Composition

MM. les Juges fédéraux Chaix, Président,

Karlen et Fonjallaz.

Greffier : M. Kurz.

A.________,

représenté par Me Yves H. Rausis, avocat,

recourant,

contre

Service de renseignement de la Confédération.

Objet

Protection des données, accès au dossier SRC,

recours contre l'arrêt du Tribunal administratif fédéral, Cour I, du 30 août 2018 (A-5654/2017).

A. A.________, ressortissant syrien né en 1991, est arrivé en Suisse en septembre 2000. Il a obtenu la nationalité suisse le 21 août 2013. Le 16 juin 2017, le Département genevois de la sécurité et de l'économie l'a informé que, dans le cadre de la procédure de naturalisation de son frère B.________, le Secrétariat d'Etat aux migrations (SEM) avait été informé par le Service de renseignement de la Confédération (SRC) que les deux frères étaient impliqués dans des activités de surveillance prohibée de ressortissants syriens en Suisse. Le département envisageait de soumettre au Conseil d'Etat genevois un arrêté d'annulation de la naturalisation genevoise accordée en 2013. Dans ses déterminations du 25 août 2017, A.________ a contesté les reproches qui lui étaient adressés et demandait l'accès, préalablement à toute décision, aux preuves administrées. Auparavant, le 7 juillet 2017, il s'est adressé au SRC afin d'accéder à ses données personnelles.

Par décision du 31 août 2017, le SRC a indiqué que son nom figurait dans 15 documents enregistrés dans le système d'information GEVER; l'accès à ces documents a été refusé car il était de nature à compromettre la sûreté intérieure de la Suisse ainsi que l'intégrité des personnes ayant fourni des informations.

B. Par arrêt du 30 août 2018, le Tribunal administratif fédéral (TAF) a rejeté le recours formé par A.________. Le recours était sans objet s'agissant des documents 7 à 10 qui avaient été remis sous forme non anonymisée au recourant en cours de procédure. Les documents 4 à 6 et 11 à 15 avaient été remis sous forme anonymisée, et les documents 1 à 3 avaient été remis au TAF, mais non au recourant. Le grief de violation du droit d'être entendu dans la procédure d'annulation de la naturalisation ne relevait pas du droit d'accès. Les autres griefs relatifs au droit d'être entendu ont aussi été écartés. Le refus de communiquer les documents 1 à 3 était justifié par la protection des sources et des communications entre organes de sûreté, le recourant pouvant pour sa part faire valoir ses droits dans le cadre de la procédure d'annulation de la naturalisation. Les caviardages effectués sur les documents 4 à 6 et 11 à 15 étaient également justifiés.

C. Agissant par la voie du recours en matière de droit public, A.________ demande au Tribunal fédéral d'annuler l'arrêt du TAF. Il a par la suite demandé l'assistance judiciaire. Le TAF s'est déterminé dans le sens du rejet du recours et a produit le dossier, qui contient notamment les quinze pièces du SRC, dans leurs versions originale et anonymisée. Le SRC conclut à la confirmation de l'arrêt attaqué. Le Préposé fédéral à la protection des données et à la transparence a renoncé à se déterminer. Dans ses dernières observations, le recourant persiste dans ses conclusions.

1. L'arrêt attaqué est une décision finale rendue en dernière instance par le TAF (art. 86 al. 1 let. a LTF). Il se rapporte à une demande de consultation de documents en mains d'un organe de l'Etat au sens de l'art. 8 de la loi fédérale sur la protection des données (LPD, RS 235.1), soit une matière de droit public au sens de l'art. 82 let. a LTF. Le recourant, auteur de la demande d'accès et partie à la procédure devant le TAF, a qualité pour recourir au sens de l'art. 89 al. 1 LTF.

Selon l'art. 83 let. a LTF, le recours est irrecevable contre les décisions concernant la sûreté intérieure ou extérieure du pays, à moins que le droit international ne confère un droit à ce que la cause soit jugée par un tribunal (ATF 138 I 6 consid. 1.3.2 p. 13 s.). La jurisprudence considère que tel est le cas des litiges concernant l'accès aux données personnelles détenues par les services de renseignement (ATF 138 I 6 consid. 1.3.2 p. 13).

Il y a lieu dès lors d'entrer en matière.

2. Dans un chapitre consacré au droit applicable, le recourant admet l'application du droit en vigueur au moment du prononcé du SRC, soit l'ancienne loi fédérale du 25 septembre 2008 sur le renseignement civil (aLFRC, RS 121 en vigueur jusqu'au 1 ^er septembre 2017) et l'ancienne ordonnance du 4 décembre 2009 sur le service de renseignement (aOSRC, RS 121.1). Ces points ne sont pas contestés. Dans un second chapitre relatif à l'objet du litige, le recourant rappelle, comme l'a fait le TAF, que la procédure de consultation prévue par la LPD n'a pas pour objet de faciliter l'obtention de preuves dans une procédure pendante; relevant que le SRC avait dans un premier temps refusé tout accès aux documents, il estime que son intérêt à contrôler et à rectifier des données erronées devrait être pris en compte pour juger du droit d'accès. Ces remarques relèvent de la pesée d'intérêts à effectuer en application de la LPD, et non de l'objet du litige tel qu'il a été correctement décrit dans l'arrêt attaqué.

3. Invoquant les art. 8 et 9 LPD, le recourant relève que le droit d'accès concerne également les dossiers "internes" de l'administration, afin de permettre à la personne concernée d'exercer ses droits. Il estime qu'un caviardage serait suffisant pour préserver les intérêts en jeu. Il estime peu crédible que les pièces 1 à 3 contiennent trop d'informations pour faire l'objet d'une anonymisation. Les instances précédentes ont considéré qu'il existait un risque d'atteinte à l'intégrité des indicateurs, sans justifier cette accusation, nullement compatible avec les renseignements disponibles sur le parcours personnel et professionnel du recourant. Le recourant relève, s'agissant des pièces 4 à 6, qu'il ne désire pas prendre connaissance de renseignements personnels concernant les tiers mentionnés dans ces pièces, mais uniquement contrôler les données le concernant. Les nécessités liées à des procédures "sécuritaires" ne permettraient pas de refuser le droit d'accès; le recourant soupçonne que le caviardage ne se limite pas à ces données. Il ne conteste pas le caviardage opéré sur les pièces 11, 13, 14 et 15. S'agissant en revanche de la pièce 12, le recourant met en doute l'objection tirée de la protection des processus internes du SRC.

3.1. La décision du SRC a été rendue quelques jours avant l'entrée en vigueur de la loi fédérale sur le renseignement (LRens, RS 121) et de son ordonnance d'exécution (ORens, RS 121.1). Le TAF en a déduit que l'ancien droit devait s'appliquer au cas d'espèce, soit l'ordonnance sur le service de renseignement de la Confédération (aOSRC, RS 121.1) ainsi que l'ordonnance sur les systèmes d'information du Service de renseignement de la Confédération (OSI-SRC, RS 121). Ces deux ordonnances ont pour fondement la loi fédérale instituant des mesures visant au maintien de la sûreté intérieure (LMSI, RS 120, dans son état précédant la révision entrée en vigueur elle aussi le 1

En l'occurrence, la procédure suivie n'est pas celle prévue à l'art. 18 al. 2 à 7 LMSI; le SRC n'a en effet pas différé sa réponse, mais a rendu une décision de refus, confirmant toutefois que le nom du recourant figurait sur 15 documents du système GEVER; ce refus constitue une transmission partielle de renseignements au sens de l'art. 18 al. 8 LMSI; il est fondé sur l'art. 9 LPD et l'obligation de protection des sources découlant de la réglementation applicable aux services de renseignement.

3.2. En vertu de l'art. 8 LPD, toute personne peut demander au maître d'un fichier si des données la concernant sont traitées (al. 1). Le maître du fichier doit lui communiquer: toutes les données la concernant qui sont contenues dans le fichier, y compris les informations disponibles sur l'origine des données (al. 2 let. a); le but et éventuellement la base juridique du traitement, les catégories de données personnelles traitées, de participants au fichier et de destinataires des données (al. 2 let. b). Ce droit de consultation existe indépendamment de tout intérêt; ce n'est qu'en cas de refus de la part du maître du fichier, qu'une pesée d'intérêts doit avoir lieu. La prise en compte de l'intérêt du requérant joue également un rôle lorsque se pose la question d'un éventuel abus de droit (ATF 141 III 119 consid. 7.1.1 p. 127).

Selon l'art. 9 LPD, le maître du fichier peut refuser ou restreindre la communication des renseignements demandés, voire en différer l'octroi, dans la mesure où: a) une loi au sens formel le prévoit; b) les intérêts prépondérants d'un tiers l'exigent. Un organe fédéral peut en outre refuser ou restreindre la communication des renseignements demandés, voire en différer l'octroi, dans la mesure où: a) un intérêt public prépondérant, en particulier la sûreté intérieure ou extérieure de la Confédération, l'exige; b) la communication des renseignements risque de compromettre une instruction pénale ou une autre procédure d'instruction (al. 2). Dès que le motif justifiant le refus, la restriction ou l'ajournement disparaît, l'organe fédéral est tenu de communiquer les renseignements demandés, pour autant que cela ne s'avère pas impossible ou ne nécessite pas un travail disproportionné (al. 3). Un maître de fichier privé peut en outre refuser ou restreindre la communication des renseignements demandés ou en différer l'octroi, dans la mesure où ses intérêts prépondérants l'exigent et à condition qu'il ne communique pas les données personnelles à un tiers (al. 4). Le maître du fichier doit indiquer le motif pour lequel il refuse de fournir, restreint ou ajourne les renseignements (al. 5). Ces motifs de refus peuvent (et doivent) être invoqués par le maître du fichier en particulier lorsque les données sur lesquelles porte l'accès sont intimement liées aux données personnelles de tiers (ATF 141 III 119 consid. 6.2 p. 126) En principe, si l'anonymisation des documents concernés suffit à protéger les tiers, le droit d'accès du titulaire des données ne devrait pas, sous peine d'une violation du principe de la proportionnalité (cf. art. 4 al. 2 LPD), faire l'objet d'une plus grande restriction (ATF 141 III 119 consid. 6.2 p. 126).

3.3. A teneur de l'art. 28a aOSRC, toute personne voulant savoir si des données la concernant sont traitées dans les systèmes d'information du SRC doit justifier de son identité et adresser une demande écrite (al. 1). Le SRC doit indiquer au requérant, dans un délai de 30 jours à compter de la réception de la demande: a) si des données le concernant sont traitées; ou b) si la réponse est différée (al. 2). Consacré à la protection des sources, l'art. 29 aOSRC a la teneur suivante:

1 Le SRC protège ses sources d'information relevant des services de renseignement. Dans des cas particuliers, il pèse les intérêts de la source à protéger et des services qui demandent des informations.

2 Les sources d'information relevant des services de renseignement sont notamment:

a. les personnes qui fournissent au SRC des informations importantes pour la protection de l'Etat ou d'autres informations sensibles;

b. les organes de sûreté suisses ou étrangers avec lesquels le SRC collabore;

c. l'exploration radio.

3 Les principes suivants doivent être respectés lors de la pesée des intérêts selon l'al. 1:

a. l'identité des personnes et de leurs proches qui seraient exposés à un grave danger pour leur intégrité physique ou psychique du fait d'une divulgation doit être protégée intégralement, sauf si la personne concernée consent à cette divulgation;

b. l'identité des organes de sûreté étrangers est gardée secrète sauf si:

1. l'organe de sûreté étranger consent à la divulgation, ou si

2. la divulgation ne compromet pas la poursuite de la collaboration avec l'organe de sûreté étranger;

c. en ce qui concerne l'exploration radio, toutes les informations relatives à l'infrastructure, aux moyens techniques engagés et aux méthodes opératives sont tenues secrètes, sauf si leur divulgation ne met pas en péril l'accomplissement de la mission du SRC.

La protection des sources, en particulier l'anonymat et la protection des informateurs, apparaît comme un principe essentiel d'ailleurs repris aux art. 35 de l'actuelle loi fédérale sur le renseignement (LRens, RS 121) et 18 de l'ordonnance du 16 août 2017 sur le service de renseignement (ORens, RS 121.1). Cet intérêt n'est pas contesté par le recourant. Il se recoupe avec l'intérêt public que représente l'accomplissement des missions du SRC. La collecte d'informations est en effet la partie la plus sensible de tout service de renseignement. Elle nécessite une protection particulière et la confidentialité des sources, des collaborateurs et des méthodes de travail (DDPS/DFJP, Les services de renseignement suisses, Berne 2004, p. 37). Dans ce domaine, il convient donc de faire preuve d'une prudence accrue puisque la révélation des sources est susceptible de mettre en péril les informateurs ainsi que l'accomplissement de la mission de renseignement.

En l'occurrence, si le SRC s'était contenté de différer sa réponse en application de l'art. 8 al. 2 let. b aLMSI afin d'assurer la protection de ses informateurs, le recourant n'aurait eu droit qu'à une information indirecte, sans aucun accès aux documents. Dès lors qu'un droit d'accès a néanmoins été accordé dans une certaine mesure, il faut reconnaître à l'autorité une grande liberté d'appréciation dans le choix des mesures d'anonymisation, celle-ci étant mieux à même d'évaluer les risques liés à la révélation de certaines informations (cf. ATF 142 II 313 consid. 4.3 p. 319; arrêt 1C_122/2015 du 18 mai 2015 consid. 3.2.1).

3.4. S'agissant des documents 1 à 3, il a été indiqué au recourant que ceux-ci portaient sur des soupçons d'activités illégales, soit de l'espionnage contre des ressortissants étrangers en Suisse, concernant le recourant et son entourage familial. Le TAF a considéré que ces documents contenaient beaucoup trop d'informations pour pouvoir être anonymisés et faire ainsi l'objet d'une mesure moins incisive. La consultation des pièces en question permet de confirmer cette appréciation: les identités d'informateurs - ou de nombreux autres éléments propres à les identifier - apparaissent à de très nombreuses reprises, ce qui rend illusoire toute anonymisation; les risques de représailles à l'égard de ces informateurs, reconnus par les instances précédentes, justifient que ces pièces ne soient pas portées à la connaissance du recourant.

Les pièces 4 à 6 portent sur la transmission interne d'un rapport et d'une carte de contrôle de personnes à propos du passage de la frontière à l'Aéroport de Genève le 15 août 2016. Les caviardages concernent l'identité des collaborateurs ainsi que les mesures de contrôle; même si ces données anonymisées concernent une bonne partie des documents, elles ne révèlent aucune information matérielle à propos du recourant; la nature des mesures en question ne doit pas être révélée afin de maintenir le secret, partant l'efficacité des procédures de contrôle aux frontières.

S'agissant des documents 11, 14 et 15, le recourant ne conteste plus l'anonymisation opérée par le SRC. Il met en doute le caviardage opéré sur la pièce 13 ("Kundenkontakt IOS"), mais il apparaît clairement que les données laissées en clair sont les seules qui concernent le recourant. Il en va de même pour la pièce 12 (courriel interne) : les données anonymisées concernent l'identité des collaborateurs ainsi que la circulation de l'information à l'interne, mais aucune donnée matérielle concernant le recourant.

Il apparaît en définitive que l'accès restreint aux documents ne consacre en rien une violation des dispositions du droit fédéral et du pouvoir d'appréciation qui y est consacré.

4. Le recourant invoque enfin les art. 5 al. 3 et 9 Cst. (protection de la bonne foi) 13 al. 2 Cst. (protection contre l'emploi abusif des données). Il ne prétend toutefois pas que ces dispositions constitutionnelles assureraient, dans le domaine de l'accès aux données du SRC, une protection supérieure aux dispositions d'exécution du droit fédéral précitées. Le grief apparaît ainsi sans portée propre.

5. Sur le vu de ce qui précède, le recours est rejeté. Le recourant a demandé l'assistance judiciaire, et celle-ci peut lui être accordée. Me Yves Raussis est désigné comme avocat d'office du recourant, rétribué par la caisse du Tribunal fédéral. Il n'est pas perçu de frais judiciaires.

1. Le recours est rejeté.

2. La demande d'assistance judiciaire est admise; Me Yves Raussis est désigné comme avocat d'office du recourant et une indemnité de 2'000 fr. lui est allouée à titre d'honoraires, à payer par la caisse du Tribunal fédéral. Il n'est pas perçu de frais judiciaires.

3. Le présent arrêt est communiqué au mandataire du recourant, au Service de renseignement de la Confédération, au Tribunal administratif fédéral, Cour I, et au Préposé fédéral à la protection des données et à la transparence.

Lausanne, le 8 mars 2019

Au nom de la Ire Cour de droit public

du Tribunal fédéral suisse

Le Président : Chaix

Le Greffier : Kurz