Tribunal Administratif de Lyon — Décision N° TA69-2406783

Vu la procédure suivante :

Par une requête et des mémoires, enregistrés le 10 juillet et les 23 et 27 septembre 2024, la communauté de communes de la Côtière, représentée par Me Lalanne, demande au juge des référés, sur le fondement de l'article L. 521-3 du code de justice administrative :

1°) d'enjoindre à la société One System, dans un délai de huit jours à compter de l'ordonnance à intervenir et sous astreinte de 500 euros par jour de retard, de lui communiquer de manière sécurisée les données suivantes, adossés aux marchés publics résiliés :

- login/mot de passe du compte administrateur de la console Office 365 relatif au contrat iX365 by Microsoft ;

- mot de passe administrateur de la console de gestion du nom de domaine relatif au contrat iNDD by OVH et/ou un identifiant et un mot de passe lui permettant d'accéder à une console propre avec des droits administrateurs ; à titre subsidiaire, dans l'hypothèse où la solution précédente ne serait pas possible, de lui transmettre le code permettant de transférer la gestion du domaine (code AUTH) dans une autre console d'administration qui lui serait propre ;

- mot de passe de désinstallation de l'antivirus relatif au contrat iANTIVIRUS by Kaspersky, ou à défaut, que la société One System communique un process clair et précis permettant d'assurer la coordination avec la société FMI en vue de la désinstallation de l'antivirus ;

2°) de mettre à la charge de la société One System la somme de 3 000 euros au titre de l'article L. 761-1 du code de justice administrative.

Elle soutient que :

- la condition d'urgence est remplie, dès lors qu'elle a résilié tous les contrats passés avec la société One System et que celle-ci persiste à ne pas lui transmettre les mots de passes et informations lui permettant de gérer son système d'information ;

- les mesures demandés sont utiles et doivent permettre à la société FMI, responsable de l'infogérance, d'accéder aux services de Microsoft 365, permettant la gestion des applications métiers et de la messagerie de la collectivité, aux services du logiciel antivirus installé, et au service de gestion du nom de domaine ;

- ces mots de passe administrateurs sont dus par la société One System en vertu de son obligation contractuelle et auraient dû être transmis par cette société.

Par un mémoire en défense enregistré le 16 septembre 2024, la société One System, représentée par Me Apelbaum, conclut au rejet de la requête et à ce que la somme de 3 000 euros soit mise à la charge de la communauté de communes de la Côtière sur le fondement de l'article L. 761-1 du code de justice administrative.

Elle fait valoir que :

- aucun manquement contractuel ne justifiait la résiliation notifiée par courrier du 15 mai 2024 ;

- les mesures demandées ne sont pas utiles : aucune obligation contractuelle ne lui impose de communiquer les éléments demandés ; les mesures demandées n'ont aucun sens d'un point de vue opérationnel et concret.

Vu :

- le code de justice administrative ;

Vu la décision par laquelle la présidente du tribunal a désigné M. Bertolo, premier conseiller, pour statuer sur les demandes de référé.

Les parties ont été régulièrement averties du jour de l'audience.

Au cours de l'audience publique tenue en présence de Mme Lecas, greffière d'audience, M. Bertolo a lu son rapport et entendu :

- les observations de Me Migazzi, représentant la communauté de communes de la Côtière, qui rappelle tout d'abord l'urgence de la situation, en indiquant que la société One System a fait preuve d'un mauvais vouloir en imposant des process non fondés depuis les décisions de résiliation, qu'il existe un risque pour la continuité du service public, dès lors que la collectivité n'a plus la maîtrise sur certains logiciels métiers et que le nouveau titulaire du contrat d'infogérance ne peut pas accéder aux logiciels. Elle indique également que les demandes sont utiles, eu égard à la nécessaire continuité du service public, que les éventuelles fautes des parties n'ont aucune incidence sur le présent litige, que la communauté de communes a fait l'acquisition des logiciels et des licences et demeure donc propriétaire des mots de passe et des données. Elle précise, en ce qui concerne la demande concernant Office 365, que la collectivité est propriétaire du TENANT et qu'elle ne souhaite pas en changer, mais veut pouvoir le gérer et y accéder en toute autonomie ; s'agissant la gestion du nom de domaine, elle rappelle que la collectivité est propriétaire du nom de domaine ; s'agissant de la solution antivirus, elle a fait l'acquisition de la solution logicielle et doit disposer des mots de passe ;

- les observations de M. A, gérant de la société One System, qui conclut au rejet de la requête, à titre reconventionnel à ce que les décisions de résiliation soient considérées comme non avenues et que la collectivité règle les factures qu'elle doit, enfin qu'un expert judiciaire soit nommé en ce qui concerne la possibilité d'une résiliation aux frais de la collectivité ; il rappelle que les contrats signés ne prévoient pas de cogestion, et que la communauté de communes n'a pas fait l'acquisition de logiciels, mais a souscrit à des services que la société One System luit fournit, en lien avec les éditeurs de logiciels ; il précise qu'il n'est pas possible de communiquer un mot de passe d'accès, dès lors que la gestion des logiciels se fait par le biais de consoles mutualisées de gestion mises à disposition par les éditeurs, consoles qui permettent de gérer l'ensemble des clients de One System, et qu'il n'est donc pas possible d'autoriser la collectivité à accéder à cette console mutualisée ; il expose les raisons pour lesquelles les décisions de résiliation prises par la collectivité ne sont pas fondées, et rappelle que la collectivité a pris des engagements sur plusieurs mois et que c'est la société One System qui va devoir supporter les frais des abonnements souscrits ; s'agissant de la gestion du nom de domaine, il souligne que le contrat n'a pas été résilié, qu'une plateforme de gestion mutualisée est mise à disposition par la société OVH avec l'ensemble des clients One System, et qu'il est seulement envisageable de transférer la gestion du nom de domaine dans une autre console d'administration propre à la collectivité ; s'agissant de la solution antivirus, il indique que la collectivité a seulement fait l'acquisition d'un droit d'usage, et que la désinstallation de la solution est possible en quelques secondes, mais que cette démarche doit être faite avec la collectivité et le nouveau titulaire du contrat d'infogérance ; s'agissant d'office 365, la gestion se fait également via une plateforme mutualisée, et il est possible de créer un compte administrateur provisoire.

Les parties ont été informées, à l'issue de l'audience, qu'en application de l'article R. 522-8 du code de justice administrative, la clôture de l'instruction a été reportée au 30 septembre 2024 à 10 heures.

Considérant ce qui suit :

1. Aux termes de l'article L. 521-3 du code de justice administrative : " En cas d'urgence et sur simple requête qui sera recevable même en l'absence de décision administrative préalable, le juge des référés peut ordonner toutes autres mesures utiles sans faire obstacle à l'exécution d'aucune décision administrative. ". Saisi sur le fondement de cet article L. 521-3 d'une demande qui n'est pas manifestement insusceptible de se rattacher à un litige relevant de la compétence du juge administratif, le juge des référés peut prescrire, à des fins conservatoires ou à titre provisoire, toutes mesures que l'urgence justifie, notamment sous forme d'injonctions adressées à l'administration, à la condition que ces mesures soient utiles et ne se heurtent à aucune contestation sérieuse. En raison du caractère subsidiaire du référé régi par les dispositions de l'article L. 521-3, le juge saisi sur ce fondement ne peut prescrire les mesures qui lui sont demandées lorsque leurs effets pourraient être obtenus par les procédures de référé régies par les articles L. 521-1 et L 521-2. Enfin, il ne saurait faire obstacle à l'exécution d'une décision administrative, même celle refusant la mesure demandée, à moins qu'il ne s'agisse de prévenir un péril grave.

Sur les demandes de la communauté de communes de la Côtière :

2. En premier lieu, la communauté de communes de la Côtière demande au juge des référés d'enjoindre à la société One system de lui communiquer le mot de passe administrateur de la console de gestion du nom de domaine relatif au contrat iNDD by OVH et/ou un identifiant et un mot de passe lui permettant d'accéder à une console propre avec des droits administrateurs et à titre subsidiaire, dans l'hypothèse où la solution précédente ne serait pas techniquement possible, de lui transmettre le code permettant de transférer la gestion du domaine (code AUTH) dans une autre console d'administration qui lui serait propre. Toutefois, et contrairement à ce qu'elle soutient, le contrat iSERVICES n°1233 qu'elle a conclu le 16 avril 2018 avec la société One System n'a pas fait l'objet d'une résiliation par courrier du 15 mai 2024. En outre, alors qu'elle a confié la gestion de ce service à la société One System, elle n'établit pas que sa demande ne pourrait pas se régler dans le cadre de sa relation contractuelle avec la société One System, celle-ci ayant indiqué dans son courrier électronique du 27 octobre 2023 adressé à M. B qu'elle était en mesure de transmettre le login et le mot de passe administrateur du domaine, sous réserve du paiement de cette prestation. Par suite, et quand bien même elle serait propriétaire du nom de domaine, sa demande se heurte à une contestation sérieuse et doit être rejetée.

3. En deuxième lieu, la communauté de communes requérante demande au juge des référés d'enjoindre à la société One System de lui communiquer le login/mot de passe du compte administrateur de la console Office 365 relatif au contrat iX365 by Microsoft. Il résulte de l'instruction, d'une part, que la collectivité requérante a fait l'acquisition en février 2020 puis en janvier 2021 d'offres iOFFICE365BP by Microsoft par l'intermédiaire de la société One System, et que cette acquisition comprenait la fourniture des licences, et d'autre part, que par courrier du 15 mai 2024, la collectivité a résilié le contrat iX365 by Microsoft à compter du 1er juillet 2024. Il en résulte que depuis cette date, et faute de transmission du login/mot de passe et de transfert des données, la société One System gère sans fondement contractuel ce service pour le compte de la collectivité, la circonstance que la société One System conteste la régularité de la résiliation étant sans incidence sur le présent litige. Eu égard à la situation de blocage provoquée par le refus de la société One System et aux risques d'atteinte à la continuité du service public, qui caractérisent une situation d'urgence, il y a lieu d'enjoindre à la société One System de transmettre à la communauté de communes de la Côtière le login et mot de passe lui permettant d'accéder et de gérer de manière autonome la console Office 365 relative à ses contrats, le cas échéant en mettant en place, à ses frais, une solution provisoire permettant à la collectivité de disposer d'une gestion autonome et sécurisée des services existant et de ses données. Il y a lieu d'enjoindre à la société One System d'y procéder dans un délai de dix jours, sous astreinte de 100 euros par jour de retard passé la notification de la présente ordonnance.

4. En dernier lieu, la communauté de communes requérante demande au juge des référés d'enjoindre à la société One System de lui communiquer le mot de passe de désinstallation de l'antivirus relatif au contrat iANTIVIRUS by Kaspersky, ou à défaut, que la société One System communique un process clair et précis permettant d'assurer la coordination avec la société FMI en vue de la désinstallation de cet antivirus. Il résulte de l'instruction, d'une part, que la collectivité requérante a souscrit le 1er janvier 2018 un contrat de services n°1268 iANTIVIRUS By Kaspersky auprès de la société One System lui permettant de bénéficier de ce service, et d'autre part qu'elle a procédé à la résiliation de ce contrat par courrier du 15 mai 2024. Il en résulte que depuis le 1er juillet 2024, et faute d'accord entre les parties, la société One System gère sans fondement contractuel ce service pour le compte de la collectivité, la circonstance que la société One System conteste la régularité de la résiliation étant sans incidence sur le présent litige. La société One System a indiqué que le service en cause, qui s'apparente à un droit d'usage, était fourni par le biais d'une plateforme mutualisée fournie par l'éditeur, ce qui résulte suffisamment des pièces versées au dossier, et qu'il n'était donc pas possible de transmettre à la collectivité le mot de passe de cette plateforme. La demande présentée à titre principal par la collectivité requérante se heurte donc à une contestation sérieuse et ne peut qu'être rejetée. Toutefois, la société One System a également indiqué au cours de l'audience que la désinstallation de l'antivirus sur l'ensemble des postes de la collectivité était une opération simple, qui pouvait se faire à distance sans intervention physique dans les locaux de la collectivité, mais qu'il était préférable qu'une coordination soit réalisée avec la société responsable de l'infogérance. Eu égard à la situation de blocage provoquée par le refus de la société One System, en dépit de la résiliation du contrat, et aux risques d'atteinte à la continuité du service public, qui caractérisent une situation d'urgence, il y a lieu d'enjoindre à la société One System de communiquer à la collectivité requérante les modalités de désinstallation de cet antivirus sur l'ensemble des postes de la collectivité, ces modalités devant nécessairement associer la collectivité et la société responsable de l'infogérance et permettre à la collectivité de maintenir l'intégrité de ses services et données, ainsi qu'une date envisageable pour cette opération, qui devra avoir lieu avant le 20 octobre 2024. Il y a lieu d'enjoindre à la société One System d'y procéder dans un délai de dix jours, sous astreinte de 100 euros par jour de retard passé la notification de la présente ordonnance.

Sur les demandes reconventionnelles de la société One System :

5. La société One System demande à titre reconventionnel que les décisions de résiliation des contrats soient considérées comme non avenues et que la collectivité règle les factures qu'elle doit, enfin qu'un expert judiciaire soit nommé en ce qui concerne la possibilité d'une résiliation aux frais de la collectivité. Ces demandes sont toutefois étrangères aux mesures qui peuvent être ordonnées par le juge des référés statuant en application de l'article L. 521-3 du code de justice administrative, et ne peuvent donc qu'être rejetées.

Sur les frais liés au litige :

6. Dans les circonstances de l'espèce, il n'y a pas lieu de faire droit aux conclusions présentées par les parties sur le fondement de l'article L. 761-1 du code de justice administrative.

ORDONNE :

Article 1er : Il est enjoint à la société One System, dans un délai de dix jours passé la notification de la présente ordonnance et sous astreinte de 100 euros par jour de retard :

- de transmettre à la communauté de communes de la Côtière le login et mot de passe lui permettant d'accéder et de gérer de manière autonome la console Office 365 relative à ses contrats, le cas échéant en mettant en place, à ses frais, une solution provisoire permettant à la collectivité de disposer d'une gestion autonome et sécurisée des services existant et de ses données ;

- de communiquer à la collectivité requérante les modalités de désinstallation de l'antivirus Kaspersky sur l'ensemble des postes de la collectivité, ces modalités devant nécessairement associer la collectivité et la société responsable de l'infogérance et permettre à la collectivité de maintenir l'intégrité de ses services et données, ainsi qu'une date envisageable pour cette opération, qui devra avoir lieu avant le 20 octobre 2024.

Article 2 : Le surplus des conclusions des parties est rejeté.

Article 3 : La présente ordonnance sera notifiée à la communauté de communes de la Côtière et à la société One System.

Fait à Lyon, le 3 octobre 2024.

Le juge des référés,La greffière,

C. BertoloS. Lecas

La République mande et ordonne à la préfète de l'Ain en ce qui la concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l'exécution de la présente décision.

Pour expédition,

Un greffier,