RGPD vs obligations fiscales : qui plie face au PPF ?

Conflit silencieux. Le RGPD impose la minimisation des données et reconnaît un droit à l’effacement. La réforme de la facturation électronique exige la transmission de chaque facture B2B au PPF et un archivage de 10 ans. Sur tous les points de friction explicites, c’est le RGPD qui plie. L’article 6.1.c et l’article 17.3.b du règlement codifient cette défaite noir sur blanc.

Cette défaite n’est pas accidentelle. Elle est structurelle. Le règlement européen prévoit lui-même l’exception « obligation légale » qui désactive plusieurs droits fondamentaux dès lors qu’une norme fiscale entre en jeu. Pour comprendre comment ce déséquilibre se déploie en pratique, il faut d’abord cartographier l’architecture de surveillance fiscale que la réforme installe. Ensuite seulement viennent les angles morts juridiques.

L’avis favorable de la CNIL rendu le 8 juillet 2021 est invoqué partout pour clore le débat. Personne ne mentionne qu’il portait sur une architecture désormais abandonnée, depuis le pivot du 15 octobre 2024 qui a recentré le PPF sur le rôle de concentrateur de données pour la DGFiP. Aucune nouvelle saisine publique n’a suivi. Ce silence est une décision.

I — Le mythe officielL’avis CNIL de 2021, lu au mot près.

L’argumentaire défensif des éditeurs de PDP repose sur une ligne unique : la CNIL a validé. Sauf que cette validation date de 2021, qu’elle portait sur un dispositif différent, et que les services de l’État ont refusé de soumettre la version actuelle à une nouvelle saisine publique. Voici ce que dit l’avis original, et ce qu’il ne dit plus de l’architecture en vigueur depuis octobre 2024.

L’avis du 8 juillet 2021 et ses conditions oubliées.

Le projet de délibération examiné par la CNIL en séance plénière du 8 juillet 2021 portait avis sur le projet d’ordonnance n° 2021-1190 du 15 septembre 2021. Le texte validait l’architecture initialement prévue : un PPF opérateur public en charge de la transmission, des plateformes privées agréées soumises à une obligation d’immatriculation de trois ans renouvelable, une responsabilité de traitement partagée entre l’entreprise, la PDP et l’État. La validation s’accompagnait de conditions techniques précises sur le secret des affaires et la conformité RGPD.

Ces conditions concernaient un dispositif qui n’existe plus dans cette forme. Le communiqué officiel du 15 octobre 2024 a clos cette architecture sans débat public approfondi. Notre analyse détaillée des implications réelles de l’avis CNIL 2021 reformulé pour 2026 revient sur les passages que la communication ministérielle a éludés.

Le pivot d’octobre 2024 que personne n’a redemandé d’auditer.

Le 15 octobre 2024, Bercy annonce dans un communiqué laconique l’abandon du PPF dans son rôle initial d’opérateur de transmission. Le portail public est désormais cantonné à deux missions : l’annuaire central et le concentrateur de données fiscales à destination de la DGFiP. La transmission des factures passe désormais exclusivement par les plateformes privées agréées.

Ce changement modifie la nature même du traitement de données personnelles. La DGFiP devient responsable de traitement autonome pour les données fiscales centralisées via le PPF concentrateur. Aucune saisine publique de la CNIL sur cette nouvelle architecture n’a été rendue publique. L’avis de 2021, antérieur de trois ans, sert pourtant toujours d’argument de conformité dans les supports commerciaux des éditeurs agréés.

II — Les chiffres réelsCe que le RGPD interdit, ce que la réforme impose.

Trois principes structurent le RGPD : la minimisation, la limitation de finalité, la limitation de durée. La réforme de la facturation électronique heurte les trois frontalement. Le règlement limite ce qu’on transmet, qui peut le lire, combien de temps on le conserve. La réforme impose un périmètre transmis défini par la DGFiP, une finalité fiscale extensible, et une durée d’archivage qui dépasse la décennie.

Minimisation versus périmètre transmis au PPF.

L’article 5.1.c du RGPD impose de ne traiter que les données adéquates, pertinentes et limitées au strict nécessaire. La réforme définit ce nécessaire par décret : identification fournisseur et client, montant HT, TVA, taux, code service. La liste s’allonge au gré des spécifications techniques publiées par l’AIFE.

Concrètement, le « nécessaire » du RGPD est défini par celui-là même qui va recevoir les données. C’est un point structurellement fragile. Notre dossier sur les données effectivement collectées par le PPF détaille le champ réel, plus large que la communication officielle ne le suggère.

Limitation de finalité versus prérogative DGFiP.

L’article 5.1.b du RGPD impose une finalité déterminée, explicite et légitime. La finalité affichée est la lutte contre la fraude à la TVA. Toutefois, les données concentrées au PPF deviennent réutilisables par la DGFiP pour d’autres finalités fiscales connexes : contrôle de l’impôt sur les sociétés, ciblage des contrôles, alimentation du data warehouse fiscal.

Le règlement interdit en principe les usages secondaires sans nouvelle base légale. En pratique, la DGFiP s’arroge la définition même de la finalité légitime. Les croisements internes à l’administration ne tombent pas sous le contrôle de la CNIL au même titre que ceux qu’opérerait une entreprise privée. Cette asymétrie est codifiée par les missions d’intérêt public que la loi reconnaît à l’administration fiscale.

Limitation de la durée versus 10 ans commercial.

L’article 5.1.e du RGPD impose une conservation limitée à ce qui est nécessaire. Les durées légales fiscales et comptables prennent le pas : 6 ans au titre de l’article L102 B du Livre des procédures fiscales, 10 ans au titre de l’article L123-22 du Code de commerce. La doctrine recommande de retenir la durée la plus longue.

Résultat opérationnel : les données figurant sur une facture émise en septembre 2026 resteront conservées jusqu’en septembre 2036. Le détail des règles applicables figure dans notre analyse de la conservation de 10 ans imposée par le contexte fiscal.

III — Le piège juridiquePourquoi le RGPD perd à chaque article qu’on compare.

La structure du règlement européen prévoit l’effacement de plusieurs droits fondamentaux lorsqu’une obligation légale entre en jeu. Trois articles concentrent cette neutralisation : l’article 6.1.c, qui légitime le traitement ; l’article 17.3.b, qui annule l’effacement ; l’article 21, qui désactive l’opposition. Ces dispositions servent l’État de droit. Elles produisent ici un déséquilibre qu’aucun débat parlementaire n’a véritablement tranché.

L’article 6.1.c, le passe-droit absolu.

L’article 6.1.c du RGPD reconnaît l’obligation légale comme base juridique valide d’un traitement. La facturation électronique relève par construction de cette base : émettre une facture conforme est une obligation découlant de l’article 289 du CGI et de l’article L.441-9 du Code de commerce.

Le consentement de la personne concernée n’est plus requis. L’analyse de proportionnalité reste théoriquement possible. En pratique, dès qu’un texte législatif ou réglementaire impose la transmission, la base légale se verrouille. Le débat ne porte plus sur l’opportunité du traitement mais sur les conditions techniques de son exécution. Autrement dit, sur un terrain où la CNIL n’a aucune prise.

L’article 17.3.b, l’effacement repoussé à 2036.

Le droit à l’effacement, posé par l’article 17 du RGPD, est l’un des piliers symboliques du règlement. Son article 17.3.b en circonscrit l’exercice : le droit ne s’applique pas lorsque le traitement est nécessaire au respect d’une obligation légale. Les factures contenant des données personnelles ne peuvent donc pas être effacées pendant la durée de conservation imposée.

Concrètement, un client qui souhaite faire effacer ses données figurant sur une facture émise en septembre 2026 devra attendre 2036. Le droit existe sur le papier. Il s’exerce sur les marges de la durée légale, c’est-à-dire dans des situations résiduelles où la rétention prolongée ne se justifie plus.

L’opposition désactivée par construction.

L’article 21 du RGPD prévoit un droit d’opposition à un traitement. Le texte précise qu’il ne s’applique pas aux traitements fondés sur l’obligation légale. Le mécanisme entier disparaît.

Un fournisseur français qui refuserait que ses données SIREN, identité du dirigeant, prestations facturées et montants soient transmises au PPF ne dispose d’aucun recours utile. La transmission s’impose dès que l’entreprise atteint le seuil de la réforme. Le seul moyen de ne pas transiter par le PPF reste de quitter le périmètre de la TVA, ce qui implique de basculer hors champ via la franchise ou de cesser l’activité. Une option, pas un droit.

Le RGPD ne perd pas par accident. Il perd parce qu’il a lui-même écrit, dans son corps de règles, l’exception qui le neutralise face à toute obligation fiscale. — L’observatoire, analyse interne

IV — Le coût cachéLes sanctions des deux régimes, et qui paye quoi.

Les sanctions RGPD sont spectaculaires : jusqu’à 4 % du chiffre d’affaires mondial, ou 20 millions d’euros. Les sanctions de non-conformité à la facturation électronique sont plus modestes : 15 € par facture non émise au format électronique, plafond 15 000 € par an. Cette asymétrie est trompeuse. Les 4 % visent l’entreprise qui aurait traité disproportionnellement. Les 15 € visent celle qui n’aurait pas transmis. Les deux régimes s’additionnent.

4 % du chiffre d’affaires pour vous, zéro pour le PPF.

L’asymétrie de responsabilité est totale. Le PPF et la DGFiP agissent comme responsables de traitement autonomes pour les données fiscales centralisées. Aucun mécanisme de sanction équivalent à celui qui s’applique aux entreprises privées n’est prévu pour ces acteurs publics.

Une TPE qui réutiliserait par erreur les données de facturation pour une campagne marketing s’expose aux sanctions RGPD pleines. La DGFiP, qui peut croiser les mêmes données avec FICOBA, son data warehouse fiscal et les retours URSSAF, opère hors du contrôle de la CNIL pour les usages fiscaux. Notre dossier sur les personnes habilitées à accéder aux factures électroniques cartographie cette asymétrie.

L’AIPD obligatoire que presque personne n’a faite.

L’article 35 du RGPD impose une analyse d’impact relative à la protection des données lorsqu’un traitement présente un risque élevé. Le volume des factures émises annuellement par une PME structurée, combiné à la nature des données personnelles transmises, place clairement la facturation électronique dans le champ de cette obligation.

En pratique, l’AIPD n’a été réalisée que par une minorité d’entreprises. La CNIL n’a pas encore lancé de campagne de contrôle ciblée sur ce point. Le risque dort, en attendant une vague de contrôles qui pourrait suivre la première année pleine de fonctionnement du dispositif. La doctrine prudente recommande de documenter une AIPD avant la première émission de facture électronique.

V — Ce qui vous resteLes marges que conserve l’entreprise.

Le RGPD perd les batailles frontales. Il reste cependant un terrain où l’entreprise peut agir : le choix de sa PDP, l’audit de son contrat, la documentation de sa minimisation. Ces marges sont étroites mais réelles. Elles supposent un travail préparatoire que la communication officielle minimise. Voici les deux leviers à activer avant le 1ᵉʳ septembre 2026 pour les ETI, le 1ᵉʳ septembre 2027 pour les TPE-PME.

Auditer son contrat PDP avant signature.

L’article 28 du RGPD impose un contrat de sous-traitance entre l’entreprise et sa PDP. Ce contrat doit décrire avec précision l’objet du traitement, les catégories de données, les mesures de sécurité, la durée, les sous-traitants ultérieurs autorisés et les procédures applicables en cas de violation.

L’audit pré-signature constitue le moment le plus important du parcours de conformité. La PDP qui conserve les données au-delà des durées légales, qui se réserve le droit de les analyser à des fins commerciales internes, ou qui ne précise pas son schéma de sous-traitance, doit être écartée sans hésitation. Notre dossier sur la vie privée de l’entrepreneur face à la facturation électronique détaille les clauses à exiger.

Documenter sa minimisation : registre et choix de PDP.

L’article 30 du RGPD impose la tenue d’un registre des traitements. La fiche dédiée à la facturation électronique doit décrire les finalités, les catégories de données, les destinataires (PDP, expert-comptable, DGFiP via PPF), les durées de conservation et les mesures de sécurité.

La rédaction de cette fiche n’est pas formelle. Elle conditionne l’opposabilité de la défense de l’entreprise en cas de contrôle CNIL. Un registre lacunaire ou copié-collé d’un modèle générique expose à la requalification en manquement. À cela s’ajoute le choix actif d’une PDP qui restreint techniquement le périmètre transmis : certaines plateformes proposent un paramétrage qui n’envoie au PPF que les champs strictement obligatoires.

FAQ — Questions fréquentesCe que vous nous demandez le plus sur ce conflit.

Une facture est-elle vraiment une donnée personnelle au sens du RGPD ?

Oui, dès qu’elle mentionne le nom d’un dirigeant, l’adresse d’un entrepreneur individuel ou le SIREN d’une personne physique. Les entrepreneurs unipersonnels relèvent intégralement du RGPD. Une facture B2B impliquant deux SARL contient également des données personnelles via les noms des signataires et les coordonnées des contacts opérationnels mentionnés.

Quelle base légale RGPD s’applique à la facturation électronique ?

Deux bases légales se cumulent : l’obligation légale (article 6.1.c) pour l’émission et la transmission au PPF, et l’exécution du contrat (article 6.1.b) pour les opérations comptables liées. Le consentement n’est jamais requis. C’est cette articulation qui rend le RGPD largement inopérant face à la réforme.

Peut-on demander à la DGFiP d’effacer ses données après 10 ans ?

Théoriquement oui, en application du principe de limitation de durée. En pratique, la DGFiP conserve une partie des données au-delà des durées strictement fiscales, au titre de ses missions de contrôle pluriannuel. Aucune procédure publique d’effacement systématique post-10 ans n’a été communiquée à ce jour.

Faut-il faire une AIPD avant de passer à la facturation électronique ?

L’analyse d’impact (article 35 RGPD) est recommandée dès lors que les volumes de facturation dépassent quelques milliers d’opérations annuelles. La CNIL n’impose pas encore systématiquement cette analyse, mais son absence constitue un facteur aggravant en cas de contrôle. Documenter une AIPD avant le 1ᵉʳ septembre 2026 est la position prudente.

Quelle PDP protège le mieux la vie privée ?

Aucune ne le fait par défaut. Toutes transmettent au PPF les champs obligatoires définis par l’AIFE. La différence se joue sur le paramétrage : certaines plateformes permettent de limiter les champs facultatifs envoyés, d’autres conservent moins longtemps les données après la durée légale, d’autres encore offrent un schéma de sous-traitance plus court à auditer.