. 9 LTrans), elle peut ou doit renoncer à 

entendre les tiers concernés (cf. SCHNEIDER/ROTH, in : BSK BGÖ 2024, 

n° 5 ad art. 11 LTrans). L’autorité n’est pas tenue d’obtenir le consentement 

du tiers concerné pour procéder au caviardage si celui-ci permet, sans 

effort disproportionné, de ne plus tirer de conclusions sur cette personne. 

Si les données personnelles ou les données relatives à des personnes 

morales peuvent être occultées sans difficulté et que les documents 

officiels ne contiennent ainsi plus de données personnelles ou de données 

relatives à des personnes morales, l’art. 11 LTrans n’est pas applicable 

(cf. SCHNEIDER/ROTH, in : BSK BGÖ 2024, n° 5 ad art. 11 LTrans). Les 

A-6198/2024 

Page 13 

personnes qui ne sont pas ou plus identifiables ne doivent pas être 

entendues. 

4.2  

4.2.1 En l’espèce, il ressort de l’examen du dossier transmis par l’autorité 

inférieure au Tribunal de céans que seule la recourante a été entendue en 

application de l’art. 11 LTrans dans le cadre de la procédure d’accès aux 

documents officiels requis par l’intimé. 

Le Tribunal constate que l’autorité inférieure a mentionné la consultation 

de « tiers concernés », au pluriel (cf. Faits, let. O supra), dans plusieurs 

écritures figurant au dossier, voire a expressément indiqué que la 

recourante et la société C._______ avaient été invitées à prendre position 

concernant la demande d’accès (cf. Faits, let. K supra). Toutefois, malgré 

ces affirmations, le Tribunal de céans ne trouve aucune pièce au dossier 

lui permettant de conclure que la société C._______ a été consultée dans 

le cadre de la procédure menée par l’autorité inférieure, conformément à 

l’art. 11 LTrans. La décision attaquée n’a d’ailleurs été notifiée qu’à la 

recourante et à l’intimé (cf. Faits, let. R supra). La question d’une éventuelle 

atteinte à la sphère privée de la société C._______ n’a pas non plus été 

examinée dans la décision attaquée. En effet, lorsque l’autorité inférieure 

examine la pièce n° 25 et ses annexes (décision, n° 90), la situation de la 

société C._______ n’est pas abordée, alors qu’elle est tout autant 

concernée par ces pièces que la recourante. Par ailleurs, dans ces pièces, 

le logo de la société C._______ est parfois caviardé et parfois non, sans 

qu’aucune explication ne soit fournie à ce sujet par l’autorité inférieure. 

Dans la décision attaquée, l’autorité inférieure n’explique pas non plus 

pourquoi il aurait été justifié de ne pas entendre cette société. 

Pour ces différents motifs, le Tribunal considère que l’autorité inférieure a 

violé l’art. 11 LTrans en ne consultant pas la société C._______, ou, le cas 

échéant, a violé son devoir de motiver la décision attaquée en n’expliquant 

pas pourquoi il aurait été justifié de ne pas la consulter. Il convient de 

rappeler que C._______ est la société victime de la cyberattaque et se 

trouve donc au cœur de cette affaire. L’autorité inférieure envisage de 

transmettre à l’intimé certains documents la concernant et dans lesquels 

elle est mentionnée. Il est donc incompréhensible pour le Tribunal qu’elle 

n’ait pas été consultée, tout comme la recourante. Les anonymisations 

partielles de son nom auxquelles l’autorité inférieure a procédé ne 

pouvaient évidemment pas justifier de ne pas la consulter. Même si son 

nom avait été caviardé dans tous les documents, elle resterait identifiable, 

car cette affaire a été largement relayée dans la presse, ainsi que sur les 

A-6198/2024 

Page 14 

réseaux sociaux par l’intimé (voir les pièces 2 à 5 déposées par la 

recourante à l’appui de son recours concernant ce dernier point). 

4.2.2 La décision doit par conséquent être annulée et le dossier renvoyé à 

l’autorité inférieure, qui devra alors consulter la société C._______. Celle-

ci pourra alors faire valoir ses arguments concernant les documents qui la 

concernent et qui font l’objet de la présente procédure d’accès. Si l’autorité 

inférieure avait estimé qu’il n’était pas justifié de consulter la société en 

question, elle aurait dû l’expliquer et le motiver dans la décision attaquée, 

ce qu’elle n’a pas fait. Cette omission équivaudrait dans ce cas à un défaut 

de motivation de la décision attaquée. 

Le Tribunal de céans constate également, dans le considérant suivant, 

d’autres lacunes dans l’instruction de ce dossier, qui justifient également 

l’annulation de la décision attaquée et le renvoi du dossier à l’autorité 

inférieure. 

5.  

5.1 Comme cela a été exposé dans l’état de fait, la cyberattaque subie par 

la société C._______ fait l’objet d’une procédure pénale diligentée par le 

MPC (cf. Faits, let. K supra). La recourante, partie plaignante dans le cadre 

de cette procédure, s’est référée à une décision du 16 janvier 2024 par 

laquelle le MPC lui a refusé l’accès au dossier pénal. 

Selon les échanges de courrier électronique intervenus entre l’autorité 

inférieure et le MPC, le PFPDT n’a pas réussi à obtenir du MPC la 

consultation du dossier pénal en question sur la base de l’art. 101 al. 2 du 

Code de procédure pénale suisse du 5 octobre 2007 (CPP, RS 312.0). Il 

est vrai que la réponse du MPC du 14 juin 2024 adressée à l’autorité 

inférieure interpelle. D’abord, le MPC indique à l’autorité inférieure qu’elle 

doit inviter la personne requérante, c’est-à-dire l’intimé dans la présente 

procédure, à agir directement auprès de lui pour obtenir l’accès aux 

documents officiels. Il poursuit en indiquant regretter de ne pas pouvoir 

donner suite à sa demande d’accès au dossier au sens de l’art. 101 al. 2 

CPP, sans plus d’explications (cf. Faits, let. L supra). Cela étant précisé, 

l’autorité inférieure ne pouvait pas conclure, comme elle l’a fait (cf. Faits, 

let. M supra), sur la base de cette réponse, que le MPC excluait que les 

documents officiels concernés soient des dossiers pénaux au sens strict 

ou que leur mise à disposition puisse influencer la conduite de la procédure 

pénale. Rien de tel ne peut en effet être déduit de ce courrier. 

A-6198/2024 

Page 15 

Si la question du champ d’application à raison de la matière de la LTrans 

(art. 3 al. 2 let. a ch. 2 LTrans) pouvait éventuellement être tranchée par 

l’autorité inférieure sans qu’elle accède au dossier de la procédure pénale 

diligentée par le MPC, si ce dernier lui en refusait l’accès, la question de 

l’influence de la mise à disposition de ces documents sur la conduite de la 

procédure pénale est beaucoup plus délicate. Selon le Tribunal de céans, 

l’autorité inférieure aurait dû interpeller le MPC pour lui demander s’il avait 

des arguments à faire valoir concernant l’accès aux documents en question 

et si cet accès risquait d’interférer avec l’enquête pénale en cours. Elle ne 

pouvait pas partir du principe que l’absence de réaction du MPC, voire sa 

réaction erronée (cf. ci-dessous), signifiait qu’il n’avait aucune remarque à 

formuler à cet égard, d’autant que l’autorité inférieure ne lui avait jamais 

demandé de se positionner à ce sujet dans son courrier du 4 juin 2024 

(cf. Faits, let. K supra). 

D’une manière générale, les échanges intervenus entre ces deux autorités 

manquent de clarté : le MPC refuse d’accorder l’accès au dossier pénal à 

l’autorité inférieure, en se basant sur la LTrans, puis l’autorité inférieure tire 

des conclusions qui ne peuvent pas être déduites du courrier du MPC. Quoi 

qu’il en soit, il n’appartient pas au Tribunal de céans de procéder à d’autres 

actes d’instruction pour clarifier ces questions à ce stade de la procédure 

de recours. 

5.2 Compte tenu de ce qui précède, il convient d’annuler la décision 

attaquée et de renvoyer le dossier à l’autorité inférieure, qui procédera à 

l’instruction requise. Le MPC devra se prononcer sur l’éventuelle influence 

de la mise à disposition des documents concernés par la présente 

procédure sur la conduite de la procédure pénale. L’autorité inférieure en 

profitera, le cas échéant, pour clarifier la question de l’accès au dossier de 

la procédure pénale au sens de l’art. 101 al. 2 CPP. 

6.  

Enfin, le Tribunal de céans a encore plusieurs remarques à formuler 

concernant le caviardage de certains éléments et données figurant dans 

les annexes 1 à 10 de la pièce n° 25, ainsi que l’argumentation de l’autorité 

inférieure à ce sujet. 

6.1 Sans entrer dans le détail de ces documents, qui font l’objet de la 

procédure d’accès comme déjà indiqué, les documents officiels auxquels 

l’autorité inférieure a accordé l’accès à l’intimé contiennent deux rapports 

d’investigation d’un prestataire de services en matière de cybersécurité et 

de gestion de crise, mandaté par la recourante. Le nom du prestataire en 

A-6198/2024 

Page 16 

question est en principe caviardé dans ces deux documents (encadrés 

rouges), sauf dans le second rapport du 13 janvier 2023, à la page 3, au 

chapitre 2, ce qui semble être une erreur. 

De plus, comme indiqué précédemment (cf. consid. 4.2.1 supra), le logo 

de la société C._______ est parfois anonymisé et parfois non dans les 

annexes 1 à 10 de pièces n° 25. 

6.2 Sans examiner la question en détail, le Tribunal de céans se demande 

par ailleurs s’il ne serait pas opportun, pour des raisons de sécurité, de 

caviarder deux éléments indiqués en clair dans le rapport d’investigation 

du 16 décembre 2022 du prestataire de services de la recourante. On y 

trouve en effet l’adresse d’un « endpoint Tor » (p. 4) ainsi qu’une adresse 

e-mail de la recourante (p. 6), avec la mention de sites Internet sur lesquels 

le mot de passe de cette adresse serait consultable. 

6.3 Enfin, le Tribunal de céans n’est pas convaincu par l’argumentation de 

l’autorité inférieure selon laquelle les données personnelles de l’ancien 

directeur de la recourante ne devraient pas être anonymisées. Selon 

l’autorité inférieure, plusieurs médias ont mentionné son nom lors de la 

cyberattaque, ce qui impliquerait, selon elle, « que l’intérêt public à la 

transparence de l’action menée par le PFPDT [serait] plus fort que l’intérêt 

privé de l’ex-directeur général à ne pas voir ses données publiées » 

(décision, n° 82). 

Comme indiqué, cette argumentation n’est guère convaincante. D’une part, 

le Tribunal de céans considère que le fait que deux articles de presse 

mentionnant le nom de l’ancien directeur de la recourante aient été publiés 

à la suite de la cyberattaque ne suffit pas à justifier le fait que son nom ne 

soit pas occulté dans les documents dont l’accès est requis. D’autre part, 

le Tribunal ne voit pas en quoi la mention de ce nom dans les documents 

officiels en question serait pertinente pour comprendre l’action du PFPDT 

dans le cadre de son activité de surveillance. Il convient enfin de tenir 

compte du temps écoulé, dès lors que la cyberattaque a eu lieu en 2022 et 

que la personne concernée n’était déjà plus directrice de la recourante 

lorsque l’autorité inférieure a rendu sa décision en 2024. Pour ces 

différentes raisons, le Tribunal considère qu’il était justifié de caviarder le 

nom de cette personne dans les documents officiels concernés par la 

demande d’accès. Le recours est admis et la décision attaquée est annulée 

en ce qui concerne ce dernier point. 

A-6198/2024 

Page 17 

7.  

Les considérants qui précèdent conduisent le Tribunal administratif fédéral 

à admettre le recours, à annuler la décision attaquée et à renvoyer l’affaire 

à l’autorité inférieure pour complément d’instruction et nouvel examen dans 

le sens des considérants. 

8.  

Demeure à trancher la question des frais et des dépens. 

8.1 Obtenant gain de cause, la recourante n’a pas à supporter de frais de 

procédure (cf. art. 63 al. 1 a contrario et al. 3 PA) et a droit à des dépens 

(art. 64 al. 1 PA en relation avec l’art. 7 du règlement du 21 février 2008 

concernant les frais, dépens et indemnités fixés par le Tribunal administratif 

fédéral [FITAF, RS 173.320.2]). Au demeurant, aucun frais de procédure 

n’est mis à la charge des autorités inférieures, ni des autorités fédérales 

recourantes et déboutées (cf. art. 63 al. 1 PA). Aucun frais de procédure 

n’est par conséquent mis à la charge de l’autorité inférieure. 

8.2 En l’absence de note de frais, l’indemnité due est fixée sur la base du 

dossier (cf. art. 14 al. 2 FITAF). Compte tenu de l’ensemble des 

circonstances du cas, de l’importance de l’affaire, du degré de difficulté de 

cette dernière et de l’ampleur du travail accompli par les mandataires de la 

recourante, le Tribunal estime, au regard des art. 8 ss FITAF, que 

l’allocation d’un montant global de 1’500 francs (y compris supplément TVA 

selon l’art. 9 al. 1 let. c FITAF) apparaît comme équitable en l’espèce. Ce 

montant est à la charge de l’autorité inférieure (cf. art. 64 al. 1 et 2 PA et 

art. 7 al. 1 en relation avec l’art. 14 al. 2 FITAF). 

Ni frais de procédure ni dépens ne sont mis à la charge de l’intimé qui n’a 

pris aucune conclusion sur le fond. 

(le dispositif est porté en page suivante) 

  

A-6198/2024 

Page 18 

Par ces motifs, le Tribunal administratif fédéral prononce : 

1.  

Le recours est admis dans le sens des considérants. 

2.  

La décision entreprise est annulée et la cause est renvoyée à l’autorité 

inférieure pour complément d’instruction et nouvelle décision dans le sens 

des considérants. 

3.  

Il n’est pas perçu de frais de procédure. Le montant de l’avance de frais de 

2'500 francs sera restitué à la recourante dès l’entrée en force du présent 

arrêt. 

4.  

A titre de dépens, l’autorité inférieure versera à la recourante un montant 

de 1’500 francs. 

5.  

Le présent arrêt est adressé à la recourante, à l'intimé et à l'autorité 

inférieure. 

 

L'indication des voies de droit se trouve à la page suivante. 

 

La présidente du collège : Le greffier : 

  

Claudia Pasqualetto Péquignot Jérôme Gurtner 

 

  

A-6198/2024 

Page 19 

Indication des voies de droit : 

La présente décision peut être attaquée devant le Tribunal fédéral, 

1000 Lausanne 14, par la voie du recours en matière de droit public, dans 

les trente jours qui suivent la notification (art. 82 ss, 90 ss et 100 LTF). Ce 

délai est réputé observé si les mémoires sont remis au plus tard le dernier 

jour du délai, soit au Tribunal fédéral soit, à l'attention de ce dernier, à La 

Poste Suisse ou à une représentation diplomatique ou consulaire suisse 

(art. 48 al. 1 LTF). Le mémoire doit être rédigé dans une langue officielle, 

indiquer les conclusions, les motifs et les moyens de preuve, et être signé. 

La décision attaquée et les moyens de preuve doivent être joints au 

mémoire, pour autant qu'ils soient en mains de la partie recourante (art. 42 

LTF). 

 

Expédition : 

  

A-6198/2024 

Page 20 

Le présent arrêt est adressé : 

– à la recourante (Acte judiciaire) 

– à l'intimé (Acte judiciaire) 

– à l'autorité inférieure (n° de réf. […] ; Acte judiciaire)