Depuis le 1er septembre 2026, la réforme de la facturation électronique entre entreprises est entrée dans sa première phase d’application. Toutes les entreprises doivent désormais être capables de recevoir des factures électroniques, tandis que les grandes entreprises et les entreprises de taille intermédiaire doivent également pouvoir en émettre. Les PME seront à leur tour concernées par l’obligation d’émission à compter du 1er septembre 2027.
À l’occasion de cette entrée en vigueur, la CNIL rappelle que cette transformation des échanges de facturation ne constitue pas uniquement un sujet fiscal ou comptable. Dès lors que les factures ou les traitements associés contiennent des données relatives à des personnes physiques, les exigences du RGPD doivent également être prises en compte.
Toutes les factures ne contiennent pas nécessairement des données personnelles
La CNIL commence par rappeler une distinction importante : le RGPD protège les données relatives aux personnes physiques, et non celles concernant uniquement les personnes morales.
Une facture comportant uniquement la raison sociale d’une entreprise, son adresse, un numéro de téléphone générique, une adresse électronique de contact ou encore ses identifiants SIREN et SIRET ne relève donc pas nécessairement du RGPD.
La situation change lorsque les informations permettent d’identifier une personne physique. Cela concerne notamment les entrepreneurs individuels, les professions libérales ou les auto-entrepreneurs, mais également les salariés ou représentants d’une entreprise lorsque leur nom, leur prénom ou leur adresse électronique professionnelle nominative apparaissent sur les documents.
La CNIL estime ainsi que le RGPD n’aura vocation à s’appliquer qu’à une partie des données traitées dans le cadre de la facturation électronique.
Attention au contenu libre des factures
Le principal point de vigilance concerne peut-être moins les mentions obligatoires que les informations ajoutées librement par les entreprises. Certains champs peuvent en effet contenir des précisions destinées à faciliter le suivi d’un dossier ou à identifier la prestation facturée. Or ces informations peuvent révéler des données personnelles, voire des données sensibles.
La CNIL rappelle à ce titre le principe de minimisation : seules les informations nécessaires doivent être utilisées. Plutôt que de mentionner explicitement l’identité d’une personne et la nature précise d’une prestation, la Commission recommande, lorsque cela est possible, de recourir à une référence ou à un numéro de dossier.
La vigilance doit être particulièrement forte lorsque la facture pourrait révéler des informations relevant notamment de la santé. Le code général des impôts prévoit d’ailleurs que la dénomination précise d’un bien ou d’un service ne doit pas apparaître lorsqu’elle est couverte par le secret professionnel, par exemple médical ou juridique.
Entreprise et plateforme : des responsabilités différentes
La généralisation de la facturation électronique introduit également de nouveaux intermédiaires dans les échanges. Les entreprises devront utiliser une plateforme agréée par l’État, directement ou par l’intermédiaire d’une solution compatible, afin d’émettre et de recevoir leurs factures électroniques ou de transmettre leurs données de transactions.
Du point de vue du RGPD, l’entreprise qui détermine les finalités de la facturation demeure en principe responsable du traitement. La plateforme agit quant à elle comme sous-traitant lorsqu’elle traite les données pour le compte de son client et selon ses instructions. Cette relation doit alors être encadrée contractuellement conformément aux exigences du RGPD.
Mais la qualification peut changer si la plateforme décide de réutiliser certaines données personnelles pour ses propres finalités. Elle devient alors responsable du traitement pour cette utilisation, sous réserve que les conditions permettant cette réutilisation soient effectivement réunies.
Cette distinction invite donc les entreprises à examiner également les conditions générales et les usages secondaires éventuellement prévus par leur plateforme.
Dix ans de conservation ne signifient pas tout conserver sans distinction
Les factures électroniques restent soumises aux obligations légales de conservation des documents comptables. La CNIL rappelle ainsi qu’elles doivent être conservées pendant dix ans. Cette durée légale ne dispense toutefois pas les responsables de traitement d’identifier les données personnelles concernées et de s’assurer que leur traitement reste conforme aux principes du RGPD.
La dématérialisation ne modifie donc pas seulement le support de la facture : elle impose également de maîtriser les conditions dans lesquelles ces données seront stockées, accessibles et protégées pendant une période longue.
Des exigences de sécurité renforcées pour les plateformes
La sécurité occupe logiquement une place importante dans le dispositif. Selon la CNIL, les plateformes agréées doivent garantir un niveau élevé de sécurité des échanges. Le code général des impôts prévoit notamment une certification ISO 27001 et, lorsque les conditions correspondantes sont réunies, le recours à une solution qualifiée SecNumCloud par l’ANSSI.
Mais la CNIL apporte une précision importante : ces garanties ne suffisent pas automatiquement à démontrer la conformité d’un traitement au RGPD. L’entreprise reste responsable de l’évaluation de ses propres risques et doit déterminer si des mesures techniques ou organisationnelles supplémentaires sont nécessaires au regard de sa situation. Une certification du prestataire ne transfère donc pas la responsabilité de l’entreprise qui utilise ses services.
L’authentification devient également un enjeu central
Les plateformes devront mettre en œuvre des mécanismes robustes permettant d’identifier les utilisateurs habilités à émettre ou recevoir les factures au nom d’une entreprise. À terme, les moyens d’identification électronique devront atteindre un niveau de garantie « substantiel » au sens du règlement eIDAS.
Pendant la période transitoire, des solutions alternatives sont possibles à condition notamment de prévoir une vérification fiable de l’identité et une authentification à deux facteurs comprenant un facteur dynamique. La CNIL profite de cette réforme pour rappeler l’importance du MFA, mais également des comptes individuels, de la limitation des habilitations et de l’abandon des comptes génériques ou partagés.
Ces recommandations dépassent d’ailleurs largement la seule facturation électronique : elles relèvent des mesures élémentaires permettant d’assurer la traçabilité des actions et de réduire les risques de fraude ou d’accès non autorisé.
Une réforme comptable qui devient aussi un sujet de gouvernance des données
La facturation électronique est souvent présentée sous l’angle de la transformation des processus comptables et fiscaux. La publication de la CNIL rappelle qu’elle crée également une nouvelle chaîne de traitement et de circulation de données entre l’entreprise, ses solutions de gestion, les plateformes agréées et l’administration.
Pour la plupart des entreprises, toutes ces informations ne seront pas des données personnelles. Mais lorsqu’elles le sont, les principes habituels du RGPD continuent de s’appliquer : minimisation, sécurité, gestion des habilitations, encadrement des sous-traitants et maîtrise des durées de conservation.
La réforme ne doit donc pas être abordée uniquement comme un projet de changement d’outil de facturation. Elle constitue également un sujet de gouvernance, de sécurité et, dans certains cas, de protection des données personnelles.
Source : CNIL — Facturation électronique : quels enjeux pour la protection des données personnelles ?
