Franse rechtbank wijst spoedverzoek af om EU-regels inzake cryptogegevens op te schorten

Noodverzoek afgewezen

De hoogste administratieve rechtbank van Frankrijk, de Raad van State, heeft een spoedverzoek afgewezen waarin werd gevraagd om de onmiddellijke opschorting van het Franse decreet ter uitvoering van de Achtste Richtlijn inzake administratieve samenwerking (DAC8) van de Europese Unie.

De uitspraak verwerpt een procedure tot voorlopige opschorting die was aangespannen door de cryptovalutabedrijven Bull Bitcoin en Paymium. De verzoekers hadden aangevoerd dat de gecentraliseerde verzameling van gebruikersgegevens van digitale activa een onmiddellijke bedreiging vormt voor de veiligheid en fysieke beveiliging van gebruikers. Hoewel het hof weigerde een voorlopige opschorting te verlenen, heeft het nog geen uitspraak gedaan over de onderliggende rechtmatigheid van het decreet. Een afzonderlijke rechtszaak waarin de volledige nietigverklaring van de verordening wordt gevorderd, loopt nog bij de Raad van State.

Volgens Francis Pouliot, oprichter van Bull Bitcoin, werd in het in augustus 2026 ingediende verzoek om een voorlopige opschorting van het Franse decreet nr. 2025-1276 gevraagd. Het decreet zet DAC8 om in Franse wetgeving en verplicht dienstverleners op het gebied van crypto-activa om gevoelige persoonlijke en financiële gegevens te verzamelen voor automatische uitwisseling tussen de belastingautoriteiten van de EU-lidstaten.

In hun verzoekschrift voerden Bull Bitcoin en Paymium aan dat het opzetten van een gecentraliseerde opslagplaats met gedetailleerde gegevens over digitale activa een direct gevaar voor datalekken met zich meebrengt. De bedrijven waarschuwden dat gelekte databases door gewelddadige criminelen zouden kunnen worden misbruikt om houders van cryptovaluta en hun families op te sporen, af te persen of te ontvoeren. Frankrijk heeft een onevenredig groot aandeel in woninginbraken en overvallen gericht op crypto-ondernemers.

Het vermoeden dat criminelen toegang hadden gekregen tot de persoonsgegevens van enkele van de crypto-miljonairs in Frankrijk werd in augustus bevestigd, toen de Franse belastingdienst toegaf dat een hacker gegevens van 678.438 belastingplichtigen had gestolen. Het datalek was voor deelnemers aan de crypto-industrie aanleiding om op te roepen tot een moratorium op het verzamelen van persoonsgegevens door overheidsinstellingen.

In zijn uitspraak wees de Franse rechtbank het verzoek om spoedmaatregelen echter af, omdat de verzoekers volgens de rechtbank onvoldoende hadden aangetoond dat er sprake was van een noodsituatie. Op basis van door de verzoekers aangehaalde gerechtelijke documentatie oordeelde de rechtbank dat het opslaan van transactiegegevens in een gecentraliseerd register niet automatisch de kans op inbreuken zodanig vergroot dat een onmiddellijke bevriezing gerechtvaardigd is.

De rechtbank merkte op dat „de loutere mogelijkheid van een risico, waarvan de waarschijnlijkheid zeer laag is, geen noodsituatie kan vormen“. Ondanks deze procedurele tegenslag benadrukte Pouliot dat de beslissing geen nederlaag inhoudt wat de inhoud van de zaak betreft.

„Deze summiere opschortingsprocedure betreft uitsluitend de gronden van urgentie”, verklaarde Pouliot in een bericht op X. „Deze afwijzing betekent geenszins dat de Raad van State onze inhoudelijke argumenten verwerpt. Onze gerechtelijke procedure voor de volledige nietigverklaring van het DAC8-decreet loopt nog steeds.”

Beroep ten gronde gaat door

In de inhoudelijke rechtszaak wordt aangevoerd dat het decreet de bevoegdheden van de overheid overschrijdt en in strijd is met de grondrechten volgens de Franse grondwet en de Europese normen inzake privacy.

Ter ondersteuning van hun argument met betrekking tot de risico’s van gegevenscentralisatie verwezen de eisers naar eerdere verklaringen van het Franse Directoraat-generaal voor Openbare Financiën. Tijdens parlementaire debatten in februari 2026 over rapportage inzake cryptovaluta erkenden belastingambtenaren dat het centraliseren van identiteitsgegevens en vermogenswaarden in grote databases aantrekkelijke doelwitten zou kunnen vormen voor cyberaanvallen en fraude.

Bull Bitcoin stelde dat deze waarschuwingen, in combinatie met gedocumenteerde fysieke aanvallen op houders van cryptovaluta in heel Europa, de kwetsbaarheid in de praktijk aantonen. De eisers gaven aan dat zij van plan zijn de volledige juridische stukken en ondersteunende documentatie van de kortgedingprocedure in de komende dagen openbaar te maken.

DAC8 is op 1 januari 2026 in de hele Europese Unie in werking getreden. Volgens het implementatieschema moeten geregistreerde dienstverleners hun eerste rapportage over het kalenderjaar 2026 uiterlijk op 30 september 2027 voltooien, voorafgaand aan de automatische grensoverschrijdende gegevensuitwisseling tussen EU-belastingautoriteiten.