Facturation électronique et données personnelles : découvrez l’analyse et les rappels essentiels de la CNIL pour votre conformité.
Dès le 10 septembre 2026, la CNIL rappelle l’articulation essentielle entre le Code général des impôts (CGI) et la réglementation sur la protection des données personnelles (RGPD). Si la dématérialisation obligatoire vise principalement la lutte contre la fraude à la TVA, elle crée un environnement de traitement de données qui impose aux entreprises et à leurs prestataires une rigueur juridique : un zoom sur la facturation électronique et données personnelles. Ainsi, les grands axes rappelés par la CNIL pour accompagner au mieux la mise en conformité des entreprises à la facturation électronique, désormais en vigueur depuis plus d’un mois, sont les suivants :
Délimitation du champ du RGPD et qualification des données
La CNIL rappelle que le RGPD ne s’appliquent qu’aux traitements de données à caractère personnel concernant des personnes physiques, et non aux personnes morales. Il s’agit d’un rappel essentiel compte tenu de la multitude d’entreprises concernées par la réforme de la facturation électronique. Par conséquent, les factures conclues entre deux sociétés (personnes morales) qui ne contiennent que des informations d’entreprise (raison sociale, SIREN/SIRET, adresse du siège, courriel ou téléphone générique du standard) ne constituent pas des traitements de données personnelles.
À l’inverse, le RGPD devient applicable dans les deux hypothèses suivantes très fréquentes :
• les factures adressées aux personnes physiques exerçant en nom propre : entrepreneurs individuels, micro-entrepreneurs, professions libérales. Leurs noms, prénoms, adresses (souvent confondues avec le domicile), numéros SIREN/SIRET ou adresses de courriel nominatives sont des données personnelles ;
• les données d’interlocuteurs physiques au sein de sociétés : adresses de courriel nominatives (prenom.nom@societe.com), identifiants ou numéros directs de salariés et dirigeants.
Libellé et le détail des factures
L’un des points d’attention majeurs soulevés par la CNIL concerne la personnalisation des champs libres sur les factures (rappel quant au principe de minimisation prévu à l’article 5 du RGPD). Les entreprises ont souvent tendance à insérer des détails d’exécution dans les descriptifs de factures à des fins de suivi interne. La CNIL rappelle le principe de minimisation : seules les données adéquates, pertinentes et limitées au strict nécessaire doivent y figurer. Pour le suivi d’un dossier client, l’entreprise doit privilégier la mention d’un numéro de dossier neutre plutôt que d’y faire figurer des détails nominatifs.
Certains domaines traitent des prestations couvertes par le secret professionnel ou touchant à des données sensibles, telles que des données de santé (au sens de l’article 9 du RGPD). Le CGI prévoit expressément que les factures électroniques ne doivent pas comporter la dénomination précise du bien ou du service si celle-ci est couverte par le secret professionnel (secret médical, secret de l’avocat).
En l’absence de consentement exprès, seules des formulations neutres et objectives doivent être employées.
Qualifications juridiques des acteurs et réutilisation des données
Le rôle des acteurs dans le circuit de facturation détermine l’étendue de leurs responsabilités juridiques :
- l’entreprise émettrice / réceptrice : agit en principe en tant que responsable de traitement, lorsqu’elle détermine les finalités et moyens de transmission de ses factures et données de paiement. À ce titre, elle doit garantir l’exercice des droits des personnes (information, accès, rectification, limitation) et la sécurité globale des traitements.
- la plateforme agréée : traite les données pour le compte de ses clients, agit en qualité de sous-traitant de ses clients responsable de traitement. La relation doit obligatoirement être encadrée par un contrat écrit conforme à l’article 28 du RGPD. En cas d’utilisation de données pour son propre compte, la plateforme agréée peut devenir à son tour responsable de traitement sous certaines conditions.
Exigences d’hébergement, de cybersécurité et d’authentification
La centralisation des données comptables et financières impose des garanties techniques et organisationnelles renforcées.
Certifications exigées par le CGI
Le Code général des impôts impose aux plateformes agréées :
• la certification ISO 27001 (gestion de la sécurité de l’information, contrôle des accès et gestion des incidents) ;
• la qualification SecNumCloud de l’ANSSI lorsque les solutions reposent sur un hébergement cloud. Ce référentiel garantit notamment la localisation des données en Europe, une traçabilité complète et une protection contre les législations extra-européennes.
Identification des utilisateurs et norme eIDAS
Pour lutter contre l’usurpation d’identité et les accès non autorisés, les plateformes agréées doivent mettre en œuvre une vérification d’identité robuste Plus précisément, le code général des impôts prévoit que les moyens d’identification électronique atteignent, à terme, un niveau de garantie substantiel au sens du règlement eIDAS.
Synthèse et plan d’action selon le cabinet
Dans le cadre de l’accompagnement juridique et fiscal de nos clients, la grille de lecture de la CNIL impose de valider 4 étapes opérationnelles :
- revue des modèles de factures ;
- audit des contrats de sous-traitance article 28 RGPD ;
- contrôle des garanties de sécurité : vérification du périmètre ISO 27001 / SecNumCloud des prestataires ;
- mise en conformité des accès (suppression des identifiants partagés au sein des équipes comptables et financières notamment).
Le cabinet accompagne les sociétés dans la réalisation de toutes ces étapes et dans la mise en conformité et la compréhension de ces nouvelles règles. N’hésitez pas à nous solliciter !
