Données personnelles dans les factures : que garder ?

Une facture peut contenir des données personnelles, mais ce n’est pas systématique. Une dénomination de société et une adresse de service générique ne décrivent pas nécessairement une personne physique. À l’inverse, le SIREN d’un entrepreneur individuel, un contact nominatif ou une description de prestation peuvent permettre d’identifier quelqu’un.

Le contrôle doit porter sur chaque champ et son usage. Il s’applique aux factures papier comme aux fichiers électroniques, aux pièces jointes et aux copies partagées avec un client ou un prestataire.

Ce qu’il faut retenir

• Le contexte B2B n’exclut pas les données personnelles, mais toute donnée d’entreprise n’est pas personnelle.
• Conservez les mentions nécessaires et évitez les détails privés ou sensibles sans utilité démontrée.
• Une obligation de conservation protège les pièces nécessaires ; elle ne justifie pas toutes les copies et tous les usages.
• Organisez l’accès, la rectification et l’effacement selon la demande et les obligations réellement applicables.

Examiner les champs d’une facture

La CNIL, dans sa fiche du 10 septembre 2026, distingue les données de personnes morales de celles des contacts ou personnes exerçant en leur nom propre. Utilisez cette distinction pour revoir vos modèles.

Une donnée financière ou une adresse privée peut appeler une protection importante sans être une catégorie particulière de l’article 9(1). Réservez cette qualification aux catégories visées par le texte, notamment la santé, les convictions ou l’appartenance syndicale. La qualification prévue par l’article 9 du RGPD ne doit pas être remplacée par un classement intuitif « standard » ou « sensible ».

Rédiger un libellé utile sans exposer le dossier

Le libellé doit permettre de comprendre l’opération dans le respect des règles de facturation. Il n’a pas vocation à reproduire le dossier client. Séparez les informations nécessaires au justificatif comptable de celles utilisées pour le suivi métier.

Un identifiant de dossier peut réduire la divulgation directe d’un nom ou d’une situation. Il reste une donnée personnelle lorsque l’entreprise ou un destinataire peut retrouver la personne. Ne le présentez pas comme une anonymisation automatique.

L’Art. 242 nonies J encadre les données structurées transmises à l’administration et l’exception relative à la dénomination précise couverte par le secret professionnel. CGI, annexe II, Art. 242 nonies J. Pour une prestation juridique ou médicale, vérifiez le libellé admissible sans y placer des informations confidentielles superflues. Le guide des mentions obligatoires de la facture électronique aide à concilier identification de l’opération et contenu requis.

Documenter les usages au lieu d’additionner les bases légales

L’article 6(1)(c) du RGPD peut justifier le traitement nécessaire aux obligations de facturation et de conservation. Cela ne couvre pas automatiquement une analyse commerciale ou une campagne marketing réalisée à partir de l’historique.

La nécessité contractuelle de l’article 6(1)(b) concerne un contrat auquel la personne est partie. Pour le contact salarié d’une société cliente, le seul contrat entre les deux sociétés ne suffit pas à invoquer cette base. Examinez la finalité et le fondement adaptés.

Si les achats sont réutilisés pour des indicateurs ESG, documentez aussi ce traitement et limitez les données individuelles nécessaires. Le guide CSRD et données ESG présente cette analyse de réutilisation.

Informer au bon moment

Pour une collecte directe, l’article 13 du RGPD prévoit l’information lors de la collecte. Attendre systématiquement la première facture peut donc être trop tard. Lorsque les données viennent d’une autre source, appliquez les conditions et délais de l’article 14.

Une notice accessible peut couvrir les finalités de facturation, les destinataires, les bases et durées, les droits et les coordonnées de contact. Elle doit correspondre au fonctionnement réel de l’entreprise. Une liste de plateformes ou d’usages abandonnés ne permet pas aux personnes de comprendre ce qui se passe.

Répondre aux demandes de droits

Une demande d’accès porte sur les données de la personne et les informations prévues à l’article 15. Selon le contexte, la fourniture d’un document ou d’un extrait peut être nécessaire pour rendre les données compréhensibles ; protégez aussi les droits des tiers. Ne promettez pas la communication automatique de toutes les factures complètes à toute personne dont le nom y apparaît.

Pour une rectification, distinguez une donnée source erronée d’un document déjà émis. Mettez à jour le référentiel et appliquez le circuit de correction comptable ou fiscale approprié à la pièce, en conservant la traçabilité. N’effacez pas silencieusement l’historique nécessaire.

L’article 17(3)(b) permet de maintenir les données nécessaires à une obligation légale. Cette limite doit être expliquée et circonscrite. Si une facture contient un détail personnel excessif, examinez la correction possible et le sort des copies ; ne répondez pas par un refus global fondé sur le seul mot « comptabilité ».

Revoir les durées et les accès

La conservation comptable prévue par l’Art. L123-22 du Code de commerce est de dix ans. Le délai fiscal général évolue également : l’article 36 de la loi du 25 juin 2026 prévoit dix ans pour les pièces dont le délai expire après le 1er janvier 2027. Notre guide de conservation des factures électroniques distingue les textes, points de départ et transitions.

Attribuez les accès en fonction du besoin. Un commercial peut avoir besoin de savoir qu’une facture est payée sans accéder à toutes les coordonnées bancaires ou pièces jointes. Supprimez les copies de travail devenues inutiles selon leur propre règle, sans perdre l’archive nécessaire.

Lorsqu’une plateforme intervient, examinez les instructions et les éventuelles réutilisations pour son propre compte. Le guide facturation électronique et RGPD précise les contrôles contractuels et de sécurité.

Cas pratique : conserver la facture, retirer la note privée

Scénario fictif. BoisClair, SARL française de mobilier, facture un bureau à Audrey, graphiste exerçant en entreprise individuelle. L’achat sert à son activité professionnelle. L’adresse de facturation correspond à son domicile, qui est aussi son établissement. Pour organiser la livraison, elle a donné un numéro mobile et précisé ses contraintes familiales dans un message. L’équipe a copié ce message dans le commentaire libre du dossier commercial.

Le comptable prépare la facture. L’identité professionnelle et l’adresse légalement requises doivent rester exactes, même si elles permettent d’identifier Audrey. En revanche, la description de ses contraintes familiales n’explique ni le meuble vendu, ni son prix, ni la taxe. Elle ne doit pas être reprise automatiquement dans le document comptable. La référence du bureau, sa quantité et les indications requises pour l’opération suffisent à cette fonction. CGI, annexe II, Art. 242 nonies A, I, 1°, 7° et 8°.

La fiche de décision utilisable

La fiche distingue ainsi la protection d’une adresse personnelle et son éventuelle nécessité légale. Supprimer toutes les données identifiantes ne serait pas une bonne application du RGPD si cela rendait la facture irrégulière. À l’inverse, conserver toute la fiche commerciale avec l’archive fiscale ne serait pas justifié par la seule obligation de garder la facture.

La demande d’Audrey après la livraison

Le 3 septembre, après la livraison et le règlement, Audrey demande que son numéro et son commentaire privé ne soient plus utilisés. Elle souhaite aussi « disparaître du fichier des factures ». Le responsable enregistre la demande et recherche les données dans les outils concernés ; il ne demande pas une nouvelle pièce d’identité si les éléments disponibles suffisent à confirmer l’identité.

La réponse distingue les résultats. Le mobile opérationnel et la note devenus inutiles doivent être retirés des espaces de travail concernés. La facture nécessaire à l’obligation de conservation reste archivée avec ses mentions requises. Le message explique la base de cette conservation, son périmètre et sa durée, au lieu d’opposer un refus global à la demande. L’Art. 17(3)(b) n’autorise le maintien que dans la mesure nécessaire à l’obligation légale. RGPD, Art. 12(3)–12(4) et 17.

Dans ce cas, le commentaire privé n’avait pas été émis sur la facture finale. S’il l’avait été, l’équipe devrait examiner le circuit de correction adapté à la pièce et les destinataires déjà servis. Modifier seulement l’aperçu local ne corrigerait ni le document transmis ni ses copies. La nécessité de préserver une trace comptable n’autorise pas à maintenir la divulgation excessive sans analyse.

L’échec d’exécution et sa correction

Le service commercial supprime le commentaire de sa fiche et annonce que l’action est terminée. Le contrôle découvre pourtant une copie dans le fichier de tournée. Un import périodique réutilise ce fichier pour compléter le dossier : le commentaire revient dès l’import suivant.

Le responsable suspend cet import et retire la donnée de la source encore utilisée. Il corrige les champs synchronisés avec l’équipe technique, puis réalise une vérification sur un dossier fictif : la mise à jour ne doit plus faire remonter la note ni le mobile supprimés. Il contrôle ensuite le dossier concerné et les copies opérationnelles autorisées, tout en vérifiant que la facture archivée reste disponible aux seules personnes habilitées.

La demande n’est clôturée qu’après ce contrôle. Si la correction ne peut pas être démontrée, l’import reste suspendu et le responsable suit l’action manquante ; il ne promet pas un effacement déjà accompli. Les destinataires des données sont traités conformément à l’Art. 19 lorsqu’une rectification, un effacement ou une limitation doit leur être notifié. Le traitement comptable maintenu ne sert pas de prétexte pour réalimenter le fichier commercial.

FAQ

Une facture adressée à une société est-elle toujours hors RGPD ?

Non. Vérifiez les contacts, entrepreneurs individuels et descriptions permettant d’identifier une personne. La seule qualité de société du destinataire ne règle pas la question.

Peut-on supprimer le nom d’un indépendant pour réduire les données ?

Il faut préserver les mentions légalement requises. La minimisation consiste à éviter les informations inutiles, pas à rendre la facture incomplète ou inexploitable.

Une durée légale autorise-t-elle un accès permanent à toutes les équipes ?

Non. La conservation et l’habilitation sont deux décisions différentes. Une pièce peut devoir rester archivée tout en étant réservée à un nombre limité de personnes.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.