Protection des données personnelles dans le cadre de la facturation électronique

Mme Sophie-Laurence Roy interroge M. le ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique sur les modalités d'inscription des entreprises auprès des plateformes agréées de facturation électronique et sur les risques qu'elles font peser sur la sécurité des données des entreprises françaises. À compter du 1er septembre 2026, près de dix millions d'acteurs économiques assujettis à la TVA devront être en mesure de recevoir leurs factures par l'intermédiaire d'une plateforme agréée. L'abandon, annoncé le 15 octobre 2024, du volet facturation du portail public de facturation a eu pour conséquence de confier la totalité de la couche opérationnelle de la réforme à des opérateurs privés, dont le nombre dépasse aujourd'hui cent soixante et dont de nombreuses sont des sociétés étrangères. Or l'inscription auprès de ces plateformes suppose, dans la quasi-totalité des cas, la transmission d'un extrait Kbis ou d'un avis de situation SIRENE de moins de trois mois ainsi que d'une copie de la pièce d'identité du représentant légal. Il en résultera, en quelques semaines, la duplication de plusieurs millions de copies de titres d'identité dans des bases de données privées dont la sécurité relève de la seule responsabilité de leurs exploitants. Cette collecte massive intervient dans un contexte de multiplication des violations de données. La CNIL a enregistré 6 167 notifications de violations en 2025, en progression de 9,5 %, dont une sur deux consécutive à un piratage informatique. La copie d'un titre d'identité constitue le principal vecteur d'usurpation d'identité et la Commission rappelle de longue date que sa conservation par une personne morale revêt un caractère excessif au regard du principe de minimisation posé par l'article 5.1.c du règlement général sur la protection des données. L'État dispose pourtant des outils permettant d'éviter cette dissémination. ProConnect, opéré par la direction interministérielle du numérique, identifie les professionnels du secteur privé à partir du numéro SIRET et propose une certification des dirigeants adossée au registre national des entreprises. France Identité délivre par ailleurs un justificatif d'identité à usage unique qui dispense l'usager de transmettre le visuel de son titre. Aucun de ces dispositifs n'a été rendu obligatoire ni même opposable aux plateformes agréées. S'ajoute à cela une question de souveraineté. Aux copies de titres d'identité viendront s'agréger l'annuaire des relations commerciales, les flux de factures, les données de transaction et de paiement, c'est-à-dire le patrimoine informationnel de l'ensemble du tissu économique national, confié à des opérateurs dont plusieurs sont établis hors de France et susceptibles de relever de législations extraterritoriales. Elle lui demande en conséquence de préciser sur quel fondement juridique exact repose l'exigence d'une copie de pièce d'identité lors de l'inscription auprès d'une plateforme agréée, si la CNIL a été saisie de ce point, pour quelles raisons le recours à ProConnect ou à France Identité n'a pas été imposé aux plateformes agréées alors que ces solutions étatiques existent et sont opérationnelles, quelles obligations de durée de conservation, de chiffrement et de localisation de l'hébergement s'imposent à ces plateformes s'agissant de ces documents, quelles conséquences seraient tirées de la compromission de l'une d'entre elles et quelles mesures le Gouvernement entend prendre, avant l'échéance du 1er septembre 2027, pour substituer une identification par fédération d'identité étatique à la collecte généralisée de copies de titres d'identité.

En matière d'identification des utilisateurs, les plateformes agréées doivent garantir l'intégrité des accès aux données de facturation, conformément aux textes réglementaires (article 242 nonies B I 7° a) et article 242 nonies F de l'annexe II au code général des impôts). Le règlement d'exécution n° 2015/1502 de la Commission européenne du 8 septembre 2015, fixant les spécifications techniques et procédures minimales relatives aux niveaux de garantie des moyens d'identification électronique visés à l'article 8, paragraphe 3 du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014, définit un niveau de garantie substantiel harmonisé des moyens d'identification électronique de la personne utilisatrice, imposé aux plateformes. De manière transitoire, jusqu'au 31 décembre 2029, les garanties imposées aux plateformes agréées reposent sur une double condition : a) Une vérification fiable de l'identité de la personne utilisatrice et de sa qualité de représentant légal, mandataire ou délégataire de l'assujetti, au moment de la création d'un compte sur la plateforme ou de l'adhésion aux services proposés par celle-ci ; b) Un mécanisme d'authentification à deux facteurs, dont l'un dynamique. Le respect de ces obligations est vérifié dans le cadre des audits périodiques, au cours desquels sont notamment vérifiés l'analyse de risques du mécanisme d'authentification, et la conformité du processus de traçabilité. La conservation des preuves de vérification d'identité durant la vie du compte s'inscrit dans le cadre de ces contrôles. En septembre 2026, la Direction générale des Finances publiques a rappelé aux plateformes agréées que les pièces d'identités avec filigrane numérique (ou tatouage numérique) sont autorisées et doivent être acceptées. Enfin, les plateformes agréées doivent démontrer qu'elles respectent l'article 321 du règlement général sur la protection des données (RGPD) relatif à la sécurisation des données personnelles (chiffrement / anonymisation) qu'elles sont susceptibles de gérer, par exemple au moyen d'un code de conduite ou d'un mécanisme de certification (article 242 nonies B de l'annexe II au CGI). 1 Article 32 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.