Souveraineté des données : 42 % des PDP sous capitaux étrangers

Sur les 101 plateformes agréées par la DGFiP en septembre 2025, près de 42 % appartiennent partiellement ou totalement à des fonds étrangers. Ce chiffre ne vient pas d’un site militant. Il a été publié dans la presse spécialisée par le PDG d’Axonaut, lui-même éditeur agréé. La réforme de la facturation électronique impose à 4 millions d’entreprises françaises de transmettre leurs factures via un opérateur privé. La majorité de ces opérateurs ne sont pas réellement français au sens de leur actionnariat, et la communication officielle n’a jamais clarifié ce point.

La perte de souveraineté n’est donc pas une crainte théorique. Elle est mesurable, sourcée et structurelle. Pour comprendre pourquoi ce dossier rejoint les autres failles que nous documentons sur la critique de la réforme de la facturation électronique, il faut entrer dans le détail technique du dispositif. La doctrine officielle parle d’agrément, de label, de cahier des charges. La réalité juridique parle de Cloud Act, d’actionnariat masqué et de SecNumCloud facultatif.

La communication officielle se garde bien de mentionner que le label SecNumCloud, présenté comme le garant de la souveraineté, ne figure dans aucune exigence obligatoire des plateformes agréées. La suite documente ce que Bercy ne dit pas, ce que les schémas gouvernementaux ne montrent pas, et ce que dix ans de conservation centralisée de factures représentent réellement pour une entreprise française.

I — Le mythe officielLa souveraineté agréée n’a pas été vérifiée.

Le dispositif officiel repose sur un agrément délivré par la DGFiP après vérification d’un cahier des charges technique. Ce cahier des charges exige une certification ISO/IEC 27001, une attestation sur l’article 32 du RGPD et un engagement à ne pas transférer les données hors UE. Aucune ligne ne mentionne la nationalité de l’actionnariat. Aucune ligne ne mentionne le contrôle capitalistique. La souveraineté du dispositif est donc affirmée, pas démontrée.

42 % des plateformes agréées appartiennent à des fonds étrangers

Le chiffre a été publié en février 2026 par Nicolas Ricard, président d’Axonaut, dans une tribune relayée par InformatiqueNews. Cette part de 42 % couvre les plateformes détenues partiellement ou totalement par des capitaux non français. Elle inclut des acteurs européens, américains et asiatiques. La dépendance des entreprises françaises à des éditeurs privés prend ici une dimension nouvelle. La souveraineté revendiquée par l’État dépend d’un parc d’opérateurs dont plus de quatre sur dix échappent au contrôle capitalistique national.

Le siège social français ne dit rien de l’actionnariat

Le site impots.gouv.fr publie un schéma classant les plateformes selon trois catégories : éditées en France, en Europe ou hors d’Europe. Ce classement repose uniquement sur le lieu du siège social. Une plateforme dont la holding mère se trouve à Delaware mais dont la filiale opérationnelle est immatriculée à Paris apparaît comme française. C’est juridiquement exact et opérationnellement trompeur. Pour les TPE qui choisiront leur plateforme en consultant ce schéma, la souveraineté affichée est une promesse de façade.

Pourquoi la communication officielle évite le sujet

La réforme avait besoin d’un parc d’opérateurs en quelques mois. Imposer un actionnariat 100 % français aurait réduit la liste à une vingtaine d’éditeurs au mieux. Le calendrier serré du 1ᵉʳ septembre 2026 a pesé plus lourd que l’exigence de souveraineté. Ce trade-off n’a pas fait l’objet d’un débat public. Il s’inscrit dans une logique plus large que documente notre dossier sur le lobbying des éditeurs SaaS dans la conception de la réforme.

Nous plaçons les entreprises face à un choix sans leur en donner pleinement les moyens. La souveraineté numérique ne peut pas reposer uniquement sur des intentions. — Nicolas Ricard, PDG d’Axonaut, tribune InformatiqueNews, février 2026

II — L’angle mort organiséLe Cloud Act s’invite dans toutes les plateformes adossées au capital américain.

Le Cloud Act, signé en mars 2018 par l’administration Trump, modifie le Stored Communications Act de 1986. Sa portée a été clarifiée par plusieurs analyses juridiques françaises, dont celle du cabinet Lexing et celle de l’IFRI. Toute société de droit américain doit communiquer aux autorités fédérales, sur mandat, les données placées sous son contrôle. Peu importe le lieu de stockage physique. Peu importe qu’un datacenter soit à Roubaix ou à Strasbourg. Le seul critère pertinent est la nationalité juridique de l’entité qui contrôle les données.

Comment une plateforme française tombe sous juridiction américaine

Trois mécanismes activent la juridiction américaine sur une plateforme agréée. Le premier : la holding mère est immatriculée aux États-Unis. Le second : un actionnaire de référence est une société américaine, même minoritaire dans certaines configurations contractuelles. Le troisième : l’éditeur utilise un sous-traitant cloud américain pour son infrastructure. Le simple fait d’héberger ses serveurs chez un opérateur soumis au Cloud Act suffit, indépendamment du siège social affiché.

Le label SecNumCloud n’est qu’une recommandation

SecNumCloud impose un audit ANSSI complet, des locaux sur le territoire de l’UE et une chaîne capitalistique européenne. Ces exigences pèsent lourd dans les coûts d’exploitation. Les éditeurs ont donc largement préféré la voie ISO 27001, plus accessible et internationalement reconnue, qui ne garantit en revanche aucune protection contre le Cloud Act. Sur les 101 plateformes agréées en septembre 2025, une part marginale est qualifiée SecNumCloud. Le label reste une exception, pas une norme.

Ce que la loi américaine peut exiger de votre éditeur

Le périmètre des données accessibles couvre le contenu des factures, les coordonnées des clients et fournisseurs, les montants, les conditions de paiement, les remises consenties et la cartographie commerciale complète. Pour une entreprise qui travaille avec des concurrents américains ou des acteurs sensibles, l’exposition est concrète. Le risque n’est pas hypothétique : plusieurs entreprises européennes ont déjà fait l’expérience de demandes Cloud Act, peu médiatisées mais documentées par les autorités allemandes et néerlandaises.

III — La photographie sur dix ansVos données disent tout de votre entreprise, et elles resteront accessibles.

La conservation légale des factures électroniques s’étend sur dix ans. Cette durée est imposée par l’article L102 B du Livre des procédures fiscales et par les obligations comptables. L’archive ne contient pas seulement la facture brute. Elle inclut les métadonnées de transmission, les horodatages, les signatures électroniques et les empreintes cryptographiques. Tout l’historique transactionnel d’une entreprise devient ainsi consultable sur une décennie, par tout acteur disposant d’un accès légal aux serveurs de la plateforme.

Dix ans d’archives composent la photographie économique complète

Avec dix années de facturation centralisée, un analyste reconstitue le portefeuille clients, la saisonnalité du chiffre d’affaires, les marges par segment, les délais de paiement par typologie de client et les pertes contractuelles. Ces informations ne figurent pas dans les comptes annuels publiés. Elles n’apparaissent même pas dans la déclaration fiscale. Elles sont opérationnelles, granulaires et historisées. Notre observatoire détaille les conséquences fiscales et commerciales de cette captation dans le dossier consacré à la surveillance fiscale massive permise par la réforme.

Centralisation et risque de cyberattaque massive

La logique économique pousse les TPE vers les cinq ou six plus grosses plateformes agréées du marché. Cette concentration crée un point de défaillance unique. Une intrusion réussie chez un opérateur de référence exposerait simultanément plusieurs centaines de milliers de carnets de facturation. Le scénario n’est pas spéculatif : il s’aligne sur le profil des attaques récentes contre les grands éditeurs français de paie et de comptabilité. La cartographie des risques cyber spécifiques aux PME documente ces incidents et leur croissance.

Le contre-modèle italien

L’Italie a fait un choix différent dès 2014. Sa plateforme Sistema di Interscambio (SDI) est publique, gérée directement par l’Agenzia delle Entrate. Les entreprises italiennes transmettent leurs factures à l’État sans intermédiaire privé. Le dispositif n’est pas parfait, mais il ne pose pas de question de souveraineté capitalistique. Le modèle français a fait l’inverse : la fonction de transmission a été déléguée au privé, l’État ne gère que l’annuaire et les flux fiscaux résiduels.

Cette comparaison ne valide pas le modèle italien dans son ensemble. Elle isole un point précis : la question de la souveraineté capitalistique a été tranchée différemment de part et d’autre des Alpes. Le choix français n’est pas inéluctable. Il a été fait, sans débat public sur cette dimension, sous la pression du calendrier et du lobbying des éditeurs déjà en place.

Questions fréquentes

Le RGPD protège-t-il mes données contre le Cloud Act ?

Non. Le RGPD et le Cloud Act relèvent de deux logiques juridiques distinctes. Le RGPD encadre le traitement des données personnelles en Europe. Le Cloud Act autorise les autorités américaines à exiger des données auprès d’entreprises de droit américain, indépendamment de la localisation des serveurs. En pratique, l’éditeur français peut être tenu de communiquer les données sans violer le RGPD lui-même, à condition de notifier la CNIL et le client concerné, ce qui n’est pas toujours possible quand la demande américaine impose la confidentialité.

Comment savoir si ma plateforme agréée est sous capitaux français ?

L’information se trouve dans l’extrait Kbis de la société et dans son rapport annuel de gestion quand celui-ci est public. Pour les éditeurs cotés, les rapports financiers indiquent la composition du capital. Pour les éditeurs non cotés, il faut souvent recouper plusieurs sources : registre des bénéficiaires effectifs, statuts publiés, et déclarations de presse. La DGFiP ne publie pas cette information dans son annuaire des plateformes agréées.

SecNumCloud existe-t-il pour les plateformes agréées ?

Oui, le label SecNumCloud délivré par l’ANSSI est compatible avec l’agrément DGFiP. Quelques éditeurs français qualifiés SecNumCloud, comme certaines offres adossées à OVH ou Outscale, peuvent fournir un service conforme aux deux référentiels. Ces plateformes restent minoritaires dans le marché global et représentent généralement des solutions plus coûteuses, ciblant les grandes entreprises et le secteur public.

Puis-je refuser le transfert de mes factures à une plateforme privée ?

Non, à compter du 1ᵉʳ septembre 2026 pour les grandes entreprises et du 1ᵉʳ septembre 2027 pour les TPE et PME. Le portail public gratuit, initialement prévu, a été annulé en octobre 2024. Toute facture B2B domestique devra transiter par une plateforme agréée. Seules les transactions hors du champ de la réforme restent en dehors du dispositif, notamment les opérations B2C pures et certains statuts particuliers.

Que faire pour minimiser la perte de souveraineté ?

Trois actions concrètes existent. La première : exiger de la plateforme retenue la communication écrite de son actionnariat et de ses sous-traitants cloud. La seconde : privilégier les éditeurs qualifiés SecNumCloud, même à coût plus élevé, quand la sensibilité des données le justifie. La troisième : conserver une copie locale des archives via le format Factur-X, qui reste lisible hors plateforme. Ces gestes ne suppriment pas les obligations légales mais réduisent l’exposition aux risques extraterritoriaux.