Facturation électronique : la CNIL précise les enjeux RGPD pour les entreprises

En septembre 2026, la réforme relative à la facturation électronique entre entreprises est entrée en vigueur. Pour accompagner les entreprises dans cette transition, la CNIL a publié une ressource dédiée, destinée à les aider à comprendre les enjeux en matière de protection des données personnelles et à sécuriser les traitements qui en découlent.

Une réforme en deux temps

Selon la publication de la CNIL, la mise en œuvre de la facturation électronique s'organise en deux phases. Dans un premier temps, toutes les entreprises doivent être en mesure de recevoir des factures électroniques, tandis que les grandes entreprises et les entreprises de taille intermédiaire (ETI) doivent également pouvoir en émettre. Dans un second temps, l'obligation s'étend à l'ensemble des entreprises, y compris les PME, qui devront à la fois émettre et recevoir des factures électroniques.

La réforme impose également la transmission de données de transaction et de paiement à l'administration fiscale pour les ventes réalisées auprès de particuliers ou d'entreprises étrangères. Ces données portent principalement sur des éléments d'activité agrégés, comme le chiffre d'affaires hors taxes par jour.

La transmission des factures devra s'effectuer par l'intermédiaire d'une plateforme dédiée, directement ou via une solution compatible. Chaque entreprise devra désigner sa plateforme pour émettre, recevoir ses factures électroniques ou transmettre ses données de transactions.

Quand le RGPD s'applique-t-il ?

La CNIL rappelle un principe fondamental : le RGPD et la loi Informatique et Libertés ne s'appliquent qu'aux traitements portant sur des données de personnes physiques, et non de personnes morales. Ainsi, une facture ne contenant que des informations relatives à une entreprise — nom, adresse, numéro de téléphone du standard, adresse e-mail de contact générique, numéros SIREN ou SIRET — n'est pas soumise au RGPD.

En revanche, dès lors qu'une facture comporte des informations identifiant une personne physique, la réglementation s'applique pleinement. Sont notamment concernés :

• les adresses de courriel professionnelles nominatives ;
• l'adresse de l'entreprise lorsqu'elle correspond au domicile personnel du dirigeant ou de l'exploitant.