Facturation électronique : les recommandations CNIL sur la protection des données
La CNIL a publié le 10 septembre 2026 une fiche pratique sur les enjeux de protection des données liés à la réforme de la facturation électronique. L'obligation fiscale ne suspend pas le RGPD : les deux cadres se superposent, et l'entreprise doit documenter ses traitements.
Le contexte : une réforme fiscale, un traitement de données
Depuis le 1er septembre 2026, toutes les entreprises assujetties à la TVA doivent pouvoir recevoir des factures électroniques via une plateforme de dématérialisation partenaire (PDP) agréée ou via le portail public de facturation. Les grandes entreprises et ETI doivent également émettre. Les PME basculeront à l'émission au 1er septembre 2027.
La facture électronique n'est plus seulement un document fiscal. C'est un traitement de données personnelles au sens du RGPD dès qu'une personne physique y est identifiable : dirigeant d'une entreprise individuelle, nom du contact, adresse, parfois un identifiant technique rattaché à un salarié.
Calendrier de la réforme
| Échéance | Obligation | Entreprises concernées |
|---|---|---|
| 1er septembre 2026 | Réception obligatoire | Toutes les entreprises assujetties |
| 1er septembre 2026 | Émission obligatoire | Grandes entreprises et ETI |
| 1er septembre 2027 | Émission obligatoire | PME et micro-entreprises |
Deux flux distincts. Entre assujettis français : émission et réception via une plateforme agréée. Vers les particuliers et entreprises étrangères : transmission à l'administration de données de transaction et de paiement (e-reporting), principalement un chiffre d'affaires HT agrégé par jour.
Quelles données personnelles circulent ?
Une facture B2B porte le plus souvent des données d'entreprise. Elle porte aussi, régulièrement, des données de personnes physiques :
- Identité du dirigeant d'une entreprise individuelle (nom, prénom)
- Nom et coordonnées du contact commercial ou du signataire
- Adresse personnelle lorsque le siège social est au domicile
- Identifiant technique rattaché à un salarié dans certains systèmes
- Données d'activité sur les ventes aux particuliers (e-reporting)
Données sensibles. La CNIL rappelle l'article 9 du RGPD dès que des données sensibles pourraient apparaître. Une facture émise par un professionnel de santé, un avocat ou un syndicat peut révéler des informations protégées. Le traitement exige alors des garanties renforcées.
Responsabilités : qui fait quoi ?
L'entreprise utilisatrice
Reste responsable de traitement pour les données qu'elle collecte et conserve. Elle doit :
- Désigner la plateforme et tracer les accès internes
- Mettre à jour le registre des traitements
- Informer les personnes concernées
- Prévoir l'exercice des droits (accès, rectification)
La plateforme agréée
Selon les opérations, sous-traitant ou responsable conjoint. Dans tous les cas :
- Le contrat de sous-traitance (art. 28 RGPD) reste obligatoire
- L'agrément fiscal ne vaut pas conformité RGPD
- Toute réutilisation commerciale exige une base légale propre
- Le consentement est requis pour finalités distinctes
Le piratage de la DGFiP n'est pas un argument
Les espaces impots.gouv.fr n'ont pas été compromis en août 2026. Les plateformes agréées sont soumises à des exigences de certification, d'hébergement dans l'Union et d'authentification renforcée. Cela n'exonère pas l'entreprise de gérer ses propres accès.
Conservation et réutilisation des données
| Texte applicable | Durée de conservation | Finalité |
|---|---|---|
| Code de commerce (L. 123-22) | 10 ans | Pièces comptables |
| CGI (art. 289 et s.) | 6 à 10 ans selon les cas | Obligations fiscales |
| RGPD | Proportionnée à la finalité | Données personnelles |
Attention. Dix ans pour la pièce comptable n'autorise pas dix ans de prospection sur le nom du contact figurant en pied de facture. La CNIL interroge expressément la réutilisation des données par les plateformes agréées : l'agrément fiscal n'est pas une licence de marketing.
Sécurité : obligations des plateformes et des utilisateurs
Exigences imposées aux plateformes agréées
- Certification et analyse de risques formalisée
- Maîtrise des accès et des sous-traitants
- Hébergement dans l'Union européenne
- Absence de transfert hors UE des données hébergées
- Authentification renforcée et traçabilité des opérations
- Offre qualifiée SecNumCloud lorsqu'un cloud est utilisé
Mesures élémentaires côté entreprise
- Comptes nominatifs — pas de login partagé type « compta@ »
- Authentification à deux facteurs dès que la plateforme la propose
- Révocation immédiate des accès des collaborateurs partis
- Vérification de l'adresse de la plateforme avant connexion
Phishing. Le phishing « votre facture Chorus » va se multiplier. Vérifier systématiquement l'URL avant de saisir des identifiants. Former les équipes comptables à reconnaître les tentatives d'hameçonnage.
Cas pratiques : situations à risque
La CNIL identifie plusieurs configurations où l'articulation entre facturation électronique et protection des données exige une vigilance particulière. Ces situations ne sont pas théoriques : elles concernent la majorité des entreprises dès l'entrée en vigueur de l'obligation de réception.
Le professionnel de santé qui facture un autre professionnel
Un médecin du travail ou un expert en ergonomie facture une intervention à une entreprise cliente. La facture mentionne la nature de la prestation et, parfois, le nom du salarié ayant bénéficié de la consultation. Cette configuration fait entrer l'article 9 du RGPD dans le circuit de facturation : les données de santé exigent des garanties renforcées, une base légale solide et une information spécifique du salarié concerné.
La solution passe par une anonymisation ou une pseudonymisation de la facture : mentionner « prestation ergonomique du 12 mars » plutôt que « bilan ergonomique de M. Dupont, poste de cariste ». Le registre des traitements doit documenter cette configuration et prévoir l'exercice des droits du salarié concerné.
L'avocat et le secret professionnel
La facture d'un cabinet d'avocats peut révéler, par son intitulé ou son rattachement à un dossier, la nature du litige traité. La mention « consultation divorce Durand c/ Durand » viole le secret professionnel autant que le RGPD. L'article 32 impose une sécurisation des accès : qui, dans l'entreprise cliente, voit cette facture ? Le DAF ? L'assistante de direction ? L'ensemble du service comptabilité ?
La plateforme agréée n'est pas garante de la confidentialité interne de l'entreprise cliente. C'est à cette dernière de restreindre les habilitations et de tracer les consultations.
Le sous-traitant qui accède aux données du donneur d'ordre
Une plateforme de dématérialisation agrège les flux de facturation de plusieurs entreprises. Un prestataire technique intervient pour la maintenance ou le support. Ce prestataire est lui-même sous-traitant au sens du RGPD. L'article 28 impose alors un contrat en cascade, des clauses de confidentialité et une limitation des accès aux seules opérations nécessaires.
L'entreprise utilisatrice doit s'assurer que sa plateforme ne fait pas appel à des sous-traitants établis hors de l'Union européenne ou dans des pays ne bénéficiant pas d'une décision d'adéquation. Les conditions générales de la plateforme mentionnent généralement la liste des sous-traitants ultérieurs : les lire avant de signer.
Points de contrôle CNIL : ce que les agents vérifieront
La CNIL n'a pas encore publié de plan de contrôle spécifique à la facturation électronique. Les contrôles sur les systèmes d'information comptables existent toutefois depuis plusieurs années. Sur la base des recommandations publiées en septembre 2026, plusieurs points de vérification sont prévisibles.
Registre des traitements
Le traitement « facturation électronique » doit figurer au registre, avec indication de la plateforme utilisée, des catégories de données traitées et des durées de conservation. L'absence d'entrée dédiée constitue un manquement documentaire caractérisé.
Contrat de sous-traitance
Le contrat entre l'entreprise et la plateforme doit comporter les mentions obligatoires de l'article 28 du RGPD : objet, durée, nature des opérations, catégories de personnes concernées, obligations du sous-traitant. Un simple bon de commande ou une facture d'abonnement ne suffit pas.
Gestion des accès
Les comptes d'accès à la plateforme doivent être nominatifs et tracés. Un contrôle CNIL examinera la liste des utilisateurs habilités, la date de dernière connexion et la révocation des accès des anciens collaborateurs.
Information des personnes
Les personnes dont les données figurent sur les factures (contacts commerciaux, dirigeants d'entreprises individuelles) doivent être informées du traitement. Cette information peut figurer dans les conditions générales de vente, dans une mention sur la facture ou dans une politique de confidentialité accessible.
Questions fréquentes
Non, pas avant le 1er septembre 2027. Elle doit déjà pouvoir recevoir depuis le 1er septembre 2026, donc avoir désigné une plateforme de réception.
Oui, dès qu'une personne physique est identifiable : entreprise individuelle, contact nominatif, signataire. Les données d'une personne morale ne sont pas, en elles-mêmes, des données personnelles.
Pas sur le seul fondement de l'agrément. Toute réutilisation commerciale est un traitement distinct, soumis au RGPD. Un consentement spécifique est généralement requis.
Dix ans au titre du code de commerce, sous réserve des délais fiscaux plus longs dans certains cas. Pas davantage pour une finalité marketing sur les données personnelles figurant sur ces factures.
Les deux. L'erreur peut déclencher un exercice du droit de rectification au titre du RGPD, indépendamment des corrections fiscales. Le registre des traitements doit prévoir cette hypothèse.
Non. L'agrément porte sur les capacités techniques et la fiabilité fiscale de la plateforme. Le contrat de sous-traitance au sens de l'article 28 du RGPD reste obligatoire entre l'entreprise et la plateforme.
L'essentiel à retenir
La facturation électronique superpose obligation fiscale et protection des données. L'entreprise reste responsable de traitement et doit documenter ses pratiques.
- Réception obligatoire depuis le 1er septembre 2026 — plateforme à désigner
- Émission PME au 1er septembre 2027
- RGPD applicable dès qu'une personne physique est identifiable
- Contrat de sous-traitance obligatoire avec la plateforme
- Réutilisation commerciale des données interdite sans base légale propre
- Sécurité des accès à la charge de l'entreprise utilisatrice
Références juridiques
Plateforme pas encore choisie ? Registre RGPD à jour ?
Le cabinet accompagne le paramétrage de la réception, le choix de la plateforme et la documentation du traitement — sans confondre agrément fiscal et conformité RGPD.
Contact : 06 20 19 39 91 · jennyferlouison@blaec.fr
- Facturation électronique : la CNCC actualise sa FAQ (mars 2026)
- Piratage DGFiP : le Sénat pointe les fragilités structurelles
- Logiciel de gestion financière : revendication d'une fuite de données
- Plan Osez l'IA : un an après, de la sensibilisation à l'action
- TVA sur travaux de rénovation énergétique : le BOFiP clarifie