Fransk domstol afviser hastebegæring om at standse EU’s regler om kryptodata

Nødbegæring afvist

Frankrigs højeste administrative domstol, Statsrådet, har afvist en hastebegæring, der søgte om øjeblikkelig suspension af det franske dekret, der gennemfører EU's ottende direktiv om administrativt samarbejde (DAC8).

Afgørelsen afviser en begæring om midlertidig suspension indgivet af kryptovalutavirksomhederne Bull Bitcoin og Paymium. Ansøgerne havde argumenteret for, at den centraliserede indsamling af brugerdata om digitale aktiver udgør en umiddelbar trussel mod brugernes sikkerhed og fysiske tryghed. Selvom domstolen afviste at udstede en midlertidig suspension, har den endnu ikke truffet afgørelse om dekrets underliggende lovlighed. En separat retssag, der søger fuldstændig annullering af forordningen, verserer fortsat ved Statsrådet.

Ifølge Francis Pouliot, grundlægger af Bull Bitcoin, anmodede begæringen, der blev indgivet i august 2026, om en midlertidig suspension af det franske dekret nr. 2025-1276. Dekretet gennemfører DAC8 i fransk lovgivning og pålægger udbydere af kryptotjenester at indsamle følsomme personlige og finansielle data med henblik på automatisk udveksling mellem EU-medlemsstaternes skattemyndigheder.

I deres indlæg argumenterede Bull Bitcoin og Paymium for, at oprettelsen af et centraliseret register med detaljerede optegnelser over digitale aktiver skaber en overhængende fare for datalækager. Virksomhederne advarede om, at lækkede databaser kunne udnyttes af voldelige kriminelle til at opspore, afpresse eller bortføre kryptovalutaindehavere og deres familier. Frankrig tegner sig for en uforholdsmæssig stor andel af indbrud og røverier rettet mod kryptoentreprenører.

Mistanken om, at kriminelle havde fået adgang til personoplysninger om nogle af Frankrigs kryptorige, blev bekræftet i august, da landets skattemyndighed indrømmede, at en hacker havde stjålet data fra 678.438 skatteydere. Bruddet fik aktører i kryptobranchen til at opfordre til et moratorium for statslige institutioners indsamling af personoplysninger.

I sin afgørelse afviste den franske domstol imidlertid anmodningen om hasteindgriben og fastslog, at ansøgerne ikke havde påvist en tilstrækkelig presserende situation. Ifølge retsdokumenter, som ansøgerne henviste til, fastslog domstolen, at opbevaring af transaktionsdata i et centraliseret register ikke automatisk øger sandsynligheden for et sikkerhedsbrud til et niveau, der berettiger en øjeblikkelig indefrysning.

Retten bemærkede, at »den blotte mulighed for en risiko, hvis sandsynlighed er meget lav, ikke kan udgøre en presserende situation.« På trods af det proceduremæssige tilbageslag understregede Pouliot, at afgørelsen ikke udgør et nederlag med hensyn til sagens realitet.

»Denne summariske suspensionssag vedrører udelukkende begrundelsen for det presserende behov,« udtalte Pouliot i et indlæg på X. »Dette afslag betyder på ingen måde, at Statsrådet afviser vores materielle argumenter. Vores retssag om fuldstændig annullering af DAC8-dekretet er stadig i gang.«

Sagen om sagens realitet fortsætter

Den materielle retssag hævder, at dekretet overskrider regeringens beføjelser og krænker grundlæggende rettigheder i henhold til fransk forfatningsret og europæiske standarder for privatlivets fred.

For at underbygge deres argument vedrørende risiciene ved datacentralisering henviste sagsøgerne til tidligere udtalelser fra Frankrigs Generaldirektorat for Offentlige Finanser. Under parlamentsforhandlinger i februar 2026 om kryptorapportering erkendte skattemyndighederne, at centralisering af identitets- og aktivværdier i store databaser kunne skabe højtværdige mål for cyberangreb og svindel.

Bull Bitcoin argumenterede for, at disse advarsler, sammen med dokumenterede fysiske angreb rettet mod kryptovalutaindehavere i hele Europa, viser en reel sårbarhed. Sagsøgerne oplyste, at de planlægger at offentliggøre de fuldstændige retsdokumenter og den understøttende dokumentation fra den summariske sag i de kommende dage.

DAC8 trådte i kraft i hele Den Europæiske Union den 1. januar 2026. I henhold til tidsplanen for implementeringen skal registrerede tjenesteudbydere afslutte deres indledende indberetning for kalenderåret 2026 senest den 30. september 2027, inden den automatiske grænseoverskridende dataudveksling mellem EU’s skattemyndigheder træder i kraft.