Facturation électronique et RGPD : ce que dit la CNIL
La CNIL a publié le 10 septembre 2026 une fiche consacrée aux enjeux de protection des données personnelles dans la facturation électronique. Elle répond à la question que se posent les dirigeants depuis que leurs factures passent par une plateforme agréée par l’État : la plateforme agréée n’est que sous-traitante des entreprises qui l’utilisent, sauf si elle réutilise leurs données pour son propre compte.
Rappel du calendrier en une phrase : recevoir des factures électroniques s’impose à toutes les entreprises depuis le 1er septembre 2026, émettre s’impose depuis cette même date aux grandes entreprises et aux ETI, et à partir du 1er septembre 2027 aux PME, TPE et micro-entrepreneurs. La fiche ne porte pas sur ce calendrier mais sur ce qui circule dans les flux : des données qui, dans certains cas, se rattachent à des personnes physiques identifiables. Le terme officiel est « plateforme agréée » : l’article 123 de la loi n° 2026-103 du 19 février 2026 a remplacé dans le code général des impôts l’expression plateforme de dématérialisation partenaire, à laquelle renvoyait le sigle PDP.
1. Vos factures contiennent-elles vraiment des données personnelles ?
La CNIL commence par écarter une idée répandue. Le RGPD et la loi Informatique et Libertés ne s’appliquent qu’aux traitements de données de personnes physiques, pas à celles des personnes morales. Une facture qui ne comporte que le nom de l’entreprise, son adresse, le numéro de son standard, un courriel générique et ses numéros de SIREN ou SIRET n’est pas soumise au RGPD. La fiche l’écrit sans détour : le RGPD n’a vocation à s’appliquer que dans un nombre réduit de situations.
Restent les cas où une personne physique est identifiable, courants chez les indépendants et les petites structures. La CNIL cite le nom, le prénom, l’adresse de courriel professionnel nominative, le SIRET et le SIREN, ainsi que l’adresse de l’entreprise lorsque celle-ci est le domicile de la personne. Un entrepreneur individuel, un auto-entrepreneur ou un professionnel libéral facture sous sa propre identité : ses factures véhiculent donc des données personnelles, y compris entre entreprises.
Les champs libres servent souvent au suivi interne des dossiers. Le principe de minimisation impose de n’y faire figurer que les données adéquates, pertinentes et limitées à ce qui est nécessaire. L’exemple donné par la CNIL est parlant : mieux vaut écrire « Factures lunettes, dossier n° XXX » que « Facture pour les lunettes de vue de Monsieur Dupond ». Pour les données sensibles de l’article 9 du RGPD, dont les données de santé, la règle est plus stricte : sauf exception, le consentement exprès de la personne est requis, à défaut de quoi le libellé doit rester neutre et objectif. Le code général des impôts prévoit d’ailleurs désormais que la facture électronique ne comporte pas la dénomination précise du bien ou du service lorsqu’elle est couverte par le secret professionnel, secret médical ou secret des avocats par exemple.
2. Qui est responsable de quoi dans la chaîne de facturation ?
La qualification varie selon le rôle tenu dans le processus, et la CNIL rappelle que trois qualifications peuvent être retenues : responsable de traitement, sous-traitant ou responsables conjoints. Pour la situation courante, elle tranche.
L’entreprise qui émet et reçoit ses factures, ou qui transmet ses données de facturation et de paiement à l’administration, agit en principe comme responsable de traitement : c’est elle qui détermine les finalités. Elle doit s’assurer que le traitement respecte le RGPD, ne traiter que les données nécessaires, veiller à leur sécurité et permettre l’exercice des droits des personnes : information, accès, rectification, limitation du traitement. Le choix d’un prestataire ne transfère aucune de ces obligations.
La plateforme agréée, elle, agit comme sous-traitante de ses clients responsables de traitement lorsqu’elle traite des données personnelles sur leur instruction et pour leur compte. La CNIL ajoute qu’à ce titre les plateformes agréées sont tenues d’obligations spécifiques de sécurité, de confidentialité et de documentation de leur activité. La qualification ne bascule que dans un cas, examiné plus bas : la réutilisation des données pour le compte propre de la plateforme.
| Acteur | Qualification RGPD | Obligation principale |
|---|---|---|
| Votre entreprise (émission, réception, transmission à l’administration) | Responsable de traitement | Minimisation, sécurité, droits des personnes |
| Plateforme agréée traitant sur vos instructions | Sous-traitante | Sécurité, confidentialité, documentation |
| Plateforme agréée réutilisant les données pour son compte | Responsable de traitement | Conditions de la réutilisation à remplir |
3. Le contrat avec la plateforme agréée
La CNIL pose la règle en une phrase : les traitements de données par un sous-traitant doivent être encadrés par un contrat avec le responsable de traitement. C’est l’application de l’article 28 du RGPD, qui impose un acte juridique liant le sous-traitant au responsable et fixant l’objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées.
Beaucoup de dirigeants ont choisi leur plateforme en regardant le prix, les formats acceptés et l’interconnexion avec leur outil de gestion, le volet contractuel passant au second plan. Le point à reprendre est simple : existe-t-il, en annexe des conditions générales, des clauses de sous-traitance au sens de l’article 28, et que disent-elles sur les sous-traitants ultérieurs, la localisation des données, la notification des violations et le sort des données à la fin du contrat ?
4. Votre plateforme peut-elle réutiliser vos données de facturation ?
La CNIL envisage explicitement que les conditions générales d’utilisation d’une plateforme agréée prévoient une réutilisation des données, personnelles et non personnelles, issues de la facturation électronique pour des objectifs autres que ceux prévus par le code général des impôts, la réalisation de statistiques par exemple.
La limite est double. Un sous-traitant ne peut réutiliser des données personnelles pour son propre compte que si cette réutilisation est compatible avec le traitement initial, et si le responsable du traitement lui en a donné l’autorisation écrite. Une clause de CGU acceptée en bloc au moment de l’inscription ne suffit donc pas à fonder n’importe quelle exploitation des flux.
Les données de facturation en disent long sur une entreprise : qui sont ses clients, à quel rythme elle vend, à quel prix. D’où la question à poser au prestataire avant de renouveler un abonnement, sur ce périmètre de réutilisation.
5. Quelles garanties de sécurité la plateforme doit-elle offrir ?
Le code général des impôts impose aux plateformes agréées d’être certifiées ISO 27001 et de reposer, le cas échéant, sur une solution qualifiée SecNumCloud par l’ANSSI. La CNIL détaille ce que chacune apporte : la norme ISO 27001 organise la gestion des risques, la maîtrise des accès, les sauvegardes et le traitement des incidents ; le référentiel SecNumCloud ajoute des exigences propres aux infrastructures en nuage, dont la localisation des données en Europe, une authentification renforcée et une traçabilité complète des opérations.
La fiche ne s’arrête pas à ce constat rassurant. Ces exigences ne suffisent pas nécessairement à garantir la conformité des traitements au RGPD, en particulier à l’obligation de sécurité de l’article 32 : il revient aux responsables de traitement d’évaluer si des mesures organisationnelles et techniques complémentaires sont nécessaires au regard de leur situation, puis de les mettre en œuvre. La certification du prestataire ne vaut pas conformité de l’entreprise cliente.
L’approche annoncée par le ministre David Amiel dans les communiqués n° 898 du 11 juillet 2026 et n° 980 du 1er septembre 2026 vise les sanctions fiscales, pas l’obligation elle-même : le guide pratique de démarrage de la DGFiP écrit que cette approche « ne constitue ni un report ni une suspension de l’obligation ». Elle est sans effet sur les obligations de protection des données, qui relèvent d’un autre corps de règles et d’une autre autorité de contrôle. Le détail figure dans l’article sur la tolérance de démarrage.
6. Qui accède à la plateforme, et comment est-il authentifié ?
Le code général des impôts impose aux plateformes agréées des mécanismes robustes de vérification de l’identité des utilisateurs qui émettent ou réceptionnent des factures pour le compte de l’entreprise, et de sécurisation de l’accès aux services. La cible est un niveau de garantie substantiel au sens du règlement eIDAS, détaillé par le règlement d’exécution 2015/1502.
Ce niveau doit être atteint à terme. À titre transitoire, les plateformes peuvent recourir à des dispositifs alternatifs, à deux conditions : une vérification fiable de l’identité de la personne utilisatrice, notamment pour confirmer sa qualité de représentant légal, mandataire ou délégataire, et un mécanisme d’authentification à deux facteurs incluant un facteur dynamique, mot de passe ou code à usage unique. La CNIL invite à prévoir dès maintenant la stratégie de mise en conformité aux exigences eIDAS à venir plutôt que de subir la bascule.
Côté utilisateur, ses recommandations tiennent en quelques gestes : privilégier les comptes individuels, un compte par utilisateur, plutôt que des comptes partagés ; éviter les identifiants génériques, qui augmentent le risque de fraude et d’usurpation d’identité ; protéger les secrets d’authentification ; maîtriser les habilitations ; rester vigilant face aux tentatives d’hameçonnage. Ce dernier point compte : la généralisation des notifications de factures par courriel offre un prétexte crédible aux fraudeurs. L’ANSSI publie un guide d’hygiène informatique de 42 mesures qui sert de socle.
7. Combien de temps faut-il conserver les factures électroniques ?
Le RGPD interdit une conservation indéfinie et impose au responsable de traitement de fixer une durée en fonction de l’objectif qui justifie la collecte. Quand un texte fixe déjà cette durée, il s’impose. La CNIL renvoie ici à l’article L. 123-22 du code de commerce et conclut que la durée légale de conservation des documents comptables de dix ans s’applique aux factures électroniques.
Cette durée rejoint celle qui s’impose désormais en matière fiscale. L’article 36 de la loi n° 2026-534 du 25 juin 2026 a remplacé « six » par « dix » à l’article L. 102 B du livre des procédures fiscales, pour les documents et pièces dont le délai de conservation expire après le 1er janvier 2027. Beaucoup de contenus en ligne, et le BOFiP lui-même sur sa page dédiée, affichent encore six ans. Le sujet est traité dans l’article consacré au passage à dix ans.
8. Que faire dans les prochaines semaines
La fiche de la CNIL n’ouvre aucun droit nouveau et ne crée aucune formalité. Elle sert de grille de lecture pour reprendre quatre points concrets.
| Point à reprendre | Ce qu’il faut obtenir |
|---|---|
| Contrat de la plateforme agréée | Des clauses de sous-traitance au sens de l’article 28 du RGPD, annexées aux conditions générales |
| Clause de réutilisation des données | Un périmètre écrit, et la certitude qu’aucune réutilisation n’a lieu sans autorisation écrite |
| Libellés de factures | Des mentions neutres, un numéro de dossier plutôt qu’une identité, aucune donnée sensible |
| Comptes utilisateurs | Un compte nominatif par personne, la double authentification activée, les accès des partants supprimés |
Pour une entreprise qui tient déjà un registre des traitements, la facturation électronique ne crée pas une ligne nouvelle : elle modifie la fiche du traitement de facturation, en y ajoutant un destinataire, la plateforme, et en actualisant les mesures de sécurité.
9. Références officielles
- CNIL, Facturation électronique : quels enjeux pour la protection des données personnelles ?, 10 septembre 2026
- Code général des impôts, articles 289, 289 bis et 290 et suivants
- Code général des impôts, articles 242 nonies B à nonies P (factures électroniques)
- Code de commerce, article L. 123-22 (conservation des documents comptables)
- Loi n° 2026-534 du 25 juin 2026, article 36 (article L. 102 B du LPF, dix ans)
- impots.gouv.fr, je passe à la facturation électronique (calendrier applicable à votre entreprise)
10. Questions fréquentes
Le RGPD s’applique-t-il à des factures entre deux entreprises ?
Seulement si la facture comporte des données de personnes physiques. La CNIL précise qu’une facture ne contenant que le nom de l’entreprise, son adresse, le numéro de son standard, une adresse de courriel générique et ses numéros SIREN ou SIRET n’est pas soumise au RGPD. En revanche, le nom et le prénom d’un salarié, un courriel nominatif, ou l’adresse de l’entreprise quand elle est le domicile du dirigeant, sont des données personnelles. Les entrepreneurs individuels, auto-entrepreneurs et professions libérales sont donc concernés dans leurs échanges entre entreprises.
La plateforme agréée est-elle sous-traitante ou responsable de traitement ?
Sous-traitante de ses clients responsables de traitement lorsqu’elle traite des données personnelles sur leur instruction et pour leur compte. Elle est alors tenue d’obligations de sécurité, de confidentialité et de documentation de son activité. Elle devient responsable de traitement si elle réutilise pour son propre compte les données personnelles issues de la facturation électronique. La CNIL rappelle par ailleurs que la qualification de responsables conjoints existe et peut être retenue selon le rôle tenu.
Faut-il un contrat de sous-traitance avec sa plateforme ?
Oui. La CNIL rappelle que les traitements de données par un sous-traitant doivent être encadrés par un contrat avec le responsable de traitement. C’est l’objet de l’article 28 du RGPD, qui fixe le contenu minimal de cet acte juridique. En pratique, ces clauses figurent le plus souvent en annexe des conditions générales de la plateforme : il faut les lire, notamment sur les sous-traitants ultérieurs, la localisation des données et le sort des données en fin de contrat.
Une plateforme peut-elle exploiter mes données de facturation pour faire des statistiques ?
Pas librement. La CNIL envisage que des conditions générales prévoient une réutilisation des données pour des objectifs autres que ceux du code général des impôts, mais un sous-traitant ne peut réutiliser des données personnelles pour son propre compte que si cette réutilisation est compatible avec le traitement initial et si le responsable du traitement lui en a donné l’autorisation écrite.
Une plateforme certifiée ISO 27001 suffit-elle à me mettre en conformité ?
Non. Le code général des impôts impose aux plateformes agréées la certification ISO 27001 et, le cas échéant, une solution qualifiée SecNumCloud par l’ANSSI. La CNIL précise que ces exigences ne suffisent pas nécessairement à garantir la conformité des traitements au RGPD, notamment à l’obligation de sécurité de l’article 32. Chaque responsable de traitement doit évaluer si des mesures complémentaires sont nécessaires dans sa situation.
Faut-il activer la double authentification sur la plateforme ?
Elle est prévue par les textes pendant la période transitoire. Les plateformes agréées doivent viser un niveau de garantie substantiel au sens du règlement eIDAS et peuvent, à titre transitoire, recourir à des dispositifs alternatifs reposant sur une vérification fiable de l’identité de l’utilisateur et sur une authentification à deux facteurs incluant un facteur dynamique, mot de passe ou code à usage unique. Côté entreprise, la CNIL recommande des comptes individuels plutôt que partagés et l’abandon des identifiants génériques.
Combien de temps conserver une facture électronique ?
Dix ans. La CNIL retient la durée légale de conservation des documents comptables de l’article L. 123-22 du code de commerce et l’applique aux factures électroniques. Côté fiscal, l’article 36 de la loi n° 2026-534 du 25 juin 2026 a porté de six à dix ans le délai de l’article L. 102 B du livre des procédures fiscales, pour les pièces dont le délai de conservation expire après le 1er janvier 2027. Les contenus qui annoncent encore six ans sont périmés.
Conseils, gestion et fiscalité : service d’accompagnement personnalisé pour entrepreneurs, indépendants et investisseurs, du choix des outils au suivi des obligations déclaratives.