Facturation électronique : quels enjeux pour la protection des données personnelles ? 10 septembre 2026 Depuis le 1er septembre 2026, la réforme relative à la facturation électronique entre entreprises est entrée en vigueur. La CNIL aide les entreprises à comprendre les enjeux et à assurer la sécurité des données traitées.
Diminuer la taille de la police Augmenter la taille de la police Qu’est-ce que la facturation électronique ? La réforme de la facturation électronique entre entreprises est mise en œuvre en deux temps : depuis le 1er septembre 2026, toutes les entreprises doivent pouvoir recevoir des factures électroniques et les grandes entreprises et celles de taille intermédiaire (ETI) doivent aussi pouvoir en émettre ; à partir du 1er septembre 2027, toutes les entreprises devront émettre et recevoir des factures électroniques, y compris les PME. En pratique, les obligations sont : d’émettre et de recevoir des factures électroniques pour toute transaction entre entreprises françaises assujetties à la TVA ; de transmettre les données de transaction et de paiement à l’administration en ce qui concerne les ventes aux particuliers et aux entreprises étrangères (principalement des données d’activité comme le chiffre d’affaires hors taxes (HT) agrégées par jour).
La transmission des factures se fera désormais par l’intermédiaire d’une plateforme agréée par l’État, directement ou au travers d’une solution compatible. Chaque entreprise devra désigner sa plateforme pour émettre et recevoir ses factures électroniques ou transmettre ses données de transactions. Quelles sont les données personnelles concernées ?
Déplier La réglementation en matière de protection des données personnelles (règlement général sur la protection des données (RGPD) et loi Informatique et Libertés) ne s’applique qu’aux traitements des données de personnes physiques, et non de personnes morales (entreprises). En matière de facturation, une facture ne contenant que des données relatives à une entreprise (le nom de l’entreprise, son adresse, le numéro de téléphone de son standard, une adresse email de contact générique, numéros de SIREN ou SIRET) ne sera pas soumise au RGPD. En revanche, les informations concernant des personnes physiques qui travaillent au sein des entreprises ou des personnes physiques qui exercent leur activité en leur nom propre (entreprises individuelles, auto-entrepreneurs et professions libérales) sont protégées au titre de la réglementation en matière de protection des données personnelles : nom ; prénom ; adresse de courriel professionnel nominative ; SIRET, SIREN ; adresse de l’entreprise si c’est le domicile de la personne ; etc. Dans un grand nombre de cas, les information utilisées dans le cadre de la facturation électronique ne concernent pas une personne physique, ainsi la réglementation sur la protection des données (RGPD) n’a vocation à s’appliquer que dans un nombre réduit de situations.
Point d’attention sur le libellé et le détail des factures En pratique, certains champs des factures peuvent être personnalisés par les entreprises à des fins de bonne gestion de leur facturation ou de suivi de leurs dossiers. Elles pourraient donc dans certains cas y faire figurer des données personnelles. Le principe de minimisation des données prévu par le RGPD impose que seules les données personnelles adéquates, pertinentes et limitées à ce qui est nécessaire pour atteindre les objectifs poursuivis peuvent être utilisées.
Exemple : pour permettre un suivi des dossiers de clients, il est préférable de faire référence sur la facture à un numéro de dossier (« Factures lunettes – dossier n° XXX »), plutôt qu’à l’identité du client (« Facture pour les lunettes de vue de Monsieur Dupond »). Une attention particulière doit être portée aux données sensibles visées par l'article 9 du RGPD. Il s'agit par exemple des données relatives à la santé des personnes.
Ces informations ne peuvent être, sauf exceptions, renseignées qu'avec le consentement exprès des personnes. En l’absence de ce consentement, il faut se limiter à l'usage de termes neutres et objectifs (par exemple, en matière de santé, ne pas préciser la pathologie affectant la personne concernée). À cet égard, le code général des impôts prévoit désormais que les factures électroniques ne comportent pas la dénomination précise du bien livré ou du service rendu si elle est couverte par le secret professionnel (par exemple : secret médical ou secret des avocats).
Quelles sont les responsabilités des différents acteurs ? Déplier En matière de protection des données personnelles, la responsabilité et les obligations des organismes vont varier en fonction de leur rôle dans le processus de facturation électronique. A cet égard, différentes qualifications peuvent être retenues : responsable, sous-traitant ou responsables conjoints du traitement.
En principe, l'entreprise qui émet et reçoit des factures électroniques ou qui transmet les données de facturation et de paiement à l’administration détermine les finalités agit en tant que responsable du traitement. À ce titre, elle doit s’assurer que le traitement mis en œuvre respecte le RGPD et doit notamment veiller à ne traiter que les données nécessaires aux objectifs poursuivis, à la sécurité des données, ainsi qu’au respect des droits des personnes (droit à l’information, droit d’accès, droit de rectification et droit à la limitation du traitement). Concernant la plateforme agréée pour la facturation électronique, elle agit en tant que sous-traitante de ses clients responsables de traitement lorsqu’elle traite des données personnelles sur leur instruction et pour leur compte.
À ce titre, les plateformes agréées sont tenues de respecter des obligations spécifiques en matière de sécurité, de confidentialité et de documentation de leur activité. Les traitements de données par un sous-traitant doivent être encadrés par un contrat avec le responsable de traitement. La plateforme agréée sera néanmoins qualifiée de responsable du traitement si elle les réutilise les données personnelles issues de la facturation électronique pour son propre compte.
Étant précisé qu’une telle réutilisation n’est possible que sous réserve de remplir certaines conditions (voir plus bas). Combien de temps doivent être conservées les factures électroniques ? Déplier Le RGPD prévoit que les données personnelles ne peuvent pas être conservées indéfiniment.
Une durée de conservation doit être déterminée par le responsable de traitement en fonction de l’objectif justifiant la collecte et le traitement de ces données. Certaines durées de conservation sont prévues par des textes. C’est le cas par exemple pour la tenue de la comptabilité (article L.123-22 du code de commerce).
La durée légale de conservation pour les documents comptables de dix ans s’applique aux factures électroniques. Est-ce que les plateformes agréées peuvent réutiliser les données de la facturation électronique ? Déplier Il est possible que les conditions générales d’utilisation (CGU) de la plateforme agréée prévoient une réutilisation des données (personnelles et non personnelles) issues de la facturation électronique pour des objectifs autres que ce qui est prévu par le code général des impôts, comme la réalisation de statistiques.
Pour rappel, un sous-traitant ne peut réutiliser des données personnelles pour son propre compte que si cette réutilisation est compatible avec le traitement initial et que le responsable du traitement lui en a donné l’autorisation écrite. En savoir plus : la réutilisation de données personnelles confiées par un responsable de traitement Quelles sont les mesures de sécurité des infrastructures et de conformité qui s’appliquent aux plateformes agréées ? Déplier Les plateformes agréées doivent garantir un niveau de sécurité élevé pour les échanges de données, conformément aux exigences réglementaires.
À ce titre, le code général des impôts prévoit qu’elles sont tenues d’être certifiées ISO 27001 et de reposer sur une solution qualifiée SecNumCloud par l’ANSSI le cas échéant. la norme ISO 27001 permet une gestion rigoureuse des risques, maîtrise des accès, des sauvegardes et gestion des incidents de sécurité ; le référentiel SecNumCloud ajoute des exigences spécifiques pour les infrastructures d’informatique en nuage (cloud), comme la localisation des données en Europe, une authentification renforcée et une traçabilité complète des opérations . Cela permet d’offrir un niveau d’assurance élevé concernant la confidentialité, l’intégrité et la disponibilité et la résilience des données traitées, en particulier lorsqu’il s’agit de données sensibles ou à caractère personnel. Ces exigences ne suffisent pas nécessairement à garantir la conformité des traitements de données personnelles au RGPD et, notamment, à l’obligation de sécurité (article 32).
Les responsables de traitement doivent évaluer si des mesures organisationnelles et techniques complémentaires apparaissent nécessaires au regard de leur situation particulière et, le cas échéant, les mettre en œuvre. Quelles sont les mesures d’identification et d’authentification des utilisateurs des plateformes agréées ? Déplier Le code général des impôts impose aux plateformes agréées de mettre en œuvre des mécanismes robustes pour vérifier l’identité des utilisateurs qui, au sein des entreprises, émettent et/ou réceptionnent des factures électroniques pour le compte de sociétés concernées, ainsi que de sécuriser l’accès aux services qu’elles proposent.
Plus précisément, le code général des impôts prévoit que les moyens d’identification électronique atteignent, à terme, un niveau de garantie substantiel au sens du règlement eIDAS (dont les spécifications techniques sont détaillées dans le règlement d’exécution 2015/1502). Ce niveau de garantie offre une sécurité renforcée contre les risques d’usurpation d’identité et de fraude. À titre transitoire, les plateformes agréées peuvent recourir à des dispositifs alternatifs, à condition que ceux-ci reposent sur : une vérification fiable de l’identité de la personne utilisatrice, notamment pour confirmer sa qualité de représentant légal, mandataire ou délégataire ; un mécanisme d’authentification à deux facteurs (2FA), incluant un facteur dynamique (mot de passe ou code à usage unique).
À noter : les spécifications techniques pour le niveau substantiel eIDAS, qui devront à terme être atteintes, comprennent aussi des exigences portant sur les deux points ci-dessus. En cas de recours à des moyens alternatifs durant la période transitoire, il pourra être utile de prévoir en amont la stratégie de mise en conformité aux exigences eIDAS à venir. Par ailleurs, la CNIL rappelle que l’authentification multifacteur est une mesure essentielle pour protéger les données personnelles, comme précisé dans sa recommandation sur l’authentification multifacteur (MFA).
Cette approche permet de réduire significativement les risques liés à l’accès non autorisé aux plateformes et à l’usurpation d’identité. Bonnes pratiques pour une mise en œuvre vertueuse Sans prescrire de solution spécifique, la CNIL encourage les plateformes agréées à privilégier des dispositifs d’identification et d’authentification qui : respectent les principes de protection des données dès la conception (privacy by design) ; intègrent des mécanismes de traçabilité permettant de vérifier l’origine et l’intégrité des transactions à des fins de sécurité. Cette approche proactive permet non seulement de se conformer aux obligations légales, mais aussi de renforcer la confiance des utilisateurs dans les services de facturation électronique.
Recommandations pour les utilisateurs des plateformes agréées Déplier Pour renforcer la sécurité de vos données et limiter les risques d’accès non autorisé, il convient de : privilégier l’utilisation de comptes individuels (un compte par utilisateur), plutôt que des comptes partagés ; éviter les identifiants génériques, qui augmentent les risques de fraude ou d’usurpation d’identité. La CNIL a publié sur son site ses recommandations sur la gestion des utilisateurs. Cette pratique d’hygiène numérique permet de : renforcer la traçabilité des actions effectuées sur la plateforme ; limiter les accès aux seules données nécessaires à chaque utilisateur ; faciliter la détection d’éventuelles anomalies ou tentatives d’intrusion.
De manière générale, les entreprises sont invitées à appliquer les mesures usuelles de sécurité, notamment la protection des secrets d’authentification, la maîtrise des habilitations et la vigilance face aux tentatives d’hameçonnage. Pour aller plus loin, l’ANSSI a publié le Guide d’hygiène informatique, qui présente 42 mesures essentielles et des modalités pratiques de mise en œuvre afin de renforcer la sécurité d’un système d’information. Ces mesures constituent un socle minimal de protection des informations de l’organisation.
Texte reference Pour approfondir Tous les contenus de la CNIL sur le commerce Texte reference Textes de référence Article 289, 289 bis et 290 et suivants du code général des impôts Article 242 nonies B à nonies P du code général des impôts (factures électroniques) Article L.123-22 du code de commerce (durée de conservation des données comptables) Article 9 du règlement général sur la protection des données ou RGPD (données sensibles) Article 32 du RGPD (sécurité des données) #Commerce#Cybersécurité#Facturation électronique Ceci peut également vous intéresser ... Sécurité des données : les règles essentielles pour protéger les données et votre activité 19 juin 2026 Cybersécurité Comment utiliser une liste repoussoir pour respecter l’opposition à la prospection ? Une personne s’étant opposée à recevoir de la prospection commerciale ou caritative auprès ...
10 juin 2026 Prospection La prospection commerciale par courrier électronique, SMS-MMS et automate d’appel La prospection commerciale par voie électronique (courrier électronique, SMS-MMS, automate ... 10 juin 2026 Prospection