Qui peut accéder à vos factures électroniques en 2026 : la liste complète
Six entités distinctes accèdent à chaque facture B2B émise après le 1ᵉʳ septembre 2026. Votre plateforme agréée, celle de votre client, le Concentrateur de Données géré par l’AIFE, la DGFiP, plus une chaîne de sous-traitants techniques qui se déploie jusqu’au troisième niveau de sous-traitance selon l’avis 22/2024 du Comité européen de protection des données. La communication officielle, elle, en mentionne deux ou trois.
Le détail de cette cascade d’accès reste enfoui dans les contrats des plateformes agréées et dans les avis techniques de la CNIL. Pour mesurer l’ampleur réelle du dispositif, il faut le replacer dans son cadre : la surveillance fiscale instaurée par la réforme de la facturation électronique bascule d’un régime de contrôle ponctuel à un régime de remontée systématique des transactions. Chaque accès supplémentaire ouvre un point d’entrée nouveau.
Les sites des éditeurs de plateformes agréées décrivent l’architecture comme un circuit fermé, chiffré, sécurisé. Techniquement, c’est vrai. Sauf que la liste des entités habilitées à lire vos données s’allonge à chaque maillon technique du dispositif. Voici qui accède, sous quel régime, pour combien de temps, et avec quels moyens de croisement.
Le dossier complet sur la surveillance fiscale 2026
Notre enquête sur les neuf dispositifs qui composent le nouveau régime de remontée systématique des données entreprises.
I — La chaîne officielleLes acteurs que l’administration reconnaît publiquement.
L’architecture déclarée par la DGFiP repose sur trois maillons principaux. Tous trois sont documentés sur impots.gouv.fr et dans les communiqués de l’AIFE. Aucun ne pose problème en soi. Le problème commence quand on regarde ce qui s’agrège autour.
La plateforme agréée que vous avez choisie
Premier point d’accès : votre plateforme agréée (PA), anciennement appelée PDP. Elle émet la facture, la convertit dans un format normé (Factur-X, UBL, CII), la transmet à la PA du destinataire et extrait les données fiscales pour le Concentrateur. La DGFiP a immatriculé 101 plateformes au 16 janvier 2026, parmi lesquelles des éditeurs comptables (Cegid, Sage, Pennylane), des spécialistes EDI (Generix, Basware) et des fintechs (Qonto).
Votre PA lit l’intégralité de votre facturation. Pas seulement les mentions obligatoires : aussi le descriptif des prestations, les références clients internes, les commentaires libres. C’est l’angle mort le plus banal du dispositif. Une PA chargée d’émettre vos factures voit nécessairement le détail de vos contrats commerciaux.
Le Concentrateur de Données et l’annuaire central
Deuxième maillon : le Concentrateur de Données, anciennement Portail Public de Facturation. Depuis la décision de Bercy du 15 octobre 2024, il n’émet plus de factures et n’en reçoit plus directement. Son rôle se réduit à deux fonctions : tenir l’annuaire des entreprises assujetties à la TVA et concentrer les données extraites par les PA pour les transmettre à la DGFiP.
Le Concentrateur ne stocke pas les factures complètes. Il agrège les données structurées : identifiants des parties, montants HT et TTC, TVA par taux, statuts de paiement, dates de cycle de vie. Ces données collectées par le PPF pour la DGFiP alimentent ensuite le pré-remplissage des déclarations de TVA et les algorithmes de scoring. Le périmètre exact est fixé par l’arrêté du 7 octobre 2022, modifié.
La DGFiP comme destinataire final
Troisième maillon : la DGFiP est destinataire final des flux. Elle accède aux données via le Concentrateur, en temps quasi réel. Le directeur général des Finances publiques a confirmé en plénière du 78ᵉ Congrès des experts-comptables que cet accès continu constituait l’un des objectifs structurants de la réforme. L’administration justifie ce changement par la lutte contre la fraude à la TVA, estimée à environ vingt milliards d’euros par an, dont la majorité concerne pourtant des carrousels intracommunautaires que le dispositif national ne touche pas directement.
L’ordonnance du 15 septembre 2021 qui pose le cadre de la facturation électronique a reçu un avis favorable de la CNIL. Cet avis portait sur les données B2B figurant déjà sur les factures papier. Il n’examinait ni la concentration centralisée, ni la durée d’archivage de dix ans, ni les croisements interadministratifs rendus possibles ensuite.
II — La cascade de la sous-traitanceCe que la plateforme agréée ne vous dit pas dans son contrat.
L’angle aveugle commence ici. Une PA n’opère jamais seule. Elle s’appuie sur un hébergeur, des éditeurs logiciels tiers, des prestataires de maintenance, des intégrateurs. Tous ces acteurs traitent vos données pour le compte de la PA, donc indirectement pour le vôtre. Aucun ne figure dans les communications officielles de la DGFiP.
La règle des trois niveaux de sous-traitance
L’avis 22/2024 du Comité européen de protection des données est explicite : le responsable du traitement reste garant de ses sous-traitants, des sous-traitants de ses sous-traitants, et de ceux du troisième niveau. Cette règle s’applique pleinement à la facturation électronique. Vous restez juridiquement responsable de la chaîne entière, même quand vous ignorez quels sous-traitants techniques compose la pile de votre PA.
Concrètement : votre PA confie l’hébergement à un cloud provider, qui sous-traite la supervision à un prestataire, qui sous-traite la maintenance applicative à un troisième acteur. Chacun a accès, à des degrés divers, à vos données. L’article 28 du RGPD exige un contrat de sous-traitance à chaque maillon. La majorité des entreprises clientes des PA n’a jamais vu le détail de cette cascade.
Hébergeurs, éditeurs tiers, mainteneurs
Les contrats types proposés par les plateformes agréées listent rarement nominativement leurs sous-traitants. Ils renvoient vers une page web qui peut changer sans préavis. L’avocate spécialiste interrogée par Le Moniteur en mai 2025 le dit sans détour : il ne suffit pas de choisir une PA conforme, il faut s’assurer que ses propres sous-traitants le sont aussi. Et là, le rapport de force devient défavorable aux petites structures qui n’ont aucune capacité de négociation contractuelle.
Transferts hors Union européenne
Certains prestataires techniques recourent à des sous-traitants situés hors de l’Espace économique européen. Le RGPD le permet, sous conditions : clauses contractuelles types, décisions d’adéquation, mesures techniques complémentaires. La pratique du chiffrement de bout en bout n’est pas systématique et la labellisation SecNumCloud reste l’exception. Pour un sujet aussi sensible que la facturation B2B, c’est un trou éditorial que peu de cabinets pointent publiquement.
L’article 32 du RGPD impose des mesures de sécurité appropriées. En cas de violation de données chez un sous-traitant de votre PA, votre entreprise dispose de 72 heures pour notifier la CNIL une fois informée. Le sous-traitant doit prévenir la PA sans délai, mais aucune durée maximale n’est imposée par la loi. Dans les faits, le délai de remontée varie selon les contrats.
III — Les administrations branchéesURSSAF, Douanes, MSA : eux aussi consultent.
Les données concentrées à la DGFiP ne restent pas confinées à cette administration. Plusieurs lois successives ont décloisonné l’accès interadministratif aux fichiers fiscaux. La facturation électronique nourrit désormais cette logique : un flux brut, structuré, exploitable, partagé entre acteurs qui historiquement travaillaient en silos.
Le décloisonnement des bases fiscales
L’article 2 de la loi Darmanin contre la fraude a élargi l’accès aux fichiers FICOBA (comptes bancaires), FICOVIE (assurances vie), BNDP (données patrimoniales) et PATRIM (estimations de biens) à l’inspection du travail, à l’URSSAF et à la MSA. La DGDDI, autrement dit les Douanes, peut désormais obtenir les codes sources des logiciels de gestion et de comptabilité, à conserver jusqu’à la troisième année suivant la fin de diffusion du logiciel concerné.
Ajouter à ce panorama le croisement des fichiers entre impôts, URSSAF et Douanes change la perspective. La facturation électronique ne crée pas une base nouvelle, elle en alimente plusieurs déjà existantes. C’est cette accumulation, davantage que chaque dispositif pris isolément, qui mérite l’examen.
Les croisements DGFiP, URSSAF, DGDDI en pratique
La Fondation IFRAP, dans son rapport de 2025, documente la coopération croissante entre ces administrations et plaide même pour une intégration plus poussée à l’image du Royaume-Uni (HMRC Connect) ou de l’Italie (système VeRa). Les croisements actuels portent sur des cas ciblés : suspicion de travail dissimulé, dépendance économique anormale entre entités, écarts entre paiements bancaires et factures déclarées. La facturation électronique fournit la matière première qui rend ces croisements industrialisables.
La conséquence n’est pas seulement quantitative. Elle est qualitative : le contrôle change de nature. Frédéric Baldan, juriste mobilisé contre la pétition n°5174, l’a résumé dans une formule reprise dans la presse spécialisée.
L’État n’avait jamais accès au détail, sauf en cas de contrôle fiscal. C’était plutôt anecdotique.— Frédéric Baldan, juriste, propos publics tenus en avril 2026
La durée d’accès : dix ans de mémoire fiscale active
Les données de facturation doivent être conservées dix ans au titre des obligations comptables. Cette durée de conservation de dix ans couvre la PA, le Concentrateur et la DGFiP. Une donnée transmise en septembre 2026 reste donc accessible aux algorithmes de contrôle jusqu’en septembre 2036. Le RGPD impose en parallèle un principe de minimisation et d’anonymisation des données personnelles dès qu’elles ne sont plus nécessaires. En pratique, cette purge automatique reste rare, l’obligation fiscale primant sur la protection des données dans les arbitrages opérationnels.
concernées par la captation
aux données transmises
ciblés par algorithmes en 2023
IV — Les algorithmes silencieuxVos factures parlent aux machines bien avant les inspecteurs.
La dernière catégorie d’accès est invisible parce qu’elle n’a pas de visage. Les données concentrées à la DGFiP ne dorment pas en attendant un contrôle humain : elles alimentent des outils de scoring algorithmique opérationnels depuis plusieurs années. L’arrivée de la facturation électronique exhaustive démultiplie leur précision.
ALBATROS, FIBRE, SIRIUS PRO : le scoring permanent
La Mission Requêtes et Valorisation (MRV) de la DGFiP exploite trois applicatifs principaux. ALBATROS détecte les comportements atypiques sur les déclarations de TVA. FIBRE croise les flux d’entreprises liées entre elles. SIRIUS PRO consolide les données issues du contrôle sur pièces. Selon le rapport d’activité 2023 de la DGFiP, 56 % des contrôles fiscaux ciblés sur les entreprises résultaient déjà d’un signalement algorithmique. Le chiffre date d’avant l’entrée en vigueur de la facturation électronique exhaustive. La courbe ne descendra pas.
GALAXIE et la cartographie des liens entre entités
L’outil GALAXIE dessine une carte des relations économiques autour de chaque entité contrôlée : participations financières, dirigeants communs, transactions récurrentes, structures patrimoniales. Là où une enquête manuelle prenait des semaines, GALAXIE produit la cartographie en quelques secondes. La facturation électronique fournit à GALAXIE la matière vivante : le détail de qui facture qui, à quel rythme, pour quel montant. Le data warehouse fiscal de la DGFiP agrège tous ces flux dans un référentiel unique consultable en libre-service par les agents habilités.
L’accès aux factures électroniques ne se résume pas à qui les lit. Il englobe aussi qui les exploite par algorithmes, sans qu’un agent humain n’intervienne avant le déclenchement du contrôle. Cette automatisation est l’angle mort le plus important de la communication officielle.
V — Vos droits réelsCe que le RGPD vous accorde, et ce qu’il vous interdit.
Le cadre RGPD s’applique intégralement à la facturation électronique, mais avec des restrictions importantes liées au caractère obligatoire du dispositif. La marge de manœuvre du contribuable est plus étroite qu’on ne le pense.
Le droit d’opposition qui n’existe presque pas
L’article 21 du RGPD reconnaît un droit d’opposition au traitement. Sauf que ce droit ne s’applique pas lorsque le traitement repose sur une obligation légale, ce qui est le cas pour la transmission des données fiscales. Concrètement, vous ne pouvez pas refuser que vos factures soient transmises au Concentrateur, ni que la DGFiP en exploite le contenu. Le seul levier ouvert : choisir une plateforme agréée respectueuse des avis CNIL et engagée sur des garanties contractuelles fortes, sans pouvoir sortir du dispositif lui-même.
L’accès à vos propres données
Le droit d’accès, lui, demeure entier. Vous pouvez demander à votre PA la copie des données traitées pour votre compte, et à la DGFiP la liste des informations détenues sur votre entreprise. La procédure passe par une requête écrite au délégué à la protection des données (DPO) de chaque entité concernée. Le DPO de la DGFiP est accessible via la rubrique « Contacts » du site impots.gouv.fr. Délai de réponse légal : un mois, prolongeable de deux mois pour les demandes complexes.
L’accès aux factures électroniques n’est pas un risque latent : c’est l’architecture même du dispositif.
Le débat public a tourné autour du coût d’une plateforme agréée, du calendrier de bascule, des sanctions encourues. Il a soigneusement évité la question centrale : qui consulte quoi, sous quel régime, pour combien de temps. La réponse tient en une phrase. Au moins six catégories d’acteurs accèdent à vos données, sur dix ans, avec des moyens algorithmiques que n’avaient pas les contrôleurs il y a dix ans. La réforme n’est pas neutre du point de vue de la vie privée des entreprises. Elle a été présentée comme telle.
FAQ — Questions fréquentes
Une plateforme agréée peut-elle vendre mes données de facturation ?
Non, l’usage commercial secondaire des données collectées dans le cadre de la mission légale est interdit par le RGPD. Tout croisement à des fins de profilage ou de marketing serait sanctionnable par la CNIL. En revanche, la PA peut proposer des services analytiques sur vos propres données, à votre demande explicite, en tant que responsable de traitement délégué.
Mon expert-comptable accède-t-il automatiquement à mes factures via la PA ?
Seulement si vous lui en donnez accès explicitement, via le paramétrage de votre PA. La synchronisation comptable n’est pas activée par défaut. Certaines plateformes proposent l’intégration native avec les principaux logiciels comptables, d’autres exigent une exportation manuelle.
Les données transitent-elles par des serveurs hors Union européenne ?
Cela dépend strictement de la PA choisie et de sa pile technique. Une PA labellisée SecNumCloud héberge ses données dans des centres certifiés en France ou dans l’UE. Une PA reposant sur un cloud public américain peut faire transiter ou stocker des données en dehors de l’EEE, sous garanties contractuelles. Vérifier ce point dans l’annexe RGPD du contrat avant signature.
Puis-je savoir si mes factures ont été consultées par un algorithme de la DGFiP ?
Non. Les requêtes du système de scoling fiscal ne génèrent pas de notification au contribuable. Vous ne saurez qu’un algorithme vous a ciblé qu’au moment où un contrôle effectif est déclenché. C’est l’une des principales critiques formulées par les associations de défense des libertés numériques depuis l’extension de ces outils en 2020.
Que faire en cas de violation de données chez ma plateforme agréée ?
Votre PA doit vous notifier l’incident sans délai. Vous disposez alors de 72 heures pour déclarer la violation à la CNIL, sauf si elle ne présente pas de risque pour les droits des personnes concernées. Conservez la trace écrite de la notification reçue de la PA, elle conditionne l’examen ultérieur de votre responsabilité de responsable de traitement.