Facturation électronique : implications du RGPD pour les données personnelles

L’entrée en vigueur progressive de la facturation électronique entre entreprises soulève des questions majeures en matière de protection des données personnelles. La réforme, déployée en deux phases depuis septembre 2026, impose aux acteurs économiques de repenser leurs processus tout en garantissant le respect du RGPD.

Cadre réglementaire et obligations des entreprises

Les entreprises assujetties à la TVA doivent désormais émettre et recevoir des factures électroniques via des plateformes agréées par l’État. Cette obligation s’étend progressivement : depuis septembre 2026 pour les grandes entreprises et ETI, et à partir de septembre 2027 pour l’ensemble des entreprises, y compris les PME. Les données transmises à l’administration fiscale incluent des informations agrégées sur les transactions, mais leur traitement doit respecter les principes de minimisation et de finalité.

Données personnelles : champ d’application du RGPD

Le RGPD ne s’applique qu’aux traitements concernant des personnes physiques. Ainsi, les données relatives à une entreprise (nom, adresse, SIREN/SIRET, coordonnées génériques) ne relèvent pas de cette réglementation. En revanche, les informations personnelles des dirigeants, salariés ou professionnels libéraux (nom, prénom, adresse email professionnelle nominative, SIREN/SIRET si lié à une personne physique) sont protégées.

Les entreprises doivent veiller à ne pas inclure de données sensibles (santé, opinions politiques, etc.) sans consentement explicite, conformément à l’article 9 du RGPD. Par ailleurs, le code général des impôts interdit désormais la mention de données couvertes par le secret professionnel (médical, avocat) sur les factures électroniques.

Responsabilités des acteurs et qualification des traitements

La qualification des acteurs (responsable de traitement, sous-traitant ou responsables conjoints) détermine leurs obligations en matière de protection des données. L’entreprise émettrice ou réceptrice des factures agit généralement en tant que responsable de traitement. Elle doit garantir la licéité du traitement, la sécurité des données et le respect des droits des personnes (information, accès, rectification, limitation).

Les plateformes agréées, lorsqu’elles traitent des données personnelles sur instruction de leurs clients, agissent en tant que sous-traitants. Elles doivent respecter des obligations strictes en matière de sécurité, de confidentialité et de documentation, encadrées par un contrat avec le responsable de traitement. Une réutilisation des données personnelles par la plateforme à son propre compte ne peut intervenir qu’avec l’autorisation écrite du responsable et sous réserve de compatibilité avec le traitement initial.

Durée de conservation et bonnes pratiques

Les factures électroniques, en tant que documents comptables, doivent être conservées pendant dix ans, conformément au code de commerce. Cette durée s’applique également aux données personnelles qu’elles contiennent, sous réserve de leur pertinence pour l’objectif poursuivi. Les entreprises doivent évaluer la nécessité de conserver ces données au-delà de cette période.

Recommandations pour une conformité optimale

• Minimisation des données : limiter les informations personnelles aux stricts besoins de la facturation et éviter leur inclusion dans les libellés de factures.
• Sécurité des infrastructures : garantir la confidentialité et l’intégrité des données via des mesures techniques et organisationnelles adaptées.
• Transparence et droits des personnes : informer les personnes concernées sur l’utilisation de leurs données et faciliter l’exercice de leurs droits.
• Contrats avec les plateformes : encadrer strictement les rôles et responsabilités des sous-traitants via des clauses contractuelles précises.

Source : CNIL