Vu la procédure suivante :

Par une requête et un mémoire, enregistrés les 11 octobre 2022 et 25 mars 2024, la commune d’Antony, représentée par M^e Fayat, demande au tribunal, dans le dernier état de ses écritures :

1°) de condamner solidairement la société SEMERU et la SELARL ASTEREN, en sa qualité de liquidateur judiciaire de la société Quonex IDF, à lui verser la somme de 55 924,93 euros en réparation des préjudices qu’elle a subis du fait du piratage de son réseau téléphonique survenu entre le 13 et le 18 mai 2015 ;

2°) de mettre à la charge solidaire de la société SEMERU et de la SELARL ASTEREN, la somme de 3 000 euros au titre de l’article L. 761-1 du code de justice administrative.

Elle soutient que :

- sa requête est recevable ;

- la responsabilité contractuelle des sociétés mise en cause est engagée à son égard ; en effet, selon le rapport de l’expert judiciaire, la société SEMERU, titulaire du contrat de maintenance jusqu’au 28 février 2015, a été défaillante dans son obligation de conseil de la ville pour sécuriser le PABX, dispositif permettant de relier les postes téléphoniques d’un établissement avec le réseau téléphonique public, de sorte que ce PABX est resté vulnérable pendant plusieurs années, alors qu’en matière de contrats informatiques, une obligation de conseil et de mise en garde pèse sur l’installateur ; par ailleurs, après l’expiration de son marché, la société SEMERU a transmis la liste des mots de passe du système, dont la plupart étaient par défaut, renforçant ainsi la vulnérabilité du système ; enfin, si la société SEMERU affirme qu’elle n’était plus en charge de la maintenance des installations lorsque le piratage est survenu, la société Quonex IDF étant en charge desdites installations, l’incident de sécurité a toutefois eu lieu juste après l’expiration de son contrat et a pour origine les vulnérabilités graves que cette dernière a créé et laissé perdurer ; sa responsabilité est donc engagée ; la société Quonex IDF a également commis des fautes contractuelles ; l’expert a pointé dans son rapport que les techniciens de cette société semblaient insuffisamment formés ; elle a par ailleurs omis d’effectuer un audit technique et de sécurité du PABX, ce qui constitue, selon l’expert, « une très mauvaise pratique » ; elle n’a pas non plus mis en œuvre les recommandations de sécurité relatives à la longueur des mots de passe, son intervention le 15 mai 2015 pour tenter de résoudre le piratage ayant enfin été inefficace, cette inefficacité ayant permis au piratage de perdurer, lequel n’a pris fin qu’à l’initiative des pirates qui ont cessé l’attaque ; enfin, la société Quonex IDF s’est abstenue de transmettre à la ville un rapport de l’audit du PABX, réalisé postérieurement au piratage, alors même que ce rapport mentionnait de nombreuses vulnérabilités du système et formulait des recommandations pour les résoudre ;

- elle doit ainsi être indemnisée de ses différents préjudices imputables aux deux co-auteurs ;

- elle a été contrainte de régler la somme de 26 594,78 euros toutes taxes comprises (TTC) à son conseil juridique, au titre des différentes procédures lancées devant plusieurs juridictions dans le cadre de cette affaire ; elle doit ainsi être indemnisée à ce titre ;

- elle a également été contrainte de faire appel à un expert technique, ce qui l’a amenée à assumer des frais d’assistance dans le cadre au cours des opérations d’expertise ; l’intervention de cet expert était nécessaire compte tenu de la technicité de l’expertise judiciaire et à défaut pour elle de disposer des compétences en interne ; les honoraires de cet expert se sont élevés à la somme de 4 200 euros TTC, qui doit donner lieu à indemnisation ;

- la survenance du piratage ainsi que la tenue des opérations d’expertise ont engendré pour elle une désorganisation interne importante et un surcroît de travail pour les agents, ce préjudice devant être indemnisé à hauteur de 2 000 euros, dont 683,60 euros au titre des 20 heures de travail supplémentaires effectuées par le directeur des systèmes d’information pour traiter ce dossier ;

- les frais d’expertise, lesquels s’élèvent à un total de 23 130,15 euros TTC, doivent être mis à la charge solidaire des sociétés défenderesses.

Par un mémoire en défense enregistré le 10 novembre 2023, la société SEMERU, représentée par M^e Lafoy, conclut au rejet de la requête et à ce qu’une somme de 3 500 euros soit mise à la charge de la commune d’Antony au titre de l’article L. 761-1 du code de justice administrative.

Elle fait valoir que :

- à titre principal, la requête est irrecevable au regard des dispositions de l’article 1355 du code civil, dès lors que, par un jugement en date du 3 décembre 2019, le tribunal administratif de Montreuil a réduit le montant des frais d’expertise à la somme totale de 23 130,15 euros TTC et a confirmé que ces frais étaient à la charge de la commune d’Antony, laquelle n’a pas interjeté appel de ce jugement, qui est donc définitif ; ainsi, celle-ci n’est pas recevable à lui demander le paiement de ces frais d’expertise ;

- à titre subsidiaire, sa responsabilité contractuelle n’est pas engagée ; en effet, son contrat avec la commune d’Antony a pris fin le 28 février 2015, soit avant le piratage survenu au mois de mai 2015 ; or, aucun incident ne s’est produit lorsqu’elle était titulaire du contrat ; elle ne peut donc se voir reprocher le dysfonctionnement d’un système qui était parfaitement opérationnel lorsqu’elle était en charge de son entretien ; la société Quonex IDF était seule en charge de sa maintenance au moment du piratage ; l’expert judiciaire pointe dans ses conclusions la responsabilité de la société Quonex IDF, en charge de la maintenance du système au moment du piratage.

Par un mémoire en défense enregistré le 9 janvier 2024, la SELARL ASTEREN, agissant en qualité de liquidateur judiciaire de la société Quonex IDF, représentée par la SCP Hyest et associés, conclut au rejet de la requête et à ce qu’une somme de 3 000 euros soit mise à la charge de la commune d’Antony au titre de l’article L. 761-1 du code de justice administrative.

Elle fait valoir que :

- à titre principal, la requête est irrecevable, dès lors que, par jugement du 4 décembre 2017, le tribunal de commerce de Bobigny a ouvert une procédure de redressement judiciaire à l’égard de la société Quonex IDF, ce même tribunal ayant par la suite converti la procédure en liquidation judiciaire ; dès lors, en application des dispositions de l’article L. 622-7 du code de commerce, le jugement d’ouverture d’une procédure de redressement judiciaire emporte de plein droit interdiction de payer toute créance antérieure ; dans ces conditions, les créances dont se prévaut la commune d’Antony étant nées avant la survenance du jugement portant redressement judiciaire, celle-ci, en application du principe du gel des dettes antérieures, est irrecevable à en demander le paiement ; cette requête est également irrecevable au regard des dispositions de l’article 1355 du code civil, dès lors que, par un jugement en date du 3 décembre 2019, le tribunal administratif de Montreuil a réduit le montant des frais d’expertise à la somme totale de 23 130, 15 euros TTC et a confirmé que ces frais étaient mis à la charge de la commune d’Antony, laquelle n’a pas interjeté appel de ce jugement, qui est donc définitif ; ainsi, celle-ci n’est pas recevable à lui demander le paiement de ces frais d’expertise ;

- à titre subsidiaire, la commune requérante n’apporte pas la preuve d’une responsabilité tangible de la société Quonex IDF, qui n’est intervenue que durant deux mois alors que l’autre société mise en cause a exécuté le contrat de maintenance pendant trente-huit mois.

Vu les autres pièces du dossier.

Vu :

- le code de commerce ;

- le code des marchés publics ;

- le code de justice administrative.

Les parties ont été régulièrement averties du jour de l’audience.

Ont été entendus au cours de l’audience publique du 29 janvier 2025, à 10 heures :

- le rapport de M. Templier,

- les conclusions de M^me Fabas, rapporteure publique ;

- les observations de M^e Phan, substituant M^e Fayat, représentant la commune d’Antony ;

- et les observations de M^e Lafoy, représentant la société SEMERU.

Considérant ce qui suit :

La commune d’Antony a conclu avec la société Orange un marché de fourniture de services de communications électroniques le 25 septembre 2013. Elle a chargé la société Semeru, anciennement dénommée Multiphone, de la maintenance des équipements téléphoniques jusqu’au 28 février 2015. Le 24 mars 2015, la commune d’Antony a conclu avec la société Eiffage, aux droits de laquelle est intervenue la société Quonex IDF, un contrat d’entretien des installations téléphoniques des immeubles communaux. Du 14 au 18 mai 2015, le « private Automatic Branch eXchange » (PABX) de la commune d’Antony a fait l’objet d’un piratage. A la fin de l’incident, la société Orange a adressé à la commune d’Antony deux factures en date du 3 juin 2015 pour ces communications, d’un montant respectif de 8 009,29 euros et 49 530,92 euros. Par une ordonnance n°1611783 du 16 juin 2017 rendue sur la demande de la commune d’Antony, le tribunal administratif de Cergy-Pontoise a ordonné une expertise ayant pour objet de donner tous éléments permettant de déterminer les causes du piratage dont les installations téléphoniques de la commune d’Antony ont fait l’objet au mois de mai 2015 et les conditions dans lesquelles il y a été mis fin. L’expert a déposé son rapport le 27 août 2017, au contradictoire, notamment, de la société Orange, de la société SEMERU, de la société Quonex IDF. Par un jugement n° 1906053 du 27 janvier 2022, devenu définitif, le tribunal administratif de Cergy-Pontoise a rejeté la requête de la société Orange tendant à la condamnation de la commune d’Antony à lui verser la somme de 57 540,20 euros au titre des deux factures impayées. Par la présente requête, la commune d’Antony demande au tribunal de condamner solidairement la société SEMERU et la SELARL ASTEREN, prise en sa qualité de liquidateur judiciaire de la société Quonex IDF à lui verser la somme totale de 55 924,93 euros en réparation des préjudices résultant du piratage de son réseau téléphonique survenu entre le 13 et le 18 mai 2015.

Sur les fins de non-recevoir :

En premier lieu, si les dispositions des articles L. 621-40 et suivants du code de commerce réservent à l’autorité judiciaire la détermination des modalités de règlement des créances sur les entreprises en état de redressement, puis de liquidation judiciaire, il appartient au juge administratif d’examiner si la collectivité publique a droit à réparation et de fixer le montant des indemnités qui lui sont dues à ce titre par l’entreprise défaillante ou son liquidateur, soit à titre définitif, soit à titre provisionnel, sans préjudice des suites que la procédure judiciaire est susceptible d’avoir sur le recouvrement de cette créance.

Il résulte de ce qui a été dit au point précédent que la SELARL ASTEREN ne peut utilement opposer à la commune d’Antony le non-respect des règles prévues par le code de commerce, qui n’ont pas d’incidence sur la responsabilité encourue par la société Quonex IDF, concernant les créances détenues à l’encontre d’entreprises placées en redressement judiciaire ou en liquidation judiciaire.

En second lieu, aux termes de l’article R. 621-13 du code de justice administrative : « Lorsque l’expertise a été ordonnée sur le fondement du titre III du livre V, le président du tribunal ou de la cour, après consultation, le cas échéant, du magistrat délégué, ou, au Conseil d’Etat, le président de la section du contentieux en fixe les frais et honoraires par une ordonnance prise conformément aux dispositions des articles R. 621-11 et R. 761-4. Ces frais et honoraires sont, en principe, mis à la charge de la partie qui a demandé le prononcé de la mesure d’expertise. Toutefois, pour des raisons d’équité, ils peuvent être mis à la charge d’une autre partie ou partagés entre les parties. L’ordonnance est exécutoire dès son prononcé, et peut être recouvrée contre les personnes privées ou publiques par les voies de droit commun. Elle peut faire l’objet, dans le délai d’un mois à compter de sa notification, du recours prévu à l’article R. 761-5. Dans le cas où les frais d’expertise mentionnés à l’alinéa précédent sont compris dans les dépens d’une instance principale, la formation de jugement statuant sur cette instance peut décider que la charge définitive de ces frais incombe à une partie autre que celle qui a été désignée par l’ordonnance mentionnée à l’alinéa précédent ou par le jugement rendu sur un recours dirigé contre cette ordonnance. Dans les cas mentionnés au premier alinéa, il peut être fait application des dispositions des articles R. 621-12 et R. 621-12-1. ».

Si les sociétés défenderesses font valoir que les conclusions relatives au paiement des frais d’expertise seraient irrecevables du fait de l’autorité de la chose jugée, le tribunal administratif de Montreuil ayant jugé le 17 décembre 2019, par un jugement non frappé d’appel, que ces frais devaient être mis à la charge de la commune d’Antony, il résulte des dispositions précitées de l’article R. 621-13 du code de justice administrative que, dans le cas où les frais d’expertise sont compris dans les dépens d’une instance principale, la formation de jugement statuant sur cette instance principale peut décider que la charge définitive de ces frais incombe à une partie autre que celle qui a été désignée par le jugement ayant statué sur un recours dirigé contre l’ordonnance de taxation des frais. Ainsi, les fins de non-recevoir opposées à ce titre ne peuvent qu’être écartées.

Sur la responsabilité contractuelle de la société SEMERU :

Il résulte de l’instruction, et notamment des conclusions de l’expert judiciaire, que la société SEMERU a fait preuve d’un manque de vigilance caractérisé en ne prêtant pas attention à la sécurité des mots de passe, ceux-ci, composés uniquement de quatre chiffres, étant aisés à pirater. Elle n’avait par ailleurs pas procédé au changement des mots de passe, ce qui constitue « une pratique extrêmement dangereuse en ce qui concerne la sécurité du PABX », ces mots de passe facilement piratables étant toujours selon l’expert une source de vulnérabilité ayant rendu le piratage « facile et possible ». La société SEMERU n’a également pas été en mesure d’apporter la preuve qu’elle avait conseillé à la commune d’Antony de commander une prestation de mise en sécurité du PABX, de sorte que l’entreprise a manqué à son devoir de conseil envers l’administration. L’expert conclut en affirmant qu’il existe « un lien de causalité directe et certain entre le défaut de conseil de la société SEMERU et l’état vulnérable du PABX qui a rendu le piratage possible ». Si la société SEMERU fait valoir en défense qu’elle n’était plus titulaire du contrat de maintenance depuis le 28 février 2015 et qu’elle ne peut être tenue responsable d’un piratage survenu au cours du mois de mai 2015, il n’en demeure pas moins qu’elle est directement à l’origine de faits ayant rendu ce piratage possible, du fait notamment de l’absence de sécurisation des mots de passe, de sorte que sa responsabilité est engagée à raison d’une faute caractérisée, quand bien même ce piratage a eu lieu à une date où elle n’était effectivement plus titulaire du contrat de maintenance.

Sur la responsabilité contractuelle de la société Quonex IDF :

Si la SELARL ASTEREN, prise en sa qualité de liquidateur judiciaire de la société Quonex IDF, fait valoir en défense que la commune d’Antony n’apporterait pas la preuve de sa responsabilité dans la survenance du piratage téléphonique au cours du mois de mai 2015, il résulte toutefois de l’instruction, et notamment des résultats de l’expertise judiciaire, qui ne sont pas sérieusement contestés, que la société Quonex IDF n’a pas transmis à la commune d’Antony le rapport de l’audit du PABX peu après le piratage, rapport daté du 10 juin 2015, alors que ce rapport mentionnait de nombreuses vulnérabilités, de sorte que la société a manqué à son devoir de conseil envers la commune. La société Quonex IDF a également manqué à son obligation de conseil envers la commune d’Antony en omettant de lui suggérer, après le piratage, une fois le rapport de l’audit du PABX rédigé, de procéder à un renforcement de la sécurisation du PABX. Par ailleurs, l’entreprise n’a pas planifié d’audit initial du PABX alors qu’elle savait que le marché allait lui être attribué, les bonnes pratiques n’ayant pas été respectées en termes de « formation des techniciens sur le matériel ALE ». L’intervention des techniciens de la société Quonex IDF pour faire cesser le piratage s’est également révélée « inefficace » selon l’expert judiciaire, le piratage ayant cessé du fait de l’initiative des pirates eux-mêmes le 19 mai 2015. L’expert a estimé, sans que la société ne le conteste utilement dans ses écritures, qu’un audit initial aurait rapidement sécurisé le PABX, ce qui n’a pas été le cas. Dès lors qu’au vu de ce qui précède, il existe un lien de causalité direct et certain entre l’absence de l’audit initial par Quonex IDF et l’état vulnérable du PABX qui a rendu le piratage réalisable, les fautes commises par la société SEMERU engagent sa responsabilité contractuelle à l’égard de la commune d’Antony.

Il résulte de ce qui précède que, compte tenu de ce que les fautes commises respectivement par la société SEMERU et la société Quonex IDF ont concouru à la survenance des dommages subis par la commune d’Antony à raison des faits de piratage dont elle a été victime, ces deux entreprises doivent être déclarées solidairement responsables de ces dommages.

Sur les préjudices et la réparation :

En premier lieu, aux termes de l’article L. 761-1 du code de justice administrative : « Dans toutes les instances, le juge condamne la partie tenue aux dépens ou, à défaut, la partie perdante, à payer à l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens (…). ». Les frais de justice exposés devant le juge administratif en conséquence directe d’une faute de l’administration sont susceptibles d’être pris en compte dans le préjudice résultant de la faute imputable à celle-ci. Toutefois, lorsque l’intéressé avait qualité de partie à l’instance, la part de son préjudice correspondant à des frais non compris dans les dépens est réputée intégralement réparée par la décision que prend le juge dans l’instance en cause.

Les frais supportés par une partie pour l’assistance d’un tiers, notamment d’un avocat, durant les opérations d’une expertise tendant à déterminer les causes et l’étendue d’un dommage sont susceptibles d’être pris en compte dans le préjudice résultant de ce dommage dont l’indemnisation est due par la ou les personnes qui en sont reconnues responsables. Toutefois, lorsque l’expertise a été ordonnée par le juge administratif, y compris avant l’introduction de l’instance au fond sur le fondement des dispositions de l’article R. 532-1 du code de justice administrative, et que l’intéressé a la qualité de partie à l’instance au fond, les frais exposés à ce titre ne peuvent être remboursés que par la somme le cas échéant allouée à cette partie au titre de l’article L. 761-1 du même code dans cette même instance au fond. Il appartient au juge, le cas échéant, d’en tenir compte dans le montant de la somme allouée à ce titre.

Si la commune d’Antony fait valoir qu’elle doit être indemnisée à hauteur de 26 594,78 euros TTC au titre des honoraires qu’elle a été contrainte de débourser pour payer son conseil juridique du fait des nombreuses procédures judiciaires ayant suivi le piratage au mois de mai 2015, il résulte de l’instruction que la commune a la qualité de partie dans le cadre de la présente instance au fond. Dès lors, les frais qu’elle a été contrainte de supporter pour l’assistance d’un avocat, notamment pour l’expertise, qui a été ordonnée par le président du tribunal administratif de Cergy-Pontoise en application des dispositions de l’article R. 532-1 du code de justice administrative, ne peuvent être remboursés que par la somme le cas échéant allouée au titre de l’article L. 761-1 du même code. Dans ces conditions, la demande d’indemnisation présentée par la commune à ce titre, qui ne saurait être admise, doit être prise en compte au titre des dispositions de l’article L. 761-1 du code de justice administrative.

En deuxième lieu, il résulte de l’instruction que, pour accompagner ses services dans le cadre de l’expertise judiciaire, la commune d’Antony a été amenée à faire appel à un expert technique. Eu égard à l’objet et à la complexité de l’expertise, les dépenses correspondantes, d’un montant de 4 200 euros, qui n’apparaît pas disproportionné au regard des opérations menées par l’expert judiciaire, doivent être regardées comme utiles et directement liées à la survenance des dommages dont il s’agit. Dès lors, il y a lieu de retenir comme indemnisable le préjudice correspondant, d’un montant de 4 200 euros.

En dernier lieu, il résulte de l’instruction, et notamment d’une attestation rédigée par le maire de la commune d’Antony le 5 mars 2024, qui n’est pas utilement contestée, que le piratage et ses conséquences ont occasionné, pour le directeur des systèmes d’information de la commune, une surcharge de travail de 20 heures, le taux horaire de cet agent s’élevant à 34,18 euros, soit un total de 683,60 euros. Le préjudice financier en résultant qui trouve son origine directe dans les dommages en cause, est réparable. En revanche, si la commune requérante se prévaut par ailleurs d’une désorganisation générale de ses services, elle n’établit pas la réalité même de ce chef de préjudice par les pièces produites.

Il résulte de ce qui précède que la société SEMERU et la SELARL ASTEREN, prise en sa qualité de liquidateur judiciaire de la société Quonex IDF, doivent être solidairement condamnées à verser à la commune d’Antony la somme de 4 883,60 euros.

Sur la charge définitive des dépens :

Il y a lieu, dans les circonstances de l’espèce et en application des dispositions de l’article R. 761-1 du code de justice administrative, de mettre les frais de l’expertise, liquidés et taxés à la somme de 26 489,15 euros TTC par une ordonnance du 7 février 2019 et ramenés par un jugement du tribunal administratif de Montreuil du 17 décembre 2019 à la somme de 23 130,15 euros TTC, à la charge définitive et solidaire de la société SEMERU et de la SELARL, prise en sa qualité de liquidateur judiciaire de la société Quonex IDF.

Sur les frais liés au litige :

Les dispositions de l’article L. 761-1 du code de justice administrative font obstacle à ce qu’une somme soit mise à la charge de la commune d’Antony qui n’est pas, dans la présente instance, la partie perdante. En revanche, Il y a lieu, dans les circonstances de l’espèce, de mettre à la charge solidaire de la société SEMERU et de la SELARL ASTEREN, prise en sa qualité de liquidateur judiciaire de la société Quonex IDF, la somme de 6 000 euros à verser à la commune d’Antony au titre des mêmes dispositions.

D É C I D E  :

Article 1er : La société SEMERU et la SELARL ASTEREN, prise en sa qualité de liquidateur judiciaire de la société Quonex IDF, sont solidairement condamnées à verser à la commune d’Antony la somme totale de 4 883,60 euros.

Article 2 : Les frais d’expertise, fixés définitivement à la somme de 23 130,15 euros toutes taxes comprises, sont mis à la charge définitive et solidaire de la société SEMERU et de la SELARL ASTEREN, prise en sa qualité de liquidateur judiciaire de la société Quonex IDF.

Article 3 : La société SEMERU et la SELARL ASTEREN, prise en sa qualité de liquidateur judiciaire de la société Quonex IDF, verseront solidairement à la commune d’Antony la somme de 6 000 euros au titre de l’article L. 761-1 du code de justice administrative.

Article 4 : Le surplus des conclusions des parties est rejeté.

Article 5 : Le présent jugement sera notifié à la commune d’Antony, à la SELARL ASTEREN, en sa qualité de liquidateur judiciaire de la société Quonex IDF, et à la société SEMERU.

Délibéré après l’audience du 29 janvier 2026, à laquelle siégeaient :

M. Cantié, président,

M^me Jung, première conseillère,

M. Templier, conseiller.

Rendu public par mise à disposition au greffe le 19 février 2026.

Le rapporteur,

Signé

P. TEMPLIER

Le président,

Signé

C. CANTIÉ

La greffière,

Signé

S. BOUSSUGE

La République mande et ordonne au préfet des Hauts-de-Seine en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.