Depuis le 1er septembre 2026, la réforme relative à la facturation électronique entre entreprises est entrée en vigueur. La CNIL aide les entreprises à comprendre les enjeux et à assurer la sécurité des données traitées.
Qu’est-ce que la facturation électronique ?
La réforme de la facturation électronique entre entreprises est mise en œuvre en deux temps :
- depuis le 1er septembre 2026, toutes les entreprises doivent pouvoir recevoir des factures électroniques et les grandes entreprises et celles de taille intermédiaire (ETI) doivent aussi pouvoir en émettre ;
- à partir du 1er septembre 2027, toutes les entreprises devront émettre et recevoir des factures électroniques, y compris les PME.
En pratique, les obligations sont :
- d’émettre et de recevoir des factures électroniques pour toute transaction entre entreprises françaises assujetties à la TVA ;
- de transmettre les données de transaction et de paiement à l’administration en ce qui concerne les ventes aux particuliers et aux entreprises étrangères (principalement des données d’activité comme le chiffre d’affaires hors taxes (HT) agrégées par jour).
La transmission des factures se fera désormais par l’intermédiaire d’une plateforme agréée par l’État, directement ou au travers d’une solution compatible. Chaque entreprise devra désigner sa plateforme pour émettre et recevoir ses factures électroniques ou transmettre ses données de transactions.
Quelles sont les données personnelles concernées ?
La réglementation en matière de protection des données personnelles (règlement général sur la protection des données (RGPD) et loi Informatique et Libertés) ne s’applique qu’aux traitements des données de personnes physiques, et non de personnes morales (entreprises).
En matière de facturation, une facture ne contenant que des données relatives à une entreprise (le nom de l’entreprise, son adresse, le numéro de téléphone de son standard, une adresse email de contact générique, numéros de SIREN ou SIRET) ne sera pas soumise au RGPD.
En revanche, les informations concernant des personnes physiques qui travaillent au sein des entreprises ou des personnes physiques qui exercent leur activité en leur nom propre (entreprises individuelles, auto-entrepreneurs et professions libérales) sont protégées au titre de la réglementation en matière de protection des données personnelles :
- nom ;
- prénom ;
- adresse de courriel professionnel nominative ;
- SIRET, SIREN ;
- adresse de l’entreprise si c’est le domicile de la personne ;
- etc.
Dans un grand nombre de cas, les information utilisées dans le cadre de la facturation électronique ne concernent pas une personne physique, ainsi la réglementation sur la protection des données (RGPD) n’a vocation à s’appliquer que dans un nombre réduit de situations.
La CNIL développe ensuite ses recommandations concernant les points suivants :
- Quelles sont les responsabilités des différents acteurs ?
- Combien de temps doivent être conservées les factures électroniques ?
- Est-ce que les plateformes agréées peuvent réutiliser les données de la facturation électronique ?
- Quelles sont les mesures de sécurité des infrastructures et de conformité qui s’appliquent aux plateformes agréées ?
- Quelles sont les mesures d’identification et d’authentification des utilisateurs des plateformes agréées ?
- Recommandations pour les utilisateurs des plateformes agréées
Plus d'infos : https://www.cnil.fr/fr/facturation-electronique-quels-enjeux
