A1 25 107

A1 25 107

ARRET DU 11 MARS 2026

Tribunal cantonal du Valais Cour de droit public

Composition : Christophe Joris, président; Matthieu Sartoretti et Michael Steiner, juges; Natalia Pérez Alvarez, greffière;

en la cause

X _________, de siège à A _________, recourante, représentée par Maître Sylvain Métille, avocat à Lausanne,

contre

CONSEIL D'ETAT DU VALAIS, autorité attaquée, et Y _________, tiers concerné.

(LIPDA) recours de droit administratif contre la décision du 14 mai 2025

- 2 - Faits

A. Le 18 septembre 2020, Y _________, étudiant à la Faculté de droit de X _________, a déposé auprès du Doyen de cette Faculté (ci-après : le Doyen) une requête tendant à la constatation du caractère illicite du traitement de ses données personnelles effectué par X _________ au moyen du service Zoom, à la cessation immédiate de ce traitement et à la suppression de ses données personnelles ayant fait l’objet d’un tel traitement. Il a en substance argué d’une protection des données manifestement insuffisante du service Zoom, lequel communiquait les données personnelles aux Etats-Unis, où la société Zoom Video Communications Inc. a son siège. Il s’est prévalu du défaut de motif justificatif au sens de l’art. 22 de la loi du 9 octobre 2008 sur l’information du public, la protection des données et l’archivage (LIPDA) ainsi que de l’absence d’alternative proposée aux étudiants de X _________ pour suivre l'enseignement qui leur était destiné. B. Le 26 octobre 2020, le Doyen a rejeté la requête de Y _________ au motif que ce dernier n’avait pas prouvé la communication de ses données personnelles à l’étranger ni démontré que les informations ayant fait l’objet de la prétendue communication correspondaient à des données personnelles au sens du droit de la protection des données. Le Doyen a relevé que les données traitées correspondaient à des données techniques, qui n’entraient pas dans la définition des données personnelles et que, s’agissant des prises de vue de la caméra et du nom d’utilisateur, lesquels pouvaient être qualifiés de données personnelles, les étudiants étaient libres d'éteindre leurs caméras pendant l’enseignement à distance et d'utiliser un autre nom d'utilisateur sans que cela n’affecte leur formation. Finalement, le Doyen a considéré que Y _________ n’avait pas démontré quelles données le concernant auraient fait l’objet d’une communication illicite et que, s’agissant de leur suppression, ces données ne se trouvaient pas dans la sphère de maîtrise de X _________, qui ne pouvait ainsi pas y donner suite. C. Le 25 novembre 2020, Y _________ a déposé un recours auprès de la Direction de X _________ (ci-après : la Direction) concluant à l’annulation de la décision du Doyen du 26 octobre 2020 et, partant, à la constatation du caractère illicite du traitement de ses données personnelles, à la cessation de ce traitement et à la suppression des données concernées. Il a en particulier invoqué la violation de la maxime inquisitoire (art. 17 LPJA) et allégué qu’une adresse IP (Internet Protocol) et les enregistrements audio et vidéo effectués lors des examens oraux correspondaient à des données personnelles au sens

- 3 - de la loi et qu’il ne pouvait être exigé des étudiants qu’ils désactivent leurs caméras et leurs microphones dans ce contexte. Il a également contesté l’absence de preuve de transfert des données personnelles aux Etats-Unis, dès lors que cette communication était expressément prévue dans la déclaration de confidentialité du service Zoom. Il a réitéré l’absence de motif justificatif au sens de l’art. 22 LIPDA et, partant, l’illicéité de la communication de ses données personnelles. Par courriel adressé au Recteur de X _________ le 30 novembre 2020, le Doyen a fait part de ses déterminations sur le recours du 25 novembre 2020; il a en particulier souligné que la maxime inquisitoire ne dispensait pas Y _________ du fardeau de l’allégation et de la charge de la motivation de la contestation, soulignant que celui-ci ne s’était pas prévalu de son droit d’être entendu pour compléter son écriture. D. Par décision du 20 décembre 2022, la Direction de X _________ a rejeté le recours de Y _________. En premier lieu, elle a confirmé l’appréciation du Doyen selon laquelle la maxime inquisitoire ne dispensait pas Y _________ du fardeau de l’allégation et de la charge de la motivation de la contestation, lesquels n’avaient en l’occurrence pas été observés, ainsi que l’absence de violation du droit d’être entendu. En deuxième lieu, du point de vue matériel, la Direction a considéré que Y _________ n'expliquait pas en quoi consistait l'atteinte à sa personnalité. S’il n’était pas contesté que des données personnelles des étudiants de X _________ avaient pu faire l’objet d’un traitement lors de l'utilisation du service Zoom, ceci n’était toutefois pas suffisant pour fonder l’illicéité de ce traitement. Les affirmations de l’intéressé relatives aux révélations d'Edward Snowden (accès des services secrets américains aux données traitées par Zoom) ont également été considérées comme insuffisantes pour conclure à l’illicéité du traitement, d’autant plus que Y _________ avait admis dans son recours qu’il n’était pas possible que la Direction apporte la preuve d’un tel traitement illicite. La Direction a rappelé la teneur de la Directive du 16 novembre 2022 en matière d’utilisation de systèmes de vidéoconférence à X _________ (RVideo), qui justifiait le traitement des données personnelles au sens de l’art. 17 al. 1 LIPDA. S’agissant de la communication des données à l’étranger, la Direction a constaté que l’art. 22 al. 1 LIPDA était en l’occurrence inapplicable. De plus, la suppression par la Direction des données personnelles de Y _________ prétendument traitées de manière illicite ne pouvait pas être requise car celles-ci ne se trouvaient pas dans sa sphère de maîtrise. E. Le 18 janvier 2023, Y _________ a adressé au Conseil d’Etat un recours administratif contre la décision de la Direction. Il a conclu à l’annulation de cette décision, à la constatation du caractère illicite du traitement de ses données personnelles effectué au

- 4 - moyen du service Zoom, à la cessation immédiate de ce traitement et à la suppression de ses données personnelles ayant fait l’objet d’un tel traitement. Il a en substance invoqué une violation des art. 13 al. 2 Cst. et 21 ss LIPDA en raison de l’absence de contrôle technique et juridique effectué par X _________ en tant que responsable du traitement, de sorte qu’il ne lui était pas possible de savoir si ses données avaient été traitées illicitement, en particulier si les services secrets américains y avaient accès, et qu’il ne disposait d'aucun moyen juridique pour le constater et, cas échéant, y mettre fin. X _________ a, par courrier du 25 février 2023, renoncé à se déterminer sur le recours administratif et s’est référée à la décision de sa Direction du 20 décembre 2022. Le 16 mai 2023, la juriste de la Section des affaires juridiques du Conseil d’Etat (ci- après : SAJ) s’est adressée au Préposé cantonal à la protection des données et à la transparence (ci-après : le Préposé cantonal) au sujet d’une recommandation publiée le 2 avril 2020 sur les réseaux sociaux (Tweeter) par son prédécesseur, dont la teneur était la suivante : « Se fondant sur les considérants susmentionnés, le Préposé cantonal à la protection des données et à la transparence recommande ce qui suit à l'ensemble des autorités au sens de l'article 3 al. 1 let. a LIPDA :

1. Ne plus utiliser Zoom quelle que soit sa déclinaison technique.

2. Privilégier des produits et/ou des services de vidéoconférence qui stockent leurs données en Suisse et qui sont respectueux des principes de la protection des données tels qu'ils figurent dans la LIPDA (art. 17 et suivants) et le RèLIPDA (art. 28 et suivants).

3. Soumettre, pour préavis, les choix opérés au Préposé cantonal à la protection des données et à la transparence.

4. En cas de non-respect de la présente recommandation, le Conseil d’Etat du Canton du Valais sera saisi (art. 57 LIPDA).

5. La présente recommandation est publiée dans le Bulletin officiel du Canton du Valais.

6. La présente recommandation est rendue sans frais (art. 55 al. 1 LIPDA). » Dans sa réponse du 22 juin 2023 adressée à la SAJ, le Préposé cantonal a constaté que, à sa connaissance, cette recommandation n’avait vraisemblablement pas fait l’objet d’une publication dans le Bulletin officiel du Canton du Valais, contrairement à ce qu’elle indiquait. Dans ses déterminations (en français) du 28 novembre 2023, X _________ a expliqué avoir eu connaissance, pour la première fois, de la recommandation du 2 avril 2020 dans

- 5 - le cadre du litige qui l’opposait à Y _________. Elle a également ajouté que celle-ci ne pouvait pas être considérée comme une recommandation au sens de l’art. 37 al. 1 let. d LIPDA et n’avait aucune portée dans la présente cause en raison notamment de l’absence de publication dans le Bulletin officiel, de notification directe aux autorités, de mention des raisons pour lesquelles Zoom ne pouvait pas être utilisé ou encore de possibilité des autorités concernées de faire valoir leur droit d’être entendues. S’agissant du transfert des données personnelles à l’étranger, X _________ a indiqué que les conditions contractuelles avaient été négociées entre la société Zoom Video Communications Inc. et SWITCH, fondation proposant des services numériques à l’ensemble des universités et Hautes écoles suisses. Elle a également indiqué que le contenu des communications était stocké dans l’Espace économique européen et que les clauses contractuelles type adaptées pour la Suisse supposaient un niveau de protection adéquat. X _________ a ensuite exposé le contexte d’utilisation de Zoom durant la pandémie de Covid-19, période pendant laquelle il existait un intérêt public (cf. art. 25 al. 2 let. b LIPDA). Ultérieurement à cette période, le Data Processing Addendum (DPA) de Zoom, dans sa version d’octobre 2022, prévoyait des clauses contractuelles type adaptées pour la Suisse garantissant un niveau de protection adéquat en cas de transfert vers un pays ne présentant pas un tel niveau de protection. Les clauses contractuelles type intégrées dans le DPA d’octobre 2022 avaient du reste été reconnues par le Préposé fédéral à la protection des données et à la transparence (ci-après : le Préposé fédéral) et fait l’objet d’une étude d’impact qui avait démontré que le risque engendré par le transfert de données personnelles aux Etats-Unis était négligeable. Ainsi, X _________ a estimé que l’utilisation de Zoom était conforme à la LIPDA et a conclu au rejet du recours administratif. Par courrier du 12 décembre 2023, Y _________ a en substance demandé à ce que les déterminations du 28 novembre 2023 soient transcrites en allemand, langue initiale de la procédure. Le 24 janvier 2024, X _________ a, sur demande du Conseil d’Etat, transmis une version allemande de ses déterminations du 28 novembre 2023. Le 26 février 2024, Y _________ a considéré que la recommandation du Préposé cantonal était opposable à X _________ malgré le fait qu’elle l’ait connue tardivement et a réfuté l’existence d’un intérêt public prépondérant à l’utilisation de Zoom pendant la pandémie, dès lors qu’il existait des alternatives n’impliquant pas de transfert de données à l’étranger (par exemple le préenregistrement des cours et leur diffusion en streaming). Y _________ a fait valoir le défaut d’approbation du Préposé cantonal

- 6 - commandée par l’art. 25 al. 2 let. f de la LIPDA dans sa version en vigueur jusqu’au 31 décembre 2023 (aLIPDA). Il a également constaté que les clauses contractuelles type n’empêchaient pas les services secrets et les autorités de poursuite pénale américains d'accéder aux données personnelles traitées par Zoom. Le 6 mai 2024, pour faire suite à l’ordonnance du Conseil d’Etat du 23 avril 2024, X _________ a versé au dossier le document intitulé « Die Übermittlung von Personendaten in ein Land ohne angemessenes Datenschutzniveau gestützt auf anerkannte Standarddatenschutzklauseln und Musterverträge » établi le 27 août 2021, selon lequel le Préposé fédéral reconnaissait les clauses contractuelles type qui se référaient au règlement général de l’UE sur la protection des données (RGPD). Le 18 juin 2024, Y _________ a à nouveau invoqué le traitement illicite dont ses données personnelles avaient fait l’objet via l’utilisation du service Zoom en se fondant tout particulièrement sur le contenu du document du Préposé fédéral du 27 août 2021 et le contenu du DPA de Zoom dans sa version du 17 novembre 2023, lesquels ouvraient, selon lui, la voie à un traitement et une communication des données personnelles contraires à la législation cantonale sur la protection des données et aux garanties constitutionnelles (art. 13 et 36 Cst.). A l’appui de ses arguments, il a produit un rapport du Conseil des Etats du 8 décembre 2023 relatif aux mesures pour lutter contre la violence sexuelle à l'égard des enfants sur Internet et la diffusion en temps réel de pornographie infantile, la liste des mises à jour des normes communautaires de Zoom (« Community standards update log ») et les directives d’utilisation acceptable de Zoom (« Acceptable Use Guidelines »). F. Par décision du 14 mai 2025, expédiée le 16 et rédigée en allemand, le Conseil d’Etat a en premier lieu considéré que le droit applicable au litige était celui en vigueur au moment du dépôt de la requête de Y _________ le 18 septembre 2020. Ensuite, il a constaté que la procédure réglée à l’art. 52 al. 1 aLIPDA n’avait pas été respectée car X _________ avait omis d’informer Y _________ du délai de dix jours pour demander l’ouverture d’une procédure de médiation auprès du Préposé cantonal, de sorte que le recours devait être admis sans qu’il soit nécessaire d’analyser les griefs soulevés. Le Conseil d’Etat a annulé la décision de la Direction du 20 décembre 2022 et prononcé le renvoi de la cause à l’autorité précédente afin qu’elle informe Y _________ de la possibilité d’entamer une procédure de médiation. Enfin, il a estimé qu’une indemnité de 200 fr. devait être accordée à Y _________ à titre de dépens.

- 7 - G. Le 18 juin 2025, X _________ a déposé auprès de la Cour de céans un recours, rédigé en français, contre ce prononcé, formulant ses conclusions de la manière suivante : « Sur la base de ce qui précède, la recourante a l’honneur de conclure, avec suite de frais et dépens, à ce qu’il plaise à la Cour de droit public du Tribunal cantonal valaisan : En tout état de cause :

l. Déclarer sans objet la procédure s’agissant des conclusions en cessation du traitement illicite et en suppression des données personnelles en lien avec le traitement illicite. Principalement : II. Annuler la décision du Conseil d’Etat du 14 mai 2025 et renvoyer la cause au Conseil d'Etat afin que celui-ci statue sur le fond. Subsidiairement : III. Annuler la décision du Conseil d’Etat du 14 mai 2025 et renvoyer la cause au Conseil d'Etat afin que celui-ci donne à la recourante la possibilité de s’exprimer sur l’application de la procédure de médiation devant le Préposé cantonal à la protection des données et à la transparence dans la présente cause. Plus subsidiairement : IV. Annuler la décision du Conseil d’Etat du 14 mai 2025 et renvoyer la cause au Conseil d'Etat afin que celui-ci transmette d'office le recours déposé par l’intimé au Préposé cantonal à la protection des données et à la transparence, que celui-ci traitera comme une requête de médiation. Encore plus subsidiairement : V. Réformer la décision du Conseil d’Etat du 14 mai 2025 en ce sens qu'aucune indemnité n'est allouée à l’intimé pour sa défense. » En guise de motivation, X _________ s’est d’abord prévalue d’une violation des art. 33 et 48 ss aLIPDA; à l’issue des interprétations littérale, historique, téléologique et systématique, elle est arrivée au constat que la procédure de médiation ne s’appliquait pas à une requête visant la cessation d’un traitement illicite, la constatation du caractère illicite d’un traitement ou la suppression des effets d’un tel traitement, de sorte que les art. 33 et 48 ss aLIPDA ne trouvaient pas application dans le présent litige et que le Conseil d’Etat aurait dû se prononcer sur le fond et non prononcer le renvoi de la cause à l’autorité précédente. Subsidiairement, X _________ a estimé que son droit d’être entendue n’avait pas été respecté car la motivation de la décision du Conseil d’Etat était

- 8 - nouvelle et imprévisible. En effet, elle a estimé que l’application des art. 33 et 48 ss aLIPDA n’était pas prévisible au vu, d’une part, des nombreuses mesures d’instruction en lien avec la licéité du traitement des données auxquelles le Conseil d’Etat avait procédé et, d’autre part, de l’issue de l’interprétation de ces dispositions. X _________ a aussi relevé que le fait que le Conseil d’Etat ait procédé à ces nombreuses mesures d’instruction avant de rendre sa décision démontrait qu’il se considérait initialement compétent pour juger la cause au fond. Plus subsidiairement, X _________ s’est prévalue de la violation de l’art. 7 al. 3 LPJA car elle estimait que le Conseil d’Etat aurait dû examiner d’office sa compétence et parvenir à la conclusion que le Préposé cantonal était compétent pour traiter la suite de la procédure. Encore plus subsidiairement, X _________ a contesté le bien-fondé de l’indemnité octroyée à Y _________ dans la mesure où il n’était pas représenté par un mandataire professionnel et que les conditions posées par la jurisprudence pour l’octroi de dépens n’étaient pas réalisées. Le 20 août 2025, le Conseil d’Etat a déposé son dossier complet et a proposé le rejet du recours sous suite de frais et dépens. Le 24 septembre 2025, X _________ a déclaré ne pas avoir de remarques complémentaires à faire valoir et s’en est remise à son mémoire de recours. Par courriel du 14 octobre 2025, le mandataire de X _________ a relevé l’omission du Tribunal de communiquer à Y _________ un exemplaire de son recours et a également informé que ce dernier avait erronément reçu une attestation de force exécutoire de la décision du Conseil d’Etat du 14 mai 2025 datée du 6 octobre 2025. Le 15 octobre 2025, la Cour de céans a transmis à Y _________, en sa qualité de tiers concerné, un exemplaire du recours du 18 juin 2025 et a confirmé que l’attestation d’entrée en force n’aurait pas dû être délivrée. Par courrier du 23 octobre 2025, Y _________ a en particulier demandé à ce que la procédure se poursuive dans la langue allemande, qu’il ne soit pas entré en matière sur le recours de X _________ et que, subsidiairement, le recours soit renvoyé à cette dernière pour transcription en allemand et qu’un délai pour faire part de ses déterminations lui soit accordé. Le 28 octobre 2025, la Cour de céans a fixé à X _________ un délai pour présenter d’éventuelles remarques complémentaires. Elle n’a pas fait usage de cette faculté.

- 9 - Considérant en droit

1. 1.1 Le recours est recevable (art. 72, 78 al. 1 let. a, 80 al. 1 let. b et c, 46 et 48 LPJA; art. 56 al. 1 aLIPDA). En tant que destinataire de la décision du Conseil d’Etat du 14 mai 2025 qui admet le recours administratif de Y _________, la recourante, fondation constituée au sens des art. 80 ss CC et entrant dans le champ d’application de la aLIPDA (art. 2 al. 1 et 3 al. 1 let. a aLIPDA), est particulièrement touchée par ce prononcé cantonal; elle dispose ainsi d’un intérêt digne de protection à en obtenir le contrôle juridictionnel, de sorte que sa qualité pour recourir est admise (art. 80 al. 1 let. a et 44 al. 1 LPJA). 1.2 Le législateur et l'administration doivent traiter le français et l’allemand sur un pied d'égalité (art. 12 al. 2 Cst. cant.). Aux termes de l’art. 7 de la loi d'application du code de procédure civile suisse du 11 février 2009 (LACPC), subsidiairement applicable à la procédure de recours de droit administratif par renvoi des art. 81 LPJA et 129 al. 1 CPC, les écritures et les interventions orales des parties ou de leurs mandataires peuvent être faites en allemand ou en français, sauf devant le juge de commune où la langue du siège prévaut (al. 1). Le Tribunal cantonal adresse ses communications, décisions ou jugements en allemand ou en français, en principe dans la langue utilisée par l'autorité de première instance ou celle ressortant de l'écriture introductive d'instance (al. 3). Les parties sont tenues de se procurer elles-mêmes une traduction de ces documents (RVJ 2021 p. 132 consid. 6.2). En l’espèce, la recourante était légitimée à contester la décision du Conseil d’Etat du 14 mai 2025 au moyen d’un mémoire de recours en français et le présent arrêt peut être rendu dans cette langue. La requête du tiers concerné tendant à la traduction respectivement à la poursuite de la procédure en allemand est donc rejetée.

2. Dans un deuxième grief qu’il convient d’examiner en premier lieu compte tenu de son caractère formel (ATF 150 I 174 consid. 4), la recourante invoque une violation du droit d’être entendu, reprochant au Conseil d’Etat d’avoir retenu une motivation fondée en particulier sur les art. 33 et 52 al. 1 aLIPDA sans donner aux parties l’occasion de s’exprimer à ce sujet, alors que ces dispositions légales n’avaient jusqu’alors pas été évoquées par les parties ou par l’autorité. 2.1 2.1.1 A titre liminaire, le Tribunal précise que la légalité d’un acte administratif s’examine en principe à l’aune du droit prévalant au moment de son prononcé, sous réserve de

- 10 - l’existence de dispositions transitoires; en d’autres termes, l’autorité de recours applique le droit en vigueur au jour où l’autorité administrative a statué (ATF 148 V 162 consid. 3.2.1, 147 V 278 consid. 2.1; ACDP A1 25 38 du 19 décembre 2025 consid. 3.1.1). La LIPDA révisée contient des dispositions transitoires, mais celles-ci ne régissent pas spécifiquement la problématique de la compétence des autorités en charge des procédures pendantes. Par conséquent, il convient de se référer aux principes généraux dégagés en la matière par la jurisprudence et la doctrine (cf. ACDP A1 24 171 du 28 mai 2025 consid. 3.1). Les règles de procédure sont en principe applicables aux affaires pendantes dès leur entrée en vigueur (cf. ATF 136 I 42 consid. 2; PIREK, L’application du droit public dans le temps : la question du changement de loi, thèse Fribourg 2018, nos 779 s.). Font toutefois précisément exception à ce principe les dispositions relatives à la compétence (ATF 130 V 90 consid. 3.2; arrêt du Tribunal fédéral 2C_138/2009 du 3 novembre 2009 consid. 4.2). « La compétence de l’autorité se détermine en effet en fonction de la date de l’ouverture de la procédure, conformément au principe de la perpetuatio fori, sous réserve du cas où l’ancienne autorité n’existe plus » (PIREK, op. cit., no 780; ATF 130 V 90 consid. 3.2; arrêt du Tribunal fédéral 8C_649/2017 du 4 janvier 2018 consid. 4.4). Aussi l’autorité compétente sous l’ancien droit le reste-t-elle lorsqu’elle a été saisie avant l’entrée en vigueur du nouveau droit, à moins toutefois que la nouvelle loi ait aboli l’autorité en question (ibid.). Cette règle générale repose sur les principes de la bonne foi, de l’économie de la procédure, de la sécurité du droit et, surtout, de l’unité et de la cohérence de l’instance (PIREK, op. cit., no 781). En l’occurrence, la Direction a rejeté le recours du tiers concerné le 20 décembre 2022 et celui-ci a entrepris cette décision par la voie du recours administratif le 18 janvier 2023, soit avant l’entrée en vigueur de la LIPDA révisée, tandis que le Conseil d’Etat a statué sur ce recours le 14 mai 2025, c’est-à-dire postérieurement à celle-ci. Sur le vu de ce qui précède, la situation doit s’apprécier en fonction des dispositions de la LIPDA telles qu’elles étaient en vigueur jusqu’au 31 décembre 2023 (aLIPDA). 2.1.2 La jurisprudence a déduit de l'art. 29 al. 2 Cst. le droit des parties d'être informées et de s'exprimer sur les éléments pertinents du litige avant qu'une décision touchant leur situation juridique soit prise, d'obtenir l'administration des preuves pertinentes et valablement offertes, de participer à l'administration des preuves essentielles et de se déterminer sur son résultat lorsque cela est de nature à influer sur la décision à rendre. Le droit d'être entendu est à la fois une institution servant à l'instruction de la cause et une faculté de la partie, en rapport avec sa personne, de participer au prononcé de décisions qui lèsent sa situation juridique. Le droit de s'exprimer sur tous les points

- 11 - importants avant qu'une décision soit prise s'applique sans restriction pour les questions de fait (ATF 150 I 174 consid. 4.1, 148 II 73 consid. 7.3.1; HÄFELIN/HALLER/KELLER/THURNHERR, Schweizerisches Bundes-staatsrecht, 11e éd., 2024, p. 279). Le droit des parties d'être interpellées sur des questions juridiques n'est reconnu que de manière restreinte, lorsque l'autorité concernée entend se fonder sur des normes légales dont la prise en compte ne pouvait pas être raisonnablement prévue par les parties, lorsque la situation juridique a changé ou lorsqu'il existe un pouvoir d'appréciation particulièrement large. L'étendue de ce droit s’apprécie en fonction des circonstances concrètes (ATF 145 I 167 consid. 4.1, 144 I 11 consid. 5.3). Le droit d'être entendu ne porte en principe pas sur la décision projetée (ATF 148 II 73 consid. 7.3.1, 145 I 167 consid. 4.1; HÄFELIN/HALLER/KELLER/THURNHERR, op. cit., p. 280). L'autorité n'a donc pas à soumettre par avance aux parties, pour prise de position, le raisonnement qu'elle entend tenir. Cependant, lorsqu'elle envisage de fonder sa décision sur une norme ou un motif juridique non évoqué dans la procédure antérieure et dont aucune des parties en présence ne s'est prévalue et ne pouvait supputer la pertinence, le droit d'être entendu implique de donner au justiciable la possibilité de se déterminer à ce sujet (ATF 150 I 174 consid. 4.1, 148 II 73 consid. 7.3.1, 145 I 167 consid. 4.1). 2.1.3 La violation du droit d’être entendu entraîne l'admission du recours et l'annulation de la décision attaquée, indépendamment du bien-fondé matériel du recours (ATF 149 I 91 consid. 3.2, 144 I 11 consid. 5.3; arrêt du Tribunal fédéral 1C_476/2024 du 11 avril 2025 consid. 3.2). Une violation du droit d'être entendu peut être réparée lorsque la partie lésée a la possibilité de s'exprimer devant une autorité de recours jouissant d'un plein pouvoir d'examen. Toutefois, une telle réparation doit rester l'exception et n'est admissible, en principe, que dans l'hypothèse d'une atteinte qui n'est pas particulièrement grave aux droits procéduraux de la partie lésée. Cela étant, une réparation de la violation du droit d'être entendu peut également se justifier, même en présence d'un vice grave, lorsque le renvoi constituerait une vaine formalité et aboutirait à un allongement inutile de la procédure, ce qui serait incompatible avec l'intérêt de la partie concernée à ce que sa cause soit tranchée dans un délai raisonnable (ATF 147 IV 340 consid. 4.11.3, 142 II 218 consid. 2.8.1; arrêt du Tribunal fédéral 9C_189/2025 du 14 janvier 2026 consid. 3.1). 2.2 En l’occurrence, le tiers concerné avait agi, par requête du 18 septembre 2020, en constatation du caractère illicite du traitement de ses données personnelles effectué par la recourante au moyen du service Zoom, à la cessation immédiate de ce traitement et à la suppression de ses données personnelles ayant fait l’objet d’un tel traitement. Les

- 12 - décisions du Doyen du 26 octobre 2020 et de la Direction du 20 décembre 2022 qui en ont découlé abordaient principalement la question du caractère illicite du traitement des données personnelles du tiers concerné. Ce dernier avait, dans son recours administratif adressé le 18 janvier 2023 au Conseil d’Etat, pris des conclusions similaires à celles de sa requête du 18 septembre 2020. Le 16 mai 2023, la juriste de la SAJ s’était adressée au Préposé cantonal pour lui demander si la recommandation du 2 avril 2020 relative à l’utilisation de Zoom avait été dûment publiée dans le Bulletin officiel du Canton du Valais. Cette demande avait fait suite à un échange de courriels interne au Conseil d’Etat des 2 et 8 mai 2023 (cf. dossier CE, pp. 67-68), dont il ressort qu’un projet de décision sur le recours du tiers concerné était prêt pour validation et que la question de la recommandation du 2 avril 2020 devait encore être instruite avant l’émission de cette décision « car apparemment et d’après le préposé Zoom n’est pas respectueuse de la loi sur protection des données et donc il faudrait que FernUni sur la base de cette recommandation utilise un autre système de vidéosurveillance ». La recourante s’est ensuite déterminée sur l’applicabilité de ladite recommandation et sur la question du transfert de données personnelles à l’étranger. Le 26 février 2024, le tiers concerné s’est également prononcé sur l’applicabilité de la recommandation du 2 avril 2020, a fait valoir le défaut d’approbation du Préposé cantonal pourtant exigée par l’art. 25 al. 2 let. f aLIPDA et a réitéré la possibilité pour les autorités américaines d’accéder aux données personnelles traitées par Zoom. Le 23 avril 2024, le Conseil d’Etat a demandé à la recourante de lui transmettre un document relatif à la reconnaissance par le Préposé fédéral des clauses contractuelles type qui se référaient au RGPD. Dans ses déterminations du 18 juin 2024, le tiers concerné s’était une nouvelle fois prévalu du traitement illicite de ses données personnelles via Zoom. 2.3 Il ressort du résumé des différents échanges intervenus jusqu’au prononcé du Conseil d’Etat du 14 mai 2025 que ceux-ci se limitaient exclusivement à la question du caractère illicite du traitement des données personnelles au moyen du service Zoom et que la question de la procédure de médiation réglée aux art. 52 al. 1 et 53 aLIPDA n’avait à aucun moment été abordée. En effet, elle n’a été évoquée pour la première fois que dans la décision entreprise. En outre, au vu de la nécessité pour l’autorité attaquée de savoir si la recommandation du Préposé cantonal du 2 avril 2020 avait fait l’objet d’une publication dans le Bulletin officiel, il semblerait que le projet de décision prêt pour validation au début du mois de mai 2023 n’était a priori pas fondé sur l’argumentation de la procédure de médiation auprès du Préposé cantonal, mais plutôt sur la question de la licéité du traitement des données personnelles via Zoom. Cette hypothèse est confirmée par le contenu du courriel du 8 mai 2023. Au demeurant, la demande formulée par

- 13 - l’autorité attaquée le 23 avril 2024 pour que le document relatif au transfert des données personnelles dans les pays ne disposant pas d’un niveau de protection suffisant basé sur des clauses contractuelles type lui soit remis était également propre à laisser penser que la décision qui allait être rendue porterait sur la question du traitement des données personnelles du tiers concerné. La recourante était ainsi fondée à croire que le Conseil d’Etat jugerait la cause au fond au vu des nombreuses mesures d’instruction en lien avec la licéité du traitement des données personnelles auxquelles il avait procédé. Ainsi, en fondant la motivation de sa décision exclusivement sur l’irrespect de la procédure de médiation, celle-ci était imprévisible et la recourante ne pouvait raisonnablement pas s’y attendre. 2.4 Pour le surplus, et comme cela sera exposé infra au considérant 3.2, la motivation de la décision du Conseil d’Etat était d’autant plus imprévisible que la procédure de médiation ne trouvait pas application dans le cadre de la procédure ouverte par le tiers concerné le 18 septembre 2020, de sorte que la recourante ne pouvait raisonnablement pas s’attendre à ce que l’autorité attaquée motive sa décision sur l’inobservation de l’art. 52 al. 1 aLIPDA. 2.5 Dans ces circonstances, le droit d'être entendu de la recourante, de nature formelle, a effectivement été violé en ce qui concerne une motivation fondée sur une norme ou un motif juridique inattendus, ce qui conduit – pour ce seul motif déjà et indépendamment des chances de succès au fond – à l’admission du recours et à l’annulation de la décision entreprise. Cependant, la Cour disposant du même pouvoir d’examen en fait et en droit que l’autorité précédente, la violation du droit d’être entendue de la recourante peut en principe être réparée, aux fins d’éviter un allongement inutile de la procédure (ATF 147 IV 340 consid. 4.11.3). Ainsi, le Tribunal procédera ci-après à l’examen des autres griefs invoqués par la recourante.

3. Dans un grief d’ordre matériel, la recourante se plaint d’une violation des art. 33 et 48 ss aLIPDA de la part du Conseil d’Etat dans la mesure où la procédure de médiation n’était pas applicable dans le cadre de la requête déposée par le tiers concerné. Elle a motivé cette appréciation par le fait que, d’une part, la demande du tiers concerné ne portait pas sur une rectification de ses données personnelles au sens de l’art. 33 al. 4 aLIPDA, de sorte que les art. 50 à 54 aLIPDA n’étaient pas applicables par analogie et, d’autre part, que l’interprétation des art. 50 à 54 aLIPDA aboutissait au résultat selon lequel la procédure de médiation, en l’absence de renvoi exprès, ne s’appliquait pas non plus dans le cadre de la requête du tiers concerné.

- 14 - 3.1 La loi s'interprète en premier lieu selon sa lettre (interprétation littérale). Si le texte n'est pas absolument clair ou si plusieurs interprétations sont possibles, il convient de rechercher la véritable portée de la norme, en la dégageant de tous les éléments à considérer, soit notamment des travaux préparatoires (interprétation historique), du but de la règle, de son esprit, ainsi que des valeurs sur lesquelles elle repose, singulièrement de l'intérêt protégé (interprétation téléologique) ou encore de sa relation avec d'autres dispositions légales (interprétation systématique). Il n'y a lieu de déroger au sens littéral d'un texte apparemment clair, par la voie de l'interprétation, que lorsque des raisons objectives révèlent que ce texte ne restitue pas le sens véritable de la disposition en cause, ce qui peut ressortir des travaux préparatoires, du but de la règle et de ses rapports avec d'autres (ATF 151 II 545 consid. 6.2). Il convient donc de ne privilégier aucune méthode d'interprétation, mais de s'inspirer d'un pluralisme pragmatique pour rechercher le sens véritable de la norme et de ne se fonder sur la compréhension littérale du texte que s'il en découle sans ambiguïté une solution matériellement juste (ATF 150 V 400 consid. 5.1, 148 II 444 consid. 5.2, 147 IV 385 consid. 2.1). 3.2 3.2.1 Sur le plan de l’interprétation littérale de l’art. 33 al. 4 aLIPDA, il ressort du texte légal que les art. 50 à 54 aLIPDA s'appliquent par analogie dans le cas où la demande de rectification serait refusée. La version allemande (« […] Wird das Berichtigungsgesuch abgewiesen, gelten Artikel 50 bis 54 des vorliegenden Gesetzes sinngemäss. […] ») correspond à la version française de l'art. 33 al. 4 aLIPDA. Le mot « rectification » doit être compris dans le sens d’« action de rectifier » et de « correction » (dictionnaire en ligne Le Robert, https://dictionnaire.lerobert.com/ definition/rectification). Une demande de rectification au sens de l’art. 33 al. 4 aLIPDA fait ainsi référence à une demande visant la correction ou la destruction des données incorrectes selon l’art. 33 al. 1 let. a aLIPDA. La correspondance de l’art. 33 al. 4 aLIPDA avec l’art. 33 al. 1 let. a aLIPDA est par ailleurs confirmée par la teneur de l’art. 33 al. 4 in initio aLIPDA : « Si une demande de rectification est admise, le maître du fichier atteste, dans une décision notifiée à l'intéressé, que la correction a été faite. Les tiers qui ont fourni ou reçu des données inexactes en sont informés sur requête de l'intéressé ». A l’inverse, l’art. 33 al. 1 let. b à d aLIPDA (cessation d’un traitement illicite, suppression des effets d'un traitement illicite, constatation du caractère illicite d'un traitement) ne correspond pas à une rectification dans le sens prédéfini. Cette analyse relève également de l’interprétation systématique.

- 15 - Le Tribunal constate que la requête du 18 septembre 2020 du tiers concerné demandant la constatation du caractère illicite du traitement de ses données personnelles effectué au moyen du service Zoom, la cessation immédiate de ce traitement et la suppression des données personnelles ayant fait l’objet d’un tel traitement correspond respectivement aux lettres d, b et c de l’art. 33 al. 1 aLIPDA, mais en aucun cas à la lettre a. S’agissant de la requête du tiers concerné visant la suppression des données personnelles ayant fait l’objet d’un traitement illicite, il est précisé que celle-ci doit être assimilée à la suppression des effets d’un traitement illicite au sens de l’art. 33 al. 1 let. c aLIPDA et non à la destruction des données incorrectes au sens de l’art. 33 al. 1 let. a aLIPDA dès lors que le tiers concerné ne s’est jamais prévalu d’une quelconque erreur de ses données, mais a constamment requis la suppression de toutes les données qui avaient été traitées au moyen de Zoom, traitement qu’il considérait comme étant illicite. Le texte de l’art. 33 al. 4 aLIPDA et la systématique légale étant clairs, il n’y a en conséquence pas lieu de s’écarter du sens littéral de cette disposition. L’application par analogie des art. 50 à 54 aLIPDA, et en particulier de la procédure de médiation, au cas d’espèce par renvoi de l’art. 33 al. 4 aLIPDA ne se justifiait pas. 3.2.2 Néanmoins, la motivation de la décision entreprise n’indique pas expressément si la procédure de médiation devait se fonder sur le renvoi prévu à l’art. 33 al. 4 aLIPDA ou si les art. 52 et 53 aLIPDA s’appliquaient directement. Il convient en conséquence de circonscrire le champ d’application de la procédure de médiation au sens de ces dernières dispositions. Tout d’abord, il ressort de l’interprétation littérale de l’art. 52 al. 1 aLIPDA que l’indication par l’autorité de la voie de la médiation auprès du Préposé cantonal intervient dans le cadre d’une demande d’accès aux données ou aux documents ainsi que d’un rejet d’une opposition d’un tiers. Par « opposition d’un tiers », il faut comprendre l’opposition à la communication d’un document officiel selon l’art. 51 aLIPDA. En l’espèce, la requête du 18 septembre 2020 ne concernait aucun de ces cas et, à l’issue de cette première interprétation littérale, il appert que l’art. 52 aLIPDA n’était en l’occurrence pas applicable. Sous l’angle de l'interprétation historique, le Message du 20 février 2008 accompagnant le projet de la aLIPDA fait également exclusivement référence à la procédure de médiation dans le cadre d’une demande d’accès à des documents (cf. Bulletin des séances du Grand Conseil [BSGC], Session ordinaire de juin 2008, pp. 617 et 656). L’interprétation téléologique ne conduit pas à un autre résultat : le but de la médiation est celui d’offrir aux parties la possibilité de bénéficier des conseils éclairés du Préposé cantonal et de trouver un compromis entre les intérêts invoqués par l'autorité,

- 16 - par l'auteur de la requête d’accès à des documents ainsi que par les tiers concernés selon l’art. 51 aLIPDA (BSGC précité, pp. 617 et 656 et art. 53 aLIPDA). Sous l’angle téléologique, la procédure de médiation n’aurait du reste pas de sens dans le cadre d’une requête tendant à la constatation du caractère illicite d’un traitement de données, à la cessation d’un tel traitement ou à la suppression des données ayant fait l’objet d’un traitement illicite, dans la mesure où aucun compromis ne saurait être trouvé en présence d’un traitement des données prohibé par la loi. Enfin, sous l'angle systématique, l’obligation pour l’autorité d’impartir un délai de dix jours décrite à l’art. 52 al. 1 aLIPDA se trouve sous le titre 6 « Dispositions de procédure et voies de droit », consacré aux questions de procédure et qui s’applique à toutes les demandes d’accès à des documents officiels (BSGC précité, pp. 616 et 655). Il ressort de l’art. 52 al. 1 aLIPDA que l’obligation de l’autorité d’impartir un délai en vue d’une procédure de médiation intervient à la suite d’une prise de position de l’autorité, en ce sens qu’elle a précédemment fait part de son intention soit de limiter ou de refuser l'accès aux données ou aux documents requis (art. 48 aLIPDA) soit de rejeter l'opposition d'un tiers (art. 51 al. 2 aLIPDA). Si l'ouverture d'une procédure de médiation n'est pas demandée dans le délai de dix jours, la demande d’accès est classée par ladite prise de position (art. 54 al. 1 aLIPDA). L’art. 53 al. 2 aLIPDA prohibe la communication pendant la procédure de médiation du document ou des données ayant fait l’objet d’une demande d’accès. Il ressort donc également de l’interprétation systématique que l’obligation d’impartir un délai de dix jours en vue de l’ouverture de la procédure de médiation s’inscrit uniquement dans le contexte d’une demande d'accès à des documents officiels ou à des données personnelles. 3.3 En définitive, en vertu de l’interprétation des art. 33 al. 4 et 52 al. 1 aLIPDA, la voie de la médiation auprès du Préposé cantonal était inapplicable à la requête du tiers concerné du 18 septembre 2020 et la recourante n’avait par conséquent pas d’obligation de lui impartir un délai de dix jours au sens de l’art. 52 al. 1 aLIPDA. C’est à bon droit que la recourante invoque la violation des art. 33 et 48 ss aLIPDA. Ce grief doit ainsi également être admis.

4. Les considérants qui précèdent conduisent déjà à l’admission du recours; il est donc inutile de s’arrêter sur les griefs invoqués par la recourante (violation des art. 7 al. 3, 91 al. 1 LPJA et 4 de la loi fixant le tarif des frais et dépens devant les autorités judiciaires ou administratives du 11 février 2009 [LTar]). L’affaire est renvoyée au Conseil d’Etat pour nouvelle décision sur le recours du 18 janvier 2023 du tiers concerné (art. 80 al. 1 let. e et 60 al. 1 LPJA).

- 17 - S’agissant de la question de savoir si les conclusions en cessation du traitement illicite des données personnelles du tiers concerné et en suppression des données ayant fait l’objet d’un tel traitement sont devenues sans objet depuis la fin du cursus académique du tiers concerné auprès de la recourante, elle n’a pas à être tranchée céans dès lors qu’elle sera spécifiquement traitée dans le cadre de la décision sur le fond à intervenir.

5. Vu l’issue du litige, les frais sont remis (art. 89 al. 4 LPJA). La recourante, qui obtient gain de cause et a pris une conclusion dans ce sens, a droit à des dépens (art. 91 al. 1 LPJA), à la charge de l’Etat du Valais, pour la seule procédure de recours de droit administratif (art. 37 et 39 LTar). Eu égard au travail réalisé par l’avocat de la recourante depuis le 17 juin 2025 (date de constitution de son mandat; cf. p. 3 du dossier), à savoir la rédaction des correspondances des 8 et 24 septembre et 14 octobre 2025 ainsi que du recours de droit administratif du 18 juin 2025, il se justifie de fixer les dépens, en l’absence de décompte LTar, à 1500 fr. (débours [les copies étant calculées à 50 cts l’unité; cf. ATF 118 Ib 349 consid. 5a] et TVA compris; cf. art. 4 al. 3, 27 al. 1, 37 al. 2 et 39 LTar).

Par ces motifs, le Tribunal cantonal prononce :

1. Le recours est admis. 2. La décision du Conseil d’Etat du 14 mai 2025 est annulée et l’affaire est renvoyée à ce dernier pour nouvelle décision dans le sens du considérant 4. 3. Les frais de procédure sont remis. 4. L’Etat du Valais versera à X _________ 1500 fr. à titre de dépens. 5. Le présent arrêt est communiqué à Maître Sylvain Métille, avocat à Lausanne, pour X _________, au Conseil d'Etat du Valais, à Sion, et à Y _________. Sion, le 11 mars 2026.