I. Une réforme fiscale aux implications numériques majeures.
L’obligation de facturation électronique annoncée dans le cadre des récentes réformes fiscales ne se limite pas à une simple transformation des processus administratifs. Elle marque une évolution profonde dans la manière dont les entreprises interagissent avec l’administration fiscale, en intégrant des outils numériques et des dispositifs de traitement de données avancés. En parallèle des objectifs fiscaux visant une meilleure gestion des déclarations et une lutte renforcée contre la fraude à la TVA, cette réforme soulève des interrogations essentielles sur la gestion et la protection des données personnelles. Ces enjeux, tant techniques que juridiques, reflètent l’impact significatif de la digitalisation sur le tissu économique.
A. Une réforme d’origine législative au calendrier révisé.
Depuis son origine, la réforme de la facturation électronique repose sur un cadre législatif soigneusement élaboré, visant à moderniser les relations entre les entreprises et l’administration fiscale. Cette initiative s’est construite à travers une succession de textes légaux et réglementaires, accompagnés d’ajustements progressifs, pour répondre aux besoins évolutifs du tissu économique et des contraintes techniques. C’est dans ce contexte que s’inscrit une mise en œuvre différée, reflétant un effort d’équilibre entre ambition normative et pragmatisme opérationnel.
1) Un fondement législatif progressif, structuré en deux temps.
Le principe d’une généralisation de la facturation électronique dans les relations interentreprises assujetties à la TVA a été introduit par l’article 195 de la loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020, qui a habilité le gouvernement à légiférer par ordonnance. Le 1° de cet article prévoit expressément l’habilitation pour : « généraliser le recours à la facturation électronique et modifier les conditions et les modalités de ce recours ».
Quant au 2°, il étend le dispositif en instaurant : « une obligation de transmission dématérialisée à l’administration d’informations relatives aux opérations réalisées par des assujettis à la taxe sur la valeur ajoutée qui ne sont pas issues des factures électroniques, soit qu’elles sont complémentaires de celles qui en sont issues, soit qu’elles se rapportent à des opérations ne faisant pas l’objet d’une facturation électronique ou n’étant pas soumises à l’obligation de facturation pour les besoins de la taxe sur la valeur ajoutée ».
Cette double logique préfigurait ce que l’on désigne aujourd’hui sous les termes d’e-invoicing (émission et réception des factures sous format électronique normé) et e-reporting (transmission à l’administration fiscale d’informations hors périmètre de facturation électronique obligatoire, comme les ventes à l’étranger ou les opérations B2C).
L’habilitation prévue par l’article 195 de la loi de finances pour 2020 a conduit à l’adoption de l’ordonnance n° 2021-1190 du 15 septembre 2021, qui a jeté les bases techniques et juridiques du futur dispositif de facturation électronique. Cette dynamique a été consolidée par les articles 289, 289 bis, 290 et 290 quinquies du Code général des impôts, qui en codifient les principes directeurs : périmètre des obligations, désignation des acteurs habilités et modalités de transmission des données. Les régimes de sanction, quant à eux, sont prévus ou précisés par voie réglementaire.
Ainsi, la réforme évolue d’une expérimentation encadrée à une obligation généralisée, appuyée par un cadre normatif complet. Initialement prévue pour entrer en vigueur entre 2024 et 2026, sa mise en œuvre a été repoussée par l’article 91 de la loi de finances pour 2024 (loi n° 2023-1322 du 29 décembre 2023). Le nouveau calendrier prévoit :
- Une application à partir du 1er septembre 2026 pour les grandes entreprises ;
- Un déploiement progressif en 2027 pour les PME et les microentreprises.
Ce report, bien que logistique, ne remet pas en cause la portée systémique de la réforme, qui vise à restructurer profondément les circuits de données fiscales.
2) Une architecture technico-juridique encadrée par l’État.
La réforme repose sur une architecture tripartite, formalisée dans l’ordonnance précitée et consolidée par les textes réglementaires suivants, notamment le décret n° 2022-1299 du 7 octobre 2022 :
1. Le Portail Public de Facturation (PPF), socle de l’infrastructure nationale, qui assure la collecte, la centralisation et le transfert des données à la DGFIP. Il s’appuie sur l’expérience du portail Chorus Pro (utilisé pour la facturation des marchés publics).
2. Les Plateformes de Dématérialisation Partenaires (PDP), qui sont des acteurs privés agréés par l’administration fiscale. Elles peuvent émettre, recevoir et transmettre des factures, et assurer le reporting pour le compte des entreprises. Elles doivent démontrer leur conformité aux exigences techniques, de sécurité et de protection des données.
3. Les opérateurs de dématérialisation (OD), simples prestataires techniques, qui peuvent aider les entreprises à générer ou recevoir des factures électroniques mais ne sont pas habilités à transmettre les données à l’administration.
Ce modèle, inspiré d’autres expériences européennes (Italie, Pologne), permet une externalisation partielle du traitement tout en conservant une maîtrise publique sur les flux fiscaux.
La réforme poursuit ainsi un triple objectif : lutter contre la fraude à la TVA (estimée à plus de 20 milliards d’euros de pertes annuelles), simplifier les obligations déclaratives des entreprises en automatisant la transmission des données, et accélérer la numérisation de l’économie, notamment des PME, en standardisant les formats et les processus.
B. Une intensification du traitement de données à caractère personnel.
Si la réforme de la facturation électronique est, à première vue, une mesure de bonne administration des obligations déclarative fiscale, elle ne saurait être réduite à cette seule dimension. Elle engendre, en effet, une intensification inédite des flux de données à caractère personnel [3], tant par leur volume, leur centralisation, que par leur potentiel de réidentification, notamment dans les très petites structures.
Les factures électroniques [4] ne se contentent pas de véhiculer des informations comptables. Elles contiennent des données directement ou indirectement identifiantes : nom ou dénomination de l’émetteur et du destinataire, adresses postale et électronique, numéro SIREN, montant et nature des prestations, périodicité, mode de règlement, etc. Si, dans une grande entreprise, ces données relèvent d’une logique purement commerciale, dans une entreprise unipersonnelle, chez un indépendant ou dans une microentreprise, elles visent la personne physique elle-même, sans médiation juridique entre l’identité de l’entreprise et celle du dirigeant.
Ce lien direct entre la facture et la personne rend le régime du RGPD pleinement applicable. La nature des données peut parfois se complexifier : une prestation d’avocat pénaliste, une intervention d’un psychologue, ou une livraison à une adresse d’hébergement d’urgence peuvent, par leur simple mention, révéler des données dites potentiellement sensibles, selon la grille d’analyse téléologique du RGPD. Ces données, bien que non classées expressément comme « sensibles » [5] au sens de l’article 9, peuvent, par croisement ou déduction, révéler des informations touchant à la vie privée, à la santé ou aux convictions de la personne.
Juridiquement, le traitement de ces données repose, pour les entreprises soumises à l’obligation de facturation électronique, sur l’article 6, paragraphe 1, c) du RGPD, à savoir « le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ». Il s’agit ici des obligations posées par les articles 289 à 290 quinquies du Code général des impôts. Ce fondement écarte la nécessité d’un consentement explicite de la personne concernée ; ce dernier étant inopérant dès lors qu’il existe une obligation légale à exécuter.
Cependant, ce fondement légal n’autorise pas un traitement sans encadrement. Le RGPD impose malgré tout l’application pleine et entière des principes de traitement issus de son article 5.
L’entreprise responsable du traitement doit notamment :
- Assurer la transparence de l’information : la personne concernée doit être informée clairement de l’usage de ses données, même dans le cadre d’une obligation fiscale ;
- Limiter la finalité : les données ne peuvent être utilisées à d’autres fins que celles prévues légalement (exclusion des traitements ultérieurs à visée commerciale, sauf consentement distinct) ;
- Minimiser les données collectées : seules les données strictement nécessaires doivent être intégrées à la facture ou transmises à la PDP ou au PPF ;
- Garantir la sécurité et la confidentialité, notamment en évitant les accès non autorisés ou les traitements délocalisés non encadrés.
Enfin, dans certains cas (notamment lorsque les volumes de facturation sont élevés ou que des données sensibles peuvent être déduites) l’entreprise peut être tenue de réaliser une analyse d’impact relative à la protection des données (AIPD), conformément à l’article 35 du RGPD. C’est le cas, par exemple, des plateformes assurant la facturation de plusieurs dizaines de clients finaux, ou de celles qui facturent des prestations particulièrement sensibles (secteur médico-social, services juridiques, etc.).
Si la réforme de la facturation électronique trouve son origine dans des considérations fiscales, elle ne se limite pas à une rationalisation des obligations déclaratives. En effet, le nouveau dispositif repose sur un traitement centralisé, massif et structuré de données à caractère personnel, plaçant ainsi les entreprises face à des responsabilités accrues au regard du RGPD. Dès lors, la question n’est plus uniquement celle de la conformité fiscale, mais également celle de la gouvernance juridique de l’information.
II. Une responsabilité partagée encadrée par le RGPD.
Le cadre du RGPD impose une répartition claire des responsabilités entre les différents acteurs impliqués dans le traitement des données personnelles, même dans un contexte de sous-traitance comme celui de la facturation électronique. Alors que les plateformes de dématérialisation partenaires (PDP) jouent un rôle clé dans l’exécution des obligations fiscales, leur intervention ne saurait exonérer les entreprises utilisatrices de leurs propres devoirs en matière de protection des données. Cette responsabilité partagée nécessite une collaboration rigoureuse et conforme aux principes définis par le RGPD.
A. Une sous-traitance encadrée, mais non exonératoire.
Dans le cadre de la réforme de la facturation électronique, la sous-traitance prend une place centrale, notamment à travers l’intervention des Plateformes de Dématérialisation Partenaires (PDP). Cependant, cette délégation technique ne décharge pas les entreprises de leurs responsabilités légales en matière de protection des données personnelles. Le RGPD impose un encadrement strict de ces relations, garantissant que chaque acteur respecte les obligations qui lui incombent.
1) Une sous-traitance encadrée, mais non exonératoire : l’entreprise demeure responsable du traitement.
La réforme de la facturation électronique s’appuie sur une architecture hybride mêlant intervention publique (via le Portail Public de Facturation, ou PPF) et opérateurs privés agréés, les Plateformes de Dématérialisation Partenaires (PDP). L’agrément de ces PDP est délivré par l’administration fiscale après évaluation de leur conformité technique, sécuritaire et réglementaire, notamment au regard du RGPD. Toutefois, cet agrément n’a pas pour effet de transformer la PDP en opérateur public ou en délégataire de service public.
Contrairement à ce que certains pourraient croire, les PDP ne traitent pas les données personnelles pour le compte de l’État, mais bien pour le compte de leurs clients, c’est-à-dire les entreprises émettrices ou réceptrices de factures. À ce titre, elles sont juridiquement qualifiées de "sous-traitants" au sens de l’article 4, 8° du RGPD, c’est-à-dire des entités qui traitent des données personnelles pour le compte et sur instruction d’un responsable de traitement. Il en résulte une conséquence centrale : chaque entreprise utilisatrice conserve la qualité de responsable de traitement, même si elle délègue l’exécution technique à une plateforme agréée. Cette qualité emporte avec elle l’obligation de veiller à la conformité contractuelle et technique de la chaîne de traitement, conformément aux prescriptions de l’article 28 du RGPD.
2) Des obligations contractuelles précises à la charge de l’entreprise cliente.
Le recours à une PDP impose à l’entreprise utilisatrice de formaliser un contrat [6] de sous-traitance conforme au RGPD, ce que ne remplace en aucun cas l’agrément fiscal de la plateforme.
Ce contrat doit encadrer :
- La finalité du traitement (transmission de données de facturation à l’administration),
- Les moyens de traitement autorisés,
- Les mesures de sécurité techniques et organisationnelles mises en place (chiffrement, traçabilité, cloisonnement),
- Les modalités d’exercice des droits des personnes concernées (accès, rectification, effacement, etc.),
- Les garanties de transparence, de coopération en cas de contrôle (par la CNIL ou l’administration fiscale),
- Et les obligations en cas de violation de données (notification dans les 72 heures, documentation, assistance).
L’entreprise doit aussi s’assurer que la PDP ne recourt à aucun autre sous-traitant ultérieur (sous-traitance en cascade) sans autorisation préalable et sans que les mêmes garanties ne soient imposées à ce sous-traitant secondaire. Cette vigilance est d’autant plus importante que certaines PDP s’appuient sur des hébergeurs ou des éditeurs tiers, notamment pour le stockage ou l’archivage probant.
Si la PDP, bien qu’agréée, venait à traiter les données personnelles pour ses propres finalités (analyse marketing, enrichissement de bases de données, scoring de performance, interconnexion avec d’autres bases clients, etc.) sans instruction documentée de l’entreprise cliente, elle dépasserait le cadre de la sous-traitance.
En pareil cas, elle pourrait être requalifiée :
- Soit en co-responsable de traitement [7], si les finalités et moyens sont déterminés conjointement ;
- Soit en responsable autonome, si elle agit de manière unilatérale et indépendante.
Cette requalification n’est pas sans conséquence : les deux parties (entreprise et PDP) pourraient être tenues solidairement responsables devant la CNIL ou dans le cadre d’un recours d’un tiers lésé. La jurisprudence européenne, notamment l’arrêt dit « Fashion ID » [8] de la CJUE, décision n°C-40/17, en date du 29 juillet 2019, rappelle qu’un simple avantage économique tiré d’un traitement peut suffire à caractériser la coresponsabilité.
B. Gouvernance des données et souveraineté numérique : l’entreprise au cœur du dispositif.
L’agrément délivré par l’administration fiscale aux Plateformes de Dématérialisation Partenaires (PDP) repose sur un référentiel d’homologation exigeant, défini par arrêté ministériel. Ce référentiel impose aux candidats de démontrer leur capacité technique (interopérabilité avec le Portail Public de Facturation), leur solidité fonctionnelle, leur sécurité informatique (chiffrement, journalisation, auditabilité) et leur conformité au RGPD, notamment sur les plans de la licéité du traitement, de la protection des droits des personnes et de la minimisation des données.
Cet agrément constitue un gage de conformité initiale, mais ne transfère ni la responsabilité juridique ni l’obligation de vigilance continue aux mains de l’État. Aucune délégation de responsabilité ne peut être déduite du fait que la PDP est agréée. Il appartient donc à chaque entreprise utilisatrice, en sa qualité de responsable de traitement, de vérifier le périmètre exact d’intervention de la plateforme choisie : données collectées, traitements effectués, destinataires, conservation, exportation hors UE, etc.
Ce devoir de diligence impose à l’entreprise :
- De cartographier les flux de données entrants et sortants via la PDP ;
- De procéder à des audits réguliers de conformité, en interne comme avec ses prestataires externes ;
- Et, dans les cas à risque (volumétrie importante, données indirectement sensibles, pluralité d’acteurs), de conduire une analyse d’impact relative à la protection des données (AIPD) en application de l’article 35 du RGPD.
L’analyse d’impact relative à la protection des données (AIPD) devient indispensable dès lors qu’une PDP est amenée à traiter des données potentiellement sensibles (telles que celles issues de factures médicales, juridiques ou sociales) ou lorsqu’une chaîne technique complexe mobilise plusieurs plateformes ou sous-traitants en cascade, multipliant ainsi les interfaces de traitement et les risques d’exposition. Dans ce cadre, l’intervention du Délégué à la protection des données (DPO) revêt une importance particulière. Il appartient en effet à ce dernier, lorsqu’il est désigné, d’apprécier le niveau de risque en fonction de la nature des données, de la volumétrie, des finalités du traitement, et de la capacité des sous-traitants à garantir la conformité. Le DPO doit être associé en amont à la sélection de la PDP, à l’analyse des clauses contractuelles prévues à l’article 28 du RGPD, ainsi qu’à la validation méthodologique de l’AIPD prévue à l’article 35. Au-delà d’un rôle de conseil, le DPO devient alors un acteur structurant de la gouvernance des données, garant de la documentation des choix effectués et de la traçabilité des mesures de conformité prises par l’entreprise. Dans le contexte de la facturation électronique, son implication permet non seulement de réduire le risque juridique, mais aussi de renforcer la résilience organisationnelle face à d’éventuels contrôles de l’administration fiscale ou de la CNIL.
En parallèle, l’entreprise doit également veiller au respect du cycle de vie complet de la donnée, y compris au-delà de la transmission fiscale. En matière comptable, les factures électroniques doivent être conservées pendant une durée minimale de dix ans [9], dans un format garantissant l’intégrité, l’authenticité et la lisibilité. Ces exigences rejoignent les principes du RGPD [10], qui imposent également :
- Une limitation de la durée de conservation aux finalités initiales ;
- La confidentialité des données pendant toute leur durée d’archivage.
Une traçabilité des accès et des modifications, indispensable en cas de contrôle ou de litige.
Toute tentative de croisement de ces données de facturation avec d’autres sources internes (fichiers commerciaux, CRM, applications analytiques, etc.) à des fins de profilage ou de ciblage marketing, sans base légale distincte, serait contraire aux principes de minimisation et de limitation des finalités. Un tel usage secondaire, même marginal, pourrait entraîner une requalification du traitement, voire des sanctions de la CNIL en cas de contrôle.
Au-delà des contraintes juridiques, c’est toute une stratégie de gouvernance des données que la réforme appelle. La facturation électronique, parce qu’elle combine une exigence de transparence fiscale et un traitement massif d’informations personnelles, devient un levier d’organisation numérique. Elle oblige les entreprises à repenser leurs outils, leurs processus internes et leurs relations avec les tiers sous l’angle du "privacy by design" [11] et du "compliance by contract" [12].
Dans ce contexte, l’agrément de la PDP ne doit pas être perçu comme un bouclier de responsabilité, mais comme un socle minimum. Il revient aux responsables de traitement d’ériger une politique de gouvernance documentaire et de sécurité, articulée autour d’un registre des traitements à jour, de clauses contractuelles rigoureuses et de procédures d’audit.
En somme, la facturation électronique ne constitue pas une simple réforme technique ou fiscale : elle s’impose comme un point de convergence entre les exigences de la puissance publique et la responsabilité des acteurs économiques. Elle appelle une culture de la conformité dynamique, fondée non sur la seule délégation, mais sur la maîtrise stratégique et juridique des données circulantes. Dans un environnement où la donnée devient à la fois matière fiscale, ressource économique et actif sensible, la protection des données personnelles s’érige désormais en condition de souveraineté numérique.
