TRIBUNAL DES ACTIVITES ECONOMIQUES DE MARSEILLE

Ordonnance de référé du 17 juin 2025

N° RG : 2025R00202

Société GESTION DES FOYERS DE PROVINCE – G.F.P S.A.S. [Adresse 1] registre du commerce et des sociétés de Marseille n° 501 540 231 (Maître Guillemette MAGNAN de MARGERIE, Avocat au barreau de Marseille) (Maître Alexandra BELAUD, Avocat au barreau de Paris)

C /

Société [B] S.A.S. [Adresse 2] PARIS registre du commerce et des sociétés de Paris n° 419 952 783 (Maître Sophie SOUBELET-CAROIT, A.A.R.P.I. STELLIS, Avocat au barreau de Paris)

COMPOSITION DE LA JURIDICTION

Décision contradictoire et en premier ressort

Nous, M^me Inbal HELIOT, Juge délégué à la Présidence du tribunal des activités économiques de Marseille Assisté du Greffier Audiencier : M^me Marion SOSTEGNI présent uniquement aux débats et au prononcé de la présente ordonnance

Par citation en date du 5 juin 2025, la société GESTION DES FOYERS DE PROVINCE – G.F.P S.A.S. nous demande,

*Vu les articles 872 et 873 du code de procédure civile, de :

* ORDONNER, sous astreinte de 10 000€/jour de retard à compter du prononcé de l’ordonnance, la réversibilité complète des données et la remise par [B] à GFP des codes d’accès suivants, y compris mots de passe, procédures MFA/OTP associés, avec les droits complets d’administration :

Fonction

Accès technique demandé

Accès à la gestion de la téléphonie

d’entreprise Console d’administration de la plateforme 3CX

et Yealink

Accès à la gestion de la flotte mobile Console super administrateur Samsung Knox

Manage (MDM)

Accès à la gestion des sauvegardes Console d’administration Veeam Backup & Replication

Accès à la sécurité du réseau (pare-feux)

Console d’administration des pare-feux

WatchGuard

Accès complet aux noms de domaine du

Groupe

AFP Console d’administration Gandi.net

Accès complet à la supervision

antivirus/EDR de tout le parc informatique Console d’administration de l’EDR WithSecurc

Elements

Accès administrateur aux ordinateurs de travail (postes Windows) Comptes locaux « Administrateur » Sur chaque poste

Accès aux systèmes de messagerie et collaboration Cloud Console d’administration Microsoft 365

Accès aux équipements actifs du réseau interne Accès administrateur aux Switches réseaux

(Cisco, ou autres)

Accès aux serveurs physiques et virtuels Accès administrateur aux serveurs

Windows/Linux, aux consoles Hyper-V et

iDRAC

Accès aux clés et certificats de sécurité Remise des certificats SSL/TLS, clés privées et mots de passe associés

Accès à la gestion du réseau Wi-Fi des

établissements Accès administrateur aux contrôleurs et

bornes Wi-Fi

Accès à la gestion de la visioconférenceAccès à la gestion de la visioconférence Accès aux interfaces d’administration Yealink visioconférence

Accès à la gestion des bases de données Accès administrateur aux bases de données

(SQL Server, MySQL, etc.)

Accès à la gestion des onduleurs

(alimentation électrique sécurisée) Accès aux consoles d’administration

UPS/Onduleurs (ex. Eaton, APC)

Détention et gestion des contrats de licence logiciels Copie intégrale des contrats de licences et

clés logicielles utilisées pour le SI

Accès la gestion du stockage centralisé Accès administrateur aux baies NAS/SAN

(Synology, PureStorage, etc.)

Accès à la gestion des copieurs et imprimantes réseau Console d’administration des imprimantes et

copieurs multifonctions (ex. Ricoh, Canon)

* CONDAMNER [B] à payer à GFP la somme de 50 400 € à titre de provision en réparation du préjudice subi du fait de la nécessité du fait de [B] de faire réaliser un audit de reprise lors de la remise des codes administrateurs ;

* CONDAMNER [B] à payer à GFP la somme de 10 000 € sur le fondement des dispositions de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens.

Par conclusions écrites et oralement développées à la barre, la société GESTION DES FOYERS DE PROVINCE – G.F.P S.A.S. nous demande

*Vu les articles 872 et 873 du code de procédure civile, de :

* ORDONNER, sous astreinte de 10 000€/jour de retard à compter du prononcé de l’ordonnance, la réversibilité complète des données et la remise par [B] à GFP des codes d’accès suivants, y compris mots de passe, procédures MFA/OTP associés, avec les droits complets d’administration :

[…]

* CONDAMNER [B] à payer à GFP la somme de 50 400 € à titre de provision en réparation du préjudice subi du fait de la nécessité du fait de [B] de faire réaliser un audit de reprise lors de la remise des codes administrateurs ;

A titre subsidiaire

* ORDONNER, sous astreinte de 10 000€/jour de retard, à compter du prononcé de l’ordonnance, la réversibilité complète des données et la remise par [B] à GFP des codes d’accès suivants, y compris mots de passe, procédures MFA/OTP associés, avec les droits complets d’administration, selon le protocole suivant, sous contrôle d’un commissaire de justice tel qu’il plaira à Monsieur le Président de désigner :

1. Mise à disposition du coffre-fort

* [B] prépare un serveur (VM) et y installe RDM (même solution de coffre-f01t de mot de passe que celle déjà utilisée par [B]).

* Le coffre-fort est configuré avec :

* Chiffrement AES-256 et journal d’audit activé.

* Trois comptes distincts :

1. Super-Admin GFP (contrôle total),

2. Super-Admin [B] (dépôt uniquement),

3. Commissaire de Justice (consultation + audit).

2. Injection des identifiants

* En présence d’un commissaire de justice, [B] injecte tous les accès administrateurs.

* Chaque entrée est clairement nommée, datée et commentée.

* Le commissaire de justice dresse un procès-verbal de remise.

3. Contrôle et rotation

* GFP et/ou le repreneur teste chaque accès.

* Sous 48 h, les mots de passe/clefs des services critiques sont changés et les nouveaux secrets replacés dans RDM.

* Un rapport d’intégrité est signé par GFP et le commissaire de Justice.

4. Hotline de sortie

* Durant 5 jours ouvrés, un technicien [B] reste joignable (9 h-17 h) en cas d’incident liée aux codes.

* Aucune intervention à distance sans accord écrit de GFP.

5. Clôture

* Réunion (visio) réunissant GFP ( ou le repreneur), [B], et l’huissier.

* Signature d’un PV contradictoire attestant

1. Remise exhaustive des accès administrateurs,

2. Rotation effective des mots de passe critiques,

* Nettoyage des accès sortants

* [B] supprime les comptes techniques sur ses systèmes

* Coupe toute connexion VPN / autre dépendances détenue par ses équipes

* Fournit un rapport de désactivation signé (joint au PV de clôture)

En tout état de cause,

* DEBOUTER la société [B] de l’ensemble de ses demandes, fins et conclusions ;

* CONDAMNER [B] à payer à GFP la somme de 10 000 € sur le fondement des dispositions de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens.

La société GESTION DES FOYERS DE PROVINCE – G.F.P S.A.S. ajoute que le protocole invoqué par la société [B] n’est pas prévu par le contrat ni la facturation des codes. Elle expose qu’elle n’a pas besoin du protocole de la société [B] ni de sa présence pour la remise des codes.

Par conclusions écrites et oralement développées à la barre, la société [B] S.A.S. nous demande *Vu les articles 32-1, 202 et 873 al. 2 du Code de procédure civile, de :

* Ecarter les pièces adverses 23, 24 et 31 dénommées « attestations » ;

* Débouter la société GFP de sa demande de réversibilité complète des données

* Ordonner que la remise des codes administrateurs listés dans l’assignation soit effectuée selon le protocole décrit en annexe I du courrier du 2 juin 2025 de la société [B] (pièce [B] 17) réponse par la société GFP aux « questions » et « prestations obligatoires » de la société [B] en fixant, le cas échéant, un calendrier pour chacune des parties au litige ;

* Ecarter toutes astreintes eu égard à la collaboration requise de la part de la société GFP et, à défaut, que ces astreintes soient appliquées aux deux parties en cas de retard sur le calendrier susvisé,

* Autoriser la société [B] à être accompagnée de tout expert informatique et commissaire de justice de son choix durant ces opérations,

* Débouter la société GFP de sa demande de provision ;

* Condamner la société GFP à une amende civile de 10 000 euros pour procédure abusive,

* Condamner la société GFP à la somme de 10 000 euros au titre de l’article 700 du Code de procédure civile ;

* Condamner la société GFP aux dépens.

A la barre :

La société GFP indique que son courrier du 27 mai reprend tout l’historique et demande la remise des codes le 2 juin.

La société [B] indique son accord pour la remise des codes selon un protocole. Sur la manière différente de faire proposée dans les conclusions de la société GFP, elle expose qu’aucune astreinte ne peut être prononcée car elle ne pourra pas exécuter dès la signification de l’ordonnance. Elle nous demande de fixer un calendrier si une astreinte est prononcée en appliquant aussi une astreinte à la société GFP.

Elle relève s’agissant de la nouvelle proposition de copie du coffre-fort (qui est un logiciel), que la société GFP devra en acheter les droits d’utilisation.

La société GFP répond qu’il y a une version gratuite.

La société [B] nous demande de le noter et ajoute qu’il faudra définir une mission claire sur qui fait quoi en termes d’action et de délais. Elle précise qu’elle n’aura plus de responsabilité dans la gestion du système dès remise des codes.

La société GFP indique que la société [B] ne peut pas rajouter des demandes.

La société [B] demande que la société GFP s’engage à changer tous les mots de passe et à en justifier.

La société GFP répond que c’est prévu dans le protocole. Elle nous demande de noter que la société [B] est d’accord pour remettre les codes. Elle précise que la société [B] a remis quelques codes partiels en lecture seule et qu’elle ne peut rien en faire. Elle indique que les codes peuvent parfaitement être partagés et que la remise des codes actera la fin de la mission de la société [B] mais que les défaillances antérieures même révélées postérieurement à la remise des codes restent de la responsabilité de la société [B].

Conformément aux dispositions des articles 450 et 726 du code de procédure civile, après avoir indiqué la date de la décision, laquelle est mentionnée sur le répertoire général des affaires, nous avons mis l’affaire en délibéré.

SUR QUOI :

Sur la demande tendant à ce que les pièces n° 23, 24 et 31 produites par la société GFP soient écartées des débats :

Attendu que la société [B] sollicite le rejet de ces pièces pour non-respect des conditions prévues à l’article 202 du code de procédure civile ;

Attendu que les dispositions de l’article 202 du code de procédure civile ne sont pas prescrites à peine de nullité ; qu’il appartient au juge d’apprécier souverainement si l’attestation non conforme à l’article 202 du code de procédure civile présente des garanties suffisantes pour emporter sa conviction ; qu’il n’y a donc pas lieu d’écarter des débats les pièces n° 23, 24 et 31 produites par la société GFP ;

Sur les mesures sollicitées par la société GFP au titre de la réversibilité complète des données et de la remise par la société [B] des codes d’accès :

Attendu qu’il y a lieu de prendre acte de ce que la société [B] ne s’oppose pas à la remise des codes administrateurs listés dans l’assignation suivant le procotole décrit en annexe 1 de son courrier du 2 juin 2025 ;

Attendu que le contrat d’infogérance signé entre les parties le 29 janvier 2018 ne prévoit pas de clause d’irréversibilité des données ;

Attendu que la réversibilité est nécessaire pour le client (utilisateur du logiciel ou du système objet du contrat) afin qu’il puisse reprendre, au terme du contrat, l’exploitation des données ou d’un logiciel ou d’un système informatique, dans le cadre d’une migration chez un autre infogérant ; que l’absence de réversibilité des données fait obstacle à la migration, pourtant indispensable, chez un autre infogérant afin de permettre la continuité de la gestion opérationnelle des infrastructures informatiques et telecom de la société GFP ainsi que leur maintenance ; que la propriété du système informatique de la société GFP n’est pas contestable ; que les parties s’accordent sur le fait que la remise des codes actera la fin de la mission de la société [B] ; que dès lors, l’absence de réversibilité des données informatiques cause un trouble manifestement illicite à la société GFP et l’expose à un dommage imminent eu égard à son secteur d’activité, trouble et dommage qu’il convient de faire cesser ;

Attendu que les parties s’opposent sur les modalités de remise des codes d’accès et de réversibilité des données ; que le contrat conclu le 29 janvier 2018 ne prévoit pas ces modalités ; que la validité du contrat d’infogérance de 2022 est contestée par la société GFP ;

Attendu qu’eu égard au litige opposant les parties et afin de permettre la réversibilité des données et la remise des codes d’accès dans les meilleures conditions, il y a lieu d’ordonner la réversibilité complète des données et la remise par la société [B] S.A.S. à la société GFP des codes d’accès suivants, y compris mots de passe, procédures MFA/OTP associés, avec les droits complets d’administration :

Fonction

Accès technique demandé

Accès à la gestion de la téléphonie

d’entreprise Console d’administration de la plateforme 3CX

et Yealink

Accès à la gestion de la flotte mobile Console super administrateur Samsung Knox

Manage (MDM)

Accès à la gestion des sauvegardes Console d’administration Veeam Backup & Replication

Accès à la sécurité du réseau (pare-feux) Console d’administration des pare-feux

WatchGuard

Accès complet aux noms de domaine du

Groupe

AFP Console d’administration Gandi.net

Accès complet à la supervision

antivirus/EDR de tout le parc informatique Console d’administration de l’EDR WithSecurc Elements

Accès administrateur aux ordinateurs de travail (postes Windows) Comptes locaux « Administrateur » Sur chaque poste

Accès aux systèmes de messagerie et collaboration Cloud

Console d’administration Microsoft 365

Accès aux équipements actifs du réseau interne Accès administrateur aux Switches réseaux

(Cisco, ou autres)

Accès aux serveurs physiques et virtuels Accès administrateur aux serveurs

Windows/Linux, aux consoles Hyper-V et

iDRAC

Accès aux clés et certificats de sécurité Remise des certificats SSL/TLS, clés privées et mots de passe associés

Accès à la gestion du réseau Wi-Fi des

établissements Accès administrateur aux contrôleurs et

bornes Wi-Fi

Accès à la gestion de la visioconférenceAccès à la gestion de la visioconférence Accès aux interfaces d’administration Yealink visioconférence

Accès à la gestion des bases de données Accès administrateur aux bases de données

(SQL Server, MySQL, etc.)

Accès à la gestion des onduleurs

(alimentation électrique sécurisée) Accès aux consoles d’administration UPS/Onduleurs (ex. Eaton, APC)

Détention et gestion des contrats de licence logiciels Copie intégrale des contrats de licences et

clés logicielles utilisées pour le SI

Accès la gestion du stockage centralisé Accès administrateur aux baies NAS/SAN

(Synology, PureStorage, etc.)

Accès à la gestion des copieurs et

imprimantes réseau Console d’administration des imprimantes et

copieurs multifonctions (ex. Ricoh, Canon)

selon le protocole suivant : sous contrôle de Maître [S] [Q] de la S.C.P. GALY – [Q] – ESCUDIER, commissaire de justice, [Adresse 3],

1. Mise à disposition du coffre-fort

* La société [B] doit préparer un serveur (VM) et y installer RDM (même solution de coffre-fort de mot de passe que celle déjà utilisée par la société [B]) dans un délai de 5 jours ouvrés à compter de la signification de la présente ordonnance, et à défaut de ce faire dans ledit délai sous astreinte provisoire de 1 000 € par jour de retard pendant un mois ;

* Le coffre-fort est configuré avec :

* Chiffrement AES-256 et journal d’audit activé.

* Trois comptes distincts :

4. Super-Admin GFP (contrôle total),

5. Super-Admin [B] (dépôt uniquement),

6. Commissaire de Justice (consultation + audit).

2. Injection des identifiants

* En présence du commissaire de justice, la société [B] injecte tous les accès administrateurs dans un délai de 5 jours ouvrés à compter de la signification de la présente ordonnance, et à défaut de ce faire dans ledit délai sous astreinte provisoire de 1 000 € par jour de retard pendant un mois,

* Chaque entrée est clairement nommée, datée et commentée.

* Le commissaire de justice dresse un procès-verbal de remise.

3. Contrôle et rotation

* En présence du commissaire de justice, la société GFP et/ou le repreneur teste chaque accès.

* Sous 24 heures, les mots de passe/clefs des services critiques sont changés et les nouveaux mots de passe/clefs des services critiques secrets replacés dans RDM.

* Un rapport d’intégrité est signé par la société GFP et le commissaire de Justice.

4. Hotline de sortie

* Jusqu’au 30 juin 2025, terme du préavis, un technicien de la société [B] reste joignable (9 h-17 h) en cas d’incident lié aux codes.

* Aucune intervention à distance sans accord écrit de la société GFP.

5. Clôture

* Réunion (visio) au plus tard le 27 juin 2025 réunissant la société GFP (ou le repreneur), la société [B], et l’huissier.

* Signature d’un procès-verbal contradictoire attestant :

1. De la remise exhaustive des accès administrateurs,

2. De la rotation effective des mots de passe critiques,

* Nettoyage des accès sortants au plus tard le 27 juin 2025, sans qu’il y ait lieu de prononcer une astreinte

* La société [B] supprime les comptes techniques sur ses systèmes

* Coupe toute connexion VPN / autre dépendances détenue par ses équipes

* Fournit un rapport de désactivation signé (joint au procès-verbal de clôture)

Sur la demande de provision formée par la société GFP :

Attendu que la demande de dommages et intérêts de la société GFP, même si elle est formulée à titre de provision, requiert un examen au fond sur l’étendue de la faute et/ou du manquement commis, du préjudice engendré et du lien de causalité ; qu’il échet en conséquence de dire n’y avoir lieu à référé et de renvoyer les parties à se pourvoir devant les juges du fond sur ce chef de demande ;

Sur la demande formée par la société [B] au titre de l’amende civile :

Attendu que l’amende civile prévue par l’article 32-1 du code de procédure civile est prononcée au profit du trésor public à l’occasion d’un procès civil lorsque le juge estime que l’action du demandeur a été abusive ou dilatoire ; qu’à cet égard, le juge doit caractériser une faute du demandeur dans l’exercice de son droit d’agir ; que cette condamnation pour procédure abusive qui peut être prononcée d’office par le juge et qui n’est pas subordonné au respect du principe de la contradiction, ne saurait être mise en œuvre que de la propre initiative du juge, les parties ne pouvant avoir aucun intérêt individuel d’ordre moral au prononcé d’une amende civile à l’encontre de l’adversaire ; qu’en effet, seul un dommage individuel résultant de la violation d’une liberté fondamentale, publique ou privée justifierait de l’intérêt d’avoir le droit de solliciter une telle mesure par le défendeur au procès ; qu’en conséquence, la demande de la société [B] tendant à la condamnation de la société GFP au paiement d’une amende civile fondée sur les dispositions de l’article 32-1 du code de procédure civile, est irrecevable ;

Attendu qu’en application des dispositions de l’article 700 du code de procédure civile, il échet d’allouer à la société GESTION DES FOYERS DE PROVINCE – G.F.P S.A.S. la somme de 1 500 € au titre des frais irrépétibles occasionnés par la présente procédure ;

Attendu qu’il y a lieu de rejeter tout surplus des demandes comme non justifié ;

PAR CES MOTIFS :

Advenant l’audience de ce jour,

Disons n’y avoir lieu d’écarter des débats les pièces n° 23, 24 et 31 produites par la société GFP ;

Prenons acte de ce que la société [B] ne s’oppose pas à la remise des codes administrateurs listés dans l’assignation suivant le procotole décrit en annexe 1 de son courrier du 2 juin 2025 ;

Vu les articles 872 et 873 alinéa 1 du code de procédure civile,

Ordonnons la réversibilité complète des données et la remise par la société [B] S.A.S. à la société GFP des codes d’accès suivants, y compris mots de passe, procédures MFA/OTP associés, avec les droits complets d’administration :

[…]

Accès la gestion du stockage centralisé

Accès administrateur aux baies NAS/SAN

(Synology, PureStorage, etc.)

Accès à la gestion des copieurs et

imprimantes réseau Console d’administration des imprimantes et copieurs multifonctions (ex. Ricoh, Canon)

selon le protocole suivant : sous contrôle de Maître [S] [Q] de la S.C.P. GALY – [Q] – ESCUDIER, commissaire de justice, [Adresse 3],

1. Mise à disposition du coffre-fort

* La société [B] doit préparer un serveur (VM) et y installer RDM (même solution de coffre-fort de mot de passe que celle déjà utilisée par la société [B]) dans un délai de 5 jours ouvrés à compter de la signification de la présente ordonnance, et à défaut de ce faire dans ledit délai sous astreinte provisoire de 1 000 € par jour de retard pendant un mois ;

* Le coffre-fort est configuré avec :

* Chiffrement AES-256 et journal d’audit activé.

* Trois comptes distincts :

7. Super-Admin GFP (contrôle total),

8. Super-Admin [B] (dépôt uniquement),

9. Commissaire de Justice (consultation + audit).

2. Injection des identifiants

* En présence du commissaire de justice, la société [B] injecte tous les accès administrateurs dans un délai de 5 jours ouvrés à compter de la signification de la présente ordonnance, et à défaut de ce faire dans ledit délai sous astreinte provisoire de 1 000 € par jour de retard pendant un mois,

* Chaque entrée est clairement nommée, datée et commentée.

* Le commissaire de justice dresse un procès-verbal de remise.

3. Contrôle et rotation

* En présence du commissaire de justice, la société GFP et/ou le repreneur teste chaque accès.

* Sous 24 heures, les mots de passe/clefs des services critiques sont changés et les nouveaux mots de passe/clefs des services critiques secrets replacés dans RDM.

* Un rapport d’intégrité est signé par la société GFP et le commissaire de Justice.

4. Hotline de sortie

* Jusqu’au 30 juin 2025, terme du préavis, un technicien de la société [B] reste joignable (9 h-17 h) en cas d’incident lié aux codes.

* Aucune intervention à distance sans accord écrit de la société GFP.

5. Clôture

* Réunion (visio) au plus tard le 27 juin 2025 réunissant la société GFP (ou le repreneur), la société [B], et l’huissier.

* Signature d’un procès-verbal contradictoire attestant :

3. De la remise exhaustive des accès administrateurs,

4. De la rotation effective des mots de passe critiques,

* Nettoyage des accès sortants au plus tard le 27 juin 2025, sans qu’il y ait lieu de prononcer une astreinte

* La société [B] supprime les comptes techniques sur ses systèmes

* Coupe toute connexion VPN / autre dépendances détenue par ses équipes

* Fournit un rapport de désactivation signé (joint au procès-verbal de clôture)

Disons n’y avoir lieu à référé et renvoyons les parties à se pourvoir devant les juges du fond sur la demande de provision formée par la société GFP ;

Déclarons la société [B] S.A.S. irrecevable en sa demande d’amende civile ;

Condamnons la société GESTION DES FOYERS DE PROVINCE – G.F.P S.A.S. à payer à DEMANDEUR la somme de 1 500 € (mille cinq cents euros) en application de l’article 700 du code de procédure civile ;

Conformément aux dispositions de l’article 696 du code de procédure civile,

Condamnons la société [B] aux dépens toutes taxes comprises de la présente ordonnance tels qu’énoncés par l’article 695 du code de procédure civile, étant précisé que les droits, taxes et émoluments perçus par le secrétariat-greffe de la présente juridiction sont liquidés à la somme de 38,65 € (trente-huit euros et soixante-cinq centimes T.T.C.);

Rejetons tout surplus des demandes comme non justifié ;

Fait à [Localité 1], le 17 juin 2025 Le Greffier

Le Juge délégué

La minute de la décision est signée électroniquement par le juge et le greffier.