Sous-traitance : le prestataire de la Box

L'essentiel

• Le prestataire qui installe la Box et en assure la maintenance avec un compte administrateur est sous-traitant au sens de l'art. 28 : un contrat contenant les clauses de l'art. 28.3 est obligatoire avant toute intervention.
• La CNIL encadre la télémaintenance : accès ouvert à la demande, pour une durée définie à l'avance, refermé ensuite, via VPN avec authentification forte, consigné dans une main courante.
• Une sauvegarde hors site hébergée par le prestataire est aussi une sous-traitance, même chiffrée.
• Pour un cabinet d'avocats, s'ajoute le secret professionnel : l'avocat « répond des violations du secret » commises par toute personne qui coopère avec lui (RIN 2.3).
• Mise en œuvre technique : accès prestataire.

Faits juridiques vérifiés

Recommandations officielles

Qualification selon le modèle de service

Télémaintenance : cahier des charges

Conception retenue pour la Box (détail dans accès prestataire) :

1. Comptes nominatifs pour chaque intervenant du prestataire ; aucun compte partagé ; désactivation immédiate au départ d'un salarié.
2. Activation à la demande par le cabinet (bouton ou commande), pour une durée définie (ex. 4 h), fermeture automatique.
3. VPN (WireGuard ou Tailscale) et MFA ; aucun port d'administration exposé sur Internet.
4. Journal inaltérable des sessions administrateur (début, fin, commandes ou actions), exporté vers un emplacement non modifiable par l'administrateur ; consultable par le cabinet.
5. Séparation des rôles : l'administrateur système n'a pas de compte utilisateur de l'assistant ; l'accès au contenu des dossiers n'est possible que sur instruction écrite du cabinet, tracée.
6. Chiffrement au repos avec clé détenue par le cabinet : le prestataire ne peut pas lire un disque extrait de la machine.
7. Main courante des interventions (date, motif, intervenant, actions, durée) tenue par le prestataire et remise au cabinet.
8. Notification d'incident par le prestataire sous 24 à 48 h pour permettre au cabinet de tenir les 72 h de l'art. 33 ⁷.

Sauvegarde hors site

Si le cabinet souhaite une copie hors de ses locaux :

• Option A : disque chiffré emporté par le cabinet (coffre, domicile d'un associé) : pas de sous-traitance.
• Option B : dépôt chiffré chez le prestataire ou un hébergeur en France ou dans l'UE : sous-traitance, contrat 28.3, clé de chiffrement détenue par le cabinet, restitution ou destruction certifiée en fin de contrat, rotation documentée.

Voir sauvegardes.

Trame de clauses (à faire relire)

Base : modèle de clauses CNIL ⁴ ou clauses types 2021/915, complétées par des clauses spécifiques.