DAC7 : les obligations déclaratives des plateformes

En 2022, dernière année du dispositif Écollab, 138 plateformes ont déclaré à l’administration fiscale française 3,3 millions de vendeurs tiers, un milliard de transactions et 39 milliards d’euros de chiffre d’affaires. C’est le chiffre publié par la DGFiP dans son étude « Économie des plateformes » de novembre 2025. Depuis le 1er janvier 2023, ce flux relève de DAC7 — et il repose entièrement sur un traitement de données personnelles que la loi impose à l’opérateur de plateforme.

C’est le point aveugle du sujet. DAC7 est traité partout comme une obligation fiscale, jamais comme ce qu’elle est aussi : une collecte de numéro d’identification fiscale, de date de naissance et d’adresse, sur des personnes physiques, avec transfert à l’administration puis échange automatique vers des administrations étrangères. L’article 1649 ter D du code général des impôts le dit d’ailleurs sans détour : ces diligences sont mises en œuvre « y compris au moyen de traitements de données à caractère personnel », et « ces traitements éventuels sont soumis à la loi n° 78-17 du 6 janvier 1978 ».

Voici ce que le texte exige exactement, ce que la plupart des articles publiés sur DAC7 rapportent de travers — à commencer par le montant des amendes — et ce qu’il reste à faire côté conformité.

Ce qu’est DAC7 et qui est réellement concerné

DAC7 est le nom usuel de la directive (UE) 2021/514 du Conseil du 22 mars 2021, qui modifie la directive 2011/16/UE sur la coopération administrative en matière fiscale. Elle a été transposée en France par l’article 134 de la loi n° 2021-1900 du 30 décembre 2021 de finances pour 2022, aux articles 1649 ter A à 1649 ter E du CGI, précisés par le décret n° 2022-1661 du 26 décembre 2022 (articles 344 G duodecies à 344 G vicies de l’annexe III au CGI) et un arrêté du même jour. Le dispositif succède à Écollab, qui figurait à l’article 242 bis du CGI.

L’article 1649 ter A, I vise « l’entreprise ou l’organisme qui, en qualité d’opérateur de plateforme, met à la disposition d’utilisateurs un dispositif permettant une mise en relation par voie électronique » afin d’effectuer, directement ou indirectement, quatre catégories d’opérations :

Opération visée	Portée exacte
Vente d’un bien	Toutes ventes, quel que soit le statut du vendeur
Fourniture d’un service	Uniquement les services fournis par des personnes physiques
Location d’un mode de transport	Voiture, deux-roues, bateau, etc.
Location d’un bien immobilier	« De toute nature » : logement, bureau, parking, terrain

La restriction sur les services est celle que l’on oublie le plus souvent. Une place de marché B2B qui met en relation des sociétés prestataires n’entre pas dans le champ au titre des services — mais y entre au titre des ventes de biens si elle en facilite. Beaucoup de plateformes hybrides raisonnent en bloc alors que le texte raisonne par flux.

Deux précisions utiles, issues de la réponse ministérielle à la question écrite n° 4480 de Mme Claudia Rouaux (JO Assemblée nationale du 3 juin 2025, p. 4327). D’une part, les plateformes de simple diffusion de contenus, qui n’exercent aucune intermédiation, sont hors champ. D’autre part, en s’appuyant sur l’interprétation des règles types de l’OCDE, le gouvernement considère que la fourniture d’un contenu audiovisuel personnalisé à la demande du consommateur constitue un « service personnel » déclarable — ce qui fait entrer les plateformes de contenus par abonnement dans le dispositif.

Quelle plateforme doit déposer la déclaration en France

L’article 1649 ter B pose le rattachement. Vous déclarez en France si vous y êtes résident, ou si, sans y être résident, vous êtes constitué selon la législation française, y avez votre siège de direction ou un établissement stable. Une plateforme qui remplit l’un de ces critères dans plusieurs États membres n’a pas à déclarer en France si elle s’acquitte de ses obligations dans un autre État membre : c’est le mécanisme d’unicité de la déclaration.

Cet article a été modifié par l’article 54 de la loi n° 2025-127 du 14 février 2025 de finances pour 2025, entrée en vigueur le 16 février 2025. Un opérateur non résident de l’Union ne déclare désormais que les opérations qui ne relèvent pas d’une convention remplissant trois conditions cumulatives : elle permet l’échange automatique d’informations sur les opérations de plateforme, elle est conclue avec les États membres identifiés comme devant faire l’objet d’une déclaration, et elle est reconnue d’effet équivalent par un acte d’exécution de la Commission européenne. Un nouveau I bis écarte par ailleurs les critères de l’établissement stable et du rattachement volontaire lorsque cette convention couvre tous les types d’opérations et tous les États membres.

Enfin, l’article 1649 ter B, II ouvre une dispense complète — ni déclaration, ni diligences — à l’opérateur qui justifie annuellement que son modèle commercial ne comporte aucun vendeur à déclarer. La dispense n’est pas automatique : elle se justifie, chaque année, et il faut en conserver la trace.

Quels vendeurs déclarer, et lesquels exclure

L’article 1649 ter C, I retient les vendeurs et prestataires qui ont réalisé une opération visée ou perçu une contrepartie à ce titre, et qui sont résidents de France, d’un autre État membre, ou d’un État ayant conclu avec la France une convention d’échange automatique — ou qui ont loué un bien immobilier situé dans l’un de ces États.

Le II énumère quatre exclusions :

Vendeur exclu	Condition exacte
Entité publique	Sans condition
Entité cotée	Actions négociées régulièrement sur un marché réglementé, ou entité liée à une telle entité
Gros loueur immobilier	Plus de 2 000 opérations de location facilitées pour un même lot sur la période
Petit vendeur de biens	Moins de 30 opérations de vente de biens et contrepartie totale n’excédant pas 2 000 €

Ce dernier seuil est celui que le grand public connaît sous le nom de « seuil Vinted », et il est constamment mal cité. Trois erreurs reviennent.

Il est cumulatif : 25 ventes pour 3 000 € sont déclarables, tout comme 40 ventes pour 800 €. Il ne s’applique qu’aux ventes de biens : un prestataire de services, un loueur de véhicule ou un loueur immobilier est déclarable dès la première opération. Et il ne dit rien de la fiscalité du vendeur : un vendeur non déclarable au titre de DAC7 peut être imposable, un vendeur déclaré peut ne rien devoir. DAC7 est un canal d’information, pas une assiette. C’est un point qu’il est utile de rappeler dans vos réponses au support, où la confusion est permanente — le sujet nourrit d’ailleurs une bonne part des litiges entre particuliers et plateformes de seconde main.

Un angle mort assumé du dispositif mérite d’être connu. La DGFiP relève elle-même, dans son étude de novembre 2025, que « la continuité n’est pas parfaitement assurée entre les deux dispositifs car seuls les vendeurs tiers européens sont couverts par DAC7 alors qu’Écollab renseignait également les transactions des vendeurs tiers non européens ». Or, en 2022, 59,5 % des ventes de biens étaient réalisées par des vendeurs situés hors de France, la Chine représentant à elle seule 26,1 % du total. DAC7 voit donc nettement moins de vendeurs de biens qu’Écollab n’en voyait — ce qui, pour une marketplace ou un acteur du dropshipping, ne change rien à l’obligation, mais explique pourquoi la pression de contrôle porte surtout sur la qualité des données déclarées plutôt que sur leur volume.

Les données à collecter, article par article

Le contenu de la déclaration est fixé par l’article 1649 ter A, II du CGI et détaillé à l’article 344 G terdecies de l’annexe III, modifié par le décret n° 2023-422 du 31 mai 2023. C’est ce tableau qu’il faut mettre en face de votre schéma de base de données.

Vendeur personne physique	Vendeur entité
Nom et prénom	Raison ou dénomination sociale
Date de naissance	—
Adresse principale	Adresse du siège social
NIF + État ou territoire de délivrance	NIF + État ou territoire de délivrance
Le cas échéant, numéro de TVA	Le cas échéant, numéro de TVA
—	Numéro d’immatriculation d’entreprise + État de délivrance
—	Existence d’un établissement stable dans l’UE, avec les États membres concernés

À quoi s’ajoutent, pour tous : l’État de résidence fiscale, le montant total de la contrepartie perçue par trimestre avec le nombre d’opérations, et tous frais, commissions ou taxes retenus par l’opérateur sur la même périodicité. Pour la location immobilière, l’adresse et, le cas échéant, le numéro d’enregistrement foncier de chaque lot, ainsi que le nombre de jours et le type de location. Lorsque le titulaire du compte bancaire crédité diffère du vendeur, ses coordonnées d’identification et l’identifiant du compte doivent être déclarés — sauf pour les résidents des États figurant sur la liste de l’arrêté du 26 décembre 2022 comme n’ayant pas l’intention d’utiliser ces informations.

Deux subtilités. Lorsque le vendeur réside dans un État qui ne délivre pas de NIF, le lieu de naissance doit être déclaré à la place — pour les résidents de l’Union et pour les loueurs de biens situés dans l’Union. Et la résidence fiscale peut être confirmée par un service d’identification électronique, ce qui déclenche une mention spécifique dans la déclaration.

La déclaration est souscrite par voie électronique au plus tard le 31 janvier de l’année suivant celle des opérations (art. 1649 ter A, III). Pour les opérations de 2026, l’échéance est donc le 31 janvier 2027. Les administrations fiscales s’échangent ensuite ces données au plus tard le dernier jour du mois de février.

Les diligences : identification, vérification, fermeture du compte

L’article 1649 ter D, I met à la charge de l’opérateur une obligation de moyens renforcée. Il faut identifier les vendeurs et, le cas échéant, les biens immobiliers loués, collecter les éléments de résidence fiscale et les NIF, puis — c’est le verbe important — vérifier la fiabilité des informations collectées. Le décret précise que les diligences doivent être accomplies avant le 31 décembre de l’année de déclaration, avec possibilité de réutiliser des diligences antérieures sous réserve d’une vérification dans les 36 mois.

Le texte prévoit ensuite un mécanisme coercitif que beaucoup de plateformes n’ont pas outillé :

Lorsque, après deux rappels de l’opérateur de plateforme, un vendeur ou un prestataire ne fournit pas les informations nécessaires, l’opérateur de plateforme ferme le compte du vendeur ou du prestataire dans un délai ne pouvant être inférieur à soixante jours et empêche celui-ci de s’enregistrer de nouveau sur la plateforme.

Trois conséquences pratiques. Le délai de soixante jours est un plancher, pas un délai couperet : rien n’interdit de laisser davantage de temps. La réinscription reste possible, mais elle est conditionnée à la présentation de « garanties suffisantes » — c’est-à-dire à une appréciation humaine, dont il faut garder la trace. Et l’ensemble doit figurer dans vos conditions générales : fermer un compte marchand sans clause l’ayant prévu vous expose sur le terrain contractuel, alors même que vous exécutez une obligation légale. Si vos CGV de place de marché ne mentionnent pas DAC7, c’est le premier chantier.

L’opérateur doit enfin tenir « un registre des démarches entreprises et des informations collectées » et en conserver les données pendant dix ans.

Le volet RGPD que le code général des impôts ne couvre pas

C’est la partie du dossier que les cabinets fiscaux traitent rarement et que les DPO découvrent souvent après coup. DAC7 crée un traitement de données personnelles à part entière, et se conformer au CGI ne suffit pas à être conforme au RGPD.

Base légale : obligation légale, et rien d’autre

Le traitement repose sur l’article 6(1)© du RGPD — le respect d’une obligation légale à laquelle le responsable de traitement est soumis — avec pour fondement en droit national les articles 1649 ter A et 1649 ter D du CGI. C’est une base solide, à condition de ne pas la déborder. Deux dérives fréquentes : réutiliser le NIF collecté pour DAC7 à des fins de lutte contre la fraude interne, ou conserver les données au-delà du nécessaire au motif que « c’est fiscal ». L’obligation légale ne couvre que ce que la loi impose, ni plus ni moins ; toute finalité supplémentaire appelle sa propre base légale au sens de l’article 6 du RGPD.

Un point de précision utile : le NIF n’est pas le NIR. Le régime protecteur du numéro de sécurité sociale, prévu à l’article 30 de la loi Informatique et Libertés, ne s’applique pas au numéro fiscal. Cela ne dispense évidemment pas des mesures de sécurité de l’article 32 du RGPD : un fichier associant nom, date de naissance, adresse, NIF et montants perçus est, en cas de fuite, un kit d’usurpation d’identité fiscale prêt à l’emploi.

Information des personnes : le CGI en dit trop peu

L’article 1649 ter D, II impose d’informer chaque vendeur personne physique que les données transmises à l’administration fiscale « peuvent être communiquées à l’administration fiscale d’un autre État membre » ou d’un État conventionné. Le III impose de lui fournir, dans le même délai que la déclaration, les informations transmises le concernant — c’est l’objet des modèles d’attestation annuelle publiés par la DGFiP.

Ces deux obligations ne recouvrent pas l’information exigée par le RGPD. Les données étant collectées auprès du vendeur lui-même, c’est l’article 13 du RGPD qui s’applique, et il exige davantage : finalités et base légale, catégories de destinataires, durée de conservation, droits de la personne, coordonnées du DPO. Lorsque la résidence fiscale est confirmée par un service d’identification électronique tiers, une partie des données ne provient plus de la personne : l’article 14 entre alors en jeu, avec ses délais propres.

Utiliser l’attestation DGFiP comme unique support d’information est donc une erreur de méthode : elle satisfait le CGI, pas le RGPD. En pratique, il faut une section dédiée dans la politique de confidentialité et une mention d’information au moment de la collecte du NIF, dans le parcours d’onboarding vendeur.

Le Contrôleur européen de la protection des données ne disait pas autre chose dans son avis 6/2020 du 28 octobre 2020 sur la proposition DAC7, où il saluait précisément l’introduction d’une obligation d’informer chaque personne « en temps utile et, en tout état de cause, avant que les informations ne soient déclarées ». Le même avis jugeait en revanche trop large la faculté de transmettre « toute autre information d’identification disponible » sur le titulaire du compte financier, et recommandait de la restreindre aux seules informations d’identification financière.

Durées de conservation : dix ans, mais dix ans de quoi

Le CGI fixe une durée de dix ans pour le registre des démarches entreprises et des informations collectées. Il ne dit pas que l’intégralité des données vendeurs doit être conservée dix ans. La distinction n’est pas cosmétique : le principe de limitation de la conservation, à l’article 5(1)(e) du RGPD, impose de justifier chaque durée par une finalité. À l’inverse, la prescription des sanctions DAC7 est de quatre ans à compter de l’année de commission de l’infraction (art. L. 188, al. 2 du LPF).

Une politique défendable distingue donc au moins trois horizons : le registre de conformité à dix ans, les pièces justificatives de la déclaration alignées sur la prescription applicable, et les données de compte vendeur régies par vos durées de conservation ordinaires. C’est exactement le type d’arbitrage à documenter, pas à improviser.

Fermeture automatique du compte et article 22

Si vous automatisez intégralement la chaîne « deux rappels sans réponse → fermeture du compte → blocage de la réinscription », vous produisez une décision fondée exclusivement sur un traitement automatisé, produisant des effets juridiques à l’égard du vendeur — la privation de son canal de vente. C’est le champ de l’article 22 du RGPD.

L’analyse ne conduit pas à interdire l’automatisation. L’article 22(2)(b) admet la décision automatisée lorsqu’elle est autorisée par le droit d’un État membre, ce qui est le cas ici, mais à la condition que ce droit prévoie « des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée ». Le CGI en prévoit deux : le délai plancher de soixante jours et la faculté de réinscription. Ma lecture est qu’il faut les compléter côté plateforme par un canal de contestation identifié et une intervention humaine avant fermeture définitive — ce qui est de toute façon prudent commercialement. Le raisonnement est le même que pour tout dispositif de profilage : la légalité de la finalité ne dispense pas des garanties procédurales.

Rectification, sous-traitance, AIPD, registre

Quatre chantiers complètent le tableau.

Rectification. Un vendeur qui conteste les montants déclarés exerce son droit de rectification au titre de l’article 16 du RGPD. Il faut une procédure : reprise du calcul, correction, et déclaration rectificative si la campagne est passée. C’est aussi ce qui vous évite le barème « erreurs et omissions » décrit plus bas.

Sous-traitance. La très grande majorité des plateformes délèguent le calcul et le dépôt de la déclaration à un prestataire spécialisé. Celui-ci est un sous-traitant au sens du RGPD : il faut un contrat conforme à l’article 28, avec la question du lieu d’hébergement et, le cas échéant, un encadrement des transferts hors UE.

AIPD. Une analyse d’impact n’est pas automatiquement requise. Elle le devient lorsque plusieurs critères se cumulent : traitement à grande échelle, données collectées à une fin étrangère à la relation commerciale initiale, croisement de fichiers, et, précisément, décision automatisée avec effet significatif. Pour une place de marché de taille significative, la réponse est le plus souvent positive.

Registre. Le traitement DAC7 mérite sa propre fiche dans votre registre des activités de traitement, distincte de la fiche « gestion des comptes vendeurs » : la finalité, la base légale, les destinataires et la durée diffèrent. C’est typiquement le genre d’arbitrage que Legiscope permet de tracer une fois pour toutes, plutôt que de le reconstituer à chaque campagne déclarative.

Sanctions : le vrai barème, et un chiffre qui circule à tort

Commençons par la correction. On lit régulièrement, y compris sous la plume de prestataires, que DAC7 serait sanctionné en France par « une amende de 5 000 € par vendeur non déclaré, plafonnée à 5 % du chiffre d’affaires annuel de la plateforme ». Cette règle n’existe pas en droit français. Aucune disposition du CGI ne la prévoit. Elle provient de la transposition d’autres États membres et n’a pas à être reprise dans une note de conformité française.

Le texte applicable est le XI de l’article 1736 du CGI : les infractions à l’article 1649 ter A et aux I ou III de l’article 1649 ter D sont passibles d’une amende forfaitaire qui ne peut excéder 50 000 €. Il s’agit d’un plafond, et le BOFiP BOI-INT-AEA-30-50 publie l’échelle effectivement retenue, appréciée sur la période allant de l’année N à N-3 :

Manquement	1ʳᵉ infraction	2ᵉ	3ᵉ	4ᵉ
Dépôt tardif spontané	Aucune pénalité	≤ 5 000 €	≤ 15 000 €	≤ 50 000 €
Absence de déclaration	≤ 10 000 €	≤ 25 000 €	≤ 50 000 €	—
Erreurs corrigées spontanément	Aucune pénalité	10 € par erreur, ≤ 5 000 €	≤ 15 000 €	≤ 50 000 €
Erreurs non corrigées	20 € par erreur, ≤ 10 000 €	≤ 25 000 €	≤ 50 000 €	—
Manquement aux diligences (1649 ter D, I) ou à l’information des vendeurs (1649 ter D, III)	≤ 10 000 €	≤ 20 000 €	≤ 50 000 €	—

Deux enseignements. Le premier dépôt tardif spontané et la première correction spontanée ne sont pas sanctionnés : c’est une application du droit à l’erreur, et cela change radicalement l’arbitrage lorsqu’on découvre une anomalie en cours d’année. Le second : le manquement à l’obligation d’informer les vendeurs est sanctionné au même barème que le défaut de diligences, jusqu’à 50 000 €. L’attestation annuelle n’est pas une politesse commerciale.

La prescription est de quatre ans à compter de l’année de commission de l’infraction (art. L. 188, al. 2 du LPF).

Pour les opérateurs non européens enregistrés en France au titre de l’article 1649 ter B, I, 3°, l’article 1740 E ajoute une procédure autonome : mise en demeure de régulariser dans un délai de trois mois, puis seconde mise en demeure à trente jours, puis retrait du numéro d’enregistrement individuel à l’expiration d’un délai de trois mois. Une nouvelle demande n’est recevable qu’après six mois, et à la condition de présenter des garanties suffisantes. Point souvent ignoré, signalé au § 110 du BOFiP précité : le déclenchement de cette procédure exclut l’application de l’amende de l’article 1736, XI pour la même année.

Ce qui change en 2026 : contrôle dédié et arrivée de DAC8

Deux évolutions récentes modifient l’exposition des plateformes.

Un droit de contrôle dédié. Le même article 54 de la loi de finances pour 2025 a créé, au livre des procédures fiscales, un article L. 80 R qui donne expressément aux agents de la DGFiP un droit de contrôle sur le respect, par les opérateurs de plateforme, de leurs obligations découlant de l’article 1649 ter D — donc des diligences et de l’information des vendeurs — avec la faculté d’exiger tout document utile « sans que leur soit opposé le secret professionnel ». Avant 2025, le contrôle passait par les procédures de droit commun. Il existe désormais un fondement dédié, ce qui vaut signal.

DAC8. La directive (UE) 2023/2226 du 17 octobre 2023 étend le mécanisme aux crypto-actifs. Elle a été transposée par ce même article 54, aux articles 1649 AC bis à 1649 AC sexies du CGI. Les prestataires de services sur crypto-actifs collectent et vérifient les données de leurs utilisateurs depuis le 1er janvier 2026, pour une première déclaration en 2027. Le Contrôleur européen de la protection des données avait, dans son avis 9/2023 du 3 avril 2023, formulé deux réserves qui restent d’actualité pour qui construit son dispositif : il demandait une liste exhaustive des finalités secondaires autorisées, la proposition ouvrant la réutilisation des données à la TVA, aux douanes et à la lutte anti-blanchiment ; et il réclamait une durée maximale harmonisée de conservation, le texte ne fixant qu’un minimum de cinq ans.

Si vous opérez à la fois une place de marché et un service sur actifs numériques, les deux dispositifs coexistent avec des périmètres, des seuils et des échéances distincts. Ne les fusionnez pas dans une fiche de registre unique.

Plan d’action en huit étapes

1. Qualifier flux par flux. Ventes de biens, services rendus par des personnes physiques, location de transport, location immobilière : chaque flux entre ou non dans le champ. Documentez la qualification, y compris négative — c’est elle qui fonde la dispense annuelle de l’article 1649 ter B, II.
2. Déterminer l’État de dépôt. Résidence, constitution, siège de direction, établissement stable, et le cas échéant l’unicité de déclaration au sein de l’Union.
3. Cartographier l’écart de données. Confrontez le tableau de l’article 344 G terdecies à votre base : le NIF et la date de naissance manquent presque toujours dans les comptes ouverts avant 2023.
4. Industrialiser la collecte du NIF. Formulaire d’onboarding, relances, et surtout contrôle de format et de cohérence — l’obligation de « vérifier la fiabilité » est une obligation autonome, sanctionnée pour elle-même.
5. Écrire la procédure des deux rappels. Modèles de relance, horloge des soixante jours, canal de contestation, intervention humaine avant fermeture, critères de réinscription, journalisation. Et la clause correspondante dans les CGV.
6. Traiter le volet RGPD. Fiche de registre dédiée, mention d’information au moment de la collecte, section dans la politique de confidentialité, politique de durées à trois horizons, contrat article 28 avec le prestataire déclaratif, AIPD si les critères sont réunis.
7. Préparer l’attestation annuelle. Génération automatique pour chaque vendeur déclaré, envoi avant le 31 janvier, preuve d’envoi conservée. C’est un manquement sanctionné jusqu’à 50 000 €.
8. Tester le dépôt à blanc. Le schéma XSD et le cahier des charges DPI-DAC7 sont publiés par la DGFiP. Un test en novembre coûte infiniment moins cher qu’un rejet le 30 janvier.

Cinq erreurs fréquentes

Appliquer le seuil des 30 opérations à tous les vendeurs. Il ne vaut que pour les ventes de biens. Un prestataire de services personne physique est déclarable dès le premier euro.

Croire que le seuil détermine l’imposition du vendeur. DAC7 organise une transmission d’information. La fiscalité du vendeur obéit à ses propres règles.

Reprendre le barème de 5 000 € par vendeur. Il n’existe pas en droit français. Le plafond est de 50 000 €, avec l’échelle du BOFiP et une première infraction spontanée non sanctionnée.

Traiter l’attestation vendeur comme une obligation RGPD. Elle exécute l’article 1649 ter D, III du CGI. L’information au sens de l’article 13 du RGPD est distincte, plus large, et doit intervenir au moment de la collecte.

Conserver dix ans toutes les données vendeurs. La durée décennale vise le registre des démarches, pas l’ensemble du fichier.

Ce qu’il faut retenir

• DAC7 (articles 1649 ter A à 1649 ter E du CGI) impose une déclaration annuelle au 31 janvier des vendeurs et prestataires, avec identification, NIF, date de naissance, adresse et montants trimestriels.
• Le seuil d’exclusion est cumulatif et limité aux ventes de biens : moins de 30 opérations et 2 000 € au plus. Les services rendus par des personnes physiques, la location de transport et la location immobilière sont déclarables dès la première opération.
• La sanction est une amende forfaitaire plafonnée à 50 000 € (art. 1736, XI du CGI), selon un barème progressif publié au BOFiP ; le premier dépôt tardif spontané n’est pas sanctionné. Le chiffre de « 5 000 € par vendeur » qui circule n’est pas du droit français.
• DAC7 est aussi un traitement de données personnelles : base légale d’obligation légale, information au titre de l’article 13 du RGPD distincte de l’attestation fiscale, durées de conservation à documenter, article 22 à examiner si la fermeture de compte est automatisée, contrat article 28 avec le prestataire déclaratif.
• Deux nouveautés à intégrer : le droit de contrôle dédié de l’article L. 80 R du LPF, créé par la loi de finances pour 2025, et DAC8, applicable aux prestataires sur crypto-actifs depuis le 1er janvier 2026.

Recevez nos analyses conformité

Les échéances DAC7, DAC8, facturation électronique et RGPD s’empilent, et chacune modifie un flux de données existant. Nous publions chaque semaine une analyse des textes et des décisions qui comptent, sans reprise de communiqué. Inscrivez-vous à la newsletter.

FAQ

Ma marketplace doit-elle déclarer les vendeurs professionnels ?

Oui, si les opérations entrent dans le champ. Le statut du vendeur n’est pas un critère d’exclusion en soi : les seules exclusions de l’article 1649 ter C, II visent les entités publiques, les entités cotées ou liées à une entité cotée, les loueurs de plus de 2 000 opérations sur un même lot, et les petits vendeurs de biens sous le double seuil. Une société commerciale ordinaire est déclarable, avec en outre son numéro d’immatriculation et l’indication d’un éventuel établissement stable dans l’Union.

Faut-il le consentement du vendeur pour transmettre son NIF à l’administration ?

Non, et il ne faut surtout pas le demander. Le traitement repose sur l’obligation légale de l’article 6(1)© du RGPD, fondée sur les articles 1649 ter A et 1649 ter D du CGI. Solliciter un consentement laisserait croire au vendeur qu’il peut refuser, alors que le refus persistant conduit à la fermeture de son compte. En revanche, l’information de la personne est obligatoire, au titre du CGI comme du RGPD.

Que se passe-t-il si un vendeur refuse de communiquer son numéro fiscal ?

L’article 1649 ter D, I impose deux rappels. À défaut de réponse, l’opérateur ferme le compte dans un délai qui ne peut être inférieur à soixante jours et empêche la réinscription. Celle-ci reste possible ensuite, à condition que le vendeur présente des garanties suffisantes de son engagement à fournir les informations. Il est recommandé de prévoir cette hypothèse dans les conditions générales et de conserver la trace de chaque rappel.

Une plateforme établie hors de l’Union européenne est-elle concernée ?

Elle peut l’être. L’article 1649 ter B, I, 3° vise l’opérateur qui facilite des opérations réalisées par des personnes domiciliées dans un État membre ou portant sur des biens immobiliers qui y sont situés, et qui choisit de déclarer en France. Il doit alors s’enregistrer auprès de l’administration, qui lui attribue un numéro d’enregistrement individuel (art. 1649 ter E). Depuis la loi de finances pour 2025, l’existence d’une convention reconnue d’effet équivalent par un acte d’exécution de la Commission réduit le périmètre à déclarer.

Faut-il réaliser une analyse d’impact pour le traitement DAC7 ?

Il n’y a pas d’automatisme. L’analyse d’impact s’impose lorsque le traitement est susceptible d’engendrer un risque élevé, ce qui s’apprécie au regard de critères cumulatifs : grande échelle, données utilisées à une fin étrangère à la relation initiale, croisement de fichiers, décision automatisée produisant un effet significatif. Pour une place de marché comptant plusieurs milliers de vendeurs et automatisant la fermeture de compte, la réponse est généralement positive.

DAC7 remplace-t-il l’ancienne déclaration de l’article 242 bis du CGI ?

Oui pour la déclaration annuelle : le dispositif Écollab a été remplacé par DAC7 pour les opérations réalisées à compter du 1er janvier 2023, déclarées à partir de 2024. L’article 242 bis conserve en revanche ses obligations propres d’information des utilisateurs sur leurs obligations fiscales et sociales, qui répondent à une autre logique et ne se confondent pas avec l’attestation de l’article 1649 ter D, III.