Facturation électronique : les recommandations CNIL sur la protection des données
La CNIL a publié le 10 septembre 2026 une fiche pratique sur les enjeux de protection des données liés à la réforme de la facturation électronique. L'obligation fiscale ne suspend pas le RGPD : les deux cadres se superposent, et l'entreprise doit documenter ses traitements.
Le contexte : une réforme fiscale, un traitement de données
Depuis le 1er septembre 2026, toutes les entreprises assujetties à la TVA doivent pouvoir recevoir des factures électroniques via une plateforme de dématérialisation partenaire (PDP) agréée ou via le portail public de facturation. Les grandes entreprises et ETI doivent également émettre. Les PME basculeront à l'émission au 1er septembre 2027.
La facture électronique n'est plus seulement un document fiscal. C'est un traitement de données personnelles au sens du RGPD dès qu'une personne physique y est identifiable : dirigeant d'une entreprise individuelle, nom du contact, adresse, parfois un identifiant technique rattaché à un salarié.
Calendrier de la réforme
| Échéance | Obligation | Entreprises concernées |
|---|---|---|
| 1er septembre 2026 | Réception obligatoire | Toutes les entreprises assujetties |
| 1er septembre 2026 | Émission obligatoire | Grandes entreprises et ETI |
| 1er septembre 2027 | Émission obligatoire | PME et micro-entreprises |
Deux flux distincts. Entre assujettis français : émission et réception via une plateforme agréée. Vers les particuliers et entreprises étrangères : transmission à l'administration de données de transaction et de paiement (e-reporting), principalement un chiffre d'affaires HT agrégé par jour.
Quelles données personnelles circulent ?
Une facture B2B porte le plus souvent des données d'entreprise. Elle porte aussi, régulièrement, des données de personnes physiques :
- Identité du dirigeant d'une entreprise individuelle (nom, prénom)
- Nom et coordonnées du contact commercial ou du signataire
- Adresse personnelle lorsque le siège social est au domicile
- Identifiant technique rattaché à un salarié dans certains systèmes
- Données d'activité sur les ventes aux particuliers (e-reporting)
Données sensibles. La CNIL rappelle l'article 9 du RGPD dès que des données sensibles pourraient apparaître. Une facture émise par un professionnel de santé, un avocat ou un syndicat peut révéler des informations protégées. Le traitement exige alors des garanties renforcées.
Responsabilités : qui fait quoi ?
L'entreprise utilisatrice
Reste responsable de traitement pour les données qu'elle collecte et conserve. Elle doit :
- Désigner la plateforme et tracer les accès internes
- Mettre à jour le registre des traitements
- Informer les personnes concernées
- Prévoir l'exercice des droits (accès, rectification)
La plateforme agréée
Selon les opérations, sous-traitant ou responsable conjoint. Dans tous les cas :
- Le contrat de sous-traitance (art. 28 RGPD) reste obligatoire
- L'agrément fiscal ne vaut pas conformité RGPD
- Toute réutilisation commerciale exige une base légale propre
- Le consentement est requis pour finalités distinctes
Le piratage de la DGFiP n'est pas un argument
Les espaces impots.gouv.fr n'ont pas été compromis en août 2026. Les plateformes agréées sont soumises à des exigences de certification, d'hébergement dans l'Union et d'authentification renforcée. Cela n'exonère pas l'entreprise de gérer ses propres accès.
Conservation et réutilisation des données
| Texte applicable | Durée de conservation | Finalité |
|---|---|---|
| Code de commerce (L. 123-22) | 10 ans | Pièces comptables |
| CGI (art. 289 et s.) | 6 à 10 ans selon les cas | Obligations fiscales |
| RGPD | Proportionnée à la finalité | Données personnelles |
Attention. Dix ans pour la pièce comptable n'autorise pas dix ans de prospection sur le nom du contact figurant en pied de facture. La CNIL interroge expressément la réutilisation des données par les plateformes agréées : l'agrément fiscal n'est pas une licence de marketing.
Sécurité : obligations des plateformes et des utilisateurs
Exigences imposées aux plateformes agréées
- Certification et analyse de risques formalisée
- Maîtrise des accès et des sous-traitants
- Hébergement dans l'Union européenne
- Absence de transfert hors UE des données hébergées
- Authentification renforcée et traçabilité des opérations
- Offre qualifiée SecNumCloud lorsqu'un cloud est utilisé
Mesures élémentaires côté entreprise
- Comptes nominatifs — pas de login partagé type « compta@ »
- Authentification à deux facteurs dès que la plateforme la propose
- Révocation immédiate des accès des collaborateurs partis
- Vérification de l'adresse de la plateforme avant connexion
Phishing. Le phishing « votre facture Chorus » va se multiplier. Vérifier systématiquement l'URL avant de saisir des identifiants. Former les équipes comptables à reconnaître les tentatives d'hameçonnage.
Questions fréquentes
Non, pas avant le 1er septembre 2027. Elle doit déjà pouvoir recevoir depuis le 1er septembre 2026, donc avoir désigné une plateforme de réception.
Oui, dès qu'une personne physique est identifiable : entreprise individuelle, contact nominatif, signataire. Les données d'une personne morale ne sont pas, en elles-mêmes, des données personnelles.
Pas sur le seul fondement de l'agrément. Toute réutilisation commerciale est un traitement distinct, soumis au RGPD. Un consentement spécifique est généralement requis.
Dix ans au titre du code de commerce, sous réserve des délais fiscaux plus longs dans certains cas. Pas davantage pour une finalité marketing sur les données personnelles figurant sur ces factures.
Les deux. L'erreur peut déclencher un exercice du droit de rectification au titre du RGPD, indépendamment des corrections fiscales. Le registre des traitements doit prévoir cette hypothèse.
Non. L'agrément porte sur les capacités techniques et la fiabilité fiscale de la plateforme. Le contrat de sous-traitance au sens de l'article 28 du RGPD reste obligatoire entre l'entreprise et la plateforme.
L'essentiel à retenir
La facturation électronique superpose obligation fiscale et protection des données. L'entreprise reste responsable de traitement et doit documenter ses pratiques.
- Réception obligatoire depuis le 1er septembre 2026 — plateforme à désigner
- Émission PME au 1er septembre 2027
- RGPD applicable dès qu'une personne physique est identifiable
- Contrat de sous-traitance obligatoire avec la plateforme
- Réutilisation commerciale des données interdite sans base légale propre
- Sécurité des accès à la charge de l'entreprise utilisatrice
Références juridiques
Plateforme pas encore choisie ? Registre RGPD à jour ?
Le cabinet accompagne le paramétrage de la réception, le choix de la plateforme et la documentation du traitement — sans confondre agrément fiscal et conformité RGPD.
Contact : 06 20 19 39 91 · jennyferlouison@blaec.fr