A.________, B.________/Autorité de protection des données et de droit à l'information, Autorité de surveillance LPP et des fondations de Suisse occidentale | Recours contre la décision du préposé à l'information confirmant le refus d'accès à des documents en mains de l'autorité de surveillance des fondations (As-SO).
L'autorité intimée ne précise pas quels sont les éléments dont la communication porterait atteinte à la sphère privée des fondations. Il aurait convenu que l'autorité intimée demande à l'As-SO de produire les documents dont la consultation était requise afin d'évaluer concrètement l'atteinte portée à la sphère privée des fondations et des tiers par une éventuelle communication aux recourants.
La décision attaquée est également lacunaire dans la mesure où elle ne procède pas à une balance des intérêts entre le droit à l'information et l'atteinte à la sphère privée des fondations ou des tiers. La décision étant insuffisamment motivée, le recours est admis et la cause est renvoyée à l'autorité intimée pour qu'elle statue dans le sens des considérants.
Texte intégral
TRIBUNAL CANTONAL COUR DE DROIT ADMINISTRATIF ET PUBLIC
Arrêt du 2 février 2024
Composition
M. François Kart, président; M. Alex Dépraz et M. Raphaël Gani, juges; Mme Liliane Subilia-Rouge, greffière.
Recourants
1.
A.________, à ********,
2.
B.________, à ********, tous deux représentés par Me Blaise KRÄHENBÜHL, avocat à Genève,
Autorité intimée
Autorité de protection des données et de droit à l'information, à Lausanne,
Autorité concernée
Autorité de surveillance LPP et des fondations de Suisse occidentale, à Lausanne.
Objet
Loi sur l'information
Recours A.________ et B.________ c/ décision sur recours de l'Autorité de protection des données et de droit à l'information du 26 juin 2023 (LInfo)
Vu les faits suivants:
A. A.________ et B.________ sont domiciliés à ********. Le second est également propriétaire (ou copropriétaire dans le cadre d'une succession indivise) de diverses parcelles à ********. Ils sont tous deux des voisins de la fondation C.________ (ci-après également: la fondation), sise au Chemin ********, soit sur la parcelle n° ******** de la Commune de ********, où la fondatrice a fait ériger un centre musical. Constituée en ********, la fondation a pour le but d’offrir à de jeunes musiciens de la région un cadre dédié au développement de leur art. B.________ indique que lui-même et ses parents, qui ont toujours résidé dans ce quartier, étaient en outre proches de sa fondatrice D.________, durant les nombreuses années au cours desquelles elle a vécu au Chemin ********.
La Fondation E.________ (ci-après également: la fondation E.________) est une fondation basée à ********, qui a été fondée en ********, et a pour but de lutter contre la pauvreté et de promouvoir l’éducation, les religions ainsi que toute autre activité en faveur de la communauté.
B. Par courriel du 22 mai 2022, A.________ s'est adressée à l'Autorité de surveillance LPP et des fondations de Suisse occidentale (ci-après: l'As-SO), en lui demandant de lui transmettre:
– tous documents et autorisations ayant été échangés et remis en lien avec la vente de parcelles de la fondation;
– les états financiers de la fondation depuis sa création;
– les éventuels rapports (par exemple à la suite de contrôles) établis par l'As-SO concernant la fondation.
Le 25 mai 2022, l'As-SO a répondu que les documents demandés contenaient des données personnelles au sens de la loi sur la protection des données personnelles du 11 septembre 2007 (LPrD; BLV 172.65). Par conséquent, la communication de documents ne pouvait intervenir qu'aux conditions prévues par l'art. 15 LPrD. Elle lui demandait dès lors de préciser les motifs de sa requête.
Le 25 octobre 2022, dans un courrier adressé à l'As-SO, A.________ et B.________ ont précisé qu'ils souhaitaient s'assurer que la fondation avait agi en conformité avec ses statuts et avec les intentions de la fondatrice. Ils s'interrogeaient en particulier au sujet de la vente de la parcelle n° ******** de ******** par la fondation.
Par décision du 10 novembre 2022, l'As-SO a indiqué qu'elle ne pouvait pas transmettre les renseignements et documents suivants concernant la fondation: acte constitutif, états financiers depuis sa constitution, rapports de révision, procès-verbaux du conseil de fondation, ensemble des communications importantes entre l'As-SO et la fondation. Elle a notamment expliqué qu'un intérêt privé prépondérant s'opposait à la transmission des documents demandés dans la mesure où ces derniers contenaient de nombreuses données de personnes physiques et morales, dont des données financières, ainsi que des secrets d'affaires. Aucune transmission ne se justifiait non plus sur la base de la loi sur l'information du 24 septembre 2002 (LInfo; BLV 170.21).
C. Le 12 décembre 2022, A.________ et B.________ ont sollicité pour la fondation E.________ l'accès aux mêmes documents que pour la fondation. Ils précisaient que leur intérêt pour la fondation était à la base de leur souci de vérifier la gestion de la fondation sœur E.________.
Par décision du 19 décembre 2022, l'As-SO a indiqué qu'elle ne pouvait pas transmettre les renseignements et documents requis concernant la fondation E.________. Elle a repris la motivation exposée dans sa décision du 10 novembre 2022.
D. Le 12 décembre 2022, A.________ et B.________ ont déposé un recours auprès l'Autorité de protection des données et de droit à l'information (APDDI) contre la décision du 10 novembre 2022 de l'As-SO.
Le 18 janvier 2023, A.________ et B.________ ont déposé un recours auprès de l'APDDI contre la décision du 12 décembre 2022 de l'As-SO.
Le 18 janvier 2023, A.________ et B.________ ont demandé à l'As-SO une copie des dispositions contractuelles ou testamentaires de D.________ à l'origine de la création des deux fondations précitées, notamment du testament et de son codicille postérieur. Ces documents ont été transmis après avoir été caviardés.
Le 7 février 2023, l'APDDI a joint les recours déposés le 12 décembre 2022 et le 18 janvier 2023.
Une séance de conciliation s'est déroulée le 21 mars 2023. Elle a partiellement abouti, en ce sens que les parties se sont mises d'accord pour laisser un délai de 20 jours à A.________ et B.________ afin de leur permettre de préciser l'objet de leur demande d'accès.
Le 6 avril 2023, A.________ et B.________ ont reformulé leur demande d'information de la manière suivante. Ils demandaient à consulter tous les documents officiels concernant les deux fondations, caviardés au besoin dans la stricte mesure du nécessaire (soit uniquement pour protéger les données personnelles de tiers non impliqués), soit principalement:
les comptes annuels (bilan, compte de résultat et annexe),
les rapports de l'organe de révision,
les procès-verbaux du conseil de fondation entérinant les comptes,
les rapports d'activités,
les rapports sur les indemnités versées aux membres du conseil de fondation,
tous autres documents utiles éventuellement requis par l'As-SO selon l'art. 10 al. 1 du règlement du 10 novembre 2011 sur la surveillance LPP et des fondations (RLPPF),
tous les rapports éventuels émis par l'As-SO et tous les autres documents en lien avec la vente des terrains par la fondation en 2021.
Sur le plan temporel, la demande d'information était circonscrite de la manière suivante:
pour la fondation, à ********: du 1er janvier 2013 au 31 décembre 2022,
pour la fondation E.________, à ********: du 1er janvier 2019 au 31 décembre 2021.
Par courrier du 11 mai 2023, l'As-SO, au vu de l'ampleur de la demande d'accès ainsi exprimée, a déclaré maintenir sa décision en refus. A ce stade, l'APDDI a constaté l'échec de la conciliation.
E. Le 26 juin 2023, l'APDDI a rejeté les recours déposés par A.________ et B.________ contre les décisions du 10 novembre 2022 et du 19 décembre 2022.
Elle a estimé que la demande d'accès apparaissait disproportionnée par rapport à l'intérêt privé prépondérant que constituait la protection de la sphère privée en jeu dans l'affaire, cela compte tenu du but assigné à l'As-SO, des moyens de contrôle mis en œuvre par le législateur et la possibilité pour A.________ et B.________ d'alerter les autorités supérieures par le biais d'une éventuelle dénonciation. Elle a constaté la même disproportion entre l'intérêt privé prépondérant des deux fondations et l'intérêt privé revendiqué par A.________ et B.________ en tant que bénéficiaires des prestations culturelles de la fondation.
F. Le 28 août 2023, A.________ et B.________ (ci-après: les recourants) ont attaqué la décision de l'APDDI du 26 juin 2023 devant la Cour de droit administratif et public du Tribunal cantonal (ci-après: la CDAP). Ils ont pris les conclusions suivantes au fond:
"2. Annuler la décision de l'Autorité de protection des données et de droit à l'information du 26 juin 2023.
3. Statuant à nouveau, ordonner à l'Autorité de surveillance LPP et des fondations de Suisse occidentale de transmettre aux Recourants:
- Tous les documents officiels dont elle dispose, datés entre le 1er janvier 2013 et le 31 décembre 2022 concernant la Fondation C.________ à ********;
- Tous les documents officiels dont elle dispose, datés entre le 1er janvier 2019 et le 31 décembre 2021, concernant la Fondation E.________ à ********.
4. Sous suite de frais et dépens."
Les recourants se fondent sur la LInfo et estiment notamment que la décision attaquée ne respecte pas les art. 8, 16 et 17 LInfo.
L'As-SO (ci-après aussi: l'autorité concernée) s'est déterminée le 29 septembre 2023. Elle relève que les conclusions des recourants vont au-delà de la demande initiale qui avait fait l'objet de la décision attaquée.
Le 19 septembre 2023, l'APPDI (ci-après: l'autorité intimée) a indiqué qu'elle renonçait à déposer une réponse.
Les recourants ont remis des observations le 18 octobre 2023.
Le 24 octobre 2023, l'autorité intimée a indiqué qu'elle continuait à s'en référer purement et simplement à sa décision.
L'autorité concernée s'est déterminée le 27 novembre 2023.
Le 7 décembre 2023, les recourants ont indiqué qu'ils n'avaient pas de commentaire à ajouter et qu'ils maintenaient leurs argumentation et conclusions.
Considérant en droit:
1. Le litige porte sur une décision de rejet de l'APDDI, basée sur la LInfo.
En vertu de l'art. 21 al. 1 LInfo, l'intéressé peut recourir au Préposé (à savoir l'APPDI), ou directement au Tribunal cantonal. Ce dernier est compétent pour statuer dans un second temps si le Préposé est saisi en premier, dès lors qu'il connaît des recours contre les décisions et décisions sur recours rendues par les autorités administratives, lorsque la loi ne prévoit aucune autre autorité pour en connaître (cf. art. 92 al. 1 de la loi vaudoise du 28 octobre 2008 sur la procédure administrative [LPA-VD; BLV 173.36]). Le Tribunal de céans est ainsi compétent pour traiter du présent recours.
Les recourants, destinataires de la décision entreprise, disposent d'un intérêt digne de protection à demander son annulation, dans le but qu'il soit donné suite à leur demande (cf. art. 75 LPA-VD applicable par renvoi de l'art. 99 LPA-VD et art. 27 al. 3 LInfo; ATF 135 II 145 consid. 3).
En revanche, les recourants ne peuvent pas prendre de conclusions qui sortent du cadre fixé par la décision attaquée (cf. art. 79 al. 2 LPA-VD, applicable par renvoi de l'art. 99 LPA-VD). Dans ce contexte, l'autorité concernée estime que la conclusion des recourants tendant à la transmission de "tous les documents officiels" n'est pas entièrement recevable. Elle serait recevable uniquement en tant qu'elle vise les documents faisant l'objet de la décision attaquée, à savoir ceux qui ont été mentionnés dans la demande du 6 avril 2023. L'autorité concernée ne peut pas être suivie. En effet, la demande du 6 avril 2023 requérait déjà la transmission de "tous les documents officiels concernant les deux fondations, caviardés au besoin dans la stricte mesure du nécessaire (soit uniquement pour protéger les données personnelles de tiers non impliqués), soit principalement [énumération]". Cela étant, au vu du caractère complet de l'énumération figurant dans la demande du 6 avril 2023, il est probable que l'autorité intimée ne dispose guère d'autres documents officiels que ceux énumérés dans ce document.
Pour le surplus, le recours a été interjeté dans le délai utile (art. 95 LPA-VD), et le mémoire respecte les conditions formelles énoncées notamment à l’art. 79 LPA-VD, applicable par renvoi de l’art. 99 LPA-VD. Partant, il convient d’entrer en matière sur le recours.
2. Avant d'examiner les griefs au fond des recourants, il convient d'exposer quelques principes généraux.
a) L'As-SO, destinataire des demandes d'informations des recourants, est un établissement public autonome auquel le Canton de Vaud a confié une tâche publique de surveillance des fondations. En vertu de l'art. 2 al. 1 let. f LInfo, l'As-SO est soumise à la LInfo, ce qu'elle-même ne conteste d'ailleurs pas (cf. sur cette question CDAP GE.2017.0114 / GE.2018.0025 du 12 novembre 2018 consid. 2).
b) La LInfo a pour but de garantir la transparence des activités des autorités afin de favoriser la libre formation de l'opinion publique (art. 1 al. 1 LInfo). Elle fixe les principes, les règles et les procédures liées à l'information du public et des médias sur l'activité des autorités, s'agissant notamment de l'information transmise d'office par les autorités respectivement de l'information transmise sur demande (art. 1 al. 2 let. a et b LInfo).
La LInfo vise à améliorer les relations entre l'administration et les citoyens, en les rendant plus simples et plus fluides. A cet effet, elle instaure une présomption de publicité en lieu et place d'une présomption de secret applicable jusque-là (cf. entre autres CDAP GE.2021.0171 du 1er avril 2022 consid. 3c/ff et les références citées).
c) Concernant les informations transmises sur demande, l'art. 8 LInfo pose le principe selon lequel les renseignements, informations et documents officiels détenus par les organismes soumis à la présente loi sont accessibles au public (al. 1), sous réserve des cas décrits au chapitre IV (art. 15 à 17 LInfo) (al. 2).
Aux termes de l'art. 9 al. 1 LInfo, on entend par "document officiel" tout document achevé, quel que soit son support, qui est élaboré ou détenu par les autorités, qui concerne l'accomplissement d'une tâche publique et qui n'est pas destiné à un usage personnel. Ces conditions sont cumulatives (CDAP GE.2020.0066 du 8 mars 2021 consid. 2b/aa; GE.2019.0085 du 14 juillet 2020 consid. 2b; GE.2018.0105 du 25 juillet 2019 consid. 3a; voir aussi Exposé de motifs et projet de loi [EMPL] sur l'information, Bulletin du Grand Conseil [BGC] septembre-octobre 2002 [ci-après: BGC septembre-octobre 2002], p. 2647 ad art. 9). La loi ne vise pas seulement les documents produits par l’autorité, mais aussi ceux détenus par elle (CDAP GE.2020.0066 du 8 mars 2021 consid. 2b/aa; GE.2019.0034 du 11 octobre 2019 consid. 2b; GE.2019.0010 du 4 octobre 2019 consid. 2a; voir également BGC septembre-octobre 2002, p. 2634 ss, spéc. p. 2647-2649).
c) S'agissant des "limites" à l'accessibilité des renseignements, informations et documents officiels réservées par l'art. 8 al. 2 LInfo, le chapitre IV de la LInfo (art. 15 à 17) prévoit en particulier ce qui suit:
"Art. 15 Autres lois applicables
1 Les dispositions d'autres lois qui restreignent ou excluent la transmission d'informations ou l'accès à des documents officiels sont réservées, y compris les dispositions protégeant le droit d'auteur.
Art. 16 Intérêts prépondérants
1 Les autorités peuvent à titre exceptionnel décider de ne pas publier ou transmettre des informations, de le faire partiellement ou différer cette publication ou transmission si des intérêts publics ou privés prépondérants s'y opposent.
2 Des intérêts publics prépondérants sont en cause lorsque:
a. la diffusion d'informations, de documents, de propositions, d'actes et de projets d'actes est susceptible de perturber sensiblement le processus de décision ou le fonctionnement des autorités;
b. une information serait susceptible de compromettre la sécurité ou l'ordre publics;
c. le travail occasionné serait manifestement disproportionné;
d. les relations avec d'autres entités publiques seraient perturbées dans une mesure sensible.
3 Sont réputés intérêts privés prépondérants:
a. la protection contre une atteinte notable à la sphère privée, sous réserve du consentement de la personne concernée;
b. la protection de la personnalité dans des procédures en cours devant les autorités;
c. le secret commercial, le secret professionnel ou tout autre secret protégé par la loi.
4 Une personne déterminée sur laquelle un renseignement est communiqué de manière non anonymisée doit en être informée préalablement.
5 Elle dispose d'un délai de dix jours dès notification de l'information pour s'opposer à la communication au sens de l'article 31 de la loi sur la protection des données ou pour faire valoir les droits prévus aux articles 32 et suivants de cette même loi.
Art. 17 Refus partiel
1 Le refus de communiquer un renseignement ou un document conformément à l'article 16 ne vaut le cas échéant que pour la partie du renseignement ou du document concerné par cet article et tant que l'intérêt public ou privé prépondérant existe.
2 L'organisme sollicité s'efforce de répondre au moins partiellement à la demande, au besoin en ne communiquant pas ou en masquant les renseignements ou les parties d'un document concernés par l'intérêt public ou privé prépondérant."
d) Parmi les lex specialis réservées par l'art. 15 LInfo figure la LPrD. Par donnée personnelle, on entend toute information qui se rapporte à une personne identifiée ou identifiable (cf. art. 4 al. 1 ch. 1 LPrD). La communication de données personnelles est régie par l'art. 15 LPrD, qui a la teneur suivante:
"1 Les données personnelles peuvent être communiquées par les entités soumises à la présente loi lorsque:
a. une disposition légale au sens de l'article 5 le prévoit;
b. le requérant établit qu'il en a besoin pour accomplir ses tâches légales;
c. le requérant privé justifie d'un intérêt prépondérant à la communication primant celui de la personne concernée à ce que les données ne soient pas communiquées;
d. la personne concernée a expressément donné son consentement ou les circonstances permettent de présumer ledit consentement;
e. la personne concernée a rendu les données personnelles accessibles à tout un chacun et ne s'est pas formellement opposée à leur communication; ou
f. le requérant rend vraisemblable que la personne concernée ne refuse son accord que dans le but de l'empêcher de se prévaloir de prétentions juridiques ou de faire valoir d'autres intérêts légitimes; dans ce cas, la personne concernée est invitée, dans la mesure du possible, à se prononcer, préalablement à la communication des données.
2 L'alinéa 1 est également applicable aux informations transmises sur demande en vertu de la loi sur l'information.
3 Les autorités peuvent communiquer spontanément des données personnelles dans le cadre de l'information au public, en vertu de la loi sur l'information, à condition que la communication réponde à un intérêt public ou privé prévalant sur celui de la personne concernée."
Les conditions énumérées à l'art. 15 al. 1 LPrD ne sont pas exhaustives; il suffit que l'une de ces conditions soit réalisée pour que la communication soit permise (cf. CDAP GE.2022.0235 du 10 novembre 2022 consid. 9a; GE.2022.0019 du 20 juin 2022 consid. 9a).
e) Au niveau fédéral, l'art. 6 al. 1 de la loi fédérale du 17 décembre 2004 sur le principe de la transparence dans l'administration (LTrans; RS 152.3) prévoit que toute personne a le droit de consulter des documents officiels et d'obtenir des renseignements sur leur contenu de la part des autorités. La LTrans prévoit des exceptions à ce principe (art. 7) respectivement différents "cas particuliers" (art. 8). Tout comme la LInfo (art. 8 al. 1), la LTrans (art. 6 al. 1) pose une présomption en faveur du libre accès aux documents officiels. Le statut par défaut d’un document officiel est ainsi l’accessibilité publique (Alexandre Flückiger / Mike Minetto, La communication de documents officiels contenant des données personnelles: la pesée des intérêts dans la pratique des autorités fédérales, RDAF 2017 I 558 ss, p. 570 ch. 2.2.1).
Si l'autorité décide de limiter ou refuser l'accès à des documents officiels, elle supporte en conséquence le fardeau de la preuve destinée à renverser cette présomption (ATF 142 II 324 consid. 3.4; TF 1C_59/2020 du 20 novembre 2020 consid. 4.1; CDAP GE.2019.0010 du 4 octobre 2019 consid. 4a, qui se réfère à la jurisprudence du Tribunal administratif fédéral [TAF] en application de la LTrans, et GE.2018.0105 du 25 juillet 2019 consid. 4d). En énumérant à l'art. 7 al. 1 LTrans – respectivement à l'art. 16 LInfo, qui doit être interprété de manière similaire (cf. CDAP GE.2019.0010 précité consid. 4a et la référence) – de façon exhaustive les différents cas où les intérêts publics ou privés apparaissent prépondérants, le législateur a procédé de manière anticipée à une pesée des intérêts en cause (ATF 144 II 77 consid. 3 et les références; TF 1C_59/2020 précité, consid. 4.1). Le refus d'accès (total ou partiel) à un document officiel doit toutefois se justifier par un risque à la fois important et sérieux d'atteinte aux intérêts publics ou privés prépondérants protégés par les art. 7 LTrans et 16 LInfo; ces dernières dispositions doivent en conséquence être interprétées de façon restrictive (ATF 142 II 324 consid. 3.4 et les références; CDAP GE.2021.0070 du 29 juillet 2022 consid. 4c; GE.2018.0169 du 2 mai 2019 consid. 3c; GE.2017.0086 du 9 janvier 2018 consid. 2d et les références) – ce qui résulte au demeurant expressément de la teneur de l'art. 16 al. 1 LInfo (ce n'est ainsi que "à titre exceptionnel" que l'accès peut être refusé).
Il n'en demeure pas moins que l'autorité doit procéder à une réelle pesée des intérêts, sans règle de primauté dans le sens qu'il n'y a pas de principe selon lequel la protection de la personnalité l'emporte sur le principe de la transparence en cas de doute, ni de principe inverse (Astrid Epiney, in Philippe Meier/Sylvain Métille [édit.], Commentaire romand, Loi fédérale sur la protection des données, Bâle 2023, n° 30 ad art. 36, présentant aussi la doctrine divergente).
Le Tribunal cantonal a admis que les intérêts privés prépondérants des conseillers communaux s'opposaient à la communication de leurs coordonnées privées (adresses postales, numéros de téléphone et adresses e-mail), dès lors qu'ils pouvaient être contactés par un autre moyen (cf. CDAP GE.2022.0175 du 11 décembre 2023 consid. 4). Le Tribunal a aussi jugé que les membres de la direction de l'ECA ne font pas partie des personnalités publiques que la jurisprudence contraint à s'accommoder de la publication de leurs données personnelles. Il a donc considéré que c'est sans abuser de son pouvoir d'appréciation que l'ECA avait refusé, tout en fournissant les maxima et minima pratiqués, de communiquer le détail, pour chaque directeur, des diverses sommes qu'elle avait versées (CDAP GE.2019.0029 du 18 juin 2019 consid. 2a). Dans l'arrêt GE.2018.0218 du 6 mars 2019 (consid. 3), concernant le refus de Tridel SA de communiquer au recourant deux rapports d'audit concernant le versement de primes exceptionnelles à certains membres du conseil d'administration et employés, le Tribunal a considéré que le caviardage du nom des membres du conseil d'administration ne répondait à aucun intérêt public ou privé prépondérant qui pourrait s'opposer à la transmission au recourant. En revanche, la transmission du nom d'un employé, cumulée avec celle du montant et des causes de l'indemnité reçue relevait de la protection de la sphère privée de l'employé que l'employeur se doit de protéger en vertu du droit du travail notamment. Il en allait de même du nom du mandataire externe qui pouvait prétendre à la protection des informations concernant ses relations contractuelles avec l'autorité et sa rémunération. Il en résultait que le nom de ces deux personnes devait être caviardés dans le rapport transmis au recourant en application de l'art. 16 al. 3 LInfo.
f) Le droit d'accès institué à l'art. 8 al. 1 LInfo n'est pas conditionné à l'existence d'un intérêt à la consultation de documents publics (cf. en particulier TF 1C_136/2019 du 4 décembre 2019 consid. 2.4; TAF A-1353/2022 du 2 février 2023 consid. 5.3.2.4 et les références citées; CDAP GE.2002.0019 du 20 juin 2022 consid. 10). La demande d'information n'a du reste pas à être motivée, comme l'art. 10 al. 1 LInfo le dispose expressément. Ce n'est que dans le cas où le document demandé implique la communication de données personnelles que la pesée des intérêts en présence prévue par l'art. 15 al. 1 LPrD est nécessaire (cf. CDAP GE.2021.0145 du 3 novembre 2021 consid. 2a et les références citées).
La prise en compte de l'intérêt du titulaire du droit d'accès joue également un rôle lorsqu'un abus de droit entre en considération (cf. ATF 141 III 119 consid. 7.1.1). Tel est le cas lorsque le droit d'accès est exercé dans un but étranger à la loi, par exemple lorsque le droit d'accès n'est utilisé que pour nuire au débiteur de ce droit (cf. arrêt du TF 4A_36/2010 du 20 avril 2010 consid. 3.1, dans la perspective de l'art. 8 de la loi fédérale du 25 septembre 2020 sur la protection des données [LPD; RS 235.1]) ou pour économiser les frais à payer normalement pour obtenir ces données. Il faudrait probablement aussi considérer comme contraire à son but et donc abusive l'utilisation du droit d'accès dans le but exclusif d'espionner une (future) partie adverse et de se procurer des preuves normalement inaccessibles à une partie. Le droit d'accès n'est en effet pas destiné à faciliter les preuves ou à interférer dans le droit de la procédure civile (cf. ATF 138 III 425 consid. 5.5, concernant l'art. 8 LPD; cf. aussi CDAP GE.2021.0140 du 3 février 2022, par lequel la CDAP a rejeté le recours d’un administré contre le refus du Service de l’économie de la Ville de Lausanne de lui fournir des renseignements sur l’identité de l’organisatrice d’une manifestation afin de la faire témoigner dans un procès pénal, estimant qu'une telle demande était étrangère aux buts poursuivis par la LInfo). Serait aussi abusive une requête qui ne constituerait qu'un prétexte à une recherche indéterminée de moyens de preuve (fishing expedition). On ne saurait en revanche conclure directement à un abus lorsque le requérant n'exige que la remise de documents dont il pourrait exiger l'apport dans une procédure civile ou pénale ordinaire et qu'il a un intérêt à l'accès aux données le concernant pour contrôler leur exactitude; même s'il voulait contrôler ces données également en vue d'une éventuelle action civile ou pénale ultérieure (dans ce sens, cf. ATF 138 III 425 consid. 5.6; CDAP GE.2022.0019 du 20 juin 2022 consid. 10, validé par l'arrêt TF 1C_388/2022 / 1C_591/2022 du 28 avril 2023).
3. Le droit d’être entendu garanti à l’art. 29 al. 2 de la Constitution fédérale de la Confédération suisse du 18 avril 1999 (Cst.; RS 101) implique en particulier pour l'autorité l'obligation de motiver sa décision, afin que l'intéressé puisse la comprendre et l'attaquer utilement s'il y a lieu et que l'autorité de recours puisse exercer son contrôle. L'autorité doit mentionner, au moins brièvement, les motifs qui l'ont guidée et sur lesquels elle a fondé sa décision, de manière à ce que l'intéressé puisse se rendre compte de la portée de celle-ci et l'attaquer en connaissance de cause. Elle n'a toutefois pas l'obligation d'exposer et de discuter tous les faits, moyens de preuve et griefs invoqués par les parties, mais elle peut au contraire se limiter à l'examen des questions décisives pour l'issue du litige (ATF 142 I 135 consid. 2.1; 141 V 557 consid. 3.2.1; 138 I 232 consid. 5.1; 137 II 266 consid. 3.2). La motivation peut être implicite et résulter des différents considérants de la décision (ATF 141 V 557 consid. 3.2.1; arrêt TF 2C_1132/2018 du 21 janvier 2019 consid. 3.1).
4. a) En l'espèce, l'autorité intimée a estimé que l'exception du secret commercial ne pouvait pas être retenue, mais a estimé que l'intérêt privé prépondérant que constitue le respect de la sphère privée des fondations l'emportait tant sur l'intérêt privé des recourants à contrôler le travail de l'autorité concernée que sur leur intérêt privé de bénéficiaires des prestations culturelles de la fondation.
A titre préalable, on relève que la LPrD s'applique également aux personnes morales (art. 3 al. 1 LPrD; ce qui n'est pas le cas de la LPD dans sa version du 25 septembre 2020). Selon la jurisprudence constante, la protection de la personnalité – qui implique la protection de la sphère privée ou secrète – peut être invoquée tant par une personne physique que par une personne morale, dans la mesure où elle ne touche pas à des caractéristiques qui, en raison de leur nature, appartiennent seulement aux personnes physiques (ATF 138 III 337 consid. 6.1 et les références citées). Cela étant, le besoin de protection des données personnelles est naturellement moins important s'agissant d'une personne morale que pour une personne physique (cf. entre autres arrêt TAF du 3 novembre 2020 A-3334/2019 / A-3382/2019 consid. 7.1.2).
L'argumentation de l'autorité intimée s'avère problématique à plusieurs égards.
Il ressort en premier lieu de la décision attaquée que l'autorité intimée ne précise pas quels sont les éléments dont la communication porterait atteinte à la sphère privée des fondations. On ne sait pas s'il s'agit de noms, d'adresses, d'informations financières, d'activités ou encore d'autres choses. Il aurait convenu que l'autorité intimée demande à l'As-SO de produire les documents dont la consultation était demandée afin d'évaluer concrètement l'atteinte portée à la sphère privée par la communication aux recourants des données contenues dans ces documents.
Cette lacune n'est pas négligeable car, dans la pondération des intérêts, il faut notamment tenir compte de la nature des données visées, du rôle et de la position de la personne concernée, et de la gravité des conséquences que la divulgation entraînerait pour elle (cf. Flükiger/Minetto, op. cit., p. 570 ch. 2.2.3). Les intérêts sont d'autant moins identifiables que, dans les premières décisions, l'autorité concernée ne mentionnait pas uniquement la nécessité de protéger la sphère privée des fondations mais aussi celle de protéger la sphère de tiers puisqu'elle indiquait que les documents requis "contiennent de nombreuses données de personnes physiques et morales". Les intérêts des tiers n'apparaissent cependant plus dans la décision attaquée. Or il est essentiel de savoir quelles sont les personnes dont les données sont concernées. En effet, comme indiqué ci-avant, le besoin de protection des données personnelles peut être moins important s'agissant d'une personne morale que pour une personne physique; il varie aussi selon la fonction de la personne. Il en découle que la décision attaquée n'est pas suffisamment motivée quant aux éléments dont la communication porterait atteinte à la sphère privée des fondations ou de tiers.
La décision attaquée est également lacunaire dans la mesure où elle ne procède pas à une balance des intérêts correcte entre le droit à l'information – tel qu'il découle de la LInfo et qui constitue en tant que tel un intérêt public – et l'atteinte à la sphère privée des fondations ou des tiers. En effet, l'autorité intimée remet en cause le projet des recourants de contrôler le travail effectué par l'autorité concernée. Elle souligne que, au-delà des compétences à détenir pour procéder à cette vérification, il ne faut pas omettre le fait que l'autorité concernée est elle-même soumise à des contrôles de différents types. Elle expose en outre qu'en cas de soupçons, les recourants disposent du moyen de la dénonciation auprès des instances supérieures. Il y a toutefois lieu de rappeler qu'il existe un droit à l'information indépendamment du but poursuivi (sous réserve de quelques exceptions mentionnées ci-avant). Dans l'arrêt GE.2017.0114 / GE.2018.0025 du 12 novembre 2018 consid. 4c/bb déjà, le Tribunal de céans avait estimé que même si la recourante sollicitait des informations en vue de rechercher une éventuelle responsabilité de l'Etat, si elle parvenait à la conclusion que l'As-SO avait violé les devoirs qui lui incombaient dans la gestion des fondations, cela ne s'opposait pas à la demande de consultation. Dans cette perspective, l'intérêt à contrôler l'activité de l'autorité concernée relève du but même de la LInfo et ne peut pas être, d'emblée, qualifié de mineur, comme l'a fait l'autorité intimée. C'est à tort que celle-ci n'a pas procédé à une réelle balance des intérêts entre le droit à l'information – tel qu'il découle de la LInfo et qui constitue en tant que tel un intérêt public – et l'atteinte à la sphère privée des fondations ou des tiers (dans une mesure qui doit être précisée), à la lumière de la requête formulée par les recourants.
Devant le Tribunal de céans, l'autorité intimée n'a pas davantage motivé l'acte contesté, puisqu'elle s'est contentée d'y renvoyer et de conclure au rejet du recours.
b) Il s'ensuit que la décision attaquée est insuffisamment motivée. Or, de jurisprudence constante, il n'appartient pas au Tribunal de reconstituer, comme s'il était l'instance précédente, l'état de fait ou la motivation qu'aurait dû comporter la décision attaquée (art. 42 let. c LPA-VD; cf. notamment CDAP GE.2020.0168 du 30 novembre 2020; PE.2019.0312 du 8 septembre 2020; PS.2018.0008 du 18 mai 2018 consid. 5b; GE.2012.0146 du 19 décembre 2012 consid. 2a et les références; AC.2009.0173 du 22 septembre 2009; PE.2009.0010 du 1er mai 2009), ce d'autant que le vice n'a pas été réparé en procédure de recours. Il convient en conséquence de renvoyer la cause à l'autorité intimée pour qu'elle statue à nouveau par une décision formelle comportant la motivation requise.
5. Les considérants qui précèdent conduisent à l'admission du recours et à l'annulation de la décision entreprise, le dossier étant renvoyé à l'autorité intimée pour qu'elle rende à bref délai une décision au sens des considérants. L'arrêt est rendu sans frais (art. 27 al. 1 LInfo).
Les recourants, qui obtiennent gain de cause avec le concours d'un avocat, ont droit solidairement entre eux à une indemnité à titre de dépens (cf. art. 55 al. 1 LPA-VD; art. 10 et 11 du tarif du 28 avril 2015 des frais judiciaires et des dépens en matière administrative [TFJDA; BLV 173.36.5.1]) dont il convient d'arrêter le montant total à 1'500 fr., à la charge de l'autorité intimée.
Par ces motifs la Cour de droit administratif et public du Tribunal cantonal arrête:
I. Le recours est admis.
II. La décision sur recours de l'Autorité de protection des données et de droit à l'information du 26 juin 2023 est annulée, le dossier lui étant renvoyé pour qu'elle rende à bref délai une nouvelle décision dans le sens des considérants.
III. Il est statué sans frais.
IV. L'Etat de Vaud, soit pour lui l'Autorité de protection des données et de droit à l'information, versera à A.________ et B.________, solidairement entre eux, la somme de 1'500 (mille cinq cents) francs à titre de dépens.
Lausanne, le 2 février 2024
Le président: La greffière:
Le présent arrêt est communiqué aux destinataires de l'avis d'envoi ci-joint.
Il peut faire l'objet, dans les trente jours suivant sa notification, d'un recours au Tribunal fédéral (Tribunal fédéral suisse, 1000 Lausanne 14). Le recours en matière de droit public s'exerce aux conditions des articles 82 ss de la loi du 17 juin 2005 sur le Tribunal fédéral (LTF - RS 173.110), le recours constitutionnel subsidiaire à celles des articles 113 ss LTF. Le mémoire de recours doit être rédigé dans une langue officielle, indiquer les conclusions, les motifs et les moyens de preuve, et être signé. Les motifs doivent exposer succinctement en quoi l’acte attaqué viole le droit. Les pièces invoquées comme moyens de preuve doivent être jointes au mémoire, pour autant qu’elles soient en mains de la partie; il en va de même de la décision attaquée.