vd_omni · GE.2025.0034 · 2025-09-29 · fr

A.________ /Municipalité de Vevey | Demande d'informations à une municipalité en lien avec le renouvellement de l'infrastructure centrale de l'informatique de l'administration communale. La LInfo ne permet pas d'obtenir qu'une collectivité publique procède à des recherches pour lui permettre de répondre à des demandes portant sur une information dont elle ne dispose pas (consid. 3b). Une liste des serveurs virtuels constitue un document officiel; absence d'intérêt public prépondérant à un refus pur et simple de production (consid. 4). Recours partiellement admis.

Vaud Tribunal cantonal Cour de droit administratif et public 29.09.2025 GE.2025.0034

TRIBUNAL CANTONAL
COUR DE DROIT ADMINISTRATIF ET PUBLIC
Arrêt du 29 septembre 2025
Composition
M. Pascal Langone,
président
; M. Etienne Poltier, juge
suppléant; M. Pierre-Yves Rochat, assesseur; Mme Fabia Jungo, greffière.
Recourant
A.________,
à ********,
Autorité intimée
Municipalité de ********,
représentée par Me Pascal NICOLLIER, avocat, à
********.
Objet
Loi sur l'information
Recours A.________ c/ décision de la Municipalité de ********
du 20 janvier 2025 portant sur le "Renouvellement 2025 infrastructure
centrale" (LInfo).
Vu les faits suivants:
A.
a) La Municipalité de ******** (ci-après: la municipalité) a adressé au
Conseil communal de cette commune un préavis n° 38/2024, portant sur une
demande d'un crédit d'investissement de 897'000.- frs pour le
renouvellement 2025 de l'infrastructure centrale (serveur, stockage, baies de
sauvegarde, systèmes de virtualisation et commutateurs reliant ces équipements)
de l'informatique de l'administration communale de la Ville de ********. La
conclusion de ce préavis se lit comme suit :
"10. CONCLUSION
L'infrastructure informatique
centrale de la Ville de ********, soit les serveurs et leurs disques
constituant le système de stockage, les baies de sauvegarde et les commutateurs
reliant ces équipements, doit être remplacée.
Cette opération est indispensable
pour pouvoir continuer à bénéficier des maintenances nécessaires, ce qui serait
impossible sur des commutateurs déclarés en fin de vie et trop coûteux sur des
serveurs arrivés eux aussi en fin de vie. Il faut également redire que la
capacité des baies de stockage est devenue trop juste et a déjà forcé à
diminuer la durée de rétention des sauvegardes.
Les systèmes actuels présentent
déjà un haut niveau de sécurité et de redondance et l'objectif du remplacement
est naturellement de continuer à bénéficier des mêmes avantages, en les
améliorant, avec la nouvelle solution :
-
redondance complète des systèmes grâce aux deux sites de 3 nouds
chacun, se répliquant en temps réel l'un sur l'autre, et offrant une grande
aptitude à surmonter des pannes grâce à l'hyperconvergence ;
-
gestion centralisée et ainsi facilitée des 2 sites considérés
comme un seul ;
-
simplification du support de la solution comme un seul fabricant
est responsable du support des nouds qui regroupent en un seul équipement
serveurs et stockage.
Cette opération de remplacement
des systèmes est nécessaire car le bon fonctionnement des systèmes
informatiques est critique pour tous les collaborateurs de la Ville, pour tous
les habitants et citoyens qui ont besoin des prestations de l'administration
communale, et même au plan régional pour le portail géographique
Cartoriviera."
Le préavis porte également sur la question d'une
externalisation de l'infrastructure informatique communale; il s'exprime à ce
propos comme suit :
5. QUESTION DU CLOUD /
PROBLÉMATIQUE DE L'EXTERNALISATION DE L'INFRASTRUCTURE INFORMATIQUE
Une étude avait été menée en 2020
pour répondre à une demande de la commission ad hoc qui souhaitait disposer de
plus d'informations sur les coûts de solutions d'hébergement cloud. Cette étude
avait clairement montré que les prix d'un hébergement dans le cloud étaient
bien plus élevés (de l'ordre de 3 à 5 fois le prix), une fois ajouté toutes les
options et coûts des locations des liaisons nécessaires, que ceux d'un
remplacement des équipements hébergés dans les salles informatiques de la
Ville, reliées par ses propres fibres optiques privées. La situation n'a pas
fondamentalement changé ces dernières années. En effet, les coûts d'hébergement
cloud qui paraissent attractifs en premier abord le sont nettement moins une
fois que l'on a pris en compte les éléments suivants :
-
la redondance nécessaire qui implique d'avoir deux sites
d'hébergement ;
-
les sauvegardes qui elles aussi doivent offrir de la redondance
et régulièrement un stockage hors ligne à l'abri des hackers ;
-
les liaisons privées rapides indispensables entre le réseau de la
Ville et les datacenters (des liaisons à moins de 10 Gbits/s seraient en effet
contre-productives et limiteraient les performances des systèmes alors que l'on
peut disposer en local, sur des fibres optiques privées, de liaisons à 25
Gbits/s entre les serveurs, ainsi qu'à 100 Gbits/s entre les salles informatiques).
Le Service des systèmes
d'information a refait l'exercice et les coûts calculés pour 5 prestataires
différents, tant suisses qu'internationaux, pour des mises à disposition de serveurs
dans le cloud offrant des capacités similaires aux systèmes dont la Ville
entend se doter, arrivent dans les 5 cas à des montants supérieurs à 2 millions
de Francs pour 5 ans, sans compter le prix des liaisons rapides nécessaires
entre le réseau de la Ville et les datacenters sur le cloud. De plus, ces solutions
hébergées n'offrent pas les mêmes outils élaborés de gestion des serveurs.
Il faut aussi relever qu'aucune
commune vaudoise de taille comparable à ******** n'a actuellement fait le pas
de louer dans le cloud ses ressources informatiques."
Le passage précité se réfère au surplus à une étude
menée en lien avec le préavis n° 35/2019 de la Municipalité au Conseil
communal, relatif au renouvellement 2020 de l'infrastructure informatique
communale.
En outre, le préavis prévoit, parmi les postes du
crédit demandé, un montant de 180'000 fr. pour l’achat des licences ********
nécessaires pour le fonctionnement des machines virtuelles, du vCenter de
gestion et de la virtualisation du stockage selon les volumes prévus et de 50'000
fr. pour le renouvellement/remplacement des licences du logiciel de sauvegarde
pour environ 100 serveurs virtuels (les licences actuelles à remplacer étaient
facturées par processeurs physiques, une tarification révolue).
B.
a) Dans un courriel du 29 novembre 2024, A.________ s'est adressé à la
municipalité pour obtenir diverses informations au sujet du préavis précité, ce
sur la base de la loi du 24 septembre 2002 sur l'information (LInfo; BLV
170.21). Sa demande se lit comme suit :
"Au vu de ce qui précède, je
vous prie de bien vouloir m'accorder l'accès aux informations manquantes dans
le document (********) à savoir la liste détaillée de tous les serveurs
virtuels cités dans le document :
-
20 serveurs virtuels sous Linux cités en page 3
-
Les quelques 90 serveurs virtuels cités en page 6 qui
correspondent probablement aux environ 100 serveurs virtuels cités en page 7
Je souhaite donc connaître la
liste exhaustive détaillée de tous les serveurs virtuels en indiquant
précisément CPU, RAM, nombre de coeurs, détails du stockage, OS, licences et
liste d'applications avec leurs noms et versions précises tournant sur chaque
serveur virtuel.
Pour des raisons évidentes
impliquant la cybersécurité de l'infrastructure, je ne souhaite pas connaître
les HOSTNAME, ni les adresses de ces serveurs.
Au chapitre 5 page 5 du document (********),
je souhaite avoir accès à l'étude menée en 2020 pour répondre à une demande de
la commission ad hoc ainsi que toutes les recherches et documents permettant
d'affirmer ensuite que je cite : "La situation n'a pas fondamentalement
changé ces dernières années". Si une nouvelle étude a été menée
entre-temps, merci de me la transmettre. Est-ce que dans la mise à jour de
cette étude les paramètres comme les migrations et simplifications ayant eu
lieu depuis 2020 ont été pris en compte ?
Au chapitre 5 page 6 du document (********),
je souhaite avoir accès à la liste des communes vaudoises mentionnées qui
permet d'affirmer qu'aucune d'elle n'a fait le pas de je cite : "louer
dans le Cloud".
Y a-t-il une liste de communes
vaudoises plus petites que ******** qui auraient fait ce pas?
Est-ce que dans ces affirmations,
le fait que des sociétés spécialisées pour fournir les communes vaudoises,
(telles que ********), offrent des solutions complètement basées dans le Cloud
Microsoft AZURE a été pris en compte?"
Dans un courriel du 4 décembre 2024, adressé à la
municipalité, A.________ a modifié quelque peu sa demande sur le dernier point
précité en soulevant la question suivante:
"Y a-t-il une liste de
communes vaudoises plus petites que ******** qui auraient fait ce pas ? Si oui,
merci de bien vouloir me la fournir."
b) Par décision du 20 janvier 2025, la municipalité
a écarté pour l'essentiel les demandes, dans les termes suivants :
"Nous avons repris vos
différentes demandes et y répondons comme suit :
1. Au chapitre 5 page 5 du
document (********] : « Je souhaite avoir accès à l'étude menée en 2020 pour répondre
à une demande de la commission ad hoc ainsi que toutes les recherches et
documents permettant d'affirmer ensuite que je cite : "La situation n'a
pas fondamentalement changé ces dernières années". Si une nouvelle étude a
été menée entre-temps, merci de me la transmettre. Est-ce que dans la mise à
jour de cette étude les paramètres comme les migrations et simplifications
ayant eu lieu depuis 2020 ont été pris en compte? »
- Cette étude était un document de
travail fourni alors à la commission Ad hoc dans le cadre de son activité. Ce
document a été joint au rapport de la commission et est accessible sur le site
intemel
www.vevev.ch
à l'adresse suivante
https://conseil.********.ch/ConseilCommunal/download.asp?d=3327
- Les recherches de prix en 2024
ayant permis cette affirmation sont également des documents de travail et ne
constituent pas des documents officiels. La question concernant "les migrations
et simplifications" n'a pas de rapport avec une demande d'accès à des
documents officiels.
2. Au chapitre 5 page 6 du
document [********], « Je souhaite avoir accès à la liste des communes
vaudoises mentionnées qui permet d'affirmer qu'aucune d'elle n'a fait le pas de
je cite : "louer dans le Cloud". Y a-t-il une liste de communes vaudoises
plus petites que ******** qui auraient fait ce pas? Si oui, merci de bien
vouloir me la fournir.»
- Il n'y a pas de liste ou documenf
officiel. Les données dont la Ville de ******** dispose ne sont pas des
documents officiels et n'ont pas à être dévoilées. Celles-ci proviennent d'un
sondage informel auprès des communes membres de I'AVRIC (Association vaudoise
des responsables informatiques communaux) et la confidentialité de tels sondages
doit être préservée.
Les inventaires de nos serveurs
virtuels tenus dans des bases de données comme GLP ne sont pas des documents
officiels au sens de la Llnfo. Ce sont également des données sensibles et n'ont
ainsi évidemment pas à être communiqués à des tiers.
3. "Est-ce que dans ces
affirmations, le fait que des sociétés spécialisées pour fournir les communes
vaudoises, (telles que ********) offrent des solutions complètement basées dans
le Cloud Microsoft AZURE a été pris en compte?"
- Cette question n'a pas de
rapport avec une demande d'accès à des documents officiels."
C.
a) Agissant par acte du 7 février 2025, A.________ a saisi la Cour de
droit administratif et public du Tribunal cantonal (ci-après: CDAP) d'un
recours contre cette décision; il conclut en substance à ce qu'il soit ordonné
à l'autorité intimée de lui transmettre les documents demandés.
b) Dans sa réponse au pourvoi du 11 avril 2025,
déposé par l'intermédiaire de l'avocat Pascal Nicollier, la commune de ********
a conclu avec dépens à son rejet et à la confirmation de la décision attaquée.
Dans une réplique du 28 avril 2025, A.________, tout
en complétant ses moyens, a confirmé pour l'essentiel les conclusions de son
recours.
D.
a) La décision attaquée, en réponse à l'une des demandes, indiquait que
l'étude demandée était disponible sur le site internet de la ville de ********;
un lien était fourni au recourant à cet effet.
b) A la suite d’un complément d’instruction, la municipalité
a fourni de nouveaux éléments en date du 2 juin 2025 (l’un d’entre eux ne
devant pas être dévoilé au recourant, soit l’étude de prix ********), puis a versé
au dossier le 19 août 2025 l’étude de 2020 évoquée plus haut («
Etude
complémentaire externalisation
» du 10.02.2020).
c) Le recourant a complété ses moyens le 9 juillet
2025. Dans ce contexte, il s’est plaint du fait que les nouveaux éléments
présentés par la municipalité ne répondaient pas à ses demandes ;
néanmoins, il a déclaré retirer les griefs qu’il avait soulevé en relation avec
ses demandes écartées touchant des recherches de prix pour des solutions
d’externalisation dans le
cloud
(ch. 5, p. 5 du préavis n°
38/2024 ; cité plus haut sous A/a). La municipalité a également fourni es
arguments supplémentaires dans son écriture du 19 août 2025.
Considérant en droit:
1.
a) A teneur de l'art. 26 LInfo, les autorités communales statuent sur
les demandes concernant leurs activités; elles le font par le biais de
décisions. L'art. 27 LInfo prévoit, à son al. 1, que la procédure de recours
devant le Tribunal cantonal est rapide, simple et gratuite. Quant à son al. 3,
il prévoit que la loi vaudoise du 28 octobre 2008 sur la procédure
administrative (LPA-VD ; BLV 173.36) est applicable aux décisions rendues
en vertu de la présente loi, ainsi qu'aux recours contre dites décisions. Il en
découle que les décisions des municipalités rendues en application de l'art. 26
LInfo sont susceptibles de recours à la CDAP (art. 92 LPA-VD).
b) Le recourant, destinataire de la décision lui
refusant l'accès aux documents demandés, auquel il prétend avoir droit, a la
qualité pour recourir (art. 75 al. 1 let. a de la LPA-VD). Le recours a de plus
été formé dans le délai (art. 95 LPA-VD) et le respect des formes prescrites
(art. 79 et 99 LPA-VD).
c) Il y a lieu d'entrer en matière.
2.
Il convient tout d'abord de procéder à un bref rappel du cadre légal.
a) Aux termes de l'art. 41 de la
Constitution du 14 avril 2003 du Canton de Vaud (Cst-VD; BLV 101.01), l'Etat et
les communes informent la population de leurs activités selon le principe de la
transparence. Ce devoir d'information est réglementé dans la LInfo, qui
s'applique aux autorités tant cantonales que communales (cf. art. 2 LInfo).
La LInfo pose à son art. 8 le
principe selon lequel les renseignements, informations et documents officiels
détenus par les organismes soumis à la présente loi sont accessibles au public
(al. 1), sous réserve des cas décrits au chapitre IV (al. 2). Les autorités
communales statuent sur les demandes concernant leurs activités (art. 26
LInfo).
Par document officiel, on entend
tout document achevé, quel que soit son support, qui est élaboré ou détenu par
les autorités, qui concerne l'accomplissement d'une tâche publique et qui n'est
pas destiné à un usage personnel (art. 9 al. 1 LInfo). Ces conditions sont
cumulatives (CDAP GE.2020.0066 du 8 mars 2021 consid. 2b/aa; GE.2020.0038
du 14 décembre 2020 consid. 5a; GE.2019.0010 du 4 octobre 2019
consid. 2a, et la référence citée).
La loi ne
vise pas seulement les documents produits par l’autorité, mais aussi ceux
détenus par elle. Les documents soumis à la LInfo sont ceux qui ont un rapport
avec une action administrative des autorités (
GE.2020.0066 du 8 mars
2021 consid. 2b/aa; GE.2019.0034 du 11 octobre 2019 consid. 2b;
GE.2019.0010 du 4 octobre 2019 consid. 2a;
voir
également
Exposé des motifs et projet de loi [EMPL] sur l'information,
Bulletin du Grand Conseil [BGC] septembre-octobre 2002 [ci-après: BGC
septembre-octobre 2002], p. 2634 ss, spéc.
p. 2647-2649).
Les documents officiels sont ceux
qui ont atteint leur stade définitif d'élaboration. Cette réserve du caractère
achevé d'un document doit permettre à l'administration de travailler et de
faire évoluer ses projets avec toute la latitude nécessaire à cette fin. Des
exemples de documents inachevés sont des textes raturés ou annotés, la version
provisoire d'un rapport, l'esquisse d'un projet, les brouillons de séance, les
notes de travail informelles, les ébauches de texte, les notes récapitulatives
de séance (CDAP GE.2020.0066 du 8 mars 2021 consid. 2b/aa; GE.2019.0010 du
4 octobre 2019 consid. 2a). A l'inverse, la signature ou l'approbation
d'un document, ou encore sa transmission à l'interne ou à l'extérieur de
l'administration, peuvent constituer des indices permettant de considérer un
document comme achevé (CDAP GE.2020.0038 du 14 décembre 2020 consid. 5a;
GE.2019.0034 du 11 octobre 2019 consid. 2b, et les références citées).
b) La structure de la loi suppose
qu'il convient de distinguer les "
documents officiels
" qui
sont "
achevés
" au sens de l'art. 9 al. 1 LInfo, susceptibles
d'être communiqués sur demande, des documents dits "
internes
",
soit notamment les notes et courriers échangés entre les membres d’une autorité
collégiale ou entre ces derniers et leurs collaborateurs, qui sont exclus du
droit à l'information en vertu de l'art. 9 al. 2 LInfo (CDAP GE.2019.0010 du 4
octobre 2019 consid. 2a, et les références citées). L’art. 14 du règlement
d'application du 25 septembre 2003 de la LInfo (RLInfo; BLV 170.21.1) précise
que sont des documents internes les notes et courriers échangés entre les
membres d'une autorité collégiale, entre ces derniers et leurs collaborateurs
ou entre leurs collaborateurs personnels, ainsi que les documents devant
permettre la formation de l'opinion et de la décision d'une autorité
collégiale.
Selon l'EMPL relatif à la loi sur
la LInfo, ce type de document interne est exclu du principe de transparence,
car il s'agit de documents devant permettre la libre formation de l'opinion et
de la décision d'une autorité collégiale et qui, de ce fait, doivent être
soustraits à l'opinion publique (BGC, septembre-octobre 2002, p. 2649). Selon
la jurisprudence cantonale également, le caractère de document interne au sens
des art. 9 al. 2 LInfo et 14 RLInfo doit être reconnu aux documents
dont la communication aurait pour effet de divulguer le processus de formation
de la volonté de l'autorité dans un cas d'espèce. Seuls les documents
contenant, outre des données techniques ou juridiques, une appréciation
politique qui nécessite une prise de décision pourraient de cas en cas être
soustraits au droit à l'information (CDAP GE.2020.0066 du 8 mars 2021
consid. 2b/aa; GE.2020.0038 du 14 décembre 2020 consid. 5b;
GE.2019.0034 du 11 octobre 2019 consid. 2b, et les références citées).
c) aa) Le droit à l'information
institué par la LInfo n'est toutefois pas absolu. Aux termes de l’art. 15
LInfo, les dispositions d'autres lois qui restreignent ou excluent la
transmission d'informations ou l'accès à des documents officiels sont réservées,
y compris les dispositions protégeant le droit d’auteur. La LInfo réserve aussi
les intérêts publics ou privés prépondérants (art. 16 al. 1 LInfo). Des
intérêts publics prépondérants sont en cause lorsque la diffusion
d'informations, de documents, de propositions, d'actes et de projets d'actes
est susceptible de perturber sensiblement le processus de décision ou le
fonctionnement des autorités (art. 16 al. 2 let. a LInfo); une information
serait susceptible de compromettre la sécurité ou l'ordre publics (art. 16 al.
2 let. b LInfo); le travail occasionné serait manifestement disproportionné
(art. 16 al. 2 let. c LInfo); les relations avec d'autres entités publiques
seraient perturbées dans une mesure sensible (art. 16 al. 2 let. d LInfo). Sont
réputés intérêts privés prépondérants la protection contre une atteinte notable
à la sphère privée, sous réserve du consentement de la personne concernée (art.
16 al. 3 let. a LInfo); la protection de la personnalité dans des procédures en
cours devant les autorités (art. 16 al. 3 let. b LInfo), le secret commercial,
le secret professionnel ou tout autre secret protégé par la loi (art. 16 al. 3
let. c LInfo). L’art. 17 LInfo dispose en outre ce qui suit :
"
Art. 17   Refus partiel
1
Le refus de
communiquer un renseignement ou un document conformément à l'article 16 ne vaut
le cas échéant que pour la partie du renseignement ou du document concerné par
cet article et tant que l'intérêt public ou privé prépondérant existe.
2
L'organisme sollicité
s'efforce de répondre au moins partiellement à la demande, au besoin en ne
communiquant pas ou en masquant les renseignements ou les parties d'un document
concernés par l'intérêt public ou privé prépondérant."
bb) D'une façon générale, l'art. 16 LInfo doit être
interprété de façon similaire à l'art. 7 de la loi fédérale du 17 décembre 2004
sur la transparence (LTrans; RS 152.3). Le refus d'accès (total ou partiel)
doit ainsi se justifier par un risque à la fois important et sérieux
d'atteintes aux intérêts publics ou privés prépondérants protégés par cette
disposition; l'application de ces exceptions, restrictive, doit résulter d'une
pesée des intérêts et respecter le principe de la proportionnalité. Le fardeau
de la preuve pour réfuter la présomption de publicité établie par la LInfo est
à la charge de l'autorité (CDAP GE.2019.0010 du 4 octobre 2019 consid. 4a et
les références).
S'agissant en particulier de
l'hypothèse prévue par l'art. 16 al. 2 let. b LInfo en lien avec le risque de
compromission de la sécurité ou de l'ordre publics, c'est dans chaque cas
d'espèce que les autorités doivent déterminer si les conditions en sont réunies,
étant précisé que ce motif doit rester l'exception et non pas se transformer en
règle; le dommage pour la sécurité ou l'ordre publics doit ainsi être
suffisamment grave et exceptionnel pour justifier la non-diffusion d'une
information sous motif d'intérêt public prépondérant (cf. EMPL précité, p. 2656
ad
art. 16 al. 2 let. b LInfo). Cette exception peut être invoquée si
deux conditions sont réalisées: les documents doivent concerner la sécurité ou
l'ordre publics, d'une part, et leur communication doit présenter un risque de
mise en danger de la sécurité ou de l'ordre publics, d'autre part (cf. Bastien
von Wyss, Droit d'accès aux documents officiels: comparaison et étude de la
mise en œuvre de quatre lois sur la transparence en Suisse, Mémoire de Master
2011, p. 47).
cc) Dans le souci d’être complet,
on signalera que le Parlement fédéral a adopté, le 18 décembre 2020, la loi
fédérale sur la sécurité de l'information au sein de la Confédération (LSI; RS
128). A teneur de son art. 3, cette loi ne s'applique que de manière limitée
aux cantons (notamment lorsque ceux-ci accèdent à des moyens informatiques de
la Confédération). Elle s'applique en outre aux organisations de droit public
ou privé qui exploitent des infrastructures critiques; ces dernières, si elles
ne sont pas visées par l'art. 2 al. 1 à 3 LSI (il en va ainsi en principe des
installations des communes), ne sont alors soumises qu'aux art. 74 à 80 LSI
(art. 2 al. 5 LSI). Les art. 74 ss LSI, qui régissent les infrastructures
critiques, prévoient à leur charge une obligation de signalement des
cyberattaques; ces dispositions n’entrent pas en ligne de compte dans la
présente espèce. Par contre, les art. 16 ss LSI (et 27 ss de son ordonnance
d’application, OSI - RS 128.1) comportent diverses règles portant sur la sécurité
des moyens informatiques. Ces dispositions ne sont toutefois applicables qu’à
l’Administration fédérale et non aux communes; elles expriment cependant le
souci de sécurité en cette matière des collectivités publiques - souci qui
paraît être au cœur des préoccupations de l’autorité intimée dans la présente
espèce.
d)
L'art. 8 al. 1 LInfo prévoit que sont en principe accessibles, outre les
documents officiels (au sens de l'art. 9 al. 1 LInfo), les "
renseignements
"
et "
informations
" détenus par les organismes soumis à la loi.
Les notions de "
renseignements
" et "
informations
",
synonymes, sont larges; les renseignements peuvent porter sur des activités des
autorités comme sur des documents qu'elles produisent (cf. Bastien von Wyss, op.
cit., p. 28, qui se réfère à un entretien avec le Préposé à la protection des
données et à l'information du canton de Vaud).
Dans un
arrêt GE.2017.0114, GE.2018.0025 du 12 novembre 2018 auquel les parties se
réfèrent, la cour de céans a notamment retenu ce qui suit à ce propos
(consid. 4b/bb):
"[…] l'EMPL
LInfo […] indique uniquement que « la demande peut porter sur
des renseignements ou sur la consultation de documents ». Sur la notion de
documents officiels, il est renvoyé à l'art. 9 LInfo (BGC, septembre-octobre
2002, p. 2647). Il convient dès lors de retenir qu'à la différence de la loi
fédérale, la loi cantonale sur l'information permet au public de requérir des
renseignements sur l'activité de l'administration qui ne ressortent pas d'un
document officiel […].
Ainsi, la demande d’informations
peut porter sur des renseignements dont l’autorité dispose, même s'ils ne
figurent pas dans un document officiel. Ces renseignements ou ces informations
au sens de l'art. 8 al. 1 LInfo s'entendent dans un sens purement factuel:
l'autorité doit renseigner sur les mesures qu'elle a prises ou n'a pas prises
dans le cas concret, sous réserve des limites posées par les art. 15 ss
LInfo […]. Elle n'a en revanche pas à justifier son action ou son
inaction."
3.
La question de l'externalisation des services informatiques de la ville
de ********, notamment par un recours à l'hébergement dans le cloud, selon
diverses modalités, a été un sujet thématisé dans le débat politique de la
commune dès 2019 (le préavis 35/2019, se rapportant au renouvellement de
l'infrastructure informatique centrale de la commune ayant été refusé pour ce
motif dans un premier temps par la commission chargée de son examen). Un
chapitre est d'ailleurs dédié à cette question dans le préavis 38/2024, auquel
se rapportent les demandes du recourant. Celles-ci portent notamment sur des
documents ou des renseignements en lien avec le choix de l'autorité intimée de
ne pas externaliser une partie de son informatique dans le cloud (et notamment
des prestations de stockage).
a) En l'état, la Cour constate que les préavis
35/2019 et 38/2024, ainsi que les rapports des commissions du Conseil communal
chargées de l'examen de ces préavis, avec les études annexées à ceux-ci sont
disponibles sur le site internet de la ville de ********. Autrement dit, il n'y
a pas débat s'agissant de l'application de la LInfo aux études précitées,
lesquelles sont accessibles. A la demande de la cour, l'autorité intimée a versé
au dossier de la cause le document «
Etude complémentaire
externalisation
», du 10 février 2020.
Ces documents répondent dans une certaine mesure aux
demandes du recourant; il en va ainsi s'agissant des recherches de prix,
documentées dans l'étude relative au préavis 35/2019 ou dans celles annexées au
rapport du Conseil communal portant sur le préavis 38/2024. Ces études
paraissent démontrer que le prix d'une solution cloud est élevé, tout au moins
s'agissant de l'étude de 2024, pour les fournisseurs sollicités. Au demeurant,
le recourant, dans son écriture du 9 juillet 2025, a retiré sa demande sur cet aspect,
ce dont la cour prend acte.
b) Au surplus, le recourant a soulevé diverses
questions en relation avec l'adoption ou non par les communes de solutions
d'externalisation, avec recours au cloud. Là encore, les études susmentionnées
(de 2020, puis 2024) évoquent cet aspect et paraissent confirmer que les
communes contactées n'ont pas recours à une solution d'externalisation. Dans la
mesure où il n'existe pas de liste de communes, avec leurs réponses au sondage,
l'art. 8 LInfo implique de fournir aux requérants des renseignements; en l'occurrence,
l'information consistant à dire que les communes n'ont pas recours à un système
d'externalisation constitue bien un tel renseignement, qui paraît suffisant par
rapport à la demande formulée. Certes, le recourant a demandé, dans un courriel
complémentaire du 4 décembre 2024, si des communes plus petites que ********
avaient fait le pas d'une externalisation vers le cloud; la municipalité n'a
pas répondu à cette question, dont elle ne connaît apparemment pas la réponse. La
LInfo ne permet pas au recourant d'obtenir qu'une collectivité publique procède
à des recherches pour lui permettre de répondre à des demandes portant sur une
information dont elle ne dispose pas.
c) La même solution s'impose sur un dernier point:
le recourant, en effet, relève que diverses sociétés spécialisées offrent sur
le marché des solutions complètement basées dans le cloud Microsoft AZURE : il
se demandait ainsi si ce type d'offre avait été pris en compte par les communes
pour leur décision de renoncer à une solution externalisée. On relève à ce
propos que l'étude de 2024 n'en fait pas état (pas plus que l'étude de 2020).
La commune de ******** a écarté cette option; quant à d'autres communes,
l'autorité intimée ignore apparemment la réponse à cette question.
d) En définitive, au terme du complément
d'instruction mené par le juge instructeur, il faut considérer que les études
mentionnées par le recourant constituent des documents officiels, auxquels il a
accès par le biais du site de la ville de ********. Ces études lui fournissent
d'ailleurs divers renseignements; s'agissant d'autres renseignements
sollicités, qui n'y trouvent pas de réponse, le refus municipal, conforme à la
LInfo, peut être confirmé.
4.
Le recourant, se référant au préavis no 38/2024 de la municipalité,
demande une liste des serveurs virtuels. Pour la municipalité, une telle liste
constitue un document de nature interne, portant de surcroît sur des données sensibles,
de sorte qu'il n'y a pas lieu de donner suite à la demande de l'intéressé.
a) On ne voit pas qu'un inventaire des biens
communaux puisse constituer un document de nature purement interne. Au
demeurant, qu'il s'agisse de biens mobiliers ou immobiliers, ceux-ci doivent
figurer à l'actif du bilan des communes, en particulier lorsqu'il s'agit de
biens du patrimoine administratif (voir à ce sujet art. 26 du règlement du 14
décembre 1979 sur la comptabilité des communes - RCCom; BLV 175.31.1). Il va
donc de soi que les serveurs physiques doivent y figurer; l’inventaire de ces
serveurs, soit des éléments de l'actif du bilan, constitue donc bien un
document officiel.
Au demeurant, on ne voit pas de motif qui
commanderait de s’écarter de cette approche s'agissant des serveurs virtuels,
sous quelques réserves. Au préalable, on relève d'emblée qu'un inventaire de
ces serveurs virtuels ne saurait être qualifié de document interne; en outre,
un tel inventaire existe (la municipalité admet l’existence d’un inventaire de
gestion du parc informatique [GLPI], dont les éléments précités pourraient être
tirés; en outre, l’établissement d’un tel document ne paraît donc pas présenter
de difficulté).
La municipalité, dans son écriture du 11 avril 2025
(ch. 2.2.3, sous n° 12) admet d’ailleurs une production, limitée pour des
motifs de sécurité, d'une liste de ces serveurs; elle n’a toutefois pas modifié
sa décision à ce propos, ni produit une telle liste. Pour sa part, le recourant
reconnaît que certains éléments peuvent être occultés (Hostname et adresses IP
des serveurs virtuels). Il produit par ailleurs un document, tiré d'un appel
d'offres, où des données supplémentaires sont fournies au sujet de tels
serveurs virtuels par l'Association Sécurité Riviera, soit une association de
communes, dont l'informatique est hébergée sur les serveurs de la ville de
Montreux. Dans sa réponse au recours, l'autorité intimée indique qu'elle "
n'est
pas persuadée qu'il soit de bonne pratique de publier sur internet ce cahier
des charges qui fournit des renseignements sur une partie de futurs serveurs
virtuels, même s'il n'y a qu'une part des serveurs dans la liste et non pas de
serveurs d'active directory par exemple
".
Apparemment, l' autorité intimée se prévaut en
l'occurrence de l'art. 16 al. 2 let. b LInfo, qui lui permet de s'opposer
à une production pour des motifs relevant d'un intérêt public prépondérant: ici
la sécurité de l'informatique communale.
c) aa) Comme on l'a vu, le droit vaudois n'est pas
très étoffé s'agissant du thème de la sécurité informatique, notamment celle
des collectivités publiques. Il n'est cependant pas exclu de se référer ici par
analogie aux dispositions du droit fédéral, notamment celles de l'OSI. L'art. 7
al. 2 let. b OSI indique par exemple que les moyens informatiques doivent
figurer parmi les objets à protéger; dans ce contexte, l'art. 8 précise qu'il
s'agit de gérer un certain nombre de risques susceptibles de menacer ces
objets. Cette ordonnance contient au surplus diverses dispositions (art. 27 ss)
relatives à la sécurité des moyens informatiques.
bb) Cela étant, l'art. 16 LInfo implique une pesée
d'intérêts, afin de déterminer si l'intérêt public invoqué est prépondérant par
rapport à l'intérêt à la diffusion de l'information. En d'autres termes, la
charge de la preuve incombe sur ce point à l'autorité.
Dans le cas d'espèce, il y a lieu d'admettre - et
le recourant n'en disconvient pas - que certains éléments doivent pouvoir
être tenus confidentiels; il n'en demeure pas moins que la décision de
l'autorité intimée, qui consiste en un refus pur et simple s'agissant des
serveurs virtuels, ne démontre pas l'existence d'un intérêt public prépondérant
au refus total de l'information. Elle semble d'ailleurs prête à fournir une
partie de celle-ci ; la question paraît ainsi être de déterminer quelle
part des informations demandées au sujet de ces serveurs virtuels
respectivement peut être délivrée ou doit être refusée. Il semble que les
données les plus sensibles, au regard de la prévention du hacking, concernent
(outre celles que le recourant a renoncé à demander) la liste des applications
et surtout les versions précises tournant sur chaque serveur virtuel; ces
indications pourraient révéler les failles de sécurité affectant les versions
utilisées par l’autorité intimée de ces applications. La demande, en tant
qu’elle porte sur les processeurs, les RAM, le système d’exploitation ou encore
les licences pour ces serveurs virtuels, paraît moins problématique en termes
de sécurité. Quoi qu'il en soit, on ne saurait tenir pour établi l'existence
d'un intérêt public prépondérant à un refus pur et simple, du seul fait que la
diffusion sollicitée serait peut-être contraire à "
des bonnes pratiques
"
qui ne sont nullement précisées par l'autorité pour justifier cette solution.
e) Il découle de ces considérations que le recours
doit être admis sur cet aspect, la cause étant renvoyée à la municipalité pour
nouvelle décision dans le sens des considérants à ce sujet.
5.
Il découle des considérations qui précèdent que le recours doit être
admis partiellement, plus précisément s'agissant de la liste des serveurs
virtuels, sollicitée par le recourant. La décision municipale doit donc être
annulée sur cet aspect, le dossier étant renvoyé à l'autorité intimée pour
nouvelle décision dans le sens des considérants.
Il est pour le surplus sans objet, s’agissant des
recherches de prix (consid. 3a), et rejeté pour le surplus (consid. 3b).
Vu l'art. 27 LInfo, le présent arrêt sera rendu sans
frais. Dans la mesure où l'autorité intimée ne l'emporte pas, il n'est pas
alloué de dépens (art. 55 LPA-VD).
Par ces motifs
la Cour de droit administratif et public
du Tribunal cantonal
arrête:
I.
Le recours est partiellement admis.
II.
La décision de la Municipalité de ******** du 20 janvier 2025, relative
à la demande d'information présentée par A.________ le 29 novembre 2024, est
annulée, le dossier lui étant renvoyé pour nouvelle décision dans le sens des
considérants.
III.
Il n'est pas prélevé d'émolument, ni alloué de dépens.
Lausanne, le 29 septembre 2025
Le président:                                                                                            La
greffière:
Le présent arrêt est communiqué aux participants à la
procédure.
Il peut faire l'objet, dans les trente jours suivant sa
notification, d'un recours au Tribunal fédéral (Tribunal fédéral suisse, 1000
Lausanne 14). Le recours en matière de droit public s'exerce aux conditions des
articles 82 ss de la loi du 17 juin 2005 sur le Tribunal fédéral (LTF - RS
173.110), le recours constitutionnel subsidiaire à celles des articles 113 ss
LTF. Le mémoire de recours doit être rédigé dans une langue officielle,
indiquer les conclusions, les motifs et les moyens de preuve, et être signé.
Les motifs doivent exposer succinctement en quoi l’acte attaqué viole le droit.
Les pièces invoquées comme moyens de preuve doivent être jointes au mémoire,
pour autant qu’elles soient en mains de la partie; il en va de même de la
décision attaquée.