Cryptoactifs et transparence fiscale : la protection des données personnelles à l’épreuve du référé-suspension
Saisi par plusieurs prestataires de services sur cryptoactifs d’une demande de suspension du décret mettant en œuvre les obligations déclaratives issues de DAC 8, le juge des référés du Conseil d’État écarte l’urgence invoquée au titre de l’atteinte à la vie privée, de la protection des données personnelles et du risque de compromission d’un registre centralisé. L’ordonnance ne préjuge toutefois pas de la légalité du dispositif. Les griefs tirés de l’absence de consultation de la CNIL, de la conformité de DAC 8 aux droits fondamentaux européens et de la compétence du pouvoir réglementaire seront traités dans le contentieux au fond.
Par une ordonnance du 14 septembre 2026, le juge des référés du Conseil d’État a rejeté la demande de suspension du décret n° 2025-1276 du 19 décembre 2025 relatif aux obligations déclaratives et de diligences incombant aux prestataires de services sur cryptoactifs.
Les sociétés requérantes contestaient le dispositif mis en place dans le cadre de la transposition de la directive (UE) 2023/2226 du 17 octobre 2023, dite « DAC 8 ». Elles faisaient notamment valoir que le décret les obligeait à collecter, traiter, vérifier et conserver des données personnelles relatives aux détenteurs de cryptoactifs, puis à les transmettre à l’administration fiscale. Elles invoquaient également le risque résultant de la centralisation de données de transaction, ainsi que l’absence de consultation préalable de la Commission nationale de l’informatique et des libertés (CNIL). Plus largement, elles soutenaient que les dispositions transposées méconnaissaient les articles 7, 8 et 52, § 1, de la Charte des droits fondamentaux de l’Union européenne et demandaient, à ce titre, un renvoi préjudiciel à la Cour de justice.
L’intérêt principal de l’ordonnance tient toutefois moins à ces moyens qu’à la manière dont le juge apprécie la condition d’urgence.
La protection des données personnelles ne suffit pas, à elle seule, à caractériser l’urgence
Sur le fondement de l’article L. 521-1 du code de justice administrative, la suspension d’un acte suppose que son exécution porte une atteinte suffisamment grave et immédiate à un intérêt public, à la situation du requérant ou aux intérêts qu’il entend défendre.
Les requérantes soutenaient que les obligations de collecte, de conservation et de transmission des données portaient atteinte à la vie privée et à la protection des données personnelles des utilisateurs.
Le Conseil d’État ne nie pas la sensibilité de ces traitements. Il considère néanmoins que l’atteinte alléguée à la vie privée ne saurait « au regard de l’intérêt public qui s’attache à la prévention du risque de fraude et d’évasion fiscales » caractériser une situation d’urgence justifiant la suspension du décret.
La portée de cette formulation doit être mesurée. Le juge ne valide pas la conformité du dispositif au règlement européen de protection des données personnelles (RGPD) ou à la Charte des droits fondamentaux. Il constate seulement que les atteintes invoquées ne présentent pas, au stade du référé, un degré de gravité et d’immédiateté suffisant pour justifier la suspension.
Cette mise en balance s’inscrit dans une jurisprudence constante selon laquelle la lutte contre la fraude fiscale constitue un objectif d’intérêt général particulièrement important (CE 14 oct. 2015, n° 391872, la lutte contre la fraude fiscale constitue un objectif de valeur constitutionnelle). Elle n’exonère toutefois pas l’administration du respect des exigences de nécessité et de proportionnalité qui encadrent les traitements de données à caractère personnel.
Un risque de compromission trop hypothétique
Les requérantes invoquaient également le risque de fuite résultant de la conservation de données dans un registre centralisant les transactions de résidents des États membres.
L’argument est écarté faute d’éléments suffisamment concrets. Le Conseil d’État relève que les requérantes n’établissent pas en quoi cette conservation serait effectivement de nature à accroître le risque de compromission des données. Il ajoute que la simple éventualité d’un risque dont la probabilité de réalisation demeure très faible ne permet pas de caractériser l’urgence.
Ce passage présente un intérêt particulier en matière de contentieux numérique. Il distingue clairement le risque au sens du RGPD, qui repose sur une logique préventive, du risque existant exigé en référé-suspension.
L’existence abstraite d’une menace de cybersécurité peut justifier des obligations de sécurité ou une analyse d’impact. En revanche, elle ne suffit pas nécessairement à démontrer une atteinte grave et immédiate au sens de l’article L. 521-1 du code de justice administrative.
Les questions de légalité restent ouvertes
La décision est surtout remarquable par ce qu’elle ne tranche pas.
Les requérantes invoquaient notamment l’absence de consultation préalable de la CNIL, alors que l’article 36, § 4, du RGPD prévoit la consultation de l’autorité de contrôle lors de l’élaboration de certaines mesures législatives ou réglementaires relatives au traitement de données personnelles.
Elles soutenaient également que les dispositions issues de DAC 8 portaient une atteinte disproportionnée aux droits garantis par les articles 7 et 8 de la Charte des droits fondamentaux et sollicitaient un renvoi préjudiciel à la Cour de justice.
Le Conseil d’État ne se prononce sur aucun de ces moyens. Dès lors qu’il juge la condition d’urgence non satisfaite, il rejette la requête « sans qu’il soit besoin de se prononcer sur l’existence d’un moyen propre à créer un doute sérieux quant à la légalité du décret contesté ».
Il serait donc excessif de voir dans cette ordonnance une validation du dispositif DAC 8 au regard du droit de la protection des données.
La question de la proportionnalité reste notamment entière. L’extension des mécanismes d’échange automatique d’informations fiscales aux cryptoactifs conduit à traiter des données d’identification et de transaction susceptibles de révéler des éléments importants de la situation patrimoniale des personnes concernées. Leur collecte et leur transmission doivent donc être appréciées au regard des principes de finalité, de minimisation et de proportionnalité.
La consultation de la CNIL pourra également constituer un point contentieux important si le décret a déterminé ou modifié des caractéristiques essentielles du traitement qui n’étaient pas déjà fixées par la loi ou la directive.
Une décision limitée, mais un contentieux appelé à se poursuivre
L’ordonnance du 14 septembre 2026 est donc avant tout une décision procédurale. Le Conseil d’État ne ferme pas le débat sur la conformité du dispositif DAC 8 aux règles européennes de protection des données. Il considère seulement que les arguments avancés ne justifient pas sa suspension immédiate.
Elle fournit néanmoins une indication utile pour les futurs contentieux liés aux dispositifs de collecte massive de données : ni la sensibilité des informations traitées ni l’existence d’un risque de sécurité ne permettent, à elles seules, de caractériser l’urgence. Celle-ci doit être étayée par des éléments suffisamment concrets et immédiats.
Le débat de fond reste, lui, largement ouvert : proportionnalité de la collecte, garanties entourant la conservation et l’échange des données, consultation préalable de la CNIL et, plus largement, compatibilité de DAC 8 avec les articles 7, 8 et 52 de la Charte des droits fondamentaux. C’est sur ces questions que se jouera la portée réelle du contentieux.
par Eléonore Favero Agostini, Associée
CE, ord., 14 sept. 2026, n° 519158
© Lefebvre Dalloz