La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié des orientations sur les enjeux de la réforme de la facturation électronique pour la protection des données personnelles, entrée en vigueur le 1er septembre 2026.

Cette réforme impose à toutes les entreprises de pouvoir recevoir des factures électroniques depuis le 1er septembre 2026, avec une obligation d'émission qui deviendra universelle au 1er septembre 2027. Le RGPD s'applique lorsque les factures contiennent des données de personnes physiques, comme les entrepreneurs individuels ou les contacts nominatifs, mais pas aux factures ne mentionnant que des informations sur des personnes morales. L'autorité insiste sur le principe de minimisation, recommandant d'éviter l'inscription d'informations personnelles non nécessaires, notamment les données sensibles visées par l'article 9 du RGPD. L'entreprise émettrice ou réceptrice est généralement qualifiée de responsable du traitement, tandis que la plateforme agréée par l'État agit comme sous-traitant, sauf si elle réutilise les données pour son propre compte. La durée de conservation des factures est fixée à dix ans, conformément au code de commerce.

Les plateformes agréées sont soumises à des exigences de sécurité élevées, incluant la certification ISO 27001 et, le cas échéant, la qualification SecNumCloud. La CNIL précise que ces certifications ne dispensent pas les responsables de traitement de réaliser leur propre évaluation des risques pour se conformer à l'article 32 du RGPD. En matière d'authentification des utilisateurs, les plateformes doivent mettre en place des mécanismes robustes, visant à terme un niveau de garantie substantiel au sens du règlement eIDAS. Durant la période transitoire, une authentification à deux facteurs est requise. L'autorité recommande aux entreprises d'adopter des bonnes pratiques comme l'usage de comptes individuels et la vigilance face à l'hameçonnage.