[Edito] DAC 8 : la fin justifie-t-elle les moyens ?

L’arsenal juridique européen en matière de transparence fiscale vient de franchir un cap décisif avec l’entrée en vigueur, au 1er janvier 2026, de la directive DAC 8.

En France, le décret n° 2025-1276 du 19 décembre 2025 parachève la transposition de ce texte, marquant le passage d’une cécité quasi complète à une omniscience quasi totale de l’administration sur les flux en crypto-actifs.

Si l’exercice de sa souveraineté exige que l’Etat dispose des moyens de sa puissance, la poursuite de ses missions d’intérêt général ne saurait porter atteinte aux droits fondamentaux que dans la mesure où cette dernière est adaptée et proportionnée. En matière de crypto-actifs, l’étendue des moyens déployés est dictée par un certain nombre de postulats dont le caractère fantasmé pourrait conduire à les juger démesurés, d’autant plus au regard des risques qu’ils suscitent pour le droit au respect de la vie privée et, désormais simplement, pour le droit à la vie.

Les moyens

Le nouveau cadre impose aux prestataires de services sur crypto-actifs (PSCA), de staking ou de prêt, des obligations de diligence et de déclaration annuelles exhaustives.

Le mécanisme repose sur un KYC fiscal dans le cadre duquel l’utilisateur devra fournir, lors de son inscription ou avant le 31/12/2026, une auto-certification de résidence sous peine de blocage de son compte.

Chaque année, le PSCA devra alors déclarer à son administration fiscale de tutelle une liste très exhaustives et très détaillée des transactions réalisées par ses utilisateurs : montants déposés en fiat ou en cryptos (et explications sur les causes du dépôt (cashback, staking, etc.)), transactions réalisées (crypto-fiat, fiat-crypto, crypto-crypto), retraits en fiat ou en cryptos, etc. Chaque mouvement réalisé, ne serait-ce que le plus modique, sera porté à la connaissance de l’administration fiscale. Seuls quelques types d’utilisateurs seront préservés de cette surveillance généralisée (sociétés cotées, entités publiques, organisations internationales, banques centrales et certaines institutions financières).

Afin de garantir l’effectivité d’une telle déclaration, les manquements des PSCA pourront être sanctionnés par une amende pouvant atteindre 2 millions d’euros par an.

Les informations ainsi collectées seront ensuite échangées automatiquement entre Etats participants au dispositif (les Etats membres dans un premier temps, ainsi que les Etats signataires de la convention multilatérale MCAA-CARF).

La fin et les risques

Cette volonté d’établir une transparence absolue est justifiée par la volonté de lutter contre la fraude et l’évasion fiscales dans un contexte où la « nature décentralisée des crypto-actifs complique la tâche des administrations fiscales des États membres » (Directive n° 2023/2226, exposé des motifs, 6).

Si l’objectif est suffisamment louable pour justifier qu’une atteinte soit portée à des droits fondamentaux, cette atteinte n’est légitime que si elle est nécessaire et adaptée au but poursuivi. Ce principe de proportionnalité trace les limites de l’action publique.

Le dispositif prévu par DAC8 porte effectivement une atteinte à plusieurs droits fondamentaux.

• Vie privée. De toute évidence, la consultation automatique, par l’administration fiscale, de données financières tels que des flux en crypto-actifs constitue une atteinte au droit au respect de la vie privée (CEDH, 1er déc. 2015, n° 69436/10). Loin d’être de simples actifs spéculatifs, les crypto-actifs peuvent en effet, au même titre que les monnaies légales, servir de moyens de paiement et révéler un certain nombre de détails de la vie intime.
• Sécurité. Mais la tragique actualité (agressions physiques visant les détenteurs de cryptos, hack du Ficoba, reventes de données personnelles par un agent du fisc) pourrait laisser penser que cette collecte massive de donnée, en ce qu’elle ouvre des risques de fuites (honey pot), constitue également une atteinte au droit à la vie, dont découle une forme de droit à la sécurité, ainsi qu’au droit à la protection des données personnelles (CDFUE, art. 8).

La démesure

Or, la légitimité d’une telle atteinte interroge à plusieurs égard.

• L’atteinte pourrait d’abord être jugée inadaptée pour lutter contre la fraude fiscale dans la mesure où, d’une part, un certain nombre d’informations transmises à l’administration fiscale ne serviront pas, ou ne suffiront pas seules, à déterminer un éventuel impôt éludé (dépôt, retrait, échange) et, d’autre part, des exemples récents de dispositifs similaires démontrent leur faible impact sur le taux de déclaration (déplacement sur des plateformes étrangères ou on chain).
• L’atteinte pourrait ensuite être jugée disproportionnée dans la mesure où elle instaure une surveillance de masse généralisée sur un actif : elle concerne tous les contribuables, dès le premier euro, indépendamment des risques de fraude qu’ils présentent (les transactions de ma grand-mère seront soumises au même régime que celles du cartel de Cali) et elle concerne la totalité des transactions, alors que des informations moins intrusives pourraient suffire à assurer à l’administration un niveau de vigilance satisfaisant (par exemple, le solde en fin d’année, comme en matière de compte bancaire).
• L’atteinte pourrait enfin être considérée insuffisamment entourée de garanties. En effet, une telle inférence doit pouvoir faire l’objet d’un contrôle judiciaire a priori, ou a posteriori (CEDH, 8 janv. 2026, n° 40607/19. Or, aucune voie de recours ne permettra de vérifier ni la conformité de la collecte, ni la cohérence des informations transmises par les plateformes (qui continuent à ce jour à décliner toute responsabilité en cas d’erreur dans les historiques de transactions fournis à leurs utilisateurs). Les contribuables n’auront connaissance de ces informations que si elles sont utilisées par le fisc pour opérer des redressements et qu’ils en font expressément la demande.

Ainsi la légitimité juridique du dispositif nous semble tout aussi discutable que ces discussions apparaissent aujourd’hui inaudibles.

Pourtant, si la directive avait proposé de donner chaque année à l’administration fiscale une API de lecture sur tous les comptes bancaires des contribuables, nul doute que le dispositif aurait généré une légitime levée de boucliers.

Ne restent alors que les fantasmes pour expliquer une telle unanimité autour d’atteintes aussi démesurées : tous les moyens sont bons pour lutter contre un actif qui n’a d’autre fin que la spéculation débridée et le crime organisé.