Crypto-actifs : les obligations déclaratives des PSCA face au RGPD
Obligations déclaratives des PSCA : les prestataires crypto doivent concilier leurs obligations fiscales avec les exigences du RGPD. Les obligations déclaratives des PSCA soulèvent notamment des questions de minimisation, de conservation et de sécurité des données.
Le Conseil d’État s’est prononcé le 14 septembre 2026 sur une demande de suspension du décret n° 2025-1276 du 19 décembre 2025 relatif aux obligations déclaratives et de diligence imposées aux prestataires de services sur crypto-actifs. La requête avait notamment été portée par Paymium et d’autres opérateurs du secteur.
Le contentieux est important car il place au premier plan la tension entre deux impératifs : la prévention de la fraude fiscale et la protection des données personnelles des utilisateurs de services crypto.
Quelles obligations étaient contestées ?
Les requérants critiquaient notamment les obligations de collecte, de traitement, de vérification, de conservation et de transmission de données relatives aux utilisateurs et à leurs opérations. Ils invoquaient le RGPD, la Charte des droits fondamentaux de l’Union européenne et le droit au respect de la vie privée.
Ils soutenaient également que le décret pouvait accroître les risques liés à la centralisation de données particulièrement sensibles sur les transactions en crypto-actifs.
Le Conseil d’État rejette la suspension pour défaut d’urgence
Le juge des référés n’a pas validé sur le fond l’ensemble du dispositif. Il a rejeté la demande parce que la condition d’urgence exigée par l’article L. 521-1 du code de justice administrative n’était pas satisfaite.
La décision est donc importante à lire avec précision : elle ne tranche pas définitivement la légalité du décret au regard du RGPD ou du droit de l’Union. Elle signifie seulement que les conditions du référé-suspension n’étaient pas réunies à ce stade.
Quelles conséquences pratiques pour les PSCA ?
En l’état, les opérateurs concernés doivent donc continuer à préparer et exécuter leurs obligations déclaratives. Ils ne peuvent pas se fonder sur ce contentieux pour suspendre la collecte ou la transmission des données imposées par les textes applicables.
Cette mise en conformité doit toutefois être documentée au regard du RGPD. Les acteurs doivent notamment s’interroger sur :
- la base juridique des traitements ;
- les catégories de données collectées ;
- la durée de conservation ;
- les mesures de sécurité appliquées aux données financières et transactionnelles ;
- l’information des utilisateurs ;
- les transferts et destinataires des données ;
- la nécessité éventuelle d’une analyse d’impact.
Fiscalité, MiCA et RGPD doivent être traités ensemble
Le secteur des crypto-actifs est désormais soumis à une superposition de réglementations : MiCA, lutte contre le blanchiment, obligations fiscales et RGPD. Une conformité traitée séparément par service peut créer des contradictions internes.
Par exemple, une obligation de conservation imposée par un texte fiscal doit être correctement articulée avec les principes de limitation de la conservation prévus par le RGPD. De même, les procédures de connaissance client et de surveillance des transactions doivent être documentées en cohérence avec les obligations d’information des personnes.
Un risque contentieux qui ne disparaît pas
Le rejet du référé ne met donc pas fin aux interrogations de fond sur la proportionnalité du dispositif. Les opérateurs doivent continuer à suivre les éventuels recours au fond et les futures positions des autorités européennes et nationales.
Le cabinet accompagne les acteurs crypto dans leurs démarches réglementaires et leurs procédures de conformité. Voir notamment notre page Avocat pour agrément PSCA.
Source : Conseil d’État, juge des référés, 14 septembre 2026, n° 519158.
