Fransk domstol avvisar brådskande begäran om att stoppa EU:s regler om kryptodata

Brådskande yrkande avvisat

Frankrikes högsta förvaltningsdomstol, statsrådet, har avslagit en brådskande ansökan om omedelbart upphävande av det franska dekretet som genomför EU:s åttonde direktiv om administrativt samarbete (DAC8).

Domen avvisar ett förfarande om omedelbart upphävande som väckts av kryptovalutaföretagen Bull Bitcoin och Paymium. De sökande hade hävdat att den centraliserade insamlingen av användardata för digitala tillgångar utgör ett omedelbart hot mot användarnas säkerhet och fysiska trygghet. Även om domstolen avstod från att utfärda ett brådskande uppskov har den ännu inte avgjort den underliggande lagligheten av dekretet. Ett separat rättsfall som syftar till att helt upphäva förordningen är fortfarande anhängigt vid statsrådet.

Enligt Francis Pouliot, grundare av Bull Bitcoin, begärdes i ansökan, som lämnades in i augusti 2026, ett interimistiskt upphävande av det franska dekretet nr 2025-1276. Dekretet införlivar DAC8 i fransk lagstiftning och kräver att tjänsteleverantörer inom kryptotillgångar samlar in känsliga personuppgifter och finansiella uppgifter för automatiskt utbyte mellan skattemyndigheterna i EU:s medlemsstater.

I sin ansökan hävdade Bull Bitcoin och Paymium att skapandet av ett centraliserat register med detaljerade uppgifter om digitala tillgångar medför en överhängande risk för dataintrång. Företagen varnade för att läckta databaser skulle kunna utnyttjas av våldsamma brottslingar för att spåra, utpressa eller kidnappa kryptovalutainnehavare och deras familjer. Frankrike står för en oproportionerligt stor andel av de inbrott och rån som riktar sig mot kryptoentreprenörer.

Misstankarna om att brottslingar hade fått tillgång till personuppgifter om några av Frankrikes kryptorika bekräftades i augusti, då landets skattemyndighet medgav att en hackare hade stulit uppgifter från 678 438 skattebetalare. Dataintrånget fick aktörer inom kryptobranschen att kräva ett moratorium för statliga institutioners insamling av personuppgifter.

I sitt avgörande avslog dock den franska domstolen begäran om brådskande åtgärder och fastslog att de sökande inte hade visat att det förelåg en tillräckligt brådskande situation. Enligt domstolsdokumentation som de sökande åberopade fastslog domstolen att lagring av transaktionsdata i ett centraliserat register inte automatiskt höjer risken för dataintrång till en nivå som motiverar ett omedelbart frysande.

Domstolen konstaterade att ”enbart möjligheten till en risk, vars sannolikhet är mycket låg, kan inte utgöra en brådskande situation.” Trots det processuella bakslaget betonade Pouliot att beslutet inte innebär ett nederlag vad gäller sakfrågan i målet.

”Detta förfarande om preliminärt upphävande gäller endast grunden för brådskande behov”, förklarade Pouliot i ett inlägg på X. ”Detta avslag innebär inte på något sätt att statsrådet avvisar våra sakliga argument. Vårt rättsliga förfarande för fullständig ogiltigförklaring av DAC8-dekretet pågår fortfarande.”

Talan i sak fortsätter

I den materiella rättsliga prövningen hävdas att dekretet överskrider regeringens befogenheter och kränker grundläggande rättigheter enligt fransk konstitutionell rätt och europeiska integritetsnormer.

För att stödja sitt argument om riskerna med datacentralisering hänvisade kärandena till tidigare uttalanden från Frankrikes generaldirektorat för offentliga finanser. Under parlamentsdebatterna i februari 2026 om kryptorapportering medgav skattemyndigheterna att centralisering av identitets- och tillgångsvärden i stora databaser skulle kunna skapa värdefulla mål för cyberattacker och bedrägerier.

Bull Bitcoin hävdade att dessa varningar, tillsammans med dokumenterade fysiska attacker riktade mot kryptovalutainnehavare över hela Europa, visar på en verklig sårbarhet. Kärandena angav att de planerar att offentliggöra de fullständiga rättshandlingarna och underlagsdokumentationen från det summariska förfarandet inom de närmaste dagarna.

DAC8 trädde i kraft i hela Europeiska unionen den 1 januari 2026. Enligt tidsplanen för genomförandet måste registrerade tjänsteleverantörer slutföra sin inledande rapportering för kalenderåret 2026 senast den 30 september 2027, inför det automatiska gränsöverskridande datautbytet mellan EU:s skattemyndigheter.