comprendre la réforme

Facturation électronique et RGPD : ce que votre Plateforme Agréée fait de vos données personnelles

Facturation électronique et RGPD : la question n'est plus théorique depuis le 1er septembre 2026, maintenant que chaque facture B2B transite obligatoirement par une Plateforme Agréée, un tiers privé jusque-là absent du circuit. Une facture contient presque toujours une donnée personnelle — nom d'un entrepreneur individuel, IBAN, parfois un collaborateur nommé dans le détail d'une prestation — et ce n'est plus vous seul qui la manipule. Voici ce que cela change réellement pour votre conformité, sans transformer ce guide en cours de droit RGPD générique.

Une facture B2B contient des données personnelles : la réforme ne change pas cette qualification, mais change qui les manipule

Oui, une facture B2B contient très souvent des données à caractère personnel, RGPD ou pas : nom et coordonnées du dirigeant en entreprise individuelle, IBAN, parfois le nom d'un salarié facturé au titre d'une prestation. La facturation électronique ne change rien à cette qualification juridique — elle change en revanche le nombre d'acteurs qui manipulent ces données, puisque chaque facture doit désormais transiter par un tiers technique unique, la Plateforme Agréée, alors qu'elle circulait auparavant en PDF par email, sans intermédiaire technique obligatoire. Cette généralisation du passage par un opérateur privé unique déclenche automatiquement les principes RGPD habituels — minimisation, finalité, proportionnalité — mais sur un flux de données bien plus concentré qu'auparavant, ce qui change l'exposition au risque, pas la nature de l'obligation.

La Plateforme Agréée est votre sous-traitant RGPD, pas votre responsable de traitement

Non, la Plateforme Agréée ne devient pas responsable de vos données : au sens de l'article 28 du RGPD (règlement UE 2016/679), c'est un sous-traitant, qui traite les données de facturation pour le compte de votre entreprise, laquelle reste responsable de traitement pour les données qu'elle collecte et transmet. Ce statut de sous-traitant entraîne des obligations contractuelles précises : un contrat de sous-traitance conforme doit être signé, la plateforme doit présenter des garanties suffisantes en matière de sécurité et de confidentialité, toute sous-traitance ultérieure de sa part doit être encadrée et autorisée, et elle doit vous assister dans l'exercice des droits des personnes concernées (accès, rectification, effacement) même quand la donnée réside techniquement chez elle. Signer avec une Plateforme Agréée sans ce contrat de sous-traitance en bonne et due forme expose votre entreprise, responsable de traitement, pas seulement la plateforme.

Les exigences de sécurité renforcées imposées aux Plateformes Agréées

Oui, la loi impose aux Plateformes Agréées des exigences de sécurité plus strictes que la moyenne des prestataires numériques : certification ISO 27001 systématique, et le cas échéant qualification SecNumCloud délivrée par l'ANSSI pour l'hébergement, qui protège vos données du droit extraterritorial de pays hors Union européenne — les deux certifications sont complémentaires, pas interchangeables, la première portant sur le management de la sécurité, la seconde sur l'hébergement lui-même. La CNIL demande en complément aux Plateformes Agréées de mettre en place des mécanismes robustes de vérification de l'identité des utilisateurs qui émettent ou reçoivent des factures en votre nom, et encourage des dispositifs d'authentification pensés dès l'origine pour respecter la protection des données, dans une trajectoire de long terme vers un niveau d'authentification renforcé au sens du règlement eIDAS — sans date arrêtée à ce jour dans nos sources. Point de vigilance que la CNIL formule elle-même : ces certifications ne dispensent pas votre entreprise de sa propre analyse de risque avant de signer — une plateforme certifiée n'est pas une plateforme sur laquelle il n'y a plus rien à vérifier de votre côté.

Combien de temps vos données restent-elles chez la Plateforme Agréée ?

Dix ans : c'est la durée de conservation qui prévaut pour les factures électroniques et les données qu'elles contiennent, alignée sur les obligations comptables de l'article L123-22 du Code de commerce plutôt que sur les durées de conservation RGPD de droit commun, généralement plus courtes. Au-delà de cette durée, le traitement perd sa base légale : les données doivent être supprimées ou anonymisées, la Plateforme Agréée ne peut pas les conserver indéfiniment au prétexte d'un usage statistique ou commercial qui lui serait propre — c'est un point à vérifier explicitement dans le contrat de sous-traitance plutôt qu'à présumer acquis.

Vos recours en cas de manquement : plainte CNIL et notification de violation sous 72 heures

Deux recours distincts existent. D'abord, en cas de manquement de la Plateforme Agréée à ses obligations RGPD — sécurité insuffisante, refus d'assister l'exercice des droits des personnes concernées, sous-traitance non autorisée — toute personne concernée, y compris un dirigeant d'entreprise individuelle dont les données figurent sur ses propres factures, peut déposer une plainte directement auprès de la CNIL. Ensuite, en cas de violation de données présentant un risque pour les personnes concernées, l'article 33 du RGPD impose une notification à la CNIL sous 72 heures à compter de sa découverte : cette obligation pèse sur le responsable de traitement (votre entreprise), mais la Plateforme Agréée, en tant que sous-traitant, doit vous alerter sans délai injustifié dès qu'elle a connaissance d'un incident, pour vous permettre de respecter ce délai.

La checklist à vérifier avant de signer avec une Plateforme Agréée

Avant de signer, quatre points à vérifier au-delà du prix et des fonctionnalités commerciales : l'existence d'un contrat de sous-traitance RGPD conforme (pas seulement des conditions générales qui l'évoquent vaguement), la certification de sécurité effective (ISO 27001, SecNumCloud le cas échéant), la localisation des données (Union européenne ou non), et les conditions de récupération de vos données en cas de changement de plateforme — un point que notre [guide sur le changement de Plateforme Agréée](/guides/changer-de-plateforme-agreee) détaille côté portabilité technique, complémentaire de la dimension RGPD traitée ici. Ces critères s'ajoutent à ceux déjà couverts par notre [guide pour choisir une Plateforme Agréée fiable](/guides/choisir-pa-criteres-fiabilite) plutôt que de s'y substituer : la pérennité de l'acteur et sa conformité RGPD sont deux vérifications différentes, toutes deux nécessaires avant de signer. Ne confondez pas non plus cette page avec le contenu même de la facture : les mentions obligatoires à y faire figurer (SIREN, adresse de livraison...) sont détaillées dans notre [guide sur les mentions obligatoires 2026](/guides/mentions-obligatoires-facture-siren-2026) — ce guide-ci porte sur le traitement de vos données par la plateforme, pas sur le contenu de la facture elle-même. Notre [comparateur des Plateformes Agréées](/comparateur) permet de comparer les offres en intégrant ces critères RGPD à ceux déjà listés pour la fiabilité générale.

Questions fréquentes

Q.Une facture électronique B2B contient-elle des données personnelles au sens du RGPD ?

Oui, très souvent : nom et coordonnées d'un entrepreneur individuel, IBAN, parfois le nom d'un salarié mentionné dans le détail d'une prestation. La facturation électronique ne change pas cette qualification, mais concentre le passage de ces données par un seul tiers technique, la Plateforme Agréée.

Q.Ma Plateforme Agréée est-elle responsable de mes données au sens du RGPD ?

Non. Elle a le statut de sous-traitant au sens de l'article 28 du RGPD : elle traite vos données de facturation pour votre compte, mais c'est votre entreprise qui reste responsable de traitement. Un contrat de sous-traitance conforme doit encadrer cette relation.

Q.Quelles certifications de sécurité une Plateforme Agréée doit-elle avoir ?

La certification ISO 27001 est systématiquement exigée, et une qualification SecNumCloud délivrée par l'ANSSI s'y ajoute le cas échéant pour l'hébergement. Les deux sont complémentaires : la première porte sur le management de la sécurité, la seconde protège l'hébergement du droit extraterritorial hors UE.

Q.Combien de temps une Plateforme Agréée conserve-t-elle mes données de facturation ?

Dix ans, la durée de conservation comptable prévue par le Code de commerce, plus longue que les durées RGPD de droit commun. Au-delà, les données doivent en principe être supprimées ou anonymisées, faute de base légale pour les conserver plus longtemps.

Q.Que faire si ma Plateforme Agréée ne respecte pas ses obligations RGPD ?

Vous pouvez déposer une plainte directement auprès de la CNIL. En cas de violation de données présentant un risque pour les personnes concernées, votre entreprise (responsable de traitement) doit notifier la CNIL sous 72 heures à compter de la découverte de l'incident, la plateforme devant vous alerter sans délai pour vous permettre de respecter ce délai.

Q.Dois-je signer un contrat spécifique RGPD avec ma Plateforme Agréée ?

Oui. Le statut de sous-traitant de la plateforme impose un contrat de sous-traitance conforme à l'article 28 du RGPD, distinct des simples conditions générales de vente — vérifiez son existence avant de signer, pas après un incident.

Où en êtes-vous, concrètement ?

5 questions, verdict immédiat, plan d'action personnalisé.

Faire le diagnostic gratuit →

À lire ensuite

Information générale, non constitutive d'un conseil comptable, fiscal ou juridique personnalisé.