CNIL avis facturation électronique 2026 : ce qui manque
L’avis favorable de la CNIL sur la facturation électronique existe bien. Il porte un numéro, une date et une référence publique : délibération du 8 juillet 2021, rendue avant publication de l’ordonnance n° 2021-1190. La communication officielle s’en sert depuis comme bouclier juridique. Sauf qu’à cette date, trois architectures différentes allaient encore se succéder avant l’échéance du 1ᵉʳ septembre 2026, et la Commission n’a publié aucun avis nouveau sur deux d’entre elles.
Cinq ans séparent cet avis de l’entrée en vigueur. Pendant cet intervalle, le décret du 7 octobre 2022 a fixé les modalités techniques, le 15 octobre 2024 a recentré le PPF sur deux fonctions résiduelles, et le statut des plateformes a été réécrit autour de l’agrément exclusif. Notre dossier sur la surveillance fiscale élargie par la facturation électronique couvre le cadre général. Cet article documente un angle précis : la portée juridique réelle de l’avis CNIL en 2026.
Les éditeurs et cabinets de conseil citent l’avis 2021 comme garantie. Il garantit pourtant un schéma qui n’existe plus. Trois points sensibles restent sans examen public indépendant : la conservation décennale, l’élargissement du e-reporting B2C, et le périmètre du data warehouse fiscal alimenté par les plateformes agréées. Ces angles morts définissent ce que vaut l’avis aujourd’hui.
Pourquoi l’avis CNIL est devenu un angle mort
Notre dossier critique de la réforme replace cet avis dans son contexte politique, économique et institutionnel.
I — Le mythe officielUn avis qui existe, mais date du 8 juillet 2021.
L’argument répété par les éditeurs et les cabinets sponsorisés est rassurant : la CNIL a donné son feu vert. L’affirmation est juridiquement exacte. Elle laisse pourtant de côté l’essentiel du dispositif tel qu’il s’imposera aux entreprises à compter du 1ᵉʳ septembre 2026.
Le contexte 2021 et l’avis favorable rendu en plénière
L’ordonnance n° 2021-1190 du 15 septembre 2021 a posé le cadre juridique de la réforme. Quelques semaines avant sa publication, la Commission nationale de l’informatique et des libertés a examiné le projet en séance plénière du 8 juillet 2021 et rendu un avis favorable. Le ministère du Budget a ensuite cité cet avis dans sa réponse à la question parlementaire n° 41366, publiée au Journal officiel de l’Assemblée nationale le 16 novembre 2021.
Cette référence est devenue le passage obligé de toute communication institutionnelle sur la conformité au RGPD. À cette date, pourtant, le schéma examiné par la Commission reposait sur un Portail public de facturation chargé d’émettre et de recevoir directement les factures, un modèle abandonné depuis. L’avis valide donc un dispositif qui ne correspond plus à celui appliqué.
Ce que la CNIL a réellement examiné en 2021
L’avis du 8 juillet 2021 porte sur trois objets précis : la finalité du dispositif au regard du RGPD, le rôle des plateformes de dématérialisation et les sanctions prévues à l’article 1788 E du Code général des impôts. La Commission a notamment relevé l’obligation pour les plateformes de respecter le secret des affaires et de se soumettre au RGPD. Elle a validé le principe d’une immatriculation triennale renouvelable.
Son examen n’a pas porté sur le périmètre exact des données structurées remontées au fisc, fixé par décret en octobre 2022. Il n’a pas non plus traité les modalités d’interopérabilité PA-PPF définies en 2025. Ces deux blocs techniques, qui conditionnent l’essentiel des flux de données personnelles, ont été élaborés après l’avis et n’ont jamais été soumis à un examen équivalent.
L’ordre du jour de la plénière CNIL du 23 juin 2022 mentionne l’examen d’un projet de délibération sur le décret de mise en œuvre de la facturation électronique. Le texte de cette délibération n’est pas mis en avant sur le site de la Commission, contrairement aux avis sur d’autres dispositifs sensibles. Cette discrétion contraste avec la pédagogie habituelle de l’autorité.
II — Les chiffres réelsCinq ans, trois pivots, un seul avis public.
La chronologie est têtue. Entre la publication de l’ordonnance 2021 et l’échéance septembre 2026, la réforme a connu plusieurs réécritures structurantes. Chacune aurait justifié, pour un dispositif équivalent dans un autre secteur, une consultation formelle de la Commission. Aucune n’a donné lieu à un avis nouveau facilement accessible.
Octobre 2024 : la bascule PA-centric sans nouvel avis
Le communiqué du ministère de l’Économie du 15 octobre 2024 a recentré le Portail public de facturation sur deux fonctions résiduelles : l’annuaire des entreprises assujetties et le concentrateur des données remontées par les plateformes agréées. Cette modification n’est pas cosmétique. Elle déplace l’essentiel du traitement vers des opérateurs privés, désormais seuls habilités à émettre et recevoir les factures pour le compte des entreprises.
Ce déplacement modifie en profondeur la cartographie des responsabilités RGPD, des sous-traitances en cascade et des points de fuite potentiels. Pourtant, aucun avis CNIL public n’a été rendu après cette annonce pour ajuster les exigences du 8 juillet 2021 à cette nouvelle réalité. Les chiffres résument l’écart entre la complexité de la réforme et la rareté des examens indépendants.
et l’entrée en vigueur
sur cette réforme depuis 2021
sans réexamen formel publié
Le silence sur l’élargissement du e-reporting
Le e-reporting est l’autre versant de la réforme. Il oblige les entreprises à transmettre à l’administration les données de leurs transactions B2C, leurs ventes intracommunautaires et leurs achats auprès d’opérateurs étrangers. La fréquence prévue par voie réglementaire est hebdomadaire pour les entreprises au régime normal. Cette extension construit une vision quasi temps-réel de l’activité économique, transaction par transaction.
La Commission a abordé le principe du e-reporting dans son avis 2021, mais sans détailler les durées de conservation, les modalités de croisement avec les fichiers URSSAF et DGFiP, ni les conditions d’accès des agents instructeurs. Ces points ont été précisés par voie réglementaire et opérationnelle, hors examen indépendant rendu public. Le périmètre B2C, particulièrement sensible côté vie privée, n’a fait l’objet d’aucune délibération distincte.
Cinq ans sans nouvel avis public sur un dispositif d’une telle ampleur n’est pas une exception : c’est une lacune. Sur les sujets de cette sensibilité, la Commission rend habituellement des avis successifs à mesure que les architectures se précisent.
III — Le piègeCe que l’avis 2021 ne couvre déjà plus.
L’avis 2021 a vieilli plus vite que la réforme elle-même. Trois écarts entre son périmètre d’examen et le dispositif applicable au 1ᵉʳ septembre 2026 méritent d’être nommés. Aucun de ces écarts n’a été comblé par une nouvelle délibération publique.
Architecture nouvelle, base juridique inchangée
La base juridique du traitement reste celle de l’ordonnance, validée par la CNIL en 2021. Mais l’architecture technique est différente. Là où le PPF devait être le maillon principal, ce sont désormais les plateformes agréées qui détiennent l’émission, la transmission et une part substantielle des données.
Chacune devient un sous-traitant RGPD au sens de l’article 28 du règlement. La multiplication des acteurs introduit autant de surfaces d’attaque, de risques de sous-traitance en cascade et de clauses contractuelles à auditer par chaque entreprise utilisatrice. Le législateur n’a pas demandé à la Commission de réévaluer la solidité de cette chaîne. Le tableau ci-dessous résume l’écart entre les deux schémas.
Cet écart de périmètre, ligne après ligne, est ce que la communication officielle se garde de mentionner quand elle invoque la formule rituelle de l’« avis favorable rendu par la CNIL ».
La conservation 10 ans n’a pas été contestée
Les données de facturation doivent être conservées dix ans au titre du Code de commerce et du Code général des impôts. Cette durée vaut pour les pièces comptables. Elle s’applique mécaniquement aux factures électroniques structurées qui en sont la version dématérialisée. La Commission a accepté ce principe en 2021 sans pousser pour une distinction nette entre données strictement comptables et données personnelles intégrées aux factures.
Ces données personnelles incluent les noms des clients particuliers en B2C, les adresses de livraison, les numéros SIRET et les libellés produits parfois sensibles. Cette absence d’opposition formelle, combinée à la durée de conservation décennale des données fiscales et au croisement systématique avec d’autres fichiers, constitue le point que les associations de défense des libertés numériques avaient identifié comme prioritaire avant 2021. Il n’a pas été tranché publiquement depuis.
IV — La parade légaleLes leviers que la CNIL laisse au lecteur.
Un avis ancien n’épuise pas les droits ouverts par le RGPD. Une entreprise concernée, ou un client B2C dont les données apparaissent dans une facture transmise, peut activer plusieurs leviers concrets. Aucun ne dépend d’un nouvel avis de la Commission.
Le droit d’accès aux factures concentrées par le PPF
Le PPF détient désormais une copie des données structurées de chaque facture B2B. Toute entreprise est en droit, au titre de l’article 15 du RGPD, de demander à l’Agence pour l’informatique financière de l’État (AIFE) la liste complète des données la concernant conservées dans ce concentrateur. La demande passe par le délégué à la protection des données du ministère de l’Économie.
La réponse doit intervenir sous un mois, renouvelable une fois sur dossier complexe. Cette procédure reste peu utilisée. Elle est pourtant ouverte depuis l’entrée en vigueur de la collecte progressive, et constitue le seul moyen pour vérifier ce que le PPF collecte précisément sur votre propre entreprise.
Les voies de plainte spécifiques au PPF et aux PA
En cas d’accès indu, de durée de conservation excessive ou d’usage non prévu, la voie classique reste la plainte CNIL. Elle peut viser l’AIFE comme responsable de traitement du PPF, ou une plateforme agréée précise comme sous-traitant. La Commission peut alors lancer un contrôle, ordonner une mise en demeure et, en cas de manquement caractérisé, prononcer une sanction sur le fondement de l’article 83 du RGPD.
Les délais d’instruction sont longs : plusieurs mois à plusieurs années. Mais la voie existe, et chaque plainte qualifiée alimente le bilan annuel de la Commission, qui peut conduire à un avis correcteur sur le dispositif. C’est aussi par ce canal que la tension entre RGPD et obligations fiscales peut être arbitrée concrètement, dossier après dossier.
Le silence de la CNIL n’est pas un brevet de conformité. Le droit d’accès, le droit d’opposition motivé et le droit de plainte restent intacts. Chaque entreprise peut les exercer sans attendre une nouvelle délibération.
Un avis qui rassure les communicants, beaucoup moins les juristes.
L’avis CNIL du 8 juillet 2021 a fait son travail à sa date : valider un cadre. Cinq ans plus tard, ce cadre s’applique à une architecture profondément différente, sans que la Commission ait été conduite à se prononcer publiquement à nouveau. Cette asymétrie entre la complexité du dispositif et la rareté des avis indépendants définit, en creux, ce qui manque à l’édifice. L’argument de l’avis favorable, brandi sans contexte, est devenu un raccourci de communication, pas une garantie juridique.
Questions fréquentes
La CNIL peut-elle sanctionner une PA qui revend des données ?
Oui. Une plateforme agréée est responsable de traitement ou sous-traitant au sens du RGPD selon la nature exacte de ses opérations. Toute revente de données hors finalité fiscale, sans base légale ni consentement, constitue un manquement sanctionnable au titre de l’article 83 du RGPD. La Commission peut prononcer une amende administrative pouvant atteindre 4 % du chiffre d’affaires mondial du sous-traitant, indépendamment des sanctions DGFiP prévues à l’article 1788 E du Code général des impôts.
Existe-t-il un avis CNIL de 2026 spécifique au PPF ?
À la date de publication, aucun avis CNIL public spécifiquement consacré à l’architecture PA-centric appliquée au 1ᵉʳ septembre 2026 n’apparaît dans les délibérations facilement consultables sur Légifrance ou sur le site de la Commission. La délibération du 8 juillet 2021 sur l’ordonnance reste le document de référence. L’absence de nouvelle délibération publique depuis octobre 2024 est l’élément central de cette analyse.
Comment exercer son droit d’accès sur les données du PPF ?
La demande doit être adressée au délégué à la protection des données du ministère de l’Économie, par voie postale ou électronique, en justifiant de son identité et en précisant le périmètre demandé (par exemple, toutes les factures concentrées entre deux dates). L’AIFE doit répondre sous un mois. À défaut de réponse ou en cas de refus non motivé, une plainte peut être déposée auprès de la CNIL via le formulaire en ligne dédié, en joignant la preuve de la demande initiale.
Le RGPD prime-t-il sur les obligations fiscales de la réforme ?
Les deux régimes coexistent. Le RGPD encadre les modalités du traitement, l’ordonnance et le Code général des impôts en posent l’obligation. Le traitement reste licite au titre de la base légale de l’obligation légale (article 6, 1, c du RGPD), mais doit respecter les principes de proportionnalité et de minimisation. Une obligation fiscale ne dispense pas d’une analyse d’impact ni du respect des droits des personnes concernées, et la cartographie des accès aux factures électroniques reste opposable aux opérateurs.
La CNIL a-t-elle approuvé la conservation des données 10 ans ?
L’avis 2021 n’a pas remis en cause la conservation décennale des pièces comptables et factures électroniques, conforme au Code de commerce. La Commission n’a pas non plus introduit de distinction explicite entre données strictement comptables et données personnelles intégrées aux factures. Cette absence de réserve équivaut, dans la pratique, à une validation par défaut, malgré la sensibilité particulière des données B2C exposées sur dix ans.