TRIBUNAL CANTONAL

COUR DE DROIT ADMINISTRATIF ET PUBLIC

Arrêt du 16 avril 2015

Composition

Mme Imogen Billotte, présidente; M. Etienne Poltier, juge suppléant; M. Eric Brandt, juge.

Recourant

X.________, à 1********, représenté par Me Edgar PHILIPPIN, avocat, à Lausanne,

Autorité intimée

Municipalité de Morges, représentée par Me Alain THEVENAZ, avocat, à Lausanne,

Objet	Divers
	Recours X.________ c/ décision de la Municipalité de Morges du 12 mai 2014 (protection des données personnelles)

Vu les faits suivants

A. La Commune de Morges, par sa Municipalité, a engagé des négociations avec l'hoirie propriétaire de la parcelle ******** du cadastre de Morges en vue de l'acquisition d'une partie de ce bien-fonds sis au lieu-dit " Y.________".

B. Dès 2010, la Municipalité est par ailleurs entrée en pourparlers avec X.________, en vue de la réalisation d'un projet d'école de cinéma sur le site précité; à cet effet, la Commune de Morges envisageait de concéder au prénommé un droit de superficie distinct et permanent (DDP) pour la construction des bâtiments nécessaires. Dans une lettre du 4 avril 2011, la Municipalité a notamment marqué son intérêt pour une telle réalisation, "en bonne adéquation avec les objectifs de développements de notre Ville". Ce courrier contenait également un calendrier pour l'avancement du projet. Les parties ont d'ailleurs eu de nombreuses discussions dans ce but durant les années 2011 à 2013.

Dans ce contexte a été constituée la société Z.________ SA, avec siège à 2********; ses statuts ont été adoptés le 31 janvier 2013 et elle a été inscrite au Registre du commerce le 8 février suivant; X.________ est son administrateur-président. En substance, il était prévu que cette société acquière le DDP sur la parcelle précitée; elle confierait ensuite la gestion de l'école de cinéma à une autre structure (soit une fondation), également animée par X.________. Par ailleurs, la notaire A.________ a encore établi, le 7 juin 2013, un projet de promesse de constitution d'un droit de superficie distinct et permanent par la Commune de Morges en faveur de Z.________ SA.

On notera encore que X.________, lors d'une séance du 14 décembre 2012, a informé les responsables communaux du fait que le projet d'école de cinéma qu'il avait conçu sur le site la Commune de 3********, à proximité de 4********, n'avait pas pu aboutir, le principal bailleur de fonds, à savoir la Caisse des dépôts et consignations, ayant renoncé à le soutenir.

C. Alors que les pourparlers étaient en cours, voir même étaient prêts d'aboutir, selon le concept de X.________ (pièce 8 du bordereau du recourant), la Municipalité de Morges, nourissant des doutes sur la solidité financière de ses interlocuteurs, a mandaté un bureau de détectives privés aux fins de mener une enquête sur la situation de X.________ en France. Elle devait porter en particulier sur les raisons de l'échec du projet précité de 3********. La presse a d'ailleurs eu vent des recherches menées par ces détectives et elle s'en est faite l'écho (voir l'article paru dans 24Heures du 31 janvier 2014, pièce produite par le recourant). X.________ a d'ailleurs réagi aussitôt en faisant valoir son droit de réponse auprès du quotidien précité.

D. Quoiqu'il en soit, par lettre du 4 février 2014, la Municipalité de Morges a informé X.________ qu'elle mettait fin aux pourparlers engagés précédemment en vue de l'octroi d'un DDP à Z.________ SA sur la parcelle ******** de Morges. La motivation de cette lettre se lit comme suit:

"Cette décision se fonde sur les résultats d’une analyse de risques du projet que nous avons effectuée sur la base de données que vous avez mises à notre disposition. Quand bien même l’idée d'implanter une école de cinéma d’excellence dans notre Ville est séduisante, votre Business plan ne parvient pas à démontrer la viabilité économique et financière du projet. L’analyse s’interroge également sur votre capacité à financer le projet selon les hypothèses de travail retenues dans le Business plan.

Par ailleurs, s’agissant d’un projet de développement et d’un partenariat à long terme entre vous-même et la Ville de Morges, nous avons jugé indispensable d’étendre notre due diligence du projet sur vos précédentes activités en France. Dans ce cadre, une enquête a été réalisée par une agence de renseignements privée. Le résultat de l’enquête n’est pas favorable et ne permet pas de préserver le climat de confiance nécessaire à une relation d’affaires.

Au vu de ces faits, la Municipalité estime que le risque d’échec du projet est important et que la base pour un partenariat solide et durable est insuffisante."

E. La société précitée ainsi que X.________, agissant tous deux par l'intermédiaire de leur conseil, ont aussitôt réagi à ce courrier, en protestant tout d'abord contre la rupture des pourparlers contractuels, à leurs yeux contraire au principe de la bonne foi. Par ailleurs, et dans le même courrier, les intéressés ont aussitôt formulé diverses demandes fondées sur la loi vaudoise du 11 septembre 2007 sur la protection des données personnelles (LPrD; RSV 172.65). En substance, ils sollicitaient la transmission du rapport d'enquête établi par l'agence de détectives privés, ainsi que l'indication de l'origine des données fournies. Ces demandes ont d'ailleurs été précisées dans un courrier de leur conseil du 5 mars 2014; celui-ci précédait de quelques jours la séance qui s'est déroulée le 11 mars 2014 en l'étude de l'avocat mandaté par la Commune de Morges; cette réunion avait pour but principal de permettre à X.________ de consulter le rapport précité et d'évoquer quelques questions complémentaires. Comme convenu entre les parties, X.________ a eu l'occasion de compléter et de préciser ses requêtes après la consultation intervenue le 11 mars 2014; il l'a fait, au travers d'une lettre de son conseil du 22 avril 2014.

En substance et dans la mesure où l'intéressé n'avait pu obtenir une copie du rapport d'enquête, il a renouvelé sa demande visant à la délivrance immédiate d'une copie complète de ce rapport. Au surplus, cette lettre se lit comme suit:

"Enfin, M. X.________ exige de la Municipalité de Morges qu’elle constate le caractère illicite du traitement de données que constitue l’établissement par des détectives privés, à la demande et pour le compte de l’autorité précitée, d’un rapport d’enquête le concernant, aux motifs principaux que:

- la décision de la Municipalité de Morges de collecter des données concernant M. X.________ ne repose sur aucune base légale et ne sert pas à l’accomplissement d’une tâche publique (art. 5 al. 1 LPrD);

- le caractère occulte de la collecte des données est contraire à l’art. 8 LPrD;

- M. X.________ n’a pas reçu les informations prescrites par l’art. 13 LPrD;

- le recours à des tiers pour collecter des données au sujet de M. X.________ n’est pas conforme à l’art. 18 LPrD.

A ce sujet aussi, la Municipalité de Morges est requise de se prononcer à très bref délai dans les formes prescrites par la loi".

F. Statuant par voie de décision en date du 12 mai 2014, la Municipalité de Morges a répondu à la correspondance précitée. Elle a tout d'abord relevé avoir pris garde à limiter au maximum la diffusion du rapport d'enquête ici en cause; en outre elle indiquait ne pas avoir traité d'autres données que ce rapport et des données usuelles. Pour le surplus, la décision écarte la demande de X.________ pour constater que le traitement des données réunies à son propos est parfaitement licite. Enfin, elle refuse la transmission d'une copie complète du rapport à l'intéressé, afin d'éviter sa divulgation.

G. C'est contre cette décision que X.________ a recouru, en temps utile, à la Cour de droit administratif et public du Tribunal cantonal du Canton de Vaud (CDAP), par l'intermédiaire de ses conseils. Il conclut avec dépens à ce qu'il soit constaté que l'établissement du rapport d'enquête émanant de détectives privés à son sujet est illicite; en outre il confirme sa demande de transmission de "tous les exemplaires du dit rapport et ses annexes" en la possession de la Municipalité de Morges (acte de recours du 16 juin 2014). Pour sa part, la Municipalité de Morges, agissant par l'intermédiaire de son conseil le 18 juillet 2014, a déposé sa réponse, qui conclut avec dépens au rejet du recours.

A la suite de diverses correspondances, la Municipalité intimée a produit au dossier de la cour le rapport d'enquête précité, accompagné de ses annexes; la juge instructrice, donnant ensuite à la requête de la Municipalité intimée, n'a pas autorisé la levée d'une copie du rapport d'enquête par le recourant; elle n'a pas non donné suite à la requête de production du contrat conclu par la Municipalité avec l'agence de détectives privés mandatée.

Le Tribunal a statué par voie de circulation.

Considérant en droit

1. La présente cause soulève diverses questions de nature procédurale; il convient de les aborder préalablement.

a) La compétence de la Cour de céans mérite tout d'abord d'être vérifiée sous différents aspects.

aa) Le premier concerne la compétence à raison de la matière. L'élaboration du rapport d'enquête litigieux correspond à une collecte de données, au sens des législations sur la protection des données (art. 4 ch. 5 LPrD; voir aussi loi fédérale du 19 juin 1992 sur la protection des données, à son art. 3 let. e: LPD; RS 235.1). La loi vaudoise concerne le traitement des données personnelles par des organes cantonaux ou communaux (art. 3 al. 2 LPrD); quant à la LPD, elle s'applique au traitement de données respectivement par des entités privées ou des organes fédéraux (art. 2 al. 1 LPD).

Or, la Commune de Morges a recueilli le rapport litigieux en prévision de la conclusion d'un contrat de transfert immobilier relevant du droit privé (ce point n'est pas discuté par les parties). On pourrait dès lors se demander si le régime applicable à de telles données relève du droit fédéral, dans la mesure où la commune a agi sur le terrain du droit privé, ou au contraire du droit public cantonal. En l’occurrence, il pourrait s’agir d’une variation sur le thème de la distinction entre doit public et droit privé; celle-ci s’opère sur la base de nombreux critères, dont le critère fonctionnel. Or, ce dernier (il implique que le traitement de données en lien avec l'exécution d'une tâche publique relève du droit public) joue un certain rôle en droit positif. En effet, le droit vaudois lui-même prévoit que la LPrD s'applique aux données recueillies par des sujets de droit privé auxquels le canton ou une commune confie des tâches publiques (pour autant que le traitement intervienne dans le cadre de l'exécution de telles tâches; art. 3 al. 2 let. e LPrD; voir d’ailleurs, au delà du droit vaudois, ATF 122 I 153, consid. 2, à propos de la délimitation dans une telle configuration des champs d’application respectifs de la LPD, volet privé, et du droit public cantonal). A l’inverse, en droit fédéral, l'organe fédéral qui agit sur le terrain du droit privé est assujetti aux règles de la LPD prévalant pour les entités privées (art. 23 LPD). On notera aussi que divers cantons ont retenu des solutions similaires à celles de la LPD dans leur ordre juridique, en prévoyant des dispositions expresses à cet effet (voir à ce sujet Waldmann/Oeschger, in Belser/Epiney/Waldmann, édit. Datenschutzrecht, Grundlagen und öffentliches Recht, Berne 2011, § 13 N 29 et les références citées aux dispositions cantonales topiques).

Si l'on suivait cette voie pour le droit vaudois, il en résulterait que le volet privé de la LPD serait applicable, conduisant à retenir la compétence du juge civil ordinaire. Toutefois, la LPrD ne comporte pas d’exception à son application dans le cas d'un traitement de données à des fins privées par les collectivités publiques; force est dès lors de s'en tenir à une application littérale de l'art. 2 de cette loi et de retenir que la Municipalité intimée a, à juste titre, statué dans le présent cas par voie de décision; cela conduit à admettre la compétence de la Cour de céans à raison de la matière. On relèvera tout au plus que l'application par analogie de dispositions de la LPD propres aux données traitées par le secteur privé devrait pouvoir être envisagée en présence d'un traitement de données par la collectivité à des fins privées.

On relèvera encore à ce sujet, que la jurisprudence a retenu, sur la base de l'art. 35 al. 2 Cst., que les collectivités publiques agissant sur le terrain du droit privé, restaient tenues au respect des droits fondamentaux (voir par exemple ATF 136 II 489, spéc. p. 493; voir également Moor/Poltier, Droit administratif II 489 ss). Or, l'on considère les législations relatives à la protection des données comme une concrétisation de la protection constitutionnelle de la sphère privée, consacrée par l'art. 13 Cst. (l’al. 2 a trait spécifiquement au domaine des données personnelles); il est dès lors cohérent d'appliquer cette législation également lorsqu'une entité cantonale ou communale agit sur le terrain du droit privé.

b) La présente cause soulève par ailleurs des difficultés sur le terrain de la compétence de la Cour de céans à raison du lieu.

aa) Il est incontestable que la Municipalité de Morges a recueilli le rapport litigieux pour le verser à son dossier. Ce document, sans doute élaboré en France, a donc été "importé" en Suisse et plus exactement dans le Canton de Vaud (ou encore dans les dossiers morgiens); il est admis que la loi vaudoise (voir les dispositions morgiennes) s'applique(nt) dès qu'intervient une telle importation (respectivement sur territoire vaudois et morgien; dans ce sens, Philippe Meier, Protection des données, Fondements, principes généraux et droit privé, Berne 2011, N 1268). Il va donc de soi que les conclusions prises par le recourant et portant sur le traitement des données par la Municipalité sont recevables, puisqu'elles entrent dans la compétence de la Cour de céans à raison du lieu.

bb) La question est en revanche beaucoup plus délicate en tant que les conclusions du recours concernent la collecte des données, qui est intervenue auprès de tiers à l'étranger, soit en France (Meier op.cit., N 1248). On sait en effet que la collecte de données, suivant le principe de transparence consacré par l'art. 8 LPrD, doit être reconnaissable pour la personne concernée; en outre, selon l'art. 13 LPrD, cette dernière devrait être informée de la collecte de données personnelles sur son compte. Il apparaît cependant assez clairement que ces exigences sont applicables sur le territoire vaudois, mais non à l'étranger, voire sur le territoire d'un autre canton. En d'autres termes, le recourant ne saurait faire constater par le juge administratif vaudois le caractère illicite de la collecte survenue en France (dans ce sens, là encore, Meier op.cit., N 923).

cc) Le recourant évoque encore l'article paru le 31 janvier 2014 dans le journal 24 Heures, pour soupçonner une communication de données par les détectives mandatés au journaliste qui a signé l'article. Ces faits ne sont pas établis à satisfaction; de surcroît, si la communication avait eu lieu en France, il est douteux que la compétence de la Cour de céans soit donnée pour examiner son éventuelle illicéité.

c) La LPrD s'applique à tout traitement de données des personnes physiques ou morales (art. 3 al. 1 LPrD) par le Grand Conseil, le Conseil d’Etat et son administration, l'Ordre judiciaire et son administration, les communes, ainsi que les ententes, associations, fédérations, fractions et agglomérations de communes et les personnes physiques et morales auxquelles le canton ou une commune confie des tâches publiques, dans l'exécution desdites tâches (art. 3 al. 2 let. a à e LPrD). Elle ne s'applique toutefois pas aux procédures civiles, pénales ou administratives (art. 3 al. 3 let. b LPrD).

Selon l’exposé des motifs et projet de loi du Conseil d’Etat (EMPL mars 2007 n° 441 p. 27 s.), l’exception de l’art. 3 al. 3 let. b LPrD "vise à éviter le concours objectif de normes en ce sens que le projet de loi ne doit pas intervenir dans le déroulement de procédures judiciaires. En effet, des règles spécifiques s’appliquent déjà à ces procédures, notamment en vue de protéger la personnalité des personnes impliquées, comme le droit d'être entendu, le droit d'accéder à son dossier, le droit de participer à l'administration des preuves, les règles applicables à la déposition en justice. La loi ne s'applique dès lors qu'avant et après les procédures en question". Ainsi, même en l’absence d’application de la LPrD, les droits liés à la protection de la sphère privée et des données personnelles doivent être sauvegardés (art. 13 Cst. et art. 15 de la Constitution du Canton de Vaud du 14 avril 2003 [Cst-VD; RSV 101.01]), mais selon les contours définis par les autres législations (arrêt GE.2011.0034 du 2 mai 2011 consid. 2 et les réf. cit.). Cette exception correspond du reste à ce que prévoit l’art. 2 al. 2 let. c LPD, qui dispose que la loi ne s’applique pas sur le plan fédéral "aux procédures pendantes civiles, pénales, d’entraide judiciaire internationale ainsi que de droit public et de droit administratif, à l’exception des procédures administratives de première instance"; on notera cependant une divergence: en droit vaudois et contrairement au droit fédéral, l'exception s'applique aussi à la procédure administrative de première instance. Le moment auquel une procédure est ouverte et celui auquel celle-ci se termine marquent le début et la fin de l’application de la loi spéciale de procédure en lieu et place de la LPrD (GE.2011.0034 précité consid. 2).

En l'espèce, il convient d'admettre que le traitement de données qu'il s'agit d'examiner ne conduit pas à intervenir dans le déroulement d'une procédure en cours au sens de l'art. 3 al. 3 let. b LPrD. La négociation d’un contrat de droit privé ne relève en effet ni d’une procédure (judiciaire) civile, ni d’une procédure administrative (non contentieuse ou contentieuse).

d) Débouté par la décision querellée, dont il est le destinataire le recourant justifie à l'évidence d'un intérêt digne de protection à la modification de celle-ci. Il a donc qualité pour recourir (art. 75 de la loi du 28 octobre 2008 sur la procédure administrative [LPA-VD; RSV 173.36], par renvoi de l'art. 99).

e) On l'a vu, le pourvoi contient essentiellement deux conclusions, la première ayant trait à la constatation du caractère illicite de l'établissement du rapport d'enquête par des détectives privés et la seconde visant à la transmission de tous les exemplaires dudit rapport et ses annexes.

aa) On relève tout d'abord à ce propos que le pourvoi ne reprend pas diverses requêtes, présentées en première instance, qui concernent le devoir d'informer défini à l'art. 13 LPrD et spécialement les catégories d'informations énumérées à l'alinéa 2. A juste titre: les informations sollicitées ont en effet été transmises, apparemment à la satisfaction du recourant, durant la phase non contentieuse. Ces questions ne font donc plus l'objet de la présente procédure de recours.

bb) Les conclusions visant à la constatation du caractère illicite d'un traitement de données appellent quelques remarques préalables. Lorsqu'une autorité traite des données, elle accomplit un acte matériel; or, contrairement à une décision administrative, qui constitue un acte juridique, les actes matériels en tant que tels ne sont pas susceptibles de recours. Cette situation est particulièrement défavorable à l'administré dans le domaine de la protection des données traitées par des entités publiques. Le législateur, aussi bien sur le plan du droit fédéral que sur le plan du droit cantonal, a ainsi prévu en faveur de l'administré la faculté pour celui-ci de réclamer une décision à ce propos et cas échéant d'exiger en particulier la constatation du caractère illicite (ou non) d'un tel traitement (art. 29 LPrD; art. 25 LPD; voir aussi art. 25a PA, à titre de comparaison, art. 28a CC). Lorsqu’il a obtenu une décision et donc un acte susceptible de recours auprès de la juridiction administrative, il bénéficie ainsi d'une possibilité d'accès à une protection juridictionnelle. Cependant, cette voie n'est ouverte qu'à la personne qui peut faire valoir un intérêt digne de protection, exigence qui constitue une condition de recevabilité de la demande. D'ordinaire, cet aspect ne soulève pas de réelle difficulté pour la personne concernée; tel peut néanmoins être le cas dans l'hypothèse de conclusions tendant à la constatation du caractère illicite du traitement, car de telles conclusions doivent rester tout à fait subsidiaires par rapport aux autres possibilités ouvertes par la loi (pour le droit vaudois, voir par ex. art. 29 al. 1 let. a, b, d et al. 2 let. a et b LPrD). Dans le cas d'espèce, on pourrait en effet se demander quel est l'intérêt digne de protection du recourant à obtenir la constatation du caractère illicite du traitement litigieux (sur cette question, voir Bangert, in Maurer-Lambrou/Blechta (édit.) Datenschutzgesetz, Öffentlichkeitsgesetz, Kommentar, Bâle, 3^e éd. 2014; art. 25/25bis DSG N 75 ss; en définitive, l'auteur paraît cependant admettre assez largement l’existence d’un intérêt digne de protection dans une telle hypothèse).

cc) Par ailleurs, le recourant conclut à la remise du rapport d'enquête complet, ainsi que de ses annexes; il conteste ainsi le fait que la Municipalité ne l'ait autorisé qu'à consulter ce document brièvement dans les locaux de l'avocat de cette dernière. Il conteste ainsi une restriction du droit d'accès (par une définition restrictive des modalités de ce droit d'accès; voir à ce propos art. 25 à 27 LPrD). De telles conclusions sont à l'évidence recevables et l'intéressé justifie clairement d'un intérêt digne de protection à les voir examinées.

dd) Dans la foulée, le recourant demande encore la transmission de tous les exemplaires du rapport établi par l'agence de détectives privés. Dans cette mesure, cette conclusion va toutefois au-delà de la demande formulée dans la lettre du 22 avril 2014, après la consultation du rapport par l'intéressé; la décision attaquée n'a donc pas statué sur ce point, de sorte que les conclusions du recours, nouvelles à cet égard, ne sont pas recevables. Ces conclusions, dans leur esprit, paraissent s'inscrire dans le cadre de l'art. 29 al. 2 LPrD, qui permet à la personne concernée, cas échéant, de demander la destruction des données (en l'occurrence des autres exemplaires éventuels du rapport). On laissera dès lors cette question ouverte, le recourant ayant toutefois la faculté d'adresser une nouvelle demande dans ce sens à la Municipalité.

f) Sous les réserves que l'on vient d'évoquer (principalement sous b et e), le présent recours est dès lors recevable et il convient de l'examiner au fond.

2. Le recourant entend donc faire constater en premier lieu que l'établissement sur mandat de la Commune de Morges par des détectives privés d'un rapport d'enquête le concernant est illicite.

On relèvera tout d'abord que le traitement de données par une collectivité publique en violation d'une règle de la LPrD doit être qualifiée d'illicite, sous réserve de motifs justificatifs éventuels. On examinera principalement, dans le présent considérant, les moyens soulevés par le recourant pour démontrer l'illicéité du traitement litigieux.

a) Aux yeux du recourant, la Municipalité a ordonné le traitement de données ici en cause sans aucune base légale; il souligne notamment le fait que l'autorité intimée agissait en tant que propriétaire, sur le terrain du droit privé, soit en dehors de l'exécution de ses tâches publiques.

Comme l'indique dans sa réponse la Municipalité, cette approche est trop restrictive. Bien sûr, la notion de tâches publiques recouvre au premier chef des activités dont le constituant ou le législateur confie la responsabilité à l'Etat (police, armée, enseignement). Mais l'Etat exerce également d'autres activités en appui de ses tâches premières. Tel est le cas de diverses activités que l'Etat mène sur le terrain du droit privé, ainsi notamment de la gestion des biens publics (domaine public, patrimoine administratif et financier; on peut considérer qu'il s'agit, là aussi, d'une forme, certes indirecte d'exécution de tâches publiques : dans ce sens, Tschannen/Zimmerli/Müller, Allgemeines Verwaltungsrecht, Berne, 4^e éd., N, § 4 N 1ss, spéc. N 13).

D'ailleurs, comme l'indique la Municipalité, la gestion des biens communaux entre dans les attributions classiques de cette autorité (l’art. 42 ch. 2 de la loi du 28 février 1956 sur les communes [LC; RSV 175.11] l’indique expressément).

Le traitement de données litigieux, en lien avec le transfert envisagé d’un DDP sur le patrimoine communal, repose ainsi clairement sur une base légale suffisante puisqu'il sert à l'accomplissement d'une tâche publique au sens de l'art. 5 al. 1 let. b LPrD. Cela conduit au rejet du premier grief soulevé.

b) Le recourant critique le traitement litigieux sous l'angle de la proportionnalité. Le principe se décline ici selon ses trois composantes usuelles : aptitude, nécessité et proportionnalité au sens étroit (voir d'ailleurs Meier, op. cit. N 665, qui constate la reprise de ce principe également dans le droit privé de la protection des données).

Quoi qu'il en soit, les arguments soulevés à cet égard par le recourant n'emportent pas la conviction. On se souvient en effet de l’ampleur et de la complexité du projet d'école de cinéma envisagé par l'intéressé, s'appuyant sur la structure de la Z.________ SA. Il était naturel pour la Municipalité de s'intéresser, au-delà de cette société récemment créée, à la solidité de la situation financière, à l'expérience du recourant lui-même. Il était clair également que le registre des poursuites n'était pas à même de fournir des informations approfondies sur l'intéressé, qui avait déployé jusque-là ses activités principalement sur sol français. Il était dès lors assez naturel de requérir le concours d'une agence de détectives privés française (on ne voit pas que la commune ait pu actionner quelque forme d'entraide administrative que ce soit dans le contexte de l'opération projetée). Autrement dit, le traitement de données litigieux était à la fois apte et nécessaire à fournir à la Municipalité le niveau d'informations requis, préalable indispensable à la conclusion d'une opération complexe et de longue haleine.

c) Le recours s'en prend par ailleurs au déroulement de la collecte des données, tel qu'il est intervenu dans le cas d'espèce. On se souvient que la loi pose ici une exigence de transparence (art. 9 LPrD), complétée par une obligation d'informer (art. 13 LPrD). Toutefois, lorsque le maître du dossier charge un tiers d'une telle collecte et que ce tiers a son siège à l'étranger où il procède à la collecte en cause, les règles du droit public suisse ne sont pas applicables (Meier, op. cit., N 923). On relève également que l'art. 13 al. 3 LPrD aménage l'obligation d'informer lorsque la collecte de données n'intervient pas directement auprès de la personne concernée, mais auprès de tiers; dans une telle hypothèse, l'information n'a pas à intervenir avant la collecte, mais peut être reportée « au plus tard lors de l'enregistrement des données, soit lors d'un acte postérieur qui préparera à l'exploitation des données » (Meier, op. cit., N 949, certes à propos de la disposition comparable de l'art. 14 al. 3 LPD).

Dans le cas d'espèce, la Municipalité a annoncé, par lettre du 4 février 2014, l'interruption des négociations en cours, en invoquant notamment le rapport d'enquête litigieux; il s'agissait là d'une forme d'exploitation des données, intervenue dans les faits aussitôt après le dépôt du rapport, ce qui correspond à l'enregistrement de celui-ci au sens de la disposition précitée. Dans le même temps, le recourant recevait une information portant sur la finalité du traitement (art. 13 al. 2 let. b LPrD). Au surplus, il a reçu par la suite, à sa demande il est vrai, des compléments d'information visés par l'art. 13 al. 2.

En définitive, on ne voit guère que la Municipalité ait violé ici son obligation d'informer (on pourrait sans doute lui reprocher d'avoir tardé sur certains aspects, à vrai dire secondaires; elle a au surplus très rapidement complété l'information du recourant, soit au plus tard lors de la séance du 11 mars 2014). Ce grief là doit être écarté lui aussi.

d) Le recourant soutient par ailleurs que les dispositions relatives au traitement des données par un tiers n'ont pas été respectées. On relèvera que l'art. 18 al. 1 LPrD autorise un tel traitement notamment s'il est prévu par la loi ou par un contrat (let. a). On notera ici que l'art. 5 du Règlement de la Commune de Morges sur la protection des données personnelles (adopté le 2 février 2011 par le Conseil communal et approuvé par le Chef du Département des finances le 10 mars suivant) autorise un tel traitement, la Municipalité pouvant le confier à un tiers par la voie d'un contrat. Cette exigence est dès lors réalisée dans le cas d'espèce.

Au surplus, le recourant fait valoir que le traitement par un tiers n'est pas possible, dès lors que la Municipalité ne bénéficiait pas d'une base légale pour y procéder elle-même. Or, comme on vient de le voir, cette affirmation est erronée, ce qui conduit également au rejet de l'argument présenté ici.

On peut tout au plus se poser la question de savoir dans quelle mesure un organe public est habilité à recourir à une collecte de données à l'insu des intéressés. A supposer que le droit vaudois soit applicable en l'espèce (bien que la collecte intervienne sur sol français), on pourrait soutenir qu'une base légale est nécessaire à cet égard (mais la jurisprudence interprète les normes susceptibles de conduire à un tel fondement de manière assez large : ATF 135 I 169, qui concernait l’utilisation d’un rapport de détective privé dans le domaine des assurances sociales). Une autre solution consiste à considérer que le traitement est alors présumé illicite, mais que ce constat peut être renversé en présence de motifs justificatifs (dans ce sens, Meier, op. cit., N 715; voir aussi Rosenthal/Jöhri, Handkommentar zum Datenschutzrecht, Berne, 4 éd., art. 4 N 59 ss, avec des exemples). Or, parmi les motifs justificatifs de l'art. 13 LPD, on trouve le cas dans lequel l'auteur du traitement cherche à se renseigner sur un cocontractant potentiel (voir d'ailleurs les exemples de tels motifs chez Rosenthal/Jöhri, art. 4 N 60 : une assurance charge un détective privé d'une enquête en relation avec un soupçon d'escroquerie à l'assurance; une banque réunit des renseignements au sujet d'un client potentiel, auquel elle envisage d'allouer un crédit important).

Certes, ces solutions concernaient des données privées. S’agissant de données traitées par la Commune de Morges, relevant dès lors de la loi vaudoise, l'art. 14 al. 1 let. b LPrD prévoit néanmoins une balance d'intérêts, permettant de restreindre le devoir d'information en présence d'un intérêt public ou privé prépondérant. Dans cette appréciation, rien n'empêche d'appliquer par analogie l'art. 13 al. 1 let. a LPD et les solutions évoquées plus haut; en l'occurrence, la collectivité publique qui envisage la conclusion d'un contrat peut ainsi faire valoir un intérêt public ou privé prépondérant à la collecte de données à l'insu, dans un premier temps en tout cas, de son cocontractant.

g) Dans ces conditions, la conclusion tendant à la constatation du caractère illicite de l'établissement du rapport d'enquête par des détectives privés doit être rejetée, dans la mesure où elle est recevable.

3. Le recourant conclut également à ce que lui soit transmis "tous les exemplaires dudit rapport et ses annexes" en la possession de la Municipalité de Morges. Cette conclusion n’est recevable que dans la mesure où elle concerne la remise d’un exemplaire du rapport et de ses annexes (ci-dessus consid. 1 lit. e/dd). De manière générale, il faut retenir que la contestation porte pour l’essentiel sur la consultation des données personnelles recueillies sur le compte du recourant, contenues dans les pièces précitées.

On reproduit tout d’abord ci-après les dispositions topiques de la LPrD :

"Art. 25 Consultation des fichiers

¹ Toute personne a, en tout temps, libre accès aux données la concernant.

² Elle peut également requérir du responsable du traitement la confirmation qu’aucune donnée la concernant n’a été collectée.

³ La personne qui fait valoir son droit doit justifier de son identité.

⁴ Nul ne peut renoncer par avance au droit d'accès.

Art. 26 Modalités

¹ La demande portant sur la communication de données personnelles n'est soumise à aucune exigence de forme. Elle doit toutefois contenir les indications suffisantes pour permettre d'identifier la donnée concernée.

² La communication de données a lieu sur place ou se fait par écrit, sauf disposition contraire.

³ Avec l'accord du requérant, la communication peut également se faire par oral.

⁴ La communication des données est, en règle générale, gratuite.

⁵ Le responsable du traitement qui répond à la demande peut percevoir un émolument :

a. lorsque la communication requiert un travail important ;

b. en cas de demandes répétitives ;

c. lorsqu’une copie est demandée.

⁶ Le Conseil d'Etat fixe le tarif des émoluments.

Art. 27 Restrictions

¹ Le responsable du traitement peut restreindre la consultation, voire refuser celle-ci, si :

a. la loi le prévoit expressément ;

b. un intérêt public ou privé prépondérant l’exige ;

c. elle est impossible ou nécessite des efforts disproportionnés.

² Le droit d'accès aux données médicales est régi par la loi sur la santé publique.

³ Dès que le motif justifiant la restriction du devoir d'accès disparaît, le responsable du traitement doit fournir l’information."

Ces dispositions correspondent dans une large mesure à celles des art. 8 et 9 LPD sur le droit d'accès de la personne concernée aux données recueillies sur son compte (voir d'ailleurs dans ce sens, GE.2011.0181 précité, consid. 3). De manière générale, la Municipalité propose une lecture très littérale des art. 25 et 26 LPrD, alors que le recourant fait valoir quant à lui l'esprit de ces règles.

a) Pour la Municipalité, le rapport d'enquête litigieux ne constitue pas un fichier au sens des art. 25 ss LPrD, ce qui devrait conduire déjà à écarter la demande. Cette approche est erronée, la loi visant, malgré une terminologie apparemment restrictive, à assurer la protection des données, dans un sens large, en exécution des exigences découlant de l'art. 13 al. 2 Cst. D'ailleurs, l'art. 25 al. 1 LPrD, même s'il parle d'une « consultation des fichiers » dans sa note marginale, prévoit un libre accès de la personne concernée « aux données » recueillies sur son compte; ce droit concerne donc aussi le rapport litigieux et ses annexes. Sur ce premier point, la lecture restrictive proposée par la Municipalité doit donc être écartée.

b) L'art. 25 LPrD pose le principe du droit d'accès aux données, qui prend la forme d'une « consultation » de celles-ci. L'art. 26 LPrD en précise les modalités, en indiquant que la communication a lieu sur place ou se fait par écrit, sauf disposition contraire (al. 2; en l'espèce l'al. 3 n'entre pas en ligne de compte: il prévoit que la communication peut également se faire par oral, pour autant que l'intéressé y consente, ce qui n'est pas le cas ici). La Municipalité estime avoir satisfait aux exigences de l'art. 26 al. 2 LPrD, puisqu'elle a mis sur pied une consultation sur place du rapport d'enquête; pour le recourant, l'esprit de la règle ne peut être respecté que par une remise d'une copie des documents en cause. Cette question se pose en des termes similaires en relation avec le droit à la consultation du dossier découlant de la garantie du droit d'être entendu. "Consulter signifie prendre connaissance du dossier au siège de l'autorité; il n'y a aucun droit à emporter les pièces chez soi, ni à en recevoir des photocopies - mais il y en a un à en faire soi-même au siège de l'autorité" (Moor/Poltier II 327 et les références citées). Cette approche doit être transposée dans le cadre de la consultation des données prévue à l'art. 25 LPrD; dès lors, en principe, la personne concernée a le droit, sinon de recevoir, du moins de faire une copie des données qui la concernent. D'ailleurs, de nombreux cantons, qui prévoient également une consultation sur place, admettent qu'une copie des données soit remise à l'intéressé (Waldmann/Oeschger in Belser/Epiney/Waldmann, § 13 N 131). Il n'y a pas de raison d'écarter cette solution dans l'interprétation du droit vaudois.

On réservera bien évidemment les dispositions contraires de lois spéciales, voire celles du règlement communal topique; il n'y en a pas en l'occurrence.

c) Le refus de la Municipalité peut s'analyser également comme une restriction au droit d'accès, au sens de l'art. 27 LPrD.

aa) Le Tribunal fédéral a été confronté récemment à une problématique similaire (TF, arrêt du 12 janvier 2015, 4A_406/2014 et 4A_408/2014). Divers employés de banque réclamaient de leur établissement la remise de copies des pièces que celle-ci avait transmises aux autorités américaines; les employés en question avaient, dans un premier temps, été autorisés à consulter les pièces en cause au siège de la banque, mais non pas à en obtenir des copies. L'arrêt analyse la contestation au regard des art. 8 et 9 LPD, dispositions qui constituent, comme on l’a vu, le pendant des art. 25 ss LPrD. Quoiqu'il en soit, il parvient à la conclusion que l'établissement bancaire concerné doit remettre une copie de ces documents aux requérants. Sous l'angle des modalités de consultation des données, l'arrêt rappelle que la loi retient le principe d'une communication écrite des données; elle réserve au surplus des exceptions, que le Conseil fédéral a circonscrites dans son ordonnance. Le Tribunal fédéral, en revanche, laisse ouverte la question de savoir si d'autres exceptions, ne figurant pas dans l’ordonnance, peuvent être admises, mais tel ne devait pas être le cas dans l'espèce jugée (consid. 8).

Le régime des restrictions prévues à l'art. 27 LPrD (dans le même sens celles de l'art. 9 LPD) soulève des difficultés particulières. En effet, la personne concernée bénéficie en principe d'un droit d'accès, sans avoir à justifier d'un intérêt particulier (dans ce sens, pour le droit cantonal, voir par exemple Waldmann/Oeschger, in Belser/Epiney/Waldmann, § 13 N 126). Cependant, dès l'instant que la demande peut se heurter à des intérêts publics et privés, une comparaison de l'intérêt du recourant avec ces intérêts opposés est incontournable pour déterminer lesquels sont prépondérants. La jurisprudence relative à une telle configuration est abondante et il est difficile d'en réaliser la synthèse (voir à ce propos Waldmann/Oeschger, in Belser/Epiney/Waldmann, § 13 N 129; Meier, op.cit., N 1140 ss; Gramigna/Maurer-Lambrou, in Maurer-Lambrou/Blechta (édit.) Datenschutzgesetz, Öffentlichkeitsgesetz, Kommentar, Bâle, 3^e éd. 2014, art. 9 DSG N 21 ss). Une première configuration concerne les données de tiers contenues dans le document demandé par la personne concernée. Cette situation est particulière, dans la mesure où le maître du fichier ne doit pas, à l'occasion de l'exercice du droit d'accès, négliger la protection des données auxquelles les tiers peuvent également prétendre (sur ce premier aspect, Meier, op. cit., N 1144 s.); la solution consiste dans ce type d'hypothèse à caviarder les noms des tiers avant la divulgation, pour autant que cette mesure soit suffisante. Une configuration différente est celle qui a trait à la source des informations relatives à la personne concernée; l'indication de la source fait l'objet du droit d'accès et, simultanément, peut porter atteinte aux intérêts de la personne qui a fourni cette information. Cette dernière peut en effet craindre que la personne concernée utilise cette donnée contre elle, par exemple dans un procès, ou qu'elle engage des représailles (acte illicite ou autre). Dans une telle situation, une comparaison des intérêts doit être opérée et le refus d'accès ne peut intervenir que si l'intérêt du tiers est prépondérant (voir à ce propos Gramigna/Maurer/Lambrou, ibidem N 22). Un mécanisme similaire peut intervenir en présence d'un intérêt prépondérant du maître du fichier (art. 9 al. 4 LPD) ou en présence d'un intérêt public prépondérant (art. 27 al. 1 let. b LPrD; fréquemment, ces deux derniers intérêts coïncident, lorsque le maître du fichier est un organe public). On notera encore que la personne concernée, lorsqu'elle souhaite obtenir l'accès à certaines données en vue de l'ouverture d'un procès, par exemple contre le maître du fichier, fait valoir en principe un intérêt légitime (dans ce sens, TF, arrêt 4A_406/2014 précité, consid. 7.1.1). Par ailleurs, la jurisprudence s'est montrée hésitante sur la question de savoir s'il y avait lieu de révéler le nom du dénonciateur ou d'un autre informateur (on notera que certains arrêts confirment le refus d'accès sur ce point: voir par exemple TAF, arrêt du 28 janvier 2015, A-5430/2013, consid. 3.5.5 et 4; dans le même sens, arrêts CDAP GE.2013.0019 du 27 mai 2013; GE.2011.0034 du 2 mai 2011; GE.2010.0121 du 4 janvier 2011; pour un exemple d'admission du droit d'accès, voir au contraire GE.2011.0181 du 1^er mai 2012, selon lequel aucun intérêt prépondérant public ou privé n'a été établi de manière suffisante pour conduire au refus d'accès).

bb) Dans le cas d'espèce, il conviendrait dès lors de procéder à une balance d'intérêts. Elle est toutefois délicate, dans la mesure où les parties ne s'attardent pas à établir leur intérêt respectivement à l'accès au rapport litigieux ou au contraire au refus de celui-ci. Le recourant, tout d'abord, ne dévoile guère ce qu'il entend faire une fois en possession du rapport. Cela pourrait étayer, cas échéant, sa position dans le cadre d'un procès contre la Commune de Morges, pour rupture des pourparlers contractuels; on pourrait imaginer également une action pour atteinte à sa personnalité contre la Municipalité ou un tiers défendeur (à un for suisse, voire français). Pour sa part, la Municipalité ne fait valoir aucun intérêt public prépondérant; elle se borne à soutenir tout d'abord qu'un refus de divulgation va dans l'intérêt du recourant lui-même (ce qui ne saurait être retenu; sauf peut-être en présence de renseignements de nature médicale qui ne sont pas en cause ici); elle fait valoir surtout les intérêts des informateurs, qui ont fourni les renseignements en cause, voire les intérêts des détectives privés eux-mêmes.

cc) Sur ces bases fragiles, la Cour de céans n'est pas en mesure de conclure au caractère prépondérant des intérêts des tiers invoqués en l'occurrence. Il faut savoir en effet, que ces derniers doivent accepter de simples inconvénients découlant de la révélation. Il en irait bien évidemment différemment si ces tiers devaient craindre des mesures de rétorsion (par exemple des actes de nature illicite de la part du recourant). Rien n'indique que tel devrait être le cas en l'espèce, de sorte que, sur le principe, il y a lieu de donner suite à la demande de communication présentée par le recourant.

dd) Les parties sont en outre divisées sur les modalités d'une telle communication.

Le recourant demande tout d'abord la transmission de tous les exemplaires du rapport établi par l'agence de détectives privés. On se souvient toutefois du caractère nouveau et partant irrecevable de cette conclusion, qui n’a donc pas à être examinée plus avant (supra, consid. 1 let. e/dd).

Pour sa part, la Municipalité, dans sa prise de position complémentaire du 4 août 2014, soutient qu'une remise du document litigieux, si elle était prononcée, ne devrait pas intervenir sans condition; le document devrait rester entre les mains du conseil du recourant ou la remise du rapport devrait être subordonnée à un engagement formel de ne pas faire usage de ces pièces à l'encontre de tiers. Là aussi, cette exigence ne paraît pas pouvoir être confirmée. En effet, en soi, l'intérêt du recourant à pouvoir utiliser les données du rapport afin d’agir en justice, par exemple à l'encontre des informateurs entendus par les détectives privés, n'a rien d'illégitime (TAF, arrêt A-5430/2013, consid. 4.3.3 s.); face à cet intérêt, l'intérêt des tiers en cause ne saurait être qualifié de prépondérant.

4. a) Les considérations qui précèdent conduisent à l'admission partielle du recours, en ce sens que la conclusion tendant à la constatation du caractère illicite du traitement de données en cause est rejetée, mais que la décision sera réformée dans le sens d'une remise par la Municipalité intimée d'une copie du rapport d'enquête litigieux et de ses annexes au recourant, d'autres ou plus amples conclusions étant écartées.

b) Dans la mesure où chacune des parties obtient gain de cause pour une part de ses conclusions, il convient de compenser les dépens. Pour le surplus, la procédure est gratuite (art. 33 al. 1 LPrD; GE.2009.0140 du 29 janvier 2010 consid. 6).

Par ces motifs
la Cour de droit administratif et public
du Tribunal cantonal
arrête:

I. Le recours est admis partiellement, dans la mesure où il est recevable.

II. La décision de la Municipalité de Morges, du 12 mai 2014, est réformée en ce sens que la Municipalité communiquera sans délai à X.________ une copie du rapport d'enquête litigieux et de ses annexes. Elle est confirmée pour le surplus.

III. Il n'est pas perçu d'émolument de justice.

IV. Les dépens sont compensés.

Lausanne, le 16 avril 2015

La présidente:

Le présent arrêt est communiqué aux destinataires de l'avis d'envoi ci-joint.

Il peut faire l'objet, dans les trente jours suivant sa notification, d'un recours au Tribunal fédéral. Le recours en matière de droit public s'exerce aux conditions des articles 82 ss de la loi du 17 juin 2005 sur le Tribunal fédéral (LTF - RS 173.110), le recours constitutionnel subsidiaire à celles des articles 113 ss LTF. Le mémoire de recours doit être rédigé dans une langue officielle, indiquer les conclusions, les motifs et les moyens de preuve, et être signé. Les motifs doivent exposer succinctement en quoi l’acte attaqué viole le droit. Les pièces invoquées comme moyens de preuve doivent être jointes au mémoire, pour autant qu’elles soient en mains de la partie; il en va de même de la décision attaquée.