L'essentiel
- Une facture électronique contient des données personnelles dès que le client est une personne physique ou un indépendant, et au minimum le nom d'un contact en B2B.
- Le traitement repose sur l'exécution du contrat et le respect d'une obligation légale, pas sur le consentement.
- La minimisation impose de ne faire figurer que les données réellement utiles à la facture.
- On ne peut pas effacer une facture avant la fin de l'obligation légale de conservation : en Belgique, dix ans.
- Sur Peppol, les points d'accès qui transportent la facture sont des sous-traitants au sens du RGPD.
Une facture est aussi un traitement de données personnelles
Passer à la facture électronique ne dispense pas du RGPD. Le Règlement général sur la protection des données, le règlement (UE) 2016/679 applicable depuis le 25 mai 2018, s'applique à toute entreprise qui traite des données personnelles, et une facture en contient presque toujours. La question n'est donc pas de savoir si le RGPD concerne votre facturation, mais comment le concilier avec vos obligations fiscales.
L'enjeu est concret. Vous devez conserver vos factures plusieurs années pour l'administration, tout en respectant des principes qui, en apparence, poussent dans l'autre sens : ne garder que le nécessaire, pas plus longtemps que nécessaire, et répondre aux demandes de vos clients sur leurs données. Cet article explique où sont réellement les données personnelles dans une facture, sur quelle base vous les traitez, et comment la conservation légale et la transmission Peppol s'articulent avec le règlement.
Où se trouvent les données personnelles dans une facture
Tout dépend de la nature du client et du niveau de détail. Une facture adressée à un particulier (B2C) est, par construction, un traitement de données personnelles : nom, adresse, parfois numéro de client ou référence de commande. Une facture à un indépendant exerçant en personne physique l'est tout autant, car son numéro d'entreprise est rattaché à une personne, pas à une structure distincte.
En B2B entre sociétés, les données de l'entreprise destinataire (raison sociale, numéro de TVA, siège) ne sont en principe pas des données personnelles. Mais une facture mentionne souvent le nom d'un interlocuteur, une adresse e-mail nominative ou une référence interne liée à un salarié : ces éléments, eux, relèvent du RGPD. Le réflexe utile est de regarder chaque champ et de se demander s'il désigne une personne.
Les données d'une facture à passer en revue
Identité du client personne physique
Nom, prénom, adresse postale d'un particulier ou d'un indépendant.
Coordonnées nominatives
Adresse e-mail ou téléphone rattachés à une personne identifiée.
Numéro d'entreprise d'un indépendant
Rattaché à une personne physique, donc une donnée personnelle.
Nom d'un contact en B2B
La personne destinataire au sein d'une société cliente.
La base légale : ni plus, ni moins que le contrat et la loi
Le RGPD exige qu'un traitement repose sur une base légale, listée à l'article 6 du règlement. Pour une facture, deux bases suffisent et se combinent. L'exécution du contrat (article 6, §1, b) couvre l'établissement et l'envoi de la facture : vous facturez parce qu'une prestation a été commandée. Le respect d'une obligation légale (article 6, §1, c) couvre tout ce que la fiscalité et la comptabilité imposent, à commencer par la conservation du document.
La conséquence pratique est importante : le consentement n'est pas la base du traitement. Vous n'avez pas à demander l'accord d'un client pour lui adresser sa facture ou pour la conserver. Le consentement reste requis pour d'autres usages des mêmes données, comme la prospection commerciale ou une newsletter, mais ces usages sont distincts de la facturation. Pour le cadre fiscal qui sous-tend cette obligation légale, voyez la base légale de la facturation électronique B2B.
La minimisation : ne porter sur la facture que l'utile
Le principe de minimisation des données (article 5, §1, c du RGPD) demande que les données traitées soient adéquates, pertinentes et limitées à ce qui est nécessaire. Appliqué à la facture, cela signifie n'y faire figurer que les informations utiles à la transaction et aux mentions obligatoires, sans y ajouter des données personnelles superflues.
Concrètement, une facture n'a pas besoin de la date de naissance d'un client, de son numéro de registre national ou de coordonnées privées sans lien avec l'opération. Les champs attendus sont ceux qu'imposent les règles de facturation : identité des parties, description, montants et TVA. Ajouter davantage expose inutilement des données et alourdit votre responsabilité. Pour la liste de ce qui doit figurer, voyez les mentions obligatoires d'une facture en Belgique.
Conservation et droit à l'effacement : la tension apparente
C'est le point le plus souvent mal compris. Le RGPD pose un principe de limitation de la conservation (article 5, §1, e) : on ne garde les données que le temps nécessaire. Il reconnaît aussi un droit à l'effacement (article 17), parfois appelé « droit à l'oubli ». De là naît l'idée fausse qu'un client pourrait exiger la suppression de sa facture.
Or le règlement prévoit lui-même l'articulation. Le droit à l'effacement ne s'applique pas lorsque le traitement est nécessaire au respect d'une obligation légale (article 17, §3, b). Et la « durée nécessaire » du principe de limitation est précisément fixée par la loi fiscale. En Belgique, les factures se conservent dix ans. Tant que ce délai court, vous devez garder la facture, et vous ne pouvez pas la supprimer à la seule demande du client.
| Pendant le délai légal | Après le délai légal | |
|---|---|---|
| Conservation de la facture | ||
| Effacement possible à la demande du client | ||
| Base du traitement | Obligation légale | Plus de base : suppression attendue |
| Droit de rectification des données |
Le même raisonnement vaut pour l'archivage : les factures électroniques se conservent dans des conditions qui garantissent leur lisibilité et leur intégrité sur toute la durée légale. Les règles détaillées figurent dans combien de temps conserver ses factures en Belgique et dans notre guide de l'archivage des factures électroniques.
Les droits du client sur les données de sa facture
Le droit à l'effacement est encadré, mais les autres droits restent pleinement ouverts. Un client peut demander l'accès aux données que vous détenez sur lui et la rectification d'une donnée inexacte, par exemple une adresse mal orthographiée. Une rectification sur une facture déjà émise ne se fait pas en réécrivant le document d'origine : elle passe par les mécanismes comptables prévus, comme une facture rectificative ou une note de crédit, qui préservent la piste d'audit.
Vous devez aussi pouvoir expliquer, si on vous le demande, pourquoi vous détenez ces données et combien de temps. C'est l'objet de l'information due aux personnes concernées, en général via une politique de confidentialité. La tenue d'un registre des activités de traitement (article 30 du RGPD) aide à répondre à ces demandes sans improviser.
Peppol et le RGPD : qui traite quoi
Envoyer une facture via Peppol ne sort pas du RGPD, mais en déplace une partie de la mise en œuvre. Sur le réseau, la facture circule de l'émetteur au destinataire en passant par des points d'accès. Ces prestataires manipulent, pour votre compte, des données personnelles contenues dans la facture : ils agissent comme sous-traitants au sens de l'article 28 du RGPD. Cela suppose un cadre contractuel adapté et des mesures de sécurité appropriées de leur part. Pour comprendre comment la facture chemine, voyez comprendre le réseau Peppol en 5 minutes.
Votre responsabilité, en tant qu'entreprise émettrice, reste celle du responsable du traitement : vous décidez des finalités et vous choisissez un outil et un point d'accès offrant des garanties. La sécurité du traitement (article 32 du RGPD) impose des mesures techniques et organisationnelles proportionnées au risque, du chiffrement des échanges au contrôle des accès.
règlement RGPD
applicable depuis le 25 mai 2018
conservation en Belgique
la facture ne s'efface pas avant
sous-traitance
le point d'accès Peppol agit pour votre compte
Une facturation conforme au RGPD comme à Peppol
YouInv génère, conserve et transmet vos factures électroniques dans un cadre pensé pour la conformité, sans manipulation technique de votre part.
Ce que cela change pour votre entreprise
Le RGPD ne complique pas la facturation : il la cadre. Les deux réflexes à retenir sont la minimisation, pour ne porter sur la facture que l'utile, et la conservation maîtrisée, pour garder le document le temps légal sans le détruire trop tôt ni le garder indéfiniment. Les droits des clients s'exercent dans ces limites, et la transmission Peppol se gère par le choix d'un prestataire sérieux.
Le critère de choix de l'outil rejoint celui de la conformité Peppol : votre logiciel doit non seulement produire une facture structurée valide, mais aussi conserver les données de façon sécurisée et encadrer la sous-traitance. C'est à ce niveau que la conformité RGPD se joue, bien plus que dans une case à cocher.
À lire aussi
- Combien de temps conserver ses factures en Belgique : le délai de dix ans et ses exceptions.
- La valeur probante et l'intégrité d'une facture électronique : garantir l'authenticité du document conservé.
- Le cadre légal belge de la facturation électronique B2B : l'obligation qui fonde le traitement.
La source de référence fait foi : le texte consolidé du règlement (UE) 2016/679 publié sur EUR-Lex.
Une facture électronique contient-elle des données personnelles ?
Souvent, oui. Dès qu'un client est une personne physique (particulier ou indépendant en personne physique), son nom, son adresse et ses coordonnées sont des données personnelles au sens du RGPD. Entre sociétés, les données de l'entreprise ne sont en principe pas des données personnelles, mais le nom d'un contact figurant sur la facture l'est.
Sur quelle base légale repose le traitement des données d'une facture ?
Principalement deux bases de l'article 6 du RGPD : l'exécution d'un contrat (article 6, §1, b) pour établir et honorer la facture, et le respect d'une obligation légale (article 6, §1, c) pour les règles fiscales et comptables, dont la conservation. Le consentement n'est pas requis pour facturer.
Peut-on effacer une facture à la demande d'un client au nom du RGPD ?
Non, pas tant que l'obligation légale de conservation court. Le droit à l'effacement de l'article 17 du RGPD ne s'applique pas lorsque le traitement est nécessaire au respect d'une obligation légale (article 17, §3, b). En Belgique, les factures se conservent dix ans : vous ne pouvez pas les supprimer avant ce terme.
La transmission d'une facture via Peppol est-elle compatible avec le RGPD ?
Oui. Le réseau Peppol achemine la facture de l'émetteur au destinataire via des points d'accès. Ces prestataires traitent des données personnelles pour votre compte : ils agissent comme sous-traitants au sens de l'article 28 du RGPD, ce qui suppose un cadre contractuel et des mesures de sécurité appropriées.
Faut-il le consentement du client pour lui envoyer une facture électronique ?
Non. La facturation répond à une obligation contractuelle et légale, pas à une démarche marketing. Le consentement RGPD concerne d'autres usages des données (prospection, newsletter), jamais l'émission et l'envoi de la facture elle-même.
