Qui détient vos données ?
DAC8 oblige les prestataires de services sur crypto-actifs à les collecter. Une faille survenue cet été au sein de l’administration fiscale française illustre les risques liés à leur conservation.
Un régime de transfert de données, plusieurs détenteurs
DAC8 fait transiter des données personnelles le long d’une chaîne. Depuis le 1er janvier 2026, les prestataires de services sur crypto-actifs de l’Union européenne collectent auprès de leurs utilisateurs des informations d’identification et de résidence fiscale, et enregistrent leurs transactions. À partir de 2027, ils les déclarent à leur administration fiscale nationale, au plus tard le 30 juin 2027 au Luxembourg et en Pologne, et celle-ci les échange ensuite avec les administrations des pays de résidence des utilisateurs. Les premiers échanges automatiques entre États membres sont attendus au plus tard le 30 septembre 2027.
La donnée part du client, se trouve d’abord chez le prestataire, puis auprès de l’administration nationale, puis auprès des administrations des autres États membres. Chaque étape crée un nouveau détenteur, et chaque détenteur se pose la même question : dans quelle mesure la donnée est-elle réellement protégée ?
Les obligations ne pèsent pas de la même façon sur tous les acteurs. Les prestataires sont soumis à des règles précises, contrôlées et sanctionnées. Au Luxembourg, par exemple, une déclaration tardive ou un défaut d’enregistrement entraîne une amende forfaitaire de 5 000 euros. D’autres manquements peuvent atteindre une amende de 250 000 euros. Un prestataire répond également, en son nom propre, de la protection et de la sécurité des données. En revanche, le régime DAC8 dit peu de chose aux clients sur la manière dont les administrations destinataires protègent les données qui leur parviennent.
FRANCE: Ce qui s’est passé à la DGFiP
Le 14 août 2026, le ministère de l’Économie et des Finances a confirmé que le système d’information de la Direction générale des Finances publiques (DGFiP) avait fait l’objet d’une intrusion malveillante. Les données de 678 000 personnes et entreprises avaient été consultées ou extraites : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, noms de sociétés et numéros SIREN, ainsi que des données cadastrales relatives aux adresses et aux surfaces des biens. Le ministère a précisé que les espaces personnels en ligne n’avaient pas été compromis et que les identifiants et mots de passe des usagers non plus.
Le rapport d’incident de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), remis au Premier ministre le 24 septembre et publié le 29 septembre, retrace techniquement l’attaque. Il couvre des activités illégitimes observées entre mai et août 2026 et deux jeux de données : l’un extrait de la plateforme impots.gouv.fr et revendiqué le 12 août, l’autre contenant des données cadastrales et revendiqué le 13 août.
Le rapport relève des faiblesses dans trois domaines. Sur les identités, les attaquants ont pu voler et utiliser des identifiants de connexion légitimes de la DGFiP, récupérés à la suite de leur utilisation sur des équipements personnels, et les portails donnant accès à des ressources sensibles n’étaient pas protégés par une authentification forte. Sur l’architecture, des applications sensibles étaient exposées sur internet ou accessibles depuis le Réseau interministériel de l’État sans cloisonnement, ce qui crée un risque de latéralisation depuis des ressources d’organismes tiers, comme cela s’est produit via le ministère de l’Éducation nationale. Sur la détection, un portail utilisé par l’attaquant n’était pas surveillé, aucun mécanisme n’a fait de lien entre les signaux suspects, et aucune des deux vagues d’exfiltration n’a été détectée, ni par la DGFiP ni par l’ANSSI. Un plan d’action a été défini avec la DGFiP.
Il ne s’agissait pas de données DAC8, les premières déclarations n’étant attendues qu’en 2027. Ce que l’affaire révèle, c’est la situation d’une administration fiscale en tant que détentrice de données. Une administration est exposée au même vol d’identifiants que n’importe quelle entreprise, et les contribuables ne peuvent pas en choisir une autre.
Le 18 août, la CNIL a indiqué qu’elle avait été notifiée et qu’elle était déjà saisie, que les personnes concernées n’avaient pas besoin de déposer plainte, et qu’elle pouvait procéder à des contrôles sur pièces ou sur place et prononcer des sanctions. Selon la presse, sa présidente, Marie-Laure Denis, a annoncé le 10 septembre sur France 2 que la CNIL contrôlerait la DGFiP et que l’issue pourrait être une mise en demeure d’ici la fin de l’année ou une orientation vers une sanction. Le 12 octobre, toujours selon la presse, l’ADAN (Association pour le développement des actifs numériques) a demandé à la CNIL d’examiner la manière dont l’administration fiscale a traité plusieurs incidents, après un courrier adressé au ministère en mars resté sans réponse.
Pas une première, et pas seulement en France
La faille d’août n’est pas le seul incident survenu cette année à l’administration fiscale française. Le fichier national des comptes bancaires (FICOBA) a fait l’objet d’un accès entre fin janvier et le 13 février 2026 avec les identifiants d’un agent d’une autre administration, selon la réponse du ministère du 28 avril à une question parlementaire. La réponse indique que la violation résulte de l’utilisation de ce compte et non de l’exploitation d’une faille de l’application, et que les accès externes à FICOBA ont été coupés. La question évoquait environ 1,2 million de comptes et décrivait les données comme les coordonnées bancaires, l’identité et l’adresse du titulaire et, dans certains cas, l’identifiant fiscal. La réponse n’a confirmé ni l’un ni l’autre, précisant seulement qu’une partie du fichier avait été consultée.
D’autres administrations fiscales se sont trouvées dans la même situation. En 2019, les données personnelles de millions de contribuables ont été dérobées à l’Agence nationale des recettes de Bulgarie. La presse de l’époque parlait d’environ 4,1 millions de contribuables. La décision de l’autorité de contrôle, telle que rapportée par le cabinet CMS, concerne 6 074 140 personnes. La Commission pour la protection des données personnelles a infligé une amende de 5,1 millions de leva (environ 2,55 millions d’euros) pour défaut de mesures techniques et organisationnelles appropriées. L’agence a contesté l’amende devant le tribunal administratif de Sofia. Selon la même source, l’affaire a été rejetée pour cause de prescription. Aux États-Unis, un sous-traitant de l’IRS a dérobé des informations issues de déclarations fiscales et les a communiquées à deux organes de presse en 2019 et 2020. Il a plaidé coupable en octobre 2023 et a été condamné le 29 janvier 2024 à cinq ans de prison.
Il ne s’agit pas de dresser un classement. Ces cas diffèrent par leur nature (attaque externe en France et en Bulgarie, divulgation par une personne disposant d’un accès autorisé aux États-Unis) et par leur époque. Ce qui frappe en France, c’est que deux incidents en un an, dans la même administration, ont tous deux reposé sur des identifiants volés, et qu’ils surviennent au moment où DAC8 confie à cette même administration une nouvelle catégorie de données sensibles. Le cas bulgare montre aussi les limites des sanctions à l’encontre d’un organisme public. Une autorité de contrôle a sanctionné l’agence, mais l’affaire s’est achevée pour cause de prescription. Dans un arrêt de 2023 rendu dans une affaire connexe de dommages-intérêts (C-340/21), la Cour de justice de l’Union européenne a jugé que l’accès non autorisé d’un tiers ne suffit pas, à lui seul, à démontrer que les mesures de sécurité du responsable du traitement n’étaient pas appropriées.
Le risque physique
Pour les détenteurs de crypto-actifs, une fuite n’est pas seulement un problème de vie privée : une personne que l’on peut identifier et localiser peut être prise pour cible. La France est aussi le pays où les agressions physiques contre les détenteurs sont les plus signalées. Le 9 octobre 2026, l’Organized Crime and Corruption Reporting Project (OCCRP) a rapporté, en citant le parquet national anticriminalité organisée (PNACO), que les autorités françaises avaient enregistré 77 faits de violence visant des détenteurs de crypto-actifs depuis le début de l’année, contre 67 en 2025 et environ 20 en 2024. La société de sécurité blockchain CertiK, sur la base de son propre décompte de cas vérifiés, a recensé 24 agressions physiques (« wrench attacks ») en France entre janvier et avril 2026, soit environ 71 % des 34 cas relevés dans le monde et 86 % de ceux relevés en Europe, contre 4 en France sur les mêmes mois de 2025. Les deux séries reposent sur des méthodes et des périodes différentes et ne peuvent pas être comparées directement. CertiK précise elle-même que ses données ne montrent que la partie visible d’un phénomène sous-déclaré.
Selon l’OCCRP, les magistrats pointent les fuites de données, les divulgations publiques sur les réseaux sociaux et l’hameçonnage ciblé comme les principaux moyens d’identification des victimes, et indiquent que les réseaux sociaux recrutent de jeunes exécutants en ligne. Aucune de ces sources ne relie les agressions à la faille de la DGFiP d’août ni à des données fiscales. L’inquiétude de l’ADAN est plus étroite : sa saisine de la CNIL évoque des soupçons de divulgation, par un agent des impôts, d’informations sur des acteurs du secteur crypto. C’est pourquoi la question de savoir qui détient les données, et qui peut les consulter, a sa place dans le débat sur DAC8.
Ce que le Conseil d’État a décidé, et ce qu’il n’a pas décidé
Le 14 septembre 2026, le juge des référés du Conseil d’État a rejeté la demande de Paymium, Leonod et Satoshi Portal Inc. de suspendre le décret n° 2025-1276, qui transpose DAC8 pour les prestataires de services sur crypto-actifs. Les requérantes soutenaient notamment que le décret les oblige à collecter et à conserver des données personnelles, qu’un registre centralisé augmente le risque de fuite, et que la CNIL n’avait pas été consultée.
Le juge ne s’est prononcé que sur un point, l’urgence. Mettant en balance l’atteinte à la vie privée et l’intérêt public attaché à la prévention de la fraude et de l’évasion fiscales, il a estimé que l’urgence n’était pas établie, et a ajouté qu’une incompatibilité alléguée avec le droit de l’UE ne suffit pas, à elle seule, à caractériser l’urgence. La décision retient aussi que les requérantes n’avaient pas démontré qu’un registre centralisé accroîtrait le risque de compromission, et décrit ce risque comme une simple éventualité « dont la probabilité de réalisation est très faible ». Elle ne se prononce pas sur la légalité du décret. L’absence de consultation de la CNIL, les moyens tirés des articles 7, 8 et 52, paragraphe 1, de la Charte des droits fondamentaux et la demande de renvoi préjudiciel auprès de la Cour de justice de l’Union européenne relèvent du fond, qui reste à juger. La réglementation française demeure en vigueur dans cette attente.
La décision est intervenue un mois après le communiqué du ministère. Elle doit se lire comme une décision d’urgence, et non comme une appréciation de la manière dont l’État protège les données fiscales.
Une question que la justice européenne a déjà abordée
En octobre 2020, dans les affaires jointes C-245/19 et C-246/19, la Cour de justice de l’Union européenne a statué en grande chambre sur des questions posées par la Cour administrative luxembourgeoise. Les affaires portaient sur des informations que le Luxembourg avait ordonné à des sociétés de transmettre à la demande d’un autre État membre, dans le cadre des règles européennes antérieures sur l’échange d’informations sur demande. La Cour a jugé que la personne à qui il est ordonné de fournir des informations doit pouvoir contester cet ordre directement devant un juge. Le contribuable visé par l’enquête peut être limité à une contestation indirecte, dans le recours dirigé contre le redressement ultérieur, à condition que ce contrôle soit effectif, et les tiers peuvent être limités à une action en réparation. La Cour a considéré que la lutte contre la fraude et l’évasion fiscales internationales est un objectif d’intérêt général pouvant justifier des limites à ces droits. Cette affaire ne concernait pas DAC8, mais c’est dans la procédure au fond devant la justice française qu’une question comparable pourrait parvenir à la Cour, si le Conseil d’État décide d’un renvoi.
Que faire maintenant
Vous êtes clients
Vérifiez ce que vous avez transmis à votre prestataire. L’auto-certification de résidence fiscale et le numéro d’identification fiscale circulent désormais le long de la chaîne, et une erreur à la première étape est reproduite à chaque étape suivante. En Pologne, les prestataires doivent demander leur autocertification aux clients existants avant le 31 octobre 2026, et la diligence raisonnable à l’égard des utilisateurs existants doit être achevée dans toute l’UE avant le 1er janvier 2027.
Demandez par écrit à votre prestataire comment il conserve, protège et partage les données d’identification qu’il collecte pour la déclaration, et pendant combien de temps il les garde.
Tenez votre propre registre de transactions et rapprochez-le de ce que détient le prestataire.
Vous êtes prestataires
Considérez les données comme un bien de grande valeur. Les constats de l’ANSSI forment une liste de contrôle : authentification forte pour tout accès à des données sensibles, cloisonnement afin qu’un tiers compromis ne puisse pas les atteindre, surveillance de chaque portail et corrélation des alertes. Appliquez aux tiers qui y ont accès les mêmes contrôles qu’au personnel, et préparez la réponse aux incidents avant le premier cycle de déclaration.
Documentez votre analyse de protection des données relative à la déclaration. L’argument des prestataires français sur l’absence de consultation de la CNIL montre d’où viennent les contestations du régime.
La question reste ouverte
La faille du mois d’août ne démontre pas que la déclaration DAC8 soit injustifiée, et le Conseil d’État a reconnu un poids important à l’intérêt public attaché à la prévention de la fraude et de l’évasion fiscales. Elle montre en revanche que le régime laisse une question ouverte : ce que l’État doit en contrepartie lorsqu’il détient les données. Nous suivrons la procédure au fond et le contrôle de la CNIL.
