Plateforme agréée : sécurité des données et obligations de l'entreprise
Jullian Hoareau
- Une plateforme agréée est un opérateur immatriculé par l'administration fiscale pour transmettre les factures électroniques des entreprises.
- La sécurité des données y repose sur 4 exigences fixées par l'État : certification ISO/IEC 27001, hébergement dans l'Union européenne, cloud qualifié SecNumCloud ou équivalent, audit annuel indépendant.
- Ces garanties ne remplacent pas le RGPD : la plateforme agit en principe comme sous-traitant et un contrat écrit doit encadrer le traitement.
- En cas de violation de données personnelles présentant un risque, l'entreprise notifie la CNIL dans les 72 heures.
Besoin d'un juriste freelance ou d'un avocat ?
Accédez en -24h à un avocat d'affaires sélectionné parmi les meilleurs, à des honoraires maîtrisés.
Sommaire
Plateforme agréée : rôle dans la facturation électronique
Quelles exigences de sécurité l'État impose-t-il ?
Certification ISO 27001, hébergement et audits annuels
RGPD : la plateforme agit-elle comme sous-traitant ?
Clauses contractuelles à vérifier avant de signer
Que faire en cas de fuite de données ?
Plateforme agréée : rôle dans la facturation électronique
Une plateforme agréée est l'intermédiaire obligatoire par lequel transitent les factures électroniques, ce qui fait de la sécurité des données de facturation une question de choix de prestataire. Le ministère de l'Économie précise que les factures doivent passer par une plateforme agréée par l'État, directement ou au moyen d'une solution compatible. Une solution compatible est un logiciel non immatriculé : il prépare les factures mais doit recourir à une plateforme agréée pour les transmettre.
La liste des plateformes immatriculées est publiée sur impots.gouv.fr, ce qui permet de vérifier le statut d'un prestataire avant de lui confier ses flux.
| Échéance | Réception des factures | Émission des factures |
|---|---|---|
| 1er septembre 2026 | Toutes les entreprises | Grandes entreprises et ETI |
| 1er septembre 2027 | Déjà applicable | PME et micro-entreprises |
Pour un DSI, la plateforme devient ainsi un système d'information critique : elle concentre montants, coordonnées bancaires, identités des clients et conditions commerciales.
Le choix d'une plateforme agréée engage des flux financiers et des données personnelles à encadrer contractuellement dès la sélection.
Échanger avec un avocat d'affaires spécialisé
Quelles exigences de sécurité l'État impose-t-il ?
L'État conditionne l'immatriculation d'une plateforme agréée, et son renouvellement, au respect d'exigences de sécurité vérifiées. L'immatriculation désigne l'autorisation délivrée par l'administration fiscale, sans laquelle l'opérateur ne peut pas transmettre de factures. La réponse ministérielle publiée le 4 août 2026 à la question écrite n° 16415 de l'Assemblée nationale en détaille le contenu :
- Certification : production d'une certification ISO/IEC 27001 ;
- Localisation : hébergement des données dans l'Union européenne ;
- Infrastructure : en cas de recours au cloud, qualification SecNumCloud, référentiel français de qualification des offres cloud, ou exigences de sécurité équivalentes ;
- Contrôle : audit annuel réalisé par un organisme indépendant.
L'immatriculation peut être retirée en cas de manquement. La plateforme doit donc maintenir son niveau de sécurité dans la durée, et pas seulement lors de sa candidature.
Certification ISO 27001, hébergement et audits annuels
Chaque exigence couvre un risque distinct, et leur combinaison donne à l'entreprise des garanties vérifiables sans audit propre. La norme ISO/IEC 27001 définit un système de management de la sécurité de l'information : le prestataire identifie ses risques, documente ses mesures et les révise.
| Exigence | Risque couvert | Pièce à demander |
|---|---|---|
| ISO/IEC 27001 | Organisation défaillante de la sécurité | Certificat valide et périmètre couvert |
| Hébergement dans l'UE | Accès aux données hors du cadre européen | Localisation des centres de données |
| SecNumCloud ou équivalent | Infrastructure cloud insuffisamment protégée | Qualification ou justificatif d'équivalence |
| Audit annuel indépendant | Dégradation du niveau de sécurité | Date et conclusions du dernier audit |
Le périmètre de certification doit être contrôlé : un certificat peut ne couvrir qu'une partie des activités d'un prestataire, et le DSI s'assure que le service de facturation électronique y figure.
Les garanties imposées par l'État se vérifient pièce par pièce, puis se traduisent en engagements dans le contrat.
Faire relire un contrat de plateforme par un avocat
RGPD : la plateforme agit-elle comme sous-traitant ?
Oui, la plateforme agréée agit en principe comme sous-traitant au sens de l'article 28 du RGPD lorsqu'elle traite des données personnelles pour le compte de l'entreprise. Le sous-traitant traite des données sur instruction du responsable de traitement, ici l'entreprise cliente, qui en fixe les finalités.
Les factures contiennent des données personnelles dans plusieurs cas : coordonnées des contacts, factures adressées à des clients personnes physiques, factures d'entrepreneurs individuels identifiés par leur nom.
L'immatriculation par l'État ne transfère pas la responsabilité RGPD. L'entreprise reste tenue d'encadrer le traitement par un contrat écrit. La CNIL publie des recommandations sur la gestion de la sous-traitance, utiles comme grille de vérification.
Clauses contractuelles à vérifier avant de signer
Le contrat avec la plateforme agréée doit reprendre les mentions exigées par le RGPD et traduire les garanties de sécurité en engagements opposables. Les offres SaaS, logiciels accessibles en ligne par abonnement, sont souvent proposées sous forme de conditions générales qu'il faut lire avant d'y adhérer.
- Objet et durée du traitement, avec la nature des données traitées.
- Mesures de sécurité : certification, hébergement dans l'UE, qualification de l'infrastructure.
- Sous-traitants ultérieurs : liste des hébergeurs et information préalable en cas de changement.
- Sort des données en fin de contrat : restitution dans un format exploitable, puis suppression.
- Assistance : aide pour répondre aux demandes des personnes et gérer un incident.
- Statut d'immatriculation : information du client en cas de retrait ou de non-renouvellement.
Cette dernière clause a une portée opérationnelle : une plateforme qui perd son statut ne peut plus transmettre les factures, et l'entreprise doit alors migrer ses flux.
Une revue des clauses de protection des données avant signature aligne le contrat sur les obligations RGPD de l'entreprise.
Consulter un avocat en droit du numérique et des données
Que faire en cas de fuite de données ?
En cas de fuite, l'entreprise notifie la CNIL dans les 72 heures lorsque la violation présente un risque pour les personnes, conformément à l'article 33 du RGPD. Une violation de données personnelles désigne une perte, une divulgation ou un accès non autorisé à ces données, y compris chez le sous-traitant.
La plateforme doit notifier l'entreprise dans les meilleurs délais. Le contrat fixe utilement un délai d'alerte chiffré et le contenu de cette alerte, afin que l'entreprise dispose des éléments nécessaires pour décider d'une notification.
- Réception de l'alerte : nature de l'incident, données et personnes concernées.
- Évaluation du risque pour les personnes, qui conditionne la notification.
- Notification à la CNIL dans les 72 heures si un risque existe.
- Documentation de l'incident et des mesures correctives.
FAQ
Qu'est-ce qu'une plateforme agréée ?
C'est un opérateur immatriculé par l'administration fiscale pour transmettre les factures électroniques. Sa liste est publiée sur impots.gouv.fr, et une solution compatible doit passer par elle.
Une plateforme agréée doit-elle héberger les données en France ?
Non, l'exigence porte sur un hébergement dans l'Union européenne. En cas de recours au cloud, l'infrastructure doit être qualifiée SecNumCloud ou présenter des garanties équivalentes.
L'immatriculation par l'État suffit-elle à respecter le RGPD ?
Non, l'entreprise reste responsable de traitement. Elle doit conclure avec la plateforme un contrat écrit conforme à l'article 28 du RGPD.
Que se passe-t-il si une plateforme ne respecte plus les exigences de sécurité ?
Son immatriculation peut être retirée. L'entreprise doit alors recourir à une autre plateforme agréée pour continuer à émettre et recevoir ses factures.
Depuis quand l'entreprise doit-elle utiliser une plateforme agréée ?
Depuis le 1er septembre 2026 pour la réception, quelle que soit sa taille. L'émission est obligatoire à cette date pour les grandes entreprises et ETI, et au 1er septembre 2027 pour les PME et micro-entreprises.
Pour aller plus loin
Tout savoir sur la facturation électronique pour les entreprises - Ministère de l'Économie
Sécurité : gérer la sous-traitance - CNIL
SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin, qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire, de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.
Avocat au Barreau de Paris (Toque L086), fondateur de SWIM LEGAL
