Le 14 septembre 2026, le Conseil d’État a rendu sa décision (n° 519158) rejetant le référé-suspension formé par Bull Bitcoin (Leonod/Satoshi Portal Inc.) et Paymium contre le décret n° 2025-1276. Ce texte transpose en droit français la directive européenne DAC8, imposant aux prestataires de services sur actifs numériques de collecter et de transmettre systématiquement au fisc les identités, adresses physiques et historiques de transactions de tous leurs utilisateurs.
Pour justifier le rejet de l’urgence et maintenir la collecte massive de ces données ultrasensibles, le juge des référés a glissé une phrase qui fera date par son décalage avec le réel :
« La simple éventualité d’un risque [de fuite de données], dont la probabilité de réalisation est très faible, ne saurait être constitutive d’une situation d’urgence. »
L’illusion aveugle de la sécurité des fichiers d’État
En qualifiant le risque de fuite de « très faible », le Conseil d’État semble ignorer le bilan sécuritaire des administrations publiques. Rien qu’au cours des derniers mois, la France a essuyé une cascade de cyberattaques et de fuites massives touchant des organismes censés appliquer les normes de sécurité les plus strictes. L’exemple le plus saisissant réside dans le piratage massif subi cet été même par la Direction générale des Finances publiques (DGFiP). En août 2026, le fisc français a dû reconnaître l’extraction et la consultation illégitime des données personnelles et fiscales de près de 678 000 contribuables (identifiants fiscaux, revenus, adresses et situations familiales).
Et Bercy n’est pas un cas isolé : cet été s’ajoute à la fuite colossale de l’ANTS au printemps (plus de 11 millions de comptes exposés), et même à celle du fichier bancaire national FICOBA — géré, lui aussi, par la DGFiP — quelques mois plus tôt (1,2 million de comptes bancaires exposés dès février 2026). Le phénomène n’est d’ailleurs pas propre à 2026 : il prolonge une série déjà entamée avec France Travail et les gestionnaires du tiers payant Viamedis et Almerys en 2024, puis la CAF fin 2025.
La question n’est donc plus de savoir si un fichier centralisé sera compromis, mais quand. Centraliser dans un registre européen l’identité, l’adresse de domicile et l’historique complet des transactions de tous les détenteurs de crypto-actifs revient à créer un honeypot géant au service des réseaux criminels.
Un risque d’agression physique ignoré par les juges
Ce qui distingue une fuite de données financières traditionnelles d’une fuite de données crypto, c’est la nature de l’actif. Contrairement à un compte bancaire qui peut être bloqué en urgence ou à un virement suspect qui peut être annulé, les transactions Bitcoin sont irréversibles et immédiates.
Le contexte sécuritaire actuel rend la posture du juge particulièrement dangereuse.
Sur le terrain, la réalité est pourtant déjà alarmante. On assiste à une explosion sans précédent des enlèvements, séquestrations et home-jackings ciblant spécifiquement les détenteurs d’actifs numériques sur le territoire français. Les réseaux criminels ne frappent plus au hasard : ils s’approvisionnent sur le Dark Web en bases de données piratées croisant l’identité exacte, l’adresse de résidence et l’estimation du patrimoine de leurs victimes.
En faisant basculer la simple obligation de vérification d’identité (Know Your Customer) vers une centralisation fiscale massive à l’échelle européenne, l’État transforme involontairement ces registres en une véritable carte au trésor pour la grande criminalité. Un glissement dramatique où le KYC finit tragiquement par mériter le surnom que lui donnent désormais ses détracteurs : « Kill Your Customer ».
Sous la contrainte physique ou sous la menace d’une arme à domicile, un épargnant peut en effet être forcé de vider l’intégralité de ses portefeuilles en quelques minutes.
Le paradoxe de la surveillance préventive
L’argument central des autorités pour justifier DAC8 reste la lutte contre la fraude fiscale et le blanchiment d’argent. Pour atteindre cet objectif elles n’hésitent pas à employer des moyens disproportionnés à travers une surveillance de masse plutôt que ciblée : l’administration disposait déjà du droit de communication ciblé pour enquêter sur des contribuables suspectés. DAC8 impose une aspiration préventive et globale de 100 % des utilisateurs honnêtes. Au nom de la protection de l’ordre public, l’État crée un registre qui met directement en danger la vie et la sécurité physique de ses propres citoyens.
Un combat juridique qui ne fait que commencer
Cette décision en référé n’est que le premier acte d’une bataille au fond qui s’annonce longue. Le recours au fond * suit son cours devant le Conseil d’État pour juger de la légalité définitive du texte, avec la possibilité d’une question préjudicielle devant la Cour de justice de l’Union européenne (CJUE).
Mais au-delà de la procédure juridique, une question dérangeante s’impose : le jour où ce registre centralisé finira à nouveau par fuiter, le jour où des adresses d’épargnants alimenteront de nouvelles séquestrations à domicile, ce juge se sentira-t-il responsable ? Ou aura-t-il simplement changé de section au Conseil d’État et passé à un autre dossier, en laissant les victimes payer seules le prix de son « risque très faible » ?
Source : https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2026-09-14/519158
* Recours au fond : Examen complet du litige, par opposition à la procédure de « référé », qui ne statue qu’en urgence et à titre provisoire.
