Facturation électronique et RGPD : protéger les données dans les factures

Introduction

La réforme de la facturation électronique obligatoire impose la dématérialisation des échanges de factures entre entreprises assujetties à la TVA. Cette transformation numérique impliqué que des volumes massifs de données transitent par des plateformes de dématérialisation – PPF, PDP ou OD. Or, les factures contiennent des données personnelles. La question de la conformité au Règlement Général sur la Protection des Données (RGPD) se posé donc avec une acuité particulière dans ce contexte.

Cet article examine les données personnelles présentes dans les factures électroniques, les obligations qui en découlent au titre du RGPD, et les bonnes pratiques pour concilier efficacement facturation électronique et protection des données. Pour évaluer votre conformité globale, consultez notre guide sur l’audit RGPD.

Les données personnelles dans les factures

Quelles données sont concernées ?

Une facturé, même entre entreprises, contient fréquemment des données à caractère personnel au sens de l’article 4 du RGPD. Ces données permettent d’identifier directement ou indirectement une personne physique :

• Nom et prénom du dirigeant, du contact commercial ou du signataire, en particulier pour les entreprises individuelles, les auto-entrepreneurs et les professions libérales.
• Adresse professionnelle lorsqu’elle correspond au domicile personnel du dirigeant (cas fréquent des micro-entreprises).
• Adresse email et numéro de téléphone de la personne en charge du suivi de la facturé.
• Numero SIREN/SIRET d’un entrepreneur individuel, qui constitue une donnée indirectement identifiante.
• Coordonnées bancaires (IBAN/BIC) du bénéficiaire du paiement, lorsqu’il s’agit d’une personne physique.
• Description des prestations pouvant révéler des informations sur la personne (prestations médicales, juridiques, formation…).

Le fait que ces données figurent dans un contexte professionnel ne les exclut pas du champ du RGPD. La Cour de justice de l’Union européenne a confirmé à plusieurs reprises que les données relatives à des personnes physiques agissant dans un cadre professionnel restent des données personnelles.

Le cas spécifique de l’e-reporting

L’e-reporting impose la transmission à l’administration fiscale de données relatives à des transactions qui ne sont pas couvertes par l’e-invoicing : ventes aux particuliers (B2C), transactions internationales, encaissements. Ces données d’e-reporting peuvent contenir des informations agrégées, mais les modalités de transmission doivent respecter le principe de minimisation des données.

En B2C, l’e-reporting ne requiert pas la transmission de l’identité des clients particuliers. Les données transmises sont des données de transaction agrégées (montants, taux de TVA, nombre de transactions). Ce choix d’architecture, conforme au principe de minimisation, limite l’exposition de données personnelles des consommateurs. Il est toutefois essentiel que les entreprises veillent à ne pas transmettre plus de données que ce qui est requis par la réglementation.

Bases légales du traitement

Pour l’émission et la réception de factures

Le traitement de données personnelles dans le cadre de la facturation électronique repose principalement sur deux bases légales :

• L’obligation légale (article 6.1.c du RGPD) : l’entreprise est tenue par la loi d’émettre des factures comportant certaines mentions obligatoires, et désormais de les transmettre sous forme électronique. Cette obligation légale constitue la base juridique du traitement des données figurant dans les factures.
• L’exécution du contrat (article 6.1.b du RGPD) : la facturation est une conséquence directe de l’exécution d’un contrat entre les parties. Les données traitées dans ce cadre le sont pour la bonne exécution de la relation contractuelle.

Pour la conservation et l’archivage

La conservation des factures pendant la durée légale (six ans en matière fiscale au titre de l’article L.102 B du Livre des procédures fiscales, dix ans en matière commerciale au titre de l’article L.123-22 du Code de commerce) repose sur l’obligation légale. Au-delà de ces durées, le traitement n’a plus de base légale et les données doivent être supprimées ou anonymisées.

Pour la transmission aux plateformes

La transmission des données de facturation aux PDP et au PPF repose sur l’obligation légale issue de la réforme. Les entreprises n’ont pas a recueillir le consentement des personnes concernées pour cette transmission, dès lors qu’elle est imposée par la loi.

La PDP comme sous-traitant au sens de l’article 28 du RGPD

Qualification juridique

Lorsqu’une entreprise recourt à une PDP pour gérer ses factures électroniques, cette PDP agit en qualité de sous-traitant au sens de l’article 28 du RGPD. Elle traité des données personnelles pour le compte de l’entreprise cliente (le responsable de traitement).

Cette qualification emporté des conséquences juridiques importantes :

• Un contrat de sous-traitance conforme à l’article 28 du RGPD doit être conclu entre l’entreprise et la PDP. Ce contrat doit définir l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données traitées, les catégories de personnes concernées, et les obligations et droits du responsable de traitement.
• La PDP doit présenter des garanties suffisantes en termes de mesures techniques et organisationnelles pour assurer la protection des données.
• La PDP ne peut pas traiter les données pour ses propres finalités (analyse commerciale, profilage…) sans base légale distincte et sans information des personnes concernées.

Clauses essentielles du contrat PDP

Le contrat avec la PDP doit comporter au minimum les clauses suivantes :

• Objet et finalité du traitement : traitement des factures électroniques pour le compte du client dans le cadre de la réforme de la facturation électronique.
• Sous-traitance ultérieure : la PDP ne peut recruter un autre sous-traitant sans autorisation écrite préalable du responsable de traitement.
• Mesures de sécurité : description des mesures techniques et organisationnelles mises en oeuvre (chiffrement, contrôle d’accès, journalisation…).
• Localisation des données : identification des pays ou les données sont stockées et traitées. En cas de transfert hors UE, les garanties appropriées doivent être mises en place (clauses contractuelles types, décision d’adéquation…).
• Notification des violations : obligation pour la PDP de notifier toute violation de données dans un délai de 48 heures (ou tout autre délai convenu permettant au responsable de traitement de respecter le délai de 72 heures vis-à-vis de la CNIL).
• Audit : droit pour le responsable de traitement de réaliser ou faire réaliser des audits de conformité chez la PDP.
• Sort des données en fin de contrat : restitution ou suppression des données à la fin de la relation contractuelle.

Criteres de sélection d’une PDP sous l’angle RGPD

Lors du choix d’une PDP, les critères lies à la protection des données doivent être intégrés à l’évaluation :

• La PDP dispose-t-elle d’une certification ou d’une attestation de conformité (ISO 27001, HDS, SOC 2) ?
• Ou sont localises les serveurs et les données ? Sont-ils en France ou dans l’UE ?
• La PDP propose-t-elle un contrat de sous-traitance conforme à l’article 28 ?
• Quelles sont les mesures de chiffrement appliquées aux données en transit et au repos ?
• La PDP a-t-elle désigné un Délégué à la Protection des Données (DPO) ?
• Quel est le dispositif de notification en cas de violation de données ?

Un outil comme Legiscope peut faciliter l’évaluation de la conformité de vos sous-traitants et le suivi des contrats de sous-traitance dans le cadre d’un programme de conformité RGPD structuré.

Durées de conservation

La question des durées de conservation des factures électroniques et des données qu’elles contiennent est un point de conformité RGPD essentiel.

Durées légales

Type de document	Durée de conservation	Fondement
Factures (obligation fiscale)	6 ans à compter de la dernière opération	Art. L.102 B du LPF
Factures (obligation commerciale)	10 ans à compter de la clôture de l’exercice	Art. L.123-22 du Code de commerce
Données d’e-reporting	A préciser par les textes d’application	Décrets a venir

Articulation avec le RGPD

Le RGPD n’impose pas de durée de conservation spécifique. Il exige que les données ne soient pas conservées au-delà de ce qui est nécessaire au regard de la finalité du traitement (article 5.1.e).

En pratique, la conservation des factures pendant la durée légale de dix ans (durée la plus longue entre l’obligation fiscale et commerciale) est justifiée par l’obligation légale. Au-delà, les données personnelles figurant dans les factures doivent être supprimées ou anonymisées, sauf si une autre base légale justifié leur conservation (contentieux en cours, par exemple).

Les PDP doivent être contractuellement tenues de supprimer les données à l’issue de la durée de conservation convenue. Un processus de purgé automatique est recommandé.

Minimisation des données

Le principe de minimisation (article 5.1.c du RGPD) impose de ne collecter et traiter que les données strictement nécessaires à la finalité poursuivie.

Dans les factures

Les factures doivent comporter les mentions obligatoires prévues par le Code général des impôts (article 242 nonies A de l’annexe II). Il n’est pas nécessaire d’ajouter des informations supplémentaires non requises par la loi. Par exemple :

• Éviter d’inscrire des informations personnelles superflues dans les champs libres de la facturé.
• Ne pas inclure de numéro de sécurité sociale ou d’autres identifiants non requis.
• Limiter la description des prestations au strict nécessaire, en évitant les détails pouvant révéler des données sensibles (informations de santé, opinions politiques, etc.).

Dans l’e-reporting

Les données transmises dans le cadre de l’e-reporting doivent se limiter à ce qui est exigé par la réglementation. La tentation de transmettre des données détaillées au-delà du requis doit être resistee. Les formats définis par l’administration cadrent ces transmissions, mais il convient de vérifier que les systèmes d’information ne transmettent pas de champs supplémentaires non nécessaires.

Droits des personnes concernées

Les personnes physiques dont les données figurent dans les factures (dirigeants d’entreprises individuelles, contacts nommés) conservent leurs droits au titre du RGPD :

• Droit d’accès (article 15) : la personne peut demander a obtenir une copié des données la concernant dans les factures.
• Droit de rectification (article 16) : en cas d’erreur dans les données (nom mal orthographie, adressé obsolète).
• Droit à l’effacement (article 17) : ce droit est limité par l’obligation légale de conservation des factures. L’entreprise peut légitimement refuser l’effacement pendant la durée légale de conservation.
• Droit à la limitation du traitement (article 18) : la personne peut demander la limitation du traitement dans certains cas (contestation de l’exactitude des données, par exemple).

L’exercice de ces droits doit être organise : l’entreprise doit être en mesure de retrouver les factures contenant les données d’une personne et de répondre dans le délai d’un mois prévu par le RGPD.

Sécurité des données

La sécurité des données de facturation est un enjeu majeur, compte tenu du volume et de la sensibilité des informations traitées (données financières, coordonnées bancaires, identité des dirigeants).

Les mesures de sécurité a mettre en oeuvre incluent :

• Chiffrement des données en transit (TLS 1.2 minimum) et au repos.
• Contrôle d’accès strict aux systèmes de facturation, avec authentification forte.
• Journalisation des accès et des opérations sur les factures.
• Sauvegardes régulières et plan de continuité d’activité.
• Sensibilisation des équipes comptables et financières aux risques lies aux données personnelles.
• Analyse d’impact (AIPD) : le traitement à grande échelle de données de facturation peut justifier la réalisation d’une analyse d’impact au titre de l’article 35 du RGPD, notamment pour les entreprises traitant un volume important de factures B2C ou de factures contenant des données sensibles.

Registre des traitements

Le traitement de données personnelles dans le cadre de la facturation électronique doit figurer dans le registre des traitements de l’entreprise (article 30 du RGPD). La fiche de traitement doit mentionner :

• La finalité : émission, réception et archivage de factures électroniques ; transmission de données d’e-reporting.
• Les catégories de données : données d’identification, données de contact, données financières.
• Les catégories de personnes concernées : clients, fournisseurs, contacts nommés dans les factures.
• Les destinataires : PDP, PPF, administration fiscale, prestataires d’archivage.
• Les durées de conservation.
• Les mesures de sécurité.

Conclusion

La facturation électronique et le RGPD ne sont pas en opposition, mais leur articulation exigé une attention méthodique. Les factures contiennent des données personnelles soumises à l’ensemble des obligations du RGPD : base légale, minimisation, durée de conservation, sécurité, droits des personnes. Le choix de la PDP doit intégrer les exigences de l’article 28 du RGPD sur la sous-traitance. L’e-reporting doit respecter le principe de minimisation.

Les entreprises qui abordent la réforme de la facturation électronique obligatoire ont tout intérêt a traiter simultanément la mise en conformité fiscale et la conformité RGPD. Un audit RGPD préalable permet d’identifier les écarts et de structurer un plan d’action cohérent. Des outils comme Legiscope facilitent le pilotage de cette double conformité au quotidien.