Dans quelques jours, une partie de vos données commerciales quittera votre système pour transiter par un prestataire que vous avez peut-être choisi en trente minutes, sur la base d'un tarif et d'une liste officielle. C'est le bon moment pour relire ce que vous avez signé.
Le calendrier est arrêté. Le 1er septembre 2026, la réforme de la facturation électronique entre dans sa première phase obligatoire. Plus de dix millions d'acteurs économiques sont concernés selon le ministère de l'Économie. Dans le même temps, la Direction générale des Finances publiques sort de trois semaines difficiles : le communiqué du 14 août 2026 a confirmé des accès illégitimes en juin et juillet, ayant permis de consulter et d'extraire des données concernant 678 000 particuliers et professionnels.
Le rapprochement des deux sujets circule beaucoup, souvent mal. Posons donc les choses avec précision, parce que la précision est ici la condition de l'utilité. Nous avons détaillé la chronologie de l'incident dans notre analyse sur le délai de communication de la DGFiP au regard du RGPD, et les démarches concrètes dans notre guide à destination des personnes concernées. Cet article-ci traite d'autre chose : de ce que la réforme change dans vos obligations de protection des données, et de ce que l'actualité récente devrait vous inciter à vérifier avant la bascule.
Ce qui change exactement le 1er septembre 2026
Première clarification, car la confusion est massive et coûteuse : l'échéance de septembre 2026 n'est pas réservée aux grandes entreprises. C'est l'obligation d'émission qui est échelonnée, pas celle de réception.
| Obligation | Grandes entreprises et ETI | PME, TPE et micro-entreprises | Fondement |
|---|---|---|---|
| Recevoir des factures électroniques | 1er septembre 2026 | 1er septembre 2026 | Art. 289 bis du CGI |
| Émettre des factures électroniques | 1er septembre 2026 | 1er septembre 2027 | Art. 289 bis du CGI |
| Transmettre les données de transaction et de paiement (e-reporting) | 1er septembre 2026 | 1er septembre 2027 | Art. 290 et 290 A du CGI |
| Désigner une plateforme agréée | Avant le 1er septembre 2026 | Avant le 1er septembre 2026 | Décret n° 2022-1299 du 7 octobre 2022 |
Une micro-entreprise en franchise en base de TVA reste assujettie à la TVA au sens de la réforme. Elle est donc concernée par l'obligation de réception dès septembre 2026, même si elle n'émettra ses propres factures électroniques qu'un an plus tard. Le PDF envoyé par courriel ne constitue pas une facture électronique au sens de la réforme : il faut un fichier structuré ou mixte, aux formats définis par arrêté, transitant par une plateforme agréée.
Bon à savoir : l'administration a publié le 10 juillet 2026 un guide pratique de démarrage annonçant une phase d'entrée en vigueur menée avec tolérance envers les entreprises rencontrant des difficultés techniques. Cette tolérance suppose de pouvoir démontrer une démarche engagée : contrat signé, échanges avec le prestataire, calendrier de déploiement. Elle ne couvre pas l'absence totale de préparation.
Le lien avec la cyberattaque, sans exagération ni déni
Soyons nets sur les faits. Rien dans les informations rendues publiques par la DGFiP au 20 août 2026 n'indique que les infrastructures de la réforme de la facturation électronique aient été touchées. Les accès illégitimes concernaient d'autres systèmes. Affirmer que la facturation électronique a été piratée serait factuellement faux, et ce type d'approximation nourrit précisément les campagnes d'hameçonnage qui suivront.
Cela dit, considérer les deux sujets comme étrangers l'un à l'autre serait tout aussi confortable qu'imprudent. Trois enseignements de l'incident se transposent directement à ce que vous vous apprêtez à mettre en place.
L'entrée par la porte
L'intrusion reposait sur l'usurpation des identifiants d'un agent et d'un tiers habilité, pas sur une faille technique exotique. Les comptes légitimes sont le premier point de rupture, chez l'administration comme chez vous.
La détection qui échoue
Le communiqué du 14 août 2026 précise que les contrôles réalisés lors de la détection n'avaient pas permis d'identifier les vols de données. Couper un accès ne prouve pas l'absence d'extraction.
Le risque devient collectif
Une plateforme agréée concentre les flux de milliers d'entreprises. Le risque ne disparaît pas parce qu'il est distribué entre opérateurs privés, il change de nature et devient plus interconnecté.
Le troisième point mérite qu'on s'y arrête. Une facture n'est pas seulement une pièce comptable. Répétées et agrégées, les données de facturation révèlent vos clients, vos fournisseurs, vos volumes, votre saisonnalité, votre dépendance à un donneur d'ordre, l'évolution de vos prix. Pour un concurrent ou pour un escroc préparant une fraude au faux fournisseur, c'est une matière première de premier ordre. La question n'est donc pas seulement fiscale, elle est aussi concurrentielle et, pour la part personnelle de ces données, juridique.
Votre plateforme agréée est un sous-traitant au sens du RGPD
Voici le point que la communication officielle n'aborde pas, et qui relève entièrement de votre responsabilité.
Une facture entre professionnels contient très souvent des données personnelles. Les coordonnées d'un entrepreneur individuel, d'un auto-entrepreneur ou d'une profession libérale se rattachent à une personne physique identifiable. Le nom et l'adresse électronique d'un interlocuteur nommé sur le document également. Le caractère professionnel de la relation ne fait pas sortir ces données du champ du RGPD, contrairement à une idée tenace.
Dès lors, la plateforme qui transporte, traite et conserve ces factures pour votre compte agit comme sous-traitant au sens de l'article 4, point 8, du RGPD. Vous restez responsable de traitement. Et l'article 28.3 impose que cette relation soit régie par un contrat écrit comportant des clauses déterminées.
Le cahier des charges d'immatriculation encadre l'opérateur. Il n'organise pas votre relation contractuelle avec lui. C'est à vous de le demander.
Ce que l'immatriculation garantit, et ce qu'elle ne garantit pas
Le décret n° 2022-1299 du 7 octobre 2022, modifié par le décret n° 2024-266 du 25 mars 2024, fixe les conditions d'immatriculation. Elles sont sérieuses et méritent d'être reconnues comme telles. Elles ne couvrent simplement pas tout le champ du RGPD. Ce tableau est le cœur de cet article.
| Exigence d'immatriculation | Ce que cela garantit | Ce qui reste à votre charge |
|---|---|---|
| Certification ISO/IEC 27001 en cours de validité | Un système de management de la sécurité de l'information audité par un organisme indépendant | Vérifier le périmètre exactement certifié, qui peut ne couvrir qu'un module |
| Exploitation du système d'information depuis l'Union européenne | Absence de transfert de données hors de l'Union européenne | Obtenir par écrit la localisation des serveurs et l'identité de l'hébergeur, y compris en cas de filiale d'un groupe non européen |
| Documentation de conformité au RGPD | Que l'opérateur dispose d'une documentation interne | Obtenir votre propre contrat de sous-traitance conforme à l'article 28.3 du RGPD |
| Dispositif d'authentification renforcée des utilisateurs | Un niveau élevé d'identification à l'entrée en relation | Activer réellement l'authentification à plusieurs facteurs sur vos propres comptes et sur ceux de vos collaborateurs |
| Immatriculation pour trois ans, renouvelable, avec contrôles et audit de conformité | Un suivi de l'opérateur par l'administration fiscale | Anticiper le scénario de retrait d'immatriculation ou de défaillance, et vos conditions de réversibilité |
| Capacité d'interopérabilité avec les autres plateformes | Le routage effectif de vos factures | Vérifier la compatibilité avec votre logiciel comptable et vos processus internes |
La lecture de l'article 242 nonies B de l'annexe II au code général des impôts est sans ambiguïté sur ce point : un opérateur peut être régulièrement immatriculé, certifié, hébergé dans l'Union, engagé à ne procéder à aucun transfert hors zone, et ne pas être en mesure de vous produire un accord de sous-traitance quand vous le lui demandez. Ce n'est pas un défaut de l'opérateur. C'est un angle mort du dispositif, que la CNIL, elle, ne considérera pas comme tel en cas de contrôle.
Votre politique de confidentialité mentionne-t-elle votre plateforme agréée ?
Générez un document à jour des mentions exigées par les articles 13 et 14 du RGPD, avec la liste de vos destinataires et vos durées de conservation.
Les huit clauses à vérifier dans votre contrat
L'article 28.3 du RGPD énumère limitativement ce que doit prévoir le contrat de sous-traitance. Voici la grille de lecture, appliquée au cas particulier de la facturation électronique. Traitez-la comme une liste de vérification à confronter au document que votre plateforme vous a fait signer.
| Clause exigée | Ce qu'il faut y trouver | Fondement |
|---|---|---|
| Objet, durée, nature et finalité du traitement | Transmission, réception et conservation des factures, et rien d'autre. Toute réutilisation à des fins statistiques ou commerciales doit être exclue ou encadrée | Art. 28.3 RGPD |
| Instruction documentée | La plateforme n'agit que sur vos instructions, sauf obligation légale à laquelle elle est soumise | Art. 28.3.a RGPD |
| Confidentialité du personnel | Engagement de confidentialité des personnes habilitées à accéder aux données | Art. 28.3.b RGPD |
| Mesures de sécurité | Description concrète, pas seulement la mention de la certification. Chiffrement, journalisation, gestion des accès | Art. 28.3.c et art. 32 RGPD |
| Sous-traitance ultérieure | Liste des sous-traitants de second rang, hébergeur compris, et procédure d'information préalable en cas de changement | Art. 28.2 et 28.4 RGPD |
| Assistance à l'exercice des droits | Modalités concrètes de réponse en cas de demande d'accès ou d'effacement portant sur les données d'un client | Art. 28.3.e RGPD |
| Notification des violations de données | Un délai chiffré, idéalement 24 heures. Sans cela, votre propre délai de 72 heures devient intenable | Art. 28.3.f et art. 33.2 RGPD |
| Sort des données en fin de contrat | Restitution dans un format exploitable puis suppression, avec attestation. C'est la clause de réversibilité, souvent la plus faible | Art. 28.3.g RGPD |
Attention : la clause de notification des violations est celle qui vous expose le plus directement. Si votre plateforme subit une intrusion et vous prévient au bout de dix jours, c'est vous qui devrez expliquer à la CNIL pourquoi votre notification est hors délai. L'incident de la DGFiP illustre exactement ce scénario, à ceci près que l'administration était à la fois victime et responsable de traitement.
Les trois documents à mettre à jour avant la bascule
Aucun n'est fourni par votre plateforme. Aucun ne demande plus de deux heures de travail si vous vous y prenez maintenant.
Votre registre des traitements
L'article 30 du RGPD impose de tenir un registre. Le traitement de facturation existe déjà chez vous, mais ses caractéristiques changent.
- Ajoutez la plateforme agréée dans la rubrique des destinataires, avec son numéro d'immatriculation.
- Mentionnez la nouvelle catégorie de données transmises à l'administration au titre du e-reporting.
- Vérifiez la durée de conservation indiquée : dix ans au titre de l'article L123-22 du code de commerce, six ans au titre de l'article L102 B du livre des procédures fiscales.
- Documentez la base légale, qui est ici l'obligation légale de l'article 6.1.c du RGPD.
Votre politique de confidentialité
Les articles 13 et 14 du RGPD imposent d'informer les personnes des destinataires de leurs données.
- Ajoutez la plateforme agréée parmi les destinataires, ainsi que l'administration fiscale.
- Précisez les durées de conservation applicables aux pièces comptables.
- Vérifiez que vos conditions générales de vente restent cohérentes avec vos nouvelles modalités de facturation.
- Si vous êtes agence ou prestataire, faites le même exercice pour chacun de vos clients : c'est une mission facturable et attendue.
Le troisième document est le contrat de sous-traitance examiné plus haut. Si votre plateforme n'en propose pas spontanément, demandez-le par écrit. Cette demande écrite a une valeur en soi : elle documente votre diligence, y compris si le prestataire tarde à répondre. En cas de contrôle, la preuve de la démarche compte presque autant que son résultat.
Votre plan d'action d'ici au 1er septembre
Vérifier l'immatriculation effective
Confirmez sur la liste officielle publiée par la DGFiP que votre prestataire est bien immatriculé, et non simplement candidat ou en cours d'instruction. Relevez son numéro d'immatriculation, il vous servira dans votre registre. Vérifiez également si vous passez par une plateforme agréée directement ou par une solution compatible raccordée à une plateforme tierce, car cela change l'identité de votre sous-traitant réel.
Réclamer le contrat de sous-traitance
Demandez par écrit l'accord de sous-traitance conforme à l'article 28 du RGPD, la liste des sous-traitants ultérieurs et la localisation précise de l'hébergement. Conservez l'échange, quel qu'en soit le résultat. Confrontez le document reçu à la grille des huit clauses présentée plus haut.
Tester et documenter
Faites un test de réception réel avec un fournisseur. Identifiez qui, dans votre organisation, surveille la boîte de réception des factures électroniques et ce qui se passe pendant ses congés. Conservez la trace de tout incident technique, ces preuves démontrent votre bonne foi en cas de contrôle.
Sécuriser les accès
Activez l'authentification à plusieurs facteurs sur votre plateforme et sur vos outils comptables. Revoyez les habilitations et retirez les accès des anciens collaborateurs. C'est la leçon la plus directement transposable de l'incident de la DGFiP : le vecteur d'entrée était un identifiant légitime.
- Plateforme immatriculée : numéro relevé sur la liste officielle, statut définitif et non provisoire.
- Contrat de sous-traitance : demandé par écrit, reçu, confronté aux huit clauses de l'article 28.3.
- Délai de notification : un nombre d'heures figure noir sur blanc dans le contrat.
- Sous-traitants ultérieurs : liste obtenue, hébergeur identifié, localisation confirmée.
- Registre des traitements : traitement de facturation mis à jour, destinataires et durées corrigés.
- Politique de confidentialité : plateforme agréée et administration fiscale mentionnées parmi les destinataires.
- Réversibilité : conditions de récupération des données en fin de contrat vérifiées, format d'export connu.
- Accès sécurisés : authentification à plusieurs facteurs activée, habilitations revues.
Un dernier mot sur la proportion. Cette réforme n'est ni une catastrophe annoncée ni une simple formalité technique. Elle transforme une fonction comptable ordinaire en composante d'une infrastructure réglementée, à laquelle vous devrez rester connecté pour exercer votre activité normalement. Ce changement de statut mérite le même sérieux documentaire que n'importe quel autre traitement de données. Si vous voulez faire un point global sur votre situation avant la bascule, notre audit de conformité en ligne couvre l'ensemble du socle attendu.
Questions fréquentes
La cyberattaque de la DGFiP a-t-elle touché la facturation électronique ?
Non. Rien dans les informations rendues publiques par la DGFiP au 20 août 2026 n'indique que les infrastructures de la réforme aient été compromises. Les accès illégitimes de juin et juillet 2026 concernaient d'autres systèmes d'information, et l'administration a confirmé que les espaces des usagers, les identifiants et les mots de passe n'avaient pas été touchés. L'incident reste instructif sur un autre plan : il montre qu'une intrusion peut passer inaperçue plusieurs semaines malgré des contrôles internes.
Ma plateforme agréée est-elle un sous-traitant au sens du RGPD ?
Oui, dès lors qu'elle traite des données personnelles pour votre compte, ce qui est le cas de toute facture mentionnant un entrepreneur individuel, une profession libérale ou un contact nominatif. Vous conservez la qualité de responsable de traitement et l'article 28 du RGPD vous impose de formaliser la relation par un contrat écrit. Cette qualification vaut aussi lorsque vous passez par une solution compatible raccordée à une plateforme tierce : identifiez alors précisément qui traite quoi dans la chaîne.
L'immatriculation par la DGFiP suffit-elle à garantir la conformité RGPD ?
Non, et c'est le point le plus mal compris de la réforme. Le cahier des charges de l'article 242 nonies B de l'annexe II au CGI exige une certification ISO/IEC 27001 en cours de validité, une exploitation du système d'information depuis l'Union européenne sans transfert hors zone, et une documentation de conformité au RGPD. Ces exigences portent sur l'opérateur lui-même. Elles n'organisent pas votre relation contractuelle avec lui, qui relève de l'article 28 et reste entièrement à votre initiative.
Une facture entre entreprises contient-elle vraiment des données personnelles ?
Très souvent. Les coordonnées d'un entrepreneur individuel, d'un auto-entrepreneur ou d'un professionnel libéral sont des données personnelles, puisqu'elles se rattachent à une personne physique identifiable. Il en va de même du nom et de l'adresse électronique d'un interlocuteur nommé sur le document. Le caractère professionnel de la relation commerciale ne fait pas sortir ces informations du champ du RGPD, contrairement à une idée répandue chez les dirigeants de PME.
Que dois-je mettre à jour dans ma documentation avant le 1er septembre 2026 ?
Trois éléments au minimum. Le registre des traitements de l'article 30, pour intégrer la plateforme agréée et l'administration fiscale parmi les destinataires. La politique de confidentialité, au titre des mentions exigées par les articles 13 et 14. Le contrat de sous-traitance de l'article 28, à réclamer à votre prestataire. Si vous êtes agence ou expert-comptable, ce triptyque constitue une mission de mise en conformité facturable pour chacun de vos clients.
Combien de temps dois-je conserver mes factures électroniques ?
Deux textes coexistent. L'article L123-22 du code de commerce impose la conservation des pièces justificatives pendant dix ans à compter de la clôture de l'exercice. L'article L102 B du livre des procédures fiscales fixe un délai de six ans au titre du droit de communication de l'administration. En pratique, la durée de dix ans s'impose comme référence pour les documents comptables, et doit figurer explicitement dans votre registre des traitements ainsi que dans votre politique de confidentialité.
Que se passe-t-il si ma plateforme agréée subit une fuite de données ?
En qualité de sous-traitant, elle doit vous notifier la violation dans les meilleurs délais, conformément à l'article 33.2 du RGPD. C'est ensuite à vous, responsable de traitement, qu'il revient de notifier la CNIL dans les 72 heures et, en cas de risque élevé, d'informer les personnes concernées au titre de l'article 34. Votre contrat doit donc fixer un délai chiffré de remontée, faute de quoi vous serez structurellement hors délai. Vérifiez également que le contrat prévoit l'accès aux éléments d'investigation nécessaires à votre propre notification.
Quelles sanctions si je ne suis pas prêt au 1er septembre 2026 ?
L'administration a annoncé une phase de démarrage menée avec tolérance à l'égard des entreprises rencontrant des difficultés de mise en œuvre, sous réserve de pouvoir démontrer leur bonne foi par des preuves concrètes : contrat signé, tickets d'incident, calendrier de déploiement. Sur le fond, le défaut d'émission relève de l'amende par facture prévue à l'article 1737 du CGI, relevée à 50 € par la loi de finances pour 2026. Pour la réception, une mise en demeure de trois mois précède toute amende. La tolérance couvre les difficultés techniques, pas l'inaction.
Recevez la checklist de conformité RGPD (12 points)
La liste complète des éléments à vérifier sur votre site, point par point, pour vous mettre en conformité. Envoi immédiat par e-mail.
Jérémy Pierre
Expert en conformité RGPD, Jérémy accompagne les sites et agences dans la mise en conformité de leurs traitements de données depuis le lancement de RGPDKit.
Rédaction assistée par IA. Cet article a été préparé avec l’aide d’outils d’intelligence artificielle, à partir de sources juridiques publiques (textes officiels, délibérations de la CNIL), puis relu avant publication. Les références citées peuvent être vérifiées directement auprès des sources indiquées. Il ne constitue pas un conseil juridique personnalisé.