Francuski sąd odrzucił pilny wniosek o wstrzymanie unijnych przepisów dotyczących danych kryptograficznych

Wniosek nadzwyczajny oddalony

Najwyższy sąd administracyjny Francji, Rada Stanu, odrzuciła wniosek nadzwyczajny o natychmiastowe zawieszenie francuskiego dekretu wdrażającego Ósmą dyrektywę Unii Europejskiej w sprawie współpracy administracyjnej (DAC8).

Orzeczenie oddala postępowanie w sprawie zawieszenia w trybie uproszczonym, wszczęte przez firmy kryptowalutowe Bull Bitcoin i Paymium. Wnioskodawcy argumentowali, że scentralizowane gromadzenie danych użytkowników aktywów cyfrowych stanowi bezpośrednie zagrożenie dla bezpieczeństwa użytkowników i ich bezpieczeństwa fizycznego. Chociaż sąd odmówił wydania nadzwyczajnego zawieszenia, nie wydał jeszcze orzeczenia w sprawie zasadniczej zgodności dekretu z prawem. Przed Radą Stanu toczy się nadal odrębne postępowanie sądowe mające na celu całkowite unieważnienie tego rozporządzenia.

Według Francisa Pouliota, założyciela firmy Bull Bitcoin, we wniosku złożonym w sierpniu 2026 r. domagano się tymczasowego zawieszenia wykonania francuskiego dekretu nr 2025-1276. Dekret ten transponuje dyrektywę DAC8 do prawa francuskiego, nakładając na dostawców usług związanych z aktywami kryptograficznymi obowiązek gromadzenia wrażliwych danych osobowych i finansowych w celu automatycznej wymiany między organami podatkowymi państw członkowskich UE.

W swoim wniosku firmy Bull Bitcoin i Paymium argumentowały, że utworzenie scentralizowanego repozytorium szczegółowych rejestrów aktywów cyfrowych stwarza bezpośrednie zagrożenie naruszeniem bezpieczeństwa danych. Firmy ostrzegły, że wyciekające bazy danych mogą zostać wykorzystane przez brutalnych przestępców do lokalizowania, szantażowania lub porywania posiadaczy kryptowalut i ich rodzin. Na Francję przypada nieproporcjonalnie duża liczba włamań do domów i napadów skierowanych przeciwko przedsiębiorcom z branży kryptowalutowej.

Podejrzenia, że przestępcy uzyskali dostęp do danych osobowych niektórych zamożnych posiadaczy kryptowalut we Francji, potwierdziły się w sierpniu, kiedy francuski urząd skarbowy przyznał, że haker wykradł dane 678 438 podatników. Wyciek ten skłonił przedstawicieli branży kryptowalutowej do wezwania do wprowadzenia moratorium na gromadzenie danych osobowych przez instytucje państwowe.

Jednak w swoim orzeczeniu francuski sąd odrzucił wniosek o interwencję w trybie pilnym, stwierdzając, że wnioskodawcy nie wykazali wystarczającej sytuacji nadzwyczajnej. Zgodnie z dokumentacją sądową przytoczoną przez wnioskodawców sąd uznał, że przechowywanie danych transakcyjnych w scentralizowanym rejestrze nie zwiększa automatycznie prawdopodobieństwa naruszenia bezpieczeństwa do poziomu uzasadniającego natychmiastowe zamrożenie danych.

Sąd zauważył, że „sama możliwość wystąpienia ryzyka, którego prawdopodobieństwo jest bardzo niskie, nie może stanowić sytuacji nadzwyczajnej”. Pomimo tej proceduralnej porażki Pouliot podkreślił, że decyzja ta nie oznacza przegranej w sprawie co do meritum.

„To postępowanie w sprawie zawieszenia w trybie uproszczonym dotyczy wyłącznie przesłanek pilności” – stwierdził Pouliot w poście opublikowanym na platformie X. „Ta odmowa w żadnym wypadku nie oznacza, że Rada Stanu odrzuca nasze argumenty merytoryczne. Nasze postępowanie sądowe w sprawie całkowitego unieważnienia dekretu DAC8 nadal trwa”.

Kontynuacja postępowania merytorycznego

W merytorycznym zaskarżeniu twierdzi się, że dekret wykracza poza uprawnienia rządu i narusza prawa podstawowe wynikające z francuskiego prawa konstytucyjnego oraz europejskich standardów dotyczących prywatności.

Aby poprzeć swój argument dotyczący ryzyka związanego z centralizacją danych, powodowie powołali się na wcześniejsze oświadczenia francuskiej Dyrekcji Generalnej ds. Finansów Publicznych. Podczas dyskusji parlamentarnych w lutym 2026 r. dotyczących sprawozdawczości w zakresie kryptowalut urzędnicy podatkowi przyznali, że centralizacja danych tożsamościowych i wartości aktywów w dużych bazach danych może stworzyć atrakcyjne cele dla cyberataków i oszustw.

Bull Bitcoin argumentował, że te ostrzeżenia, w połączeniu z udokumentowanymi fizycznymi atakami wymierzonymi w posiadaczy kryptowalut w całej Europie, wskazują na rzeczywistą podatność na zagrożenia. Powodowie zaznaczyli, że w najbliższych dniach planują opublikować pełną treść pism procesowych oraz dokumentację uzupełniającą z postępowania uproszczonego.

Dyrektywa DAC8 weszła w życie w całej Unii Europejskiej 1 stycznia 2026 r. Zgodnie z harmonogramem wdrożenia zarejestrowani dostawcy usług muszą złożyć wstępne sprawozdania za rok kalendarzowy 2026 do 30 września 2027 r., przed rozpoczęciem automatycznej transgranicznej wymiany danych między organami podatkowymi UE.