TRIBUNAL CANTONAL COUR DE DROIT ADMINISTRATIF ET PUBLIC
	Arrêt du 29 septembre 2025
Composition	M. Pascal Langone, président; M. Etienne Poltier, juge suppléant; M. Pierre-Yves Rochat, assesseur; Mme Fabia Jungo, greffière.

 

Recourant

A.________, à ********,

  

Autorité intimée

Municipalité de ********, représentée par Me Pascal NICOLLIER, avocat, à ********.

  

 

Objet	Loi sur l'information
	Recours A.________ c/ décision de la Municipalité de ******** du 20 janvier 2025 portant sur le "Renouvellement 2025 infrastructure centrale" (LInfo).

 

Vu les faits suivants:

A.                     a) La Municipalité de ******** (ci-après: la municipalité) a adressé au Conseil communal de cette commune un préavis n° 38/2024, portant sur une demande d'un crédit d'investissement de 897'000.- frs pour le renouvellement 2025 de l'infrastructure centrale (serveur, stockage, baies de sauvegarde, systèmes de virtualisation et commutateurs reliant ces équipements) de l'informatique de l'administration communale de la Ville de ********. La conclusion de ce préavis se lit comme suit :

"10. CONCLUSION

L'infrastructure informatique centrale de la Ville de ********, soit les serveurs et leurs disques constituant le système de stockage, les baies de sauvegarde et les commutateurs reliant ces équipements, doit être remplacée.

Cette opération est indispensable pour pouvoir continuer à bénéficier des maintenances nécessaires, ce qui serait impossible sur des commutateurs déclarés en fin de vie et trop coûteux sur des serveurs arrivés eux aussi en fin de vie. Il faut également redire que la capacité des baies de stockage est devenue trop juste et a déjà forcé à diminuer la durée de rétention des sauvegardes.

Les systèmes actuels présentent déjà un haut niveau de sécurité et de redondance et l'objectif du remplacement est naturellement de continuer à bénéficier des mêmes avantages, en les améliorant, avec la nouvelle solution :

-       redondance complète des systèmes grâce aux deux sites de 3 nouds chacun, se répliquant en temps réel l'un sur l'autre, et offrant une grande aptitude à surmonter des pannes grâce à l'hyperconvergence ;

-       gestion centralisée et ainsi facilitée des 2 sites considérés comme un seul ;

-       simplification du support de la solution comme un seul fabricant est responsable du support des nouds qui regroupent en un seul équipement serveurs et stockage.

Cette opération de remplacement des systèmes est nécessaire car le bon fonctionnement des systèmes informatiques est critique pour tous les collaborateurs de la Ville, pour tous les habitants et citoyens qui ont besoin des prestations de l'administration communale, et même au plan régional pour le portail géographique Cartoriviera."

Le préavis porte également sur la question d'une externalisation de l'infrastructure informatique communale; il s'exprime à ce propos comme suit :

5. QUESTION DU CLOUD / PROBLÉMATIQUE DE L'EXTERNALISATION DE L'INFRASTRUCTURE INFORMATIQUE

Une étude avait été menée en 2020 pour répondre à une demande de la commission ad hoc qui souhaitait disposer de plus d'informations sur les coûts de solutions d'hébergement cloud. Cette étude avait clairement montré que les prix d'un hébergement dans le cloud étaient bien plus élevés (de l'ordre de 3 à 5 fois le prix), une fois ajouté toutes les options et coûts des locations des liaisons nécessaires, que ceux d'un remplacement des équipements hébergés dans les salles informatiques de la Ville, reliées par ses propres fibres optiques privées. La situation n'a pas fondamentalement changé ces dernières années. En effet, les coûts d'hébergement cloud qui paraissent attractifs en premier abord le sont nettement moins une fois que l'on a pris en compte les éléments suivants :

-       la redondance nécessaire qui implique d'avoir deux sites d'hébergement ;

-       les sauvegardes qui elles aussi doivent offrir de la redondance et régulièrement un stockage hors ligne à l'abri des hackers ;

-       les liaisons privées rapides indispensables entre le réseau de la Ville et les datacenters (des liaisons à moins de 10 Gbits/s seraient en effet contre-productives et limiteraient les performances des systèmes alors que l'on peut disposer en local, sur des fibres optiques privées, de liaisons à 25 Gbits/s entre les serveurs, ainsi qu'à 100 Gbits/s entre les salles informatiques).

Le Service des systèmes d'information a refait l'exercice et les coûts calculés pour 5 prestataires différents, tant suisses qu'internationaux, pour des mises à disposition de serveurs dans le cloud offrant des capacités similaires aux systèmes dont la Ville entend se doter, arrivent dans les 5 cas à des montants supérieurs à 2 millions de Francs pour 5 ans, sans compter le prix des liaisons rapides nécessaires entre le réseau de la Ville et les datacenters sur le cloud. De plus, ces solutions hébergées n'offrent pas les mêmes outils élaborés de gestion des serveurs.

Il faut aussi relever qu'aucune commune vaudoise de taille comparable à ******** n'a actuellement fait le pas de louer dans le cloud ses ressources informatiques."

Le passage précité se réfère au surplus à une étude menée en lien avec le préavis n° 35/2019 de la Municipalité au Conseil communal, relatif au renouvellement 2020 de l'infrastructure informatique communale.

En outre, le préavis prévoit, parmi les postes du crédit demandé, un montant de 180'000 fr. pour l’achat des licences ******** nécessaires pour le fonctionnement des machines virtuelles, du vCenter de gestion et de la virtualisation du stockage selon les volumes prévus et de 50'000 fr. pour le renouvellement/remplacement des licences du logiciel de sauvegarde pour environ 100 serveurs virtuels (les licences actuelles à remplacer étaient facturées par processeurs physiques, une tarification révolue).

B.                     a) Dans un courriel du 29 novembre 2024, A.________ s'est adressé à la municipalité pour obtenir diverses informations au sujet du préavis précité, ce sur la base de la loi du 24 septembre 2002 sur l'information (LInfo; BLV 170.21). Sa demande se lit comme suit :

"Au vu de ce qui précède, je vous prie de bien vouloir m'accorder l'accès aux informations manquantes dans le document (********) à savoir la liste détaillée de tous les serveurs virtuels cités dans le document :

-       20 serveurs virtuels sous Linux cités en page 3

-       Les quelques 90 serveurs virtuels cités en page 6 qui correspondent probablement aux environ 100 serveurs virtuels cités en page 7

Je souhaite donc connaître la liste exhaustive détaillée de tous les serveurs virtuels en indiquant précisément CPU, RAM, nombre de coeurs, détails du stockage, OS, licences et liste d'applications avec leurs noms et versions précises tournant sur chaque serveur virtuel.

Pour des raisons évidentes impliquant la cybersécurité de l'infrastructure, je ne souhaite pas connaître les HOSTNAME, ni les adresses de ces serveurs.

Au chapitre 5 page 5 du document (********), je souhaite avoir accès à l'étude menée en 2020 pour répondre à une demande de la commission ad hoc ainsi que toutes les recherches et documents permettant d'affirmer ensuite que je cite : "La situation n'a pas fondamentalement changé ces dernières années". Si une nouvelle étude a été menée entre-temps, merci de me la transmettre. Est-ce que dans la mise à jour de cette étude les paramètres comme les migrations et simplifications ayant eu lieu depuis 2020 ont été pris en compte ?

Au chapitre 5 page 6 du document (********), je souhaite avoir accès à la liste des communes vaudoises mentionnées qui permet d'affirmer qu'aucune d'elle n'a fait le pas de je cite : "louer dans le Cloud".

Y a-t-il une liste de communes vaudoises plus petites que ******** qui auraient fait ce pas?

Est-ce que dans ces affirmations, le fait que des sociétés spécialisées pour fournir les communes vaudoises, (telles que ********), offrent des solutions complètement basées dans le Cloud Microsoft AZURE a été pris en compte?"

Dans un courriel du 4 décembre 2024, adressé à la municipalité, A.________ a modifié quelque peu sa demande sur le dernier point précité en soulevant la question suivante:

"Y a-t-il une liste de communes vaudoises plus petites que ******** qui auraient fait ce pas ? Si oui, merci de bien vouloir me la fournir."

b) Par décision du 20 janvier 2025, la municipalité a écarté pour l'essentiel les demandes, dans les termes suivants :

"Nous avons repris vos différentes demandes et y répondons comme suit :

1. Au chapitre 5 page 5 du document (********] : « Je souhaite avoir accès à l'étude menée en 2020 pour répondre à une demande de la commission ad hoc ainsi que toutes les recherches et documents permettant d'affirmer ensuite que je cite : "La situation n'a pas fondamentalement changé ces dernières années". Si une nouvelle étude a été menée entre-temps, merci de me la transmettre. Est-ce que dans la mise à jour de cette étude les paramètres comme les migrations et simplifications ayant eu lieu depuis 2020 ont été pris en compte? »

- Cette étude était un document de travail fourni alors à la commission Ad hoc dans le cadre de son activité. Ce document a été joint au rapport de la commission et est accessible sur le site intemel www.vevev.ch à l'adresse suivante https://conseil.********.ch/ConseilCommunal/download.asp?d=3327

- Les recherches de prix en 2024 ayant permis cette affirmation sont également des documents de travail et ne constituent pas des documents officiels. La question concernant "les migrations et simplifications" n'a pas de rapport avec une demande d'accès à des documents officiels.

2. Au chapitre 5 page 6 du document [********], « Je souhaite avoir accès à la liste des communes vaudoises mentionnées qui permet d'affirmer qu'aucune d'elle n'a fait le pas de je cite : "louer dans le Cloud". Y a-t-il une liste de communes vaudoises plus petites que ******** qui auraient fait ce pas? Si oui, merci de bien vouloir me la fournir.»

- Il n'y a pas de liste ou documenf officiel. Les données dont la Ville de ******** dispose ne sont pas des documents officiels et n'ont pas à être dévoilées. Celles-ci proviennent d'un sondage informel auprès des communes membres de I'AVRIC (Association vaudoise des responsables informatiques communaux) et la confidentialité de tels sondages doit être préservée.

Les inventaires de nos serveurs virtuels tenus dans des bases de données comme GLP ne sont pas des documents officiels au sens de la Llnfo. Ce sont également des données sensibles et n'ont ainsi évidemment pas à être communiqués à des tiers.

3. "Est-ce que dans ces affirmations, le fait que des sociétés spécialisées pour fournir les communes vaudoises, (telles que ********) offrent des solutions complètement basées dans le Cloud Microsoft AZURE a été pris en compte?"

- Cette question n'a pas de rapport avec une demande d'accès à des documents officiels."

C.                     a) Agissant par acte du 7 février 2025, A.________ a saisi la Cour de droit administratif et public du Tribunal cantonal (ci-après: CDAP) d'un recours contre cette décision; il conclut en substance à ce qu'il soit ordonné à l'autorité intimée de lui transmettre les documents demandés.

b) Dans sa réponse au pourvoi du 11 avril 2025, déposé par l'intermédiaire de l'avocat Pascal Nicollier, la commune de ******** a conclu avec dépens à son rejet et à la confirmation de la décision attaquée.

Dans une réplique du 28 avril 2025, A.________, tout en complétant ses moyens, a confirmé pour l'essentiel les conclusions de son recours.

D.                     a) La décision attaquée, en réponse à l'une des demandes, indiquait que l'étude demandée était disponible sur le site internet de la ville de ********; un lien était fourni au recourant à cet effet.

b) A la suite d’un complément d’instruction, la municipalité a fourni de nouveaux éléments en date du 2 juin 2025 (l’un d’entre eux ne devant pas être dévoilé au recourant, soit l’étude de prix ********), puis a versé au dossier le 19 août 2025 l’étude de 2020 évoquée plus haut (« Etude complémentaire externalisation » du 10.02.2020).

c) Le recourant a complété ses moyens le 9 juillet 2025. Dans ce contexte, il s’est plaint du fait que les nouveaux éléments présentés par la municipalité ne répondaient pas à ses demandes ; néanmoins, il a déclaré retirer les griefs qu’il avait soulevé en relation avec ses demandes écartées touchant des recherches de prix pour des solutions d’externalisation dans le cloud (ch. 5, p. 5 du préavis n° 38/2024 ; cité plus haut sous A/a). La municipalité a également fourni es arguments supplémentaires dans son écriture du 19 août 2025.

Considérant en droit:

1.                      a) A teneur de l'art. 26 LInfo, les autorités communales statuent sur les demandes concernant leurs activités; elles le font par le biais de décisions. L'art. 27 LInfo prévoit, à son al. 1, que la procédure de recours devant le Tribunal cantonal est rapide, simple et gratuite. Quant à son al. 3, il prévoit que la loi vaudoise du 28 octobre 2008 sur la procédure administrative (LPA-VD ; BLV 173.36) est applicable aux décisions rendues en vertu de la présente loi, ainsi qu'aux recours contre dites décisions. Il en découle que les décisions des municipalités rendues en application de l'art. 26 LInfo sont susceptibles de recours à la CDAP (art. 92 LPA-VD).

b) Le recourant, destinataire de la décision lui refusant l'accès aux documents demandés, auquel il prétend avoir droit, a la qualité pour recourir (art. 75 al. 1 let. a de la LPA-VD). Le recours a de plus été formé dans le délai (art. 95 LPA-VD) et le respect des formes prescrites (art. 79 et 99 LPA-VD).

c) Il y a lieu d'entrer en matière.

2.                      Il convient tout d'abord de procéder à un bref rappel du cadre légal.

a) Aux termes de l'art. 41 de la Constitution du 14 avril 2003 du Canton de Vaud (Cst-VD; BLV 101.01), l'Etat et les communes informent la population de leurs activités selon le principe de la transparence. Ce devoir d'information est réglementé dans la LInfo, qui s'applique aux autorités tant cantonales que communales (cf. art. 2 LInfo).

La LInfo pose à son art. 8 le principe selon lequel les renseignements, informations et documents officiels détenus par les organismes soumis à la présente loi sont accessibles au public (al. 1), sous réserve des cas décrits au chapitre IV (al. 2). Les autorités communales statuent sur les demandes concernant leurs activités (art. 26 LInfo).

Par document officiel, on entend tout document achevé, quel que soit son support, qui est élaboré ou détenu par les autorités, qui concerne l'accomplissement d'une tâche publique et qui n'est pas destiné à un usage personnel (art. 9 al. 1 LInfo). Ces conditions sont cumulatives (CDAP GE.2020.0066 du 8 mars 2021 consid. 2b/aa; GE.2020.0038 du 14 décembre 2020 consid. 5a; GE.2019.0010 du 4 octobre 2019 consid. 2a, et la référence citée). La loi ne vise pas seulement les documents produits par l’autorité, mais aussi ceux détenus par elle. Les documents soumis à la LInfo sont ceux qui ont un rapport avec une action administrative des autorités (GE.2020.0066 du 8 mars 2021 consid. 2b/aa; GE.2019.0034 du 11 octobre 2019 consid. 2b; GE.2019.0010 du 4 octobre 2019 consid. 2a; voir également Exposé des motifs et projet de loi [EMPL] sur l'information, Bulletin du Grand Conseil [BGC] septembre-octobre 2002 [ci-après: BGC septembre-octobre 2002], p. 2634 ss, spéc. p. 2647-2649).

Les documents officiels sont ceux qui ont atteint leur stade définitif d'élaboration. Cette réserve du caractère achevé d'un document doit permettre à l'administration de travailler et de faire évoluer ses projets avec toute la latitude nécessaire à cette fin. Des exemples de documents inachevés sont des textes raturés ou annotés, la version provisoire d'un rapport, l'esquisse d'un projet, les brouillons de séance, les notes de travail informelles, les ébauches de texte, les notes récapitulatives de séance (CDAP GE.2020.0066 du 8 mars 2021 consid. 2b/aa; GE.2019.0010 du 4 octobre 2019 consid. 2a). A l'inverse, la signature ou l'approbation d'un document, ou encore sa transmission à l'interne ou à l'extérieur de l'administration, peuvent constituer des indices permettant de considérer un document comme achevé (CDAP GE.2020.0038 du 14 décembre 2020 consid. 5a; GE.2019.0034 du 11 octobre 2019 consid. 2b, et les références citées).

b) La structure de la loi suppose qu'il convient de distinguer les "documents officiels" qui sont "achevés" au sens de l'art. 9 al. 1 LInfo, susceptibles d'être communiqués sur demande, des documents dits "internes", soit notamment les notes et courriers échangés entre les membres d’une autorité collégiale ou entre ces derniers et leurs collaborateurs, qui sont exclus du droit à l'information en vertu de l'art. 9 al. 2 LInfo (CDAP GE.2019.0010 du 4 octobre 2019 consid. 2a, et les références citées). L’art. 14 du règlement d'application du 25 septembre 2003 de la LInfo (RLInfo; BLV 170.21.1) précise que sont des documents internes les notes et courriers échangés entre les membres d'une autorité collégiale, entre ces derniers et leurs collaborateurs ou entre leurs collaborateurs personnels, ainsi que les documents devant permettre la formation de l'opinion et de la décision d'une autorité collégiale.

Selon l'EMPL relatif à la loi sur la LInfo, ce type de document interne est exclu du principe de transparence, car il s'agit de documents devant permettre la libre formation de l'opinion et de la décision d'une autorité collégiale et qui, de ce fait, doivent être soustraits à l'opinion publique (BGC, septembre-octobre 2002, p. 2649). Selon la jurisprudence cantonale également, le caractère de document interne au sens des art. 9 al. 2 LInfo et 14 RLInfo doit être reconnu aux documents dont la communication aurait pour effet de divulguer le processus de formation de la volonté de l'autorité dans un cas d'espèce. Seuls les documents contenant, outre des données techniques ou juridiques, une appréciation politique qui nécessite une prise de décision pourraient de cas en cas être soustraits au droit à l'information (CDAP GE.2020.0066 du 8 mars 2021 consid. 2b/aa; GE.2020.0038 du 14 décembre 2020 consid. 5b; GE.2019.0034 du 11 octobre 2019 consid. 2b, et les références citées).

c) aa) Le droit à l'information institué par la LInfo n'est toutefois pas absolu. Aux termes de l’art. 15 LInfo, les dispositions d'autres lois qui restreignent ou excluent la transmission d'informations ou l'accès à des documents officiels sont réservées, y compris les dispositions protégeant le droit d’auteur. La LInfo réserve aussi les intérêts publics ou privés prépondérants (art. 16 al. 1 LInfo). Des intérêts publics prépondérants sont en cause lorsque la diffusion d'informations, de documents, de propositions, d'actes et de projets d'actes est susceptible de perturber sensiblement le processus de décision ou le fonctionnement des autorités (art. 16 al. 2 let. a LInfo); une information serait susceptible de compromettre la sécurité ou l'ordre publics (art. 16 al. 2 let. b LInfo); le travail occasionné serait manifestement disproportionné (art. 16 al. 2 let. c LInfo); les relations avec d'autres entités publiques seraient perturbées dans une mesure sensible (art. 16 al. 2 let. d LInfo). Sont réputés intérêts privés prépondérants la protection contre une atteinte notable à la sphère privée, sous réserve du consentement de la personne concernée (art. 16 al. 3 let. a LInfo); la protection de la personnalité dans des procédures en cours devant les autorités (art. 16 al. 3 let. b LInfo), le secret commercial, le secret professionnel ou tout autre secret protégé par la loi (art. 16 al. 3 let. c LInfo). L’art. 17 LInfo dispose en outre ce qui suit :

"Art. 17   Refus partiel

¹ Le refus de communiquer un renseignement ou un document conformément à l'article 16 ne vaut le cas échéant que pour la partie du renseignement ou du document concerné par cet article et tant que l'intérêt public ou privé prépondérant existe.

² L'organisme sollicité s'efforce de répondre au moins partiellement à la demande, au besoin en ne communiquant pas ou en masquant les renseignements ou les parties d'un document concernés par l'intérêt public ou privé prépondérant."

bb) D'une façon générale, l'art. 16 LInfo doit être interprété de façon similaire à l'art. 7 de la loi fédérale du 17 décembre 2004 sur la transparence (LTrans; RS 152.3). Le refus d'accès (total ou partiel) doit ainsi se justifier par un risque à la fois important et sérieux d'atteintes aux intérêts publics ou privés prépondérants protégés par cette disposition; l'application de ces exceptions, restrictive, doit résulter d'une pesée des intérêts et respecter le principe de la proportionnalité. Le fardeau de la preuve pour réfuter la présomption de publicité établie par la LInfo est à la charge de l'autorité (CDAP GE.2019.0010 du 4 octobre 2019 consid. 4a et les références).

S'agissant en particulier de l'hypothèse prévue par l'art. 16 al. 2 let. b LInfo en lien avec le risque de compromission de la sécurité ou de l'ordre publics, c'est dans chaque cas d'espèce que les autorités doivent déterminer si les conditions en sont réunies, étant précisé que ce motif doit rester l'exception et non pas se transformer en règle; le dommage pour la sécurité ou l'ordre publics doit ainsi être suffisamment grave et exceptionnel pour justifier la non-diffusion d'une information sous motif d'intérêt public prépondérant (cf. EMPL précité, p. 2656 ad art. 16 al. 2 let. b LInfo). Cette exception peut être invoquée si deux conditions sont réalisées: les documents doivent concerner la sécurité ou l'ordre publics, d'une part, et leur communication doit présenter un risque de mise en danger de la sécurité ou de l'ordre publics, d'autre part (cf. Bastien von Wyss, Droit d'accès aux documents officiels: comparaison et étude de la mise en œuvre de quatre lois sur la transparence en Suisse, Mémoire de Master 2011, p. 47).

cc) Dans le souci d’être complet, on signalera que le Parlement fédéral a adopté, le 18 décembre 2020, la loi fédérale sur la sécurité de l'information au sein de la Confédération (LSI; RS 128). A teneur de son art. 3, cette loi ne s'applique que de manière limitée aux cantons (notamment lorsque ceux-ci accèdent à des moyens informatiques de la Confédération). Elle s'applique en outre aux organisations de droit public ou privé qui exploitent des infrastructures critiques; ces dernières, si elles ne sont pas visées par l'art. 2 al. 1 à 3 LSI (il en va ainsi en principe des installations des communes), ne sont alors soumises qu'aux art. 74 à 80 LSI (art. 2 al. 5 LSI). Les art. 74 ss LSI, qui régissent les infrastructures critiques, prévoient à leur charge une obligation de signalement des cyberattaques; ces dispositions n’entrent pas en ligne de compte dans la présente espèce. Par contre, les art. 16 ss LSI (et 27 ss de son ordonnance d’application, OSI - RS 128.1) comportent diverses règles portant sur la sécurité des moyens informatiques. Ces dispositions ne sont toutefois applicables qu’à l’Administration fédérale et non aux communes; elles expriment cependant le souci de sécurité en cette matière des collectivités publiques - souci qui paraît être au cœur des préoccupations de l’autorité intimée dans la présente espèce.

d)  L'art. 8 al. 1 LInfo prévoit que sont en principe accessibles, outre les documents officiels (au sens de l'art. 9 al. 1 LInfo), les "renseignements" et "informations" détenus par les organismes soumis à la loi. Les notions de "renseignements" et "informations", synonymes, sont larges; les renseignements peuvent porter sur des activités des autorités comme sur des documents qu'elles produisent (cf. Bastien von Wyss, op. cit., p. 28, qui se réfère à un entretien avec le Préposé à la protection des données et à l'information du canton de Vaud).

Dans un arrêt GE.2017.0114, GE.2018.0025 du 12 novembre 2018 auquel les parties se réfèrent, la cour de céans a notamment retenu ce qui suit à ce propos (consid. 4b/bb):

"[…] l'EMPL LInfo […] indique uniquement que « la demande peut porter sur des renseignements ou sur la consultation de documents ». Sur la notion de documents officiels, il est renvoyé à l'art. 9 LInfo (BGC, septembre-octobre 2002, p. 2647). Il convient dès lors de retenir qu'à la différence de la loi fédérale, la loi cantonale sur l'information permet au public de requérir des renseignements sur l'activité de l'administration qui ne ressortent pas d'un document officiel […].

Ainsi, la demande d’informations peut porter sur des renseignements dont l’autorité dispose, même s'ils ne figurent pas dans un document officiel. Ces renseignements ou ces informations au sens de l'art. 8 al. 1 LInfo s'entendent dans un sens purement factuel: l'autorité doit renseigner sur les mesures qu'elle a prises ou n'a pas prises dans le cas concret, sous réserve des limites posées par les art. 15 ss LInfo […]. Elle n'a en revanche pas à justifier son action ou son inaction."

3.                      La question de l'externalisation des services informatiques de la ville de ********, notamment par un recours à l'hébergement dans le cloud, selon diverses modalités, a été un sujet thématisé dans le débat politique de la commune dès 2019 (le préavis 35/2019, se rapportant au renouvellement de l'infrastructure informatique centrale de la commune ayant été refusé pour ce motif dans un premier temps par la commission chargée de son examen). Un chapitre est d'ailleurs dédié à cette question dans le préavis 38/2024, auquel se rapportent les demandes du recourant. Celles-ci portent notamment sur des documents ou des renseignements en lien avec le choix de l'autorité intimée de ne pas externaliser une partie de son informatique dans le cloud (et notamment des prestations de stockage).

a) En l'état, la Cour constate que les préavis 35/2019 et 38/2024, ainsi que les rapports des commissions du Conseil communal chargées de l'examen de ces préavis, avec les études annexées à ceux-ci sont disponibles sur le site internet de la ville de ********. Autrement dit, il n'y a pas débat s'agissant de l'application de la LInfo aux études précitées, lesquelles sont accessibles. A la demande de la cour, l'autorité intimée a versé au dossier de la cause le document « Etude complémentaire externalisation», du 10 février 2020. 

Ces documents répondent dans une certaine mesure aux demandes du recourant; il en va ainsi s'agissant des recherches de prix, documentées dans l'étude relative au préavis 35/2019 ou dans celles annexées au rapport du Conseil communal portant sur le préavis 38/2024. Ces études paraissent démontrer que le prix d'une solution cloud est élevé, tout au moins s'agissant de l'étude de 2024, pour les fournisseurs sollicités. Au demeurant, le recourant, dans son écriture du 9 juillet 2025, a retiré sa demande sur cet aspect, ce dont la cour prend acte.

b) Au surplus, le recourant a soulevé diverses questions en relation avec l'adoption ou non par les communes de solutions d'externalisation, avec recours au cloud. Là encore, les études susmentionnées (de 2020, puis 2024) évoquent cet aspect et paraissent confirmer que les communes contactées n'ont pas recours à une solution d'externalisation. Dans la mesure où il n'existe pas de liste de communes, avec leurs réponses au sondage, l'art. 8 LInfo implique de fournir aux requérants des renseignements; en l'occurrence, l'information consistant à dire que les communes n'ont pas recours à un système d'externalisation constitue bien un tel renseignement, qui paraît suffisant par rapport à la demande formulée. Certes, le recourant a demandé, dans un courriel complémentaire du 4 décembre 2024, si des communes plus petites que ******** avaient fait le pas d'une externalisation vers le cloud; la municipalité n'a pas répondu à cette question, dont elle ne connaît apparemment pas la réponse. La LInfo ne permet pas au recourant d'obtenir qu'une collectivité publique procède à des recherches pour lui permettre de répondre à des demandes portant sur une information dont elle ne dispose pas.

c) La même solution s'impose sur un dernier point: le recourant, en effet, relève que diverses sociétés spécialisées offrent sur le marché des solutions complètement basées dans le cloud Microsoft AZURE : il se demandait ainsi si ce type d'offre avait été pris en compte par les communes pour leur décision de renoncer à une solution externalisée. On relève à ce propos que l'étude de 2024 n'en fait pas état (pas plus que l'étude de 2020). La commune de ******** a écarté cette option; quant à d'autres communes, l'autorité intimée ignore apparemment la réponse à cette question.

d) En définitive, au terme du complément d'instruction mené par le juge instructeur, il faut considérer que les études mentionnées par le recourant constituent des documents officiels, auxquels il a accès par le biais du site de la ville de ********. Ces études lui fournissent d'ailleurs divers renseignements; s'agissant d'autres renseignements sollicités, qui n'y trouvent pas de réponse, le refus municipal, conforme à la LInfo, peut être confirmé.

4.                      Le recourant, se référant au préavis no 38/2024 de la municipalité, demande une liste des serveurs virtuels. Pour la municipalité, une telle liste constitue un document de nature interne, portant de surcroît sur des données sensibles, de sorte qu'il n'y a pas lieu de donner suite à la demande de l'intéressé.

a) On ne voit pas qu'un inventaire des biens communaux puisse constituer un document de nature purement interne. Au demeurant, qu'il s'agisse de biens mobiliers ou immobiliers, ceux-ci doivent figurer à l'actif du bilan des communes, en particulier lorsqu'il s'agit de biens du patrimoine administratif (voir à ce sujet art. 26 du règlement du 14 décembre 1979 sur la comptabilité des communes - RCCom; BLV 175.31.1). Il va donc de soi que les serveurs physiques doivent y figurer; l’inventaire de ces serveurs, soit des éléments de l'actif du bilan, constitue donc bien un document officiel.

Au demeurant, on ne voit pas de motif qui commanderait de s’écarter de cette approche s'agissant des serveurs virtuels, sous quelques réserves. Au préalable, on relève d'emblée qu'un inventaire de ces serveurs virtuels ne saurait être qualifié de document interne; en outre, un tel inventaire existe (la municipalité admet l’existence d’un inventaire de gestion du parc informatique [GLPI], dont les éléments précités pourraient être tirés; en outre, l’établissement d’un tel document ne paraît donc pas présenter de difficulté).

La municipalité, dans son écriture du 11 avril 2025 (ch. 2.2.3, sous n° 12) admet d’ailleurs une production, limitée pour des motifs de sécurité, d'une liste de ces serveurs; elle n’a toutefois pas modifié sa décision à ce propos, ni produit une telle liste. Pour sa part, le recourant reconnaît que certains éléments peuvent être occultés (Hostname et adresses IP des serveurs virtuels). Il produit par ailleurs un document, tiré d'un appel d'offres, où des données supplémentaires sont fournies au sujet de tels serveurs virtuels par l'Association Sécurité Riviera, soit une association de communes, dont l'informatique est hébergée sur les serveurs de la ville de Montreux. Dans sa réponse au recours, l'autorité intimée indique qu'elle "n'est pas persuadée qu'il soit de bonne pratique de publier sur internet ce cahier des charges qui fournit des renseignements sur une partie de futurs serveurs virtuels, même s'il n'y a qu'une part des serveurs dans la liste et non pas de serveurs d'active directory par exemple".

Apparemment, l' autorité intimée se prévaut en l'occurrence de l'art. 16 al. 2 let. b LInfo, qui lui permet de s'opposer à une production pour des motifs relevant d'un intérêt public prépondérant: ici la sécurité de l'informatique communale.

c) aa) Comme on l'a vu, le droit vaudois n'est pas très étoffé s'agissant du thème de la sécurité informatique, notamment celle des collectivités publiques. Il n'est cependant pas exclu de se référer ici par analogie aux dispositions du droit fédéral, notamment celles de l'OSI. L'art. 7 al. 2 let. b OSI indique par exemple que les moyens informatiques doivent figurer parmi les objets à protéger; dans ce contexte, l'art. 8 précise qu'il s'agit de gérer un certain nombre de risques susceptibles de menacer ces objets. Cette ordonnance contient au surplus diverses dispositions (art. 27 ss) relatives à la sécurité des moyens informatiques.

bb) Cela étant, l'art. 16 LInfo implique une pesée d'intérêts, afin de déterminer si l'intérêt public invoqué est prépondérant par rapport à l'intérêt à la diffusion de l'information. En d'autres termes, la charge de la preuve incombe sur ce point à l'autorité.

Dans le cas d'espèce, il y a lieu d'admettre - et le recourant n'en disconvient pas - que certains éléments doivent pouvoir être tenus confidentiels; il n'en demeure pas moins que la décision de l'autorité intimée, qui consiste en un refus pur et simple s'agissant des serveurs virtuels, ne démontre pas l'existence d'un intérêt public prépondérant au refus total de l'information. Elle semble d'ailleurs prête à fournir une partie de celle-ci ; la question paraît ainsi être de déterminer quelle part des informations demandées au sujet de ces serveurs virtuels respectivement peut être délivrée ou doit être refusée. Il semble que les données les plus sensibles, au regard de la prévention du hacking, concernent (outre celles que le recourant a renoncé à demander) la liste des applications et surtout les versions précises tournant sur chaque serveur virtuel; ces indications pourraient révéler les failles de sécurité affectant les versions utilisées par l’autorité intimée de ces applications. La demande, en tant qu’elle porte sur les processeurs, les RAM, le système d’exploitation ou encore les licences pour ces serveurs virtuels, paraît moins problématique en termes de sécurité. Quoi qu'il en soit, on ne saurait tenir pour établi l'existence d'un intérêt public prépondérant à un refus pur et simple, du seul fait que la diffusion sollicitée serait peut-être contraire à "des bonnes pratiques" qui ne sont nullement précisées par l'autorité pour justifier cette solution.

e) Il découle de ces considérations que le recours doit être admis sur cet aspect, la cause étant renvoyée à la municipalité pour nouvelle décision dans le sens des considérants à ce sujet.

5.                      Il découle des considérations qui précèdent que le recours doit être admis partiellement, plus précisément s'agissant de la liste des serveurs virtuels, sollicitée par le recourant. La décision municipale doit donc être annulée sur cet aspect, le dossier étant renvoyé à l'autorité intimée pour nouvelle décision dans le sens des considérants.

Il est pour le surplus sans objet, s’agissant des recherches de prix (consid. 3a), et rejeté pour le surplus (consid. 3b).

Vu l'art. 27 LInfo, le présent arrêt sera rendu sans frais. Dans la mesure où l'autorité intimée ne l'emporte pas, il n'est pas alloué de dépens (art. 55 LPA-VD).

 

Par ces motifs
la Cour de droit administratif et public
du Tribunal cantonal
arrête:

 

I.                       Le recours est partiellement admis.

II.                      La décision de la Municipalité de ******** du 20 janvier 2025, relative à la demande d'information présentée par A.________ le 29 novembre 2024, est annulée, le dossier lui étant renvoyé pour nouvelle décision dans le sens des considérants.

III.                    Il n'est pas prélevé d'émolument, ni alloué de dépens.

 

Lausanne, le 29 septembre 2025

 

Le président:                                                                                            La greffière:        


                                                                                                                 

 

 

 

Le présent arrêt est communiqué aux participants à la procédure.

Il peut faire l'objet, dans les trente jours suivant sa notification, d'un recours au Tribunal fédéral (Tribunal fédéral suisse, 1000 Lausanne 14). Le recours en matière de droit public s'exerce aux conditions des articles 82 ss de la loi du 17 juin 2005 sur le Tribunal fédéral (LTF - RS 173.110), le recours constitutionnel subsidiaire à celles des articles 113 ss LTF. Le mémoire de recours doit être rédigé dans une langue officielle, indiquer les conclusions, les motifs et les moyens de preuve, et être signé. Les motifs doivent exposer succinctement en quoi l’acte attaqué viole le droit. Les pièces invoquées comme moyens de preuve doivent être jointes au mémoire, pour autant qu’elles soient en mains de la partie; il en va de même de la décision attaquée.