Facturation électronique et souveraineté des données

Mme Violette Spillebout appelle l'attention de Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur les enjeux de souveraineté et de sécurité des données liés à la mise en œuvre de la réforme de la facturation électronique. La généralisation progressive de la facturation électronique entre entreprises conduira à faire transiter, par l'intermédiaire des plateformes agréées et du portail public de facturation, un volume considérable de données relatives aux transactions, aux flux financiers et à l'activité commerciale des entreprises françaises. Par leur ampleur et leur niveau de précision, ces informations revêtent un caractère particulièrement stratégique pour l'économie française. Plusieurs chefs d'entreprise et acteurs économiques alertent ainsi sur les garanties entourant l'hébergement, le traitement et la protection de ces données. En particulier, l'absence d'exigences suffisamment strictes en matière de localisation et de qualification des infrastructures pourrait conduire à ce que certaines données soient hébergées ou traitées par des prestataires soumis à des législations extraterritoriales, notamment au Cloud Act américain. Une telle situation est susceptible de soulever des enjeux de confidentialité, de souveraineté économique et de protection du patrimoine informationnel des entreprises françaises. La concentration de volumes importants de données économiques sensibles au sein d'un nombre limité d'infrastructures appelle également une vigilance particulière en matière de cybersécurité et de résilience, afin de prévenir les conséquences d'une cyberattaque, d'une défaillance technique ou d'une rupture d'accès aux services concernés. Si la généralisation de la facturation électronique constitue un outil essentiel de modernisation, de simplification et de lutte contre la fraude, sa mise en œuvre doit s'accompagner de garanties à la hauteur du caractère stratégique des données concernées. Elle lui demande donc quelles exigences le Gouvernement entend imposer aux plateformes agréées en matière d'hébergement, de traitement et de protection des données issues de la facturation électronique, notamment concernant leur localisation au sein de l'Union européenne, le recours à des solutions qualifiées SecNumCloud ou présentant un niveau de protection équivalent et leur exposition éventuelle à des législations extraterritoriales. Elle souhaite également connaître les mesures prévues pour garantir la résilience cyber de ces infrastructures, la continuité du service et, plus largement, la protection des données économiques stratégiques des entreprises françaises.

A ce jour, 150 plateformes ont été immatriculées par l'administration. La liste est disponible sur impots.gouv.fr. Concernant la sécurité des données, côté État, les traitements et outils sont soumis à une homologation de sécurité conforme au référentiel ANSSI, avec audits, tests de bout-en-bout, tests d'intrusion et une organisation de gestion des incidents, assortie de mécanismes de sauvegarde/restauration et de traçabilité des accès. Côté plateformes, l'agrément impose des exigences élevées : respect de la norme ISO/IEC 27001, hébergement dans l'UE, qualification SecNumCloud en cas d'hébergement cloud, et audit annuel avec possibilité de retrait d'agrément en cas de non-respect des obligations portées par l'encadrement juridique de la réforme. Toutes les informations actuellement présentes sur les factures ne seront pas transmises à l'administration. Par exemple, les transactions réalisées avec des particuliers sont concernées par une obligation de transmission des données à l'administration (appelée « e-reporting de transaction »). Pour ces transactions, les données à transmettre par les assujettis sont, d'une part, agrégées par jour et, d'autre part, ne comportent aucune information à caractère personnel (nom de la personne, détail de la prestation). Le dispositif est donc de nature à garantir le secret des affaires et à préserver les intérêts des entreprises françaises. Le choix de ne pas concentrer l'ensemble des flux nationaux dans un point de passage unique (un portail central) mais sur les plateformes agréées participe également de la stratégie de sécurité.