TRIBUNAL CANTONAL

COUR DE DROIT ADMINISTRATIF ET PUBLIC

Arrêt du 16 juin 2025

Composition

M. Pascal Langone, président; M. Etienne Poltier, juge suppléant, et M. Guy Dutoit, assesseur; Mme Fabia Jungo, greffière.

Recourant

A.________, à ********,

Autorité intimée

Municipalité de Vevey, représentée par Me Pascal NICOLLIER, avocat à Vevey.

Objet	Loi sur l'information
	Recours A.________ c/ décision de la Municipalité de Vevey du 5 février 2025 refusant de communiquer des informations sur la cyberattaque de 25 (22) janvier 2025 (LInfo).

Vu les faits suivants:

A. A.________ est actif dans la société B.________, qui opère dans le domaine de l'informatique, ce qui l'amène à s'intéresser notamment à la gestion des services informatiques de la commune de Vevey (ci-après aussi: la commune). Se fondant sur la loi vaudoise du 24 septembre 2002 sur l'information (LInfo; BLV 170.21), il a présenté diverses demandes d'information dans ce domaine auprès de la commune.

B. La presse s'est faite l'écho, en date du 21 janvier 2025, de diverses cyber-attaques ayant eu pour cibles les sites Internet de plusieurs collectivités publiques romandes (Genève, Cologny et Sierre); le site de la commune Vevey a également été touché, ainsi que le portail de la Confédération pour l'achat de la vignette électronique. L'attaque, selon la presse, était de de type DDoS (Distributed Denial of Service); il s'agit d'une cyber-attaque ciblée où un site web, un serveur ou un réseau est surchargé par des demandes massives, rendant les portails inaccessibles pour les utilisateurs réguliers; lors d'une telle attaque, il n'y a pas de fuite de données.

En lien avec cette cyber-attaque ,A.________, a adressé une demande d'accès à la commune de Vevey, en date du 22 janvier 2025, portant sur les documents suivants:

"1. Le rapport technique décrivant la nature de l'attaque et son impact.

2. Des précisions concernant l'hébergement du site Internet, en particulier les changements récents mentionnés dans l'offre C.________ 10-2023020 du 25.04.2023, laquelle indique une migration vers un serveur géré par la commune de Vevey.

3. Les mesures mises en place ou envisagées pour renforcer la sécurité informatique.

4. Le coût des actions correctives entreprises".

C. Par décision du 5 février 2025, la Municipalité de Vevey, s'appuyant sur l'art. 16 al. 2 let. b LInfo, a rejeté la requête, en motivant sa décision comme suit:

"Pour des raisons évidentes de sécurité informatique, la Ville de Vevey n'entend donc pas communiquer sur les aspects techniques décrivant la nature de l'attaque et son impact. De même, elle ne fournira pas d'information sur la migration de ses serveurs ou sur les mesures mises en place pour renforcer la sécurité. Quant au coûts des actions correctives, ils ne sont pas encore connus et seront intégrés quoi qu'il en soit dans les comptes communaux en temps opportun."

D. Par acte du 28 février 2025, A.________ a recouru devant la Cour de droit administratif et public du Tribunal cantonal (ci-après: CDAP) contre cette décision; il conclut en substance à ce que la transmission des documents demandés soit ordonnée, sous réserve de caviardage, voire d'une stricte limitation aux seules informations nécessaires à la protection de la sécurité publique. Son mémoire comportait en outre quelques précisions sur les documents et informations demandés.

Dans sa réponse du 2 avril 2025, l'autorité intimée a conclu avec dépens au rejet du recours.

Le 15 avril 2025, le recourant a complété ses moyens, tout en confirmant ses conclusions.

Considérant en droit:

1. a) A teneur de l'art. 26 LInfo, les autorités communales statuent sur les demandes concernant leurs activités; elles le font par le biais de décisions. L'art. 24 LInfo prévoit, à son al.1, que la procédure de recours devant le Tribunal cantonal est rapide, simple et gratuite. Quant à son al. 3, il prévoit que la loi vaudoise du 28 octobre 2008 sur la procédure administrative (LPA-VD; BLV 173.36) est applicable aux décisions rendues en vertu de la présente loi, ainsi qu'aux recours contre dites décisions. Il en découle que les décisions des municipalités, rendues en application de l'art. 26 LInfo sont susceptibles de recours à la CDAP (art. 92 LPA-VD).

b) Le recourant, destinataire de la décision lui refusant l'accès au document demandé, auquel il prétend avoir droit, a la qualité pour recourir (art. 75 al. 1 let. a LPA-VD). Le recours a de plus été formé dans le délai (art. 95 LPA-VD) et le respect des formes prescrites (art. 79 et 99 LPA-VD). Il y a partant lieu d'entrer en matière.

c) L'autorité intimée a formulé diverses réquisitions d'instruction. Compte tenu de l'issue du pourvoi, il n'y a pas lieu de donner suite à ces réquisitions.

2. Comme on l'a vu, le litige concerne une cyber-attaque. On rappelle ici en premier lieu le cadre légal, soit le régime découlant de la LInfo (let. a à e), tout en fournissant quelques éléments au sujet de l'évolution législative relative à la sécurité de l'information et des données, notamment sur le plan du droit fédéral (let. f).

a) Selon son art. 1, la LInfo a pour but de garantir la transparence des activités des autorités afin de favoriser la libre formation de l'opinion publique (al. 1); à cette fin, elle fixe les principes, les règles et les procédures liées à l'information du public et des médias sur l'activité des autorités, s'agissant notamment de l'information transmise sur demande (al. 2 let. b).

Concernant les informations transmises sur demande et comme déjà évoqué, l'art. 8 LInfo pose le principe selon lequel les renseignements, informations et documents officiels détenus par les organismes soumis à la présente loi sont accessibles au public (al. 1), sous réserve des cas décrits au chapitre IV (art. 15 à 17 LInfo) (al. 2).

b) Aux termes de l'art. 9 al. 1 LInfo, on entend par document officiel tout document achevé, quel que soit son support, qui est élaboré ou détenu par les autorités, qui concerne l'accomplissement d'une tâche publique et qui n'est pas destiné à un usage personnel. Ces conditions sont cumulatives (CDAP GE.2018.0105 du 25 juillet 2019 consid. 3a, qui se réfère notamment à l'Exposé des motifs et projet de loi [EMPL] sur l'information, BGC septembre-octobre 2002, p. 2647 ad art. 9). Selon l'art. 9 al. 2 LInfo, les documents internes, notamment les notes et courriers échangés entre les membres d'une autorité collégiale ou entre ces derniers et leurs collaborateurs, sont exclus du droit d'information institué par la présente loi.

c) S'agissant des limites à l'accessibilité des renseignements, informations et documents officiels réservées par l'art. 8 al. 2 LInfo, l'art. 16 LInfo prévoit en particulier ce qui suit:

"Art. 16 Intérêts prépondérants

¹ Les autorités peuvent à titre exceptionnel décider de ne pas publier ou transmettre des informations, de le faire partiellement ou différer cette publication ou transmission si des intérêts publics ou privés prépondérants s'y opposent.

² Des intérêts publics prépondérants sont en cause lorsque :

a. la diffusion d'informations, de documents, de propositions, d'actes et de projets d'actes est susceptible de perturber sensiblement le processus de décision ou le fonctionnement des autorités;

b. une information serait susceptible de compromettre la sécurité ou l'ordre publics;

[…]

d. les relations avec d'autres entités publiques seraient perturbées dans une mesure sensible.

[…]"

Selon l'art. 17 LInfo, le refus de communiquer un renseignement ou un document conformément à l'art. 16 ne vaut le cas échéant que pour la partie du renseignement ou du document concerné par cet article et tant que l'intérêt public ou privé prépondérant existe (al. 1); l'organisme sollicité s'efforce de répondre au moins partiellement à la demande, au besoin en ne communiquant pas ou en masquant les renseignements ou les parties d'un document concernés par l'intérêt public ou privé prépondérant (al. 2).

d) D'une façon générale, l'art. 16 LInfo doit être interprété de façon similaire à l'art. 7 de la loi fédérale du 17 décembre 2004 sur la transparence (LTrans; RS 152.3). Le refus d'accès (total ou partiel) doit ainsi se justifier par un risque à la fois important et sérieux d'atteintes aux intérêts publics ou privés prépondérants protégés par cette disposition; l'application de ces exceptions, restrictive, doit résulter d'une pesée des intérêts et respecter le principe de la proportionnalité. Le fardeau de la preuve pour réfuter la présomption de publicité établie par la LInfo est à la charge de l'autorité (CDAP GE.2019.0010 du 4 octobre 2019 consid. 4a et les références).

S'agissant en particulier de l'hypothèse prévue par l'art. 16 al. 2 let. b LInfo en lien avec le risque de compromission de la sécurité ou de l'ordre publics, c'est dans chaque cas d'espèce que les autorités doivent déterminer si les conditions en sont réunies, étant précisé que ce motif doit rester l'exception et non pas se transformer en règle; le dommage pour la sécurité ou l'ordre publics doit ainsi être suffisamment grave et exceptionnel pour justifier la non-diffusion d'une information sous motif d'intérêt public prépondérant (cf. EMPL précité, p. 2656 ad art. 16 al. 2 let. b LInfo). Cette exception peut être invoquée si deux conditions sont réalisées: les documents doivent concerner la sécurité ou l'ordre publics, d'une part, et leur communication doit présenter un risque de mise en danger de la sécurité ou de l'ordre publics, d'autre part (cf. Bastien von Wyss, Droit d'accès aux documents officiels: comparaison et étude de la mise en œuvre de quatre lois sur la transparence en Suisse, Mémoire de Master 2011, p. 47).

e) Dans l'arrêt GE.2019.0010 précité, la cour de céans a eu l'occasion de se prononcer sur le bien-fondé d'une décision du Département des infrastructures et des ressources humaines (DIRH) refusant notamment au recourant l'accès à un document intitulé "Actis COPIL du 23 mai 2017" (qualifié de "procès-verbal de la séance du 23 mai 2017 du COPIL ACTIS" par les parties), savoir une présentation sous forme de diapositives visant à assurer un suivi du développement de la plateforme ACTIS (cf. consid. 3b de cet arrêt). L'autorité intimée avait justifié son refus par le fait que la diffusion de ce document était susceptible de déboucher sur une intrusion malveillante ou un détournement de l'utilisation informatique ACTIS, soit sur un piratage, invoquant dans ce cadre - comme dans le cas d'espèce (cf. let. B supra) - une atteinte aux intérêts publics prépondérants mentionnés à l'art. 16 al. 1 (recte: al. 2) let. a, b et d LInfo; le tribunal a retenu en particulier ce qui suit à ce propos (cf. consid. 4b de cet arrêt):

"bb) Il est notoire que les logiciels informatiques comportent inévitablement des points faibles, des vulnérabilités, qui pourraient être exploitées par une personne malintentionnée pour empêcher l'utilisation du logiciel conformément à son but ou pour utiliser le logiciel à des fins non conformes à son but. Le recourant […] part […] du principe qu'il n'y a plus d'intérêt public prépondérant au secret lorsque les vulnérabilités découvertes ont été comblées. Cette approche est erronée. Il y a au contraire un intérêt public prépondérant à ce que les vulnérabilités d'un logiciel informatique utilisé par l'administration ne soient pas communiquées à l'extérieur. Il n'importe pas que l'autorité ait considéré à raison ou à tort que la vulnérabilité a été comblée. En effet, l'information du public sur des vulnérabilités apparemment comblées peut indiquer à un tiers malintentionné une zone sensible d'un logiciel et faciliter l'exploitation d'une vulnérabilité insuffisamment comblée ou d'une autre vulnérabilité annexe.

Demeure réservée l'hypothèse dans laquelle les vulnérabilités d'un logiciel seraient susceptibles d'être la cause d'une atteinte aux droits fondamentaux ou aux droits politiques de la personne demandant accès. Le recourant ne soutient toutefois pas que tel serait le cas de la plateforme ACTIS.

[…]

dd) Au vu de ce qui précède, c'est à juste titre que l'autorité intimée a estimé qu'il y a[vait] un intérêt public prépondérant s'opposant à la communication des vulnérabilités du logiciel ACTIS présentées dans le procès-verbal de la séance du 23 mai 2017 du COPIL ACTIS."

f) Dans le souci d'être complet, on ajoutera que le droit fédéral prévoit, depuis le 1^er avril 2025, une obligation d'annonce des cyber-attaques à charge des infrastructures critiques.

aa) Le Parlement fédéral a en effet adopté, le 18 décembre 2020, la loi fédérale sur la sécurité de l'information au sein de la Confédération (ci-après: LSI; RS 128). A teneur de son art. 3, cette loi ne s'applique que de manière limitée aux cantons (notamment lorsque ceux-ci accèdent à des moyens informatiques de la Confédération); elle s'applique en outre aux organisations de droit public ou privé qui exploitent des infrastructures critiques; si elles ne sont pas visées par l'art. 2 al. 1 à 3 LSI, elles ne sont alors soumises qu'aux art. 74 à 80 LSI (art. 2 al. 5 LSI). Les art. 74 ss LSI régissent les infrastructures critiques; l'art. 74, en particulier, prévoit que la Confédération apporte son soutien aux exploitants de telles infrastructures; ce soutien prend diverses formes et porte notamment sur l'identification et l'évaluation des menaces en matière de sécurité de l'information, ainsi que sur le maintien et le rétablissement de cette sécurité après un incident (au sein de la Confédération, un service national est chargé de ces tâches). L'art. 76 LSI, sous le titre marginal "Coopération sur le plan national", prévoit notamment que les exploitants d'infrastructures critiques peuvent communiquer au Service fédéral en charge "des données liées à des incidents, y compris des données personnelles".

bb) Le 29 septembre 2023, la LSI a fait l'objet d'une révision pour renforcer le dispositif légal de lutte contre les cyber-attaques visant les infrastructures critiques; cette modification est entrée en vigueur le 1^er avril 2025. Elle comporte de nouvelles dispositions aux art. 73a ss LSI. Elle prévoit désormais, notamment, une obligation de signaler les cyber-attaques à charge des infrastructures critiques, soit notamment à charge des autorités communales (voir à ce sujet art. 74a, qui pose le principe de cette obligation, et l'art. 74b al. 1 let. b; l'art. 74b al. 1 énonçant au demeurant les différentes organisations assujetties à l'obligation d'annoncer). Ces dispositions sont complétées par l'Ordonnance du Conseil fédéral sur la cybersécurité (OCys; RS 128.51); c'est l'Office fédéral de la cybersécurité qui est ainsi chargé désormais de recevoir les annonces de cyber-attaques, de les analyser et d'en assurer le suivi (art. 4 ss OCys). Cet office est chargé plus généralement d'offrir son soutien en cette matière aux autorités de la Confédération et des cantons (art. 7 OCys).

cc) A teneur de l'art. 4 al. 1 LSI, la LTrans prime la présente loi (i.e. la LSI). Cependant, l'al. 1bis (fruit de la novelle entrée en vigueur le 1^er janvier 2025), les informations provenant de tiers dont l'Office fédéral de la cybersécurité prend connaissance dans son activité de réception et d'analyse des signalements, conformément aux art. 73a ss LSI "ne peuvent être rendus accessibles en vertu de la LTrans". En d'autres termes, les informations que les infrastructures critiques transmettent à l'Office fédéral précité en lien avec des cyber-attaques doivent être traitées de manière confidentielle (sur les rapports entre la LSI et la LTrans, voir notamment Pauline Meyer/Sylvain Métille, Loi fédérale sur la sécurité de l'information: version 2.0, in: newsletter du 5 septembre 2022, spécialement n° 28 et 43 s.; voir aussi Métille/Meyer, in: Meier/Métille, édit., Commentaire romand de la loi fédérale sur la protection des données, art. 24, N 64 ss, au sujet de la relation entre les signalements à l'Office fédéral de la cybersécurité et celui affaires au Préposé fédéral à la protection des données).

dd) On retient ainsi des dispositions de la LSI en vigueur au 1^er avril 2025 que l'autorité intimée aurait été soumise à une obligation de signalement de la cyber-attaque ici en cause, si elle avait eu lieu à une date postérieure; elle s'est déroulée cependant en janvier 2025, de sorte qu'elle échappe à ces dispositions. Néanmoins, l'autorité intimée avait, sous l'empire de la LSI en vigueur auparavant, la faculté de communiquer à l'autorité fédérale au sujet de cet évènement. Quoi qu'il en soit, il résulte de l'art. 4 al. 1bis LSI, dans sa nouvelle teneur, que l'Office fédéral de la cybersécurité n'est pas soumis à la LTrans en relation avec un tel signalement; autrement dit, le droit fédéral permet à cet office de traiter ces informations – et le suivi de celles-ci – de manière confidentielle.

3. Il demeure que le présent litige concerne l'application de la LInfo et non un éventuel droit d'accès auprès des autorités fédérales fondé sur la LTrans. Il n'est d'ailleurs pas contesté que les activités de l'autorité intimée dans le domaine informatique (en l'occurrence la gestion du site de cette ville) entrent dans le champ d'application de la LInfo. Il demeure que, conformément à la systématique de cette loi, des exceptions à la transmission peuvent être opposées au requérant en présence d'intérêts prépondérants, publics ou privés. L’autorité requise doit ainsi procéder à une pesée d'intérêts entre l'intérêt public à la diffusion de l'information et les intérêts opposés, soit notamment l'existence d'un intérêt public au refus de renseigner. Cette pesée peut conduire à un refus pur et simple, à une remise partielle des documents (ou renseignements) demandés, voire à différer la transmission (art. 16 al. 1 et 17 LInfo).

a) aa) L'information relative à une cyber-attaque, en soi, présente un intérêt public, par exemple lorsque celle-ci entraîne des perturbations plus ou moins graves dans le fonctionnement de services publics. En outre, lorsque la cyber-attaque a pour conséquence des fuites de données personnelles, il y a un intérêt individuel, correspondant sans doute à un intérêt public également, à ce que les personnes concernées soient informées (sur ces points, voir notamment art. 73c et 73d LSI, qui s'appliquent désormais aux autorités communales).

bb) Toutefois, il convient de prendre en compte également, en sens contraire, un intérêt public à la confidentialité des données recueillies autour de cyber-attaques, et notamment des rapports et analyses effectués à ce propos. L'art. 4 al. 1bis LSI le prévoit d'ailleurs expressément.

Cela étant, dans la mesure où cette disposition, entrée en vigueur le 1^er avril 2025 n'est de toute façon pas applicable par l'autorité intimée dans le cadre de la LInfo, force est pour cette dernière de procéder à une pesée d'intérêts, conformément à l'art. 16 al. 1 LInfo.

On peut préciser à ce propos que l'intérêt public ici en cause a trait à la sécurité de l'information. Cependant, ce thème est appréhendé de manière différente en droit fédéral et en droit vaudois. La portée de ce principe est en effet précisée à l'art. 6 LSI et il couvre des exigences de confidentialité, de disponibilité, d'intégrité et de traçabilité (voir art. 6, spéc. al. 2 LSI). S'agissant du droit vaudois, ce principe est énoncé dans la loi vaudoise du 11 septembre 2007 sur la protection des données personnelles (LPrD; BLV 172.65); ainsi, à teneur de l'art. 10 LPrD, le responsable du traitement prend les mesures appropriées pour garantir la sécurité des fichiers et des données personnelles, soit notamment contre leurs pertes, leurs destructions, ainsi que tout traitement illicite. Cette disposition exprime ainsi surtout un intérêt public en lien avec la protection de données personnelles; autrement dit, l'intérêt public à la disponibilité des informations diffusées par un site, tel que celui de l'autorité intimée, n'est pas pris en compte à l'art. 10 LPrD – contrairement à ce qui prévaut dans le cadre de la LSI. Il n'en demeure pas moins que l'autorité intimée est tout à fait habilitée à prendre en compte cet aspect de disponibilité au titre de l’intérêt public dans la pesée des intérêts à laquelle elle procède dans le cadre de l'art. 16 al. 2 let. b LInfo.

cc) Il en découle que l'autorité intimée, lorsqu'elle a été saisie de la requête du recourant en lien avec la cyber-attaque de janvier 2025, était habilitée à donner à l'intérêt public à la confidentialité du traitement de la cyber-attaque en cause un poids prépondérant par rapport à l'intérêt public à la diffusion des informations qui s'y rapportaient. Ce faisant, l'autorité intimée ne faisait que suivre l'exemple adopté par le législateur fédéral lui-même.

dd) Il en découle que le recours, mal fondé dans son principe, doit être rejeté.

b) Ce résultat de principe doit d'ailleurs être confirmé au regard des différents documents ou informations plus précises requises par le recourant (dans sa demande, précisée par son recours). En effet, on a vu que les réactions de l'autorité communale à la suite d'une cyber-attaque devaient être traités de manière confidentielle; cela vaut pour le rapport technique décrivant la nature de l'attaque et son impact; il en va de même des mesures mises en place ou envisagées pour renforcer la sécurité informatique ou encore les éventuelles vulnérabilités créées par une migration vers un serveur géré par l'autorité intimée, à la suite de la reprise par l'entreprise C.________ du mandat de gestion du site de la Ville. Enfin, la question du coût des actions correctives entreprises, qui ne sont sans doute pas encore achevées, pourra être traitée dans le cadre des comptes de la commune, à une date ultérieure, sans doute en 2026; en d’autres termes, la demande apparaît sur ce dernier point prématurée.

4. Il découle des considérations qui précèdent que le recours doit être rejeté. Vu la gratuité de la procédure, le présent arrêt doit être rendu sans frais. En revanche, le recourant, qui succombe, doit verser une indemnité de dépens à la commune de Vevey (art. 27 LInfo et 55 LPA-VD).

Par ces motifs
la Cour de droit administratif et public
du Tribunal cantonal
arrête:

I. Le recours est rejeté.

II. La décision rendue le 5 février 2025 par la Municipalité de Vevey, rejetant la requête de A.________ en lien avec une cyber-attaque, est confirmée.

III. Il n'est pas prélevé d'émolument.

IV. A.________ versera à la commune de Vevey une indemnité de 1'000 (mille) francs à titre de dépens.

Lausanne, le 16 juin 2025

Le président: La greffière:

Le présent arrêt est communiqué aux participants à la procédure.

Il peut faire l'objet, dans les trente jours suivant sa notification, d'un recours au Tribunal fédéral (Tribunal fédéral suisse, 1000 Lausanne 14). Le recours en matière de droit public s'exerce aux conditions des articles 82 ss de la loi du 17 juin 2005 sur le Tribunal fédéral (LTF - RS 173.110), le recours constitutionnel subsidiaire à celles des articles 113 ss LTF. Le mémoire de recours doit être rédigé dans une langue officielle, indiquer les conclusions, les motifs et les moyens de preuve, et être signé. Les motifs doivent exposer succinctement en quoi l’acte attaqué viole le droit. Les pièces invoquées comme moyens de preuve doivent être jointes au mémoire, pour autant qu’elles soient en mains de la partie; il en va de même de la décision attaquée.