Un tribunal français rejette une demande d'urgence visant à suspendre les règles de l'UE relatives aux données cryptographiques

Rejet de la requête en référé

La plus haute juridiction administrative française, le Conseil d’État, a rejeté une requête d’urgence visant à obtenir la suspension immédiate du décret français transposant la huitième directive de l’Union européenne relative à la coopération administrative (DAC8).

Cette décision rejette une procédure de suspension sommaire engagée par les sociétés de cryptomonnaies Bull Bitcoin et Paymium. Les requérants avaient fait valoir que la collecte centralisée des données des utilisateurs d’actifs numériques constituait une menace immédiate pour la sécurité et l’intégrité physique des utilisateurs. Si la Cour a refusé d’accorder un sursis d’urgence, elle ne s’est pas encore prononcée sur la légalité de fond du décret. Une autre action en justice visant l’annulation totale du règlement est toujours en cours devant le Conseil d’État. Selon Francis Pouliot, fondateur de Bull Bitcoin, la requête, déposée en août 2026, demandait une suspension provisoire du décret français n° 2025-1276. Ce décret transpose la directive DAC8 dans le droit français, obligeant les prestataires de services liés aux crypto-actifs à collecter des données personnelles et financières sensibles en vue d’un échange automatique entre les autorités fiscales des États membres de l’UE. Dans leur requête, Bull Bitcoin et Paymium ont fait valoir que la création d’un référentiel centralisé contenant des enregistrements détaillés sur les actifs numériques entraînait un danger imminent de fuites de données. Les entreprises ont averti que des bases de données divulguées pourraient être exploitées par des criminels violents pour localiser, faire chanter ou kidnapper les détenteurs de cryptomonnaies et leurs familles. La France concentre une part disproportionnée des cambriolages et des vols visant les entrepreneurs du secteur des cryptomonnaies.

Les soupçons selon lesquels des criminels auraient eu accès aux données personnelles de certains riches détenteurs de cryptomonnaies en France ont été confirmés en août, lorsque l’administration fiscale française a admis qu’un pirate informatique avait volé les données de 678 438 contribuables. Cette violation a incité les acteurs du secteur des cryptomonnaies à réclamer un moratoire sur la collecte de données personnelles par les institutions publiques.

Toutefois, dans son arrêt, le tribunal français a rejeté la demande d’intervention d’urgence, estimant que les requérants n’avaient pas démontré l’existence d’une situation d’urgence suffisante. Selon les documents judiciaires cités par les requérants, le tribunal a estimé que le stockage des données de transaction dans un registre centralisé n’augmentait pas automatiquement la probabilité d’une compromission à un niveau justifiant un gel immédiat.

Le tribunal a noté que « la simple possibilité d’un risque, dont la probabilité est très faible, ne saurait constituer une situation d’urgence ». Malgré ce revers procédural, M. Pouliot a souligné que cette décision ne constituait pas un échec sur le fond de l’affaire.

« Cette procédure de suspension sommaire ne porte que sur le motif d’urgence », a déclaré M. Pouliot dans un message publié sur X. « Ce refus ne signifie en aucun cas que le Conseil d’État rejette nos arguments de fond. Notre action en justice visant à obtenir l’annulation totale du décret DAC8 est toujours en cours. »

Le recours au fond se poursuit

Le recours au fond fait valoir que le décret outrepasse les pouvoirs de l’État et viole les droits fondamentaux garantis par la Constitution française ainsi que les normes européennes en matière de protection de la vie privée.

Pour étayer leur argument concernant les risques liés à la centralisation des données, les plaignants ont fait référence à des déclarations antérieures de la Direction générale des finances publiques. Lors des débats parlementaires de février 2026 sur la déclaration des cryptomonnaies, les responsables fiscaux ont reconnu que la centralisation des identités et de la valeur des actifs dans de vastes bases de données pouvait créer des cibles de grande valeur pour les cyberattaques et la fraude.

Bull Bitcoin a fait valoir que ces avertissements, associés à des attaques physiques avérées visant des détenteurs de cryptomonnaies à travers l’Europe, démontrent une vulnérabilité bien réelle. Les plaignants ont indiqué qu’ils prévoyaient de publier dans les prochains jours l’intégralité des pièces de procédure et des documents justificatifs relatifs à la procédure sommaire.

La directive DAC8 est entrée en vigueur dans toute l’Union européenne le 1er janvier 2026. Conformément au calendrier de mise en œuvre, les prestataires de services enregistrés doivent effectuer leur première déclaration pour l’année civile 2026 avant le 30 septembre 2027, en prévision des échanges automatiques de données transfrontaliers entre les autorités fiscales de l’UE.