Quelles factures relèvent du RGPD ? 

Publiée le 10 septembre 2026, quelques jours après l’entrée en vigueur de la première étape de la facturation électronique obligatoire entre entreprises, la fiche de la CNIL rappelle d’abord que le RGPD et la loi Informatique et Libertés ne protègent que les données des personnes physiques. Les factures qui mentionnent uniquement des informations sur une entreprise (dénomination, adresse, numéro du standard, adresse électronique générique, numéros SIREN ou SIRET) ne sont donc pas visées. Selon la Commission, la réglementation ne concerne qu’un nombre limité de situations¹. 

Elle s’applique en revanche dès que la facture comporte des informations sur une personne physique : le nom ou l’adresse électronique nominative d’un salarié, ou encore les données d’un entrepreneur individuel, d’un auto-entrepreneur ou d’un professionnel libéral – y compris son numéro SIREN ou son adresse lorsqu’elle correspond à son domicile. 

La CNIL attire également l’attention sur les champs que les entreprises renseignent pour suivre leurs dossiers. Elle recommande ainsi d’indiquer un numéro de référence lié à un client particulier, plutôt que son identité. Les données sensibles, comme les informations de santé, ne peuvent en principe être mentionnées qu’avec le consentement exprès de la personne ; à défaut, la facture doit s’en tenir à des termes neutres. Pour les professions soumises au secret professionnel, comme les médecins ou les avocats, le Code général des impôts prévoit en outre que la dénomination précise du bien ou du service n’est pas transmise à l’administration². 

Entreprises et plateformes : des responsabilités distinctes 

L’entreprise qui émet ou reçoit des factures, ou qui transmet ses données de transaction à l’administration, agit en principe comme responsable du traitement. Il lui revient de limiter les données traitées, d’en assurer la sécurité et de respecter les droits des personnes concernées. La plateforme agréée intervient comme sous-traitante lorsqu’elle traite ces données sur instruction et pour le compte de son client. Un contrat doit alors encadrer leur relation. 

La plateforme devient toutefois responsable du traitement si elle réutilise les données pour son propre compte – par exemple à des fins statistiques prévues dans ses conditions générales. Cette réutilisation n’est possible que si elle est compatible avec le traitement initial et si l’entreprise cliente l’a autorisée par écrit. Concernant la conservation, les factures électroniques relèvent de la durée de 10 ans prévue pour les documents comptables par l’article L. 123-22 du Code de commerce. 

Sécurité et identification des utilisateurs 

Les plateformes agréées doivent être certifiées ISO 27001 et, le cas échéant, s’appuyer sur une solution qualifiée SecNumCloud par l’ANSSI. La CNIL relève que ces garanties ne suffisent pas nécessairement à respecter l’obligation de sécurité prévue par l’article 32 du RGPD : chaque entreprise doit évaluer si des mesures complémentaires sont nécessaires dans sa situation. 

L’identification des utilisateurs doit atteindre, à terme, le niveau de garantie « substantiel » défini par le règlement européen eIDAS. Dans une réponse ministérielle publiée le 27 octobre 2026, le Gouvernement indique que, jusqu’au 31 décembre 2029, les plateformes peuvent se fonder sur une vérification fiable de l’identité de l’utilisateur et de sa qualité de représentant de l’entreprise, associée à une authentification à deux facteurs. La DGFiP leur a en outre rappelé en septembre qu’elles doivent accepter les copies de pièces d’identité portant un filigrane numérique³. 

Côté entreprises, la CNIL recommande de créer un compte par utilisateur plutôt que des comptes partagés et d’éviter les identifiants génériques. Cette pratique facilite la traçabilité des opérations ainsi que la détection d’éventuelles intrusions. 

Les trois points clés à retenir 

• Un champ limité : le RGPD ne s’applique qu’aux factures contenant des données de personnes physiques, comme un salarié nommé ou un entrepreneur individuel. 

• Des rôles distincts : l’entreprise est responsable du traitement et la plateforme agréée sous-traitante, sauf si celle-ci réutilise les données pour son propre compte. 

• Une sécurité à compléter : les certifications des plateformes ne dispensent pas l’entreprise d’évaluer ses propres mesures ; la CNIL préconise la création d’un compte individuel par utilisateur.