Facturation électronique 2026 : vos PDP sont des sous-traitants RGPD
Le compte à rebours s'accélère : au 1er septembre 2026, les grandes entreprises et ETI françaises devront émettre leurs factures via une plateforme de dématérialisation partenaire (PDP), tandis que toutes les entreprises, sans exception, devront être en mesure d'en recevoir. Derrière cette réforme fiscale présentée comme une simplification technique se cache un chantier de conformité que peu de DPO ont encore mis à l'agenda : celui du choix, de la qualification et du contrôle de ces nouvelles plateformes, qui deviennent de facto des sous-traitants au sens du RGPD.
Ce qui s'accélère avant le 1er septembre 2026
La réforme de la facturation électronique interentreprises, portée par la DGFiP, impose un calendrier resserré. Les entreprises doivent choisir une PDP immatriculée par l'administration fiscale, capable d'émettre, transmettre et archiver les factures aux formats structurés (Factur-X, UBL, CII) exigés par la réglementation. Selon la presse spécialisée, la course s'intensifie chez les éditeurs et intégrateurs à mesure que l'échéance approche, avec un afflux de solutions techniques qui rend le choix du prestataire plus complexe qu'il n'y paraît.
Ce que beaucoup d'organisations sous-estiment : une facture n'est pas qu'un document comptable. Elle contient très souvent des données personnelles — nom et coordonnées d'un dirigeant, d'un indépendant, d'un contact client ou fournisseur personne physique. En confiant l'émission, la transmission et l'archivage de ces documents à une PDP, l'entreprise réalise une opération de sous-traitance au sens de l'article 28 du RGPD, qu'elle ait ou non anticipé cette qualification.
Pourquoi cet enjeu dépasse la facturation
La tentation est grande de traiter ce chantier comme un projet purement technique, piloté par la direction financière ou les systèmes d'information, sans validation du DPO. C'est une erreur. Le guide RGPD du sous-traitant B2B le rappelle : dès qu'un prestataire traite des données personnelles pour le compte d'une entreprise, un contrat de sous-traitance conforme à l'article 28 est obligatoire, avec des clauses précises sur la sécurité, la durée de conservation, la localisation des données et les sous-traitants ultérieurs éventuellement mobilisés par la PDP elle-même.
Le secteur le plus exposé est sans doute celui des cabinets d'experts-comptables, qui centralisent déjà les flux de facturation de nombreux clients et qui verront transiter un volume massif de données via ces plateformes. Le guide RGPD et experts comptables détaille les obligations spécifiques de ces professions, dont la responsabilité vis-à-vis de leurs clients sera directement questionnée en cas d'incident chez une PDP.
Ce que les DPO doivent vérifier dès maintenant
Trois actions concrètes s'imposent avant la bascule. D'abord, qualifier juridiquement la relation avec la PDP retenue et vérifier l'existence d'un contrat de sous-traitance complet, incluant les garanties de sécurité prévues à l'article 32 du RGPD. Ensuite, mettre à jour le registre des activités de traitement pour intégrer ce nouveau flux de données, en identifiant précisément les catégories de personnes concernées et la durée de conservation appliquée par la plateforme. Enfin, s'assurer que la PDP dispose d'un hébergement et de mesures de sécurité proportionnées au volume de données financières et personnelles qu'elle va désormais centraliser, notamment en cas de sous-traitance ultérieure de l'hébergement ou du support technique.
Les organisations qui n'ont pas encore engagé cette revue disposent d'une fenêtre de plus en plus courte : la bascule technique occupe déjà les équipes IT et comptables, et la dimension RGPD risque d'être traitée en urgence, après coup, si le DPO n'est pas associé au choix du prestataire dès la phase de sélection.
Ce que Leto pense de cette échéance
Cette réforme illustre une dynamique récurrente : une obligation présentée comme purement fiscale ou technique génère, en creux, une nouvelle chaîne de sous-traitance RGPD que personne n'a explicitement anticipée. Notre conviction chez Leto est que le choix d'une PDP ne devrait jamais se limiter à un critère de compatibilité comptable ou de prix : c'est une décision de conformité à part entière, qui mérite le même niveau d'exigence que le choix d'un hébergeur cloud ou d'un outil CRM. Les entreprises qui traitent cette échéance comme un simple projet IT prennent un risque qu'elles ne mesureront qu'au moment d'un contrôle ou d'un incident.
