Accès à des documents officiels (Décision du PFPDT du 16 mars 2018 ; demande d'accès du 8 février 2018).
Entscheiddatum: 05.08.2020Publikationsdatum: 23.09.2020
Bundesverwaltungsgericht Tribunal administratif fédéral Tribunale amministrativo federale Tribunal administrativ federal Décision attaquée devant le TF Cour I A-2564/2018
Arrêt du 5 août 2020 Composition Claudia Pasqualetto Péquignot (présidente du collège), Maurizio Greppi, Kathrin Dietrich, juges, Arnaud Verdon, greffier. Parties 1. Swisscom AG, 3050 Berne Swisscom, 2. Swisscom (Schweiz) AG, Alte Tiefenaustrasse 6, 3050 Berne Swisscom, les deux représentées par Maîtres Richard Stäuber et Aliénor de Dardel, avocats, Homburger AG, Hardstrasse 201, 8005 Zürich, recourantes, contre RTS - Radio Télévision Suisse, Avenue du Temple 40, 1010 Lausanne, représentée par Maître Ivan Zender, étude d'avocats & notaires, Avenue Léopold-Robert 88, Case postale 221, 2301 La Chaux-de-Fonds, intimée, Préposé fédéral à la protection des données et à la transparence, Feldeggweg 1, 3003 Berne, autorité inférieure. Objet Accès à des documents officiels (Décision du PFPDT du 16 mars 2018 ; demande d'accès du 8 février 2018).
A. Par échange téléphonique du 22 décembre 2017, un représentant de Swisscom AG et Swisscom (Schweiz) AG (Swisscom) a informé le Préposé fédéral à la protection des données et à la transparence (PFPDT) d'une perte importante, par un partenaire commercial, de données de clients privés et commerciaux entre fin août 2017 et fin septembre 2017.
B. Le 10 janvier 2018, le PFPDT et des représentants de Swisscom se sont rencontrés pour analyser la situation.
C. Le 15 janvier 2018, des représentants de Swisscom et du PFPDT ont notamment convenu de publier un communiqué de presse.
D. Entre le 18 janvier 2018 et le 7 février 2018, de nombreux échanges de courriels entre des représentants de Swisscom et du PFPDT ont eu lieu.
E.
E.a Le 7 février 2018, Swisscom a publié un communiqué de presse, indiquant notamment que des inconnus avaient subtilisé les droits d'accès d'un partenaire de distribution afin d'accéder de façon abusive aux données (prénom, nom, adresse privée, date de naissance et numéro de téléphone) d'environ 800'000 clients.
E.b Le même jour, le PFPDT a également publié un communiqué de presse dont il ressort notamment que le PFPDT estimait que, sur la base des éléments actuels, les faits ayant été établis et Swisscom ayant effectué les clarifications et pris les mesures nécessaires et informés les clients, il n'existait pas de raison de prendre des mesures formelles.
F. Le 8 février 2018, la Radio Télévision Suisse (RTS) a demandé l'accès au dossier de conseil du PFPDT sur la base de la transparence.
G. Le 13 février 2018, le PFPDT a informé la RTS qu'il devait consulter les tiers concernés. Le même jour, il a requis Swisscom de se prononcer sur la demande d'accès.
H. Par plis du 23 février 2018, Swisscom a déposé ses observations, introduisant notamment des requêtes fondées sur la protection des données et la transparence.
I. Par décision en français du 16 mars 2018, le PFPDT a accédé à la demande de la RTS, tout en reconnaissant la nécessité d'anonymiser certaines des données (en particulier des données relatives aux employés de Swisscom ayant traité la cause et certaines données des employés du PFPDT). Cette décision a été notifiée à la RTS avec des considérants partiellement caviardés et dans son intégralité à Swisscom.
J. Par acte du 3 mai 2018, Swisscom AG et Swisscom (Schweiz) AG (les recourantes) ont recouru en allemand contre cette décision auprès du Tribunal administratif fédéral (le Tribunal ou le TAF), concluant principalement au refus d'accès à tous les documents et prenant de nombreuses conclusions en cascade. Certains considérants et conclusions du mémoire de recours étaient grisés.
K. Par décision incidente du 12 juin 2018, et après avoir entendu les parties, le Tribunal a ordonné que la procédure se déroule en français.
L. Par acte du 10 décembre 2018, les recourantes ont déposé une copie de leur recours avec des parties caviardées par leurs soins.
M. Par décision incidente du 19 février 2019, le Tribunal a transmis une copie des actes caviardés à la RTS (l'intimée) et a annoncé aux parties qu'il statuerait ultérieurement sur la qualité de partie de l'intimée en lien avec les conclusions caviardées des recourantes. Il a également requis l'autorité inférieure de produire son dossier complet et un bordereau de pièces transmissibles à l'intimée eu égard au caviardage partiel de la décision attaquée et du recours.
N. Le 4 avril 2019, l'autorité inférieure a produit son dossier et s'est déterminée sur plusieurs points de procédure.
O. Par décision incidente du 17 avril 2019, le Tribunal a rejeté la demande de consultation complète du dossier par l'intimée et a accédé à la requête des recourantes de ne transmettre certaines pièces au dossier que dans leur version caviardée à l'intimée.
P.
P.a Le 7 juin 2019, l'autorité inférieure a déposé sa réponse au fond sur le recours (version A), produisant une version caviardée destinée à l'intimée (version B). Eu égard à certains problèmes d'anonymisation et sur demande du Tribunal, une nouvelle réponse caviardée a été produite le 17 juin 2019 (version C).
P.b Le 14 juin 2019, l'intimée a produit ses observations au fond sur le recours.
P.c Le 14 juin 2019, les recourantes ont exigé que les versions caviardées devaient recevoir leur aval avant d'être transmises à l'intimée.
P.d Sur invitation du Tribunal, les recourantes ont soumis une nouvelle proposition de caviardage de la réponse de l'autorité inférieure (version D).
Q. Le 30 septembre 2019, les recourantes ont produit leurs observations finales (dont un exemplaire caviardé pour l'intimée).
R. Par ordonnance du 15 avril 2020, le Tribunal a informé les recourantes de son intention de remettre une version non-caviardée de la décision du PFPDT et de communiquer les conclusions caviardées du recours à l'intimée. Un délai leur a été imparti pour se déterminer.
S.
S.a Par pli du 18 mai 2020, les recourantes ont considéré que la transmission de la décision non-caviardée et des conclusions caviardées ne relevait d'aucune nécessité, déclarant toutefois ne pas s'y opposer formellement.
S.b Par pli du même jour, le PFPDT s'est également déterminé.
T. Par ordonnance du 26 mai 2020, le Tribunal a notamment rejeté la demande des recourantes de produire un mémoire complémentaire concernant leur secret d'affaires et transmis l'ordonnance du 15 avril 2020 à l'intimée.
U. Le 29 mai 2020, les recourantes ont fait parvenir au Tribunal des observations spontanées à propos de leur secret d'affaires.
V. Par ordonnance du 8 juin 2020, le Tribunal a succinctement informé l'intimée que les recourantes alléguaient vouloir protéger leur modèle d'affaire, leurs systèmes de distribution et informatiques et leurs processus décisionnels internes.
W. Les autres faits pertinents seront examinés dans les considérants en droit ci-dessous.
1.1 La procédure de recours est régie par la loi fédérale du 20 décembre 1968 sur la procédure administrative (PA, RS 172.021), pour autant que la loi du 17 juin 2005 sur le Tribunal administratif fédéral (LTAF, RS 173.32) n'en dispose autrement (art. 37 LTAF). Le Tribunal examine d'office et librement sa compétence (art. 7 PA), ainsi que la recevabilité des recours qui lui sont soumis.
1.2 Sous réserve des exceptions prévues à l'art. 32 LTAF, qui ne sont pas réalisées ici, le Tribunal administratif fédéral est compétent, en vertu de l'art. 31 LTAF, pour connaître des recours contre les décisions au sens de l'art. 5 PA prises par les autorités mentionnées à l'art. 33 LTAF. En l'espèce, le PFPDT (dans son sens institutionnel et non personnel) est une autorité fédérale au sens de l'art. 33 let. d LTAF en lien avec le ch. A.2.1.1 de l'Annexe 1 de l'ordonnance du 25 novembre 1998 sur l'organisation du gouvernement et de l'administration (OLOGA, RS 172.010.1). Les décisions du PFPDT, fondées sur la loi fédérale du 17 décembre 2004 sur la transparence (LTrans, RS 152.3) et sur la loi fédérale du 19 juin 1992 sur la protection des données (LPD, RS 235.1) et sur leurs dispositions d'exécution, sont sujettes à recours (art. 15 et 16 LTrans) devant le Tribunal administratif fédéral et l'acte attaqué satisfait aux conditions prévalant à la reconnaissance d'une décision au sens de l'art. 5 PA, de sorte que le présent Tribunal est compétent.
1.3 Les recourantes ont pris part à la procédure devant l'autorité inférieure. Elles ont, en réponse à la demande LTrans, introduit des requêtes fondées sur les art. 25 LPD (par renvoi de l'art. 25bis LPD) et 7 LTrans sur lesquelles le PFPDT a statué dans sa décision du 16 mars 2018. Elles sont donc spécialement atteintes et ont un intérêt digne de protection à requérir l'annulation ou la modification de la décision querellée (art. 48 al. 1 PA) sur cet aspect. Elles ont donc qualité pour recourir.
1.4 S'agissant de la qualité de l'intimée dans la procédure de recours, celle-ci doit être considérée sous deux aspects.
1.4.1 En tant que requérante d'accès aux documents sur la base de la LTrans et destinataire de la décision contre laquelle recours a été interjeté, l'intimée a la qualité de partie à la procédure de recours en tant qu'elle porte sur sa demande LTrans. S'agissant des requêtes des recourantes fondées sur les art. 25 LPD par renvoi de l'art. 25bis LPD et 7 LTrans (requêtes 25 LPD / 7 LTrans), la légitimation de l'intimée à la procédure de recours est disputée. Les recourantes et le PFPDT considèrent en substance que l'intimée n'est pas légitimée à se prononcer sur le bien-fondé de telles requêtes.
1.4.2 La LTrans et la LPD ne traitent pas de la qualité de partie du demandeur LTrans dans le cadre de requêtes 25 LPD / 7 LTrans, ni de celle du requérant 25 LPD / 7 LTrans dans le cadre d'une procédure d'accès fondées sur la LTrans.
1.4.2.1 En cas de demande d'accès à des documents officiels fondée sur la LTrans et contenant des données personnelles, la personne concernée (art. 11 LTrans) par dites données personnelles doit être entendue par l'autorité. A ce titre, l'autorité doit offrir d'office la possibilité de s'exprimer à la personne concernée. A des fins d'économie de procédure (arrêt du TAF A-7102/2017 du 27 août 2019 consid. 4 ; Message du 12 février 2003 relatif à la loi fédérale sur la transparence de l'administration [Message LTrans, FF 2003 1807, 1874 ch. 2.5.2.3), le législateur a introduit l'art. 25bis LPD qui coordonne l'exercice des droits de la protection des données avec le principe de la transparence de l'activité étatique. Dans le cadre de son droit d'être entendue, la personne concernée peut ainsi déposer une requête 25 LPD, laquelle permet ainsi à des personnes privées de faire valoir leur droit constitutionnel à la protection de leur personnalité (art. 13 al. 2 de la Constitution fédérale de la Confédération suisse du 18 avril 1999 [Cst., RS 101] ; Message LTrans, FF 2003 1807, 1857 ch. 2.2.3.4) en demandant notamment que l'autorité rectifie des données personnelles, les détruise ou en empêche la communication à des tiers. De plus, dans ce cadre-là, la personne concernée peut aussi faire valoir des droits selon la LTrans, en particulier ceux des art. 7 al. 1 let. g et h et al. 2 LTrans.
1.4.2.2 En procédure de première instance, la personne concernée a ainsi un rôle d'appelé en cause ou d'intervenant dans la procédure, dès lors qu'une demande LTrans a été introduite. Les requêtes 25 LPD / 7 LTrans s'insèrent donc dans une autre procédure et en sont étroitement dépendantes. De plus, le législateur a voulu que ces deux procédures soient traitées en même temps et l'issue des prétentions juridiques invoquées par le demandeur LTrans et le requérant 25 LPD / 7 LTrans dépendra nécessairement de la suite donnée respectivement à chacune d'elles. En effet, le principe de la LTrans est de donner accès aux documents complets sauf si des conditions légales contraires sont réalisées (consid. 4 infra). Or, la réalisation de telles conditions contraires - soit une question de droit - est de nature à rendre une demande d'accès LTrans partiellement ou totalement sans objet si la suppression de ou des données est ordonnée ou que l'autorité considère que ces données ne doivent pas être transmises à des tiers en application de l'art. 25 LPD. De même, l'exactitude des données (art. 5 LPD) doit être établie avant de transmettre des documents officiels au demandeur LTrans, puisque dans le cas contraire, l'autorité lui transmettrait des données pouvant violer les droits de la personne concernée. Enfin, l'anonymisation de certaines données dans les documents objets de la demande LTrans atténue le principe de la transparence dans la mesure où des données auxquelles un accès est demandé ne seraient pas transmises. Il est ainsi incontestable que les requêtes 25 LPD influencent l'étendue de l'accès au sens de la LTrans.
1.4.2.3 La question de savoir si, dans la procédure de première instance, le demandeur LTrans bénéficie des droits procéduraux (notamment le droit d'être entendu) dans le cadre des requêtes 25 LPD / 7 LTrans peut rester ouverte en l'espèce, l'intimée n'ayant pas élevé de grief à cet égard. De plus, le cas d'espèce sort de l'ordinaire puisqu'il n'y a eu ni médiation ni recommandation (art. 13 et 14 LTrans ; consid. 2.4 infra ; voir aussi arrêt du TAF A-4781/2019 du 17 juin 2020 consid. 3).
1.4.2.4 Lorsqu'une décision d'accès LTrans statuant également sur des requêtes 25 LPD / 7 LTrans est prononcée, le demandeur LTrans, le requérant 25 LPD / 7 LTrans ou les deux, peuvent recourir et notamment faire contrôler l'application du droit fédéral. De même, l'autorité de recours se doit d'intégrer dans la procédure une partie n'ayant pas recouru, car la décision sur recours est de nature à l'atteindre dans ses droits (que ce soit sous l'angle de la LTrans ou de la LPD). A cet égard, la jurisprudence a déjà constaté qu'une requête 25 LPD avait pour effet d'élargir l'objet de la procédure (consid. 2.3 infra). Ainsi, toutes les personnes ayant agi dans la procédure de première instance sont légitimées à agir dans la procédure de recours et le Tribunal se doit de les inviter à ce faire. L'on ne saurait en effet exiger le dépôt d'un mémoire de recours préventif de la personne ayant obtenu gain de cause en première instance au cas où l'autre partie introduirait un recours. La qualité de partie du demandeur LTrans, lorsque la personne concernée introduit un recours, est toutefois limitée à l'obtention d'un contrôle judiciaire sur l'application des articles 25 LPD / 7 LTrans qui restreint de fait son accès aux informations et à la défense de son accès LTrans obtenu en première instance.
1.4.2.5 La qualité de partie du demandeur d'accès LTrans, en l'espèce l'intimée, est en conséquence incontestable. Toutefois, dans une telle constellation, les droits procéduraux du demandeur LTrans doivent être restreints, en particulier sous l'angle du droit d'être entendu (consid. 3 infra, spéc. 3.2).
1.5 Les conditions de forme et de respect des délais prescrits par la loi sont respectées (art. 50 et 52 PA).
2.1 La procédure de recours est régie par la maxime inquisitoire, ce qui signifie que le Tribunal définit les faits et apprécie les preuves d'office et librement (art. 12 PA). Les parties doivent toutefois collaborer à l'établissement des faits (art. 13 PA) et motiver leur recours (art. 52 PA). En conséquence, l'autorité saisie se limite en principe aux griefs soulevés et n'examine les questions de droit non invoquées que dans la mesure où les arguments des parties ou le dossier l'y incitent (ATF 135 I 91 consid. 2.1 ; ATAF 2014/24 consid. 2.2 ; ATAF 2012/23 consid. 4).
2.2 Les recourantes peuvent invoquer devant le Tribunal la violation du droit fédéral, y compris l'excès ou l'abus du pouvoir d'appréciation, la constatation inexacte ou incomplète des faits pertinents ainsi que l'inopportunité de la décision entreprise, sauf lorsqu'une autorité cantonale a statué comme autorité de recours (art. 49 PA). L'autorité de recours n'est pas liée par les motifs invoqués par les parties (art. 62 al. 4 PA), ni par les considérants de la décision attaquée (Moser et al., Prozessieren vor dem Bundesverwaltungsgericht, 2ème éd., Berne 2013, n° 3.197). Aussi peut-elle admettre ou rejeter le pourvoi pour d'autres motifs que ceux invoqués.
2.3
2.3.1 L'objet du litige est défini par les conclusions du recours, lesquelles doivent rester dans le cadre de l'acte attaqué. Partant, les recourantes ne peuvent que réduire l'objet du litige par rapport à l'objet de la contestation, puisque son élargissement ou sa modification mènerait à une violation de la compétence fonctionnelle de l'autorité supérieure (ATF 136 II 457 consid. 4.2 ; 136 II 165 consid. 5 ; arrêt du TAF A-6810/2015 du 13 septembre 2016 consid. 1.3). Le fait qu'une requête 25 LPD soit introduite élargit l'objet de la procédure d'accès basée sur la LTrans (arrêt du TAF A-7102/2017 du 27 août 2019 consid. 4).
2.3.2 En l'espèce, il devra donc être statué si c'est à bon droit que le PFPDT a donné un accès aux documents de la procédure de conseil à l'intimée sur la base de la LTrans, et cas échéant, si les mesures d'anonymisation ordonnées sont conformes au droit ou si des mesures supplémentaires fondées sur les art. 25 LPD / 7 LTrans auraient dû être prononcées.
2.4 Enfin, comme relevé dans l'arrêt du TAF A-4781/2019 précité consid. 3.4, il y a lieu de souligner que la LTrans n'a pas prévu le cas où une demande d'accès serait introduite devant le PFPDT. Dans une telle constellation, le PFPDT se retrouverait, contrairement aux autres autorités fédérales, à devoir mener une médiation sur une demande le concernant alors qu'un médiateur ne peut par essence pas avoir un intérêt dans la procédure, à publier une recommandation qui s'adresse à lui-même et enfin, suite à ce qui précède, à statuer dans le respect des normes procédurales, en particulier de l'art. 10 PA. Dès lors, lorsqu'une demande d'accès LTrans est introduite auprès du PFPDT, la LTrans prive les parties (demandeur d'accès LTrans et personne concernée [art. 11 LTrans]) des droits conférés aux art. 13 et 14 LTrans. Il appartient toutefois au seul législateur de remédier à cette situation s'il l'estime nécessaire. En l'espèce, il n'y a pas lieu de faire grief au PFPDT d'avoir prononcé une décision sans appliquer les art. 13 et 14 LTrans, comme constaté dans l'arrêt du TAF A-4781/2019 précité consid. 3.5.
3.1 Dans sa décision querellée, en sus d'avoir donné un accès LTrans, le PFPDT a statué sur les requêtes 25 LPD / 7 LTrans des recourantes. Dite autorité a caviardé partiellement ou complètement les considérants y relatifs dans la décision notifiée à l'intimée. L'intimée, sans explicitement soulever le grief d'une violation du droit d'être entendu, se plaint de ne pas avoir été en mesure de se déterminer en connaissance de cause, notamment en raison du caviardage de la décision querellée, des actes de recours et des échanges d'écritures.
3.2 Toute partie à la procédure de recours bénéficie des droits procéduraux conférés par la Constitution et précisés dans la PA, dont le droit d'être entendu. Cela étant, certaines restrictions sont nécessaires afin de protéger l'intégrité de la procédure. En effet, le demandeur d'accès LTrans ne peut pas accéder aux données objet de sa demande d'accès en application des normes procédurales sous peine de vider la procédure matérielle de son objet. De même, la personne concernée doit pouvoir exercer ses droits et obligations procéduraux - notamment motiver à suffisance ses requêtes 25 LPD / 7 LTrans - sans craindre que le demandeur LTrans n'obtienne par ce biais des informations de manière prématurée ou contraire au droit matériel en application de normes formelles. Ainsi, les procédures LTrans dans lesquelles des requêtes 25 LPD / 7 LTrans sont introduites doivent concilier des intérêts antinomiques pour ne pas vider la procédure de son objet, tout en respectant les droits et obligations procéduraux des parties, dont le droit d'être entendu. En l'absence de normes spécifiques dans la LTrans et la LPD, il y a lieu de recourir aux normes générales, soit celles de la PA, pour examiner le respect du droit d'être entendu.
3.2.1 Au sens de l'art. 27 al. 1 PA, l'autorité ne peut refuser la consultation des pièces que si : des intérêts publics importants de la Confédération ou des cantons, en particulier la sécurité intérieure ou extérieure de la Confédération, exigent que le secret soit gardé (let. a) ; des intérêts privés importants, en particulier ceux de parties adverses, exigent que le secret soit gardé (let. b) ; l'intérêt d'une enquête officielle non encore close l'exige (let. c). Selon le deuxième alinéa de cette disposition, le refus d'autoriser la consultation des pièces ne peut s'étendre qu'à celles qu'il y a lieu de garder secrètes. Aux termes de l'art. 28 PA, une pièce dont la consultation a été refusée à la partie ne peut être utilisée à son désavantage que si l'autorité lui en a communiqué, oralement ou par écrit, le contenu essentiel se rapportant à l'affaire et lui a donné en outre l'occasion de s'exprimer et de fournir des contre-preuves.
3.2.2 S'agissant des requêtes 25 LPD / 7 LTrans, les conditions de l'art. 27 al. 1 let. b PA sont présumées être réalisées au désavantage du demandeur d'accès LTrans. Le requérant 25 LPD / 7 LTrans doit en effet être en mesure de motiver à suffisance ses requêtes - par exemple expliquer en quoi son secret d'affaires consiste - pour défendre ses droits, et ce sans avoir à craindre qu'elles ne soient portées à connaissance du demandeur d'accès LTrans. Si tel n'était pas le cas, des informations seraient dévoilées avant même que l'autorité n'ait statué sur les requêtes 25 LPD / 7 LTrans et videraient la demande LTrans de son objet. De même, le demandeur LTrans obtiendrait des données de tiers (p. ex. en quoi consiste le secret d'affaires de la personne concernée) qui ne font pas l'objet de la demande d'accès et qui ne servent pas au but de la LTrans, à savoir contrôler le fonctionnement de l'état. En contrepartie, l'autorité doit succinctement communiquer au demandeur d'accès LTrans que des requêtes 25 LPD / 7 LTrans ont été introduites par la personne concernée afin de respecter l'art. 28 PA et indiquer dans sa décision l'issue des requêtes 25 LPD / 7 LTrans. Le demandeur d'accès LTrans doit en effet être en mesure de pouvoir interjeter un recours contre cette décision, même en l'absence d'un accès à la motivation complète. De même, l'autorité devra respecter le droit d'être entendu (en l'espèce le devoir de motivation) s'agissant de la partie de la décision qui se rapporte à la personne concernée. Le caviardage de certains considérants dans la décision destinée au demandeur d'accès LTrans peut dès lors être fondé. Ceci prend en particulier une signification particulière lorsque l'autorité donne suite à une requête de suppression des données ou d'anonymisation, puisqu'elle ne se fonde que sur des actes confidentiels pour statuer au désavantage du demandeur LTrans en privant sa demande de son objet ou en en restreignant la portée.
3.2.3 En l'espèce, le caviardage de tous les considérants relatifs aux requêtes 25 LPD / 7 LTrans des recourantes violait le droit d'être entendu de l'intimée, qui n'était pas en mesure de savoir si ce qui s'était passé dans une procédure par elle-même initiée ni de requérir l'autorité de recours qu'elle contrôle le bien-fondé de l'admission de certaines requêtes des personnes concernées. De même, le fait de ne pas avoir annoncé très concisément à l'intimée le contenu des requêtes 25 LPD / 7 LTrans pouvait violer les art. 27 et 28 PA. Nonobstant, d'une part, la complexification artificielle et inutile des échanges d'écritures dans la procédure de recours et, d'autre part, les erreurs de nature à vider la procédure de sa substance (p. ex. let. P.a supra), il doit être relevé que le caviardage de tous les considérants juridiques ne faisant même pas allusion à des arguments des requérantes 25 LPD / 7 LTrans ne se justifiait pas. Il y avait bien plutôt lieu d'annoncer succinctement que des demandes de rectification ou de suppression des données avaient été introduites (déjà par exemple dans le courriel du PFPDT à l'intimée du 28 février 2018 [pièce B6]), avec un très bref résumé de la motivation (tel qu'il a été fait dans l'ordonnance du 15 avril 2020, let. R supra). Nonobstant ce qui précède, la décision du PFPDT est un modèle de fine pondération entre devoir de motivation et préservation des intérêts de la personne concernée, ceci par une écriture suffisamment générique pour ne dévoiler aucune information qui aurait violé les droits des recourantes, tout en étant suffisante pour que les personnes concernées puissent l'attaquer en connaissance de cause. Il était dès lors également possible de la notifier de manière non caviardée à l'intimée. Au surplus, la jurisprudence des autorités judiciaires étant publiée notamment à des fins de transparence (sur ce sujet voir l'arrêt du TF 2C_677/2015 du 31 mars 2016), l'anonymisation de tous les passages concernant les requêtes 25 LPD / 7 LTrans ne fait aucun sens puisqu'il suffit d'interjeter recours pour que ces informations soient finalement publiées et donc diffusées auprès d'un public beaucoup plus large que les parties à la procédure.
3.3 Selon la jurisprudence, une éventuelle violation du droit d'être entendu en première instance, pour autant qu'elle ne soit pas d'une gravité particulière, peut être considérée comme réparée lorsque l'administré a eu la possibilité de s'expliquer librement devant une autorité de recours, dont la cognition est aussi étendue que celle de l'autorité inférieure (ATF 134 I 140 consid. 5.5 ; 133 I 201 consid. 2.2). La réparation d'un vice éventuel doit cependant demeurer l'exception (ATAF 2010/35 consid. 4.3.1 et réf. cit.).
En l'espèce, le Tribunal dispose d'une pleine cognition et peut revoir aussi bien les questions de droit que les constatations de fait établies par l'autorité inférieure ou encore l'opportunité de sa décision (art. 49 PA). L'intimée a été informée au cours de la présente procédure des conclusions prises par les recourantes, de même qu'un succinct résumé de leurs motivations lui a été remise (let. R supra). Une copie de la décision attaquée non caviardée lui a été remise. De la sorte, la violation de son droit d'être entendu doit être considérée comme guérie.
4.1 La LTrans vise à renverser le principe du secret de l'activité de l'administration sous réserve de la transparence (Geheimhaltung mit Öffentlichkeitsvorbehalt) au profit de celui de transparence sous réserve du secret (Grundsatz der Öffentlichkeit mit Geheimhaltungsvorbehalt ; ATF 142 II 340 consid. 2.2 ; 142 II 324 consid. 3.4) quant à la mission, l'organisation et l'activité du secteur public. Il s'agit en effet de rendre le processus décisionnel de l'administration plus transparent dans le but de renforcer le caractère démocratique des institutions publiques de même que la confiance des citoyens dans les autorités, tout en améliorant le contrôle de l'administration (ATF 136 II 399 consid. 2.1 ; 133 II 209 consid. 2.3.1 ; Message LTrans, 1819 ch. 1.1.3, 1827 ch. 2.1.1). Conformément à ce but, la LTrans définit de manière large la notion de documents officiels (art. 5), le champ d'application ratione personae (art. 2) et ratione materiae (art. 3) ainsi que les bénéficiaires et les conditions d'exercice du droit d'accès (art. 6).
4.2 L'art. 3 LTrans définit négativement le champ d'application matériel de la LTrans, soit en excluant certains domaines de l'activité étatique de son champ d'application. Selon l'alinéa premier, la LTrans ne s'applique pas à l'accès aux documents officiels concernant les procédures (let. a) : civiles (ch. 1), pénales (ch. 2 [auxquelles appartiennent également les procédures pénales administratives, voir Message LTrans, 1832 ch. 2.1.3]), d'entraide judiciaire et administrative internationale (ch. 3), de règlement international des différends (ch. 4), juridictionnelles de droit public, y compris administratives (ch. 5), d'arbitrage (ch. 6) et à la consultation du dossier par une partie dans une procédure administrative de première instance (let. b). Quant à l'accès aux documents officiels contenant les données personnelles du demandeur, il est régi par la loi fédérale du 19 juin 1992 sur la protection des données (LPD ; al. 2).
L'art. 3 al. 1 let. b LTrans exclut les parties à une procédure administrative de première instance. En effet, une demande d'accès concernant des pièces faisant partie du dossier d'une procédure administrative de première instance, formulée par une partie à ladite procédure, n'est pas soumise à la LTrans mais doit être examinée sur la base des lois applicables à la procédure en question (arrêt du TF 2C_1056/2016 du 22 novembre 2017 consid. 4.1), en droit fédéral principalement les art. 26 PA et les restrictions des art. 27 ss PA, et après clôture de la procédure, du droit de l'art. 29 al. 2 de la Constitution fédérale de la Confédération suisse du 18 avril 1999 (Cst., RS 101) lorsqu'elles peuvent se prévaloir d'un intérêt digne de protection (arrêt du TAF A-1675/2016 du 12 avril 2017 consid. 4.3 ; Stephan C. Brunner, in : Auer/Müller/Schindler [éd.], Kommentar zum Bundesgesetz über das Verwaltungsverfahren [VwVG], 2019, Art. 26 N. 19 ; Bernhard Waldmann / Magnus Oeschger, in : Waldmann / Weissenberger [éd.], Praxiskommentar VwVG, 2ème éd. 2016, n° 50 ad art. 26 PA).
4.3 Au sens de l'art. 5 al. 1 LTrans, par document officiel, il est entendu toute information : qui a été enregistrée sur un quelconque support (let. a), qui est détenue par l'autorité dont elle émane ou à laquelle elle a été communiquée (let. b) et qui concerne l'accomplissement d'une tâche publique (let. c). Sont également réputés documents officiels les documents pouvant être établis par un traitement informatisé simple sur la base d'informations enregistrées satisfaisant aux conditions énoncées à l'al. 1 let. b et c (al. 2). Ne sont pas considérés comme des documents officiels les documents (al. 3) : qui sont commercialisés par une autorité (let. a) ; qui n'ont pas atteint leur stade définitif d'élaboration (let. b), ou qui sont destinés à l'usage personnel (let. c).
4.4 L'art. 6 al. 1 LTrans garantit que toute personne a le droit de consulter des documents officiels et d'obtenir des renseignements sur leur contenu de la part des autorités. Ces personnes jouissent d'un droit subjectif et individuel dans le domaine d'application personnel et matériel de la LTrans, à une telle consultation ou obtention de renseignements (ATF 142 II 324 consid. 3.4 ; 133 II 209 consid. 2.1). Elles ne doivent pas se justifier d'un intérêt particulier (Message LTrans, 1819 ch. 1.1.3.2). Les documents officiels sont consultables sur place ou la personne peut en demander une copie. La législation sur le droit d'auteur est réservée (al. 2). L'art. 6 al. 3 LTrans précise que si les documents officiels ont déjà été publiés par la Confédération sur papier ou sous forme électronique, les conditions énoncées aux al. 1 et 2 sont réputées remplies. L'art. 3 al. 2 OTrans dispose que lorsque les documents officiels sont accessibles sur internet ou qu'ils font l'objet d'une publication officielle de la Confédération, l'autorité peut se limiter à communiquer les références nécessaires pour leur consultation. De même, l'autorité n'est pas tenue de traduire les documents officiels autorisés à être consultés selon la loi sur la transparence (art. 3 al. 3 OTrans).
4.5
4.5.1 La LTrans pose une présomption en faveur du libre accès aux documents officiels. Le fardeau de la preuve pour renverser cette présomption incombe à l'autorité, qui doit exposer en quoi respectivement l'une ou plusieurs exceptions prévues par l'art. 7 al. 1 LTrans - donnant la possibilité de limiter, différer ou refuser le droit d'accès - est ou sont réalisées. En raison de la garantie d'accès, l'atteinte menaçant les intérêts respectivement publics ou privés ne doit pas se produire avec certitude, toutefois, l'atteinte ne doit pas être uniquement envisageable ou (vaguement) possible ; en outre, elle doit être sérieuse, c'est pourquoi une simple conséquence bénigne ou désagréable ne doit pas être assimilée à une atteinte (ATF 144 II 77 consid. 3 ; 142 II 324 consid. 3.4). Dès lors, une véritable pesée des intérêts ne peut pas être effectuée. Il convient bien plus de partir du principe que le législateur l'a déjà anticipée et qu'il a énuméré de manière exhaustive à l'art. 7 al. 1 LTrans les motifs, pour lesquels le maintien du secret peut primer l'intérêt à la transparence (ATF 144 II 77 consid. 3). Pour limiter, restreindre ou refuser l'accès à des documents officiels, les explications de l'autorité doivent être convaincantes, à savoir être précises et claires, complètes et cohérentes (arrêt du TAF A-6/2015 du 26 juillet 2017 consid. 4.1). Enfin, le principe de la proportionnalité doit être également examiné dans chaque cas individuel (arrêt du TF 1C_296/2015 du 18 mai 2016 consid. 3.6).
4.5.2 Les intérêts publics ou privés justifiant un refus d'accès sont susceptibles d'évoluer dans le temps. L'accès peut ainsi être différé, c'est-à-dire être subordonné à un terme ou à une condition résolutoire, à l'échéance de laquelle l'autorité s'engage par avance à autoriser la diffusion (cas de l'embargo) ou à reconsidérer la décision qu'elle a initialement prise (Message LTrans, 1847 ch. 2.2.2.1).
4.5.3 L'art. 7 al. 1 let. a LTrans dispose que le droit d'accès prévu à l'art. 6 est limité, différé ou refusé lorsque l'accès à un document officiel est susceptible de porter notablement atteinte au processus de la libre formation de l'opinion et de la volonté d'une autorité qui est soumise à la présente loi, d'un autre organe législatif ou administratif ou d'une instance judiciaire.
Cette disposition vise à garantir que l'exercice du droit d'accès n'affecte pas le fonctionnement des autorités publiques et de l'administration. L'objectif est d'éviter que la divulgation d'informations au cours d'un processus décisionnel n'expose les autorités trop tôt et trop fortement à la pression du public. Ceci compromettrait son processus décisionnel interne en l'empêchant de se forger une opinion et une volonté propres en toute sérénité. Il est donc parfaitement légitime de veiller à ce que les autorités puissent préparer leurs décisions, planifier leur travail, définir leur stratégie, examiner les alternatives et négocier des accords sans être soumises à la pression des médias ou de l'opinion publique (ATAF 2011/52 consid. 6.3.1 ; arrêt du TAF A-1432/2016 du 5 avril 2017 consid. 8.4.1 ; Message LTrans, 1848 ss ch. 2.2.2.1.1 ; Urs Steimen, in : BSK DSG/BGÖ, Art. 7 LTrans n° 13).
4.5.4 Selon l'art. 7 al. 1 let. b LTrans, le droit d'accès prévu à l'art. 6 est limité, différé ou refusé lorsque l'accès à un document officiel peut avoir pour effet d'entraver l'exécution de mesures concrètes prises par une autorité conformément à ses objectifs.
Cette disposition garantit que des informations puissent être gardées secrètes lorsqu'elles servent à la préparation de mesures concrètes d'une autorité, notamment en matière de mesures de surveillance, d'inspections des autorités fiscales ou de certaines campagnes d'information (ATF 144 II 77 consid. 4.3 ; Message LTrans, 1850 ch. 2.2.2.1.2). Selon la jurisprudence, les enquêtes, les inspections et le contrôle administratif visant à garantir que les citoyens respectent la loi sont protégés par cette disposition (arrêts du TAF A-4781/2019 précité consid. 5.4.1 et réf. cit.). Cette exception peut donc être invoquée lorsque, avec une grande probabilité, une mesure n'atteindrait plus ou pas entièrement son but si certaines informations qui préparent cette mesure étaient rendues accessibles (Message LTrans, 1850 ch. 2.2.2.1.2 ; pour un développement complet de la question, voir arrêt du TAF A-683/2016 du 20 octobre 2016 consid. 5.4).
4.5.5 Selon l'art. 7 al. 1 let. h LTrans, le droit d'accès prévu à l'art. 6 est limité, différé ou refusé lorsque l'accès à un document officiel peut avoir pour effet de divulguer des informations fournies librement par un tiers à une autorité qui en a garanti le secret.
L'information doit avoir été donnée à l'autorité par un particulier et non pas par une autre autorité, ce qui se justifie dans la mesure où les autorités sont, contrairement aux privés, soumises au principe de la transparence (Message LTrans, 1853 ch. 2.2.2.1.8). Les informations sont fournies librement lorsqu'elles ont été produites sans contrainte, soit en l'absence d'obligation légale ou contractuelle. Lorsqu'une personne a l'obligation légale - une loi au sens matériel suffit - ou contractuelle de donner une information, elle ne peut en exiger le secret (arrêts du TAF A-2352/2017 du 11 décembre 2019 consid. 4.5.3 ; A-3667/2017 du 3 avril 2018 consid. 6.2 ; A-3291/2010 du 17 juin 2011 consid. 5.2).
Lorsqu'une personne communique librement une information à l'administration, sans toutefois préciser que celle-là doit demeurer secrète, l'art. 7 al. 1 let. h LTrans ne s'applique pas non plus. L'assurance du secret doit donc, par principe, être demandée et donnée expressément ; les demandes ou les garanties implicites ne devraient donc être admises qu'avec une très grande retenue (ATAF 2011/52 consid. 6.3.3 ; Message LTrans, 1853 ch. 2.2.2.1.8 ; voir aussi Isabelle Häner, in : BSK DSG/BGÖ, art. 7 LTrans n° 48). L'absence de contrainte légale à fournir les informations et la garantie du secret doivent exister de manière cumulative (Message LTrans, 1853 ch. 2.2.2.1.8), faute de quoi, le tiers ne peut invoquer sa bonne foi (arrêt du TAF A-2352/2017 précité ibid. consid. 4.5.3).
4.5.6 Selon l'art. 7 al. 1 let. g LTrans, le droit d'accès prévu à l'art. 6 est limité, différé ou refusé lorsque l'accès à un document officiel peut révéler des secrets professionnels, d'affaires ou de fabrication. Le but de cette disposition est d'empêcher que l'introduction du principe de la transparence n'entraîne la divulgation de secrets à des tiers extérieurs à l'administration (Message LTrans, 1853 ch. 2.2.2.1.7). La notion de secret doit être comprise dans un sens large puisqu'il s'agit de toute information qu'une entreprise est légitimée à vouloir conserver secrète, soit plus concrètement les données susceptibles d'influer sur la marche de ses affaires ou d'entraîner une distorsion de concurrence au cas où des entreprises concurrentes en prendraient connaissance (ATF 142 II 340 consid. 3.2 ; arrêt du TF 1C_533/2018 du 28 juin 2019 consid. 2.2). L'existence d'un secret protégé dépend de la réalisation de quatre conditions cumulatives : il doit y avoir un lien entre l'information et l'entreprise ; l'information doit être relativement inconnue, c'est-à-dire ni notoire ni facilement accessible ; il doit exister un intérêt subjectif au maintien du secret (volonté du détenteur de ne pas révéler l'information) et cet intérêt doit être objectivement fondé (intérêt objectif ; ATF 144 II 77 consid. 3 ; arrêt du TF 1C_562/2017 du 2 juillet 2018 consid. 3.2). L'atteinte doit présenter un certain degré de vraisemblance qu'il appartient à l'intimée de démontrer (ATF 144 II 91 consid. 3.1).
4.5.7 Lorsque des données personnelles sont présentes dans les documents dont l'accès est demandé, le droit d'accès peut également être limité, différé ou refusé au sens de l'art. 7 al. 2 LTrans si dit accès peut porter atteinte à la sphère privée de tiers, à moins qu'un intérêt public à la transparence ne soit exceptionnellement jugé prépondérant. Contrairement à l'art. 7 al. 1 LTrans, la pesée des intérêts au sens de l'art. 7 al. 2 LTrans n'est pas limitée au risque de dommage. Cet article s'interprète en effet en lien avec les art. 9 al. 2 LTrans et 19 al. 1bis LPD et la pesée des intérêts se fait exclusivement entre l'intérêt privé de la personne concernée à la protection de ses données personnelles et l'intérêt public à l'accès (ATF 144 II 77 consid. 5.3 ; arrêts du TF 1C_74/2015 du 2 décembre 2015 consid. 4.1.1).
L'art. 6 al. 1 OTrans précise à ce propos que s'il apparaît dans le cadre de l'examen d'une demande d'accès que des intérêts publics à la transparence s'opposent au droit du tiers à la protection de sa sphère privée, l'autorité compétente peut exceptionnellement accorder l'accès, après avoir procédé à une pesée des intérêts en présence. Selon le second alinéa, un intérêt public à la transparence est jugé prépondérant notamment lorsque le droit d'accès à un document répond à un besoin particulier d'information de la part du public suite notamment à des événements importants (let. a), lorsque le droit d'accès sert à protéger des intérêts publics notamment l'ordre, la sécurité ou la santé publics (let. b), ou lorsque la personne, dont la sphère privée pourrait être atteinte par le droit d'accès à un document officiel, est liée à une autorité soumise à la loi sur la transparence par un rapport de fait ou de droit qui lui procure des avantages importants (let. c).
4.5.8 En raison du principe de la proportionnalité (art. 5 al. 2 Cst.), l'accès ne peut toutefois pas simplement être refusé lorsque le document exigé contient des informations qui ne sont pas accessibles selon le catalogue d'exceptions de l'art. 7 LTrans. Dans ce cas, il convient plutôt - et autant que possible - de le restreindre, à savoir garantir un accès partiel aux informations du document, ceci par l'anonymisation, le caviardage, la publication partielle ou l'ajournement (ATF 142 II 324 consid. 3.3 ; 142 II 313 consid. 3.6 ; arrêts du TAF A-6475/2017 du 6 août 2018 consid. 3.2.2 ; A-3367/2017 du 3 avril 2018 consid. 3.4).
4.6 Selon l'art. 9 LTrans, les documents officiels contenant des données personnelles doivent être, si possible, rendus anonymes avant qu'ils ne soient consultés (al. 1) et lorsque la demande d'accès porte sur des documents officiels qui ne peuvent pas être rendus anonymes, l'art. 19 LPD est applicable, la procédure d'accès étant régie par la LTrans. Lorsqu'il n'est pas possible d'anonymiser dits documents, il doit être procédé à une pesée complète des intérêts entre l'intérêt public à la divulgation des informations requises et les intérêts s'y opposant, en particulier ceux respectivement de la protection de la sphère privée et de la protection des données des personnes, dont les données sont contenues dans le document et devraient être rendues accessibles (ATF 144 II 77 consid. 3).
4.7 Au sens de l'art. 7 OTrans, la demande d'accès à un document officiel n'est soumise à aucune exigence de forme et ne doit pas être motivée (al. 1). Le deuxième alinéa dispose que la demande doit contenir des indications suffisantes pour permettre à l'autorité d'identifier le document demandé. Le demandeur doit, pour autant qu'il soit en mesure de le faire, indiquer : les données courantes permettant d'identifier clairement un document comme sa date, son titre ou une référence (let. a) ; une période déterminée (let. b) ; l'autorité qui a établi le document (let. c) ; ou le domaine visé (let. d). Ces critères ne sont pas cumulatifs, mais alternatifs de par la formulation de cette disposition.
4.8 Selon l'art. 25 al. 1 LPD, quiconque a un intérêt légitime peut exiger de l'organe fédéral responsable qu'il s'abstienne de procéder à un traitement illicite (let. a) ; supprime les effets d'un traitement illicite (let. b) ; constate le caractère illicite du traitement (let. c). Si ni l'exactitude, ni l'inexactitude d'une donnée personnelle ne peut être prouvée, l'organe fédéral doit ajouter à la donnée la mention de son caractère litigieux (al. 2). Au sens du troisième alinéa, le demandeur peut en particulier demander que l'organe fédéral rectifie les données personnelles, les détruise ou en empêche la communication à des tiers (let. a) ; publie ou communique à des tiers sa décision, notamment celle de rectifier ou de détruire des données personnelles, d'en interdire la communication ou d'en mentionner le caractère litigieux (let. b).
5.1 En l'espèce, le PFPDT est soumis à la LTrans conformément à l'art. 2 al. 1 let. a LTrans.
5.2 La demande d'accès de l'intimée était formulée "nous désirons prendre connaissance des communications écrites (courriers/emails) que Swisscom vous a adressé concernant l'affaire de l'accès indu à des coordonnées de clients [suivent les liens url menant au communiqué de presse du PFPDT en français et en allemand] ainsi que vos réponses [...]. Si nécessaire, je vous prie de considérer cet email comme une demande d'accès au sens de la LTrans". Certes, l'intimée n'a pas requis expressis verbis la production des documents (les notes téléphoniques du PFPDT et la présentation de Swisscom) dont elle ne pouvait qu'ignorer l'existence. La requête de l'intimée portait cependant sur une période et une activité très déterminées, soit tous les échanges entre les recourantes et le PFPDT précédant le communiqué de presse du 7 février 2018. Par sa décision querellée, le PFPDT a correctement appliqué l'art. 7 al. 2 let. b OTrans en considérant que la demande d'accès de l'intimée portait sur l'ensemble des documents créés et échangés entre le 22 décembre 2017 et le 7 février 2018.
5.3
5.3.1 Au sens de l'art. 28 LPD, le Préposé conseille les personnes privées en matière de protection des données. Il s'agit là d'une obligation légale d'offrir une aide et un soutien dans des cas individuels. L'activité du PFPDT qui a précédé les communiqués de presse du 7 février 2018 relève de cette compétence (consid. 7.2 infra) et ainsi de l'accomplissement d'une tâche de droit public du PFPDT. Lorsqu'il conseille les privés, le PFPDT ne rend pas de décision et ses avis ne lient ni les parties ni les Tribunaux (René Huber, BSK DSG/BGÖ, art. 28 LPD n° 6a ; dans le même sens Bruno Baeriswyl, in : Stämpflis Handkommentar, Datenschutzgesetz [DSG], 2015, ad art. 28 no 12, Philippe Meier, Protection des données, 2011, no 1889 p. 609 et Yvonne Jöhri, in : Datenschutzrecht, Passadelis/Rosenthal/Thür [éd.], 2015, p. 264 no 8.59). Or, dans la mesure où le conseil aux privés ne constitue pas une décision, dits conseils ne relèvent pas de la procédure administrative. En effet, le but même d'une procédure administrative, qu'elle soit contentieuse ou pas, est justement le prononcé d'une décision (Piermarco Zen-Ruffinen, Droit administratif, 2ème éd., 2013, p. 296). Les conseils du PFPDT relèvent ainsi d'actes matériels (Realakte), lesquels n'ont pas pour objet de régler la situation juridique des administrés (Häfelin et al., Allgemeines Verwaltungsrecht, 7ème éd., 2016, no 847). Comme le précise le Message LTrans (1832 ch. 2.1.3), les règles de la LTrans s'appliquent à l'adoption d'actes matériels.
En conséquence, l'activité de conseil du PFPDT au sens de l'art. 28 LPD n'est pas exclu du champ d'application de l'art. 3 al. 1 LTrans et est donc soumise au principe de la transparence (consid. 4.2 supra).
5.3.2 Les recourantes allèguent ne pas avoir désiré bénéficier des conseils du PFPDT (not. recours ch. 15 à 18), mais uniquement avoir voulu l'informer de la perte de données, des mesures prises et de la communication qu'elles envisageaient de faire. Au moment de composer le numéro d'appel du PFPDT le 22 décembre 2017 (let. A supra), l'intention des recourantes n'était très éventuellement pas d'obtenir du conseil et uniquement d'informer le PFPDT. La question peut toutefois souffrir de rester ouverte, car force est de constater que cet échange téléphonique et les échanges ultérieurs constituent indubitablement du conseil au sens de l'art. 28 LPD ; alléguer le contraire revient à nier l'existence des communiqués de presse des recourantes et du PFPDT du 7 février 2018. En ce sens, l'activité de conseil du PFPDT a avant tout consisté en l'accompagnement des recourantes dans leur stratégie en matière de communication aux clients et au public à propos de la fuite massive des données.
5.4 Les documents auxquels il est demandé l'accès, soit les informations qui ont été transmises au PFPDT par les recourantes (la présentation du 10 janvier 2018 et les courriels reçus) ou qui ont été créées ou émises par dite autorité à partir des informations transmises ou en réaction à celle-ci (la note téléphonique du 22 décembre 2017, la note de réunion du 10 janvier 2018, la note téléphonique du 15 janvier 2018 et les courriels envoyés) ont été enregistrés sur un support auprès du PFPDT, comme il en par ailleurs le droit et l'obligation (voir notamment les art. 57h de la loi du 21 mars 1997 sur l'organisation du gouvernement et de l'administration [LOGA, RS 172.010] et 32 al. 2 de l'ordonnance du 14 juin 1993 relative à la loi fédérale sur la protection des données [OLDP, RS 235.11]).
Ces données n'ont donc pas été traitées de manière illicite et les conclusions des recourantes visant à détruire les documents sont mal fondées.
De la sorte, les conditions de l'art. 5 LTrans (consid. 4.3 supra) sont réalisées et il doit être considéré que les informations auxquelles l'accès est demandé sont des documents officiels. De même, il n'y a pas lieu de constater un traitement illicite de données par le PFPDT.
5.5 Les documents officiels auxquels l'intimée a demandé l'accès ne sont pas déjà publiés par le PFPDT. A cet égard, certes le communiqué de presse du PFPDT du 7 février 2018 a déjà rendu public quelques informations. Cela étant, eu égard au contenu des pièces objet de la demande de transparence, il n'y a pas lieu de considérer que le communiqué de presse serait une publication suffisante au sens de l'art. 6 al. 3 LTrans. S'agissant des recourantes, elles ne sauraient se prévaloir de ces dispositions qui ne s'appliquent explicitement qu'à la Confédération. En conséquence, les exceptions des art. 6 al. 3 LTrans et 3 OTrans ne sont pas réalisées.
5.6 Il résulte de ce qui précède que la demande d'accès portait sur des documents officiels, que l'activité de conseil du PFPDT au sens de l'art. 28 LPD n'est pas exclue du champ d'application de la LTrans et qu'il existe donc une présomption en faveur du libre accès aux documents officiels. Les griefs des recourantes sur ces points doivent ainsi être écartés.
Il sied donc d'examiner si c'est à juste titre que le PFPDT a considéré qu'aucune exception de l'art. 7 LTrans - permettant de limiter, différer ou refuser le droit d'accès aux documents officiels - soulevée par les recourantes n'était réalisée. Selon les recourantes, les conditions de l'art. 7 al. 1 let. a, b, h et g et al. 2 LTrans sont réalisées.
Une application des lettres a et b de l'art. 7 al. 1 LTrans peut être brièvement écartée. D'une part, comme le relève le PFPDT, ces normes visent à protéger l'administration, pas les privés. Les recourantes ne sont dès lors pas légitimées à les invoquer à la place de l'administration. De plus, l'art. 7 al. 1 let. a LTrans n'est pas applicable au conseil au sens de l'art. 28 LPD, car, comme déjà mentionné, le PFPDT ne prononce pas de décisions au sens de l'art. 5 PA en application de l'art. 28 LPD (consid. 5.3.1 supra), de sorte qu'il ne relève pas d'un processus décisionnel qui serait protégé par la let. a précitée (consid. 4.5.3 supra). Concernant l'art. 7 al. 1 let. b LTrans, le conseil au sens de l'art. 28 LPD ou la publication d'un communiqué de presse ne constituent pas des mesures concrètes conformément à des objectifs au sens de dite disposition (consid. 4.5.4 supra).
Ensuite, il sied d'examiner l'exception de l'art. 7 al. 1 let. h LTrans (consid. 4.5.5 supra).
7.1 Au préalable, l'argumentation du PFPDT, selon laquelle "les relations entre particuliers et autorités dans le cadre desquelles une personne privée entraîne le déploiement d'une mission légale de l'autorité ne peuvent être placées sous la protection de la confidentialité au sens de la disposition d'exception de l'art. 7 al. 1 let. h LTrans, car l'activité de l'administration ne peut être soustraite aux règles de la transparence, ni par convention, ni par autorisation unilatérale" doit être tempérée. Certes, le législateur a posé comme principe cardinal une présomption de principe en faveur du libre accès aux documents officiels. Cela étant, il a également prévu que cette présomption pouvait être renversée à des conditions restrictives et a introduit des exceptions dans la même base légale formelle. Dans ce cadre, tant la lettre que l'esprit de l'art. 7 al. 1 let. h LTrans visent à permettre à l'administration de garantir la confidentialité sur des informations qui lui ont été transmises par des privés (consid. 4.5.5 supra), et ce indépendamment de la notion de "mission légale" (la loi parlant de tâche publique). Le PFPDT reconnaît dans sa pratique l'application de l'art. 7 al. 1 let. h LTrans par les autres autorités fédérales dans l'exercice de leurs tâches publiques, en respectant la volonté du législateur et en l'appliquant donc de manière restrictive (p. ex. recommandation du PFPDT du 17 septembre 2013 ch. 21 s). Sa position dans la présente procédure est dès lors très surprenante. Au surplus, la garantie de confidentialité peut faire l'objet d'un contrôle dans le cadre d'une demande d'accès fondée sur la LTrans par le PFPDT (voir par exemple la recommandation du 20 octobre 2015 ch. 40 s) et par la justice. De la sorte, l'art. 7 al. 1 let. h LTrans ne constitue en aucun cas un blanc-seing donné à l'administration pour adopter des pratiques ou mettre en place une politique visant à contourner l'esprit de la LTrans. Des mécanismes de contrôle existent et fonctionnent, même si, s'agissant des demande d'accès LTrans adressées au PFPDT, ceux-ci sont plus restreints (consid. 2.4 supra).
En résumé, les autorités fédérales - le PFPDT inclus - peuvent appliquer l'art. 7 al. 1 let. h LTrans dans leurs tâches publiques. Toutefois, afin de respecter la LTrans, il leur appartient d'adopter une pratique très restrictive et au cas par cas, dont le bien-fondé peut faire l'objet d'un contrôle tant par le PFPDT - tant que les demandes d'accès ne le concernent pas - que par les autorités judiciaires lorsqu'une demande d'accès à des documents officiels fondée sur la LTrans est introduite.
7.2 Il sied d'examiner si la condition des "informations transmises librement" est réalisée.
7.2.1 Le PFPDT considère que les recourantes n'étaient tenues ni par contrat ni par la loi de fournir les informations. Toutefois, les informations n'avaient pas été fournies librement par les recourantes car, afin de bénéficier de ses conseils au sens de l'art. 28 LPD, elles étaient contraintes de les produire (décision ch. 3.6).
7.2.2 Les recourantes estiment avoir transmis les informations de leur propre initiative, soit en l'absence de contraintes légales ou contractuelles et que par son appréciation, le PFPDT violait sa propre recommandation du 17 septembre 2013, au sens de laquelle "freiwilig, d. h. nicht im Rahmen einer gesetzlichen oder vertraglichen Verpflichtung, abgegeben worden sind bzw. abgegeben werden" (recours ch. 49).
7.2.3 Le PFPDT reconnaît explicitement qu'il n'existait pas de contrainte légale ou contractuelle. Il semble toutefois considérer qu'un devoir de collaboration existerait dans le cadre de l'art. 28 LPD et que dit devoir constituerait implicitement une obligation légale.
Cette position ne peut pas être soutenue. Comme mentionné, le conseil de l'art. 28 LPD n'a aucun effet juridique, n'est pas une procédure administrative (et n'est donc soumis ni à la maxime inquisitoire ni à l'obligation de collaboration de l'art. 13 PA) et ne résulte pas du prononcé d'une décision au sens de l'art. 5 PA (consid. 5.3.1 supra). Si le PFPDT peut poser des questions afin de collecter des données qui lui permettront de conseiller au plus juste les demandeurs, il relève du seul libre-arbitre de ces derniers de les lui confier ou pas et dans quelle mesure. En cas de refus de transmettre les informations, la conséquence n'est pas, contrairement à ce qui prévaut lorsqu'une obligation légale ou contractuelle existe, que la partie se voie opposer son défaut de collaboration dans une décision et qu'elle doive donc en assumer des conséquences juridiques (p. ex. art. 13 al. 2 PA). La partie qui ne transmet pas des informations dans un conseil au sens de l'art. 28 LPD devra uniquement assumer qu'un conseil ne puisse être donné ou que celui-ci soit inadéquat en raison des informations lacunaires. De la sorte, dans le cadre du conseil de l'art. 28 LPD, il n'existe aucun devoir légal ou contractuel de transmettre des informations.
En conséquence, les données ont été transmises librement au PFPDT par les recourantes.
7.3 Ensuite, la condition de la confidentialité doit être examinée.
7.3.1 Le PFPDT (not. décision ch. 3.10 et réponse ch. 8) et les recourantes (not. recours ch. 10, 19 s et 47 s) s'accordent à dire que le premier nommé avait garanti que les informations transmises par les recourantes seraient traitées confidentiellement. Toutefois, les avis divergent fondamentalement sur la nature et la portée de cette confidentialité.
7.3.2 Le PFPDT reconnaît avoir garanti oralement la confidentialité aux recourantes lors de l'échange téléphonique du 22 décembre 2017 (décision ch. 3.10). Il estime toutefois s'être appuyé sur son "secret professionnel, qui depuis l'entrée en vigueur de la LTrans, ne s'applique plus qu'en relation avec les informations qui ne sont pas accessibles en raison de dispositions d'exception, ce qui doit être connu" des recourantes. De plus, "la garantie n'a toutefois été donnée que dans le but de permettre [aux recourantes] d'informer elles-mêmes les personnes concernées par la fuite des données, et de prendre d'ici là les mesures de protection des données personnelles en question". Il considère ainsi que "la garantie de confidentialité du PFPDT ne pouvait se rapporter qu'à l'information active et non pas à d'éventuelles demandes d'accès conformément à la LTrans. Les [recourantes] ne l'ont pas expressément demandé et le PFPDT ne s'est pas non plus exprimé explicitement ou implicitement dans ce sens". En résumé, il conteste avoir donné une garantie de confidentialité expresse aux recourantes en application de l'art. 7 al. 1 let. h LTrans.
7.3.3 Les recourantes considèrent en substance que la confidentialité est absolue, soit qu'elle ne saurait être interprétée à géométrie variable ni être remise en cause en raison d'une demande d'accès fondée sur la LTrans ("'Vertraulich' heisst 'geheim' - und nicht etwas 'geheim, soweit das Strafrecht dies sowieso verlangt und es sei denn, jemand fragt danach'" ; recours ch. 10). Elles argumentent que le PFPDT leur aurait expressément octroyé la garantie de confidentialité tout en reconnaissant qu'il n'existe aucune preuve. Si le PFPDT avait garanti de respecter son secret de fonction, les recourantes étaient en droit de considérer que cela faisait office de garantie au sens de la LTrans ; leur employé ayant pris contact avec le PFPDT n'étant pas à même de faire la distinction entre secret de fonction et confidentialité au sens de la LTrans (not. recours ch. 56 à 60). Elles considèrent également que la confidentialité leur aurait été tacitement garantie (not. recours ch. 61 s).
7.3.4
7.3.4.1 En premier lieu, il doit être précisé qu'une garantie de confidentialité au sens de l'art. 7 al. 1 let. h LTrans va engager l'autorité qui, par l'un de ses employés (élus, nommés ou engagés), a octroyé une telle garantie et non pas l'employé en question. La protection de la bonne foi de la personne ayant obtenu une telle garantie - bien que pas absolue puisque pouvant être reconsidérée (consid. 4.5.2 supra) et faire l'objet d'un contrôle judiciaire sur son bien-fondé (consid. 7.1 supra) - ne saurait en effet dépendre des changements au sein du personnel de l'autorité. C'est donc parce que l'autorité a octroyé une garantie de confidentialité que ses employés devront respecter dite garantie. Pour cette raison, une telle garantie ne devrait pas être octroyée librement par tout employé mais par les organes de dite autorité qui pourraient être amenés à se prononcer sur une demande d'accès fondée sur la LTrans et après un examen juridique préalable (conditions restrictives, proportionnalité, etc.). Quant au secret de fonction, il se réfère aux employés (élus, nommés ou engagés) en personne de l'autorité (art. 22 de la loi du 24 mars 2000 sur le personnel de la Confédération [LPers, RS 172.220.1] ; voir aussi l'art. 320 du Code pénal suisse du 21 décembre 1937 [CP, RS 311.0]) et non pas à l'autorité en tant que telle. Ainsi, indépendamment de toute demande LTrans, les employés sont tenus au secret de fonction. Une demande LTrans ne lèvera pas le secret de fonction lié à la personne de l'employé puisque c'est l'autorité en tant que telle qui accordera un accès LTrans au terme d'une procédure administrative. Toutefois, lorsque l'autorité fait droit à une demande LTrans, les employés, qui, dans les faits, remettront les documents ne violeront pas leur secret de fonction puisqu'ils agiront dans le cadre de l'exécution d'une décision prise au terme d'une procédure administrative. Enfin, il y a lieu de relever une différence fondamentale entre la promesse de confidentialité et le secret de fonction. En effet, si la garantie de la confidentialité au sens de la LTrans peut être octroyée au cas par cas et en dérogation au principe de la transparence, le secret de fonction existe de par la loi et sa levée constitue l'exception.
De la sorte, le fait que le PFPDT (la personne qui occupe cette fonction) aurait garanti de respecter son secret de fonction ne serait pas susceptible de constituer une promesse de confidentialité au sens de l'art. 7 al. 1 let. h LTrans qui elle lierait l'autorité éponyme.
7.3.4.2 En deuxième lieu, à des fins de preuve, la garantie de confidentialité ne devrait pas être donnée oralement, mais être donnée par écrit (recommandation du 17 avril 2013 ch. 25 confirmée par l'arrêt du TAF A-6291/2013 du 28 octobre 2014 consid. 7.3.4). Or, aucune garantie de confidentialité au sens de l'art. 7 al. 1 let. h LTrans ne figure dans la note téléphonique du PFPDT du 22 décembre 2017 ou dans d'autres pièces au dossier. La garantie de respecter son secret de fonction n'y figure pas non plus, mais comme mentionné ci-dessus, elle est due de par la loi de sorte qu'une verbalisation aurait été juridiquement superflue, même si souhaitable à des fins de transparence et de surveillance.
Le PFPDT allègue que ses prises de notes visent à rendre des comptes sur son activité tant sous l'angle de la LTrans qu'auprès de l'Assemblée fédérale qui est chargée de sa surveillance (décision ch. 2.2). De plus, il appert de la note du 22 décembre 2017 - par l'établissement d'une communication passive par le PFPDT au cas où des informations auraient fuité dans les médias - que cette fuite de données était considérée dès le début et à juste titre comme médiatiquement (et politiquement eu égard aux nombres de personnes concernées par la fuite de données et aux liens étroits entre la Confédération et son ex-régie) sensible aux yeux du préposé. Dans ces conditions, il y a lieu de s'attendre à ce qu'une garantie de confidentialité orale eusse été verbalisée à des fins de transparence et de surveillance. L'on est en effet en droit de partir du principe que le PFPDT respecte ses propres recommandations et la jurisprudence y relative, et ce d'autant plus dans une cause présentant un intérêt public, médiatique et politique certain.
Enfin, les recourantes n'ont pas non plus amené de preuve écrite qu'elles auraient reçu une telle garantie.
7.3.4.3 En troisième lieu, dès le 22 décembre 2017, le PFPDT a exposé qu'il était absolument nécessaire d'informer les clients touchés par la fuite de données et que seul un report de la publication de l'information, afin de permettre aux recourantes de mettre en place les mesures nécessaires pour leurs clients, pouvait entrer en ligne de compte. L'activité de conseil du PFPDT a ensuite consisté en l'accompagnement des recourantes dans un but de publication de certaines informations (consid. 5.3.2 supra). L'on peine ainsi à percevoir comment le PFPDT aurait pu octroyer une garantie de confidentialité qui ne pouvait qu'être contraire au but même de son activité de conseil, à savoir la communication publique de la fuite des données.
7.3.4.4 En dernier lieu, certains arguments des recourantes ne sont certes pas dénués de toute pertinence. La présentation du 10 janvier 2018 comporte la mention "Geheim" et un courriel (portant sur les communiqués de presse) des recourantes du 22 janvier 2018 adressé au PFPDT indique "die ausgetauschten Informationen sind natürlich weiterhin vertraulich". Cela étant, ces éléments sont insuffisants pour retenir qu'une garantie de confidentialité aurait été octroyée, même tacitement. Ce d'autant plus qu'il appert de la note du 15 janvier 2018 que les représentants du PFPDT avaient précisé aux recourantes "[...] die Antworten auf entsprechende Anfragen bei uns jedoch im Ermessen von [le Préposé en personne] liegen und wir hier daher keine diesbezüglichen Garantien abgeben können" (note du 15 janvier 2018). Cette déclaration portait sur une information précise - et indubitablement sensible pour l'image des recourantes - mais elle n'aurait pas été nécessaire si une garantie au sens de l'art. 7 al. 1 let. h LTrans avait été donnée puisque, comme mentionné ci-dessus, dite garantie aurait lié l'autorité et donc également ses représentants, sans qu'il n'incombe au préposé (la personne) de juger s'il répondrait matériellement à une question ou pas.
Enfin, depuis le 22 décembre 2017, les recourantes ont été représentées par leurs hauts cadres (les intervenants figurant dans l'organigramme des recourantes publié sur internet) dont certains sont suffisamment qualifiés en matière de protection des données et de transparence, pour qu'ils ne se contentent pas d'une promesse orale, mais formalisent ce genre de garantie par écrit et ce avant même de transmettre la moindre information. A cet égard, les recourantes ont eu connaissance de la fuite de données à l'automne 2017, de sorte qu'elles ont eu le temps de préparer la prise de contact avec le PFPDT du 22 décembre 2017 et qu'une éventuelle méconnaissance de la loi par le gestionnaire du dossier leur serait entièrement imputable et opposable.
7.3.4.5 Une mesure d'instruction supplémentaire, à savoir l'audition des parties sur ce point, n'est pas nécessaire. D'une part, les recourantes et le PFPDT sont constants dans leurs déclarations, de sorte qu'une version supplémentaire ne relève d'aucun impératif. D'autre part, les éléments au dossier et le but du conseil confortent la version du PFPDT, à savoir qu'aucune garantie de confidentialité au sens de l'art. 7 al. 1 let. h LTrans n'avait été octroyée, explicitement ou tacitement, à tout le moins après que la fuite des données a été rendue publique. Or, la demande d'accès LTrans a été introduite après dite publication.
7.4 Il ressort de ce qui précède qu'il doit être donné raison aux recourantes en tant qu'elles estiment que l'art. 7 al. 1 let. h LTrans est applicable (à des conditions restrictives et au cas par cas) par l'administration dans son activité et qu'elles ont transmis librement des informations au PFPDT. Toutefois, aucun élément concret au dossier ne permet de retenir qu'une garantie de confidentialité au sens de la LTrans aurait été, explicitement ou tacitement, octroyée par le PFPDT, à tout le moins après que la fuite des données a été rendue publique.
De la sorte, le recours doit être rejeté en tant qu'il soutient que l'exception de l'art. 7 al. 1 let. h LTrans est réalisée pour refuser l'accès aux documents officiels.
8.1
8.1.1 Le PFPDT estime en substance que les recourantes n'avaient pas suffisamment expliqué en quoi les informations contenues dans les documents officiels seraient couvertes par le secret d'affaires et bien qu'invitées à le préciser elles ne l'avaient pas fait, malgré une prolongation de délai. Il estime en conséquence que les recourantes n'ont pas démontré l'existence d'informations propres à influer sur la marche de leurs affaires ou à entraîner une distorsion de la concurrence au cas où des entreprises concurrentes en prendraient connaissance (décision ch. 3.13 ss, réponse ch. 24 ss).
8.1.2 Les recourantes allèguent, en substance également, que les documents contiennent de nombreuses informations à leur propos qui ne sont pas connues du public ni de la concurrence et qu'elles ne désirent pas rendre publiques (recours ch. 70 ss). Dans leurs observations spontanées du 29 mai 2020, elles ont précisé vouloir protéger leur modèle d'affaire, leurs systèmes de distribution et informatiques et leurs processus décisionnels internes.
8.2 Le Tribunal fera sienne l'appréciation du PFPDT en tant qu'il constate que les recourantes n'ont pas argumenté de manière suffisante en quoi les informations contenues dans les documents officiels relèveraient de leur secret d'affaires en procédure de première instance. Seule une brève argumentation générique figure dans leur prise de position du 23 février 2018. La décision du PFPDT ne prête sous cet angle pas flanc à la critique. Etant donné que le motif des recourantes (secret d'affaires) a été soulevé en procédure de première instance et même si sa motivation diffère, le Tribunal considère que l'écriture des recourantes du 29 mai 2020 constitue des allégués tardifs qui, à des fins d'économie de procédure, seront pris en considération. Il sied donc d'examiner si les conditions cumulatives nécessaires à la reconnaissance d'un secret d'affaires sont réalisées. Il doit cependant être relevé que le nombre d'informations que les recourantes souhaitent voir disparaître a augmenté de manière exponentielle par rapport au recours, sans que les recourantes n'allèguent ne pas avoir été en mesure de le requérir dans leur recours ni qu'aucune motivation ne le justifie. Ils ne seront dès lors examinés que s'ils sont pertinents.
8.2.1 Les informations contenues dans les documents objet de la demande d'accès LTrans ont un lien indubitable avec les recourantes et celles-ci ont clairement manifesté leur volonté de ne pas les révéler dans leurs écritures procédurales. Ces deux conditions sont donc réalisées.
8.2.2 S'agissant des processus décisionnels des recourantes, la décision avait déjà été prise lorsque la demande de transparence avait été introduite, de sorte que le processus décisionnel n'a en rien été perturbé. Le fait que deux organes distincts d'une entreprise communiquent entre eux avant que des décisions importantes pour l'image de l'entreprise ne soient prises n'est en rien un secret et pas de nature à fausser la concurrence. De plus, le contenu des communications entre les organes n'appert pas des documents, les rares informations y relatives étant au surplus rapportées. Comme les recourantes ont publié un communiqué de presse et un article en ligne (consid. 8.2.3 infra), force est de constater que la décision des organes est déjà connue. Il n'est nullement démontré qu'une information marginale (paragraphe 3 p. 2 de la note du 10 janvier 2018) soit de nature à influencer le cours de la bourse plus de deux ans plus tard. Le fait que la fuite massive de données ne respecte pas le droit de la protection des données ne relève en rien d'un processus décisionnel. Enfin, les autres éléments relevés par les recourantes dans leurs observations du 29 mai 2020 ne sont en rien pertinents sous l'angle du processus décisionnel des recourantes et ne permettraient pas d'appréhender le travail du PFPT, ce qui est fondamentalement le but de la LTrans (consid. 4.1 supra).
Au surplus, les maigres informations relatives à la prise de décision peuvent éventuellement écorner l'image des recourantes, mais une telle atteinte reste hypothétique et s'assimilerait de toute façon à une simple conséquence désagréable. Il n'existe donc pas d'intérêt objectivement fondé dans le cas d'espèce.
8.2.3 S'agissant du système de distribution, les arguments des recourantes ne sont pas convaincants puisqu'elles semblent vouloir faire passer pour des secrets d'affaires de nombreuses informations qu'elles ont elles-mêmes publiées dans leur opération de communication de février 2018. Les documents ne contiennent en effet guère d'informations supplémentaires par rapport à ce qui est déjà publié par les recourantes elles-mêmes en 2018 (voir notamment l'interview du "Chief Security Officer" des recourantes du 7 février 2018 intitulé "Le responsable Swisscom Security sur la subtilisation des données client" ou "Cela ne se reproduira plus" [consultable sous : www.swisscom.ch > A propos de Swisscom > News > Contexte & Actualités > 2018 > Février 2018 ; site consulté le 2 juillet 2020] et le communiqué de presse des recourantes du 7 février 2018 "Swisscom renforce ses mesures de sécurité pour les données clients" [consultable sous : www.swisscom.ch > A propos de Swisscom > News > Communiqués de presse > 2018 ; site consulté le 2 juillet 2020]). Certaines informations encore pas publiées pourraient certes faire apparaître certaines discordances entre ce qui a été annoncé au PFPDT et ce qui a été communiqué au public, mais aucun élément n'est de nature à dévoiler des secrets d'affaires. Enfin, le site internet des recourantes (www.swisscom.ch > A propos de Swisscom > Précisions juridiques > Protection de données > Traitement des données personnelles ; site consulté le 2 juillet 2020]) livre également de nombreuses informations qui correspondent à certains éléments des notes du PFPDT que les recourantes considèrent comme des secrets d'affaires et sont dès lors déjà connues. Le PFPDT a ordonné l'anonymisation du nom du partenaire commercial dont les données d'accès ont été utilisées abusivement. Les autres informations contractuelles concernant ce partenaire sont certes de nature à écorner l'image des recourantes, mais ne relèvent d'aucun secret d'affaires, ce d'autant plus que les recourantes alléguaient ne pas en avoir connaissance. Après les observations spontanées du 29 mai 2020, force est de constater que les recourantes qualifient de secret d'affaires toutes les informations qui pourraient les exposer à des reproches de "négligence" que ce soit d'un point du vue contractuel ou technique. Or, les négligences entraînant des accès indus à des données d'environ 800'000 clients ne sauraient relever du secret d'affaires.
8.2.4 S'agissant de l'utilisation d'un CRM - Customer Relationship Management ; soit un logiciel informatique permettant de gérer les relations d'une entreprise avec ses clients [privé ou commerciaux] et/ou partenaires commerciaux) - par l'une des plus importantes entreprises actives en Suisse dans le domaine des technologies de l'information et télécommunication (TIC), il est inconcevable que cette information soit inconnue de la concurrence. D'une part, les recourantes font la promotion de ce système sur leur propre site internet (consultable sous l'url : ; site consulté le 2 juillet 2020). D'autre part, aucune information sur la nature du CRM concerné, son développeur, sa version, ses logiciels liés, etc. ne figure dans les documents. De la sorte, il n'existe pas d'intérêt objectivement fondé dans le cas d'espèce et le caractère inconnu de l'information ne saurait être reconnu. Enfin, les documents ne donneraient éventuellement que des informations sur ce qui est antérieur au communiqué de presse du 7 février 2018. Or, à la lecture des communications des recourantes y relatives, les erreurs ayant mené la fuite massive de données ont été depuis longtemps résolues et de nouvelles mesures de sécurité intégrées.
8.2.5 S'agissant de la sécurité informatique, le Tribunal a de lui-même constaté dans son ordonnance du 15 avril 2020 qu'une information pouvait être de nature à révéler une information utile pour contourner les nouvelles mesures de sécurité, ce que les recourantes ont confirmé. Il y a donc lieu d'ordonner le noircissement d'un nombre de la ligne 6 p. 2 de la note du PFPDT du 10 janvier 2018 tel que décrit dans l'ordonnance précitée. Les autres arguments soulevés par les recourantes à ce propos ne sont pas convaincants, notamment car aucun élément de nature technique n'y est révélé et nombre d'entre eux ont déjà été publiés ou communiqués aux clients.
8.3 Il ressort de ce qui précède que les documents auxquels un accès est demandé par l'intimée ne contiennent aucun secret d'affaires. Tout au plus, de rares données dans les documents pourraient mettre en évidence quelques discordances entre des faits et certains messages relevant du marketing ou de la communication et ainsi très éventuellement écorner l'image des recourantes. Une telle atteinte reste toutefois hypothétique et s'assimilerait dans tous les cas à une simple conséquence désagréable.
De la sorte, le recours doit être rejeté en tant qu'il soutient que l'exception de l'art. 7 al. 1 let. g LTrans est réalisée pour refuser l'accès aux documents officiels. Il est toutefois très partiellement admis s'agissant du noircissement ordonné au considérant 8.2.5 supra.
Enfin, s'agissant des autres données relatives à l'entreprise (et non plus à ses employés), comme l'a relevé le PFPDT, la cause implique une ancienne régie fédérale détenue majoritairement par la Confédération, gérant certaines des infrastructures de communication les plus sensibles du pays et la fuite de données concerne environ 800'000 clients. Il y a dès lors également un intérêt public très élevé, au sens de l'art. 6 al. 1 et 2 let. a OTrans, à ce que la transparence prime sur d'éventuels autres intérêts privés - au demeurant non démontrés - des recourantes. Enfin, plus de deux ans se sont écoulés, de sorte que la publication de ces informations n'est plus de nature à avoir un réel impact sur les affaires des recourantes.
Le recours doit être rejeté en tant qu'il soutient que l'exception de l'art. 7 al. 2 LTrans requiert une anonymisation plus étendue de données, le différé de la transmission des informations ou un refus d'accès. Le PFPDT a respecté le principe de la proportionnalité de l'application de ces normes et sa pesée des intérêts ne prête pas flanc à la critique.
10.1 Selon les recourantes, elles n'auraient pas déclaré - le 22 décembre 2017 - que les données se trouvaient sur un serveur à un certain emplacement géographique, que le vol de données aurait été perpétré à cet endroit et qu'une plainte pénale y aurait été déposée. Elles reconnaissent toutefois ne pouvoir ni confirmer ni démentir cette information et affirment qu'elles ne savaient pas ni ne savent où se trouvent les données et si une plainte pénale a été déposée au lieu géographique en question. De même, le 10 janvier 2018, elles n'auraient pas dit avoir connaissance de la pratique contractuelle de leur partenaire commercial avant la fuite de données ni avoir eu connaissance de l'emplacement géographique du lieu de traitement des données. Les recourantes requièrent donc que des données soient supprimées ou rectifiées en application de l'art. 25 al. 1 LPD ou que leur caractère litigieux soit mentionné en application de l'art. 25 al. 2 LPD.
10.2 Le PFPDT affirme en substance avoir fidèlement verbalisé le contenu de la discussion du 22 décembre 2017 et de la séance du 10 janvier 2018. Il se déclare toutefois prêt à en mentionner le caractère litigieux dans ses dossiers en indiquant les divergences soulevées par les recourantes.
10.3 Il ressort de ce qui précède qu'il s'agit d'une situation "parole contre parole". L'argumentation des recourantes n'est guère convaincante, ce d'autant plus qu'il est dans leurs intérêts juridiques et/ou médiatiques que ces informations soient supprimées ou - au minimum - restent litigieuses. Au contraire, le PFPDT n'avait lui aucun intérêt à noter des informations erronées, étant rappelé que l'exactitude des autres informations n'est pas contestée, au surplus dans une cause politiquement et médiatiquement sensible (consid. 7.3.4 supra). De même, et comme le relève le PFPDT, il y a une certaine cohérence avec les autres informations contenues dans ses notes. Toutefois, les dénégations des recourantes ne sont pas incohérentes eu égard à ces mêmes éléments. Une suppression de ces données n'est pas justifiée puisque la licéité de leur traitement est établie (consid. 5.4 supra). Le Tribunal constate qu'aucun élément amené par les recourantes ne remet en doute de manière convaincante que la transcription de l'échange téléphonique ou des propos tenus lors de la séance du 10 janvier 2018 par le PFPDT aurait été erronée. Celle-ci pourra être remise en l'état à l'intimée.
11.1 Selon le Message LTrans (1822, ch. 1.1.3.3), si le document est transmis par l'auteur lui-même, on peut en déduire au vu du principe de la transparence que le titulaire a fait usage de son droit de divulguer son oeuvre pour la première fois au sens de l'art. 9 al. 2 et 3 LDA, et qu'il a consenti à sa divulgation, de sorte que l'oeuvre en question est considérée à partir de ce moment comme divulguée. A partir de cet instant, l'autorité peut copier le document en question pour des tiers, en vertu de l'art. 19 al. 2 LDA. L'utilisation ultérieure des copies par l'autorité ou par des tiers continue à être régie par les dispositions générales du droit d'auteur.
11.2 En l'espèce, la présentation du 10 janvier 2018 a été remise librement par les recourantes au PFPDT et l'"oeuvre" a ainsi été divulguée pour la première fois à ce moment-là. L'autorité inférieure est dès lors fondée à en faire une copie pour l'intimée dans le cadre de la demande LTrans. Enfin, il appartiendra à l'intimée, dans la mesure où elle voudrait en publier des extraits, de prendre en compte la propriété intellectuelle des recourantes.
12.1 Il ressort de ce qui précède que le recours est très partiellement admis au sens du considérant 8.3 et rejeté pour le surplus. La décision du PFPDT du 16 mars 2018 est confirmée. L'accès aux documents (Dossier A du PFPDT) est accordé conformément à la décision attaquée, sous réserve du noircissement d'un nombre de la ligne 6 p. 2 de la note du PFPDT du 10 janvier 2018.
Sont également mal fondées les conclusions visant la destruction des documents (cf. également consid. 5.4 ci-avant), conclusions sur lesquelles le Tribunal peut décider dans le présent arrêt, nonobstant les intentions manifestées en début d'instruction ; en effet, compte tenu des éléments apportés par l'instruction du recours, un traitement séparé des conclusions des recourantes ne se justifie plus.
12.2 Conformément à l'art. 63 al. 1 PA, les frais de procédure sont mis à la charge de la partie qui succombe. Vu l'issue de la procédure - l'admission très partielle du recours résulte du fait du Tribunal et non pas des recourantes - il y a lieu de mettre les frais de procédure à la charge des recourantes. Les frais de procédure sont fixés à 3'000 francs. Ceux-ci sont prélevés sur l'avance de frais du même montant versée par les recourantes le 25 mai 2018.
12.3 L'autorité de recours peut allouer, d'office ou sur requête, à la partie ayant entièrement ou partiellement gain de cause une indemnité pour les frais indispensables et relativement élevés qui lui ont été occasionnés (art. 64 al. 1 PA et art. 7 al. 3 du règlement concernant les frais, dépens et indemnités fixés par le Tribunal administratif fédéral du 21 février 2008 (FITAF, RS 173.320.2).
Dans le cas d'espèce, l'intimée était représentée par un mandataire professionnel qui n'a pas produit de note de frais. Le Tribunal statuera donc sur la base du dossier et attribuera une indemnité de dépens de 2'000 francs à l'intimée, à charge des recourantes.
(dispositif à la page suivante)
Le recours est très partiellement admis au sens du considérant 8.3 et rejeté pour le surplus.
Les frais de procédure de 3'000 francs sont mis à la charge des recourantes. Ce montant est prélevé sur l'avance de frais du même montant versée par les recourantes le 25 mai 2018.
Une indemnité de dépens, de 2'000 francs, est octroyée à l'intimée, à charge des recourantes.
Le présent arrêt est adressé :
aux recourantes (acte judiciaire)
à l'intimée (acte judiciaire)
à l'autorité inférieure (n° de réf. A2018.03.15-0003 ; recommandé)
L'indication des voies de droit se trouve à la page suivante.
La présidente du collège : Le greffier : Claudia Pasqualetto Péquignot Arnaud Verdon
Indication des voies de droit :
La présente décision peut être attaquée devant le Tribunal fédéral, 1000 Lausanne 14, par la voie du recours en matière de droit public, dans les trente jours qui suivent la notification (art. 82 ss, 90 ss et 100 LTF). Ce délai est réputé observé si les mémoires sont remis au plus tard le dernier jour du délai, soit au Tribunal fédéral soit, à l'attention de ce dernier, à La Poste Suisse ou à une représentation diplomatique ou consulaire suisse (art. 48 al. 1 LTF). Le mémoire doit être rédigé dans une langue officielle, indiquer les conclusions, les motifs et les moyens de preuve, et être signé. La décision attaquée et les moyens de preuve doivent être joints au mémoire, pour autant qu'ils soient en mains de la partie recourante (art. 42 LTF).
Expédition :