CDAP - GE.2025.0034 - 2025-09-29 - A.________ /Municipalité de Vevey

TRIBUNAL CANTONAL

COUR DE DROIT ADMINISTRATIF ET PUBLIC

Arrêt du 29 septembre 2025

Composition

M. Pascal Langone, président; M. Etienne Poltier, juge

suppléant; M. Pierre-Yves Rochat, assesseur; Mme Fabia Jungo, greffière.

Recourant

A.________, à ********,

Autorité intimée

Municipalité de ********,

représentée par Me Pascal NICOLLIER, avocat, à ********.

Objet

Loi sur l'information

Recours A.________ c/ décision de la Municipalité de ********

du 20 janvier 2025 portant sur le "Renouvellement 2025 infrastructure

centrale" (LInfo).

Vu les faits suivants:

A.

a) La Municipalité de ******** (ci-après: la municipalité) a adressé au

Conseil communal de cette commune un préavis n° 38/2024, portant sur une

demande d'un crédit d'investissement de 897'000.- frs pour le

renouvellement 2025 de l'infrastructure centrale (serveur, stockage, baies de

sauvegarde, systèmes de virtualisation et commutateurs reliant ces équipements)

de l'informatique de l'administration communale de la Ville de ********. La

conclusion de ce préavis se lit comme suit :

"10. CONCLUSION

L'infrastructure informatique

centrale de la Ville de ********, soit les serveurs et leurs disques

constituant le système de stockage, les baies de sauvegarde et les commutateurs

reliant ces équipements, doit être remplacée.

Cette opération est indispensable

pour pouvoir continuer à bénéficier des maintenances nécessaires, ce qui serait

impossible sur des commutateurs déclarés en fin de vie et trop coûteux sur des

serveurs arrivés eux aussi en fin de vie. Il faut également redire que la

capacité des baies de stockage est devenue trop juste et a déjà forcé à

diminuer la durée de rétention des sauvegardes.

Les systèmes actuels présentent

déjà un haut niveau de sécurité et de redondance et l'objectif du remplacement

est naturellement de continuer à bénéficier des mêmes avantages, en les

améliorant, avec la nouvelle solution :

-

redondance complète des systèmes grâce aux deux sites de 3 nouds

chacun, se répliquant en temps réel l'un sur l'autre, et offrant une grande

aptitude à surmonter des pannes grâce à l'hyperconvergence ;

-

gestion centralisée et ainsi facilitée des 2 sites considérés

comme un seul ;

-

simplification du support de la solution comme un seul fabricant

est responsable du support des nouds qui regroupent en un seul équipement

serveurs et stockage.

Cette opération de remplacement

des systèmes est nécessaire car le bon fonctionnement des systèmes

informatiques est critique pour tous les collaborateurs de la Ville, pour tous

les habitants et citoyens qui ont besoin des prestations de l'administration

communale, et même au plan régional pour le portail géographique

Cartoriviera."

Le préavis porte également sur la question d'une

externalisation de l'infrastructure informatique communale; il s'exprime à ce

propos comme suit :

5. QUESTION DU CLOUD /

PROBLÉMATIQUE DE L'EXTERNALISATION DE L'INFRASTRUCTURE INFORMATIQUE

Une étude avait été menée en 2020

pour répondre à une demande de la commission ad hoc qui souhaitait disposer de

plus d'informations sur les coûts de solutions d'hébergement cloud. Cette étude

avait clairement montré que les prix d'un hébergement dans le cloud étaient

bien plus élevés (de l'ordre de 3 à 5 fois le prix), une fois ajouté toutes les

options et coûts des locations des liaisons nécessaires, que ceux d'un

remplacement des équipements hébergés dans les salles informatiques de la

Ville, reliées par ses propres fibres optiques privées. La situation n'a pas

fondamentalement changé ces dernières années. En effet, les coûts d'hébergement

cloud qui paraissent attractifs en premier abord le sont nettement moins une

fois que l'on a pris en compte les éléments suivants :

-

la redondance nécessaire qui implique d'avoir deux sites

d'hébergement ;

-

les sauvegardes qui elles aussi doivent offrir de la redondance

et régulièrement un stockage hors ligne à l'abri des hackers ;

-

les liaisons privées rapides indispensables entre le réseau de la

Ville et les datacenters (des liaisons à moins de 10 Gbits/s seraient en effet

contre-productives et limiteraient les performances des systèmes alors que l'on

peut disposer en local, sur des fibres optiques privées, de liaisons à 25

Gbits/s entre les serveurs, ainsi qu'à 100 Gbits/s entre les salles informatiques).

Le Service des systèmes

d'information a refait l'exercice et les coûts calculés pour 5 prestataires

différents, tant suisses qu'internationaux, pour des mises à disposition de serveurs

dans le cloud offrant des capacités similaires aux systèmes dont la Ville

entend se doter, arrivent dans les 5 cas à des montants supérieurs à 2 millions

de Francs pour 5 ans, sans compter le prix des liaisons rapides nécessaires

entre le réseau de la Ville et les datacenters sur le cloud. De plus, ces solutions

hébergées n'offrent pas les mêmes outils élaborés de gestion des serveurs.

Il faut aussi relever qu'aucune

commune vaudoise de taille comparable à ******** n'a actuellement fait le pas

de louer dans le cloud ses ressources informatiques."

Le passage précité se réfère au surplus à une étude

menée en lien avec le préavis n° 35/2019 de la Municipalité au Conseil

communal, relatif au renouvellement 2020 de l'infrastructure informatique

communale.

En outre, le préavis prévoit, parmi les postes du

crédit demandé, un montant de 180'000 fr. pour l’achat des licences ********

nécessaires pour le fonctionnement des machines virtuelles, du vCenter de

gestion et de la virtualisation du stockage selon les volumes prévus et de 50'000

fr. pour le renouvellement/remplacement des licences du logiciel de sauvegarde

pour environ 100 serveurs virtuels (les licences actuelles à remplacer étaient

facturées par processeurs physiques, une tarification révolue).

B.

a) Dans un courriel du 29 novembre 2024, A.________ s'est adressé à la

municipalité pour obtenir diverses informations au sujet du préavis précité, ce

sur la base de la loi du 24 septembre 2002 sur l'information (LInfo; BLV

170.21). Sa demande se lit comme suit :

"Au vu de ce qui précède, je

vous prie de bien vouloir m'accorder l'accès aux informations manquantes dans

le document (********) à savoir la liste détaillée de tous les serveurs

virtuels cités dans le document :

-

20 serveurs virtuels sous Linux cités en page 3

-

Les quelques 90 serveurs virtuels cités en page 6 qui

correspondent probablement aux environ 100 serveurs virtuels cités en page 7

Je souhaite donc connaître la

liste exhaustive détaillée de tous les serveurs virtuels en indiquant

précisément CPU, RAM, nombre de coeurs, détails du stockage, OS, licences et

liste d'applications avec leurs noms et versions précises tournant sur chaque

serveur virtuel.

Pour des raisons évidentes

impliquant la cybersécurité de l'infrastructure, je ne souhaite pas connaître

les HOSTNAME, ni les adresses de ces serveurs.

Au chapitre 5 page 5 du document (********),

je souhaite avoir accès à l'étude menée en 2020 pour répondre à une demande de

la commission ad hoc ainsi que toutes les recherches et documents permettant

d'affirmer ensuite que je cite : "La situation n'a pas fondamentalement

changé ces dernières années". Si une nouvelle étude a été menée

entre-temps, merci de me la transmettre. Est-ce que dans la mise à jour de

cette étude les paramètres comme les migrations et simplifications ayant eu

lieu depuis 2020 ont été pris en compte ?

Au chapitre 5 page 6 du document (********),

je souhaite avoir accès à la liste des communes vaudoises mentionnées qui

permet d'affirmer qu'aucune d'elle n'a fait le pas de je cite : "louer

dans le Cloud".

Y a-t-il une liste de communes

vaudoises plus petites que ******** qui auraient fait ce pas?

Est-ce que dans ces affirmations,

le fait que des sociétés spécialisées pour fournir les communes vaudoises,

(telles que ********), offrent des solutions complètement basées dans le Cloud

Microsoft AZURE a été pris en compte?"

Dans un courriel du 4 décembre 2024, adressé à la

municipalité, A.________ a modifié quelque peu sa demande sur le dernier point

précité en soulevant la question suivante:

"Y a-t-il une liste de

communes vaudoises plus petites que ******** qui auraient fait ce pas ? Si oui,

merci de bien vouloir me la fournir."

b) Par décision du 20 janvier 2025, la municipalité

a écarté pour l'essentiel les demandes, dans les termes suivants :

"Nous avons repris vos

différentes demandes et y répondons comme suit :

1. Au chapitre 5 page 5 du

document (********] : « Je souhaite avoir accès à l'étude menée en 2020 pour répondre

à une demande de la commission ad hoc ainsi que toutes les recherches et

documents permettant d'affirmer ensuite que je cite : "La situation n'a

pas fondamentalement changé ces dernières années". Si une nouvelle étude a

été menée entre-temps, merci de me la transmettre. Est-ce que dans la mise à

jour de cette étude les paramètres comme les migrations et simplifications

ayant eu lieu depuis 2020 ont été pris en compte? »

- Cette étude était un document de

travail fourni alors à la commission Ad hoc dans le cadre de son activité. Ce

document a été joint au rapport de la commission et est accessible sur le site

intemel www.vevev.ch à l'adresse suivante https://conseil.********.ch/ConseilCommunal/download.asp?d=3327

- Les recherches de prix en 2024

ayant permis cette affirmation sont également des documents de travail et ne

constituent pas des documents officiels. La question concernant "les migrations

et simplifications" n'a pas de rapport avec une demande d'accès à des

documents officiels.

2. Au chapitre 5 page 6 du

document [********], « Je souhaite avoir accès à la liste des communes

vaudoises mentionnées qui permet d'affirmer qu'aucune d'elle n'a fait le pas de

je cite : "louer dans le Cloud". Y a-t-il une liste de communes vaudoises

plus petites que ******** qui auraient fait ce pas? Si oui, merci de bien

vouloir me la fournir.»

- Il n'y a pas de liste ou documenf

officiel. Les données dont la Ville de ******** dispose ne sont pas des

documents officiels et n'ont pas à être dévoilées. Celles-ci proviennent d'un

sondage informel auprès des communes membres de I'AVRIC (Association vaudoise

des responsables informatiques communaux) et la confidentialité de tels sondages

doit être préservée.

Les inventaires de nos serveurs

virtuels tenus dans des bases de données comme GLP ne sont pas des documents

officiels au sens de la Llnfo. Ce sont également des données sensibles et n'ont

ainsi évidemment pas à être communiqués à des tiers.

3. "Est-ce que dans ces

affirmations, le fait que des sociétés spécialisées pour fournir les communes

vaudoises, (telles que ********) offrent des solutions complètement basées dans

le Cloud Microsoft AZURE a été pris en compte?"

- Cette question n'a pas de

rapport avec une demande d'accès à des documents officiels."

C.

a) Agissant par acte du 7 février 2025, A.________ a saisi la Cour de

droit administratif et public du Tribunal cantonal (ci-après: CDAP) d'un

recours contre cette décision; il conclut en substance à ce qu'il soit ordonné

à l'autorité intimée de lui transmettre les documents demandés.

b) Dans sa réponse au pourvoi du 11 avril 2025,

déposé par l'intermédiaire de l'avocat Pascal Nicollier, la commune de ********

a conclu avec dépens à son rejet et à la confirmation de la décision attaquée.

Dans une réplique du 28 avril 2025, A.________, tout

en complétant ses moyens, a confirmé pour l'essentiel les conclusions de son

recours.

D.

a) La décision attaquée, en réponse à l'une des demandes, indiquait que

l'étude demandée était disponible sur le site internet de la ville de ********;

un lien était fourni au recourant à cet effet.

b) A la suite d’un complément d’instruction, la municipalité

a fourni de nouveaux éléments en date du 2 juin 2025 (l’un d’entre eux ne

devant pas être dévoilé au recourant, soit l’étude de prix ********), puis a versé

au dossier le 19 août 2025 l’étude de 2020 évoquée plus haut (« Etude

complémentaire externalisation » du 10.02.2020).

c) Le recourant a complété ses moyens le 9 juillet

2025. Dans ce contexte, il s’est plaint du fait que les nouveaux éléments

présentés par la municipalité ne répondaient pas à ses demandes ;

néanmoins, il a déclaré retirer les griefs qu’il avait soulevé en relation avec

ses demandes écartées touchant des recherches de prix pour des solutions

d’externalisation dans le cloud (ch. 5, p. 5 du préavis n°

38/2024 ; cité plus haut sous A/a). La municipalité a également fourni es

arguments supplémentaires dans son écriture du 19 août 2025.

Considérant en droit:

1.

a) A teneur de l'art. 26 LInfo, les autorités communales statuent sur

les demandes concernant leurs activités; elles le font par le biais de

décisions. L'art. 27 LInfo prévoit, à son al. 1, que la procédure de recours

devant le Tribunal cantonal est rapide, simple et gratuite. Quant à son al. 3,

il prévoit que la loi vaudoise du 28 octobre 2008 sur la procédure

administrative (LPA-VD ; BLV 173.36) est applicable aux décisions rendues

en vertu de la présente loi, ainsi qu'aux recours contre dites décisions. Il en

découle que les décisions des municipalités rendues en application de l'art. 26

LInfo sont susceptibles de recours à la CDAP (art. 92 LPA-VD).

b) Le recourant, destinataire de la décision lui

refusant l'accès aux documents demandés, auquel il prétend avoir droit, a la

qualité pour recourir (art. 75 al. 1 let. a de la LPA-VD). Le recours a de plus

été formé dans le délai (art. 95 LPA-VD) et le respect des formes prescrites

(art. 79 et 99 LPA-VD).

c) Il y a lieu d'entrer en matière.

2.

Il convient tout d'abord de procéder à un bref rappel du cadre légal.

a) Aux termes de l'art. 41 de la

Constitution du 14 avril 2003 du Canton de Vaud (Cst-VD; BLV 101.01), l'Etat et

les communes informent la population de leurs activités selon le principe de la

transparence. Ce devoir d'information est réglementé dans la LInfo, qui

s'applique aux autorités tant cantonales que communales (cf. art. 2 LInfo).

La LInfo pose à son art. 8 le

principe selon lequel les renseignements, informations et documents officiels

détenus par les organismes soumis à la présente loi sont accessibles au public

(al. 1), sous réserve des cas décrits au chapitre IV (al. 2). Les autorités

communales statuent sur les demandes concernant leurs activités (art. 26

LInfo).

Par document officiel, on entend

tout document achevé, quel que soit son support, qui est élaboré ou détenu par

les autorités, qui concerne l'accomplissement d'une tâche publique et qui n'est

pas destiné à un usage personnel (art. 9 al. 1 LInfo). Ces conditions sont

cumulatives (CDAP GE.2020.0066 du 8 mars 2021 consid. 2b/aa; GE.2020.0038

du 14 décembre 2020 consid. 5a; GE.2019.0010 du 4 octobre 2019

consid. 2a, et la référence citée). La loi ne

vise pas seulement les documents produits par l’autorité, mais aussi ceux

détenus par elle. Les documents soumis à la LInfo sont ceux qui ont un rapport

avec une action administrative des autorités (GE.2020.0066 du 8 mars

2021 consid. 2b/aa; GE.2019.0034 du 11 octobre 2019 consid. 2b;

GE.2019.0010 du 4 octobre 2019 consid. 2a; voir

également Exposé des motifs et projet de loi [EMPL] sur l'information,

Bulletin du Grand Conseil [BGC] septembre-octobre 2002 [ci-après: BGC

septembre-octobre 2002], p. 2634 ss, spéc. p. 2647-2649).

Les documents officiels sont ceux

qui ont atteint leur stade définitif d'élaboration. Cette réserve du caractère

achevé d'un document doit permettre à l'administration de travailler et de

faire évoluer ses projets avec toute la latitude nécessaire à cette fin. Des

exemples de documents inachevés sont des textes raturés ou annotés, la version

provisoire d'un rapport, l'esquisse d'un projet, les brouillons de séance, les

notes de travail informelles, les ébauches de texte, les notes récapitulatives

de séance (CDAP GE.2020.0066 du 8 mars 2021 consid. 2b/aa; GE.2019.0010 du

4 octobre 2019 consid. 2a). A l'inverse, la signature ou l'approbation

d'un document, ou encore sa transmission à l'interne ou à l'extérieur de

l'administration, peuvent constituer des indices permettant de considérer un

document comme achevé (CDAP GE.2020.0038 du 14 décembre 2020 consid. 5a;

GE.2019.0034 du 11 octobre 2019 consid. 2b, et les références citées).

b) La structure de la loi suppose

qu'il convient de distinguer les "documents officiels" qui

sont "achevés" au sens de l'art. 9 al. 1 LInfo, susceptibles

d'être communiqués sur demande, des documents dits "internes",

soit notamment les notes et courriers échangés entre les membres d’une autorité

collégiale ou entre ces derniers et leurs collaborateurs, qui sont exclus du

droit à l'information en vertu de l'art. 9 al. 2 LInfo (CDAP GE.2019.0010 du 4

octobre 2019 consid. 2a, et les références citées). L’art. 14 du règlement

d'application du 25 septembre 2003 de la LInfo (RLInfo; BLV 170.21.1) précise

que sont des documents internes les notes et courriers échangés entre les

membres d'une autorité collégiale, entre ces derniers et leurs collaborateurs

ou entre leurs collaborateurs personnels, ainsi que les documents devant

permettre la formation de l'opinion et de la décision d'une autorité

collégiale.

Selon l'EMPL relatif à la loi sur

la LInfo, ce type de document interne est exclu du principe de transparence,

car il s'agit de documents devant permettre la libre formation de l'opinion et

de la décision d'une autorité collégiale et qui, de ce fait, doivent être

soustraits à l'opinion publique (BGC, septembre-octobre 2002, p. 2649). Selon

la jurisprudence cantonale également, le caractère de document interne au sens

des art. 9 al. 2 LInfo et 14 RLInfo doit être reconnu aux documents

dont la communication aurait pour effet de divulguer le processus de formation

de la volonté de l'autorité dans un cas d'espèce. Seuls les documents

contenant, outre des données techniques ou juridiques, une appréciation

politique qui nécessite une prise de décision pourraient de cas en cas être

soustraits au droit à l'information (CDAP GE.2020.0066 du 8 mars 2021

consid. 2b/aa; GE.2020.0038 du 14 décembre 2020 consid. 5b;

GE.2019.0034 du 11 octobre 2019 consid. 2b, et les références citées).

c) aa) Le droit à l'information

institué par la LInfo n'est toutefois pas absolu. Aux termes de l’art. 15

LInfo, les dispositions d'autres lois qui restreignent ou excluent la

transmission d'informations ou l'accès à des documents officiels sont réservées,

y compris les dispositions protégeant le droit d’auteur. La LInfo réserve aussi

les intérêts publics ou privés prépondérants (art. 16 al. 1 LInfo). Des

intérêts publics prépondérants sont en cause lorsque la diffusion

d'informations, de documents, de propositions, d'actes et de projets d'actes

est susceptible de perturber sensiblement le processus de décision ou le

fonctionnement des autorités (art. 16 al. 2 let. a LInfo); une information

serait susceptible de compromettre la sécurité ou l'ordre publics (art. 16 al.

2 let. b LInfo); le travail occasionné serait manifestement disproportionné

(art. 16 al. 2 let. c LInfo); les relations avec d'autres entités publiques

seraient perturbées dans une mesure sensible (art. 16 al. 2 let. d LInfo). Sont

réputés intérêts privés prépondérants la protection contre une atteinte notable

à la sphère privée, sous réserve du consentement de la personne concernée (art.

16 al. 3 let. a LInfo); la protection de la personnalité dans des procédures en

cours devant les autorités (art. 16 al. 3 let. b LInfo), le secret commercial,

le secret professionnel ou tout autre secret protégé par la loi (art. 16 al. 3

let. c LInfo). L’art. 17 LInfo dispose en outre ce qui suit :

"Art. 17 Refus partiel

1 Le refus de

communiquer un renseignement ou un document conformément à l'article 16 ne vaut

le cas échéant que pour la partie du renseignement ou du document concerné par

cet article et tant que l'intérêt public ou privé prépondérant existe.

2 L'organisme sollicité

s'efforce de répondre au moins partiellement à la demande, au besoin en ne

communiquant pas ou en masquant les renseignements ou les parties d'un document

concernés par l'intérêt public ou privé prépondérant."

bb) D'une façon générale, l'art. 16 LInfo doit être

interprété de façon similaire à l'art. 7 de la loi fédérale du 17 décembre 2004

sur la transparence (LTrans; RS 152.3). Le refus d'accès (total ou partiel)

doit ainsi se justifier par un risque à la fois important et sérieux

d'atteintes aux intérêts publics ou privés prépondérants protégés par cette

disposition; l'application de ces exceptions, restrictive, doit résulter d'une

pesée des intérêts et respecter le principe de la proportionnalité. Le fardeau

de la preuve pour réfuter la présomption de publicité établie par la LInfo est

à la charge de l'autorité (CDAP GE.2019.0010 du 4 octobre 2019 consid. 4a et

les références).

S'agissant en particulier de

l'hypothèse prévue par l'art. 16 al. 2 let. b LInfo en lien avec le risque de

compromission de la sécurité ou de l'ordre publics, c'est dans chaque cas

d'espèce que les autorités doivent déterminer si les conditions en sont réunies,

étant précisé que ce motif doit rester l'exception et non pas se transformer en

règle; le dommage pour la sécurité ou l'ordre publics doit ainsi être

suffisamment grave et exceptionnel pour justifier la non-diffusion d'une

information sous motif d'intérêt public prépondérant (cf. EMPL précité, p. 2656

ad

art. 16 al. 2 let. b LInfo). Cette exception peut être invoquée si

deux conditions sont réalisées: les documents doivent concerner la sécurité ou

l'ordre publics, d'une part, et leur communication doit présenter un risque de

mise en danger de la sécurité ou de l'ordre publics, d'autre part (cf. Bastien

von Wyss, Droit d'accès aux documents officiels: comparaison et étude de la

mise en œuvre de quatre lois sur la transparence en Suisse, Mémoire de Master

2011, p. 47).

cc) Dans le souci d’être complet,

on signalera que le Parlement fédéral a adopté, le 18 décembre 2020, la loi

fédérale sur la sécurité de l'information au sein de la Confédération (LSI; RS

128). A teneur de son art. 3, cette loi ne s'applique que de manière limitée

aux cantons (notamment lorsque ceux-ci accèdent à des moyens informatiques de

la Confédération). Elle s'applique en outre aux organisations de droit public

ou privé qui exploitent des infrastructures critiques; ces dernières, si elles

ne sont pas visées par l'art. 2 al. 1 à 3 LSI (il en va ainsi en principe des

installations des communes), ne sont alors soumises qu'aux art. 74 à 80 LSI

(art. 2 al. 5 LSI). Les art. 74 ss LSI, qui régissent les infrastructures

critiques, prévoient à leur charge une obligation de signalement des

cyberattaques; ces dispositions n’entrent pas en ligne de compte dans la

présente espèce. Par contre, les art. 16 ss LSI (et 27 ss de son ordonnance

d’application, OSI - RS 128.1) comportent diverses règles portant sur la sécurité

des moyens informatiques. Ces dispositions ne sont toutefois applicables qu’à

l’Administration fédérale et non aux communes; elles expriment cependant le

souci de sécurité en cette matière des collectivités publiques - souci qui

paraît être au cœur des préoccupations de l’autorité intimée dans la présente

espèce.

d) L'art. 8 al. 1 LInfo prévoit que sont en principe accessibles, outre les

documents officiels (au sens de l'art. 9 al. 1 LInfo), les "renseignements"

et "informations" détenus par les organismes soumis à la loi.

Les notions de "renseignements" et "informations",

synonymes, sont larges; les renseignements peuvent porter sur des activités des

autorités comme sur des documents qu'elles produisent (cf. Bastien von Wyss, op.

cit., p. 28, qui se réfère à un entretien avec le Préposé à la protection des

données et à l'information du canton de Vaud).

Dans un

arrêt GE.2017.0114, GE.2018.0025 du 12 novembre 2018 auquel les parties se

réfèrent, la cour de céans a notamment retenu ce qui suit à ce propos

(consid. 4b/bb):

"[…] l'EMPL

LInfo […] indique uniquement que « la demande peut porter sur

des renseignements ou sur la consultation de documents ». Sur la notion de

documents officiels, il est renvoyé à l'art. 9 LInfo (BGC, septembre-octobre

2002, p. 2647). Il convient dès lors de retenir qu'à la différence de la loi

fédérale, la loi cantonale sur l'information permet au public de requérir des

renseignements sur l'activité de l'administration qui ne ressortent pas d'un

document officiel […].

Ainsi, la demande d’informations

peut porter sur des renseignements dont l’autorité dispose, même s'ils ne

figurent pas dans un document officiel. Ces renseignements ou ces informations

au sens de l'art. 8 al. 1 LInfo s'entendent dans un sens purement factuel:

l'autorité doit renseigner sur les mesures qu'elle a prises ou n'a pas prises

dans le cas concret, sous réserve des limites posées par les art. 15 ss

LInfo […]. Elle n'a en revanche pas à justifier son action ou son

inaction."

3.

La question de l'externalisation des services informatiques de la ville

de ********, notamment par un recours à l'hébergement dans le cloud, selon

diverses modalités, a été un sujet thématisé dans le débat politique de la

commune dès 2019 (le préavis 35/2019, se rapportant au renouvellement de

l'infrastructure informatique centrale de la commune ayant été refusé pour ce

motif dans un premier temps par la commission chargée de son examen). Un

chapitre est d'ailleurs dédié à cette question dans le préavis 38/2024, auquel

se rapportent les demandes du recourant. Celles-ci portent notamment sur des

documents ou des renseignements en lien avec le choix de l'autorité intimée de

ne pas externaliser une partie de son informatique dans le cloud (et notamment

des prestations de stockage).

a) En l'état, la Cour constate que les préavis

35/2019 et 38/2024, ainsi que les rapports des commissions du Conseil communal

chargées de l'examen de ces préavis, avec les études annexées à ceux-ci sont

disponibles sur le site internet de la ville de ********. Autrement dit, il n'y

a pas débat s'agissant de l'application de la LInfo aux études précitées,

lesquelles sont accessibles. A la demande de la cour, l'autorité intimée a versé

au dossier de la cause le document « Etude complémentaire

externalisation», du 10 février 2020.

Ces documents répondent dans une certaine mesure aux

demandes du recourant; il en va ainsi s'agissant des recherches de prix,

documentées dans l'étude relative au préavis 35/2019 ou dans celles annexées au

rapport du Conseil communal portant sur le préavis 38/2024. Ces études

paraissent démontrer que le prix d'une solution cloud est élevé, tout au moins

s'agissant de l'étude de 2024, pour les fournisseurs sollicités. Au demeurant,

le recourant, dans son écriture du 9 juillet 2025, a retiré sa demande sur cet aspect,

ce dont la cour prend acte.

b) Au surplus, le recourant a soulevé diverses

questions en relation avec l'adoption ou non par les communes de solutions

d'externalisation, avec recours au cloud. Là encore, les études susmentionnées

(de 2020, puis 2024) évoquent cet aspect et paraissent confirmer que les

communes contactées n'ont pas recours à une solution d'externalisation. Dans la

mesure où il n'existe pas de liste de communes, avec leurs réponses au sondage,

l'art. 8 LInfo implique de fournir aux requérants des renseignements; en l'occurrence,

l'information consistant à dire que les communes n'ont pas recours à un système

d'externalisation constitue bien un tel renseignement, qui paraît suffisant par

rapport à la demande formulée. Certes, le recourant a demandé, dans un courriel

complémentaire du 4 décembre 2024, si des communes plus petites que ********

avaient fait le pas d'une externalisation vers le cloud; la municipalité n'a

pas répondu à cette question, dont elle ne connaît apparemment pas la réponse. La

LInfo ne permet pas au recourant d'obtenir qu'une collectivité publique procède

à des recherches pour lui permettre de répondre à des demandes portant sur une

information dont elle ne dispose pas.

c) La même solution s'impose sur un dernier point:

le recourant, en effet, relève que diverses sociétés spécialisées offrent sur

le marché des solutions complètement basées dans le cloud Microsoft AZURE : il

se demandait ainsi si ce type d'offre avait été pris en compte par les communes

pour leur décision de renoncer à une solution externalisée. On relève à ce

propos que l'étude de 2024 n'en fait pas état (pas plus que l'étude de 2020).

La commune de ******** a écarté cette option; quant à d'autres communes,

l'autorité intimée ignore apparemment la réponse à cette question.

d) En définitive, au terme du complément

d'instruction mené par le juge instructeur, il faut considérer que les études

mentionnées par le recourant constituent des documents officiels, auxquels il a

accès par le biais du site de la ville de ********. Ces études lui fournissent

d'ailleurs divers renseignements; s'agissant d'autres renseignements

sollicités, qui n'y trouvent pas de réponse, le refus municipal, conforme à la

LInfo, peut être confirmé.

4.

Le recourant, se référant au préavis no 38/2024 de la municipalité,

demande une liste des serveurs virtuels. Pour la municipalité, une telle liste

constitue un document de nature interne, portant de surcroît sur des données sensibles,

de sorte qu'il n'y a pas lieu de donner suite à la demande de l'intéressé.

a) On ne voit pas qu'un inventaire des biens

communaux puisse constituer un document de nature purement interne. Au

demeurant, qu'il s'agisse de biens mobiliers ou immobiliers, ceux-ci doivent

figurer à l'actif du bilan des communes, en particulier lorsqu'il s'agit de

biens du patrimoine administratif (voir à ce sujet art. 26 du règlement du 14

décembre 1979 sur la comptabilité des communes - RCCom; BLV 175.31.1). Il va

donc de soi que les serveurs physiques doivent y figurer; l’inventaire de ces

serveurs, soit des éléments de l'actif du bilan, constitue donc bien un

document officiel.

Au demeurant, on ne voit pas de motif qui

commanderait de s’écarter de cette approche s'agissant des serveurs virtuels,

sous quelques réserves. Au préalable, on relève d'emblée qu'un inventaire de

ces serveurs virtuels ne saurait être qualifié de document interne; en outre,

un tel inventaire existe (la municipalité admet l’existence d’un inventaire de

gestion du parc informatique [GLPI], dont les éléments précités pourraient être

tirés; en outre, l’établissement d’un tel document ne paraît donc pas présenter

de difficulté).

La municipalité, dans son écriture du 11 avril 2025

(ch. 2.2.3, sous n° 12) admet d’ailleurs une production, limitée pour des

motifs de sécurité, d'une liste de ces serveurs; elle n’a toutefois pas modifié

sa décision à ce propos, ni produit une telle liste. Pour sa part, le recourant

reconnaît que certains éléments peuvent être occultés (Hostname et adresses IP

des serveurs virtuels). Il produit par ailleurs un document, tiré d'un appel

d'offres, où des données supplémentaires sont fournies au sujet de tels

serveurs virtuels par l'Association Sécurité Riviera, soit une association de

communes, dont l'informatique est hébergée sur les serveurs de la ville de

Montreux. Dans sa réponse au recours, l'autorité intimée indique qu'elle "n'est

pas persuadée qu'il soit de bonne pratique de publier sur internet ce cahier

des charges qui fournit des renseignements sur une partie de futurs serveurs

virtuels, même s'il n'y a qu'une part des serveurs dans la liste et non pas de

serveurs d'active directory par exemple".

Apparemment, l' autorité intimée se prévaut en

l'occurrence de l'art. 16 al. 2 let. b LInfo, qui lui permet de s'opposer

à une production pour des motifs relevant d'un intérêt public prépondérant: ici

la sécurité de l'informatique communale.

c) aa) Comme on l'a vu, le droit vaudois n'est pas

très étoffé s'agissant du thème de la sécurité informatique, notamment celle

des collectivités publiques. Il n'est cependant pas exclu de se référer ici par

analogie aux dispositions du droit fédéral, notamment celles de l'OSI. L'art. 7

al. 2 let. b OSI indique par exemple que les moyens informatiques doivent

figurer parmi les objets à protéger; dans ce contexte, l'art. 8 précise qu'il

s'agit de gérer un certain nombre de risques susceptibles de menacer ces

objets. Cette ordonnance contient au surplus diverses dispositions (art. 27 ss)

relatives à la sécurité des moyens informatiques.

bb) Cela étant, l'art. 16 LInfo implique une pesée

d'intérêts, afin de déterminer si l'intérêt public invoqué est prépondérant par

rapport à l'intérêt à la diffusion de l'information. En d'autres termes, la

charge de la preuve incombe sur ce point à l'autorité.

Dans le cas d'espèce, il y a lieu d'admettre - et

le recourant n'en disconvient pas - que certains éléments doivent pouvoir

être tenus confidentiels; il n'en demeure pas moins que la décision de

l'autorité intimée, qui consiste en un refus pur et simple s'agissant des

serveurs virtuels, ne démontre pas l'existence d'un intérêt public prépondérant

au refus total de l'information. Elle semble d'ailleurs prête à fournir une

partie de celle-ci ; la question paraît ainsi être de déterminer quelle

part des informations demandées au sujet de ces serveurs virtuels

respectivement peut être délivrée ou doit être refusée. Il semble que les

données les plus sensibles, au regard de la prévention du hacking, concernent

(outre celles que le recourant a renoncé à demander) la liste des applications

et surtout les versions précises tournant sur chaque serveur virtuel; ces

indications pourraient révéler les failles de sécurité affectant les versions

utilisées par l’autorité intimée de ces applications. La demande, en tant

qu’elle porte sur les processeurs, les RAM, le système d’exploitation ou encore

les licences pour ces serveurs virtuels, paraît moins problématique en termes

de sécurité. Quoi qu'il en soit, on ne saurait tenir pour établi l'existence

d'un intérêt public prépondérant à un refus pur et simple, du seul fait que la

diffusion sollicitée serait peut-être contraire à "des bonnes pratiques"

qui ne sont nullement précisées par l'autorité pour justifier cette solution.

e) Il découle de ces considérations que le recours

doit être admis sur cet aspect, la cause étant renvoyée à la municipalité pour

nouvelle décision dans le sens des considérants à ce sujet.

5.

Il découle des considérations qui précèdent que le recours doit être

admis partiellement, plus précisément s'agissant de la liste des serveurs

virtuels, sollicitée par le recourant. La décision municipale doit donc être

annulée sur cet aspect, le dossier étant renvoyé à l'autorité intimée pour

nouvelle décision dans le sens des considérants.

Il est pour le surplus sans objet, s’agissant des

recherches de prix (consid. 3a), et rejeté pour le surplus (consid. 3b).

Vu l'art. 27 LInfo, le présent arrêt sera rendu sans

frais. Dans la mesure où l'autorité intimée ne l'emporte pas, il n'est pas

alloué de dépens (art. 55 LPA-VD).

Par ces motifs

la Cour de droit administratif et public

du Tribunal cantonal

arrête:

Faits

I.

Le recours est partiellement admis.

Considérants

II.

La décision de la Municipalité de ******** du 20 janvier 2025, relative

à la demande d'information présentée par A.________ le 29 novembre 2024, est

annulée, le dossier lui étant renvoyé pour nouvelle décision dans le sens des

considérants.

III.

Il n'est pas prélevé d'émolument, ni alloué de dépens.

Lausanne, le 29 septembre 2025

Le président: La

greffière:

Le présent arrêt est communiqué aux participants à la

procédure.

Il peut faire l'objet, dans les trente jours suivant sa

notification, d'un recours au Tribunal fédéral (Tribunal fédéral suisse, 1000

Lausanne 14). Le recours en matière de droit public s'exerce aux conditions des

articles 82 ss de la loi du 17 juin 2005 sur le Tribunal fédéral (LTF - RS

173.110), le recours constitutionnel subsidiaire à celles des articles 113 ss

LTF. Le mémoire de recours doit être rédigé dans une langue officielle,

indiquer les conclusions, les motifs et les moyens de preuve, et être signé.

Les motifs doivent exposer succinctement en quoi l’acte attaqué viole le droit.

Les pièces invoquées comme moyens de preuve doivent être jointes au mémoire,

pour autant qu’elles soient en mains de la partie; il en va de même de la

décision attaquée.