Un tribunale francese respinge la richiesta d’urgenza volta a sospendere le norme dell’UE sui dati relativi alle criptovalute

Istanza d’urgenza respinta

La più alta corte amministrativa francese, il Consiglio di Stato, ha respinto una mozione d’urgenza volta a ottenere la sospensione immediata del decreto francese che attua l’Ottava Direttiva dell’Unione Europea sulla cooperazione amministrativa (DAC8).

La sentenza respinge un procedimento di sospensione sommaria avviato dalle società di criptovalute Bull Bitcoin e Paymium. I ricorrenti avevano sostenuto che la raccolta centralizzata dei dati degli utenti di asset digitali costituisse una minaccia immediata alla sicurezza degli utenti e alla loro incolumità fisica. Sebbene la corte abbia rifiutato di emettere una sospensione d’urgenza, non si è ancora pronunciata sulla legittimità di fondo del decreto. Un’altra causa volta all’annullamento totale del regolamento rimane pendente dinanzi al Consiglio di Stato. Secondo Francis Pouliot, fondatore di Bull Bitcoin, l’istanza, presentata nell’agosto 2026, chiedeva una sospensione provvisoria del decreto francese n. 2025-1276. Il decreto recepisce la direttiva DAC8 nel diritto francese, imponendo ai fornitori di servizi relativi alle criptovalute di raccogliere dati personali e finanziari sensibili per lo scambio automatico tra le autorità fiscali degli Stati membri dell’UE. Nel loro ricorso, Bull Bitcoin e Paymium hanno sostenuto che la creazione di un archivio centralizzato contenente registrazioni dettagliate sulle criptovalute comporta un pericolo imminente di violazioni dei dati. Le società hanno avvertito che i database trapelati potrebbero essere sfruttati da criminali violenti per localizzare, estorcere o rapire i possessori di criptovalute e le loro famiglie. La Francia registra una quota sproporzionata di violazioni di domicilio e rapine ai danni di imprenditori del settore delle criptovalute.

I sospetti che i criminali avessero avuto accesso ai dati personali di alcuni dei più ricchi investitori in criptovalute della Francia sono stati confermati ad agosto, quando l’agenzia delle entrate del Paese ha ammesso che un hacker aveva rubato i dati di 678.438 contribuenti. La violazione ha spinto gli operatori del settore delle criptovalute a chiedere una moratoria sulla raccolta di dati personali da parte delle istituzioni statali.

Tuttavia, nella sua sentenza, il tribunale francese ha respinto la richiesta di intervento d’urgenza, stabilendo che i ricorrenti non fossero riusciti a dimostrare una situazione di urgenza sufficiente. Secondo la documentazione giudiziaria citata dai ricorrenti, il tribunale ha stabilito che la conservazione dei dati delle transazioni in un registro centralizzato non aumenta automaticamente la probabilità di compromissione a un livello tale da giustificare un congelamento immediato.

Il tribunale ha osservato che «la mera possibilità di un rischio, la cui probabilità è molto bassa, non può costituire una situazione di urgenza». Nonostante la battuta d’arresto procedurale, Pouliot ha sottolineato che la decisione non costituisce una sconfitta nel merito della causa.

«Questo procedimento di sospensione sommaria riguarda esclusivamente i motivi di urgenza», ha dichiarato Pouliot in un post su X. «Questo rigetto non significa in alcun modo che il Consiglio di Stato respinga le nostre argomentazioni di merito. Il nostro procedimento legale per la completa annullamento del decreto DAC8 è ancora in corso».

Continua il ricorso nel merito

Il ricorso di merito sostiene che il decreto ecceda i poteri del governo e violi i diritti fondamentali sanciti dalla Costituzione francese e dalle norme europee in materia di privacy.

A sostegno della loro tesi sui rischi legati alla centralizzazione dei dati, i ricorrenti hanno fatto riferimento a precedenti dichiarazioni della Direzione Generale delle Finanze Pubbliche francese. Durante le discussioni parlamentari del febbraio 2026 relative alla rendicontazione delle criptovalute, i funzionari fiscali hanno riconosciuto che la centralizzazione delle identità e dei valori patrimoniali in grandi banche dati potrebbe creare obiettivi di alto valore per attacchi informatici e frodi.

Bull Bitcoin ha sostenuto che questi avvertimenti, insieme agli attacchi fisici documentati che hanno preso di mira i detentori di criptovalute in tutta Europa, dimostrano una vulnerabilità concreta. I ricorrenti hanno indicato che intendono pubblicare nei prossimi giorni gli atti processuali completi e la documentazione di supporto relativi al procedimento sommario.

La direttiva DAC8 è entrata in vigore in tutta l’Unione Europea il 1° gennaio 2026. Secondo il calendario di attuazione, i fornitori di servizi registrati devono completare la loro segnalazione iniziale relativa all’anno solare 2026 entro il 30 settembre 2027, in vista degli scambi automatici di dati transfrontalieri tra le autorità fiscali dell’UE.