Facturation électronique : quels enjeux pour la protection des données personnelles ?

La réglementation en matière de protection des données personnelles (règlement général sur la protection des données (RGPD) et loi Informatique et Libertés) ne s’applique qu’aux traitements des données de personnes physiques, et non de personnes morales (entreprises).

En matière de facturation, une facture ne contenant que des données relatives à une entreprise (le nom de l’entreprise, son adresse, le numéro de téléphone de son standard, une adresse email de contact générique, numéros de SIREN ou SIRET) ne sera pas soumise au RGPD.

En revanche, les informations concernant des personnes physiques qui travaillent au sein des entreprises ou des personnes physiques qui exercent leur activité en leur nom propre (entreprises individuelles, auto-entrepreneurs et professions libérales) sont protégées au titre de la réglementation en matière de protection des données personnelles :

• nom ;
• prénom ;
• adresse de courriel professionnel nominative ;
• SIRET, SIREN ;
• adresse de l’entreprise si c’est le domicile de la personne ;
• etc.

Dans un grand nombre de cas, les information utilisées dans le cadre de la facturation électronique ne concernent pas une personne physique, ainsi la réglementation sur la protection des données (RGPD) n’a vocation à s’appliquer que dans un nombre réduit de situations.

En matière de protection des données personnelles, la responsabilité et les obligations des organismes vont varier en fonction de leur rôle dans le processus de facturation électronique. A cet égard, différentes qualifications peuvent être retenues : responsable, sous-traitant ou responsables conjoints du traitement.

En principe, l'entreprise qui émet et reçoit des factures électroniques ou qui transmet les données de facturation et de paiement à l’administration détermine les finalités agit en tant que responsable du traitement.

À ce titre, elle doit s’assurer que le traitement mis en œuvre respecte le RGPD et doit notamment veiller à ne traiter que les données nécessaires aux objectifs poursuivis, à la sécurité des données, ainsi qu’au respect des droits des personnes (droit à l’information, droit d’accès, droit de rectification et droit à la limitation du traitement).

Concernant la plateforme agréée pour la facturation électronique, elle agit en tant que sous-traitante de ses clients responsables de traitement lorsqu’elle traite des données personnelles sur leur instruction et pour leur compte. À ce titre, les plateformes agréées sont tenues de respecter des obligations spécifiques en matière de sécurité, de confidentialité et de documentation de leur activité.

Les traitements de données par un sous-traitant doivent être encadrés par un contrat avec le responsable de traitement.

La plateforme agréée sera néanmoins qualifiée de responsable du traitement si elle les réutilise les données personnelles issues de la facturation électronique pour son propre compte. Étant précisé qu’une telle réutilisation n’est possible que sous réserve de remplir certaines conditions (voir plus bas).

Le RGPD prévoit que les données personnelles ne peuvent pas être conservées indéfiniment. Une durée de conservation doit être déterminée par le responsable de traitement en fonction de l’objectif justifiant la collecte et le traitement de ces données.

Certaines durées de conservation sont prévues par des textes. C’est le cas par exemple pour la tenue de la comptabilité (article L.123-22 du code de commerce).

La durée légale de conservation pour les documents comptables de dix ans s’applique aux factures électroniques.

Il est possible que les conditions générales d’utilisation (CGU) de la plateforme agréée prévoient une réutilisation des données (personnelles et non personnelles) issues de la facturation électronique pour des objectifs autres que ce qui est prévu par le code général des impôts, comme la réalisation de statistiques.

Pour rappel, un sous-traitant ne peut réutiliser des données personnelles pour son propre compte que si cette réutilisation est compatible avec le traitement initial et que le responsable du traitement lui en a donné l’autorisation écrite.

• En savoir plus : la réutilisation de données personnelles confiées par un responsable de traitement

Les plateformes agréées doivent garantir un niveau de sécurité élevé pour les échanges de données, conformément aux exigences réglementaires. À ce titre, le code général des impôts prévoit qu’elles sont tenues d’être certifiées ISO 27001 et de reposer sur une solution qualifiée SecNumCloud par l’ANSSI le cas échéant.

• la norme ISO 27001 permet une gestion rigoureuse des risques, maîtrise des accès, des sauvegardes et gestion des incidents de sécurité ;
• le référentiel SecNumCloud ajoute des exigences spécifiques pour les infrastructures d’informatique en nuage (cloud), comme la localisation des données en Europe, une authentification renforcée et une traçabilité complète des opérations .

Cela permet d’offrir un niveau d’assurance élevé concernant la confidentialité, l’intégrité et la disponibilité et la résilience des données traitées, en particulier lorsqu’il s’agit de données sensibles ou à caractère personnel.

Ces exigences ne suffisent pas nécessairement à garantir la conformité des traitements de données personnelles au RGPD et, notamment, à l’obligation de sécurité (article 32). Les responsables de traitement doivent évaluer si des mesures organisationnelles et techniques complémentaires apparaissent nécessaires au regard de leur situation particulière et, le cas échéant, les mettre en œuvre.

Le code général des impôts impose aux plateformes agréées de mettre en œuvre des mécanismes robustes pour vérifier l’identité des utilisateurs qui, au sein des entreprises, émettent et/ou réceptionnent des factures électroniques pour le compte de sociétés concernées, ainsi que de sécuriser l’accès aux services qu’elles proposent.

Plus précisément, le code général des impôts prévoit que les moyens d’identification électronique atteignent, à terme, un niveau de garantie substantiel au sens du règlement eIDAS (dont les spécifications techniques sont détaillées dans le règlement d’exécution 2015/1502).

Ce niveau de garantie offre une sécurité renforcée contre les risques d’usurpation d’identité et de fraude.

À titre transitoire, les plateformes agréées peuvent recourir à des dispositifs alternatifs, à condition que ceux-ci reposent sur :

• une vérification fiable de l’identité de la personne utilisatrice, notamment pour confirmer sa qualité de représentant légal, mandataire ou délégataire ;
• un mécanisme d’authentification à deux facteurs (2FA), incluant un facteur dynamique (mot de passe ou code à usage unique).

À noter : les spécifications techniques pour le niveau substantiel eIDAS, qui devront à terme être atteintes, comprennent aussi des exigences portant sur les deux points ci-dessus. En cas de recours à des moyens alternatifs durant la période transitoire, il pourra être utile de prévoir en amont la stratégie de mise en conformité aux exigences eIDAS à venir.

Par ailleurs, la CNIL rappelle que l’authentification multifacteur est une mesure essentielle pour protéger les données personnelles, comme précisé dans sa recommandation sur l’authentification multifacteur (MFA). Cette approche permet de réduire significativement les risques liés à l’accès non autorisé aux plateformes et à l’usurpation d’identité.

Pour renforcer la sécurité de vos données et limiter les risques d’accès non autorisé, il convient de :

• privilégier l’utilisation de comptes individuels (un compte par utilisateur), plutôt que des comptes partagés ;
• éviter les identifiants génériques, qui augmentent les risques de fraude ou d’usurpation d’identité.

La CNIL a publié sur son site ses recommandations sur la gestion des utilisateurs. Cette pratique d’hygiène numérique permet de :

• renforcer la traçabilité des actions effectuées sur la plateforme ;
• limiter les accès aux seules données nécessaires à chaque utilisateur ;
• faciliter la détection d’éventuelles anomalies ou tentatives d’intrusion.