Il convient d’abord de rappeler que le fournisseur d’un coffre-fort, lorsqu’il agit en qualité de responsable de traitement, doit réaliser une déclaration normale auprès de la CNIL avant la mise en œuvre du service. Cette déclaration doit préciser, notamment, les catégories de données traitées par le prestataire pour assurer le service. En revanche, lorsque le fournisseur d’une solution de coffre-fort électronique agit en qualité de sous-traitant, pour le compte d’un donneur d’ordre ayant préalablement déterminé les moyens et finalités à mettre en œuvre, la déclaration doit être effectuée par le donneur d’ordre.