Kernpunten
- Een e-factuur bevat persoonsgegevens zodra de klant een natuurlijke persoon of zelfstandige is, en in B2B minstens de naam van een contactpersoon.
- De verwerking steunt op de uitvoering van de overeenkomst en het nakomen van een wettelijke verplichting, niet op toestemming.
- Minimalisatie vereist dat enkel de gegevens die echt nuttig zijn voor de factuur erop staan.
- Een factuur mag niet gewist worden vóór het einde van de wettelijke bewaarplicht: in België tien jaar.
- Op Peppol zijn de toegangspunten die de factuur vervoeren verwerkers in de zin van de GDPR.
Een factuur is ook een verwerking van persoonsgegevens
Overschakelen op e-facturatie ontslaat u niet van de GDPR. De Algemene Verordening Gegevensbescherming, Verordening (EU) 2016/679 die van toepassing is sinds 25 mei 2018, geldt voor elke onderneming die persoonsgegevens verwerkt, en een factuur bevat er bijna altijd. De vraag is dus niet of de GDPR uw facturatie aanbelangt, maar hoe u ze verzoent met uw fiscale verplichtingen.
De inzet is concreet. U moet uw facturen meerdere jaren bewaren voor de administratie, en tegelijk beginselen naleven die ogenschijnlijk de andere kant op duwen: enkel het nodige bijhouden, niet langer dan nodig, en de vragen van uw klanten over hun gegevens beantwoorden. Dit artikel legt uit waar de persoonsgegevens op een factuur echt zitten, op welke grond u ze verwerkt, en hoe de wettelijke bewaring en de verzending via Peppol samengaan met de verordening.
Waar de persoonsgegevens op een factuur zitten
Alles hangt af van de aard van de klant en van de mate van detail. Een factuur aan een particulier (B2C) is per definitie een verwerking van persoonsgegevens: naam, adres, soms een klantnummer of besteldreferentie. Een factuur aan een zelfstandige in persoonsnaam evenzeer, want zijn ondernemingsnummer is verbonden aan een persoon, niet aan een afzonderlijke structuur.
In B2B tussen vennootschappen zijn de gegevens van de ontvangende onderneming (maatschappelijke benaming, btw-nummer, zetel) in principe geen persoonsgegevens. Maar een factuur vermeldt vaak de naam van een gesprekspartner, een e-mailadres op naam of een interne referentie die verband houdt met een werknemer: die elementen vallen wél onder de GDPR. De nuttige reflex is om elk veld te bekijken en zich af te vragen of het een persoon aanduidt.
De factuurgegevens om te overlopen
Identiteit van een klant-natuurlijke persoon
Naam, voornaam, postadres van een particulier of zelfstandige.
Contactgegevens op naam
E-mailadres of telefoonnummer verbonden aan een geïdentificeerde persoon.
Ondernemingsnummer van een zelfstandige
Verbonden aan een natuurlijke persoon, dus een persoonsgegeven.
De naam van een B2B-contactpersoon
De ontvangende persoon binnen een klantvennootschap.
De rechtsgrond: niet meer dan de overeenkomst en de wet
De GDPR vereist dat een verwerking op een rechtsgrond rust, opgesomd in artikel 6 van de verordening. Voor een factuur volstaan twee gronden die samengaan. De uitvoering van een overeenkomst (artikel 6, lid 1, b) dekt het opmaken en versturen van de factuur: u factureert omdat een prestatie werd besteld. Het nakomen van een wettelijke verplichting (artikel 6, lid 1, c) dekt alles wat de fiscaliteit en de boekhouding opleggen, te beginnen met de bewaring van het document.
Het praktische gevolg is belangrijk: toestemming is niet de grond van de verwerking. U hoeft geen akkoord van een klant te vragen om hem zijn factuur te sturen of om ze te bewaren. Toestemming blijft vereist voor andere verwerkingen van dezelfde gegevens, zoals commerciële prospectie of een nieuwsbrief, maar die staan los van de facturatie. Voor het fiscale kader dat deze wettelijke verplichting onderbouwt, zie de wettelijke basis van B2B-e-facturatie.
Minimalisatie: enkel het nuttige op de factuur
Het beginsel van gegevensminimalisatie (artikel 5, lid 1, c van de GDPR) vereist dat de verwerkte gegevens toereikend, ter zake dienend en beperkt zijn tot wat nodig is. Toegepast op de factuur betekent dit dat enkel de informatie die nuttig is voor de transactie en voor de verplichte vermeldingen erop staat, zonder er overbodige persoonsgegevens aan toe te voegen.
Concreet heeft een factuur geen geboortedatum van een klant, geen rijksregisternummer of privécontactgegevens nodig zonder band met de verrichting. De verwachte velden zijn die welke de facturatieregels opleggen: identiteit van de partijen, omschrijving, bedragen en btw. Meer toevoegen stelt nodeloos gegevens bloot en verzwaart uw verantwoordelijkheid. Voor de lijst van wat moet vermeld worden, zie de verplichte vermeldingen van een factuur in België.
Bewaring en recht op wissing: de schijnbare spanning
Dit is het punt dat het vaakst verkeerd begrepen wordt. De GDPR stelt een beginsel van opslagbeperking (artikel 5, lid 1, e): gegevens worden slechts bewaard zolang als nodig. Ze erkent ook een recht op wissing (artikel 17), soms "recht om vergeten te worden" genoemd. Daaruit ontstaat het foute idee dat een klant de verwijdering van zijn factuur zou kunnen eisen.
Maar de verordening voorziet zelf in de samenhang. Het recht op wissing geldt niet wanneer de verwerking nodig is om een wettelijke verplichting na te komen (artikel 17, lid 3, b). En de "nodige duur" van het beginsel van opslagbeperking is net wat de fiscale wet vastlegt. In België worden facturen tien jaar bewaard. Zolang die termijn loopt, moet u de factuur bijhouden en mag u ze niet wissen op de enkele vraag van de klant.
| Tijdens de wettelijke termijn | Na de wettelijke termijn | |
|---|---|---|
| Bewaring van de factuur | ||
| Wissing mogelijk op vraag van de klant | ||
| Grond van de verwerking | Wettelijke verplichting | Geen grond meer: verwijdering verwacht |
| Recht op verbetering van de gegevens |
Dezelfde redenering geldt voor de archivering: e-facturen worden bewaard onder voorwaarden die hun leesbaarheid en integriteit over de hele wettelijke termijn waarborgen. De gedetailleerde regels staan in hoelang uw facturen bewaren in België en in onze gids over het archiveren van e-facturen.
De rechten van de klant over zijn factuurgegevens
Het recht op wissing is omkaderd, maar de andere rechten blijven volledig open. Een klant kan inzage vragen in de gegevens die u over hem bijhoudt en de verbetering van een onjuist gegeven, bijvoorbeeld een verkeerd gespeld adres. Een verbetering op een reeds opgemaakte factuur gebeurt niet door het oorspronkelijke document te herschrijven: ze verloopt via de voorziene boekhoudkundige mechanismen, zoals een verbeteringsfactuur of een creditnota, die het controlespoor bewaren.
U moet ook kunnen uitleggen, indien gevraagd, waarom u deze gegevens bijhoudt en hoelang. Dat is het doel van de informatie die de betrokkenen toekomt, doorgaans via een privacybeleid. Het bijhouden van een register van de verwerkingsactiviteiten (artikel 30 van de GDPR) helpt om deze vragen te beantwoorden zonder te improviseren.
Peppol en de GDPR: wie verwerkt wat
Een factuur via Peppol versturen stapt niet buiten de GDPR, maar verschuift een deel van de uitvoering. Op het netwerk reist de factuur van de verzender naar de ontvanger via toegangspunten. Die dienstverleners behandelen, voor uw rekening, persoonsgegevens in de factuur: zij treden op als verwerkers in de zin van artikel 28 van de GDPR. Dat veronderstelt een aangepast contractueel kader en passende beveiligingsmaatregelen van hun kant. Om te begrijpen hoe de factuur zijn weg aflegt, zie het Peppol-netwerk begrijpen in 5 minuten.
Uw verantwoordelijkheid, als uitgevende onderneming, blijft die van de verwerkingsverantwoordelijke: u bepaalt de doeleinden en u kiest een tool en een toegangspunt die waarborgen bieden. De beveiliging van de verwerking (artikel 32 van de GDPR) vereist technische en organisatorische maatregelen die in verhouding staan tot het risico, van versleuteling van de uitwisselingen tot toegangscontrole.
GDPR-verordening
van toepassing sinds 25 mei 2018
bewaring in België
de factuur wordt niet eerder gewist
verwerking
het Peppol-toegangspunt handelt voor uw rekening
Facturatie conform zowel de GDPR als Peppol
YouInv maakt, bewaart en verstuurt uw e-facturen in een kader dat op conformiteit is afgestemd, zonder technische handelingen van uw kant.
Wat dit verandert voor uw onderneming
De GDPR bemoeilijkt de facturatie niet: ze omkadert ze. De twee reflexen om te onthouden zijn minimalisatie, om enkel het nuttige op de factuur te zetten, en beheerste bewaring, om het document de wettelijke termijn bij te houden zonder het te vroeg te vernietigen of onbeperkt te bewaren. De rechten van de klanten worden binnen deze grenzen uitgeoefend, en de Peppol-verzending wordt beheerd door de keuze van een ernstige dienstverlener.
Het keuzecriterium voor de tool valt samen met dat van de Peppol-conformiteit: uw software moet niet alleen een geldige gestructureerde factuur opmaken, maar de gegevens ook veilig bewaren en de verwerkingsrelatie omkaderen. Daar wordt de GDPR-conformiteit beslist, veel meer dan in een vakje om aan te vinken.
Ook lezen
- Hoelang uw facturen bewaren in België: de termijn van tien jaar en de uitzonderingen.
- De bewijswaarde en integriteit van een e-factuur: de echtheid van het bewaarde document waarborgen.
- Het Belgische wettelijke kader voor verplichte B2B-e-facturatie: de verplichting die de verwerking grondt.
De referentiebron is doorslaggevend: de geconsolideerde tekst van Verordening (EU) 2016/679 gepubliceerd op EUR-Lex.
Bevat een e-factuur persoonsgegevens?
Vaak wel. Zodra een klant een natuurlijke persoon is (een particulier of een zelfstandige in persoonsnaam), zijn zijn naam, adres en contactgegevens persoonsgegevens in de zin van de GDPR. Tussen vennootschappen zijn de gegevens van de onderneming in principe geen persoonsgegevens, maar de naam van een contactpersoon op de factuur wel.
Op welke rechtsgrond rust de verwerking van de factuurgegevens?
Hoofdzakelijk twee gronden uit artikel 6 van de GDPR: de uitvoering van een overeenkomst (artikel 6, lid 1, b) om de factuur op te maken en te voldoen, en het nakomen van een wettelijke verplichting (artikel 6, lid 1, c) voor de fiscale en boekhoudkundige regels, waaronder de bewaring. Toestemming is niet vereist om te factureren.
Mag een factuur op vraag van een klant gewist worden op grond van de GDPR?
Nee, niet zolang de wettelijke bewaarplicht loopt. Het recht op wissing van artikel 17 van de GDPR geldt niet wanneer de verwerking nodig is om een wettelijke verplichting na te komen (artikel 17, lid 3, b). In België worden facturen tien jaar bewaard: u mag ze niet verwijderen vóór die termijn.
Is de verzending van een factuur via Peppol verenigbaar met de GDPR?
Ja. Het Peppol-netwerk brengt de factuur van de verzender naar de ontvanger via toegangspunten. Die dienstverleners verwerken persoonsgegevens voor uw rekening: zij treden op als verwerkers in de zin van artikel 28 van de GDPR, wat een contractueel kader en passende beveiligingsmaatregelen veronderstelt.
Is de toestemming van de klant nodig om hem een e-factuur te sturen?
Nee. Facturatie beantwoordt aan een contractuele en wettelijke verplichting, niet aan een marketingactie. De GDPR-toestemming betreft andere verwerkingen van de gegevens (prospectie, nieuwsbrief), nooit het opmaken en versturen van de factuur zelf.
