Facturation électronique et RGPD : checklist 2026

L’essentiel. Une facture, même entre entreprises, contient des données personnelles soumises au RGPD (nom du dirigeant, adresse, IBAN d’un entrepreneur individuel, description de prestations). Avec la facturation électronique obligatoire, ces données transitent par des plateformes agréées (PDP) qui agissent comme sous-traitants au sens de l’article 28 du RGPD. Trois obligations à sécuriser en priorité : une base légale claire (obligation légale + exécution du contrat), un contrat de sous-traitance conforme avec votre plateforme, et une durée de conservation maîtrisée (6 à 10 ans, puis suppression). Cet article détaille la marche à suivre et une checklist prête à l’emploi.

La réforme de la facturation électronique entre dans sa phase concrète. À compter du 1er septembre 2026, toutes les entreprises assujetties à la TVA devront être en mesure de recevoir des factures électroniques, et les grandes entreprises comme les ETI devront les émettre ; l’obligation d’émission s’étendra aux PME, TPE et micro-entreprises au 1er septembre 2027 (voir le calendrier de la facturation électronique). Cette dématérialisation implique que des volumes massifs de données transitent par des plateformes de dématérialisation — PDP (plateforme de dématérialisation partenaire) et portail public. Or ces flux contiennent des données personnelles. La conformité au Règlement général sur la protection des données (RGPD) se pose donc avec une acuité particulière.

Cet article examine les données personnelles présentes dans les factures électroniques, les obligations qui en découlent au titre du RGPD, et les bonnes pratiques pour concilier efficacement facturation électronique et protection des données. Pour évaluer votre conformité globale, appuyez-vous en parallèle sur notre guide d’audit RGPD.

Quelles données personnelles se cachent dans une facture ?

Une facture, même émise entre deux entreprises (B2B), contient fréquemment des données à caractère personnel au sens de l’article 4 du RGPD. Le fait que ces données figurent dans un contexte professionnel ne les exclut pas du champ d’application du règlement : la Cour de justice de l’Union européenne a confirmé à plusieurs reprises que les données relatives à des personnes physiques agissant dans un cadre professionnel restent des données personnelles.

Donnée	Contexte fréquent	Sensibilité
Nom et prénom	Dirigeant, signataire, contact commercial, profession libérale, auto-entrepreneur	Standard
Adresse	Adresse professionnelle = domicile personnel pour de nombreuses micro-entreprises	Élevée
E-mail / téléphone	Personne en charge du suivi de la facture	Standard
SIREN/SIRET	Entrepreneur individuel : identifiant indirectement rattaché à une personne	Standard
IBAN / BIC	Coordonnées bancaires d’une personne physique bénéficiaire	Élevée
Description des prestations	Peut révéler des données de santé, juridiques, d’orientation (prestations médicales, avocat, etc.)	Variable, parfois sensible

Le point de vigilance majeur concerne les entrepreneurs individuels, auto-entrepreneurs et professions libérales : chez eux, la frontière entre données professionnelles et données personnelles est ténue. Le SIREN d’un entrepreneur individuel, son adresse (souvent son domicile) et son IBAN constituent un faisceau d’informations directement rattachées à une personne physique.

Le cas particulier de l’e-reporting

L’e-reporting impose la transmission à l’administration fiscale de données relatives à des transactions non couvertes par l’e-invoicing : ventes aux particuliers (B2C), opérations internationales, encaissements. En B2C, la transmission ne porte pas sur l’identité des clients particuliers : les données transmises sont agrégées (montants, taux de TVA, nombre de transactions). Ce choix d’architecture, conforme au principe de minimisation, limite l’exposition des données personnelles des consommateurs. Il reste néanmoins essentiel de vérifier que vos systèmes ne transmettent pas de champs superflus au-delà de ce qu’exige le format réglementaire.

Sur quelle base légale reposent ces traitements ?

Tout traitement de données personnelles doit reposer sur l’une des bases légales de l’article 6 du RGPD. Pour la facturation électronique, deux bases se combinent selon l’étape.

Émission et réception de factures

• L’obligation légale (article 6.1.c du RGPD) : l’entreprise est tenue par la loi d’émettre des factures comportant des mentions obligatoires et, désormais, de les transmettre sous forme électronique. Cette obligation fonde le traitement des données figurant dans les factures.
• L’exécution du contrat (article 6.1.b) : la facturation découle directement de l’exécution du contrat entre les parties.

Conséquence pratique : vous n’avez pas à recueillir le consentement des personnes concernées pour émettre, recevoir ou transmettre une facture dès lors que ces opérations sont imposées par la loi ou nécessaires au contrat. Le consentement n’est ni requis ni adapté ici.

Conservation et archivage

La conservation des factures pendant la durée légale (six ans en matière fiscale, dix ans en matière commerciale) repose sur l’obligation légale. Au-delà de ces durées, le traitement perd sa base légale : les données doivent être supprimées ou anonymisées.

Transmission aux plateformes

La transmission des données de facturation à une PDP ou au portail public repose également sur l’obligation légale issue de la réforme. Là encore, aucun consentement n’est requis.

La PDP, un sous-traitant au sens de l’article 28 du RGPD

Qualification juridique

Lorsqu’une entreprise recourt à une PDP pour gérer ses factures électroniques, cette plateforme agit en qualité de sous-traitant : elle traite des données personnelles pour le compte de l’entreprise cliente, qui demeure responsable de traitement. Cette qualification emporte des conséquences juridiques précises encadrées par l’article 28 du RGPD :

• un contrat de sous-traitance conforme doit être conclu ;
• la PDP doit présenter des garanties suffisantes en matière de mesures techniques et organisationnelles ;
• la PDP ne peut pas réutiliser les données pour ses propres finalités (analyse commerciale, profilage) sans base légale distincte et information des personnes.

Le choix d’une plateforme est donc autant une décision RGPD qu’une décision fiscale ou technique (voir notre guide pour choisir sa PDP et comprendre l’articulation PDP, portail public et opérateurs de dématérialisation).

Clauses essentielles du contrat conclu avec la PDP

Le contrat de sous-traitance doit comporter au minimum les stipulations suivantes :

Clause	Contenu attendu
Objet et finalité	Traitement des factures électroniques pour le compte du client, dans le cadre de la réforme
Durée du traitement	Alignée sur la durée contractuelle et les obligations de conservation
Catégories de données et de personnes	Données d’identification, de contact, financières ; clients, fournisseurs, contacts nommés
Instructions documentées	La PDP agit uniquement sur instruction écrite du responsable de traitement
Sous-traitance ultérieure	Pas de recours à un autre sous-traitant sans autorisation écrite préalable
Mesures de sécurité	Chiffrement, contrôle d’accès, journalisation, sauvegardes
Localisation des données	Identification des lieux d’hébergement ; garanties en cas de transfert hors UE
Notification des violations	Délai contractuel (par ex. 48 h) permettant au responsable de respecter le délai de 72 heures vis-à-vis de la CNIL
Assistance	Aide à la réponse aux demandes de droits et aux analyses d’impact
Audit	Droit du responsable de mener ou faire mener des audits
Sort des données	Restitution ou suppression en fin de contrat

Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 1.0 — à jour au 10 juillet 2026.

Localisation et transferts hors UE

La réglementation impose aux PDP immatriculées des garanties fortes de sécurité et de localisation des données au sein de l’Union européenne. Vérifiez néanmoins la réalité de l’hébergement : si un sous-traitant ultérieur (hébergeur, éditeur, support) traite des données hors UE, des garanties appropriées sont exigées :

• clauses contractuelles types de la Commission européenne (décision d’exécution 2021/914 du 4 juin 2021), assorties d’une analyse des risques liés au pays de destination ;
• pour les transferts vers les États-Unis, le Data Privacy Framework (décision d’adéquation du 10 juillet 2023) reste, en 2026, un mécanisme formellement en vigueur — mais fragilisé : sa validité a été confirmée en première instance par le Tribunal de l’Union européenne en 2025, tandis qu’un recours reste pendant devant la Cour de justice et que des doutes ont été ravivés en 2026 sur l’indépendance des autorités américaines. Ne fondez pas une architecture durable sur ce seul socle sans mesure de repli (clauses types, chiffrement de bout en bout).

Critères de sélection sous l’angle RGPD

Lors du choix d’une PDP, intégrez les critères suivants à votre grille d’évaluation, idéalement via un questionnaire de sous-traitant :

• Certifications et attestations (ISO 27001, HDS, SecNumCloud, SOC 2) ?
• Localisation effective des serveurs et des données (France, UE) ?
• Contrat de sous-traitance article 28 fourni et négociable ?
• Chiffrement en transit et au repos ?
• Désignation d’un délégué à la protection des données (DPO) ?
• Dispositif et délai de notification en cas de violation ?
• Liste des sous-traitants ultérieurs et de leur localisation ?

Durées de conservation : le point de conformité le plus souvent négligé

Le RGPD n’impose pas de durée de conservation chiffrée : il exige que les données ne soient pas conservées au-delà de ce qui est nécessaire à la finalité (article 5.1.e). En matière de facturation, cette exigence se combine avec des durées légales de conservation.

Type de document	Durée	Fondement
Factures — obligation fiscale	6 ans à compter de la dernière opération	Art. L.102 B du Livre des procédures fiscales
Factures — obligation commerciale	10 ans à compter de la clôture de l’exercice	Art. L.123-22 du Code de commerce
Pièces justificatives associées	Alignées sur la durée de la facture	Obligation légale
Données d’e-reporting	Selon les textes d’application	Réglementation fiscale

En pratique, la conservation pendant dix ans (durée la plus longue) est justifiée par l’obligation légale. Au-delà, les données personnelles doivent être supprimées ou anonymisées, sauf autre base légale (contentieux en cours). Pour construire votre politique globale, appuyez-vous sur un tableau des durées de conservation et notre guide dédié à la conservation des factures électroniques.

Point d’attention contractuel : la PDP doit être tenue de purger les données à l’issue de la durée convenue. Un processus de suppression automatique, documenté et journalisé, est vivement recommandé.

Minimisation : ne collectez que le nécessaire

Le principe de minimisation (article 5.1.c) impose de ne traiter que les données strictement nécessaires à la finalité.

Dans les factures. Limitez-vous aux mentions obligatoires (article 242 nonies A de l’annexe II du Code général des impôts) et à celles utiles à la relation contractuelle. Concrètement :

• n’inscrivez pas d’informations personnelles superflues dans les champs libres ;
• n’ajoutez jamais de numéro de sécurité sociale ou d’identifiant non requis ;
• limitez la description des prestations au strict nécessaire, en évitant tout détail révélant des données sensibles (santé, opinions, orientation).

Dans l’e-reporting. Les formats définis par l’administration cadrent les transmissions, mais vérifiez que vos systèmes ne poussent pas de champs supplémentaires. La tentation de transmettre plus que le requis doit être écartée.

Droits des personnes concernées

Les personnes physiques dont les données figurent dans les factures (dirigeants d’entreprises individuelles, contacts nommés) conservent leurs droits :

• Droit d’accès (article 15) : obtenir copie des données les concernant ;
• Droit de rectification (article 16) : corriger une erreur (nom, adresse obsolète) ;
• Droit à l’effacement (article 17) : limité par l’obligation légale de conservation — vous pouvez légitimement refuser l’effacement pendant la durée légale ;
• Droit à la limitation (article 18) : par exemple en cas de contestation de l’exactitude d’une donnée.

L’exercice de ces droits doit être organisé : vous devez pouvoir retrouver les factures contenant les données d’une personne et répondre dans le délai d’un mois. Anticipez la coordination avec la PDP, qui doit vous assister au titre de son contrat de sous-traitance.

Sécurité des données de facturation

Compte tenu du volume et de la sensibilité des informations (données financières, coordonnées bancaires, identité des dirigeants), la sécurité est un enjeu central (article 32 du RGPD). Mesures à mettre en œuvre :

• chiffrement en transit (TLS 1.2 minimum) et au repos ;
• contrôle d’accès strict avec authentification forte ;
• journalisation des accès et opérations sur les factures ;
• sauvegardes régulières et plan de continuité d’activité ;
• sensibilisation des équipes comptables et financières ;
• procédure de notification de violation documentée, articulée avec les délais de la PDP.

Faut-il une analyse d’impact (AIPD) ?

Une analyse d’impact sur la protection des données (article 35) s’impose lorsque le traitement est susceptible d’engendrer un risque élevé. Pour la facturation, elle mérite d’être envisagée en cas de traitement à grande échelle (volumes B2C importants), de combinaison avec d’autres traitements, ou de factures contenant potentiellement des données sensibles. À défaut d’AIPD formelle, documentez a minima votre analyse de risque.

Inscrivez le traitement à votre registre

Le traitement lié à la facturation électronique doit figurer dans le registre des activités de traitement (article 30). La fiche doit mentionner :

• finalité : émission, réception et archivage de factures ; transmission de données d’e-reporting ;
• catégories de données : identification, contact, données financières ;
• catégories de personnes : clients, fournisseurs, contacts nommés ;
• destinataires : PDP, portail public, administration fiscale, prestataires d’archivage ;
• durées de conservation ;
• mesures de sécurité ;
• transferts hors UE éventuels et garanties associées.

Checklist RGPD de la facturation électronique

• [ ] Cartographier les données personnelles présentes dans vos factures et flux d’e-reporting
• [ ] Documenter les bases légales (obligation légale + exécution du contrat)
• [ ] Signer un contrat de sous-traitance article 28 avec votre PDP
• [ ] Vérifier la localisation des données (UE) et les garanties de transfert hors UE
• [ ] Définir et paramétrer les durées de conservation (6 à 10 ans, puis purge)
• [ ] Appliquer la minimisation dans les champs de facture et d’e-reporting
• [ ] Organiser la réponse aux droits des personnes (délai d’un mois)
• [ ] Mettre en place les mesures de sécurité (chiffrement, accès, journalisation)
• [ ] Évaluer la nécessité d’une AIPD
• [ ] Inscrire le traitement au registre
• [ ] Prévoir une procédure de notification de violation coordonnée avec la PDP

Sur des volumes importants et une multiplicité de sous-traitants, un logiciel RGPD permet d’industrialiser le suivi des contrats de sous-traitance, du registre et des durées de conservation.

FAQ

Une facture entre entreprises est-elle soumise au RGPD ?

Oui, dès lors qu’elle contient des données rattachables à une personne physique : nom d’un dirigeant ou d’un contact, adresse correspondant à un domicile, SIREN ou IBAN d’un entrepreneur individuel. Le contexte professionnel n’exclut pas l’application du RGPD. Seules les factures adressées à une personne morale et ne mentionnant aucune personne physique identifiable échappent, en pratique, au règlement.

La plateforme de dématérialisation (PDP) est-elle responsable de traitement ou sous-traitant ?

Pour les traitements réalisés pour votre compte (transmission, conversion, archivage de vos factures), la PDP agit comme sous-traitant au sens de l’article 28 : un contrat de sous-traitance est obligatoire. Elle peut par ailleurs être responsable de traitement pour ses propres finalités (gestion de ses comptes clients, sécurité de sa plateforme), ce qui n’affecte pas votre relation de sous-traitance sur les données de facturation.

Faut-il le consentement des clients pour émettre des factures électroniques ?

Non. Le traitement repose sur l’obligation légale et l’exécution du contrat, pas sur le consentement. Vous n’avez donc pas à recueillir, ni à pouvoir retirer, un consentement pour émettre, transmettre ou archiver une facture imposée par la loi.

Combien de temps conserver les factures électroniques ?

Dix ans est la durée de référence : six ans au titre du droit fiscal, dix ans au titre du droit commercial. Retenez la plus longue, puis supprimez ou anonymisez les données personnelles, sauf base légale spécifique (litige en cours). La suppression à l’échéance doit être prévue contractuellement avec la PDP.

Un auto-entrepreneur doit-il se préoccuper du RGPD pour ses factures ?

Oui, à double titre : comme responsable de traitement pour les données de ses propres clients, et parce que ses propres données (nom, adresse, IBAN) figurent sur les factures qu’il émet. La conformité reste proportionnée à la taille et au volume, mais les principes (base légale, minimisation, conservation, sécurité) s’appliquent. Voir aussi notre guide facturation électronique et auto-entrepreneur.

Où mes données de facturation sont-elles stockées avec une PDP ?

Les conditions d’immatriculation des PDP imposent des garanties de sécurité et de localisation dans l’Union européenne. Demandez néanmoins la liste des lieux d’hébergement et des sous-traitants ultérieurs : si une partie de la chaîne technique traite des données hors UE, exigez des garanties appropriées (clauses contractuelles types 2021/914, chiffrement).

En conclusion

Facturation électronique et RGPD ne s’opposent pas, mais leur articulation exige une méthode. Les factures contiennent des données personnelles soumises à l’ensemble des obligations du règlement : base légale, minimisation, durée de conservation, sécurité, droits des personnes. Le choix de la PDP doit intégrer les exigences de l’article 28 sur la sous-traitance, et l’e-reporting doit respecter la minimisation.

Les entreprises qui abordent la facturation électronique obligatoire ont tout intérêt à traiter simultanément mise en conformité fiscale et conformité RGPD. Un audit RGPD préalable permet d’identifier les écarts et de structurer un plan d’action cohérent. Pour recevoir nos guides pratiques et nos modèles à jour, pensez à vous abonner à notre lettre d’information.