Risque de fuites de données et crypto-kidnapping

L’improbable réponse du Conseil d’État à la demande de gel de DAC8, six semaines après quatre intrusions dans les serveurs du fisc

Le 14 septembre 2026, le Conseil d’État a refusé de suspendre le décret qui applique DAC8 en France, le texte qui oblige les plateformes de crypto-actifs à déclarer chaque année à l’administration fiscale l’identité, l’adresse du domicile et l’intégralité des transactions de tous leurs utilisateurs.

Nous avions demandé le gel provisoire de ce décret, le temps que la justice examine sa légalité. Une telle demande suppose de démontrer deux choses : que le texte est vraisemblablement illégal, et qu’il y a urgence à le suspendre dans l’attente d’une décision définitive. Le juge n’a tranché que la seconde. Il indique expressément se dispenser d’examiner la première. Nos arguments sur la légalité du décret restent donc entiers, devant le recours en annulation engagé depuis février 2026.

Mais le motif du refus, lui, appelle une réponse :

Les sociétés requérantes n’établissent pas non plus en quoi la conservation de ces données au sein d’un registre centralisant l’ensemble des données de transactions de tous les résidents d’États membres de l’Union serait de nature à accentuer le risque qu’elles soient compromises, alors au demeurant que la simple éventualité d’un risque, dont la probabilité de réalisation est très faible, ne saurait être constitutive d’une situation d’urgence.

Conseil d'État, ordonnance de référé du 14 septembre 2026, n° 519158

Deux affirmations. La première : nous n’aurions pas montré en quoi centraliser ces données aggrave le risque qu’elles fuitent. La seconde : la probabilité d’une telle fuite serait « très faible ».

Voici ce que contenait notre dossier. Aucun de ces faits n’a été contesté par l’État.

Télécharger la requête en référé du 26 août 2026 PDF, 25 pages, 7,7 Mo Télécharger l'ordonnance n° 519158 du 14 septembre 2026 Texte officiel sur conseil-etat.fr

1. La chronologie

Notre demande a été déposée le 26 août 2026. Voici ce qui l’a précédée.

18 février 2026. La Direction générale des finances publiques (DGFiP) subit une attaque sur le fichier national des comptes bancaires. Par simple usurpation des identifiants d’un fonctionnaire, l’attaquant consulte, pour 1,2 million de comptes, les coordonnées bancaires, l’identité du titulaire, son adresse, parfois son identifiant fiscal.

15 avril 2026. L’Agence nationale des titres sécurisés : 11 à 19 millions de comptes touchés.

12 août 2026. Le ministère communique sur une intrusion survenue fin juin dans les systèmes de la DGFiP : 678 000 particuliers et professionnels, avec le revenu fiscal de référence, l’état civil, la situation de famille et l’adresse postale.

13 août 2026. Deuxième intrusion, survenue fin juillet : données cadastrales de 433 485 particuliers.

18 août 2026. Troisième intrusion : données de successions, ampleur non dévoilée. Le même jour, en conférence de presse, la directrice générale de la DGFiP annonce une quatrième intrusion, détectée la veille. Le ministre David Amiel, après avoir présenté ses excuses aux contribuables, déclare : « Nos systèmes d’information comportent des faiblesses. »

26 août 2026. Nous déposons notre demande de suspension.

11 septembre 2026. Trois jours avant l’ordonnance, le Parquet national anticriminalité organisée rend publics ses derniers chiffres sur les enlèvements et séquestrations liés aux crypto-actifs.

14 septembre 2026. Le juge estime « très faible » la probabilité que ces données soient compromises.

Quatre intrusions revendiquées, reconnues par le ministre lui-même, dans les six semaines qui précèdent la requête. Et, plus largement : la CNIL a recensé 5 629 fuites de données personnelles en 2024, en hausse de 20 %, puis de 10 % encore en 2025, le secteur le plus touché étant celui des administrations publiques, à lui seul 19 % du total.

2. Pourquoi la centralisation aggrave le risque

Le juge écrit que nous n’expliquons pas « en quoi ». Nous l’avions fait, de quatre façons.

Une cible vaut ce qu’elle rapporte. DAC8 prévoit que toutes ces données soient versées dans un répertoire européen unique, hébergé par la Commission, qui agrégera les transactions de l’ensemble des résidents de l’Union. Un tel registre vaut incomparablement plus, pour un attaquant, que les bases tenues séparément par chaque plateforme, et les moyens qu’il y consacrera croîtront à proportion. Ce n’est pas notre intuition : l’Agence nationale de la sécurité des systèmes d’information l’écrit noir sur blanc dans ses recommandations d’août 2024 : « Les infrastructures sont ciblées en raison de la concentration des données et des traitements qu’elles hébergent […] ». Concentrer, c’est augmenter le rendement de l’attaque.

Un seul point de rupture. En remplaçant des échanges cloisonnés entre États par un entrepôt unique, on crée un point de défaillance dont la compromission expose tout, d’un coup. La directive prévoit bien que chaque État n’accède qu’aux données de ses propres résidents, mais il s’agit d’une barrière logicielle, pas d’une protection cryptographique : aucun chiffrement de bout en bout n’est prévu. Autrement dit, la sécurité du dispositif repose sur l’hypothèse que des identifiants légitimes ne seront jamais détournés. C’est exactement ce qui s’est produit à la DGFiP en février 2026.

Un transfert de garde. Le décret organise le déplacement de ces données depuis des entreprises qui n’ont subi aucune intrusion depuis leur création, Paymium en 2011, Bull Bitcoin en 2013, vers des administrations dont les compromissions sont massives, répétées et documentées, puis vers un répertoire européen unique. Ce seul déplacement modifie le risque. L’ordonnance n’en dit pas un mot.

Le danger vient aussi de l’intérieur. En janvier 2026, la presse révélait la mise en examen d’agents du fisc pour avoir consulté et transmis des informations sur la fortune de personnes actives dans le secteur des crypto-actifs. Élargir la masse de données consultables, c’est mécaniquement élargir ce risque-là aussi.

3. Le fisc dit exactement l’inverse du juge

En février 2026, devant le Parlement, la DGFiP, l’administration même à qui ce décret ordonne de transmettre ces données, s’opposait à une déclaration obligatoire des portefeuilles de crypto-actifs, dans ces termes :

Une déclaration généralisée de ces portefeuilles conduirait à centraliser des données très sensibles, comme l’identité des détenteurs et la valeur de leurs actifs […] dans un contexte de cyberattaques fréquentes contre les grandes bases de données, ces informations deviendraient une cible privilégiée pour les pirates, avec des risques accrus d’escroquerie.

DGFiP, propos rapportés devant l'Assemblée nationale, séance du 26 février 2026

La démonstration que le juge estime manquante dans notre dossier, l’administration fiscale française l’a donc faite elle-même, six mois plus tôt, devant les députés, et pour en tirer la conclusion inverse de celle qu’impose le décret.

Nous n’avons pas demandé au Conseil d’État de nous croire sur parole. Nous lui avons demandé de croire la DGFiP.

4. Ce dont il est réellement question

Les données en cause associent un nom, une adresse de domicile et le montant précis d’un patrimoine en crypto-actifs. Or ces actifs se transfèrent instantanément, de personne à personne, de façon irréversible : en détenir revient à garder de l’or ou des espèces chez soi. Une telle fuite n’expose pas seulement à l’escroquerie. Elle expose aux coups.

Ce n’est pas une hypothèse d’école.

La procureure nationale anti-criminalité organisée recensait, au 24 avril 2026, 135 enlèvements ou séquestrations visant ce secteur depuis 2023 : 18 en 2024, 67 en 2025, déjà 47 sur les premiers mois de 2026. Au 30 juin 2026, le ministère de l’Intérieur en comptait 77 sur la seule année en cours, un fait tous les deux jours et demi en France. En janvier 2026, le Parquet de Paris a publié un communiqué avertissant qu’à la suite des fuites de données du secteur, « dans les situations les plus graves, des malfaiteurs peuvent aller jusqu’à menacer et agresser physiquement les victimes ou leur entourage proche pour les extorquer ».

Et parce qu’un chiffre ne dira jamais ce que dit un fait : en juin 2026, un couple venait d’acheter une maison dans la Somme. En moins d’un mois, il a subi trois intrusions à son domicile, par trois équipes de criminels différentes, parfois accompagnées de violences. La maison avait appartenu à un couple détenant un important patrimoine en crypto-actifs, dont la fiche d’imposition aurait fuité selon l’avocat des victimes. Les nouveaux propriétaires, eux, ne possédaient pas un centime de cryptomonnaie.

Ce sont, très concrètement, les proches qui se retrouvent en première ligne.

Voilà à quoi ressemble, concrètement, une fuite de données patrimoniales détenues par l’administration fiscale. Ce n’est pas un préjudice qu’une décision de justice répare deux ans plus tard. Dans l’affaire de la Somme, il a même survécu à la vente de la maison : les données, elles, continuent de circuler.

5. Les quatre silences de la décision

L’irréversibilité. Une fois les données collectées, transmises au fisc, versées au répertoire européen puis échangées entre États, aucune annulation ne leur rendra leur confidentialité. Le calendrier, lui, est déjà fixé : répertoire européen avant le 31 décembre 2026 ; collecte de l’identité de tous les clients existants avant le 1er janvier 2027 ; première déclaration au fisc le 15 juin 2027 ; premier échange entre États le 30 septembre 2027. Or notre recours au fond implique de saisir la Cour de justice de l’Union européenne, ce qui prend des années. Le juge du fond ne se prononcera donc, selon toute vraisemblance, qu’une fois ces échéances passées. Suspendre était le seul moyen d’éviter que notre recours ne devienne sans objet. L’ordonnance n’aborde pas ce point qui est pourtant la définition même de l’urgence.

Une balance à sens unique. Le juge oppose l’intérêt public attaché à la lutte contre la fraude fiscale. Encore faut-il mesurer ce qu’une suspension lui coûterait vraiment. Notre dossier le montrait : l’administration conserve l’intégralité de ses outils existants, déclaration des plus-values, déclaration des comptes détenus à l’étranger, droit de communication, entraide internationale. La lutte contre la fraude n’est en rien désarmée par quelques mois de gel. Ce plateau de la balance n’a pas été pesé.

Un précédent identique, ignoré. En juillet 2016, ce même juge des référés avait suspendu le décret organisant la consultation du registre des trusts, un dispositif de transparence fiscale portant sur des données patrimoniales. Le Conseil constitutionnel a ensuite jugé le dispositif contraire à la Constitution, comme portant une atteinte manifestement disproportionnée à la vie privée. L’urgence y avait été reconnue alors même que le dommage n’était encore qu’éventuel. L’ordonnance ne distingue pas ce précédent. Elle ne le cite pas.

Sa propre jurisprudence, écartée d’une phrase. Le juge balaie l’idée qu’une violation du droit européen puisse, à elle seule, justifier l’urgence. C’est pourtant ce qu’a jugé le juge des référés du Conseil d’État lui-même en 2013, dans le prolongement d’une jurisprudence européenne constante. Là encore : ni citée, ni discutée, ni distinguée.

6. Rejeté sans audience, sans que l’État ait à répondre

La décision a été rendue selon une procédure de tri qui autorise le juge à rejeter une demande sans instruction et sans audience lorsqu’il estime l’urgence non caractérisée.

Conséquence : l’État n’a jamais eu à s’expliquer. Les intrusions à la DGFiP, la position de la DGFiP devant le Parlement, les chiffres de la CNIL, ceux de la justice et de l’Intérieur, l’avis de l’ANSSI, l’affaire de la Somme, rien de tout cela n’a été contredit par la partie adverse. Ces faits ont simplement été déclarés insuffisants, sans débat, sans que nous puissions nous expliquer oralement, et sans que la décision indique ce qui, dans vingt-cinq pages et dix-huit sources, ferait défaut.

Nous ne prêtons d’intention à personne. Nous constatons ceci : un dossier fondé sur des faits publics, non contestés, émanant pour l’essentiel de l’État lui-même, a été écarté au moyen d’une appréciation, « très faible », que rien dans la décision n’étaye, et que l’actualité des semaines précédentes contredisait frontalement.

7. La suite

Ce refus ne préjuge en rien de l’issue. Le juge s’est abstenu d’examiner nos arguments sur la légalité du décret : ils sont intacts. Notre recours en annulation, déposé le 24 février 2026 et complété en mai, suit son cours. Il demande notamment que la Cour de justice de l’Union européenne se prononce sur la validité de la directive DAC8 elle-même. Ce référé n’était qu’une procédure parmi celles que nous avons engagées, et pas la dernière. Nous menons ce contentieux sur plusieurs fronts ; nous en publierons le détail lorsque nous le pourrons.

Il est hors de question que nous devenions les accessoires d’un État irresponsable qui met en danger ses citoyens. Nous marchons sur la tête : le financement de l’action publique ne peut se donner des moyens qui contreviennent à l’accomplissement de sa mission la plus fondamentale. Que le Conseil d’État balaye d’un revers de la main une telle demande, et banalise une telle défaillance des fonctions régaliennes alors même qu’il est censé s’assurer de la légalité de l’action publique, est à nos yeux une situation regrettable et inquiétante. Mais cela ne peut que raffermir notre volonté de poursuivre ce combat par tous les moyens : la liberté, la sûreté et la résistance à l’oppression sont au cœur de la Constitution de la République française, et si les institutions censées s’en porter garantes font défaut, il devient impératif de les rappeler à leur devoir et au sens de leur mission.

Téléchargez notre requête

Nous publions notre demande de suspension et la décision qui l’a rejetée. Notre démonstration de l’urgence doit pouvoir être examinée, critiquée et vérifiée par chacun.

Requête en référé suspension Déposée le 26 août 2026 devant le Conseil d'État · PDF, 25 pages, 7,7 Mo Ordonnance n° 519158 Décision du juge des référés, 14 septembre 2026 · Texte officiel sur conseil-etat.fr

Pages liées

Ordonnance n° 519158 du 14 septembre 2026, juge des référés du Conseil d’État. Recours au fond : requête n° 513141.