Facturation électronique : nouvelle source de vulnérabilité pour les données personnelles ?

La réforme de la facturation électronique : une modernisation fiscale générant une centralisation accrue des données

‍

Depuis le 1er septembre 2026, la réforme de la facturation électronique est entrée en vigueur en France. Elle modifie profondément les modalités de facturation des entreprises assujetties à la TVA. À cette date, toutes les entreprises concernées doivent être en mesure de recevoir des factures électroniques.

‍

L’obligation d’émission est, quant à elle, progressive. Depuis le 1er septembre 2026, elle concerne les grandes entreprises et les entreprises de taille intermédiaire. Les PME et les microentreprises seront soumises à cette obligation à compter du 1er septembre 2027.

‍

Une facture électronique doit respecter un format électronique normé. Elle contient des données structurées pouvant être directement identifiées et traitées par les systèmes informatiques. Les factures entre entreprises françaises concernées transitent désormais par l’intermédiaire de plateformes agréées.

‍

Celles-ci assurent notamment la réception et la transmission des factures. Elles extraient également certaines données des factures afin de les transmettre à l’administration fiscale. La réforme s’accompagne ainsi d’un second mécanisme : le « e-reporting ». Selon ce mécanisme, dans certaines situations, des données relatives aux transactions et aux paiements devront être transmises à l’administration fiscale.

‍

La facturation électronique ne transforme donc pas uniquement la forme de la facture. Elle organise également une circulation plus structurée et plus systématique des informations de facturation entre les entreprises, les plateformes agréées et l’administration fiscale.

Une réforme qui conduit à une collecte et une circulation importante de données : la question de la protection des données personnelles.

‍

La réforme de la facturation électronique implique la circulation de données qui peuvent, dans certains cas, être des données à caractère personnel. Une facture peut par exemple notamment permettre d’identifier un client. Elle peut également révéler la nature d’une prestation et, dans certains secteurs, contenir des informations particulièrement sensibles.

‍

Des dispositions éparses soumettent certaines professions au secret professionnel. Par exemple, le Code de la santé publique soumet les membres des établissements de santé au secret professionnel. Encore, les règles de déontologie permettent également de soumettre certaines professions à ce secret, tel que l’avocat.

‍

Dès lors, certaines informations ne peuvent pas être révélées par l'avocat ou le médecin en raison du secret professionnel. Le secret professionnel est conçu comme un droit fondamental pour le client et une obligation pour le professionnel. C’est un droit absolu qui ne cédera que devant des intérêts généraux d’ordre supérieur.

‍

Or, tel n’est pas le cas des finalités poursuivies par la réforme de la facturation électronique.

‍

L’enjeu est important, d’autant plus que la violation du secret professionnel peut donner lieu à des sanctions pénales et disciplinaires. Le secret professionnel emporte un devoir de taire certaines informations.

‍

Pour l’avocat, il couvre tout ce qui relève de la relation entre lui et son client. Pour le médecin, il doit garder secrètes les informations concernant son patient dont il a eu connaissance dans le cadre de son activité.

‍

Le secret confronté à la réforme de la facturation électronique fait alors apparaître une tension entre deux obligations.

‍

D'un côté, nous avons le secret professionnel et, de l’autre, une obligation qui demande de transmettre des données nécessaires à la facturation et au contrôle fiscal. Les données de facturation peuvent être de différentes sortes : l'identité des parties, la nature de l'opération, les montants, la TVA, et d’autres informations complémentaires. ‍

‍

Un mécanisme spécifique a été prévu afin d’éviter que la nature précise de la prestation réalisée ne soit transmise à l’administration.

‍

La norme expérimentale AFNOR XP Z12-014 précitée prévoit dans son cas d’usage n° 36 relatif aux « opérations soumises au secret professionnel et échanges de données sensibles » une dissociation entre les informations transmises à l’administration et celles destinées uniquement au client. En effet, l’administration n’a pas vocation à connaître la nature exacte de l’opération réalisée.

‍

Pour les professions soumises au secret professionnel, le champ correspondant à la dénomination de la prestation pourra contenir une formulation générique, telle que « prestation de services ». C’est dans un autre champ que sera préciser la nature réelle de la prestation.

‍

Toutefois ce mécanisme ne permet pas de préserver le secret professionnel dans son entièreté.

‍

Même lorsque la nature précise de la prestation n’est pas transmise, les informations restantes ne sont pas nécessairement neutres. Le secret professionnel de l’avocat permet d’illustrer concrètement cette problématique. D’autres données relatives à la facture restent nécessaires au fonctionnement du dispositif : identité du client, adresse, identité du prestataire, date de la facture ou encore montants facturés.

‍

Ces informations relèvent bien du secret professionnel.

‍

L'article 2.2 du Règlement intérieur national de la profession d’avocat précise notamment que celui-ci couvre « le nom des clients » ainsi que les « règlements pécuniaires et tous maniements de fonds » effectués dans le cadre professionnel.

‍

La difficulté est d’autant plus importante lorsque qu’on regroupe les différentes informations.

‍

Prise isolément, la mention « prestation de services » révèle peu de choses. En revanche, le croisement de l’identité du client, de l’identité du cabinet, de la spécialisation de celui-ci, des dates et des montants des factures peut permettre de déduire, au moins partiellement, la nature ou le contexte de l’intervention.

‍

La réforme met donc bien en place un mécanisme destiné à préserver le secret professionnel, mais celui-ci protège principalement la description précise de la prestation. Il ne fait pas disparaître la circulation d’autres données qui, prises isolément ou surtout regroupées, peuvent révéler l’existence et certains contours de la relation entre l’avocat et son client.

‍

Plaçons-nous maintenant du côté du secret des affaires.

‍

La réforme ne fait pas circuler que de simples données comptables. Elle donne une visibilité beaucoup plus fine sur l’activité économique des entreprises. Dans une facture peuvent apparaitre nombreuses informations stratégiques telles que l’identité des clients, l’identité des fournisseurs, la nature des prestations et les montants facturés.

‍

L’effet de concentration des données induit par la réforme interroge alors. Plus les données sont regroupées plus il devient possible de les exploiter.

‍

Il est facile d’imaginer qu’une cyberattaque, une erreur d'habilitation ou un accès non autorisé, pourrait entraîner des conséquences importantes. La réforme augmente les risques alors même que des cyberattaques récentes montrent que des données (déjà fortement protégées en théorie) peuvent malgré tout faire l’objet d’accès frauduleux et d’exfiltrations.

‍

Enfin, nous évoquerons un dernier risque pour la protection des données personnelles. La réforme multiplie également les acteurs susceptibles d’intervenir dans le traitement des données.

‍

Celles-ci peuvent circuler entre l’entreprise émettrice, l’entreprise destinataire, les plateformes agréées et l’administration fiscale. Cette architecture peut permettre une meilleure organisation des échanges, mais elle élargit aussi la chaîne de traitement et augmente le nombre de points d’accès potentiels.

‍

La multiplication des intermédiaires ne constitue donc pas, en elle-même, une faiblesse du dispositif, mais elle accroît les exigences de coordination, de supervision et de sécurité.

La concentration des données : un enjeu de sécurité face à la multiplication des cyberattaques

‍

Le développement de la facturation électronique repose nécessairement sur une relation de confiance. Or, cette confiance est aujourd’hui mise à l’épreuve par la multiplication des cyberattaques visant non plus seulement des acteurs secondaires, mais des administrations et services publics majeurs, à l’image de l’ANTS, pôle emploi ou de la DGFiP.

‍

L’ANS est un organisme public chargé de gérer en ligne les démarches liées aux « titres officiels ». Elle est placée sous l’égide du ministère de l’Intérieur.

‍

Toutes les démarches se font en ligne, aucun guichet physique n’existe. Pôle emploi, ou France Travail, est un service public qui met en place un système permettant de simplifier les démarches des demandeurs d’emploi. Cette plateforme permet également de mieux coordonner les acteurs.

‍

Au regard de la concentration des données, ces organismes sont des cibles privilégiées. L’attaque contre France Travail a exposé les données de 43 millions de personnes, tandis que l’incident de l’ANTS pourrait concerner 11,7 millions de comptes.

‍

Concentrer les données peut faciliter les cyberattaques et permettre de reconstituer un profil au niveau de l’individu, ce qui engendre des conséquences très graves, telles qu’illustrées dans la récente affaire de la fuite de données subie par le Fédération de tir.

‍

En octobre 2025, la Fédération a subi une intrusion dans son système d’information. Les données volées permettaient d’identifier les licenciés et leurs domiciles. Le système d’information ne contenait pas de données relatives à la détention d’armes.

‍

Pourtant, en avril 2026, le ministre de l’Intérieur a indiqué que 20 à 30 cambriolages pouvaient être directement liés aux données volées, certaines ayant été utilisées dans le cadre de vols d’armes, notamment par des personnes se faisant passer pour des policiers.

‍

Ainsi, le croisement de plusieurs données permet d’en déduire certaines informations ou de reconstituer des profils individuels.

‍

Aujourd’hui, les annonces de fuites de données se succèdent. Le phénomène n’a donc plus rien de nouveau ni d’exceptionnel.

‍

Pourtant, certaines atteintes auraient probablement pu être évitées par la mise en place de mécanismes de sécurité élémentaires, ou, à tout le moins, par la capacité à identifier et à interpréter correctement les signaux lorsqu’ils apparaissent.

‍

Cette situation est d’autant plus préoccupante que la France figure parmi les pays les plus exposés aux cyberattaques, au premier rang en Europe et au deuxième rang mondial derrière les États-Unis.

‍

Les événements récents donnent une illustration particulièrement frappante. En juin et juillet 2026, des accès frauduleux à la DGFiP ont permis la consultation et l’extraction de données concernant environ 678 000 particuliers et professionnels. Les informations touchées comprenaient notamment des données fiscales sensibles, ainsi que des données relatives aux entreprises et au cadastre.

‍

Saisie à la demande du Premier ministre, l’ANSSI a publié le 29 septembre 2026 un rapport mettant en évidence plusieurs défaillances dans la détection de ces intrusions.

‍

Des outils de sécurité existaient bien du côté de la DGFiP et certains signaux suspects ont été repérés. Pourtant, cela n’a pas permis de détecter l’exfiltration des données. Le problème tient donc moins à l’absence totale de dispositifs qu’à leurs limites : manque de visibilité sur certains systèmes, outils d’analyse insuffisants et absence de corrélation efficace entre les différents signaux.

‍

Cette situation interroge directement l’efficacité réelle de la protection mise en place : un dispositif de sécurité ne peut être considéré comme pleinement efficace s’il identifie des anomalies sans être capable d’en mesurer la portée ni d’en déduire qu’une fuite de données est en cours.

‍

L’ANSSI disposait elle-même de moyens de détection. Cependant, l’absence de marqueurs réseau suffisamment pertinents et de règles de détection adaptées à cette menace, s’est faite remarquée. Les dispositifs de l’ANSSI n’ont donc pas davantage permis d’identifier les comportements suspects.

‍

Le constat est alors particulièrement préoccupant : aucune des exfiltrations n’avait été détectée par les outils de supervision de la DGFiP ou par ceux de l’ANSSI.

‍

Cet évènement permet de mettre directement en perspective les risques afférents à la réforme de la facturation électronique. La réforme va organiser la circulation structurée d’un volume considérable de données. De plus, plus de dix millions d’acteurs économiques sont concernés par le nouveau dispositif.

‍

La question de la sécurité est donc centrale. L’enjeu ne consiste plus seulement à mettre en place des infrastructures conformes sur le papier. Il faut également garantir leur efficacité concrète face aux usages frauduleux et être capable de réagir lorsqu'une attaque survient.

‍

L'ANSSI rappelle de façon expresse dans son rapport d’incident publié le 23 septembre 2026 que disposer de mécanismes de sécurité ne suffit pas : il faut également être capable d’identifier les comportements inhabituels et surtout de rapprocher différents signaux faibles pour comprendre qu’une attaque est en cours.

‍

Les outils automatisés peuvent détecter, corréler et faire remonter des anomalies. En revanche, derrière ces outils, il faut nécessairement une capacité organisationnelle à définir ce qu’est un comportement anormal, paramétrer les règles de détection, analyser les alertes et décider d’une réponse.

‍

À l’heure où l’IA occupe une place croissante, cet épisode rappelle une réalité essentielle, la sécurité repose autant sur les outils que sur la capacité des organisations à les paramétrer, à interpréter leurs résultats et à agir rapidement.

‍

Ensuite, le rapport montre l’importance du cloisonnement des systèmes. Certaines applications sensibles étaient exposées sur internet ou accessibles depuis le réseau interministériel de l’Etat sans cloisonnement suffisant. Cela a permis notamment à l’attaquant de se déplacer vers d’autres organismes publics.

‍

En définitive, le rapport de l’ANSSI rappelle trois exigences essentielles : renforcer l’authentification, cloisonner les systèmes et améliorer la détection des comportements suspects.  

‍

Et donc voici le contexte paradoxal dans lequel apparait la réforme de la facturation électronique.

‍

D’un côté, l’État organise une circulation toujours plus automatisée et structurée des données afin d'améliorer l’efficacité de l’administration fiscale et de lutter contre la fraude.

‍

De l’autre, les incidents de 2026 ont mis en évidence des insuffisances concrètes dans la supervision des systèmes d’information chargés de protéger certaines des données fiscales les plus sensibles des citoyens et des entreprises.

‍

La réussite de la facturation électronique ne pourra ainsi pas être appréciée uniquement au regard de la simplification administrative. Elle dépendra également de la confiance que les entreprises et les citoyens pourront accorder à l’écosystème mis en place.

‍

Et cette confiance ne repose pas uniquement sur l’existence d’outils de cybersécurité. Elle suppose que ces outils permettent effectivement de détecter, prévenir et contenir les atteintes aux données qu’ils ont précisément pour mission de protéger.