Communication of subsidy data to municipality under data protection lawKI-generiert

TRIBUNAL CANTONAL COUR DE DROIT ADMINISTRATIF ET PUBLIC

Arrêt du 23 juillet 2026

Composition

M. François Kart, président; M. Guillaume Vianin, juge; Mme Bénédicte Tornay Schaller, assesseure; Mme Valérie Duvanel-Donzel, greffière.

Recourante

Municipalité de Bretigny-sur-Morrens, à Bretigny-sur-Morrens,

Autorité intimée

Autorité de protection des données et de droit à l'information, à Lausanne,

À À à à À Laudann

Autorité concernée

Direction générale de l'environnement DGE-DIREN, Unité droit et études d'impact, à Lausanne.

Objet

Loi sur la protection des données

Recours Municipalité de Bretigny-sur-Morrens c/ décision sur recours de l'Autorité de protection des données et de droit à l'information du 28 novembre 2025 (LPrD).

Vu les faits suivants:

A. Par courriel du 30 mai 2024, le municipal de la commune de Bretigny-sur-Morrens (ci-après: la commune) en charge de la police des constructions, des bâtiments, de l'énergie et du développement durable, de l'informatique, Internet et de la cyberadministration ainsi que des manifestations et des sociétés locales (ci-après: le municipal en charge de la police des constructions) a adressé une demande à la Direction générale de l'environnement, Direction de l'énergie (DGE-DIREN) dont la teneur était la suivante:

"[...]

Après avoir consulté le profil énergétique disponible sous ce lien [...], la Municipalité a pris connaissance que plusieurs bâtiments avaient bénéficié de subvention.

Nous ne sommes toutefois pas certains que ces bâtiments aient fait l'objet des autorisations communales adéquates. Pourriez-vous nous transmettre la liste des bâtiments ayant obtenu des subventions en 2022, 2023 et 2024?

[...]".

Plusieurs échanges ont ensuite eu lieu entre la DGE-DIREN et le municipal en charge de la police des constructions jusqu'à fin septembre 2024. Par courriel du 22 juin 2024, ce dernier a en particulier précisé ce qui suit:

"[...]

Conformément à l'art. 4 al 4 LATC, la Municipalité est chargée de faire observer les prescriptions légales et réglementaires, ainsi que les plans en matière d'aménagement du territoire et des constructions. Le prescrit de l'art. 93 al. 1 LATC prévoit que la Municipalité fait procéder à des inspections des bâtiments chaque fois qu'elle le juge nécessaire (...).

Enfin, l'art. 31 LPA rappelle que l'autorité peut requérir auprès de toute autorité administrative ou judiciaire les documents et renseignements nécessaires à l'établissement des faits.

A ce titre, il convient de rappeler l'art. 40d LC qui dispose que les membres de la Municipalité sont soumis au secret de fonction concernant tout fait ou renseignement dont ils ont eu connaissance dans l'exercice du mandat et que ces informations sont ainsi traitées de manière confidentielle.

En l'espèce, dans le cadre de la mise en œuvre de son plan énergie et climat communal, la Municipalité a été informée par le biais du profil énergétique des communes vaudoises que plusieurs projets avaient bénéficié de subvention pour isolation partielle et chauffage renouvelable. Après une lecture attentive de ces informations, elle craint que plusieurs travaux n'ont pas fait l'objet d'une procédure prévue par la LATC.

Sur cette base, elle souhaite qu'il lui soit communiqué les noms des propriétaires, respectivement les parcelles ayant bénéficié d'une subvention entre 2022 et 2024 afin d'effectuer les vérifications nécessaires.

Par conséquent, la Municipalité vous remercie de nous communiquer ces informations dans les meilleurs délais conformément aux règles rappelées concernant la coopération des autorités".

Par courriel du 11 juillet 2024, la DGE-DIREN a répondu au municipal en charge de la police des constructions qu'une demande tendant à obtenir des clarifications juridiques avait été faite auprès de l'Autorité de protection des données et de droit à l'information (ci-après: l'APDI). Elle apportait au surplus des précisions relatives aux données fournies en matière de subventions par le profil énergétique des communes et renvoyait la commune aux données mises à disposition du public par le Registre fédéral des bâtiments et des logements (ci-après: le RegBL). Au vu des précisions données, la DGE-DIREN invitait le municipal en charge de la police des constructions à lui indiquer s'il souhaitait maintenir sa requête.

Par courriel du 16 juillet 2024, le municipal en question a en particulier précisé que la municipalité maintenait sa requête.

B. Le 8 août 2024, un avis juridique interne à la DGE-DIREN s'est révélé plutôt favorable à la transmission des données requises, relevant toutefois que, compte tenu des incertitudes en la matière, il paraissait opportun de soumettre le cas à la Préposée à la protection des données*.*

Par courriel du 14 août 2024, la DGE-DIREN, qui était favorable à la transmission des données requises, a néanmoins formellement consulté l'APDI pour une prise de position sur la légalité de cette transmission à la commune ainsi qu'une confirmation de l'absence de nécessité de contacter les propriétaires concernés pour obtenir leur autorisation préalable à la communication des données en cause, ce qui lui paraissait disproportionné.

Par courriel du 30 août 2024, l'APDI a donné la réponse suivante à la DGE-DIREN:

"[...]

Sur la base des éléments portés à notre connaissance, nous pouvons vous indiquer ce qui suit:

Des données personnelles peuvent être traitées moyennant le respect des principes généraux de protection des données, tels que prévus aux art. 5 à 10 de la loi du 11 septembre 2007 sur la protection des données personnelles (LPrD; BLV 172.65).

Parmi ces principes figure le principe de transparence (art. 8 LPrD), lequel est matérialisé par le devoir d'information prévu à l'art. 13 LPrD.

Le devoir d'information implique que, lors de la collecte des données personnelles, le responsable du traitement fournisse notamment les informations suivantes à la personne concernée (art. 13 al. 2 LPrD): la finalité du traitement pour lequel les données sont collectées et, au cas où la communication des données est envisagée, les catégories des destinataires des données.

La communication des données personnelles est réglée expressément par l'art. 15 LPrD. Une communication est ainsi possible notamment lorsqu'une disposition légale le prévoit (let. a), que le requérant établit qu'il en a besoin pour accomplir ses tâches légales (let. b) ou encore que la personne concernée a consenti à la communication (let. d).

Les principes généraux doivent également être respectés (finalité, proportionnalité, transparence, etc.) lorsque les données sont communiquées.

A notre connaissance, il n'existe pas de disposition légale prévoyant expressément la communication de données personnelles de la DIREN aux communes dans le but de contrôler les prescriptions du droit de la construction.

Comme mentionné dans l'avis de droit établi par la DIREN, l'art. 20 de la loi du 22 février 2005 sur les subventions (LSubv; BLV 610.15) précise que les organes chargés d'appliquer la LSubv ou d'en surveiller l'exécution traitent les données de manière confidentielle. La portée de cette confidentialité n'est toutefois pas évidente à saisir dans la mesure où l'art. 20 LSubv réserve la communication des données traitées aux autres services de l'administration cantonale (données nécessaires à l'accomplissement de leurs tâches légales).

Se pose dès lors la question de la nécessité pour la Commune de se voir communiquer les données personnelles en question pour accomplir ses tâches légales.

Seul semble ressortir des échanges entre la Commune de Bretigny-sur-Morrens et la DIREN l'art. 4 al. 4 LATC qui prévoit que la Municipalité est chargée de faire observer les prescriptions légales et règlementaires, ainsi que les plans en matière d'aménagement du territoire et des constructions.

Nous n'avons pas connaissance d'une autre disposition qui préciserait les moyens à disposition de la Commune pour mettre en œuvre cette mission.

Il existe différentes dispositions dans la LATC portant sur des tâches d'inspection des bâtiments pour des questions de solidité, de sécurité et de salubrité des constructions (art. 93 LATC), des tâches de vérification des projets dans le cadre de la procédure de délivrance du permis de construire (art.104 LATC) ou portant encore sur la prise de mesures en cas de travaux non conformes aux dispositions légales et réglementaires (art. 105 LATC).

Il n'apparaît pas, a priori, que les communes disposent d'une tâche spécifique visant à rechercher activement et de manière indéterminée des preuves contre des personnes qui ne respecteraient pas la loi (sorte de "fishing expedition") sur le fondement des données obtenues par une autre entité publique dans un cadre distinct.

En effet, il nous semble douteux que la collecte de données personnelles par la Commune auprès d'autres autorités (ici, la DIREN) afin de débusquer d'éventuelles personnes en infraction (avec les conséquences qui peuvent en découler pour les personnes concernées) puisse se fonder sur l'un des articles précités. Par conséquent, une telle communication fondée sur l'accomplissement des tâches légales de la Commune ne nous semblerait pas respecter le droit à l'autodétermination informationnelle (art. 13 al. 2 de la Constitution fédérale du 18 avril 1999 [Cst. RS 101], art. 15 de la Constitution du canton de Vaud du 14 avril 2003 [Cst-VD; BLV 101.01]) et art. 36 Cst.

De notre point de vue, le cas d'espèce diffère sur plusieurs aspects de l'affaire traitée par la CDAP au sujet de la valeur ECA (arrêt GE.2017.0181). On relèvera dans un premier temps les finalités de la communication. Dans l'arrêt cité, il s'agissait d'une communication de données en vue de la perception d'une taxe (prévue dans un règlement communal). Dans le cas présent, il s'agit d'une tâche de recherche d'éventuels travaux non conformes. On relèvera également que, dans le cas concernant la commune de Prangins, la valeur ECA était expressément prévue comme base de calcul pour les émoluments dans une base légale, ce qui rendait à tout le moins l'utilisation de cette donnée reconnaissable pour les personnes concernées.

Qui plus est, même si la DIREN devait estimer que la communication est nécessaire à l'accomplissement de la tâche dévolue à la Commune, celle-ci aurait dû en informer les personnes concernées au moment de la collecte dans le cadre de la subvention (cf. art. 13 LPrD évoqué ci-dessus).

Il semblerait ainsi que seul le consentement des personnes concernées (lequel doit être libre et éclairé pour être valable selon l'art. 12 LPrD) puisse, en l'état, entrer en ligne de compte pour la communication des noms, prénoms, adresses des propriétaires ayant bénéficié d'une subvention de la DIREN à la Commune, les autres motifs justifiant une communication au sens de l'art. 15 LPrD n'étant à première vue pas pertinents en l'espèce".

C. Par décision du 2 octobre 2024, la DGE-DIREN a rejeté la requête de la municipalité de Bretigny-sur-Morrens (ci-après: la municipalité) du 30 mai 2024 tendant à la communication des données relatives aux bâtiments, respectivement aux propriétaires de bâtiments sis sur son territoire ayant obtenu des subventions entre 2022 et 2024. Elle a expliqué qu'il n'existait aucune disposition légale prévoyant expressément la communication à des communes de données personnelles qu'elle détenait dans le but de contrôler le respect de prescriptions du droit de la construction (cf. art. 15 al. 1 let. a de la loi du 11 septembre 2007 sur la protection des données personnelles [LPrD; BLV 172.65). Il n'était pas non plus établi que la municipalité en avait besoin pour accomplir ses tâches légales (cf. art. 15 al. 1 let. b LPrD). Seul le consentement libre et éclairé des personnes concernées au sens de l'art. 12 LPrD constituait un motif permettant la communication des données litigieuses. Lors de la collecte des données relatives aux personnes concernées, dans le cadre de la procédure d'octroi des subventions, le devoir d'information prévu par l'art. 13 LPrD imposait enfin qu'au cas où la communication desdites données était envisagée, des informations sur les catégories des destinataires des données soient transmises aux personnes concernées, ce qui n'avait pas été le cas.

D. Par acte du 15 octobre 2024, la municipalité a recouru contre la décision précitée de la DGE-DIREN auprès de l'APDI.

Une séance de conciliation s'est déroulée le 2 décembre 2024. Elle n'a pas abouti.

E. Le 28 novembre 2025, l'APDI a rejeté le recours de la municipalité et confirmé la décision de la DGE-DIREN du 2 octobre 2024. Elle a en particulier laissé ouverte la question de savoir si l'art. 20 LSubv, adopté avant l'entrée en vigueur de la LPrD, faisait obstacle à la communications des données requises aux autorités communales. L'autorité communale ne saurait se fonder sur l'art. 31 LPA-VD pour obtenir la communication des données par l'autorité intimée, sachant que la demande ne s'inscrivait pas dans le cadre d'une procédure en cours et qu'en outre, il s'agissait d'une demande faite sans motif précis ni question concrète. L'intéressée n'avait par ailleurs pas de tâche spécifique visant à rechercher activement et de manière indéterminée des preuves contre des personnes ou des projets de construction qui ne respecteraient pas la loi, de surcroît sur le fondement de données obtenues par une autre autorité dans le cadre de subventions. Il existait d'autres moyens bien moins incisifs permettant à la commune de réaliser les tâches qui lui incombaient. Au surplus, la communication des données requises était vague et étendue (plusieurs années, pas de soupçon particulier sur une parcelle, etc.). Il apparaissait ainsi difficilement admissible de transmettre de manière large des informations qui pourraient entraîner des conséquences, notamment pénales, pour des individus. Enfin, la disposition légale sur laquelle la DGE-DIREN s'était fondée pour rendre sa décision était potestative et l'on ne saurait lui imposer de transmettre les données requises dans le cas d'espèce, soit potentiellement à toutes les communes qui feraient une demande similaire.

F. Le 6 janvier 2026, la municipalité (ci-après aussi: la recourante) a attaqué la décision de l'APDI du 28 novembre 2025 devant la Cour de droit administratif et public du Tribunal cantonal (ci-après: la CDAP). Elle a pris les conclusions suivantes au fond:

"Principalement:

II. La décision de l'Autorité de protection des données et de droit à l'information est réformée en ce sens que la requête de la Municipalité de Bretigny-sur-Morrens est admise.

III. Il est ordonné à l'Autorité de protection des données et de droit à l'information de transmettre à la Municipalité de Bretigny-sur-Morrens la liste des bâtiments situés sur le territoire communal et ayant obtenu une subvention entre 2022 et 2024.

Subsidiairement à la conclusion III.:

IV Il est ordonnée à la Direction de l'énergie de transmettre à la Municipalité de Bretigny-sur-Morrens la liste des bâtiments situés sur le territoire communal et ayant obtenu une subvention entre 2022 et 2024.

Plus subsidiairement aux conclusions II., III. et IV.:

V. La Décision de l'Autorité de protection des données et de droit à l'information est annulée et la cause renvoyée à l'Autorité de protection des données et de droit à l'information pour nouvelle décision dans le sens des considérants".

Le 27 janvier 2026, l'APDI (ci-après: l'autorité intimée) a indiqué renoncer à déposer une réponse au recours.

Le 27 janvier 2026, la DGE-DIREN (ci-après: l'autorité concernée) s'est référée à la décision attaquée.

Le 9 février 2026, la recourante a persisté dans les conclusions prises dans son recours.

Le 1er juillet 2026, la recourante a produit un guide pratique sur les panneaux photovoltaïques que la commune avait reçu de l'ECA et indiqué persister dans ses conclusions.

Considérant en droit:

La recourante, destinataire de la décision lui refusant l'accès aux données, auquel elle prétend avoir droit, et qui est atteinte par celle-ci et présente un intérêt digne de protection à ce qu'elle soit annulée ou modifiée, a la qualité pour recourir au sens de l'art. 75 de la loi vaudoise du 28 octobre 2008 sur la procédure administrative (LPA-VD; BLV 173.36). Le recours a de plus été formé devant le tribunal compétent dans le délai de 30 jours (art. 31 al. 2 et 32 al. 5 LPrD ainsi que 95 et 96 LPA-VD) et le respect des formes prescrites (art. 79 et 99 LPA-VD).

Il y a lieu d'entrer en matière.

a) La sphère privée et les données personnelles sont protégées par l'art. 13 de la Constitution fédérale de la Confédération suisse du 18 avril 1999 (Cst.; RS 101) et l'art. 15 de la Constitution du Canton de Vaud du 14 avril 2003 (Cst-VD; BLV 101.01). Il ne peut donc y être porté atteinte par l'autorité qu'aux conditions des art. 36 Cst. et 38 Cst-VD, soit notamment au terme d'une pesée d'intérêts et dans le respect du principe de la proportionnalité. Dans le cadre de cette pesée d'intérêts, il y a lieu de prendre en compte, d'une part, la motivation de la demande de consultation et, d'autre part, la gravité de l'atteinte aux droits de la personnalité qu'elle est susceptible d'occasionner (TF 1C_584/2022 du 20 juin 2023 consid. 5.3 et la référence citée; voir aussi CDAP GE.2025.0196 du 11 décembre 2025 consid. 4a/aa).

b) aa) La loi vaudoise du 11 septembre 2007 sur la protection des données personnelles (LPrD; BLV 172.65) vise à protéger les personnes contre l'utilisation abusive des données personnelles les concernant (art. 1). Elle s'applique à tout traitement de données des personnes physiques ou morales (art. 3 al. 1 LPrD). La LPrD ne s’applique en revanche pas aux procédure civiles, pénales ou administratives (art. 3 al. 3 let. b LPrD). Le moment auquel une procédure est ouverte et celui auquel celle-ci se termine marquent le début et la fin de l’application de la loi spéciale de procédure en lieu et place de la LPrD (GE.2021.0091 du 8 décembre 2021 consid. 2b/cc; GE.2011.0181 du 1er mai 2012 consid. 2b; GE.2011.0034 du 2 mai 2011 consid. 2).

Constitue une donnée personnelle toute information qui se rapporte à une personne identifiée ou identifiable (art. 4 al. 1 ch. 1 LPrD); constitue une donnée sensible, toute donnée personnelle se rapportant aux opinions ou activités religieuses, philosophiques, politiques ou syndicales ainsi qu'à une origine ethnique, à la sphère intime de la personne, en particulier à son état psychique, mental ou physique, aux mesures et aides individuelles découlant des législations sociales et aux poursuites ou sanctions pénales et administratives (art. 4 al. 1 ch. 2 LPrD). Par identifiable, on entend une personne qui peut être identifiée, directement ou indirectement, par référence par exemple à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale (exposé des motifs et projet de loi, BGC législature 2007-2012, Conseil d'Etat, Tome I, [ci-après: EMPL LPrD] p. 146 adart. 3). Ne sont pas des données sensibles des données officielles généralement accessibles par divers moyens et qui ne révèlent rien sur la personnalité ou l'intimité de l'intéressé (TF 1C_388/2022, 1C_591/2022 du 28 avril 2023 consid. 4.6; 1C_467/2021 du 22 mars 2022 consid. 2.3).

Par traitement de données personnelles, on entend toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliqués à des données personnelles, notamment la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction (art. 4 al. 1 ch. 5 LPrD). Par communication, on entend le fait de rendre des données accessibles, notamment de les transmettre, les publier, autoriser leur consultation ou fournir des renseignements (art. 4 al. 1 ch. 6 LPrD). Et par loi au sens formel, on entend les lois au sens formel adoptées par le Grand Conseil ou, sur le plan communal, les règlements adoptés par les conseils généraux et communaux (art. 4 al. 1 ch. 13 LPrD).

bb) Selon l'art. 5 al. 1 LPrD, les données personnelles ne peuvent être traitées que si une base légale l'autorise (let. a) ou leur traitement sert à l'accomplissement d'une tâche publique (let. b). Aux termes de l'art. 5 al. 2 LPrD, des données sensibles ne peuvent quant à elles être traitées que si une loi au sens formel le prévoit expressément (let. a), l'accomplissement d'une tâche clairement définie dans une loi au sens formel l'exige absolument (let. b) ou la personne concernée y a consenti ou a rendu ses données accessibles à tout un chacun (let. c).

Il convient de regarder dans un premier temps si la base légale prévoit le traitement de données personnelles; ce dernier ne pourra alors se faire que dans le but fixé par la loi. Si seule la tâche est prévue dans la loi, un examen, de cas en cas, devra être effectué pour savoir si l'exécution de la tâche, telle que fixée dans la loi ou par la Constitution, comprend le traitement des données envisagé (EMPL LPrD, p. 150 adart. 4).

cc) Selon le principe de finalité (cf. art. 6 LPrD), les données ne doivent être traitées que dans le but indiqué lors leur collecte, tel qu'il ressort de la loi ou de l'accomplissement de la tâche publique concernée. Le traitement des données personnelles doit être conforme au principe de la proportionnalité (art. 7 LPrD). Conformément au principe de transparence, la collecte des données personnelles doit être reconnaissable pour la personne concernée (art. 8 LPrD).

Il est important que les données soient traitées à des fins spécifiques; ces fins peuvent être signalées soit lors de leur collecte, soit découler d'une loi, soit ressortir des circonstances. Le principe de la finalité découle, d'une certaine façon, du principe de la bonne foi, qui régit notamment les activités des autorités. Ainsi, lorsqu'elle fournit ses données personnelles, la personne concernée s'attend à ce qu'elles soient traitées conformément aux fins pour lesquelles elles sont collectées (EMPL LPrD, p. 151 ad art. 5 du projet, correspondant à l'art. 6 de la loi). Selon le principe de la proportionnalité, seules les données nécessaires à l'accomplissement des tâches des responsables du traitement peuvent être traitées. Chacune des entités soumises à la loi devra dès lors examiner de quelles données elle a besoin pour l'accomplissement de ses tâches et procéder à une pesée des intérêts entre l'atteinte potentielle découlant du traitement des données personnelles et les données qui lui sont réellement utiles (EMPL LPrD, p. 151 ad art. 6). Il ne doit pas y avoir de collecte ou de conservation de données "pour le cas où ("auf Vorrat)". Par exemple, les "fishing expeditions", c'est-à-dire le fait de rechercher de manière générale et indéterminée des moyens de preuves, sont contraires à la proportionnalité de principe (Commentaire romand de la Loi fédérale sur la protection des données [du 25 septembre 2020; LPD; RS 235.1], 2023 [ci-après: CR LPD], Philippe Meier/Nicolas Tschumy, art. 6 N. 31). Le principe de la transparence implique quant à lui que le caractère "reconnaissable" de la collecte des données devra être apprécié de cas en cas, conformément notamment au principe de la proportionnalité (EMPL LPrD, p. 151/152 ad art. 7).

dd) L'art. 13 LPrD prévoit que le responsable du traitement informe la personne concernée de toute collecte des données personnelles la concernant (al. 1). Les informations fournies à la personne concernée sont les suivantes (al. 2): l'identité du responsable du traitement (let. a), la finalité du traitement pour lequel les données sont collectées (let. b), au cas où la communication des données est envisagée, les catégories des destinataires des données (let. c), le droit d'accéder aux données (let. d), la possibilité de refuser de fournir les données requises et les conséquences d'un tel refus (let. e). Si les données ne sont pas collectées auprès de la personne concernée, le responsable du traitement doit fournir par écrit à cette dernière les informations énumérées à l'alinéa précédent, au plus tard lors de l'enregistrement des données, à moins que cela ne s'avère impossible, ne nécessite des efforts disproportionnés ou que l'enregistrement ou la communication ne soient expressément prévus par la loi (al. 3). L'art. 14 LPrD présente les restrictions du devoir d'information.

L'art. 15 LPrD prévoit de son côté en particulier ce qui suit:

"1 Les données personnelles peuvent être communiquées par les entités soumises à la présente loi lorsque:

a. une disposition légale au sens de l'article 5 le prévoit;

b. le requérant établit qu'il en a besoin pour accomplir ses tâches légales;

c. le requérant privé justifie d'un intérêt prépondérant à la communication primant celui de la personne concernée à ce que les données ne soient pas communiquées;

d. la personne concernée a expressément donné son consentement ou les circonstances permettent de présumer ledit consentement;

e. la personne concernée a rendu les données personnelles accessibles à tout un chacun et ne s'est pas formellement opposée à leur communication; ou

f. le requérant rend vraisemblable que la personne concernée ne refuse son accord que dans le but de l'empêcher de se prévaloir de prétentions juridiques ou de faire valoir d'autres intérêts légitimes; dans ce cas, la personne concernée est invitée, dans la mesure du possible, à se prononcer, préalablement à la communication des données".

La communication des données constitue l'un des traitements susceptibles de porter le plus atteinte à la personne concernée. Les moyens informatiques permettent aujourd'hui de transférer de nombreuses données ou de prévoir des connexions entre elles, rendant ainsi possible la constitution de super fichiers. Cette dérive doit être empêchée, tout en évitant de poser des règles trop restrictives, peu propices à une administration efficace. Le projet de loi pose des conditions générales applicables à la communication des données, qui s'appliquent au cas où d'autres dispositions légales spécifiques ne régissent pas ce traitement des données. Les dispositions applicables à la communication des données concernent non seulement la communication entre les services de l'administration cantonale, mais également la communication entre eux et d'autres autorités (communales ou fédérales), de même que la communication avec des personnes privées. Par conséquent, avant de voir si la communication d'une donnée répond aux exigences posées par la loi, il convient de se rapporter aux dispositions légales régissant l'activité du responsable du traitement. Lorsque l'une des conditions énumérées par l'art. 14 [ndlr.: du projet] est remplie, le responsable du traitement peut communiquer des données; la formulation potestative signifie qu'il dispose toujours de la possibilité, s'il estime ne pas devoir donner suite à une demande, de refuser de transmettre les données. Demeurent cependant réservés les cas où il est tenu de communiquer la donnée en vertu d'une disposition légale (EMPL LPrD, p. 155/156 ad art. 14).

La communication de données entre organes étatiques est en principe en porte-à-faux avec le principe de finalité (puisque les données ne sont en général pas collectées en vue de la communication). Sous cet angle, la communication peut comporter des risques (considérables) pour la protection de la personnalité des personnes concernées (CR LPD, Astrid Epiney, art. 36 N. 2). Mais, dans tous les cas, et surtout lorsque la base légale ne prévoit pas d'obligation, mais uniquement une possibilité de communiquer des données personnelles, les principes généraux (principe de finalité, proportionnalité, etc.) doivent être respectés et peuvent, le cas échéant, impliquer qu'une communication prévue par une base légale spécifique, et partant, en règle générale possible n'est pas licite. En principe, la communication doit en particulier correspondre à l'objectif original de la collecte des données (principe de finalité). Les données personnelles ne doivent être traitées que dans le but qui était poursuivi lors de leur collecte, ou du moins dans un but compatible avec le but original, afin que la personne concernée puisse s'attendre au traitement, respectivement que celui-ci ait été prévisible (cf. CR LPD, Astrid Epiney, art. 36 N. 19, qui se réfère à l'arrêt TF 2A.424/2000 consid. 2d du 13 février 2001, selon lequel la communication de données personnelles collectées dans le cadre de la procédure d'asile aux autorités de migration était conforme au principe de finalité, puisque les deux autorités publiques étaient chargées de vérifier la question du droit de séjour des personnes concernées).

S'agissant plus spécifiquement de l'art. 15 al. 1 let. a LPrD, la base légale en question doit prévoir la communication des données personnelles et non le traitement de celles-ci de manière générale (EMPL LPrD, p. 156 ad art. 14). Concernant l'art. 15 al. 1 let. b LPrD, les tâches légales doivent clairement ressortir de la loi sur laquelle le requérant fonde sa demande (EMPL LPrD, p. 156 ad art. 14). S'agissant de l'art. 36 al. 2 let. a LPD, selon lequel les organes fédéraux peuvent, dans un cas d’espèce, communiquer des données personnelles si la communication des données est indispensable à l’accomplissement des tâches légales du responsable du traitement ou du destinataire, il faut que le destinataire de la communication ou le responsable du traitement ne soit pas en mesure d'accomplir une tâche qui est clairement définie dans une loi (au sens formel ou matériel) sans la communication en question. Dès lors, le seul fait que la communication rende l'accomplissement de la tâche légale plus facile, plus efficace, plus agréable ou éventuellement moins compliquée est insuffisant. Dans ce contexte, le respect des principes généraux est également d'une grande importance, notamment le principe de finalité. Ainsi, la communication ne peut avoir lieu que si elle est compatible avec la finalité pour laquelle les données ont été collectées (cf. CR LPD, Astrid Epiney, art. 36 N. 26).

Les conditions énumérées à l'art. 15 al. 1 LPrD ne sont pas exhaustives; il suffit que l'une de ces conditions soit réalisée pour que la communication soit permise (cf. CDAP GE.2023.0162 du 2 février 2024 consid. 2d; GE.2022.0235 du 10 novembre 2022 consid. 9a; GE.2022.0019 du 20 juin 2022 consid. 9a).

ee) Selon l'art. 25 LPrD, toute personne a, en tout temps, libre accès aux données la concernant (al. 1). Elle peut également requérir du responsable du traitement la confirmation qu'aucune donnée la concernant n'a été collectée (al. 2).

L'art. 28 LPrD prévoit que toute personne a le droit de s'opposer à ce que les données personnelles la concernant soient communiquées, si elle rend vraisemblable un intérêt digne de protection (al. 1). Le responsable du traitement rejette ou lève l'opposition (al. 2) si la communication est expressément prévue par une disposition légale (let. a), si la communication est indispensable à l'accomplissement des tâches publiques du destinataire des données et prime les intérêts de la personne concernée (let. b). Concernant des données dont la transmission est expressément prévue par une disposition légale, le tribunal de céans a considéré que la transmission de ces données à des tiers pouvait être effectuée par l’autorité sans l'accord préalable de la personne concernée (cf. CDAP GE.2017.0181 du 16 mars 2018 consid. 2d; GE.2016.0084, GE.2016.0091 du 16 décembre 2016 consid. 3b).

c) Selon le Tribunal fédéral, le fait qu'un droit d'accès, en matière de droit à l'information, puisse avoir des conséquences désagréables pour une personne n'a pas à être pris en considération (TF 1C_13/2023, 1C_226/2023 du 9 août 2024 consid. 4.1.2; 1C_388/2022 du 28 avril 2023 consid. 4.6; concernant l'art. 7 de la loi fédérale du 17 décembre 2004 sur le principe de la transparence dans l'administration [LTrans; RS 152.3], voir ATF 142 II 324 consid. 3.4 et arrêt TF 1C_428/2016 du 27 septembre 2017 consid. 2 non publié in ATF 144 II 77).

La question en l'occurrence de savoir si la recourante désire se voir transmettre la liste uniquement des bâtiments ayant obtenu des subventions auprès de la DGE-DIREN pour les années 2022 à 2024 (cf. notamment son courriel du 30 mai 2024 et ce qu'elle invoque dans son recours) ou plutôt les noms des propriétaires, respectivement les parcelles ayant obtenu de telles subventions (cf. son courriel du 22 juin 2024) n'est pas déterminante. Quoi qu'il en soit, et ainsi que le relève l'autorité intimée dans la décision attaquée, une telle nuance n'a pas d'incidence en la matière. L'objectif de la recourante est en effet d'identifier les travaux effectués sur les bâtiments concernés qui n'auraient pas fait l'objet des autorisations communales adéquates. Ceci lui permettra toutefois d'identifier aussi les propriétaires qui n'auraient pas respecté les règles découlant en particulier de la loi vaudoise du 4 décembre 1985 sur l'aménagement du territoire et les constructions (LATC; BLV 700.11) et de son règlement d'application, sachant qu'il lui sera possible de définir sur la base de la liste de ces bâtiments les noms des propriétaires en cause par une simple consultation du registre foncier (sans parler des autres registres auxquels les communes ont accès).

Les données requises par la recourante constituent des données personnelles au sens de l'art. 4 al. 1 ch. 1 LPrD, et non pas sensibles.

Se pose tout d'abord la question de savoir si les renseignements requis par la recourante pourraient lui être communiqués sous l'angle de l'art. 15 al. 1 let. a LPrD, soit parce qu'une disposition légale au sens de l'art. 5 LPrD le prévoit. C'est en particulier ce que fait valoir l'intéressée, invoquant à ce propos différentes dispositions de la LATC, de la loi vaudoise du 27 mai 1970 sur la prévention des incendies et des dangers résultant des éléments naturels (LPIEN; BLV 963.11) ainsi que du règlement du 28 septembre 1990 d'application de la LPIEN (RLPIEN; BLV 963.11.1).

a) aa) Aux termes de l'art. 1er de la loi vaudoise du 22 février 2005 sur les subventions (LSubv; BLV 610.15), celle-ci a pour but de définir les règles applicables aux subventions accordées par l'Etat (al. 1). Elle s'applique à toutes les subventions octroyées directement ou indirectement par l'Etat (al. 2). L'art. 20 LSubv ("protection des données") prévoit que les organes chargés d'appliquer la LSubv ou d'en surveiller l'exécution traitent les données transmises de manière confidentielle; ils communiquent aux autres services de l'administration cantonale les données nécessaires à l'accomplissement des tâches que leur assigne la loi.

Concernant l'art. 20 LSubv, il était précisé dans le rapport de la commission de l'époque chargée d'étudier cet objet que "La relation de cet article avec les lois fédérale et cantonale sur la protection des données a été évoquée. Le vœu a été exprimé que, lors de la nécessaire révision de la loi cantonale sur la protection des données, on aille vers une meilleure fluidité dans la circulation horizontale de l'information, au sein de l'administration cantonale – tout en respectant, bien sûr, le droit supérieur en vigueur" (exposé des motifs et projet de loi, BGC législature 2002-2007, Conseil d'Etat, Tome I, [ci-après: EMPL LSubv] p. 7464/7465 adart. 21).

bb) Selon l'art. 40b de la loi vaudoise du 16 mai 2006 sur l'énergie (LVLEne; BLV 730.01), les mesures prises en application de la présente loi peuvent faire l'objet d'une subvention notamment: les réalisations techniques (al. 1 let. a). Les subventions sont allouées en fonction des priorités fixées par la politique énergétique cantonale (al. 2). Lorsque le bénéficiaire touche déjà des subventions d'autres services de l'Etat, le service, soit celui en charge de l'énergie, informe ces derniers de la décision d'octroi de la subvention (al. 3bis).

Aux termes de l'art. 55 de la nouvelle loi vaudoise sur l'énergie (ci-après: la nLVLEne), adoptée par le Grand Conseil le 3 février 2026 et qui devrait entrer en vigueur le 1er janvier 2027, le service peut communiquer à la Confédération, aux autres services cantonaux, aux corporations, établissements et fondations de droit public ainsi qu'aux communes les données personnelles nécessaires à l'accomplissement de leurs tâches légales (al. 1). Cette disposition prévoit l'échange de données entre le service et d'autres autorités et entités publiques pour réaliser leurs tâches réciproques dans le but d'atteindre une certaine efficience au niveau des bases de données, notamment cantonales (Exposé des motifs et projet de loi sur l'énergie [LVLEne] [ci-après: EMPL LVLEne] p. 74 ad art. 55).

cc) L'art. 109 LATC, qui prévoit le principe de la mise à l'enquête publique d'une demande de permis de construire, constitue une disposition au sens de l'art. 15 al. 1 let. a LPrD autorisant la communication de données personnelles dans le cadre de l'enquête publique; il est la manifestation de l'importance que le législateur attribue aux droits des voisins et du public dans le cadre de l'aménagement du territoire et des constructions (cf. CDAP GE.2024.0217 du 19 août 2024 consid. 3e).

b) Au vu en l'occurrence des différentes dispositions légales précitées, il y a lieu de relever que, comme le souligne l'autorité intimée, aucune base légale au sens de l'art. 15 al. 1 let. a LPrD ne prévoit actuellement expressément la communication aux communes à des fins de contrôle en matière de police des constructions et de prévention des incendies de la liste des bâtiments, et donc de leurs propriétaires, ayant bénéficié de subventions énergétiques cantonales.

Si l'art. 20 LSubv prévoit certes la possibilité pour les organes chargés d'appliquer cette loi ou d'en surveiller l'exécution de communiquer des données, une telle communication ne vise que les autres services de l'administration cantonale qui ont ainsi le droit de disposer des données nécessaires à l'accomplissement des tâches que leur assigne la loi. Une telle communication entre services cantonaux seulement en matière de subventions énergétiques est aussi prévue à l'art. 40b al. 3bis LVLEne. L'art. 55 al. 1 nLVLEne semblerait de son côté certes permettre la communication des données personnelles visée en l'espèce par la recourante; elle n'est cependant pas encore applicable, puisque l'entrée en vigueur de la nLVLEne est a prioriprévue pour le 1er janvier 2027. Quant à l'art. 109 LATC, on ne voit pas qu'il trouve directement application en l'occurrence.

Se pose ensuite la question de savoir si les renseignements requis pourraient être communiqués à la recourante sous l'angle de l'art. 15 al. 1 let. b LPrD, aucune autre hypothèse de l'art. 15 al. 1 LPrD que celle déjà traitée au consid. 4 ci-dessus n'entrant en ligne de compte. La recourante invoque à ce propos différentes dispositions de la LATC et de la LPIEN et de son règlement d'application, faisant ainsi en particulier valoir ses prérogatives de puissance publique, fondées sur la législation sur l'aménagement du territoire et les constructions ainsi que sur la prévention des incendies, étant rappelé en particulier la nécessité d'obtenir une autorisation avant l'exécution de tous travaux.

a) aa) Aux termes de l'art. 4 al. 4 LATC, la municipalité est chargée de faire observer les prescriptions légales et règlementaires, ainsi que les plans en matière d'aménagement du territoire et des constructions. Conformément à l'art. 93 LATC, la municipalité fait procéder à des inspections des bâtiments chaque fois qu'elle le juge nécessaire ainsi que sur la demande motivée des propriétaires, des locataires ou des médecins notamment; le propriétaire et les personnes qui ont requis l'inspection en sont avisés; le règlement communal peut prescrire des inspections périodiques (al. 1). Lorsqu'un bâtiment est reconnu insalubre ou dangereux et que le propriétaire ne prend aucune mesure pour y remédier dans le délai qui lui est imparti, la municipalité en ordonne l'évacuation et retire le permis d'habiter (al. 2). Selon l'art. 103 LATC, aucun travail de construction ou de démolition, en surface ou en sous-sol, modifiant de façon sensible la configuration, l'apparence ou l'affectation d'un terrain ou d'un bâtiment, ne peut être exécuté avant d'avoir été autorisé; les art. 69a al. 1, et 72a al. 2, sont réservés (al. 1). Ne sont pas soumis à autorisation: (...) (al. 2). Les travaux de construction ou de démolition doivent être annoncés à la municipalité; ils ne peuvent commencer sans la décision de cette dernière (al. 4). L'art. 103a LATC précise que la municipalité veille à ce que le diagnostic amiante et l'assainissement soient effectués conformément aux normes édictées en la matière par le département en charge des bâtiments de l'Etat (al. 2). L'art. 104 LATC indique qu'avant de délivrer le permis, la municipalité s'assure que le projet est conforme aux dispositions légales et réglementaires et aux plans d'affectation légalisés ou en voie d'élaboration (al. 1). Conformément à l'art. 105 al. 1 LATC, la municipalité, à son défaut le département, est en droit de faire suspendre et, le cas échéant, supprimer ou modifier, aux frais du propriétaire, tous travaux qui ne sont pas conformes aux prescriptions légales et réglementaires. Aux termes de l'art. 127 LATC, la municipalité ordonne la suspension des travaux dont l'exécution n'est pas conforme aux plans approuvés, aux prescriptions légales et réglementaires ou aux règles de l'art de construire. Selon l'art. 128 al. 1 LATC, aucune construction nouvelle ou transformée ne peut être occupée sans l'autorisation de la municipalité; cette autorisation, donnée sous la forme d'un permis, ne peut être délivrée que si les conditions fixées par le permis de construire ont été respectées et si l'exécution correspond aux plans mis à l'enquête; le préavis de la commission de salubrité est requis.

L'art. 68 al. 1 let. c du règlement du 19 septembre 1986 d'application de la LATC (RLATC; BLV 700.11.1) prévoit que l'exécution ou la transformation d'installations fixes de chauffage ou utilisant le gaz, de canaux de fumée et d'installations importantes de toute nature sont subordonnés à l'autorisation de la municipalité. Conformément à l'art. 68c RLATC, l'installation d'une pompe à chaleur air/eau ou air/air à l'intérieur d'un bâtiment existant est dispensé d'autorisation de construire (al. 1). L'installation d'une pompe à chaleur air/eau ou air/air à l'extérieur d'un bâtiment existant est dispensé d'autorisation de construire lorsque différentes conditions cumulatives sont réalisées (cf. al. 2). Les installations visées aux al. 1 et 2 doivent être annoncées à la commune au moyen du formulaire d'annonce mis à disposition par le service en charge de l'environnement en y joignant le plan de situation et la fiche technique; l'art.103 al. 4 et 5 LATC est applicable pour le surplus.

bb) Selon l'art. 1 LPIEN, cette loi a pour objet la protection des personnes et des biens contre les dangers d'incendie, d'explosion et contre ceux résultant des éléments naturels. L'art. 2 al. 1 let. c LPIEN prévoit que les autorités chargées de l'application de la loi sont notamment les municipalités. L'art. 6 LPIEN indique que la municipalité veille à l'application de la législation cantonale ou communale sur les constructions et l'aménagement du territoire destinée à prévenir les dangers d'incendie. L'art. 16 LPIEN précise de son côté qu'aucun nouveau canal de fumée ne peut être mis en service sans avoir été préalablement contrôlé par l'autorité communale compétente.

L'art. 3 RLPIEN, se fondant sur la LPIEN, prévoit de son côté qu'avant de délivrer le permis de construire, d'habiter ou d'utiliser, la municipalité s'assurera que la construction et ses aménagements ne présentent pas ou ne sont pas exposés à des risques importants ou particuliers d'incendie ou de dommages résultant de l'action des éléments naturels. Selon l'art. 4 RLPIEN, quiconque entend créer, transformer ou modifier une cheminée ou un canal de fumée doit en informer préalablement la municipalité (al. 1). En outre, tout canal de fumée nouveau, transformé ou modifié ne pourra pas être mis en service avant d'avoir été contrôlé par la municipalité (al. 2, 1ère phr.).

b) Il ressort clairement de l'ensemble des dispositions précitées que la municipalité dispose de la compétence légale d'accomplir différentes tâches en matière de contrôle des bâtiments et installations, pour s'assurer en particulier de leurs sécurité, solidité et salubrité, ainsi que dans le domaine de la prévention des incendies et des dangers résultant des éléments naturels. Il lui revient ainsi en particulier, comme la recourante le relève dans son recours, de veiller à ce que les exigences en matière de protection contre l'incendie – dont le contrôle est d'autant plus important en matière d'installations de chauffage et d'électricité –, d'élimination de la présence d'amiante, d'isolation thermique ou de hauteur de garde-corps ou d'ouvrages par exemple soient respectées. N'est à cet égard pas déterminant le fait que la municipalité n'ait, comme le souligne l'autorité intimée, "pas de tâche spécifique visant à rechercher activement et de manière indéterminée des éléments contre des personnes ou des projets de construction qui ne respecteraient pas la loi".

Il est vrai que les art. 20 LSubv et 40b LVLEne ne prévoient la communication de données personnelles en lien avec l'octroi de subventions énergétiques cantonales qu'à d'autres services cantonaux et non pas aux communes. En outre, l'art. 55 nLVLEne, qui constituera une base légale pour la transmission de données personnelles aux communes en matière énergétique, n'est pas encore en vigueur. Il n'en demeure pas moins que l'art. 20 LSubv en particulier a été adopté avant la LPrD. Quoi qu'il en soit en outre, l'art. 15 al. 1 let. b LPrD, soit une disposition figurant dans la loi régissant la protection des données, permet précisément la communication de données personnelles à une commune, pour autant que celle-ci établisse qu'elle en a besoin pour accomplir ses tâches légales.

On relève par ailleurs que la vérification, à laquelle souhaite procéder la recourante, de la conformité aux règlementations applicables des travaux effectués qui ont bénéficié de subventions énergétiques peut difficilement être entreprise autrement que par la communication des renseignements telle que requise par l'intéressée auprès de la DGE. L'on ne voit en effet pas que la municipalité soit contrainte de faire une inspection de l'ensemble des bâtiments sis dans sa commune, voire de ceux qui paraissent avoir fait l'objet de travaux récents, pour s'assurer que les demandes de permis nécessaires ont bien été déposées, ceci paraissant disproportionné. La solution consistant à interpeller par courrier les propriétaires de tous les bâtiments se trouvant dans la commune n’apparaît également pas adéquate dès lors qu’on ne pourrait être certain qu'ils déclarent effectivement les éventuels travaux entrepris. Comme le relève au surplus la recourante, il apparaît difficilement envisageable pour elle de pouvoir consulter l'ensemble des déclarations fiscales des propriétaires d'immeubles, dont certains pourraient d'ailleurs ne pas avoir déclaré la subvention reçue. L'on ne voit en outre pas que l'on soit, en violation du principe de la proportionnalité, à proprement parler dans un cas de "fishing expedition", soit de recherche généralisée et indéterminée de moyens de preuve, "pour le cas où". L'objectif de la recourante est de pouvoir connaître les bâtiments ayant obtenu des subventions en matière d'énergie pour les années 2022 à 2024, de manière à identifier les bâtiments concernés qui n'auraient pas fait l'objet des autorisations nécessaires en particulier en matière de police des constructions et de prévention des incendies. Une telle recherche ne porte ainsi que sur les années 2022 à 2024 et uniquement sur les bâtiments sis sur le territoire communal ayant obtenu des subventions de l'autorité concernée, la recourante ayant en outre des soupçons quant à une éventuelle absence d'annonce de travaux pour certains de ces bâtiments.

Il est certes clair que, lors de sa demande de subvention pour des travaux énergétiques, la personne concernée donne à la DGE-DIREN les informations personnelles nécessaires à l'octroi d'une telle subvention, qui vise à favoriser la politique énergétique cantonale. Cette subvention est toutefois requise en lien avec des travaux à effectuer sur son bâtiment, pour lesquels le requérant ne peut pas ignorer qu'une autorisation communale pourrait être nécessaire. Ainsi, la communication à la recourante des bâtiments sis sur son territoire ayant bénéficié de subventions pour les années 2022 à 2024 ne porte pas atteinte aux principes de finalité et de transparence. Le but visé par la commune, soit s'assurer en particulier que la règlementation en matière de sécurité, solidité et salubrité des bâtiments ainsi que de prévention des incendies est respectée, est en effet compatible avec le but original poursuivi lors de la collecte des données personnelles par l'autorité concernée, qui octroie des subventions dans le cadre de travaux. L'on peut d'ailleurs rappeler que, lors de l'élaboration de la LPrD, il a été précisé qu'en matière de communication des données, il s'agissait d'éviter de poser des règles trop restrictives, peu propices à une administration efficace (cf. supra consid. 2b/dd).

L'on ne voit enfin pas qu'un intérêt public ou privé prépondérant puisse s'opposer à la communication des renseignements requis par la recourante. Il est vrai que les subventions versées par la DGE-DIREN ont pour but de favoriser la politique énergétique cantonale, en particulier l'utilisation d'énergies renouvelables, et que la communication des données telle que requise pourrait retenir certains propriétaires à entreprendre de tels travaux. Il n'en demeure pas moins que toute personne qui entend procéder à des travaux sur son bâtiment est quoi qu'il en soit en principe tenue de les annoncer à sa commune. Sur le plan privé, la liste des bâtiments, et donc des propriétaires, ayant bénéficié des subventions énergétiques à Bretigny-sur-Morrens pour les années 2022 à 2024 ne contient pas de données sensibles. Cette liste ne sera en outre transmise qu'à l’autorité communale, qui ne prendra par ailleurs d'éventuelles mesures qu'à l'égard des propriétaires qui n'auraient pas annoncé les travaux entrepris. Le fait que, comme le relève l'autorité intimée, le non-respect des normes en matière de police des constructions et de prévention des incendies pourrait exposer les personnes concernées à des conséquences administratives, voire à des poursuites pénales, n'est pas déterminant. Tout propriétaire est en effet tenu d'aménager sa parcelle dans le respect du droit applicable et ne saurait être "récompensé" pour ne pas avoir informé la municipalité des travaux qu'il souhaitait entreprendre. L'on peut d'ailleurs rappeler l'importance que le législateur attribue aux droits d’être informés des voisins et du public dans le cadre des procédures dans le domaine de l'aménagement du territoire et des constructions.

c) La communication à la recourante de la liste des bâtiments sis sur son territoire ayant bénéficié de subventions de la part de l'autorité concernée pour les années 2022 à 2024 répond en conséquence à un besoin de l'autorité communale pour accomplir ses tâches légales au sens de l'art. 15 al. 1 let. b LPrD.

Il ressort du considérant qui précède que le principe de la communication doit ainsi être reconnu.Se pose encore la question de savoir si, par qui et comment une éventuelle procédure d'information des personnes concernées devrait être mise en œuvre. Cette question est d'autant plus importante à résoudre que, comme l'explique la DGE-DIREN, les décisions de subventions qu'elle notifie aux bénéficiaires indiquent expressément ce qui suit: "L'Etat de Vaud peut recueillir toutes informations utiles auprès du requérant; ces informations seront traitées de manière confidentielle".Cette question n'a cependant, compte tenu de la décision entreprise, pas été traitée jusqu'à maintenant.

La jurisprudence considère qu'il n'appartient pas au tribunal de reconstituer, comme s'il était l'instance précédente, l'état de fait ou la motivation qu'aurait dû comporter la décision attaquée (CDAP AC.2021.0399 du 23 mars 2023 et les références citées; cf. aussi art. 90 al. 2 LPA-VD). Il se justifie par conséquent de renvoyer le dossier à l'autorité intimée pour le traitement de la question de la nécessité ou non de l'information des personnes concernées ainsi que de ses éventuelles modalités, voire de celle de leur éventuel droit d'opposition, même si, compte tenu du considérant 5 qui précède, on peut penser que les personnes concernées n'ont vraisemblablement pas d'intérêt digne de protection à s'opposer à la communication en cause.

Dans la mesure où le recours est admis pour les motifs qui précèdent, il n’est pas nécessaire d’examiner les autres griefs de la recourante ni de donner suite à sa requête d'audition.

Il résulte de ce qui précède que le recours doit être admis, la décision attaquée annulée et la cause renvoyée à l'autorité intimée pour nouvelle décision dans le sens des considérants. L'arrêt sera rendu sans frais, la procédure en matière de LPrD étant gratuite (cf. art. 33 al. 1 LPrD), ni dépens, la recourante n'étant pas assistée (cf. art. 55, 91 et 99 LPA-VD).

Par ces motifs

la Cour de droit administratif et public

du Tribunal cantonal

arrête:

I. Le recours est admis.

II. La décision de l'Autorité de protection des données et de droit à l'information du 28 novembre 2025 est annulée et la cause lui est renvoyée pour nouvelle décision dans le sens des considérants.

III. Il est statué sans frais judiciaires ni dépens.

Lausanne, le 23 juillet 2026

Le président: La greffière:

Le présent arrêt est communiqué aux participants à la procédure.

Il peut faire l'objet, dans les trente jours suivant sa notification, d'un recours au Tribunal fédéral (Tribunal fédéral suisse, 1000 Lausanne 14). Le recours en matière de droit public s'exerce aux conditions des articles 82 ss de la loi du 17 juin 2005 sur le Tribunal fédéral (LTF - RS 173.110), le recours constitutionnel subsidiaire à celles des articles 113 ss LTF. Le mémoire de recours doit être rédigé dans une langue officielle, indiquer les conclusions, les motifs et les moyens de preuve, et être signé. Les motifs doivent exposer succinctement en quoi l’acte attaqué viole le droit. Les pièces invoquées comme moyens de preuve doivent être jointes au mémoire, pour autant qu’elles soient en mains de la partie; il en va de même de la décision attaquée.