Lexipedia

Décision

GE.2013.0017

CDAP - GE.2013.0017 - 2015-05-22 - X.________ c/Centre social régional de Lausanne, Bureau de la préposée à la protection des données

22 mai 2015Français33 min

Source vd.ch

Faits

Vu les faits suivants

A.

X.________ a été mis au bénéfice du revenu d'insertion (RI) à compter du

1er janvier 2006, après avoir bénéficié de l'aide sociale vaudoise

(ASV).

B.

Le 28 novembre 2011, la cheffe d'unité du Centre social régional (CSR)

de Lausanne a adressé à X.________ un avertissement en raison d'un comportement

qualifié de "irrespectueux et agressif" qu'il aurait eu envers la

gestionnaire de prestation RI d'une tierce personne (une de ses proches, avec

qui il partageait alors la même adresse).

X.________ a vivement contesté cet avertissement

dans des courriers et courriers électroniques adressés à la cheffe d'unité du

CSR les 28 novembre et 17 décembre 2011, respectivement au chef du Service

social de la ville de Lausanne les 28 décembre 2011, 6 janvier, 9 août, 8

septembre et 22 septembre 2012. Il soutenait en substance que cet avertissement

était fondé sur des propos mensongers et requérait, en particulier, son

annulation immédiate, le cas échéant qu'une décision formelle motivée soit

rendue sur ce point.

Dans leurs réponses respectives à ces différentes écritures,

la cheffe d'unité du CSR et le chef du Service social de la ville de Lausanne

ont refusé d'annuler l'avertissement en cause, étant pour le reste précisé que

les avertissements ne faisaient pas l'objet de décisions formelles. En

particulier, le chef de Service social de la ville de Lausanne a formellement

refusé le 8 octobre 2013 de revenir sur le courrier d'avertissement du 28

novembre 2011.

Par décision du 4 novembre 2013, le Service de

prévoyance et d'aide sociales (SPAS) a déclaré le recours formé par X.________

contre ce refus irrecevable, au motif que la lettre du 8 octobre 2013 n'était

pas une décision. Le recours formé par l'intéressé contre cette dernière

décision a été rejeté par arrêt GE.2013.020 rendu le 27 novembre 2013 par la Cour de droit administratif et public (CDAP) du Tribunal cantonal.

C.

Parallèlement, X.________ a déposé plainte pénale contre la cheffe

d'unité du CSR et la gestionnaire de prestation RI concernée pour calomnie ou

diffamation. En référence à cette procédure, il a relevé par courrier

électronique adressé le 5 décembre 2012 au chef du Service social de la ville

de Lausanne qu'il avait eu la "stupéfaction" de constater que son

dossier avait été transmis au procureur; il se plaignait en outre de la teneur

d'un extrait du journal RI le concernant.

Par courrier électronique du 13 décembre 2012, le

chef du Service social de la ville de Lausanne a notamment informé X.________

qu'il acceptait de retirer de son journal RI la mention dont il se plaignait,

ceci "par gain de paix uniquement".

Par courrier électronique adressé notamment au

chef du Service social de la ville de Lausanne le 30 janvier 2013, X.________ a

exposé en particulier ce qui suit:

"Objet: Journaux

RI et AS

[…]

Au cours d'une entrevue en date du

21 ct, j'ai formellement interpellé M. Y.________, Chef d'unité au sujet de

l'objet cité sous rubrique.

A cet égard, j'ai notamment requis

la base légale […] qui - à votre sens -

autorise l'exploitation de bases de données contenant des données qualifiées de

sensibles au sens de l'art. 4 al. 1 ch. 2 LPrD [loi

vaudoise du 11 septembre 2007 sur la protection des données; RSV 172.65].

Mon interlocuteur qui ne disposait

pas de l'information requise m'a néanmoins assuré que ma demande serait

immédiatement transmise à M. Z.________, Chef de service pour suite utile.

N'ayant à ce jour toujours pas

reçu le renseignement demandé, il ne semble pas déraisonnable d'affirmer

qu'aucune base légale digne de protection n'existe en la matière et partant que

l'exploitation de ces deux bases de données demeure illégale.

Fort de ce constat, je requiers […] qu'il vous plaise détruire immédiatement

les données litigieuses et que vous m'en confirmiez sans délai l'exécution.

[…]

Il va de soi qu'en l'absence de loi au sens formel […], vous n'êtes pas autorisé à poursuivre l'exploitation des

bases de données querellées."

Par courrier électronique du 31 janvier 2013, le

chef du Service social de la ville de Lausanne a répondu ce qui suit:

"Notre métier est de garantir

le minimum vital aux personnes sans ressources, d'une part, d'aider ces

personnes à regagner leur autonomie, d'autre part.

Dans l'exercice de ce métier, nous

tenons un journal de chacune de nos interventions (un journal de l'aide

financière et un journal de l'appui social). Cela permet à nos collaborateurs

de se remémorer la situation d'un bénéficiaire avant un entretien par exemple.

Il est vrai qu'il n'y a pas d'article de loi qui l'autorise expressément, de

même qu'aucune loi n'autorise les pompiers à utiliser de l'eau pour éteindre un

incendie, ou les balayeurs à utiliser un balai pour nettoyer les trottoirs.

Notre société laisse chacun exercer son métier selon les règles de l'art, dans

les limites du droit bien sûr. Nous tenons des fichiers de données personnelles

et sensibles, assurément, parce que cela est indispensable à notre travail, et

nous le faisons en conformité de la législation.

Il est donc hors de question que

nous détruisions le journal (ou les journaux) de nos interventions en votre

faveur."

D.

X.________ a contesté ce "refus de destruction de données sensibles

collectées et traitées en l'absence de base légale" par acte adressé à la CDAP le 31 janvier 2013, faisant en substance valoir ce qui suit:

"[…] dans la mesure où ces fichiers informatiques contiennent

essentiellement des données sensibles (ndr: des informations relatives à l'aide

sociale certes mais également et surtout des informations de police, inhérentes

à des procédures pénales en cours, à des procédures auprès de la Justice de paix, à des problèmes familiaux, à des données soumises au secret médical, etc.), je

requiers respectueusement qu'il vous plaise ordonner la destruction des

journaux litigieux et interdire la poursuite et l'exploitation desdites bases

de données.

J'ajoute enfin que les données

susdésignées ne sont d'aucune utilité au bon fonctionnement du suivi des

dossiers des bénéficiaires du Revenu d'insertion (RI) et que ces dernières ne

peuvent qu'occasionner des préjugés malsains auprès des nombreux lecteurs

potentiels ayant accès à cette application informatique illégale. En d'autres

termes et vous l'aurez aisément compris, les données querellées sont - de par

leur teneur - trop souvent attentatoires à la liberté personnelle, à la

présomption d'innocence et à la personnalité des personnes prétendument concernées."

Interpellé, le recourant a précisé par écriture du 9

février 2013 qu'il n'avait reçu, à titre de "décision", que le

courrier électronique du chef du Service social de la ville de Lausanne du 31

janvier 2013; il relevait que si ce courrier électronique ne remplissait pas

les conditions légales d'une décision formelle, une annulation pour ce motif

aurait pour unique conséquence un allongement de la procédure, et requérait,

par économie de procédure et dans la mesure où il n'avait pas été entravé dans

ses droits par ces "manquements", qu'il soit entré en matière sur son

recours. L'intéressé a encore développé ses motifs par écriture du 2 mars 2013,

précisant notamment que son recours portait exclusivement sur les bases de

données intitulées journal RI et journal AS, dont l'exploitation était à son

sens illicite.

Dans sa réponse du 14 mars 2013, l'autorité intimée a en substance estimé que la "communication" par courrier

électronique du 31 janvier 2013 n'était "pas susceptible de recours direct

devant le Tribunal cantonal".

Le recourant a déposé ses observations

complémentaires par écriture du 19 mars 2013. Le 9 août 2013, il a notamment

requis qu'interdiction soit faite au CSR de collecter "ce type de données

sensibles" et de "perdurer à alimenter ces deux bases de données

illicites", en référence à l'effet suspensif au recours; il a réitéré

cette requête par écriture du 21 août 2013.

L'autorité intimée a relevé par écriture du 12

septembre 2013 qu'au vu du nombre de dossiers que les gestionnaires de

prestations et autres assistants sociaux avaient à traiter (environ 90 par

collaborateur en l'état), il serait impossible aux intéressés de se rappeler du

détail de chaque situation, raison pour laquelle les "éléments importants

pour le traitement du dossier" figuraient dans les journaux litigieux; en

outre, dans la mesure où la plupart des acteurs du CSR collaboraient sur les

dossiers, il était indispensable que les informations puissent être recensées

et partagées - étant précisé que les journaux n'étaient accessibles qu'aux

employés du CSR concerné, les autres CSR du canton n'ayant pas accès à cette

base de données.

E.

Invité à se déterminer sur le recours en tant qu'autorité concernée, le

Préposé à la protection des données et à l'information (le Préposé) a exposé en

particulier ce qui suit par écriture du 21 octobre 2013:

"Les missions des centres

sociaux régionaux (CSR) sont énumérées en particulier à l'article 18 de la loi

du 2 décembre 2003 sur l'action sociale vaudoise (LASV; 850.51). Les CSR assurent

notamment le suivi des personnes bénéficiant du revenu d'insertion (RI). On

peut admettre que pour le permettre, il est important de disposer

d'informations sur les actions qui ont été accomplies dans ce cadre. Le

principe même d'un journal permettant de centraliser ce type d'informations

paraît par conséquent admissible, même en l'absence de base légale formelle

expresse. Au vu du type d'informations concernées, il serait toutefois

souhaitable que la loi soit plus précise que ce qu'elle est actuellement.

Se pose encore la question de la

proportionnalité des données traitées. Les journaux litigieux contiennent-ils

seulement des informations absolument nécessaires à l'accomplissement de la

tâche légale de l'autorité intimée? En l'état des informations dont nous

disposons, il ne nous est pas possible de nous déterminer sur ce point. Si

certaines données traitées ne devaient pas répondre au critère de nécessité,

une destruction de ces données devrait être envisagée. S'agissant de données

licites, le recourant étant encore bénéficiaire du RI, et en conséquence suivi

par l'autorité intimée, une destruction des données ne nous paraît pas devoir

être ordonnée."

Interpellée, l'autorité intimée a indiqué par

écriture du 7 novembre 2013 qu'après avoir soigneusement examiné les informations

qui figuraient aux journaux AS et RI du recourant, elle estimait que ces

informations respectaient les principes de proportionnalité et d'absolue

nécessité. Sur requête du tribunal, elle a produit le 28 novembre 2013 un

extrait des journaux en cause; elle a par ailleurs produit sa directive interne

concernant le "traitement des données et gestion des dossiers", dans

sa teneur en vigueur depuis le 1er mars 2011, soulignant les exigences

prévues par cette directive s'agissant notamment de la confidentialité et de

l'accessibilité des données.

Par écriture du 3 décembre 2013, le recourant a

informé le tribunal que des "négociations transactionnelles" avaient

été menées en parallèle à la présente procédure, estimant que l'autorité

intimée peinait à déterminer si telle ou telle donnée sensible répondait au

critère de nécessité et se plaignant d'arbitraire; il a notamment produit une

copie des journaux RI et AS le concernant sur lesquels il avait indiqué, par le

biais d'annotations, les données dont il estimait qu'elles ne répondaient

"absolument pas au principe de proportionnalité en général et au critère

de nécessité en particulier".

Le 23 décembre 2013, l'autorité intimée a confirmé qu'aucun accord n'avait pu être trouvé dans le cadre de cet

"arrangement hors procédure". Elle a relevé qu'il apparaissait que le

recourant ne contestait plus l'existence même des bases de données, mais

uniquement le bien-fondé de certaines mentions y figurant, et fait part de ses

observations en lien avec certains éléments de fait y figurant et dont le

recourant contestait la véracité - en particulier en lien avec la

"problématique logement".

Invité à se déterminer sur la pertinence des

informations dont le recourant demandait la destruction, le Préposé a estimé

par écriture du 30 décembre 2013 que le traitement des données concernées par

l'autorité intimée répondait aux exigences découlant du principe de

proportionnalité, respectivement qu'il n'y avait à son sens pas de traitement

illicite dans le cas d'espèce.

Dans ses observations finales du 9 janvier 2014, le

recourant a notamment relevé qu'il n'apparaissait pas que le Préposé ait été

informé de l'intention de l'autorité intimée de créer et d'exploiter les bases

de donnée litigieuses, et s'est en substance plaint de l'absence de contrôle

dans ce cadre. Il a par ailleurs fait valoir qu'il allait de soi que les

données détruites dans les journaux RI et AS devaient l'être également dans

toutes les applications informatisées dans lesquelles elles étaient accessibles.

F.

Le tribunal a statué par voie de circulation.

Considérants

1.

Dans sa réponse du 14 mars 2013, l'autorité intimée a en substance soutenu que la "communication" du 31 janvier 2013 n'était pas

susceptible de recours direct devant le Tribunal cantonal.

a) L'art. 3 al. 1 de la loi vaudoise

du 28 octobre 2008 sur la procédure administrative (LPA-VD; RSV 173.36) définit

la décision comme il suit:

"Est

une décision toute mesure prise par une autorité dans un cas d'espèce, en

application du droit public, et ayant pour objet:

a. de créer, de modifier ou d'annuler des droits et obligations;

b. de constater l'existence, l'inexistence ou l'étendue de droits

et obligations;

c. de rejeter ou de déclarer irrecevables des demandes tendant à

créer, modifier, annuler ou constater des droits et obligations."

La décision est un acte de

souveraineté individuel, qui s'adresse à un particulier et qui règle de manière

obligatoire et contraignante, à titre formateur ou constatatoire, un rapport

juridique concret relevant du droit administratif (ATF 135 II 38 consid. 4.3;

121.

II 473 consid. 2a); en d'autres termes, elle constitue un acte étatique qui

touche la situation juridique de l'intéressé, l'astreignant à faire, à

s'abstenir ou à tolérer quelque chose, ou qui règle d'une autre manière

obligatoire ses rapports juridiques avec l'Etat (ATF 135 II 22 consid. 1.2; 121

I 173 consid. 2a). Ne sont pas assimilables à une décision l'expression d'une

opinion, la communication, la prise de position, la recommandation, le

renseignement, l'information, le projet de décision ou l'annonce de celle-ci,

car ils ne modifient pas la situation juridique de l'administré, ne créent pas

un rapport de droit entre l'administration et le citoyen, ni ne lui imposent

une situation passive ou active (cf. arrêt GE.2014.0201 du 21 janvier 2015

consid. 1a et les références).

b) Le chapitre VI de la loi vaudoise

du 11 septembre 2007 sur la protection des données personnelles (LPrD; RSV

172.

) porte sur les droits de la "personne concernée" - soit de

toute personne physique ou morale au sujet de laquelle les données sont

traitées (cf. art. 4 ch. 4 LPrD). Outre le droit de consulter les fichiers (cf.

art. 25 à 27 LPrD) et celui de s'opposer à leur communication (cf. art. 28

LPrD), il est prévu dans ce cadre à l'art. 29 LPrD que les personnes qui ont un

intérêt digne de protection peuvent exiger du "responsable du traitement"

- soit de la personne physique ou morale, de l'autorité publique, du service ou

de tout autre organisme qui, seul ou conjointement avec d'autres, détermine le

contenu, ainsi que les modalités du fichier (cf. art. 4 ch. 8 LPrD) - qu'il

(al. 1) s'abstienne de procéder à un traitement illicite de données (let. a),

supprime les effets d'un traitement illicite de données (let. b), constate le

caractère illicite d'un traitement de données (let. c) ou encore répare les

conséquences d'un traitement illicite de données (let. d); le cas échéant,

elles peuvent demander au responsable de traitement de (al. 2) rectifier,

détruire les données ou les rendre anonymes (let. a), respectivement de publier

ou communiquer à des tiers la décision ou la rectification (let. b).

Il résulte de l'art. 30 LPrD que pour

toute demande fondée sur la LPrD, notamment sur les art. 25 à 29 de cette loi,

le responsable du traitement rend une décision comprenant les motifs l'ayant

conduit à ne pas y donner suite (al. 1), dont il adresse une copie au Préposé

(al. 2). Selon l'art. 31 LPrD, l'administré peut recourir au Préposé, ou

directement au Tribunal cantonal (al. 1); au surplus, la LPA-VD est applicable aux décisions rendues en vertu de la LPrD ainsi qu'aux recours contre ces décisions

(al. 2).

c) En l'espèce, il s'impose de

constater que l'acte attaqué, soit le courrier électronique du 31 janvier 2013,

doit être considéré comme une décision, quand bien même il ne satisfait pas aux

exigences formelles prévues par la loi - faute en particulier de contenir une

signature et l'indication des voies de droit (s'agissant du contenu d'une

décision, cf. art. 42 LPA-VD) - et n'a pas été notifié conformément aux

exigences de

l'art. 44 LPA-VD. Par le biais de ce courrier électronique en effet, l'autorité

intimée, par l'intermédiaire du chef du Service social de la ville de Lausanne,

a manifesté sans équivoque son intention de ne pas entrer en matière sur la

demande du recourant du 30 janvier 2013 (cf. let. C supra), laquelle

tendait en substance à la destruction des bases de données le concernant (cf.

art. 29 al. 2 let. a LPrD) et à la cessation immédiate de l'exploitation de ces

bases de données (cf. art. 29 al. 1 let. a LPrD); dans la mesure où le

recourant pouvait raisonnablement considérer que l'autorité n'allait pas

revenir sur sa position, c'est à bon droit qu'il a recouru contre le courrier

électronique du 31 janvier 2013 qui constitue bien, sous l'angle matériel, une

décision (cf. pour comparaison arrêt GE.2008.0229 du 14 octobre 2009 consid.

2b) - étant précisé pour le reste que, quoi qu'en dise l'autorité intimée,

l'intéressé pouvait recourir directement au Tribunal cantonal (cf. art. 31 al.

1.

LPrD).

On se contentera pour le reste de relever que l'acte

attaqué contient les motifs ayant conduit l'autorité intimée à ne pas donner

suite à la demande du recourant (cf. art. 30 al. 1 LPrD), et que ce dernier a

lui-même requis qu'il soit entré en matière sur son recours nonobstant le fait

que l'acte attaqué ne respectait pas les exigences formelles d'une décision -

précisant expressément qu'il n'avait pas été entravé dans ses droits par ces

"manquements". Quant au Préposé, à qui une copie de la décision

aurait dû être adressée (cf. art. 30 al. 2 LPrD), il a été invité à participer

à la procédure en tant qu'autorité concernée et s'est déterminé sur le recours.

Dans ces conditions, il apparaît qu'une éventuelle violation du droit d'être

entendu du recourant aurait dans tous les cas été réparée en cours de procédure

et qu'il se justifie dès lors, par économie de procédure et comme le requiert

l'intéressé, d'entrer en matière sur le fond du litige (cf. pour comparaison

arrêt GE.2011.0176 du 27 avril 2012 consid. 1).

2.

Le litige porte sur le traitement par l'autorité intimée des données

contenues dans les journaux AS et RI du recourant.

a) Le droit au respect de la sphère privée au sens

de l'art. 13 al. 1 Cst., dont le champ d'application matériel concorde

largement avec celui de l'art. 8 CEDH, garantit notamment le droit de toute

personne au respect de sa vie privée et familiale; il protège l'identité, les

relations sociales et les comportements intimes de chaque personne physique,

l'honneur et la réputation (ATF 126 II 377 consid. 7). L'art. 13 al. 2 Cst.

détaille l'une des composantes de ce droit (ATF 128 II 259 consid. 3.2): il

prémunit l'individu contre l'emploi abusif de données qui le concernent et qui

ne sont pas accessibles au public (cf. ATF 135 I 198 consid. 3.1).

Les garanties de l'art. 13 al. 2 Cst. sont

concrétisées par la législation applicable en matière de protection des données

(cf. art. 1 de la loi fédérale du 19 juin 1992 sur la protection des données -

LPD; RS 235.1 -; ATF 131 II 413 consid. 2.6); dans ce cadre, l'art. 37 al. 1

LPD établit un standard minimum de protection des données que les cantons et

les communes doivent garantir lorsqu'ils exécutent le droit fédéral

(cf. ATF 137 I 167 consid. 3.2).

b) Sur le plan cantonal, l’art. 15 al. 2 de la Constitution du Canton de Vaud du 14 avril 2003 (Cst-VD; RSV 101.01) prévoit que toute

personne a droit au respect et à la protection de sa vie privée et familiale,

de son domicile, de sa correspondance et des relations établies par les

télécommunications (al. 1). Toute personne a le droit d'être protégée contre

l'utilisation abusive de données qui la concernent; ce droit comprend

(al. 2) la consultation de ces données (let. a), la rectification de celles qui

sont inexactes (let. b) ou encore la destruction de celles qui sont inadéquates

ou inutiles (let. c).

Ces principes sont concrétisés par la LPrD, qui vise à protéger les personnes contre l'utilisation abusive des données personnelles

les concernant (art. 1) et s'applique à tout traitement de données des personnes

physiques ou morales (art. 3 al. 1) par l'une des entités mentionnées à l'art.

3.

al. 2 LPrD - notamment par les personnes physiques et morales auxquelles le

canton ou une commune confie des tâches publiques, dans l'exécution desdites

tâches (let. e). L'art. 4 LPrD pose dans ce cadre, en particulier, les

définitions suivantes (s'agissant des définitions de la "personne

concernée" et du "responsable du traitement", cf. consid. 1b supra):

"1. Donnée

personnelle, toute information qui se rapporte à une personne identifiée

ou identifiable;

2.

Donnée sensible, toute donnée personnelle se

rapportant:

- aux

opinions ou activités religieuses, philosophiques, politiques ou syndicales,

ainsi qu'à une origine ethnique;

- à la sphère

intime de la personne, en particulier à son état psychique, mental ou physique;

- aux

mesures et aides individuelles découlant des législations sociales;

- aux

poursuites ou sanctions pénales et administratives.

[…]

5.

Traitement de données personnelles,

toute opération ou ensemble d'opérations effectuées ou non à l'aide de procédés

automatisés et appliqués à des données personnelles, notamment la collecte,

l'enregistrement, l'organisation, la conservation, l'adaptation ou la

modification, l'extraction, la consultation, l'utilisation, la communication,

la diffusion ou toute autre forme de mise à disposition, le rapprochement ou

l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction;

6.

Communication, fait de rendre

des données accessibles, notamment de les transmettre, les publier, autoriser

leur consultation ou fournir des renseignements;

7.

Fichier, tout ensemble

structuré de données personnelles accessibles selon des critères déterminés,

que cet ensemble soit centralisé, décentralisé ou réparti de manière

fonctionnelle ou géographique;

[…]"

c) Aux termes de l'art. 5 LPrD, les données

personnelles ne peuvent être traitées que si (al. 1) une base légale l'autorise

(let. a) ou leur traitement sert à l'accomplissement d'une tâche publique (let.

b). Les données sensibles ne peuvent être traitées que si (al. 2) une loi au

sens formel le prévoit expressément (let. a), l'accomplissement d'une tâche

clairement définie dans une loi au sens formel l'exige absolument (let. b) ou

la personne concernée y a consenti ou a rendu ses données accessibles à tout un

chacun (let. c).

Par ailleurs, les données ne doivent être traitées

que dans le but indiqué dans leur collecte, tel qu'il ressort de la loi ou de

l'accomplissement de la tâche publique concernée (art. 6 LPrD). Leur traitement

doit être conforme au principe de proportionnalité (art. 7 LPrD). Les entités

soumises à la LPrD s’assurent que les données personnelles traitées sont

exactes (art. 9 LPrD). Les données personnelles ne peuvent être communiquées

(au sens de l'art. 4 ch. 6 LPrD) qu'à certaines conditions (cf. art. 15 LPrD),

notamment lorsque le requérant établit qu’il en a besoin pour accomplir ses

tâches légales (al. 1 let. b).

d) En l'espèce, les griefs du recourant portent en

premier lieu sur les bases de données que constituent les journaux AS et RI en

tant que telles.

aa) Dans son acte de recours, l'intéressé conteste

ainsi l'existence même de ces bases de données, au motif qu'elles ne sont pas

prévues par une base légale formelle (cf. art. 5 al. 1 let. a et al. 2 let. a

LPrD).

Il apparaît toutefois que le traitement des données

en cause par l'autorité intimée se justifie en application de l'art. 5 al. 2

let. b LPrD, en tant qu'il y a lieu de retenir, comme l'a relevé le Préposé, qu'un

tel traitement est nécessaire à l'accomplissement de sa tâche - laquelle

consiste notamment à "assurer le suivi" de l'insertion des personnes

concernées (cf. art. 18 let. i de la loi vaudoise du 2 décembre 2003 sur

l'action sociale vaudoise - LASV; RSV 172.65). Dans ce cadre, l'autorité intimée

a exposé de façon convaincante qu'au vu du nombre de dossiers que les

gestionnaires de prestations et autres assistants sociaux avaient à traiter

(environ 90 par collaborateur), il serait impossible aux intéressés de se

rappeler du détail de chaque situation, respectivement que, dans la mesure où

la plupart des acteurs du CSR collaboraient sur les dossiers, il était

indispensable que les informations puissent être recensées et partagées. Le

principe même de bases de données permettant de centraliser les informations

réputées nécessaires doit dès lors être considéré comme admissible nonobstant

l'absence de base légale formelle - même si, comme le relève le Préposé, il

serait "souhaitable" que la loi soit plus précise que ce qu'elle est

actuellement. Dans la mesure où il a relevé en cours de procédure, par le biais

d'annotations sur des versions imprimées des journaux AS et RI, les données qui

à son sens ne répondaient absolument pas au principe de la proportionnalité

(cf. art. 7 LPrD) et au critère de nécessité (cf. art. 5 al. 2 let. b LPrD), le

recourant semble au demeurant avoir renoncé à contester l'existence même de ces

bases de données, et ne contester désormais que certaines des mentions qui y

figurent - dans le même sens, on relèvera notamment qu'il n'a pas réitéré sa

requête tendant à ce qu'interdiction soit faite à l'autorité intimée de

poursuivre le traitement des données durant la procédure après avoir pris

connaissance des déterminations du Préposé du 21 octobre 2013 (cf. let. E supra).

bb) Dans son écriture du 9 janvier 2014, le

recourant relève encore qu'il n'apparaît pas que l'autorité intimée aurait

informé le Préposé de son projet visant à constituer les bases de données

concernées, comme elle aurait dû le faire en application de l'art. 20 al. 1

LPrD, et se plaint de l'absence de contrôle par l'intéressé.

Ce grief ne résiste pas à l'examen, dans la mesure

où l'art. 20 al. 1 LPrD ne concerne que les "projets" visant à

constituer un "nouveau fichier". Or, il apparaît manifestement que le

traitement de données par l'autorité intimée est antérieur à l'entrée en

vigueur le 1er novembre 2008 de la LPrD, même sous la forme actuelle des journaux AS et RI (étant rappelé que la LASV est entrée en vigueur le 1er janvier 2006), et aucun élément au dossier ne permet de retenir que

les dispositions de l'ancienne loi du 25 mai 1981 sur les fichiers

informatiques et la protection des données personnelles (aLIPD, abrogée lors de

l'entrée en vigueur de la LPrD; cf. art. 44 LPrD) n'auraient pas été respectées;

on relèvera en particulier que l'autorité intimée a édicté une directive

interne concernant le traitement des données, dont elle a produit la version en

vigueur depuis le 1er mars 2011 en cours de procédure (cf. art. 16 al.

2.

aLIPD, dont il résulte que les entités qui exploitent un fichier doivent édicter

les règlements et directives nécessaires, dans les limites de leur autonomie). Pour

le reste, il s'impose de constater que la LPrD ne prévoit pas que l'ensemble des données traitées dans des fichiers par les différentes entités feraient

l'objet d'un contrôle par le Préposé - bien plutôt, il appartient le cas

échéant aux personnes concernées (au sens de l'art. 4 ch. 4 LPrD) de faire

valoir leurs droits tels que garantis par les art. 25 à 29 LPrD.

cc) Il convient pour le reste de relever à ce stade

que, comme déjà rappelé, l'autorité intimée a édicté une directive interne

relative au "traitement des données et gestion des dossiers"; il en

résulte en particulier ce qui suit:

"Protection

des données et secret de fonction

Les collaborateurs-rices sont

rendus attentifs au caractère sensible des données traitées par le SSL [Service social de Lausanne] et à la nécessité

de protéger ces données. En vertu du secret de fonction auquel ils-elles sont

astreints, ils-elles s'engagent par écrit, au moment de leur entrée en service

(à la demande de leur chef d'unité), à ne pas divulguer à des tiers non

autorisés les informations dont ils auraient connaissance dans l'exercice de

leur activité professionnelle. Voir à ce sujet la directive sur la transmission d'informations à

d'autres unités.

Données

traitées

Règle

générale

Les données traitées sont celles nécessaires

à l'exercice de la fonction professionnelle exercée.

Précisions

relatives au journal des interventions

1.

Le journal doit contenir toutes les données utiles à une prise

en charge adéquate et faciliter l'éventuelle transmission du dossier d'un-e

collaborateur-rice à un autre; on y signalera toute observation ou intervention

manifestement importante.

2.

Le journal doit contenir des informations factuelles, permettant

la connaissance nécessaire et suffisante au traitement du dossier. Il doit être

dépourvu de jugement de valeur et de diagnostics ne relevant pas des compétences

du service. […]

3.

Le journal est techniquement accessible à tous les

collaborateur-rices, mais seuls ceux qui interviennent dans le dossier à un

titre ou un autre sont autorisés à le consulter.

[…]"

En tant que telle, la teneur de cette directive

apparaît conforme aux principes prévus par la LPrD, dans la mesure en particulier où elle limite le traitement des données aux observations ou interventions

"manifestement importantes", respectivement à des informations

factuelles permettant la connaissance "nécessaire et suffisante" au

traitement du dossier (cf. art. 5 al. 1 let. b et al. 2 let. b, 6 et 7 LPrD),

et restreint en outre la "communication" (au sens de l'art. 4 ch. 6

LPrD; cf. ég. art. 15 LPrD) des données concernées également à l'égard des

collaborateurs du service.

e) Il reste à examiner si et dans quelle mesure le

traitement des données dont le recourant conteste la pertinence est admissible

dans le cas d'espèce.

aa) Le tribunal a été informé en cours de procédure

qu'un arrangement hors procédure avait été tenté entre les parties et que

l'autorité intimée avait accepté dans ce cadre, par courrier adressé le 19

novembre 2013 au recourant, qu'un certain nombre de données figurant dans les

journaux litigieux soient détruites respectivement modifiées dans le sens voulu

par l'intéressé. Il ne sera dès lors pas procédé à l'examen du bien-fondé du

traitement des données en cause - étant précisé qu'en acceptant de les détruire

ou les modifier, l'autorité intimée a implicitement admis qu'elles n'étaient

pas absolument nécessaires à sa tâche. On se contentera de relever à ce stade,

à toutes fins utiles, que cela ne signifie pas encore que le traitement de

l'ensemble de ces données était illicite, seules le traitement des données

sensibles (au sens de l'art. 4 ch. 2 LPrD) étant soumis au critère de l'absolue

nécessité - alors que les données personnelles autres que sensibles peuvent

être traitées dès lors qu'un tel traitement sert à l'accomplissement d'une

tâche publique (cf. art. 5 al. 1 let. b LPrD), soit dès lors qu'elles sont

"utiles à une prise en charge adéquate" (au sens de la directive

interne de l'autorité intimée).

Il va de soi pour le reste que les données

concernées doivent être détruites respectivement modifiées dans l'ensemble des

bases de données dans lesquelles elles sont traitées, comme le relève le

recourant dans son écriture du 9 janvier 2014.

bb) S'agissant des données dont le traitement

demeure litigieux, le recourant conteste en premier lieu la pertinence de

différentes mentions dans le journal AS le concernant en lien avec la question

de son "logement".

Ces mentions font en substance état de la

résiliation de son bail à loyer et du jugement prononçant son expulsion

immédiate, de brefs comptes-rendus d'appels téléphoniques d'intervenants du CSR

avec le bureau d'avocat de la gérance, le collaborateur de la police chargé

d'exécuter l'expulsion si nécessaire et un secrétaire municipal contacté par

l'avocat de la gérance, de l'évolution de la situation du recourant et de ses

intentions telles qu'elles résultent d'entretiens avec l'intéressé lui-même ou

d'informations transmises par téléphone ou courrier électronique par des tiers;

pour l'ensemble de ces données, le recourant estime qu'elles "ne

concernent pas le CSR". En lien avec une autre mention dont il résulte que

sa sœur a informé l'autorité intimée qu'elle acceptait de se porter garant pour

la location d'un logement par l'intéressé, ce dernier a en outre indiqué que

son contenu était "faux".

Dans la mesure où la prestation financière dont

bénéficie le recourant comprend notamment un "supplément correspondant au

loyer effectif dans les limites fixées par le règlement" (au sens de

l'art. 31 al. 1 LASV; s'agissant des modalités d'octroi de telles prestations

financières liées au logements, cf. Normes RI 2014 [dernière modification

01.01

], ch.3), il apparaît manifestement que des données telles que la

résiliation de son contrat de bail, le prononcé de son expulsion immédiate, son

lieu de logement actuel et ses intentions à cet égard, respectivement les

différentes démarches entreprises par les intervenants gérant son dossier

doivent être considérées comme nécessaires à son suivi sur ce point - étant

précisé que les données en cause sont présentées de façon strictement factuelle

et ne constituent pas, à tout le moins pour la majorité d'entre elles, des

données sensibles au sens de l'art. 4 ch. 2 LPrD. C'est le lieu de rappeler que

l'administré qui sollicite une prestation financière ou en bénéficie (et qui

est ainsi libre d'y renoncer; cf. arrêt PS.2014.004 du 17 février 2015 consid.

1b) est tenu de fournir des renseignements complets sur sa situation

personnelle et financière

(cf. art. 38 al. 1 LASV).

Quant au fait que sa sœur ait déclaré, à l'occasion

d'un appel téléphonique à l'autorité intimée, qu'elle était disposée à se

porter garant pour la location d'un logement par l'intéressé, on voit mal que

l'autorité intimée l'ait inventé de toute pièce - le recourant n'apporte au

demeurant aucun élément probant permettant d'en remettre en cause la véracité; il

apparaît bien plutôt que sa sœur s'est par la suite rétractée, comme le

mentionne l'autorité intimée.

cc) En lien avec la teneur du journal AS le

concernant, le recourant conteste en outre le traitement de données en lien

avec une procédure l'opposant à son père dans le cadre de laquelle il a estimé

qu'en acceptant de parler à ce dernier, l'intervenant du CSR avait trahi son

secret de fonction. Sur ce point, il apparaît que l'autorité intimée est

directement concernée, puisque l'intéressé se plaint du comportement de l'un de

ses intervenants; le traitement d'une telle donnée, présentée sous un angle

strictement factuel, apparaît dès lors admissible.

Le recourant conteste encore une mention selon

laquelle il "pens[ait]" changer de caisse (d'assurance-maladie),

étant précisé qu'il ferait parvenir à l'autorité intimée copie de son nouveau

contrat. Dans le cadre de l'aide apportée à l'intéressé, l'autorité intimée a

besoin d'avoir connaissance de sa caisse maladie. Le recourant ne le conteste

pas, mais estime que "[s]es pensées ne concernent nullement le CSR de

Lausanne"; à l'évidence toutefois, l'intéressé (dont la liberté de pensée

n'est aucunement remise en cause) a en l'occurrence clairement et expressément manifesté

son intention de changer de caisse, ce qui justifie qu'il en soit fait mention

- ne serait-ce que pour contrôler que l'information concernant la nouvelle

caisse a bien été transmise. Le fait qu'il n'ait finalement pas changé de

caisse est sans incidence à cet égard, quoi qu'il en dise; on ne saurait en

effet exiger de l'autorité intimée qu'elle adapte a posteriori les mentions

figurant dans ses bases de données en fonction de l'évolution de la situation -

bien plutôt, il s'impose de constater qu'il était loisible au recourant, en

tout temps, d'indiquer qu'il avait renoncé à changer de caisse, ce dont il

aurait été pris acte par le biais d'une nouvelle mention dans son journal AS.

dd) En lien avec la teneur du journal RI le

concernant, le recourant conteste la mention selon laquelle une copie de son

dossier RI a été envoyée au Ministère public de l'arrondissement de Lausanne

pour consultation, estimant qu'il s'agit d'une "violation du secret de

l'instruction". Comme le relève l'autorité intimée, cette mention est

nécessaire en ce sens qu'elle indique où se trouve le dossier papier de

l'intéressé; au vrai, c'est bien plutôt l'absence d'une telle mention, soit la

transmission du dossier du recourant à une autre autorité sans aucune

traçabilité, qui apparaîtrait peu compatible avec la protection des données.

f) En définitive, il s'impose ainsi de constater que

données traitées par l'autorité intimée dans les journaux AS et RI du recourant

doivent être considérées comme nécessaires respectivement directement utiles à

l'accomplissement de sa tâche, comme l'a retenu le Préposé dans ses écritures

des 21 octobre et 30 décembre 2013. Dans cette mesure, la décision de

l'autorité intimée refusant de faire droit à la requête du recourant tendant à

la destruction de ces bases de données et à la cessation immédiate de leur

exploitation ne prête pas le flanc à la critique.

3.

Il résulte des considérants qui précèdent que le recours doit être

rejeté et la décision attaquée confirmée.

Il n'est pas perçu d'émolument, la procédure étant

gratuite (cf. 33 al. 1 LPrD), ni alloué de dépens (cf. art. 55 al. 1 LPA-VD).

Par

ces motifs

la Cour de droit administratif et public

du Tribunal cantonal

arrête:

I.

Le recours est rejeté.

II.

La décision rendue le 31 janvier 2013 par le Centre social régional de

Lausanne est confirmée.

III.

Il n'est pas perçu d'émolument ni alloué de dépens.

Lausanne, le 22 mai 2015

Le président: Le

greffier:

Le présent arrêt est communiqué aux destinataires de

l'avis d'envoi ci-joint.

Il peut faire l'objet, dans les trente jours suivant sa

notification, d'un recours au Tribunal fédéral. Le recours en matière de droit

public s'exerce aux conditions des articles 82 ss de la loi fédérale du 17 juin

2005.

sur le Tribunal fédéral (LTF;

RS 173.110), le recours constitutionnel subsidiaire à celles des articles 113

ss LTF. Le mémoire de recours doit être rédigé dans une langue officielle,

indiquer les conclusions, les motifs et les moyens de preuve, et être signé.

Les motifs doivent exposer succinctement en quoi l’acte attaqué viole le droit.

Les pièces invoquées comme moyens de preuve doivent être jointes au mémoire,

pour autant qu’elles soient en mains de la partie; il en va de même de la décision

attaquée.