« Un risque très faible » : le Conseil d'État refuse de suspendre DAC8 et laisse le fisc collecter vos données crypto

Les plateformes françaises de crypto-actifs ont perdu leur première bataille judiciaire contre DAC8. Dans une ordonnance du 14 septembre 2026 (n° 519158), le juge des référés du Conseil d’État a rejeté la demande de suspension du décret n° 2025-1276 du 19 décembre 2025, qui organise la collecte et la transmission au fisc des données de leurs utilisateurs. La décision n’était pas encore passée inaperçue qu’elle circulait déjà dans tout l’écosystème : elle contient une phrase que les défenseurs de la vie privée n’ont pas fini de citer.

Ce que dit exactement l’ordonnance

La requête avait été enregistrée le 26 août 2026. Elle était portée par trois sociétés : Paymium, désignée représentante unique, Leonod et Satoshi Portal Inc. — soit Bull Bitcoin, l’opérateur québécois historiquement le plus offensif sur le sujet. Toutes demandaient au juge des référés, sur le fondement de l’article L. 521-1 du code de justice administrative, de suspendre l’exécution du décret transposant la directive européenne DAC8, en attendant un jugement sur le fond.

Trois arguments étaient avancés :

• le décret violerait le droit de l’Union, la directive qu’il transpose méconnaissant elle-même la Charte des droits fondamentaux (articles 7, 8 et 52 § 1) et l’article 8 de la Convention européenne des droits de l’homme ;
• il porterait atteinte au droit au respect de la vie privée et à la protection des données personnelles, en imposant la collecte, la vérification et la conservation des données des détenteurs de crypto-actifs ;
• il accroîtrait le risque de fuite, puisque ces données alimenteraient « un registre centralisant l’ensemble des données de transactions de tous les résidents d’Etats membres de l’Union ».

Le juge n’a pas contesté la réalité de ces effets. Il a jugé qu’ils ne créaient pas d’urgence. Sur la vie privée, l’ordonnance signée Christine Maugüé est nette : l’atteinte « ne saurait, au regard de l’intérêt public qui s’attache à la prévention du risque de fraude et d’évasion fiscales, caractériser une situation d’urgence » justifiant une suspension. Sur le risque de fuite, la formulation est encore plus tranchante : les requérantes n’établissent pas en quoi la conservation centralisée des données « serait de nature à accentuer le risque qu’elles soient compromises, alors au demeurant que la simple éventualité d’un risque, dont la probabilité de réalisation est très faible, ne saurait être constitutive d’une situation d’urgence ».

Le Conseil d’État conclut donc — sans audience, sur le fondement de l’article L. 522-3 — que la condition d’urgence n’est pas remplie, et précise « sans qu’il soit besoin de se prononcer sur l’existence d’un moyen propre à créer un doute sérieux quant à la légalité du décret contesté ». Autrement dit : le débat sur le fond, et sur la compatibilité de DAC8 avec les droits fondamentaux, n’a pas été tranché.

Ce que le décret impose déjà

Il faut mesurer ce que la décision laisse en place. Le décret n° 2025-1276 du 19 décembre 2025, publié au Journal officiel le 24 décembre, applique l’article 54 de la loi n° 2025-127 du 14 février 2025 et les articles 1649 AC bis à 1649 AC sexies du code général des impôts. Sa source est la directive (UE) 2023/2226, dite DAC8, transposition européenne de la norme CARF de l’OCDE sur l’échange automatique de renseignements relatifs aux crypto-actifs.

Concrètement, depuis le 1er janvier 2026 :

• les prestataires de services sur crypto-actifs agréés collectent l’identité fiscale, l’adresse et les données de transaction de leurs clients — valeur du portefeuille au 31 décembre, cumul des achats et des cessions, et, point contesté par les requérantes, les opérations de jalonnement (staking) et de prêt ;
• ces données devront être transmises à la DGFiP au plus tard le 15 juin 2027 ;
• elles seront ensuite échangées automatiquement entre les administrations fiscales des Vingt-Sept, à partir de septembre 2027 ;
• les sanctions prévues à l’article 1736 du CGI visent les plateformes défaillantes : 15 euros par opération non déclarée, plafonnés à 2 millions d’euros par an, et jusqu’à 50 000 euros pour un manquement aux obligations de diligence.

Deux arguments procéduraux des requérantes restent dans le dossier au fond : l’absence de consultation préalable de la CNIL, exigée par l’article 36 § 4 du RGPD pour les traitements à risque élevé, et un possible excès de compétence du pouvoir réglementaire, l’article 1er du décret ayant ajouté une obligation déclarative pesant sur les services de staking et de prêt que la loi de transposition n’avait pas prévue.

Rappelons ce que DAC8 ne fait pas : il ne crée aucun impôt. La fiscalité française des plus-values crypto reste inchangée — prélèvement forfaitaire unique de 31,4 % depuis la LFSS 2026, qui a porté la CSG sur les revenus du capital à 10,6 %. Ce que DAC8 change, c’est la capacité de contrôle : selon la Cour des comptes, entre 1,5 et 5 millions de Français détenaient des crypto-actifs, pour seulement 20 000 déclarations de plus-values en 2021. Le baromètre ADAN/Ipsos 2026 évalue à 11 % la part des Français qui en détiennent.

« Très faible » : un risque pourtant documenté

C’est ici que l’ordonnance est le plus difficile à lire pour quiconque suit les incidents informatiques de l’administration française. Au cours des dix-huit derniers mois :

• août 2026 : la DGFiP reconnaît l’extraction illégitime des données personnelles et fiscales de près de 678 000 contribuables — identifiants, revenus, adresses, situations familiales ;
• printemps 2026 : l’ANTS signale une intrusion susceptible de concerner 11,7 millions de comptes ;
• février 2026 : le fichier bancaire FICOBA, également géré par la DGFiP, expose 1,2 million de comptes bancaires ;
• 2024 : France Travail, jusqu’à 43 millions de personnes concernées ; les gestionnaires de tiers payant Viamedis et Almerys ; puis la CAF fin 2025.

Bull Bitcoin en tire un renversement d’argument, résumé dans son recours : le décret organise « le déplacement de ces données depuis des entreprises qui n’ont subi aucune intrusion depuis leur création, Paymium en 2011, Bull Bitcoin en 2013, vers des administrations dont les compromissions sont massives, répétées et documentées ». L’ordonnance ne traite pas ce point au fond ; elle constate que le lien entre centralisation et compromission n’est pas établi « en l’état de l’instruction » — un référé n’est pas un procès au fond.

Pourquoi le sujet est plus qu’une question fiscale

Pour un détenteur, la différence avec une fuite de données bancaires tient à la nature de l’actif. Un virement suspect peut être rappelé, un compte bloqué. Une transaction en bitcoin est irréversible et transférable en quelques minutes, sous contrainte physique. Or les attaques de ce type se multiplient en France : selon les chiffres relayés par le journaliste Grégory Raymond, le Parquet national anticriminalité recensait plus de 70 enlèvements ou séquestrations liés aux cryptomonnaies sur les huit premiers mois de 2026, la majorité des victimes ayant été identifiées à partir de fuites de données. Le cofondateur de Ledger, David Balland, enlevé et mutilé en 2025, reste le cas le plus documenté ; le PDG de Binance France, David Prinçay, a lui aussi été visé. Jameson Lopp, cofondateur de Casa, tient à jour un recensement public de ces « wrench attacks ».

Le paradoxe est que la vérification d’identité imposée aux plateformes (KYC) existait déjà, et que l’administration disposait d’un droit de communication ciblé pour enquêter sur un contribuable suspect. DAC8 ajoute une aspiration préventive et systématique de l’ensemble des utilisateurs. C’est ce glissement que ses détracteurs résument d’un slogan : « KYC », désormais, voudrait dire « Kill Your Customer ».

Et maintenant : un recours au fond qui peut aller jusqu’à Luxembourg

La décision du 14 septembre ne règle rien au fond. Le recours en annulation déposé en février 2026 suit son cours, avec une décision définitive attendue dans un à deux ans selon les praticiens. Deux portes restent ouvertes :

• si le Conseil d’État juge le débat sérieux, il peut saisir la Cour de justice de l’Union européenne d’une question préjudicielle sur la compatibilité de DAC8 avec la Charte des droits fondamentaux ;
• une annulation du décret français, ou une censure européenne, créerait un précédent pour les 26 autres transpositions nationales. C’est l’enjeu réel : la France est le premier terrain judiciaire où DAC8 est attaqué, et Bull Bitcoin accompagne le recours d’une plateforme publique, dac8.com, destinée à documenter le dossier.

L’intérêt de cette contestation tient à sa posture. Bull Bitcoin, agréé MiCA en France via l’AMF, ne conteste ni l’obligation de déclaration fiscale ni la régulation des intermédiaires : l’entreprise attaque les modalités d’application qu’elle juge dangereuses pour la sécurité de ses clients. C’est une distinction qui la rend difficile à disqualifier en réflexe anti-impôt — et qui explique pourquoi le sujet dépasse désormais les cercles bitcoiners.

Le marché, en passant

L’actualité n’attend pas les juges. Le bitcoin évolue autour de 76 700 dollars (+1,3 % sur 24 heures), l’ether près de 2 470 dollars et le sol autour de 101 dollars, au lendemain de la première hausse de taux de la Fed depuis 2023 (25 points de base, fourchette cible 3,75 %-4 %). Les ETF bitcoin au comptant américains ont subi 746 millions de dollars de sorties nettes sur les séances des 15 et 16 septembre, selon SoSoValue — sans que le cours cède le support des 75 000 dollars. Sur les marchés de prédiction, la probabilité d’un bitcoin au-dessus de 74 000 dollars à la fin de la semaine est cotée autour de 98 %, contre environ 75 % pour les 76 000 dollars. (Données indicatives, pas une prévision.)

Ce qu’il faut retenir

Premièrement, la collecte est en cours et elle est légale : le décret s’applique, les plateformes agréées collectent depuis le 1er janvier 2026, et la première transmission à la DGFiP est fixée à juin 2027. Deuxièmement, la bataille se poursuit sur le fond, avec la possibilité d’un renvoi devant la CJUE — c’est là que se jouera la question de la proportionnalité d’un registre européen unique, pas dans une procédure d’urgence. Troisièmement, l’argument de sécurité soulevé par les requérantes ne disparaîtra pas : chaque nouvelle fuite de fichier public le reposera, et le juge des référés devra un jour répondre à la question qu’il a esquivée en qualifiant ce risque de « très faible ».

Sources : Conseil d’État, ordonnance n° 519158 du 14 septembre 2026 ; décret n° 2025-1276 du 19 décembre 2025 et loi n° 2025-127 du 14 février 2025 (article 54) ; directive (UE) 2023/2226 ; code général des impôts, articles 1649 AC bis à AC sexies et 1736 ; CNIL et RGPD (article 36 § 4) ; Cour des comptes, rapport du 19 décembre 2023 ; baromètre ADAN/Ipsos 2026 ; déclarations de Bull Bitcoin et Paymium ; bitcoin.fr, Cryptoast, InvestX, BFMTV ; SoSoValue ; CoinGecko (prix au 17 septembre 2026, 17 h UTC). Les niveaux de prix et les probabilités citées sont indicatifs. Cet article est informatif et ne constitue ni un conseil fiscal ni un conseil en investissement.