«Очки господина Дюпона»: CNIL о данных в электронных счетах

«Счёт за очки для зрения господина Дюпона». Эту условную строчку французский регулятор CNIL 10 сентября вставил в памятку про электронные счета как пример, чего в счёте быть не должно. Мне сразу вспомнились акты, где в наименовании услуги стоит фамилия и название процедуры, у нас их полно.

Что сказало ведомство

Повод у памятки такой. С 1 сентября 2026 года во Франции все компании, которые платят НДС, обязаны получать счета от других компаний в электронном виде. Крупные и средние с этой же даты их и выставляют. Малый бизнес присоединится 1 сентября 2027 года. Счета ходят через аккредитованные платформы, а данные о продажах частным лицам и иностранцам уходят государству.

CNIL начинает с напоминания: GDPR охраняет данные людей, данные юрлица под него не попадают. Только в счетах люди встречаются постоянно. Это ИП, врач или адвокат на частной практике, владелец микрофирмы, менеджер, чьё имя и почта стоят в реквизитах. Иногда это домашний адрес, по которому зарегистрирована фирма.

И вот тут появляется Дюпон. Название услуги в счёте не должно раскрывать профессиональную тайну, врачебную или адвокатскую. Как надо, по версии CNIL: «Счета за очки — дело № XXX». Фамилии нет.

Вторая половина памятки про то, кто заходит на платформу. Самая короткая фраза оттуда (перевод наш):

отдавать предпочтение индивидуальным учётным записям, по одной на пользователя, а не общим.

Остальное списком, как у регулятора:

• никаких обезличенных логинов вроде общего «бухгалтерия»;
• пароли беречь, права доступа проверять, про фишинг помнить;
• держаться 42 мер цифровой гигиены агентства ANSSI;
• от платформ — сертификат ISO 27001 и вход с двумя факторами;
• данные клиентов платформа в своих целях без письменного разрешения не берёт.

Хранят счета 10 лет, так требует статья L.123-22 Торгового кодекса Франции.

Что это значит для бизнеса

Сама реформа касается нас, только если есть французские контрагенты. Пример с Дюпоном касается всех.

Клиника, салон или оптика выставляет акт фирме, которая оплачивает услуги своему сотруднику. В наименовании стоит фамилия и процедура. По статье 13 закона об основах охраны здоровья граждан врачебная тайна покрывает даже сам факт обращения за помощью. 152-ФЗ требует, чтобы данных было не больше, чем нужно для цели. Номер договора вместо фамилии закрывает оба требования разом.

С общими логинами у нас та же история. Три администратора заходят в кабинет оператора ЭДО или интернет-банка под одним паролем. Документ ушёл не туда, и кто его отправил, уже не узнать.

Кто ещё об этом написал

В нашей ленте русскоязычных материалов об этой памятке нет.