POUVOIR JUDICIAIRE
A/1591/2023-FPUBL ATA/820/2023
COUR DE JUSTICE
Chambre administrative
Arrêt du 9 août 2023
dans la cause
A______ recourante représentée par Me Romain JORDAN, avocat
contre
DÉPARTEMENT DE LA COHÉSION SOCIALE intimé
EN FAIT
A. a. Dès le 1er juillet 1999, A______, née le ______ 1974, a été engagée en tant que secrétaire 1 auprès du service du Tuteur général, devenu le service de protection de l’adulte (ci‑après : SPAd). Le 1er avril 2013, elle a été promue secrétaire 2.
b. Le 16 novembre 2022, une altercation a eu lieu entre elle et une de ses collègues, B______.
c. Le 22 novembre 2022, A______, la direction du SPAd et la responsable de secteur ressources humaines (ci-après : RRH) ont eu un entretien à ce sujet.
A______ a reconnu avoir giflé B______ parce que cette dernière refusait, malgré ses réitérées demandes, de lui remettre une fourre qu’elle‑même avait déposée dans une pelle à l’attention de sa hiérarchie, afin que celle-ci répartisse le travail comme cela avait été décidé. La tension était montée entre elles, elle s’était sentie humiliée par le ton et les propos de sa collègue et avait perdu ses moyens. Son geste n’était ni prémédité ni réfléchi. Elle n’avait giflé sa collègue que du bout des doigts, une chaise entravant le mouvement de son bras et l’empêchant de prendre de l’élan avec sa main. Elle regrettait vivement son geste et s’en était excusée auprès de B______. Elle trouvait difficile de travailler avec cette dernière et, au fil des mois, la tension était progressivement montée entre celle-ci et les autres membres de l’équipe. La direction lui avait alors indiqué avoir consulté son dossier du personnel et y avoir trouvé différents rappels à l’ordre concernant l’enregistrement du temps de travail et la venue de ses enfants dans les locaux du SPAd.
Les annexes mentionnées étaient jointes au compte rendu y relatif qui lui a été adressé le 10 mars 2023.
d. Dans ses observations subséquentes du 28 novembre 2022, A______ s’est expliquée sur les faits reprochés, dont elle contestait l’appréciation. Elle a également renouvelé ses regrets pour un geste qu’elle n’aurait jamais pensé pouvoir commettre.
e. Le 23 novembre 2022, B______ a été entendue sur les mêmes faits.
Selon elle, A______ l’avait violemment giflée sur la joue gauche parce qu’elle avait refusé de lui donner une fourre qu’elle devait remettre à leur hiérarchie selon les consignes de celle-ci. Après l’avoir giflée, A______ et une autre collègue s’étaient tenues devant elle pour l’empêcher de sortir du bureau. Elle avait eu peur et s’était sentie en danger jusqu’à ce que d’autres collègues arrivent dans le bureau après avoir entendu le ton monter. B______ avait également fait part de certains éléments concernant A______ : elle consultait régulièrement l’application CALVIN pour se renseigner sur des tiers ; elle passait beaucoup de temps sur Internet et accomplissait de nombreuses activités privées pendant ses heures de travail, ne travaillant ainsi effectivement qu’à 50 % ; elle avait à plusieurs reprises fait entrer ses enfants dans les locaux du SPAd, contrairement aux directives internes et y compris après avoir été remise à l’ordre sur ce point ; elle timbrait régulièrement 30 minutes de pause pour le déjeuner alors qu’elle s’absentait plus longtemps.
f. Sur demande de la RRH du 29 novembre 2022, la secrétaire générale du département de la cohésion sociale (ci-après : DCS) a donné son accord, le 1er décembre 2022, afin d’effectuer un contrôle individualisé de l’ordinateur de A______ par le département des infrastructures, devenu depuis lors le département des institutions et du numérique soit l’office cantonal des systèmes d’information et du numérique (ci-après : OCSIN).
g. Le 17 février 2023, le directeur du SPAd a convoqué A______ à un entretien de service qui a eu lieu le 8 mars 2023.
Selon le compte rendu y relatif, transmis à l’intéressée le 10 mars 2023, le contrôle individualisé de l’ordinateur, effectué pour la période de mars 2019 à décembre 2022, avait mis en évidence les éléments suivants : la réalisation de 541 recherches avancées dans l’application CALVIN sur des personnes non suivies par le SPAd ; une utilisation régulière d’Internet à des fins privées durant les heures de travail (consultation de 539 sites et visionnage de vidéos) ; l'utilisation de la messagerie professionnelle à des fins privées (envoi de 15 messages – avec, à partir du 1er septembre 2017, en pièce jointe le menu du jour – par mois en moyenne à l’adresse du restaurant géré par son époux, un grand nombre d’échanges de nature privée liés à divers sujets tels qu’achats, assurances, banques, factures, médecins, correspondances, etc.) ; le stockage de nombreux dossiers personnels ; un enregistrement du temps de travail non conforme aux directives (timbrage de la pause de midi à 46 reprises de manière consécutive à des intervalles de une à sept minutes). A______ a contesté certains faits reprochés, ainsi que la réalisation dudit contrôle sans en avoir été informée et uniquement sur la base des propos de B______, lesquels l’avaient choquée. Elle se réservait le droit de se déterminer à réception des éléments du dossier.
Au terme de cet entretien, l’employeur a indiqué qu’il envisageait une résiliation des rapports de service pour motif fondé. Dans cette hypothèse, une procédure de reclassement serait menée préalablement.
Étaient joints divers documents dont les relevés des consultations de l’application CALVIN et de divers sites Internet.
h. a. Par courrier du 23 mars 2023, A______ a sollicité de la secrétaire générale du DCS la notification d’une décision sujette à recours, indiquant notamment les motifs ayant fondé l’autorisation de procéder au contrôle individualisé de son ordinateur par l’OCSIN. Celui-ci avait été ordonné en violation de la protection de ses données personnelles et de sa sphère privée.
h. b. En parallèle, elle a requis du SPAd la prolongation du délai pour se déterminer à la suite de son entretien de service, ainsi que la production de divers documents, dont la demande d’autorisation de contrôle individualisé et la décision autorisant l’accès informatique, ainsi que les données brutes et les logos des recherches informatiques effectuées.
i. S’en sont suivis divers échanges entre le SPAd et A______, au cours desquels celui-là lui a transmis plusieurs documents.
En particulier, le 30 mars 2023, il lui a remis un courriel du 19 janvier 2023 de la cellule enquêtes et investigation (ci-après : CEI) de l’OCSIN, comportant un rapport d’investigation confidentiel, portant sur la période de mars 2019 à décembre 2022, indiquant les éléments mentionnés dans l’entretien de service précité.
j. Par courrier du 4 avril 2023, le secrétaire général ad intérim du DCS a informé A______ de son refus de rendre une décision.
Les motifs du contrôle individualisé de l’utilisation des ressources informatiques effectué sur son ordinateur professionnel – qui n’avait porté que sur les heures de travail usuelles – lui avaient été communiqués lors de l’entretien de service. Ils ressortaient également du courriel des RH du 29 novembre 2022, qui lui avait été transmis le 24 mars 2023. Ledit contrôle était un acte interne et non pas une décision sujette à recours. Il n’y avait pas d’intérêt juridique à ce qu’une décision constatatoire soit rendue lorsque cette dernière revêtait un caractère subsidiaire par rapport à une prochaine décision qui serait rendue, ce qui était le cas en l’espèce.
k. Par courrier du 11 avril 2023, A______ a contesté les faits reprochés lors de son entretien de service et le contrôle effectué sur son ordinateur. Les pièces manquantes devaient lui être adressées sans délai, en lui permettant de se déterminer à leur égard.
Outre son comportement au travail et sa relation professionnelle avec B______, le contrôle individualisé de son ordinateur constituait un grave abus de droit et avait été opéré de manière illicite et en violation de ses droits fondamentaux. Il était douteux qu’une norme de rang réglementaire puisse permettre une mesure aussi incisive. Aucune mesure n’avait été prise afin de protéger sa sphère privée et aucun tri n’avait été effectué. Le contrôle avait porté sur la période de mars 2019 à décembre 2022, soit une période particulièrement extensive et qui ne se justifiait aucunement. B______ était employée du 1er mars au 30 novembre 2022, de sorte que ses allégations, à l’origine du contrôle ordonné, ne pouvaient porter que sur sa période de présence au SPAd. Certains des sites Internet consultés l’avaient été par ses enfants et son mari, et relevaient de leur sphère privée. Ayant été en vacances le 1er juillet 2022, elle n’avait pu visionner la vidéo indiquée ce jour-là durant ses heures de travail. La recherche de l’utilisation de sa messagerie professionnelle s’apparentait à une véritable « fishing expedition ». L’examen de l’espace de stockage de son ordinateur avait intégré des documents marqués comme privés, personnels ou reconnaissables comme tels. L’argument que le DCS entendait en tirer en vue de son licenciement n’était pas compréhensible, étant donné qu’elle était autorisée à sauvegarder des documents privés sur son poste professionnel. L’accusation selon laquelle elle exerçait bien une activité accessoire n’était pas étayée. Ledit contrôle avait également été effectué en violation de son droit d’être entendu, puisqu’elle n’avait jamais été confrontée aux allégations de B______. Aucun intérêt prépondérant n’avait été évoqué.
Il convenait d’écarter du compte rendu et de son dossier administratif tous les documents relatifs au contrôle individualisé opéré sur son poste.
l. Le 26 avril 2023, faisant suite au courrier précité du 11 avril 2023, le SPAd a confirmé que les annexes mentionnées comme telles avaient été présentées à A______ lors de l’entretien de service et lui avaient été remises en même temps que le procès-verbal. Il en allait de même de la liste des recherches non autorisées effectuées sur l’application CALVIN. L’ensemble des courriers électroniques échangés entre B______ et elle, remis lors de l’entretien du 23 novembre 2022, et le compte rendu de l’entretien du 29 novembre 2022 réalisé dans le cadre des démarches menées pour l’établissement des faits qui s’étaient déroulés le 16 novembre 2022, lui étaient transmis. Un délai au 5 mai 2023 lui était imparti pour se déterminer.
m. Dans ses observations complémentaires du 5 mai 2023, A______ a persisté dans ses précédents développements, en demandant quelles mesures concrètes avaient été prises afin de protéger sa personnalité et sa sphère privée. Elle sollicitait la destruction de toutes les données personnelles et sensibles collectées, en la possession du SPAd. Ses accès à son ordinateur portable ayant été bloqués, l’OCSIN l’avait renvoyée auprès de sa hiérarchie pour en connaître les raisons.
B. a. Par acte du 8 mai 2023, A______ a recouru auprès de la chambre administrative de la Cour de justice (ci-après : la chambre administrative) contre le courrier du 4 avril 2023, en concluant au constat du déni de justice commis par le DCS, ainsi qu’au renvoi de la cause à celui-ci afin de rendre une décision formelle, sujette à recours, dans les plus brefs délais, sur le contrôle individualisé de l’utilisation des ressources informatiques opéré sur son ordinateur, indiquant en particulier les motifs fondant l’autorisation octroyée.
Le refus du département devait être assimilé à un déni de justice puisqu’il la privait de la possibilité de contester la légalité du contrôle opéré et, a fortiori, les motifs à l’origine de l’autorisation en question. Elle disposait ainsi d’un intérêt digne de protection à ce que le DCS élimine les conséquences de l’absence illicite de la possibilité de se déterminer sur l’autorisation octroyée par lui, et en particulier les motifs y relatifs. En tant que destinataire dudit refus, elle était directement touchée.
L’autorisation d’effectuer un contrôle individualisé sur son ordinateur constituait un acte matériel qui, par sa nature incisive et intrusive, portait systématiquement atteinte aux droits fondamentaux. Le fait qu’un tel contrôle fût fondé sur une règle de rang réglementaire ou encore d’une directive n’entachait en rien les effets qu’il produisait, la collecte de données portant gravement atteinte à la protection de la sphère privée. Le traitement de données faisait l’objet de limitations légales, de sorte qu’une autorisation émanant du DCS d’effectuer un traitement de données, plus encore lorsqu’il s’agissait d’une investigation par l’employeur sur l’un de ses employés, ne pouvait être considéré comme un simple acte interne. Étant donné que le SPAd avait sollicité du DCS l’autorisation d’opérer un tel contrôle, il ne disposait pas de la compétence de le faire, tandis que sa décision quant à ses rapports de travail porterait uniquement sur ce sujet. Si le contrôle devait s’avérer illicite, la plupart des motifs invoqués par l’employeur pour le licenciement seraient caducs. D’après la recherche effectuée par l’OCSIN, il était faux de prétendre que le contrôle aurait été effectué dans le respect de sa sphère privée, sur son ordinateur professionnel et n’aurait porté que sur les heures de travail usuelles, samedis et dimanches exceptés. Les motifs évoqués dans l’échange de courriels à l’appui de la demande d’autorisation du SPAd, soit les accusations d’une collaboratrice auxiliaire, portées dans un contexte d’animosité préexistant, ne suffisaient pas à justifier un contrôle individualisé, aussi intrusif et invasif. Le fait que les motifs seraient connus de sa part n’entachait nullement son droit de les contester. En se référant partiellement aux motifs du contrôle, le département admettait avoir rendu une décision autorisant, à tort, le contrôle et se déterminait sur le fond, tout en lui niant la possibilité d’en faire autant.
b. Se rapportant à justice quant à la recevabilité du recours, le département a conclu à son rejet.
Le contrôle individualisé de l’ordinateur de la recourante avait uniquement pour but d’objectiver les faits dénoncés par B______. Le destinataire en était l’administration dans l’exercice de ses tâches. Il s’agissait donc d’un acte interne à l’administration. La recourante n’avait aucun intérêt digne de protection à obtenir une décision constatatoire, dès lors qu’elle pourrait bénéficier ultérieurement de la protection judiciaire à l’égard du contrôle de l’utilisation qu’elle avait faite de ses outils informatiques lorsqu’une décision finale serait prise dans le cadre de la procédure la concernant. Le litige devait être soumis au juge dans son ensemble sans qu’il fût possible à la recourante d’isoler une question juridique et de la soumettre séparément à un juge par le biais d’une voie constatatoire. Le principe de subsidiarité conduisait à nier l’existence d’un tel intérêt. Le contrôle de l’utilisation des ressources informatiques faite par la recourante avait été effectué en conformité avec la procédure prévue. Il n’avait eu lieu que lorsque la recourante était connectée à ses identifiants professionnels, avec un respect de sa sphère privée.
Étaient notamment joints les documents suivants :
un courrier du SPAd du 11 mai 2023 indiquant à la recourante que les données ayant fait l’objet du contrôle individualisé de l’utilisation des ressources informatiques ne seraient pas conservées au terme de la procédure en cours, à l’exception de celles annexées à l’entretien de service du 8 mars 2023 qui lui avaient été communiquées, et lui confirmant que l’ensemble de ses droits d’accès avaient été maintenus. Comme elle avait été absente pour raisons de santé le jour de la dernière mise à jour des accès VPN, celle-ci n’avait pu être effectuée, ce qui expliquait qu’elle ne parvenait plus à se connecter depuis son domicile ;
un courrier du conseiller d’État en charge du DCS du 12 mai 2023 constituant une décision incidente d’ouverture de la procédure de reclassement, déclarée exécutoire nonobstant recours, compte tenu du fait que les motifs de la recourante étaient mal fondés, que ceux de sa hiérarchie, invoqués lors de l’entretien de service, avaient été dûment établis et qu’ils étaient constitutifs d’un motif fondé de résiliation, conformément au principe de la proportionnalité ;
une copie du recours de la recourante du 23 mai 2023 contre la décision incidente précitée ;
la directive transversale, règles de sécurité relatives à l’usage des systèmes d’information et des services numériques, du 30 septembre 2022.
c. Dans sa réplique, la recourante a relevé que quand bien même le contrôle individualisé était prévu par une base légale réglementaire, un contrôle abstrait devait pouvoir être effectué sur l’application de ladite base légale, les autorités administratives étant tenues sans réserve au respect du principe de proportionnalité. Elle se voyait privée de la possibilité de contester la pesée des intérêts effectuée, puisque l’intimé refusait de statuer à cet égard et d’exposer les motifs l’ayant convaincu d'autoriser le contrôle individualisé. L’absence de tout contrôle judiciaire amplifiait l’atteinte portée à sa sphère privée. Le contrôle avait porté gravement atteinte à la protection constitutionnelle contre toute ingérence dans le traitement des données personnelles.
d. Sur quoi, les parties ont été informées que la cause était gardée à juger.
EN DROIT
Selon l’art. 62 al. 6 de la loi sur la procédure administrative du 12 septembre 1985 (LPA - E 5 10), une partie peut recourir en tout temps pour déni de justice ou retard non justifié si l’autorité concernée ne donne pas suite rapidement à la mise en demeure prévue à l’art. 4 al. 4 LPA (art. 62 al. 6 LPA). Lorsqu’une autorité mise en demeure refuse sans droit de statuer ou tarde à se prononcer, son silence est assimilé à une décision (art. 4 al. 4 LPA).
Il convient dès lors d’examiner si l’autorité intimée a in casu commis un déni de justice.
2.1 Pour pouvoir se plaindre de l’inaction de l’autorité, encore faut-il que l’administré ait effectué toutes les démarches adéquates en vue de l’obtention de la décision qu’il sollicite (ATA/699/2021 du 2 juillet 2021 consid. 9b ; ATA/386/2018 du 24 avril 2018 consid. 2d). Les conclusions en déni de justice sont irrecevables lorsque le recourant n’a pas procédé à la mise en demeure prévue à l’art. 4 al. 4 LPA (ATA/1210/2018 du 13 novembre 2018 consid. 5c et 6).
Une autorité qui n’applique pas ou applique d’une façon incorrecte une règle de procédure, de sorte qu’elle ferme l’accès à la justice au particulier qui, normalement, y aurait droit, commet un déni de justice formel. Il en va de même pour l’autorité qui refuse expressément de statuer, alors qu’elle en a l’obligation. Un tel déni constitue une violation de l’art. 29 al. 1 Cst. (ATF 135 I 6 consid. 2.1).
En cas de recours contre la seule absence de décision, les conclusions ne peuvent tendre qu’à contraindre l’autorité à statuer (ATA/699/2021 précité consid. 9c ; ATA/595/2017 du 23 mai 2017 consid. 6c). En effet, conformément à l’art. 69 al. 4 LPA, si la juridiction administrative admet le recours pour déni de justice ou retard injustifié, elle renvoie l’affaire à l’autorité inférieure en lui donnant des instructions impératives (ATA/373/2020 du 16 avril 2020 consid. 6a).
La reconnaissance d’un refus de statuer ne peut être admise que si l’autorité mise en demeure avait le devoir de rendre une décision ou, vu sous un autre angle, si le recourant avait un droit à en obtenir une de sa part (ATF 135 II 60 consid. 3.1.2 ; ATA/7/2020 du 7 janvier 2020 consid. 3b).
2.2 Selon l’art. 57 LPA, sont susceptibles d'un recours, les décisions finales (let. a), les décisions par lesquelles l'autorité admet ou décline sa compétence (let. b), les décisions incidentes à certaines conditions (let. c) et les lois constitutionnelles, les lois et les règlements du Conseil d'État.
2.3 Au sens de l'art. 4 al. 1 LPA, sont considérées comme des décisions les mesures individuelles et concrètes prises par l'autorité dans les cas d'espèce fondées sur le droit public fédéral, cantonal ou communal et ayant pour objet de créer, de modifier ou d'annuler des droits et des obligations (let. a), de constater l'existence, l'inexistence ou l'étendue de droits, d'obligations ou de faits (let. b), de rejeter ou de déclarer irrecevables des demandes tendant à créer, modifier, annuler ou constater des droits ou des obligations (let. c).
En droit genevois, la notion de décision est calquée sur le droit fédéral (art. 5 de la loi fédérale sur la procédure administrative du 20 décembre 1968 - PA - RS 172.021), ce qui est également valable pour les cas limites, ou plus exactement pour les actes dont l'adoption n'ouvre pas de voie de recours.
2.3.1 La décision comme acte juridique a pour objet de régler la situation d'administrés en tant que sujets de droit et donc, à ce titre, distincts de la personne étatique ou, en d'autres termes, extérieurs à l'administration. On oppose dans ce contexte la décision à l'acte interne ou d'organisation, qui vise des situations à l'intérieur de l'administration ; l'acte interne peut avoir des effets juridiques, mais ce n'en est pas l'objet et c'est pourquoi il n'est en règle générale par susceptible de recours.
Deux critères permettent généralement de déterminer si on a affaire à une décision ou à un acte interne. D'une part, l'acte interne n'a pas pour objet de régler la situation juridique d'un sujet de droit en tant que tel et, d'autre part, le destinataire en est l'administration elle-même, dans l'exercice de ses tâches. Ainsi un acte qui affecte les droits et obligations d'un fonctionnaire en tant que sujet de droit, par exemple la fixation de son salaire, d'indemnités diverses ou encore de sanctions disciplinaires, est une décision. En revanche, un acte qui a pour objet l'exécution même des tâches qui lui incombent en déterminant les devoirs attachés au service, telles que la définition du cahier des charges ou des instructions relatives à la manière de trancher une affaire, est un acte interne (ATF 136 I 323 consid. 4.5 ; arrêts du Tribunal fédéral 8D_5/2017 du 20 août 2018 consid. 7.1 ; 8D_1/2016 du 23 janvier 2017 consid. 5.1 confirmant l'ATA/69/2016 du 26 janvier 2016, et les références citées ; ATA/889/2018 du 4 septembre 2018 ; Stéphane GRODECKI, commentaire de l'arrêt du Tribunal fédéral 8D_1/2016 précité, in RDAF 2017 I 609).
2.3.2 Un changement d'affectation constitue une décision attaquable notamment lorsqu'il est susceptible de porter atteinte aux droits de la personnalité du fonctionnaire, y compris le droit au respect de sa vie familiale, ou encore lorsqu'il est de nature à porter atteinte à la considération à laquelle il peut prétendre au regard notamment de ses aptitudes (ATF 108 Ib 419 consid. 2a ; ATA/1054/2018 précité consid. 1c).
Un changement de lieu de travail qui n’impliquait ni un changement de domicile ni un déménagement, au sein du même office, pour une fonction identique et des tâches identiques et un même traitement, constitue une mesure interne qui n’ouvrait pas la voie du recours (arrêt du Tribunal fédéral 8D_1/2016 précité).
La mutation d’un chef de brigade de la police judiciaire genevoise au commissariat de la police avec un nouveau cahier des charges sans véritable adéquation avec ses aptitudes, sans modification de salaire, mais avec perte de charge de commandement, a été jugée comme devant être soumis à un contrôle judiciaire, indépendamment de tout caractère disciplinaire. La mesure relevait non seulement de l’organisation des services de police, mais était également susceptible d’affecter la situation juridique du fonctionnaire de police en tant que titulaire de droits et d’obligations à l’égard de l’État. L’objet de la mesure allait au-delà de l’exécution des tâches qui incombaient au fonctionnaire dans sa sphère d’activité habituelle ou des instructions qui lui étaient données dans l’exercice de ses tâches. Le nouveau cahier des charges de l’intéressé avait un contenu totalement différent de celui de sa fonction antérieure (ATF 136 I 323 consid. 4.5 et 4.7).
Le changement d’affectation provisoire d’un fonctionnaire de police, compte tenu notamment d’une procédure pénale dirigée à son encontre, qui ne revêtait pas le caractère d’une sanction disciplinaire déguisée, a été qualifiée d’acte interne à l’administration (ATA/889/2018 précité).
2.4 La loi générale relative au personnel de l’administration cantonale, du pouvoir judiciaire et des établissements publics médicaux du 4 décembre 1997 (LPAC - B 5 05) définit les droits et devoirs des membres du personnel de la fonction publique qui lui sont assujettis (art. 2 al. 1 LPAC). Les membres du personnel de l’administration cantonale relèvent de l’autorité du Conseil d’État (art. 2 al. 2 LPAC).
L’art. 33 LPAC prévoit que le Conseil d’État prend, par voie de règlements, les dispositions d’exécution de la LPAC (al. 1).
2.4.1 Les devoirs du personnel sont énumérés aux art. 20 et ss du règlement d’application de la loi générale relative au personnel de l’administration cantonale, du pouvoir judiciaire et des établissements publics médicaux du 24 février 1999 (RPAC - B 5 05.01).
L’art. 22 RPAC, intitulé « exécution du travail », fait obligation aux membres du personnel de remplir tous les devoirs de leur fonction consciencieusement et avec diligence (al. 1). Ils se doivent de respecter leur horaire de travail (al. 2). Ils se doivent d’assumer personnellement leur travail et de s’abstenir de toute occupation étrangère au service pendant les heures de travail (al. 3).
Entré en vigueur le 31 juillet 2008, l’art. 23A RPAC, complété le 3 juin 2010, prévoit, pour ce qui concerne l’utilisation du téléphone et des ressources informatiques, que le personnel de la fonction publique qui dispose de l'accès à un téléphone, à un poste de travail informatique, à Internet, à un compte de messagerie ou à tout autre outil de communication électronique mis à disposition par l'État doit utiliser ces ressources à des fins professionnelles (al. 1). Leur utilisation à titre privé n'est tolérée que si elle est minime en temps et en fréquence, qu'elle n'entraîne qu'une utilisation négligeable des ressources informatiques, qu'elle ne compromet ni n'entrave l'activité professionnelle ou celle du service, qu'elle ne relève pas d'une activité lucrative privée et qu'elle n'est ni illicite, ni contraire à la bienséance ou à la décence (al. 2). Toute propagande politique ou religieuse est interdite (al. 3). Des contrôles statistiques et non individualisés de l'utilisation des ressources informatiques par le personnel peuvent être effectués (al. 4). Lorsque les intérêts prépondérants de l’État de Genève, tels que la sécurité informatique ou le bon fonctionnement du service, l’exigent, des contrôles individualisés et, le cas échéant, un accès à la liste des appels et à leur durée, au poste de travail informatique ou au compte de messagerie, peuvent être ordonnés par le chef du département ou son secrétaire général. Ces mesures respectent, dans toute la mesure du possible, la sphère privée des membres du personnel concernés (al. 6). Le collège des secrétaires généraux précise par voie de directive l'utilisation de ces ressources par les membres du personnel et les mesures de contrôle y relatives (al. 7).
2.4.2 Selon l’art. 4 du règlement sur l’organisation et la gouvernance des systèmes d’information et de communication du 26 juin 2013 (ROGSIC - B 4 23.03), le Conseil d’État fixe le cadre politique et réglementaire dans lequel doivent évoluer les systèmes d’information et de communication de l’administration cantonale (al. 1). À ce titre, le Conseil d’État approuve la stratégie des systèmes d’information et de communication de l’administration cantonale (ch. 1), les conventions spéciales découlant de l’art. 2 al. 2 et 3 ROGSIC (ch. 2), les règlements en matière de systèmes d’information et de communication (ch. 3), la politique de sécurité de l’information (ch. 4), la méthode de priorisation des demandes en matière de systèmes d’information et de communication (ch. 5 ; al. 2 let. b).
2.4.3 Le comité « sécurité de l’information » a émis une directive transversale intitulée « règles de sécurité relatives à l’usage des systèmes d’informations et des services numériques » (ci-après : DirSec), entrée en vigueur le 26 septembre 2002 et dont la dernière modification date du 30 septembre 2022.
Selon l’art. 1 DirSec, les ressources de l’administration sont destinées à un usage professionnel, et leur utilisation ne doit pas compromettre la sécurité de l’information (al. 1). Toute ressource est attribuée à un membre du personnel qui demeure responsable de son bon usage tout au long du cycle de vie de la ressource (al. 2). L’usage accordé à un membre du personnel pour certaines ressources peut être restreint, voire interdit, par les départements, les offices ou l’OCSIN (al. 3).
Sauf dans les cas dûment autorisés, il est interdit à tout membre du personnel d’employer son adresse de messagerie professionnelle comme identifiant (art. 2 al. 4 DirSec). Chaque membre du personnel doit notamment employer ses autorisations et accès dans un cadre professionnel (art. 2 al. 5 let. a DirSec). Le membre du personnel doit veiller, dans le cadre de ses échanges, à une séparation stricte de l’usage à des fins professionnelles et de celui à des fins privées (art. 5.4 al. 1 DirSec). En particulier, sont interdits : l’usage de l’adresse professionnelle comme identifiant ou contact pour un usage privé (let. a) et les envois de masse à des fins privées (let. b ; art. 5.4 al. 2 DirSec).
L’État met en place, conformément aux règles en vigueur et dans le respect de la sphère privée des membres du personnel, tous les moyens de contrôle, d’analyse et de collecte de traces d’accès et d’activité nécessaires à la protection de ses intérêts (art. 4 al. 1 DirSec). Si la résolution d’un incident ou la défense des intérêts prépondérants de l’État de Genève l’exigent, des contrôles individualisés peuvent être ordonnés par les autorités habilitées (art. 4.2 al. 1 DirSec).
2.4.4 L’OCSIN a pour mission de développer, d’entretenir, d’exploiter et de faire évoluer – avec les départements et offices bénéficiaires – les systèmes d’information et de communication de l’administration cantonale, en adéquation avec les objectifs de politiques publiques du Conseil d’Etat et en conformité avec les dispositions légales (art. 5 ROGSIC).
D’après l’art. 6 al. 1 ROGSIC, il est notamment chargé, en collaboration avec les départements et offices ainsi que les organes désignés dans le ROGSIC de l’élaboration, puis de la concrétisation de la stratégie des systèmes d’information et de communication de l’administration cantonale et de la politique de sécurité de l’information (let. a), du développement, de l’entretien, de l’exploitation et du retrait des systèmes d’information et de communication de l’administration cantonale (let. b), d’élaborer et de piloter le système de contrôle interne des systèmes d’information et de communication de l’administration cantonale, et en particulier, de la sécurité de l’information, en identifiant et en évaluant les risques (let. d), et d’élaborer les règlements et directives en matière de systèmes d’information et de communication, en particulier dans le domaine de la sécurité de l’information (let. e).
2.5 En l’espèce, le 23 mars 2023, la recourante a sollicité de la secrétaire générale du DCS la notification d’une décision, sujette à recours, indiquant notamment les motifs ayant fondé l’autorisation de procéder au contrôle individualisé de son ordinateur par l’OCSIN.
Par courrier du 4 avril 2023, le secrétaire général ad intérim du DCS a refusé de donner suite à cette demande.
Il résulte de ces éléments que la recourante a in casu valablement mis en demeure l’autorité de rendre une décision quant au contrôle individualisé de son ordinateur autorisé par le DCS, ce que celui-ci a refusé. L’autorité a donc concrètement refusé de statuer sur le point litigieux.
En ces circonstances, il convient d’examiner si le refus en question est susceptible de constituer une décision et si le DCS avait les compétences d’en rendre une.
2.6 À teneur des dispositions légales susrappelées et contrairement aux allégations de la recourante, le Conseil d’État bénéficie de plusieurs délégations de compétence, en particulier dans la LPAC, afin de légiférer dans le domaine de l’utilisation des ressources informatiques de l’administration cantonale de la part des membres de son personnel.
Ainsi, l’art. 23A RPAC a été valablement adopté. Il s’ensuit que le Conseil d’État dispose de la compétence de prévoir, en certaines circonstances, un contrôle individualisé du poste de travail d’un collaborateur.
Dans ce cadre, le contrôle effectué par l’OCSIN, dont la compétence est également prévue tant par le ROGSIC que par la DirSec, a vocation de vérifier l’utilisation des ressources informatiques professionnelles par une collaboratrice de l’administration cantonale dans le cadre de ses fonctions. Il s’agit d’un acte requis par le DCS directement à l’attention de l’OCSIN dans l’exercice de leurs fonctions respectives. L’autorisation en question a pour seul but d’autoriser l’OCSIN, et uniquement cet office, à effectuer ledit contrôle. En tant que tel, ce dernier ne revêt en l’état aucune conséquence pour la recourante. Celle-ci se contente d’ailleurs d’alléguer que les modalités du contrôle n’auraient pas respecté sa sphère privée, sans en apporter la preuve, alors que le rapport de l’OCSIN et les relevés y relatifs ont été fournis.
À cela s’ajoute qu’une procédure administrative concernant une éventuelle résiliation des rapports de service de la recourante est en cours. Dans ce cadre, l’intéressée pourra faire valoir son droit d’être entendue, notamment quant aux preuves recueillies, dont celles résultant du contrôle individualisé de son ordinateur, ainsi que s’exprimer quant aux griefs formulés par sa collègue de travail, étant précisé que tel a déjà été le cas. À cet égard, le fait que l’autorité compétente pour autoriser le contrôle individualisé de son ordinateur est celle également compétente pour se prononcer sur l’éventuelle résiliation de ses rapports de service est sans incidence, dès lors que cela n’empêche aucunement l’exercice de son droit d’être entendue et l’examen des preuves soumises dans ce contexte.
Par conséquent, le contrôle individualisé opéré sur l’ordinateur de la recourante constitue bel et bien un acte interne à l’administration, lequel n’est pas susceptible de recours.
Il découle de ce qui précède que le recours est irrecevable.
PAR CES MOTIFS LA CHAMBRE ADMINISTRATIVE
déclare irrecevable le recours interjeté le 8 mai 2023 par A______ contre le courrier du département de la cohésion sociale du 4 avril 2023 ;
met à la charge de A______ un émolument de CHF 1'000.- ;
dit qu'il n'est pas alloué d'indemnité de procédure ;
dit que conformément aux art. 82 ss de la loi fédérale sur le Tribunal fédéral du 17 juin 2005 (LTF - RS 173.110), le présent arrêt peut être porté dans les trente jours qui suivent sa notification par-devant le Tribunal fédéral ;
par la voie du recours en matière de droit public, s'il porte sur les rapports de travail entre les parties et que la valeur litigieuse n'est pas inférieure à CHF 15'000.- ;
par la voie du recours en matière de droit public, si la valeur litigieuse est inférieure à CHF 15'000.- et que la contestation porte sur une question juridique de principe ;
par la voie du recours constitutionnel subsidiaire, aux conditions posées par les art. 113 ss LTF, si la valeur litigieuse est inférieure à CHF 15'000.- ;
le mémoire de recours doit indiquer les conclusions, motifs et moyens de preuve et porter la signature du recourant ou de son mandataire ; il doit être adressé au Tribunal fédéral, 1000 Lausanne 14, par voie postale ou par voie électronique aux conditions de l'art. 42 LTF. Le présent arrêt et les pièces en possession du recourant, invoquées comme moyens de preuve, doivent être joints à l'envoi ;
communique le présent arrêt à Me Romain JORDAN, avocat de la recourante, ainsi qu'au département de la cohésion sociale.
Siégeant : Francine PAYOT ZEN-RUFFINEN, présidente, Florence KRAUSKOPF, Valérie LAUBER, Eleanor McGREGOR, Philippe KNUPFER, juges.
Au nom de la chambre administrative :
le greffier-juriste :
F. SCHEFFRE
la présidente siégeant :
F. PAYOT ZEN-RUFFINEN
Copie conforme de cet arrêt a été communiquée aux parties.
Genève, le
la greffière :