Facturation électronique : pour la CNIL, la certification des plateformes ne suffit pas à garantir la conformité RGPD
Le 10 septembre 2026, la CNIL a publié une fiche consacrée aux enjeux de protection des données de la facturation électronique, alors que la réforme est entrée en vigueur le 1er septembre 2026. Le point le plus utile pour un DPO n'est pas le rappel du calendrier : c'est la limite que l'autorité pose à la certification des plateformes agréées, qui ne suffit pas à garantir la conformité RGPD.
Ce que la CNIL a publié
La fiche part du calendrier. Depuis le 1er septembre 2026, toutes les entreprises doivent pouvoir recevoir des factures électroniques, et les grandes entreprises comme les entreprises de taille intermédiaire doivent aussi pouvoir en émettre. À partir du 1er septembre 2027, l'obligation d'émettre et de recevoir s'étendra à toutes les entreprises, PME comprises. Les échanges passent par une plateforme agréée par l'État, que chaque entreprise doit désigner, directement ou au travers d'une solution compatible.
La CNIL commence par réduire le périmètre plutôt que par l'élargir. Une facture qui ne porte que des données d'entreprise, comme la raison sociale, l'adresse, le SIREN ou le SIRET, n'est pas soumise au RGPD. Le règlement ne s'applique qu'aux informations relatives à des personnes physiques : les salariés nommément identifiés, et surtout les entrepreneurs individuels, auto-entrepreneurs et professions libérales, pour qui le SIRET, le courriel nominatif ou l'adresse du domicile servant de siège sont des données personnelles. L'autorité le dit sans détour : dans un grand nombre de cas, les informations d'une facture ne concernent pas une personne physique, et le RGPD n'a vocation à s'appliquer que dans un nombre réduit de situations.
Pourquoi c'est important
Deux points de la fiche demandent un arbitrage côté DPO. Le premier est la qualification des acteurs. En principe, l'entreprise qui émet, reçoit ou transmet les données de facturation détermine les finalités : elle est responsable de traitement. La plateforme agréée agit en sous-traitante lorsqu'elle traite les données sur instruction de ses clients et pour leur compte, ce qui suppose un contrat. Leto avait documenté cette bascule avant l'entrée en vigueur. La CNIL y ajoute une condition de sortie : la plateforme devient responsable de traitement si elle réutilise pour son propre compte les données issues de la facturation. Une réutilisation prévue par les conditions générales, par exemple à des fins statistiques, n'est admise que si elle est compatible avec le traitement initial et autorisée par écrit par le responsable de traitement.
Le second point est la sécurité, et c'est là que la fiche est la plus tranchante. Le code général des impôts impose aux plateformes agréées d'être certifiées ISO 27001 et de reposer, le cas échéant, sur une solution qualifiée SecNumCloud par l'ANSSI, ce qui ajoute la localisation des données en Europe, une authentification renforcée et une traçabilité complète des opérations. La CNIL reconnaît le niveau d'assurance ainsi obtenu, puis pose la limite : ces exigences ne suffisent pas nécessairement à garantir la conformité des traitements de données personnelles au RGPD et, notamment, à l'obligation de sécurité, celle de l'article 32. L'évaluation des mesures complémentaires reste à la charge du responsable de traitement, pas du prestataire certifié.
Ce que ça change pour les organisations
- Trier les flux de facturation qui portent réellement des données personnelles : ceux qui visent des entrepreneurs individuels, auto-entrepreneurs et professions libérales, et ceux qui nomment un interlocuteur. Le reste sort du périmètre.
- Relire les libellés. La CNIL vise les champs personnalisés pour le suivi des dossiers et recommande d'y faire figurer une référence de dossier plutôt que l'identité du client, au nom de la minimisation.
- Traiter le cas des données sensibles. Un libellé peut révéler une pathologie : l'article 9 impose alors, sauf exceptions, le consentement exprès, à défaut de quoi il faut s'en tenir à des termes neutres et objectifs. Le code général des impôts prévoit désormais que la facture électronique ne comporte pas la dénomination précise du bien ou du service couverte par le secret professionnel, secret médical ou secret des avocats.
- Reprendre le contrat de la plateforme agréée : périmètre des instructions, sort de la réutilisation des données, autorisation écrite quand elle est prévue.
- Fixer la durée de conservation. La durée légale de dix ans des documents comptables, tirée de l'article L.123-22 du code de commerce, s'applique aux factures électroniques.
- Vérifier l'authentification. Le code général des impôts vise à terme un niveau de garantie substantiel au sens du règlement eIDAS ; à titre transitoire, les plateformes peuvent recourir à d'autres dispositifs, à condition qu'ils reposent sur une vérification fiable de l'identité de l'utilisateur et une authentification à deux facteurs comportant un facteur dynamique. Côté entreprise, la CNIL recommande des comptes individuels plutôt que partagés et l'abandon des identifiants génériques.
Ce que Leto en pense
La fiche est courte, mais elle remet une responsabilité là où beaucoup d'organisations croyaient l'avoir déléguée. Choisir une plateforme certifiée et qualifiée traite une partie du risque d'infrastructure ; cela ne produit ni registre à jour, ni contrat de sous-traitance revu, ni analyse de sécurité sur le traitement tel qu'il tourne chez soi. Les entreprises de taille intermédiaire sont en première ligne, puisque leur obligation d'émission est déjà en vigueur quand celle des PME attendra septembre 2027. Si ce chantier arrive dans votre registre, une démonstration de Leto montre comment nous cartographions ces traitements et les sous-traitants qui les portent.
Sources
