TRIBUNAL CANTONAL

COUR DE DROIT ADMINISTRATIF ET PUBLIC

Composition

M. Xavier Michellod, président; M. Guy Dutoit et M. Roland Rapin, assesseurs; M. Vincent Bichsel, greffier.

Recourant

X.________, à 1********,

Autorité intimée

Centre social régional de Lausanne,

Autorité concernée

Bureau du préposé à la protection des données et à l'information, à Lausanne.

Objet	Protection des données Protection des
	Recours X.________ c/ décision du Centre social régional de Lausanne du 31 janvier 2013 refusant la destruction de données personnelles et la cessation de leur traitement

Vu les faits suivants

A. X.________ a été mis au bénéfice du revenu d'insertion (RI) à compter du
1^er janvier 2006, après avoir bénéficié de l'aide sociale vaudoise (ASV).

B. Le 28 novembre 2011, la cheffe d'unité du Centre social régional (CSR) de Lausanne a adressé à X.________ un avertissement en raison d'un comportement qualifié de "irrespectueux et agressif" qu'il aurait eu envers la gestionnaire de prestation RI d'une tierce personne (une de ses proches, avec qui il partageait alors la même adresse).

X.________ a vivement contesté cet avertissement dans des courriers et courriers électroniques adressés à la cheffe d'unité du CSR les 28 novembre et 17 décembre 2011, respectivement au chef du Service social de la ville de Lausanne les 28 décembre 2011, 6 janvier, 9 août, 8 septembre et 22 septembre 2012. Il soutenait en substance que cet avertissement était fondé sur des propos mensongers et requérait, en particulier, son annulation immédiate, le cas échéant qu'une décision formelle motivée soit rendue sur ce point.

Dans leurs réponses respectives à ces différentes écritures, la cheffe d'unité du CSR et le chef du Service social de la ville de Lausanne ont refusé d'annuler l'avertissement en cause, étant pour le reste précisé que les avertissements ne faisaient pas l'objet de décisions formelles. En particulier, le chef de Service social de la ville de Lausanne a formellement refusé le 8 octobre 2013 de revenir sur le courrier d'avertissement du 28 novembre 2011.

Par décision du 4 novembre 2013, le Service de prévoyance et d'aide sociales (SPAS) a déclaré le recours formé par X.________ contre ce refus irrecevable, au motif que la lettre du 8 octobre 2013 n'était pas une décision. Le recours formé par l'intéressé contre cette dernière décision a été rejeté par arrêt GE.2013.020 rendu le 27 novembre 2013 par la Cour de droit administratif et public (CDAP) du Tribunal cantonal.

C. Parallèlement, X.________ a déposé plainte pénale contre la cheffe d'unité du CSR et la gestionnaire de prestation RI concernée pour calomnie ou diffamation. En référence à cette procédure, il a relevé par courrier électronique adressé le 5 décembre 2012 au chef du Service social de la ville de Lausanne qu'il avait eu la "stupéfaction" de constater que son dossier avait été transmis au procureur; il se plaignait en outre de la teneur d'un extrait du journal RI le concernant.

Par courrier électronique du 13 décembre 2012, le chef du Service social de la ville de Lausanne a notamment informé X.________ qu'il acceptait de retirer de son journal RI la mention dont il se plaignait, ceci "par gain de paix uniquement".

Par courrier électronique adressé notamment au chef du Service social de la ville de Lausanne le 30 janvier 2013, X.________ a exposé en particulier ce qui suit:

"Objet: Journaux RI et AS

[…]

Au cours d'une entrevue en date du 21 ct, j'ai formellement interpellé M. Y.________, Chef d'unité au sujet de l'objet cité sous rubrique.

A cet égard, j'ai notamment requis la base légale […] qui - à votre sens - autorise l'exploitation de bases de données contenant des données qualifiées de sensibles au sens de l'art. 4 al. 1 ch. 2 LPrD [loi vaudoise du 11 septembre 2007 sur la protection des données; RSV 172.65].

Mon interlocuteur qui ne disposait pas de l'information requise m'a néanmoins assuré que ma demande serait immédiatement transmise à M. Z.________, Chef de service pour suite utile.

N'ayant à ce jour toujours pas reçu le renseignement demandé, il ne semble pas déraisonnable d'affirmer qu'aucune base légale digne de protection n'existe en la matière et partant que l'exploitation de ces deux bases de données demeure illégale.

Fort de ce constat, je requiers […] qu'il vous plaise détruire immédiatement les données litigieuses et que vous m'en confirmiez sans délai l'exécution.

[…] Il va de soi qu'en l'absence de loi au sens formel […], vous n'êtes pas autorisé à poursuivre l'exploitation des bases de données querellées."

Par courrier électronique du 31 janvier 2013, le chef du Service social de la ville de Lausanne a répondu ce qui suit:

"Notre métier est de garantir le minimum vital aux personnes sans ressources, d'une part, d'aider ces personnes à regagner leur autonomie, d'autre part.

Dans l'exercice de ce métier, nous tenons un journal de chacune de nos interventions (un journal de l'aide financière et un journal de l'appui social). Cela permet à nos collaborateurs de se remémorer la situation d'un bénéficiaire avant un entretien par exemple. Il est vrai qu'il n'y a pas d'article de loi qui l'autorise expressément, de même qu'aucune loi n'autorise les pompiers à utiliser de l'eau pour éteindre un incendie, ou les balayeurs à utiliser un balai pour nettoyer les trottoirs. Notre société laisse chacun exercer son métier selon les règles de l'art, dans les limites du droit bien sûr. Nous tenons des fichiers de données personnelles et sensibles, assurément, parce que cela est indispensable à notre travail, et nous le faisons en conformité de la législation.

Il est donc hors de question que nous détruisions le journal (ou les journaux) de nos interventions en votre faveur."

D. X.________ a contesté ce "refus de destruction de données sensibles collectées et traitées en l'absence de base légale" par acte adressé à la CDAP le 31 janvier 2013, faisant en substance valoir ce qui suit:

"[…] dans la mesure où ces fichiers informatiques contiennent essentiellement des données sensibles (ndr: des informations relatives à l'aide sociale certes mais également et surtout des informations de police, inhérentes à des procédures pénales en cours, à des procédures auprès de la Justice de paix, à des problèmes familiaux, à des données soumises au secret médical, etc.), je requiers respectueusement qu'il vous plaise ordonner la destruction des journaux litigieux et interdire la poursuite et l'exploitation desdites bases de données.

J'ajoute enfin que les données susdésignées ne sont d'aucune utilité au bon fonctionnement du suivi des dossiers des bénéficiaires du Revenu d'insertion (RI) et que ces dernières ne peuvent qu'occasionner des préjugés malsains auprès des nombreux lecteurs potentiels ayant accès à cette application informatique illégale. En d'autres termes et vous l'aurez aisément compris, les données querellées sont - de par leur teneur - trop souvent attentatoires à la liberté personnelle, à la présomption d'innocence et à la personnalité des personnes prétendument concernées."

Interpellé, le recourant a précisé par écriture du 9 février 2013 qu'il n'avait reçu, à titre de "décision", que le courrier électronique du chef du Service social de la ville de Lausanne du 31 janvier 2013; il relevait que si ce courrier électronique ne remplissait pas les conditions légales d'une décision formelle, une annulation pour ce motif aurait pour unique conséquence un allongement de la procédure, et requérait, par économie de procédure et dans la mesure où il n'avait pas été entravé dans ses droits par ces "manquements", qu'il soit entré en matière sur son recours. L'intéressé a encore développé ses motifs par écriture du 2 mars 2013, précisant notamment que son recours portait exclusivement sur les bases de données intitulées journal RI et journal AS, dont l'exploitation était à son sens illicite.

Dans sa réponse du 14 mars 2013, l'autorité intimée a en substance estimé que la "communication" par courrier électronique du 31 janvier 2013 n'était "pas susceptible de recours direct devant le Tribunal cantonal".

Le recourant a déposé ses observations complémentaires par écriture du 19 mars 2013. Le 9 août 2013, il a notamment requis qu'interdiction soit faite au CSR de collecter "ce type de données sensibles" et de "perdurer à alimenter ces deux bases de données illicites", en référence à l'effet suspensif au recours; il a réitéré cette requête par écriture du 21 août 2013.

L'autorité intimée a relevé par écriture du 12 septembre 2013 qu'au vu du nombre de dossiers que les gestionnaires de prestations et autres assistants sociaux avaient à traiter (environ 90 par collaborateur en l'état), il serait impossible aux intéressés de se rappeler du détail de chaque situation, raison pour laquelle les "éléments importants pour le traitement du dossier" figuraient dans les journaux litigieux; en outre, dans la mesure où la plupart des acteurs du CSR collaboraient sur les dossiers, il était indispensable que les informations puissent être recensées et partagées - étant précisé que les journaux n'étaient accessibles qu'aux employés du CSR concerné, les autres CSR du canton n'ayant pas accès à cette base de données.

E. Invité à se déterminer sur le recours en tant qu'autorité concernée, le Préposé à la protection des données et à l'information (le Préposé) a exposé en particulier ce qui suit par écriture du 21 octobre 2013:

"Les missions des centres sociaux régionaux (CSR) sont énumérées en particulier à l'article 18 de la loi du 2 décembre 2003 sur l'action sociale vaudoise (LASV; 850.51). Les CSR assurent notamment le suivi des personnes bénéficiant du revenu d'insertion (RI). On peut admettre que pour le permettre, il est important de disposer d'informations sur les actions qui ont été accomplies dans ce cadre. Le principe même d'un journal permettant de centraliser ce type d'informations paraît par conséquent admissible, même en l'absence de base légale formelle expresse. Au vu du type d'informations concernées, il serait toutefois souhaitable que la loi soit plus précise que ce qu'elle est actuellement.

Se pose encore la question de la proportionnalité des données traitées. Les journaux litigieux contiennent-ils seulement des informations absolument nécessaires à l'accomplissement de la tâche légale de l'autorité intimée? En l'état des informations dont nous disposons, il ne nous est pas possible de nous déterminer sur ce point. Si certaines données traitées ne devaient pas répondre au critère de nécessité, une destruction de ces données devrait être envisagée. S'agissant de données licites, le recourant étant encore bénéficiaire du RI, et en conséquence suivi par l'autorité intimée, une destruction des données ne nous paraît pas devoir être ordonnée."

Interpellée, l'autorité intimée a indiqué par écriture du 7 novembre 2013 qu'après avoir soigneusement examiné les informations qui figuraient aux journaux AS et RI du recourant, elle estimait que ces informations respectaient les principes de proportionnalité et d'absolue nécessité. Sur requête du tribunal, elle a produit le 28 novembre 2013 un extrait des journaux en cause; elle a par ailleurs produit sa directive interne concernant le "traitement des données et gestion des dossiers", dans sa teneur en vigueur depuis le 1^er mars 2011, soulignant les exigences prévues par cette directive s'agissant notamment de la confidentialité et de l'accessibilité des données.

Par écriture du 3 décembre 2013, le recourant a informé le tribunal que des "négociations transactionnelles" avaient été menées en parallèle à la présente procédure, estimant que l'autorité intimée peinait à déterminer si telle ou telle donnée sensible répondait au critère de nécessité et se plaignant d'arbitraire; il a notamment produit une copie des journaux RI et AS le concernant sur lesquels il avait indiqué, par le biais d'annotations, les données dont il estimait qu'elles ne répondaient "absolument pas au principe de proportionnalité en général et au critère de nécessité en particulier".

Le 23 décembre 2013, l'autorité intimée a confirmé qu'aucun accord n'avait pu être trouvé dans le cadre de cet "arrangement hors procédure". Elle a relevé qu'il apparaissait que le recourant ne contestait plus l'existence même des bases de données, mais uniquement le bien-fondé de certaines mentions y figurant, et fait part de ses observations en lien avec certains éléments de fait y figurant et dont le recourant contestait la véracité - en particulier en lien avec la "problématique logement".

Invité à se déterminer sur la pertinence des informations dont le recourant demandait la destruction, le Préposé a estimé par écriture du 30 décembre 2013 que le traitement des données concernées par l'autorité intimée répondait aux exigences découlant du principe de proportionnalité, respectivement qu'il n'y avait à son sens pas de traitement illicite dans le cas d'espèce.

Dans ses observations finales du 9 janvier 2014, le recourant a notamment relevé qu'il n'apparaissait pas que le Préposé ait été informé de l'intention de l'autorité intimée de créer et d'exploiter les bases de donnée litigieuses, et s'est en substance plaint de l'absence de contrôle dans ce cadre. Il a par ailleurs fait valoir qu'il allait de soi que les données détruites dans les journaux RI et AS devaient l'être également dans toutes les applications informatisées dans lesquelles elles étaient accessibles.

F. Le tribunal a statué par voie de circulation.

Considérant en droit

1. Dans sa réponse du 14 mars 2013, l'autorité intimée a en substance soutenu que la "communication" du 31 janvier 2013 n'était pas susceptible de recours direct devant le Tribunal cantonal.

a) L'art. 3 al. 1 de la loi vaudoise du 28 octobre 2008 sur la procédure administrative (LPA-VD; RSV 173.36) définit la décision comme il suit:

"Est une décision toute mesure prise par une autorité dans un cas d'espèce, en application du droit public, et ayant pour objet:

a. de créer, de modifier ou d'annuler des droits et obligations;

b. de constater l'existence, l'inexistence ou l'étendue de droits et obligations;

c. de rejeter ou de déclarer irrecevables des demandes tendant à créer, modifier, annuler ou constater des droits et obligations."

La décision est un acte de souveraineté individuel, qui s'adresse à un particulier et qui règle de manière obligatoire et contraignante, à titre formateur ou constatatoire, un rapport juridique concret relevant du droit administratif (ATF 135 II 38 consid. 4.3; 121 II 473 consid. 2a); en d'autres termes, elle constitue un acte étatique qui touche la situation juridique de l'intéressé, l'astreignant à faire, à s'abstenir ou à tolérer quelque chose, ou qui règle d'une autre manière obligatoire ses rapports juridiques avec l'Etat (ATF 135 II 22 consid. 1.2; 121 I 173 consid. 2a). Ne sont pas assimilables à une décision l'expression d'une opinion, la communication, la prise de position, la recommandation, le renseignement, l'information, le projet de décision ou l'annonce de celle-ci, car ils ne modifient pas la situation juridique de l'administré, ne créent pas un rapport de droit entre l'administration et le citoyen, ni ne lui imposent une situation passive ou active (cf. arrêt GE.2014.0201 du 21 janvier 2015 consid. 1a et les références).

b) Le chapitre VI de la loi vaudoise du 11 septembre 2007 sur la protection des données personnelles (LPrD; RSV 172.65) porte sur les droits de la "personne concernée" - soit de toute personne physique ou morale au sujet de laquelle les données sont traitées (cf. art. 4 ch. 4 LPrD). Outre le droit de consulter les fichiers (cf. art. 25 à 27 LPrD) et celui de s'opposer à leur communication (cf. art. 28 LPrD), il est prévu dans ce cadre à l'art. 29 LPrD que les personnes qui ont un intérêt digne de protection peuvent exiger du "responsable du traitement" - soit de la personne physique ou morale, de l'autorité publique, du service ou de tout autre organisme qui, seul ou conjointement avec d'autres, détermine le contenu, ainsi que les modalités du fichier (cf. art. 4 ch. 8 LPrD) - qu'il (al. 1) s'abstienne de procéder à un traitement illicite de données (let. a), supprime les effets d'un traitement illicite de données (let. b), constate le caractère illicite d'un traitement de données (let. c) ou encore répare les conséquences d'un traitement illicite de données (let. d); le cas échéant, elles peuvent demander au responsable de traitement de (al. 2) rectifier, détruire les données ou les rendre anonymes (let. a), respectivement de publier ou communiquer à des tiers la décision ou la rectification (let. b).

Il résulte de l'art. 30 LPrD que pour toute demande fondée sur la LPrD, notamment sur les art. 25 à 29 de cette loi, le responsable du traitement rend une décision comprenant les motifs l'ayant conduit à ne pas y donner suite (al. 1), dont il adresse une copie au Préposé (al. 2). Selon l'art. 31 LPrD, l'administré peut recourir au Préposé, ou directement au Tribunal cantonal (al. 1); au surplus, la LPA-VD est applicable aux décisions rendues en vertu de la LPrD ainsi qu'aux recours contre ces décisions
(al. 2).

c) En l'espèce, il s'impose de constater que l'acte attaqué, soit le courrier électronique du 31 janvier 2013, doit être considéré comme une décision, quand bien même il ne satisfait pas aux exigences formelles prévues par la loi - faute en particulier de contenir une signature et l'indication des voies de droit (s'agissant du contenu d'une décision, cf. art. 42 LPA-VD) - et n'a pas été notifié conformément aux exigences de
l'art. 44 LPA-VD. Par le biais de ce courrier électronique en effet, l'autorité intimée, par l'intermédiaire du chef du Service social de la ville de Lausanne, a manifesté sans équivoque son intention de ne pas entrer en matière sur la demande du recourant du 30 janvier 2013 (cf. let. C supra), laquelle tendait en substance à la destruction des bases de données le concernant (cf. art. 29 al. 2 let. a LPrD) et à la cessation immédiate de l'exploitation de ces bases de données (cf. art. 29 al. 1 let. a LPrD); dans la mesure où le recourant pouvait raisonnablement considérer que l'autorité n'allait pas revenir sur sa position, c'est à bon droit qu'il a recouru contre le courrier électronique du 31 janvier 2013 qui constitue bien, sous l'angle matériel, une décision (cf. pour comparaison arrêt GE.2008.0229 du 14 octobre 2009 consid. 2b) - étant précisé pour le reste que, quoi qu'en dise l'autorité intimée, l'intéressé pouvait recourir directement au Tribunal cantonal (cf. art. 31 al. 1 LPrD).

On se contentera pour le reste de relever que l'acte attaqué contient les motifs ayant conduit l'autorité intimée à ne pas donner suite à la demande du recourant (cf. art. 30 al. 1 LPrD), et que ce dernier a lui-même requis qu'il soit entré en matière sur son recours nonobstant le fait que l'acte attaqué ne respectait pas les exigences formelles d'une décision - précisant expressément qu'il n'avait pas été entravé dans ses droits par ces "manquements". Quant au Préposé, à qui une copie de la décision aurait dû être adressée (cf. art. 30 al. 2 LPrD), il a été invité à participer à la procédure en tant qu'autorité concernée et s'est déterminé sur le recours. Dans ces conditions, il apparaît qu'une éventuelle violation du droit d'être entendu du recourant aurait dans tous les cas été réparée en cours de procédure et qu'il se justifie dès lors, par économie de procédure et comme le requiert l'intéressé, d'entrer en matière sur le fond du litige (cf. pour comparaison arrêt GE.2011.0176 du 27 avril 2012 consid. 1).

2. Le litige porte sur le traitement par l'autorité intimée des données contenues dans les journaux AS et RI du recourant.

a) Le droit au respect de la sphère privée au sens de l'art. 13 al. 1 Cst., dont le champ d'application matériel concorde largement avec celui de l'art. 8 CEDH, garantit notamment le droit de toute personne au respect de sa vie privée et familiale; il protège l'identité, les relations sociales et les comportements intimes de chaque personne physique, l'honneur et la réputation (ATF 126 II 377 consid. 7). L'art. 13 al. 2 Cst. détaille l'une des composantes de ce droit (ATF 128 II 259 consid. 3.2): il prémunit l'individu contre l'emploi abusif de données qui le concernent et qui ne sont pas accessibles au public (cf. ATF 135 I 198 consid. 3.1).

Les garanties de l'art. 13 al. 2 Cst. sont concrétisées par la législation applicable en matière de protection des données (cf. art. 1 de la loi fédérale du 19 juin 1992 sur la protection des données - LPD; RS 235.1 -; ATF 131 II 413 consid. 2.6); dans ce cadre, l'art. 37 al. 1 LPD établit un standard minimum de protection des données que les cantons et les communes doivent garantir lorsqu'ils exécutent le droit fédéral
(cf. ATF 137 I 167 consid. 3.2).

b) Sur le plan cantonal, l’art. 15 al. 2 de la Constitution du Canton de Vaud du 14 avril 2003 (Cst-VD; RSV 101.01) prévoit que toute personne a droit au respect et à la protection de sa vie privée et familiale, de son domicile, de sa correspondance et des relations établies par les télécommunications (al. 1). Toute personne a le droit d'être protégée contre l'utilisation abusive de données qui la concernent; ce droit comprend
(al. 2) la consultation de ces données (let. a), la rectification de celles qui sont inexactes (let. b) ou encore la destruction de celles qui sont inadéquates ou inutiles (let. c).

Ces principes sont concrétisés par la LPrD, qui vise à protéger les personnes contre l'utilisation abusive des données personnelles les concernant (art. 1) et s'applique à tout traitement de données des personnes physiques ou morales (art. 3 al. 1) par l'une des entités mentionnées à l'art. 3 al. 2 LPrD - notamment par les personnes physiques et morales auxquelles le canton ou une commune confie des tâches publiques, dans l'exécution desdites tâches (let. e). L'art. 4 LPrD pose dans ce cadre, en particulier, les définitions suivantes (s'agissant des définitions de la "personne concernée" et du "responsable du traitement", cf. consid. 1b supra):

"1. Donnée personnelle, toute information qui se rapporte à une personne identifiée ou identifiable;

2. Donnée sensible, toute donnée personnelle se rapportant:

- aux opinions ou activités religieuses, philosophiques, politiques ou syndicales, ainsi qu'à une origine ethnique;

- à la sphère intime de la personne, en particulier à son état psychique, mental ou physique;

- aux mesures et aides individuelles découlant des législations sociales;

- aux poursuites ou sanctions pénales et administratives.

[…]

5. Traitement de données personnelles, toute opération ou ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliqués à des données personnelles, notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction;

6. Communication, fait de rendre des données accessibles, notamment de les transmettre, les publier, autoriser leur consultation ou fournir des renseignements;

7. Fichier, tout ensemble structuré de données personnelles accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique;

[…]"

c) Aux termes de l'art. 5 LPrD, les données personnelles ne peuvent être traitées que si (al. 1) une base légale l'autorise (let. a) ou leur traitement sert à l'accomplissement d'une tâche publique (let. b). Les données sensibles ne peuvent être traitées que si (al. 2) une loi au sens formel le prévoit expressément (let. a), l'accomplissement d'une tâche clairement définie dans une loi au sens formel l'exige absolument (let. b) ou la personne concernée y a consenti ou a rendu ses données accessibles à tout un chacun (let. c).

Par ailleurs, les données ne doivent être traitées que dans le but indiqué dans leur collecte, tel qu'il ressort de la loi ou de l'accomplissement de la tâche publique concernée (art. 6 LPrD). Leur traitement doit être conforme au principe de proportionnalité (art. 7 LPrD). Les entités soumises à la LPrD s’assurent que les données personnelles traitées sont exactes (art. 9 LPrD). Les données personnelles ne peuvent être communiquées (au sens de l'art. 4 ch. 6 LPrD) qu'à certaines conditions (cf. art. 15 LPrD), notamment lorsque le requérant établit qu’il en a besoin pour accomplir ses tâches légales (al. 1 let. b).

d) En l'espèce, les griefs du recourant portent en premier lieu sur les bases de données que constituent les journaux AS et RI en tant que telles.

aa) Dans son acte de recours, l'intéressé conteste ainsi l'existence même de ces bases de données, au motif qu'elles ne sont pas prévues par une base légale formelle (cf. art. 5 al. 1 let. a et al. 2 let. a LPrD).

Il apparaît toutefois que le traitement des données en cause par l'autorité intimée se justifie en application de l'art. 5 al. 2 let. b LPrD, en tant qu'il y a lieu de retenir, comme l'a relevé le Préposé, qu'un tel traitement est nécessaire à l'accomplissement de sa tâche - laquelle consiste notamment à "assurer le suivi" de l'insertion des personnes concernées (cf. art. 18 let. i de la loi vaudoise du 2 décembre 2003 sur l'action sociale vaudoise - LASV; RSV 172.65). Dans ce cadre, l'autorité intimée a exposé de façon convaincante qu'au vu du nombre de dossiers que les gestionnaires de prestations et autres assistants sociaux avaient à traiter (environ 90 par collaborateur), il serait impossible aux intéressés de se rappeler du détail de chaque situation, respectivement que, dans la mesure où la plupart des acteurs du CSR collaboraient sur les dossiers, il était indispensable que les informations puissent être recensées et partagées. Le principe même de bases de données permettant de centraliser les informations réputées nécessaires doit dès lors être considéré comme admissible nonobstant l'absence de base légale formelle - même si, comme le relève le Préposé, il serait "souhaitable" que la loi soit plus précise que ce qu'elle est actuellement. Dans la mesure où il a relevé en cours de procédure, par le biais d'annotations sur des versions imprimées des journaux AS et RI, les données qui à son sens ne répondaient absolument pas au principe de la proportionnalité (cf. art. 7 LPrD) et au critère de nécessité (cf. art. 5 al. 2 let. b LPrD), le recourant semble au demeurant avoir renoncé à contester l'existence même de ces bases de données, et ne contester désormais que certaines des mentions qui y figurent - dans le même sens, on relèvera notamment qu'il n'a pas réitéré sa requête tendant à ce qu'interdiction soit faite à l'autorité intimée de poursuivre le traitement des données durant la procédure après avoir pris connaissance des déterminations du Préposé du 21 octobre 2013 (cf. let. E supra).

bb) Dans son écriture du 9 janvier 2014, le recourant relève encore qu'il n'apparaît pas que l'autorité intimée aurait informé le Préposé de son projet visant à constituer les bases de données concernées, comme elle aurait dû le faire en application de l'art. 20 al. 1 LPrD, et se plaint de l'absence de contrôle par l'intéressé.

Ce grief ne résiste pas à l'examen, dans la mesure où l'art. 20 al. 1 LPrD ne concerne que les "projets" visant à constituer un "nouveau fichier". Or, il apparaît manifestement que le traitement de données par l'autorité intimée est antérieur à l'entrée en vigueur le 1^er novembre 2008 de la LPrD, même sous la forme actuelle des journaux AS et RI (étant rappelé que la LASV est entrée en vigueur le 1^er janvier 2006), et aucun élément au dossier ne permet de retenir que les dispositions de l'ancienne loi du 25 mai 1981 sur les fichiers informatiques et la protection des données personnelles (aLIPD, abrogée lors de l'entrée en vigueur de la LPrD; cf. art. 44 LPrD) n'auraient pas été respectées; on relèvera en particulier que l'autorité intimée a édicté une directive interne concernant le traitement des données, dont elle a produit la version en vigueur depuis le 1^er mars 2011 en cours de procédure (cf. art. 16 al. 2 aLIPD, dont il résulte que les entités qui exploitent un fichier doivent édicter les règlements et directives nécessaires, dans les limites de leur autonomie). Pour le reste, il s'impose de constater que la LPrD ne prévoit pas que l'ensemble des données traitées dans des fichiers par les différentes entités feraient l'objet d'un contrôle par le Préposé - bien plutôt, il appartient le cas échéant aux personnes concernées (au sens de l'art. 4 ch. 4 LPrD) de faire valoir leurs droits tels que garantis par les art. 25 à 29 LPrD.

cc) Il convient pour le reste de relever à ce stade que, comme déjà rappelé, l'autorité intimée a édicté une directive interne relative au "traitement des données et gestion des dossiers"; il en résulte en particulier ce qui suit:

"Protection des données et secret de fonction

Les collaborateurs-rices sont rendus attentifs au caractère sensible des données traitées par le SSL [Service social de Lausanne] et à la nécessité de protéger ces données. En vertu du secret de fonction auquel ils-elles sont astreints, ils-elles s'engagent par écrit, au moment de leur entrée en service (à la demande de leur chef d'unité), à ne pas divulguer à des tiers non autorisés les informations dont ils auraient connaissance dans l'exercice de leur activité professionnelle. Voir à ce sujet la directive sur la transmission d'informations à d'autres unités.

Données traitées

Règle générale

Les données traitées sont celles nécessaires à l'exercice de la fonction professionnelle exercée.

Précisions relatives au journal des interventions

1. Le journal doit contenir toutes les données utiles à une prise en charge adéquate et faciliter l'éventuelle transmission du dossier d'un-e collaborateur-rice à un autre; on y signalera toute observation ou intervention manifestement importante.

2. Le journal doit contenir des informations factuelles, permettant la connaissance nécessaire et suffisante au traitement du dossier. Il doit être dépourvu de jugement de valeur et de diagnostics ne relevant pas des compétences du service. […]

3. Le journal est techniquement accessible à tous les collaborateur-rices, mais seuls ceux qui interviennent dans le dossier à un titre ou un autre sont autorisés à le consulter.

[…]"

En tant que telle, la teneur de cette directive apparaît conforme aux principes prévus par la LPrD, dans la mesure en particulier où elle limite le traitement des données aux observations ou interventions "manifestement importantes", respectivement à des informations factuelles permettant la connaissance "nécessaire et suffisante" au traitement du dossier (cf. art. 5 al. 1 let. b et al. 2 let. b, 6 et 7 LPrD), et restreint en outre la "communication" (au sens de l'art. 4 ch. 6 LPrD; cf. ég. art. 15 LPrD) des données concernées également à l'égard des collaborateurs du service.

e) Il reste à examiner si et dans quelle mesure le traitement des données dont le recourant conteste la pertinence est admissible dans le cas d'espèce.

aa) Le tribunal a été informé en cours de procédure qu'un arrangement hors procédure avait été tenté entre les parties et que l'autorité intimée avait accepté dans ce cadre, par courrier adressé le 19 novembre 2013 au recourant, qu'un certain nombre de données figurant dans les journaux litigieux soient détruites respectivement modifiées dans le sens voulu par l'intéressé. Il ne sera dès lors pas procédé à l'examen du bien-fondé du traitement des données en cause - étant précisé qu'en acceptant de les détruire ou les modifier, l'autorité intimée a implicitement admis qu'elles n'étaient pas absolument nécessaires à sa tâche. On se contentera de relever à ce stade, à toutes fins utiles, que cela ne signifie pas encore que le traitement de l'ensemble de ces données était illicite, seules le traitement des données sensibles (au sens de l'art. 4 ch. 2 LPrD) étant soumis au critère de l'absolue nécessité - alors que les données personnelles autres que sensibles peuvent être traitées dès lors qu'un tel traitement sert à l'accomplissement d'une tâche publique (cf. art. 5 al. 1 let. b LPrD), soit dès lors qu'elles sont "utiles à une prise en charge adéquate" (au sens de la directive interne de l'autorité intimée).

Il va de soi pour le reste que les données concernées doivent être détruites respectivement modifiées dans l'ensemble des bases de données dans lesquelles elles sont traitées, comme le relève le recourant dans son écriture du 9 janvier 2014.

bb) S'agissant des données dont le traitement demeure litigieux, le recourant conteste en premier lieu la pertinence de différentes mentions dans le journal AS le concernant en lien avec la question de son "logement".

Ces mentions font en substance état de la résiliation de son bail à loyer et du jugement prononçant son expulsion immédiate, de brefs comptes-rendus d'appels téléphoniques d'intervenants du CSR avec le bureau d'avocat de la gérance, le collaborateur de la police chargé d'exécuter l'expulsion si nécessaire et un secrétaire municipal contacté par l'avocat de la gérance, de l'évolution de la situation du recourant et de ses intentions telles qu'elles résultent d'entretiens avec l'intéressé lui-même ou d'informations transmises par téléphone ou courrier électronique par des tiers; pour l'ensemble de ces données, le recourant estime qu'elles "ne concernent pas le CSR". En lien avec une autre mention dont il résulte que sa sœur a informé l'autorité intimée qu'elle acceptait de se porter garant pour la location d'un logement par l'intéressé, ce dernier a en outre indiqué que son contenu était "faux".

Dans la mesure où la prestation financière dont bénéficie le recourant comprend notamment un "supplément correspondant au loyer effectif dans les limites fixées par le règlement" (au sens de l'art. 31 al. 1 LASV; s'agissant des modalités d'octroi de telles prestations financières liées au logements, cf. Normes RI 2014 [dernière modification 01.01.2013], ch.3), il apparaît manifestement que des données telles que la résiliation de son contrat de bail, le prononcé de son expulsion immédiate, son lieu de logement actuel et ses intentions à cet égard, respectivement les différentes démarches entreprises par les intervenants gérant son dossier doivent être considérées comme nécessaires à son suivi sur ce point - étant précisé que les données en cause sont présentées de façon strictement factuelle et ne constituent pas, à tout le moins pour la majorité d'entre elles, des données sensibles au sens de l'art. 4 ch. 2 LPrD. C'est le lieu de rappeler que l'administré qui sollicite une prestation financière ou en bénéficie (et qui est ainsi libre d'y renoncer; cf. arrêt PS.2014.004 du 17 février 2015 consid. 1b) est tenu de fournir des renseignements complets sur sa situation personnelle et financière
(cf. art. 38 al. 1 LASV).

Quant au fait que sa sœur ait déclaré, à l'occasion d'un appel téléphonique à l'autorité intimée, qu'elle était disposée à se porter garant pour la location d'un logement par l'intéressé, on voit mal que l'autorité intimée l'ait inventé de toute pièce - le recourant n'apporte au demeurant aucun élément probant permettant d'en remettre en cause la véracité; il apparaît bien plutôt que sa sœur s'est par la suite rétractée, comme le mentionne l'autorité intimée.

cc) En lien avec la teneur du journal AS le concernant, le recourant conteste en outre le traitement de données en lien avec une procédure l'opposant à son père dans le cadre de laquelle il a estimé qu'en acceptant de parler à ce dernier, l'intervenant du CSR avait trahi son secret de fonction. Sur ce point, il apparaît que l'autorité intimée est directement concernée, puisque l'intéressé se plaint du comportement de l'un de ses intervenants; le traitement d'une telle donnée, présentée sous un angle strictement factuel, apparaît dès lors admissible.

Le recourant conteste encore une mention selon laquelle il "pens[ait]" changer de caisse (d'assurance-maladie), étant précisé qu'il ferait parvenir à l'autorité intimée copie de son nouveau contrat. Dans le cadre de l'aide apportée à l'intéressé, l'autorité intimée a besoin d'avoir connaissance de sa caisse maladie. Le recourant ne le conteste pas, mais estime que "[s]es pensées ne concernent nullement le CSR de Lausanne"; à l'évidence toutefois, l'intéressé (dont la liberté de pensée n'est aucunement remise en cause) a en l'occurrence clairement et expressément manifesté son intention de changer de caisse, ce qui justifie qu'il en soit fait mention - ne serait-ce que pour contrôler que l'information concernant la nouvelle caisse a bien été transmise. Le fait qu'il n'ait finalement pas changé de caisse est sans incidence à cet égard, quoi qu'il en dise; on ne saurait en effet exiger de l'autorité intimée qu'elle adapte a posteriori les mentions figurant dans ses bases de données en fonction de l'évolution de la situation - bien plutôt, il s'impose de constater qu'il était loisible au recourant, en tout temps, d'indiquer qu'il avait renoncé à changer de caisse, ce dont il aurait été pris acte par le biais d'une nouvelle mention dans son journal AS.

dd) En lien avec la teneur du journal RI le concernant, le recourant conteste la mention selon laquelle une copie de son dossier RI a été envoyée au Ministère public de l'arrondissement de Lausanne pour consultation, estimant qu'il s'agit d'une "violation du secret de l'instruction". Comme le relève l'autorité intimée, cette mention est nécessaire en ce sens qu'elle indique où se trouve le dossier papier de l'intéressé; au vrai, c'est bien plutôt l'absence d'une telle mention, soit la transmission du dossier du recourant à une autre autorité sans aucune traçabilité, qui apparaîtrait peu compatible avec la protection des données.

f) En définitive, il s'impose ainsi de constater que données traitées par l'autorité intimée dans les journaux AS et RI du recourant doivent être considérées comme nécessaires respectivement directement utiles à l'accomplissement de sa tâche, comme l'a retenu le Préposé dans ses écritures des 21 octobre et 30 décembre 2013. Dans cette mesure, la décision de l'autorité intimée refusant de faire droit à la requête du recourant tendant à la destruction de ces bases de données et à la cessation immédiate de leur exploitation ne prête pas le flanc à la critique.

3. Il résulte des considérants qui précèdent que le recours doit être rejeté et la décision attaquée confirmée.

Il n'est pas perçu d'émolument, la procédure étant gratuite (cf. 33 al. 1 LPrD), ni alloué de dépens (cf. art. 55 al. 1 LPA-VD).

Par ces motifs
la Cour de droit administratif et public
du Tribunal cantonal
arrête:

I. Le recours est rejeté.

II. La décision rendue le 31 janvier 2013 par le Centre social régional de Lausanne est confirmée.

III. Il n'est pas perçu d'émolument ni alloué de dépens.

Lausanne, le 22 mai 2015

Le président: Le greffier:

Le présent arrêt est communiqué aux destinataires de l'avis d'envoi ci-joint.

Il peut faire l'objet, dans les trente jours suivant sa notification, d'un recours au Tribunal fédéral. Le recours en matière de droit public s'exerce aux conditions des articles 82 ss de la loi fédérale du 17 juin 2005 sur le Tribunal fédéral (LTF;
RS 173.110), le recours constitutionnel subsidiaire à celles des articles 113 ss LTF. Le mémoire de recours doit être rédigé dans une langue officielle, indiquer les conclusions, les motifs et les moyens de preuve, et être signé. Les motifs doivent exposer succinctement en quoi l’acte attaqué viole le droit. Les pièces invoquées comme moyens de preuve doivent être jointes au mémoire, pour autant qu’elles soient en mains de la partie; il en va de même de la décision attaquée.