Facturation électronique 2026 : et vos données personnelles ?

Sources officielles consultées le 16 septembre 2026 : CNIL, « Facturation électronique : quels enjeux pour la protection des données personnelles ? », publiée le 10 septembre 2026 ; impots.gouv.fr, « Je découvre la facturation électronique » ; economie.gouv.fr, « Tout savoir sur la facturation électronique pour les entreprises ».

La réforme de la facturation électronique entre entreprises est entrée en vigueur, et elle soulève des questions concrètes pour les TPE et PME de la Drôme et de l’Ardèche. Au-delà du volet fiscal, il y a un enjeu que beaucoup d’entreprises négligent : la protection des données personnelles. La CNIL a publié une note pour aider à comprendre les enjeux. Voici ce qu’elle dit, sans extrapolation.

Ce que dit officiellement la CNIL

Selon la publication de la CNIL du 10 septembre 2026, la réforme s’applique en deux temps :

• Depuis le 1er septembre 2026 : toutes les entreprises doivent pouvoir recevoir des factures électroniques. Les grandes entreprises et les entreprises de taille intermédiaire (ETI) doivent aussi pouvoir en émettre.
• À partir du 1er septembre 2027 : les micro-entreprises, TPE et PME devront à leur tour émettre leurs factures électroniques. L’obligation de réception s’applique déjà à toutes les entreprises depuis le 1er septembre 2026.

En pratique, la CNIL précise les obligations :

• émettre et recevoir des factures électroniques pour toute transaction entre entreprises françaises assujetties à la TVA ;
• transmettre à l’administration les données de transaction et de paiement pour les ventes aux particuliers et aux entreprises étrangères (principalement des données d’activité agrégées par jour, comme le chiffre d’affaires HT).

Point clé du dispositif : la transmission des factures passera désormais par une plateforme agréée par l’État, directement ou via une solution compatible. Chaque entreprise devra désigner sa plateforme pour émettre, recevoir ou transmettre ses données.

Si vous êtes une micro-entreprise, une TPE ou une PME, la partie qui vous concerne dès maintenant est donc surtout la réception des factures électroniques ; l’obligation d’émission et le e-reporting arrivent le 1er septembre 2027.

Vos factures contiennent-elles des données personnelles ?

La CNIL rappelle un principe important : le RGPD et la loi Informatique et Libertés ne s’appliquent qu’aux données de personnes physiques, pas aux personnes morales (les entreprises).

Concrètement, d’après la CNIL :

• Une facture ne contenant que des données relatives à une personne morale (nom de l’entreprise, adresse, téléphone du standard, email de contact générique, SIREN, SIRET) n’est pas soumise au RGPD.
• En revanche, les informations concernant des personnes physiques sont protégées : nom, prénom, adresse email professionnelle nominative, SIRET/SIREN, adresse de l’entreprise lorsqu’elle correspond au domicile de la personne, etc.

La CNIL souligne que les entreprises individuelles, auto-entrepreneurs et professions libérales entrent dans ce champ, puisqu’ils exercent en leur nom propre. Beaucoup d’artisans et de professions libérales à Valence, Romans-sur-Isère ou Montélimar sont donc directement concernés, à la fois comme émetteurs et comme destinataires de factures nominatives.

Selon la CNIL, dans un grand nombre de cas les informations de facturation ne concernent pas une personne physique, si bien que le RGPD n’a vocation à s’appliquer que dans un nombre réduit de situations. Mais « réduit » ne veut pas dire « inexistant » : il faut vérifier au cas par cas.

Attention au libellé de vos factures

C’est le point le plus concret pour la gestion quotidienne. La CNIL rappelle que certains champs de facture peuvent être personnalisés et contenir, parfois sans y penser, des données personnelles.

Le principe de minimisation du RGPD impose de ne conserver que les données adéquates, pertinentes et limitées au nécessaire. La CNIL donne un exemple :

• Préférez une référence de dossier (« Factures lunettes, dossier n° XXX ») plutôt que l’identité complète du client (« Facture pour les lunettes de vue de Monsieur Dupond »).

Le cas des données sensibles

La CNIL insiste sur les données sensibles visées par l’article 9 du RGPD, par exemple les données de santé. Ces informations ne peuvent, sauf exceptions, être renseignées qu’avec le consentement exprès des personnes. En l’absence de consentement, il faut se limiter à des termes neutres et objectifs (par exemple, ne pas préciser la pathologie).

La CNIL note d’ailleurs que le code général des impôts prévoit désormais que les factures électroniques ne comportent pas la dénomination précise du bien ou du service s’il est couvert par le secret professionnel (secret médical, secret des avocats).

Si vous exercez dans le paramédical, le juridique ou toute activité couverte par un secret professionnel, c’est un point à revoir sérieusement dans vos modèles de factures.

Qui est responsable de quoi ?

La CNIL clarifie les rôles, ce qui aide à savoir où se situe votre responsabilité :

• L’entreprise qui émet, reçoit ou transmet les données de facturation agit en principe comme responsable du traitement. À ce titre, elle doit veiller à ne traiter que les données nécessaires, à leur sécurité et au respect des droits des personnes (information, accès, rectification, limitation).
• La plateforme agréée agit comme sous-traitante de ses clients lorsqu’elle traite des données sur leur instruction et pour leur compte. Elle a des obligations de sécurité, de confidentialité et de documentation, encadrées par un contrat avec le responsable de traitement.
• La plateforme devient elle-même responsable de traitement si elle réutilise les données pour son propre compte, ce qui n’est possible que sous conditions.

Autrement dit : même en passant par une plateforme agréée, votre entreprise reste responsable de la conformité de ses propres traitements. La délégation technique ne transfère pas votre responsabilité juridique.

Réutilisation des données par la plateforme

La CNIL alerte sur un point à vérifier dans les CGU de la plateforme : celles-ci peuvent prévoir une réutilisation des données (par exemple à des fins de statistiques). Un sous-traitant ne peut réutiliser des données personnelles pour son propre compte que si cette réutilisation est compatible avec le traitement initial et que le responsable de traitement lui en a donné l’autorisation écrite.

Avant de choisir votre plateforme, lisez donc attentivement ce que ses conditions prévoient sur ce point.

Sécurité, conservation et choix de la plateforme

Durée de conservation

La CNIL rappelle que les données personnelles ne peuvent être conservées indéfiniment. Pour les factures électroniques, la durée légale de conservation des documents comptables est de dix ans (article L.123-22 du code de commerce).

Exigences de sécurité des plateformes

Selon la CNIL, le code général des impôts impose aux plateformes agréées :

• d’être certifiées ISO 27001 ;
• de reposer, le cas échéant, sur une solution qualifiée SecNumCloud par l’ANSSI.

La CNIL précise un point essentiel : ces exigences ne suffisent pas nécessairement à garantir la conformité au RGPD, notamment à l’obligation de sécurité de l’article 32. Les responsables de traitement doivent évaluer si des mesures organisationnelles et techniques complémentaires sont nécessaires dans leur situation, et les mettre en œuvre le cas échéant.

Côté identification, la CNIL indique que le code général des impôts impose aux plateformes des mécanismes robustes de vérification d’identité des utilisateurs, avec un objectif de niveau de garantie substantiel au sens du règlement eIDAS, avec une phase transitoire.

Ce que je recommande aux TPE/PME de la Drôme et de l’Ardèche

Les recommandations ci-dessous découlent directement de ce que la CNIL documente ; elles ne visent aucun produit particulier.

• Vérifier votre échéance : dès maintenant, être capable de recevoir des factures électroniques ; anticiper l’émission et le e-reporting d’ici au 1er septembre 2027 si vous êtes une micro-entreprise, une TPE ou une PME.
• Choisir votre plateforme en connaissance de cause : lire ses CGU, en particulier les clauses de réutilisation de données, et vérifier le contrat de sous-traitance prévu par le RGPD.
• Revoir vos modèles de factures : appliquer la minimisation, remplacer les identités par des références de dossier quand c’est possible, et bannir les données sensibles non nécessaires.
• Cas du secret professionnel : ne pas faire figurer la dénomination précise du bien ou service couvert par le secret, comme le prévoit le code général des impôts.
• Documenter vos traitements : rappelez-vous que vous restez responsable de traitement même en passant par une plateforme agréée.
• Évaluer les mesures complémentaires : la certification de la plateforme ne dispense pas d’examiner vos propres pratiques de sécurité.

Cette réorganisation de la facturation touche vos outils de gestion, vos sauvegardes et votre organisation interne. Si vous voulez cadrer ce chantier sereinement, je peux vous accompagner sur le volet technique et organisationnel via mes prestations d’infogérance et d’assistance. Pour la mise en conformité documentaire, ma checklist RGPD pour TPE est un bon point de départ, et si vos factures partent d’un logiciel maison, on peut en revoir les applications et les champs à risque.

Une limite à garder en tête

La note de la CNIL est un document d’accompagnement pédagogique. Elle n’entre pas dans le détail de chaque plateforme agréée ni dans la configuration précise de votre logiciel de facturation. Pour ces aspects, référez-vous à la documentation de votre plateforme et, si besoin, faites-vous accompagner. Je ne vous invente ni délai supplémentaire ni obligation qui ne figurerait pas dans la source officielle.

Vous avez un doute sur vos factures, votre plateforme ou votre conformité ? Contactez-moi pour faire le point ensemble, que vous soyez à Valence, Guilherand-Granges, Bourg-lès-Valence ou ailleurs en Drôme-Ardèche.