Facturation électronique et RGPD : ce que dit la CNIL en septembre 2026

RGPD et facturation électronique : quelles données sont concernées

Dans son article « Facturation électronique : quels enjeux pour la protection des données personnelles ? », publié le 10 septembre 2026, la CNIL rappelle que le RGPD « ne s'applique qu'aux traitements des données de personnes physiques, et non de personnes morales ». Une facture qui ne contient que le nom de l'entreprise, son adresse, le numéro du standard, un e-mail générique et le SIREN n'y est pas soumise.

En revanche, sont protégées les données des personnes qui travaillent dans l'entreprise ou qui exercent en leur nom propre, entreprises individuelles, auto-entrepreneurs et professions libérales : nom, prénom, adresse mail professionnelle nominative, SIRET ou SIREN, adresse de l'entreprise quand c'est le domicile. La CNIL conclut que le RGPD n'a vocation à s'appliquer que « dans un nombre réduit de situations ».

Libellés de facture : ne pas écrire plus que nécessaire

Certains champs de facture sont personnalisables, et c'est là que des données personnelles peuvent se glisser. Le principe de minimisation impose de n'y mettre que le nécessaire. L'exemple de la CNIL : écrire « Factures lunettes – dossier n° XXX » plutôt que « Facture pour les lunettes de vue de Monsieur Dupond ».

Les données de santé demandent une attention particulière : sans consentement exprès, s'en tenir à des termes neutres, sans préciser de pathologie. Et le code général des impôts prévoit désormais que la facture électronique ne mentionne pas la dénomination précise du bien ou du service lorsqu'elle est couverte par le secret professionnel, médical ou d'avocat. Voir notre page sur les professions de santé.

Qui est responsable : l'entreprise et sa plateforme agréée

La qualification dépend du rôle de chacun dans la chaîne de facturation.

Réutilisation des données : lire les conditions de sa plateforme

La CNIL signale que les conditions générales d'utilisation d'une plateforme agréée peuvent prévoir une réutilisation des données de facturation pour d'autres objectifs que ceux du code général des impôts, « comme la réalisation de statistiques ». Or un sous-traitant ne peut réutiliser des données personnelles pour son compte que si cette réutilisation est compatible avec le traitement initial et que le responsable du traitement lui en a donné « l'autorisation écrite ».

C'est un point à vérifier avant de signer, ou au moment de changer de plateforme agréée. La liste des opérateurs immatriculés est sur notre page plateformes agréées.

Sécurité et authentification exigées des plateformes

Selon la CNIL, le code général des impôts impose aux plateformes agréées d'être certifiées ISO 27001 et de reposer, le cas échéant, sur une solution qualifiée SecNumCloud par l'ANSSI. Il leur impose aussi de vérifier l'identité des utilisateurs, avec à terme un niveau de garantie « substantiel » au sens du règlement eIDAS. En attendant, elles peuvent recourir à une vérification fiable de l'identité et à une authentification à deux facteurs.

La CNIL précise que ces exigences « ne suffisent pas nécessairement » à garantir la conformité au RGPD : l'entreprise doit évaluer si des mesures complémentaires sont nécessaires.

Côté utilisateurs : un compte par personne

La CNIL recommande de privilégier un compte individuel par utilisateur plutôt que des comptes partagés, et d'éviter les identifiants génériques, « qui augmentent les risques de fraude ou d'usurpation d'identité ». Cela renforce la traçabilité, limite les accès au nécessaire et aide à repérer une intrusion. Elle invite aussi à protéger les secrets d'authentification et à rester vigilant face à l'hameçonnage : voir notre page sur les mots de passe et celle sur l'hameçonnage.

Enfin, la CNIL rappelle que la durée légale de conservation des documents comptables, dix ans selon l'article L.123-22 du code de commerce, s'applique aux factures électroniques.

Ce que cette page ne dit pas

Elle ne remplace pas une analyse de conformité propre à chaque entreprise, ni la lecture du contrat et des conditions de la plateforme choisie. Article de la CNIL lu le 14 septembre 2026.