DAC8 : impact pour les entreprises crypto

Réponse courte

Pour une entreprise crypto, DAC8 n’est pas un simple formulaire fiscal : c’est un chantier de système d’information, de conformité, de support client et de gestion du risque. Le prestataire doit identifier les utilisateurs reportables, collecter et vérifier des auto-certifications, déterminer la résidence fiscale, agréger les transactions puis produire des fichiers de déclaration structurés, avec des politiques de conservation et des procédures internes à l’appui. DAC8 modifie aussi sa posture de sécurité : il concentre de plus grands volumes de données d’identité reliées aux cryptos, que les utilisateurs pourront lui reprocher si le reporting devient une source d’exposition. La charge pèse davantage sur les petits acteurs, ce qui favorise la concentration du marché, tandis que certains utilisateurs sont poussés hors du périmètre régulé, en contradiction directe avec l’objectif de MiCA.

Faits clés

Dimension	Ce que DAC8 impose au CASP
Coûts techniques	Identifier les utilisateurs reportables, collecter les auto-certifications, déterminer la résidence fiscale, vérifier la cohérence des informations, agréger les transactions, produire des fichiers de déclaration structurés
Coûts organisationnels	Développements, contrôles, audits, procédures internes, politiques de conservation des données, support client, coordination avec les administrations
Posture de sécurité	Gérer de plus grands volumes de données d’identité reliées aux cryptos ; risque d’être tenu responsable par les utilisateurs si le reporting devient une source d’exposition
Coûts commerciaux	Les prestataires régulés perçus comme plus exposants que les circuits non régulés ; effet repoussoir qui affaiblit l’attractivité des acteurs conformes
Concentration du marché	Les grandes plateformes absorbent plus facilement les coûts ; les petits acteurs se consolident, réduisent leur offre ou quittent des marchés ; moins de diversité, plus de dépendance à quelques infrastructures
Contradiction avec MiCA	Une politique cohérente devrait retenir les utilisateurs dans le périmètre régulé ; DAC8 les incite à en sortir

Un chantier technique, pas un formulaire

Les prestataires doivent identifier les utilisateurs reportables, collecter des auto-certifications, déterminer la résidence fiscale, vérifier la cohérence des informations, agréger des transactions et produire des fichiers de déclaration structurés.

Ces obligations exigent des développements, des contrôles, des audits, des procédures internes, des politiques de conservation des données et une coordination avec les administrations. Elles mobilisent aussi le support client, qui devient un point de contact sur des sujets fiscaux sensibles.

Une nouvelle posture de sécurité

DAC8 modifie la posture de sécurité de l’entreprise. Le prestataire doit gérer de plus grands volumes de données d’identité reliées aux cryptos. Si ses systèmes de reporting deviennent une source d’exposition, les utilisateurs pourront le tenir pour responsable. La donnée collectée pour se conformer devient elle-même un risque à protéger.

Coûts commerciaux

L’utilisateur peut percevoir les prestataires régulés comme plus exposants que les circuits non régulés. Cela crée une tension avec MiCA, dont l’objectif est justement d’attirer l’activité vers un périmètre conforme et supervisé.

Si la conformité DAC8 devient un repoussoir, elle affaiblit l’attractivité des acteurs régulés.

Risque de concentration

Les grandes plateformes peuvent absorber plus facilement les coûts de conformité. Les petits acteurs, eux, peuvent être poussés à se consolider, réduire leur offre ou quitter certains marchés. La charge favorise les grandes entreprises et pèse sur les petits prestataires conformes.

Cette dynamique peut réduire la diversité du marché européen et renforcer la dépendance envers quelques infrastructures massives.

Le choix politique

Une politique publique cohérente devrait encourager les utilisateurs à rester dans le périmètre régulé. DAC8 risque de faire l’inverse : rendre le service conforme plus dangereux du point de vue de la confidentialité et de la sécurité personnelle, et pousser une partie des utilisateurs vers des services situés hors du périmètre régulé.