La structuration juridique et fiscale des DAO, ces organisations autonomes décentralisées du Web3

Pas de DAO sans smart contracts, pas de contrats intelligents sans blockchain, pas de chaînes de blocs sans Web3 (décentralisé). Mais, outre la qualification d’« établissement stable », gare à l’optimisation fiscale des DAO en créant une société et une association, afin d’éviter la double peine.

Par Axel Sabban, avocat associé, Chérine Hosny, avocate collaboratrice, Arnaud Touati, avocat associé, Law for Code*

La Decentralized Autonomous Organization (DAO), ou organisations autonomes décentralisées, repose sur les principes de décentralisation et d’automatisation, rendus viables par Satoshi Nakamoto, le créateur pseudonyme du protocole Bitcoin et de sa monnaie éponyme (1). Ce nouveau type d’organisation est possible grâce à l’agrégat novateur de technologies ayant permis l’émergence de la cryptomonnaie bitcoin et, notamment, les smart contracts (2).

Smart contracts, contrats intelligents ?
Non, plutôt des lignes de code informatique permettant d’assurer, si certaines conditions prédéterminées sont remplies, l’exécution automatique d’instructions sur une blockchain, ou chaîne de blocs : validation de décisions de gouvernance, création de nouveaux actifs, transferts de tokens, … Les possibilités sont aussi impressionnantes que la créativité de ce secteur le permet. L’intérêt de ces programmes réside dans la possibilité – sans recourir aux formalités des actes exécutoires ou à l’intervention des autorités – d’assurer l’effectivité des paiements, cautions, votes, confidentialités ou, plus généralement, minimiser les risques de non-exécution des contrats, qu’ils soient volontaires ou involontaires. Les DAO, dont le fonctionnement est largement automatisé, mais nécessitant malgré tout une intervention humaine décentralisée, du moins théoriquement, sont des organisations transfrontalières. Elles ont été imaginées au départ comme étant des organisations décentralisées à but non lucratif (3).
Une DAO est une entité décentralisée gérée par des membres qui détiennent des jetons de gouvernance émis par son protocole, le smart contract. Les membres ne sont pas des personnes, mais des adresses de portefeuille, enregistrées dans la blockchain. Une adresse peut être détenue par une ou plusieurs personnes, et une seule personne peut détenir plusieurs adresses. L’identité des personnes détenteurs des adresses est pseudonymisée (4). Le jeton peut être un actif fongible ou non fongible selon le choix des fondateurs. Bien qu’il soit principalement conçu pour voter sur les propositions de la gouvernance, ce token est librement cessible, sauf précision contraire dans le smart contract, et possède une valeur monétaire. Même avec une décentralisation technologique, il est possible qu’un petit groupe de membres exerce un contrôle sur le projet, dès lors qu’ils détiennent un nombre suffisant de jetons pour décider de facto l’issue des votes (5).
En outre, l’automatisation de certaines DAO n’est pas absolue, une intervention humaine reste souvent indispensable. Bien que les DAO présentent de nombreux avantages, elles ne sont pas sans risques, dont notamment la possibilité de caractériser une « société créée de fait » entre ses membres les plus impliqués. Pour éviter ce risque, certains projets créent une entité juridique, en général à l’étranger, pour bénéficier d’une législation plus avantageuse. Cependant, cette option n’est pas sans risque, car elle peut conduire à la caractérisation, dans certains cas, d’un « établissement stable en France ». Une société créée de fait est une société qui ne remplit pas les conditions de forme requises par les textes légaux, mais qui résulte du comportement des personnes qui collaborent sur le projet en se comportant entre elle et vis-à-vis des tiers comme de véritables associés. Selon la loi française, une « société créée de fait » peut être caractérisée lorsque les trois éléments suivants sont réunis dans les faits : la participation de deux ou plusieurs personnes aux apports (fonds ou travail) ; leur participation à la direction du projet ; et leur intention de partager le résultat. De par son mode de fonctionnement, il est possible d’assimiler une DAO à une société de fait créée en France.

Qualification « société créée de fait »
Lorsqu’elle est retenue, la qualification d’une société créée de fait pourrait entraîner des conséquences particulièrement contraignantes. Sur le plan fiscal, les bénéfices de l’exploitation sont imposables au nom de chaque « associé » pour la part correspondant à ses droits (6). Ces bénéfices sont imposables au titre de l’année de leur réalisation par la DAO, même en cas d’absence de distribution effective aux membres. Sur le plan juridique, les membres « associés » seront tenus comme solidairement responsables des actes de la DAO. Cependant, cette assimilation ne doit pas être systématiquement appliquée à toutes les DAO, notamment lorsque les membres ne cherchent pas à partager ensemble le résultat de l’exploitation du protocole. Pour le moment, il n’existe pas de forme d’entité légale transnationale permettant de reconnaître les DAO comme organisations internationales (7). Les membres de DAO peuvent ainsi être tentés d’immatriculer une entité, également appelée « legal wrapper » (« enveloppe juridique »), dans une juridiction offrant une législation plus avantageuse. Certaines législations ont créé de nouveaux types d’entités juridiques nationales destinées à permettre l’immatriculation directe des DAO au sein de leur juridiction, comme le Vermont (8), le Wyoming (9) et Malte (10).

Caractérisation d’un « établissement stable »
D’autres pays ne disposant pas de réglementation spécifique pour les DAO bénéficient toutefois de systèmes fiscaux ou réglementaires avantageux. La Suisse, les Îles Caïmans, les Îles Marshall et Singapour proposent ainsi des options attrayantes pour l’« incorporation » d’un legal wrapper d’une DAO. Toutefois, le choix de lieu d’immatriculation n’est pas complètement laissé à la discrétion des membres. Si la direction de l’entité ou une partie significative de l’équipe opère sur le territoire français, les bénéfices réalisés restent sujets à l’impôt français dès lors que l’une des conditions de caractérisation d’un « établissement stable en France » est remplie : l’activité est exploitée en France ; les opérations sont réalisées en France par l’intermédiaire de représentants n’ayant pas de personnalité professionnelle indépendante ; ou encore les opérations effectuées en France y forment un cycle commercial complet. Il en résulte que la simple création d’une société dans une juridiction à l’étranger et le fait d’y loger quelques membres ou moyens d’exploitation ne suffisent pas pour échapper à la législation française, peu importe que la société soit en parfaite conformité avec la législation du pays de l’immatriculation. La qualification d’un « établissement stable en France » emportera l’imposition des profits rattachés à l’établissement stable à l’impôt sur les sociétés (IS) français, ainsi que l’application d’une retenue à la source sur les revenus considérés comme distribués à la société étrangère (11).
Afin de bénéficier de l’exonération des impôts commerciaux, certains optent pour la création de deux structures en France : une entité à but non lucratif (association de loi 1901) et une société commerciale. Ce modèle n’est pas sans risque, surtout lorsque l’association est utilisée comme véhicule d’optimisation fiscale pour loger les actifs de la DAO tout en finançant, indirectement, la société commerciale par le biais de la facturation des prestations techniques. En vue de bénéficier du caractère non lucratif et être exonérée des impôts commerciaux, l’association doit impérativement respecter certaines conditions : son but ne doit pas consister en la répartition de bénéfices entre ses membres ; sa gestion doit être désintéressée (les dirigeants ne doivent pas bénéficier directement ou indirectement du résultat de l’exploitation) ; la rémunération des dirigeants ne doit pas dépasser certains seuils (12) ; l’association ne doit pas entretenir des relations privilégiées avec des sociétés commerciales, et ne doit pas concurrencer le secteur lucratif. Si le développement du protocole de la DAO par l’association vise à permettre aux fondateurs de s’enrichir directement via la facturation des prestations techniques réalisées par des sociétés commerciales qu’ils détiennent, ou indirectement grâce à l’appréciation en valeur du token distribué par la DAO (13) cela peut caractériser l’exercice d’une activité lucrative, remettant ainsi en cause l’exonération des impôts. Cela conduira à une double peine : le résultat de l’association sera imposé, mais les membres ne pourront pas en partager les fruits. Quelle approche pour la structuration des DAO ? La structuration de la DAO doit avant tout prendre en considération l’objectif recherché par les fondateurs. Lorsque l’intervention humaine est importante, le risque de caractérisation d’une société créée de fait est élevé. Les membres doivent donc privilégier la création d’une entité juridique, pour protéger leur responsabilité tout en optimisant l’imposition des revenus générés. Si, en revanche, le projet est complètement décentralisé et automatisé, comme pour le protocole Bitcoin, l’immatriculation d’une entité juridique peut ne pas être nécessaire. Malgré la tentation de recourir au « forum shopping » afin d’échapper à la législation française, les membres doivent prendre garde, surtout si la direction ou l’exploitation est effectivement réalisée en France. Dans un tel cas, l’administration fiscale est en mesure de caractériser l’existence d’un « établissement stable en France », et de tirer toutes les conséquences sur le plan fiscal et juridique. Cependant, il est possible de créer plusieurs entités, avec une société en France et une ou plusieurs sociétés à l’étranger, si l’exploitation est organisée d’une manière qui le permette.

Optimisation fiscale : éviter la double peine
Les membres doivent choisir une structure juridique adaptée à l’activité. Il est déconseillé de chercher une optimisation fiscale en créant une entité à but non lucratif s’ils envisagent d’exploiter une activité pour partager, directement ou indirectement, les bénéfices ou comme un fonds d’investissement. Dans un tel cas, c’est la double peine : la qualification d’une activité lucrative conduisant à l’imposition des bénéfices, et l’impossibilité de partager ces bénéfices entre les membres. En l’état, nous pensons que la combinaisons société commerciale et association doit être utilisée avec une extrême parcimonie et que d’autres modèles plus sécurisants pourraient rapidement émerger. @

* Law for Code est un groupement d’intérêt économique (GIE)
regroupant les cabinets d’avocats Hashtag Avocats et Revo
Avocats ainsi que le cabinet d’expertise comptable Earn.

Saisie de crypto-actifs et autres actifs numériques : plus de réactivité pour contrecarrer leur volatilité

La France est à l’avant-garde de la saisie de crypto-actifs, comme celle réalisée il y a dix ans maintenant, à l’occasion de la célèbre affaire « Silk Road » (achat-vente de drogues sur le darweb). Le législateur français a étendu la procédure « rapide et efficace » à tous les actifs numériques.

Par Richard Willemant*, avocat associé, cabinet Féral

La France fait figure de pays précurseur en matière de régulation des crypto-actifs, alors que le futur règlement européen MiCA (1) sur les marchés de crypto-actifs est encore un projet qui pourrait être adopté par le Parlement européen au mois d’avril 2023, sur une proposition de la Commission européenne datant de 2020. La loi française de 2019 sur la croissance et la transformation des entreprises, loi dite « Pacte » (2), a directement inspiré l’Union européenne (UE). Elle a instauré une réglementation des actifs numériques et une régulation de la profession de prestataires de services sur actifs numériques (PSAN).

Nécessité d’avoir recours à un PSAN
En France, les PSAN sont soumis à un régime d’enregistrement auprès de l’Autorité des marchés financiers (AMF). Ce dispositif vient en outre d’être renforcé par la loi « DDADUE » du 9 mars 2023 (3). La loi PACTE, elle, a introduit dans le code monétaire et financier (article L. 54-10-1) une définition des actifs numériques dont il existe deux catégories :
Les jetons (tokens) sont des biens incorporels représentant, sous forme numérique, un ou plusieurs droits pouvant être émis, inscrits, conservés ou transférés au moyen d’un dispositif d’enregistrement électronique partagé permettant d’identifier, directement ou indirectement, le propriétaire dudit bien (4) ;
Les crypto-actifs utilisés à des fins de paiement sont définis comme « toute représentation numérique d’une valeur qui n’est pas émise ou garantie par une banque centrale ou par une autorité publique, qui n’est pas nécessairement attachée à une monnaie ayant cours légal et qui ne possède pas le statut juridique d’une monnaie, mais qui est acceptée par des personnes physiques ou morales comme un moyen d’échange et qui peut être transférée, stockée ou échangée électroniquement ».
Concrètement, les actifs numériques – dont les cryptomonnaies les plus connues bitcoin, ethereum et autres altcoins, ainsi que les jetons non fongibles NFT (Non-Fungible Token) – sont émis, stockés et échangés en utilisant la technologie blockchain (chaîne de blocs) et un réseau de communications électroniques, sans intermédiation par un tiers de confiance étatique ou institutionnel, sachant qu’il est quand même nécessaire d’avoir recours à un PSAN. Pour autant, les actifs numériques sont des biens incorporels saisissables et ils sont saisis ! La France s’est placée à l’avantgarde de ce type de saisie réalisée, dès l’année 2013, à l’occasion de la célèbre affaire d’achat-vente de drogues « Silk Road ». Les autorités françaises avaient alors saisi plus de 24.000 bitcoins, qui ont ensuite été vendus aux enchères, tandis que la justice américaine avait saisi 144.000 autres bitcoins, qui valaient environ 28 millions de dollars à l’époque et plus de 1 milliard de dollars aujourd’hui (5). En France, en une dizaine d’années, ce type de saisie en matière pénale s’est banalisé et leur occurrence a ainsi été multipliée de manière exponentielle, puisque l’Agence de gestion et de recouvrement des avoirs saisis et confisqués (AGRASC) procède désormais à plusieurs saisies pénales par semaine (6) La saisie des avoirs numériques criminels est devenue un outil essentiel de lutte et de sanction des infractions de droit commun et de cybercriminalité, relevant notamment de la criminalité astucieuse, en matière d’escroquerie, de blanchiment et de fraude fiscale, mais également de la grande criminalité en matière de trafic de stupéfiants et de financement du terrorisme.
Les exemples de saisie sont innombrables. En septembre 2020, les autorités françaises ont ainsi saisi près de 27 millions d’euros en crypto-actifs dans le cadre d’une enquête sur un réseau de financement du terrorisme (7). En janvier 2021, la justice française a procédé à la saisie de 600 bitcoins pour une valeur d’environ 25 millions d’euros dans le cadre d’une enquête sur un réseau de blanchiment (8). A l’étranger, les saisies se comptent souvent en centaines de millions, voire en milliards de dollars. La plus grande saisie de crypto-actifs de l’histoire à ce jour a certainement été réalisée par la justice américaine qui a annoncé en février 2022 être parvenue à saisir l’équivalent de 3,6 milliards de dollars dans le cadre de l’affaire « Bitfinex » relative à des détournements d’avoirs en cryptomonnaies (9).

Contrecarrer la volatilité des actifs numériques
Tous les actifs numériques présentent une même caractéristique : ils peuvent être dissipés, par un transfert, aussi rapidement, mais plus discrètement qu’une somme d’argent détenue sur un compte bancaire. Cette grande volatilité les rend plus difficile à appréhender, et ce d’autant que leur existence n’est pas toujours connue au début de l’enquête pénale. Leur découverte intervient plus souvent au cours des investigations (garde à vue, audition, perquisition, exploitation de matériels informatiques et téléphoniques saisis). Il existe alors un risque élevé de dissipation de ces avoirs criminels, car souvent les actifs numériques sont contrôlés par plusieurs personnes, ce qui permet à un tiers non mis en cause, mais connaissant l’existence de l’enquête de transférer ces actifs ou de procéder à des modifications de mots de passe des wallets (portes-monnaies numériques).

Maintien ou mainlevée : délai de dix jours
L’intervention des enquêteurs sur ces portefeuilles électroniques peut même déclencher des alertes et mécanismes automatiques de dissipation des actifs numériques. Le législateur français a pris conscience de l’urgence à agir dans une telle situation et a adapté le dispositif pénal français. Et ce, afin de rendre la saisie des actifs numériques aussi rapide et efficace, d’un point de vue juridique, que celles des fonds détenus sur un compte bancaire. Avant toute condamnation en manière pénale, le code de procédure pénale (articles 142 et suivants) autorisent le procureur de la République, le juge d’instruction ou, avec leur autorisation, l’officier de police judiciaire (OPJ) à faire procéder à la saisie d’un bien afin de garantir que la peine complémentaire de confiscation puisse être mise à exécution. Classiquement, celle saisie pénale peut porter sur des biens immobiliers ou des biens mobiliers, incluant des biens incorporels sur autorisation du juge de la liberté et de la détention (JLD) en cours d’enquête ou du juge d’instruction en cours d’information judiciaire – selon l’article 706-153 du code de procédure pénale.
Une procédure dérogatoire et allégée avait été introduite à l’article 706-154 du même code concernant la saisie de sommes d’argent en permettant à un OPJ de procéder à une telle saisie, sur autorisation du procureur ou du juge d’instruction, en instance un contrôle seulement a posteriori du JLD, à des fins de plus grande rapidité et efficacité, compte tenu de la volatilité des créances de sommes d’argent. Le JLD doit se prononcer dans les 10 jours de la saisie, sur son maintien ou sa mainlevée. Ce dispositif dérogatoire a été validé par le Conseil constitutionnel qui l’estime nécessaire et proportionné (10).
Le législateur français a récemment décidé d’étendre ce dispositif à la saisie des actifs numériques, afin de contrecarrer leur grande volatilité et donc la facilité pour les autres infractions de transférer ces crypto-actifs dans le but de les faire échapper à toute appréhension. En effet, l’article 3 de la loi d’orientation et de programmation du ministère de l’intérieur (LOPMI) du 24 janvier 2023 (n° 2023-22) a modifié l’article 706-154 du code de procédure pénale qui dispose désormais : « Par dérogation à l’article 706-153, l’officier de police judiciaire peut être autorisé, par tout moyen, par le procureur de la République ou par le juge d’instruction à procéder, aux frais avancés du Trésor, à la saisie d’une somme d’argent versée sur un compte ouvert auprès d’un établissement habilité par la loi à tenir des comptes de dépôts ou d’actifs numériques mentionnés à l’article L. 54-10-1 du code monétaire et financier. Le juge des libertés et de la détention, saisi par le procureur de la République, ou le juge d’instruction se prononce par ordonnance motivée sur le maintien ou la mainlevée de la saisie dans un délai de dix jours à compter de sa réalisation ».
Ce nouveau fondement juridique a été très positivement accueilli par les autorités d’enquête et de poursuite en France. S’il facilite la saisie des actifs numériques sur le plan procédural, ce nouveau texte n’apporte cependant pas de solution à la plus grande complexité de ce type de saisie en pratique. Les opérations de saisie de crypto-actifs doivent en effet être réalisées sur des portefeuilles que l’AGRASC a ouverts auprès de PSAN pour chacune des cryptomonnaies correspondantes.
Lorsque la saisie porte sur des actifs numériques détenus à l’étranger, les opérations supposent d’avoir recours au dispositif d’entraide judiciaire international, ce qui entraîne de longs délais et ne permet pas réellement d’atteindre l’objectif d’efficacité. Ceci n’empêche pas l’AGRASC de réaliser de plus en plus de saisie de crypto-actifs en matière pénale, étant précisé qu’une telle saisie est également possible en matière civile sur le fondement des articles R. 231-1 et suivants du code de procédure civile d’exécution.
L’ensemble de ces dispositifs est tout à fait conforme aux droits fondamentaux. En effet, s’agissant de la procédure de saisie spéciale précitée, la Cour de cassation a, par un arrêt du 3 février 2021, refusé de soumettre à l’appréciation du Conseil constitutionnel une question prioritaire de constitutionnalité (QPC).

Respect de la présomption d’innocence
La Cour de cassation considère en effet que ce type de saisie spéciale et urgente n’entraîne « aucune dépossession des fonds qu’elle a pour seul effet de rendre indisponibles et doit être maintenue ou levée dans les dix jours » par un juge. La haute juridiction juge que « les dispositions législatives contestées concilient, avant toute déclaration de culpabilité, l’efficacité de la lutte contre la fraude, objectif à valeur constitutionnelle, avec le droit de propriété, la présomption d’innocence et les droits de la défense constitutionnellement garantis » (11). @

* Richard Willemant, avocat associé directeur
du cabinet Féral, est avocat aux barreaux de Paris
et du Québec (agent de marques – mandataire
d’artistes et d’auteurs), délégué à la protection des
données (DPO), médiateur accrédité par le barreau
du Québec, responsable du Japan Desk de Féral,
et cofondateur de la Compliance League.

La blockchain se voit comme le futur proche du Web

En fait. Du 22 au 24 mars a eu lieu la 4e Paris Blockchain Week (PBW) au Carrousel du Louvre à Paris et au Westin Paris Vendôme, organisé par la société Chain Of Events, présidée par Michael Amar. Cet événement est devenu le rendez-vous international de l’industrie de la blockchain. Du Web2 au Web3.

En clair. C’est comme si se déroulait un passage de relais entre le Web2 et le Web3. Google, Amazon, Meta, Microsoft ou encore Orange venus de l’« ancien monde » y ont côtoyé Ripple, The Sandbox, Binance, Coinbase, Solana, Ledger, Sorare ou encore Circle issus, eux, du « nouveau monde ». La 4e Paris Blockchain Week (avec ses Blockchain Summit, Web3XP, Talent Fair et Investors Day) a mobilisé plus de 400 intervenants, dont le ministre délégué chargé de la Transition numérique et des Télécommunications, Jean-Noël Barrot, et attiré plus de 10.000 participants.
Alors que les IA génératives (ChatGPT/Dall-E 2 d’Open AI, Bard de Google, Stability AI de Stable Diffusion, …) défraient la chronique depuis décembre dernier, balayant au passage la hype des métavers (1), le Web3, la blockchain et ses crypto-actifs (lire aussi p. 8 et 9) tentent de reprendre le dessus. Et de redonner confiance avec une régulation en construction. Ce qui est loin d’être évident pour ce nouvel écosystème en formation qui a été confronté au second semestre 2022 à un « hiver crypto » (2), anxiogène et décrédibilisant. Certes, depuis le début de l’année, la cryptosphère est à nouveau en croissance. Après avoir atteint le 22 novembre 2022 son point le plus bas durant le dernier cryptokrach, à 15.782 dollars l’unité, le bitcoin mène la danse d’une remontada et a atteint le 22 mars dernier 28.184 dollars – soit une hausse plus de 70 % depuis le 1er janvier où le bitcoin était à 16.547 dollars (3). Selon CoinMarketCap, la capitalisation boursière mondiale du marché des crypto-actifs – incluant cryptomonnaies, « stablecoin » (cryptos dites stables car indexées sur une devise comme le dollar ou l’euro soumise à une autorité monétaire) ou encore NFT (tokens ou jetons non fongibles) – s’élève au 22 mars à 1.18 trillion de dollars (1.180 milliards de dollars). Cela fait une remondata de 48 % depuis le 1er janvier où la capitalisation était de 794 milliards de dollars (4).
Mais la volatilité de ces actifs numériques est telle que la moindre faillite financière – comme celle de la banque américaine Silvergate, réputée « crypto-addicte » – tire à la baisse les crypto-actifs. La banqueroute en novembre 2022 de FTX, l’une des principales crypto-bourses, suivie par celle de BlockFi, puis de Genesis en janvier 2023 ont été des coups de semonce, sans parler de l’effondrement en mars 2023 de la Silicon Valley Bank (SVB). @

Blockchain et RGPD : relations complexes, surtout lorsqu’il s’agit du traitement des données

La protection des données personnelles et la blockchain sont souvent vues comme incompatibles. Pourtant, les réflexions en cours permettent de nuancer, même si les droits des personnes (comme le droit à l’oubli) ou la question de la responsabilité (dans un monde décentralisé) restent à définir.

Par Arnaud Touati, avocat associé, Hashtag Avocats, et Benjamin Allouch, consultant*.

Le 25 mai 2018, le règlement général sur la protection des données (RGPD) est entré en application (1). Ce règlement européen, présenté comme le texte juridique le plus abouti en matière de protection des données à caractère personnel, s’applique dès que l’on utilise des données personnelles à des fins professionnelles. Il s’impose à tous, des autoentreprises aux institutions publiques, en passant par les sociétés commerciales. Le RGPD est également applicable dans le monde entier, si tant est que l’entité concernée utilise des données appartenant à des résidents de l’Union européenne (UE).

Blockchain et RGPD en chiens de faïence ?
Le 3 janvier 2009, le premier bloc de bitcoins est créé, selon son créateur anonyme Satoshi Nakamoto et auteur de l’article fondateur publié deux mois plus tôt (2), pour répondre aux dérives de la crise financière de 2008. Bitcoin, c’est notamment une transparence absolue des transactions, conservées ad vitam aeternam, dans « un système peer-to-peerde monnaie électronique ». Dès lors, comment conjuguer deux principes de prime abord antagonistes ? Comment protéger les données personnelles au sein d’une technologie où tout est transparent ? Comment garantir certains droits des personnes quand les données ne peuvent pas être effacées ? D’aucuns ont alors conclu à une incompatibilité entre la blockchain et le RGPD. Pourtant, s’il existe certainement des difficultés, la blockchain comme le RGPD peuvent s’adapter pour coopérer. Petit tour d’horizon des conflits relevés et des adaptations trouvées. Avant l’entrée en vigueur du RGPD, la législation sur la protection des données souffrait d’un manque de clarté quant à la répartition des rôles de chaque acteur. En outre, la responsabilité de certains d’entre eux était pour le moins incertaine. Aujourd’hui, le rôle de chacun et leurs responsabilités corrélatives sont clairement définis.
Il y a tout d’abord le responsable du traitement, soit l’entité qui « détermine les finalités et les moyens du traitement ». En d’autres termes, les données sont collectées pour l’activité du responsable du traitement. Ce sont par exemple les données des salariés d’une entreprise dans le cadre de sa gestion des ressources humaines. Il y a ensuite le soustraitant, lequel agit « au nom et pour le compte du responsable du traitement ». Autrement dit, il assiste son client dans la collecte des données ou à y accéder une fois collectées. C’est typiquement le cas d’un éditeur de logiciel, qui permet à son client de les consulter.
Et la blockchain dans tout ça ? Pour une bonne application du RGPD, il convient – même dans cette industrie décentralisée – de déterminer le rôle de chacun. Pour une entité centralisée, le procédé est plutôt aisé. Ainsi, une plateforme d’échange d’actifs numériques sera assimilée à un responsable du traitement pour les données de ses clients, voire de ses salariés si l’entreprise est basée sur le territoire de l’UE. Il en va de même, par exemple, pour les données de prospection commerciale. Mais qu’en est-il des applications décentralisées ? Déterminer son rôle est difficile. C’est le cas lorsqu’un protocole de finance décentralisée est lancé par un groupe de développeurs qui a, ensuite, le contrôle uniquement pour y effectuer de la maintenance. Peut-on considérer que, par exemple, Uniswap Labs – l’entité derrière le protocole Uniswap – est responsable du traitement des données ? Ou est-elle davantage sous-traitante des blockchains, comme Ethereum, qui tournent sur son protocole ? Derrière la question de la détermination du rôle de chacun, se cache invariablement celle, épineuse, de la responsabilité encourue.
La responsabilité d’une plateforme centralisée ne se pose pas, puisqu’il s’agit d’une entreprise avec des organes de direction précisément identifiés. En revanche, pour ce qui concerne les applications décentralisées et les acteurs qui construisent un protocole, la question est bien plus complexe. Prenons l’exemple d’un assureur qui aurait « blockchainisé » l’un de ses produits. L’octroi d’une indemnisation dépend non pas d’un humain, mais d’un algorithme, en l’occurrence un smart contract dans le langage « blockchain » (3). Qui serait alors considéré comme le sous-traitant ? Les développeurs ou l’éventuelle entité de la blockchain utilisée ?

Responsabilité dans un monde blockchainisé
Le RGPD exige du sous-traitant qu’il agisse en fonction des instructions écrites de son client. Or, si l’assureur utilise un protocole existant, ce dernier n’agira pas en fonction des instructions de son « client », puisqu’il est théoriquement le même pour tous. En outre, en cas de manquement au RGPD, comment rendre responsables les développeurs d’un protocole ? Ces questions restent, pour l’heure, sans réponse… En théorie, la blockchain est publique, transparente et accessible à tous. Cela signifie que n’importe qui peut avoir accès aux données. En pratique, cette transparence ne sera pas pour autant absolue. Il en va notamment des données médicales, dont l’accès sera protégé. Ainsi, si la donnée est visible dans la blockchain, elle n’est pas pour autant aisément accessible et fait l’objet d’un chiffrement, dont seule la personne concernée possède la clé de déchiffrement. Cependant, quid des données brutes et accessibles à tous ?

Quid des droits des personnes ?
En théorie, toujours, la blockchain est immuable. Ainsi, les données ne peuvent ni être modifiées ni même effacées. Or, l’article 17 du RGPD instaure un droit à l’effacement (4), que l’on appelle plus communément « droit à l’oubli » (5). Comment concilier ce droit à l’effacement avec l’immutabilité de la blockchain ? A priori, cela paraît impossible. Pourtant, la réalité diffère… D’une part, l’immutabilité de la blockchain (pas de retour en arrière possible) est issue du protocole Bitcoin et n’est pas un principe gravé dans le marbre. Grâce à un smart contract (non applicable à Bitcoin mais à d’autres protocoles), il est tout à fait possible de prévoir l’effacement de certaines données à une date précise. En outre, le droit à l’oubli luimême n’est pas absolu, puisque le RGPD prévoit des exceptions, notamment celle du droit à l’information. Enfin, la blockchain n’est pas nécessairement transparente. En effet, il existe des blockchains privées ou de consortium, qui ne sont accessibles qu’à un certain nombre d’individus précisément identifiés. Dans cette hypothèse, il s’agit simplement d’une base de données améliorée, qui répond aux mêmes exigences que les bases de données classiques. Si les dispositions du RGPD sont bien respectées, les données sont sécurisées et seules les personnes autorisées y ont accès.
Les personnes dont les données sont collectées peuvent exercer plusieurs droits distincts. Outre le droit à l’oubli, le droit d’accès, le droit d’opposition, le droit de rectification, le droit à la suppression ou encore le droit à la portabilité font partie de ce que l’on appelle les droits des personnes. Or, si le principe d’immutabilité de la blockchain n’est pas absolu, cela ne signifie pas que l’on peut y modifier aisément les données inscrites. Ainsi, le droit à la rectification des données inscrites dans la blockchain semble plus que complexe. En effet, chaque donnée d’une blockchain est conservée dans des blocs qui s’enchaînent chronologiquement, d’où son nom (chaîne de blocs). Ce faisant, pour modifier une donnée, il faudrait, en principe, en modifier l’ensemble du bloc, ce qui constituerait un travail d’envergure.
De même, le droit à la portabilité semble, à l’heure actuelle, impossible. La portabilité est la possibilité pour toute personne de solliciter le responsable du traitement aux fins de transférer l’ensemble de ses données à un autre responsable du traitement. Qu’est-ce que cela signifierait réellement dans la blockchain ? L’on pourrait imaginer le passage d’une plateforme centralisée à une autre. En l’espèce, cela serait possible, puisqu’il s’agit de données clients. En revanche, la portabilité entre différents protocoles décentralisés et différentes blockchains semble presque impossible. L’un des problèmes principaux des blockchains est effectivement l’interopérabilité entre elles. Or, faire passer des données entre, par exemple, le réseau Bitcoin et le réseau Ethereum est tellement complexe que personne ne s’essaierait à le faire. Toutefois, il existe des protocoles appelés « bridge », qui sont justement prévus pour permettre cette interopérabilité. Mais de là à faire passer un jeu de données d’un protocole à l’autre, c’est une autre histoire…
Au-delà même du droit des personnes, subsiste la question de la nature des données concernées. Pour la blockchain Bitcoin, la seule donnée personnelle présente est l’adresse publique… qui est une donnée pseudonymisée. Il en va de même pour la majorité des autres protocoles, qui, s’ils diffèrent de Bitcoin, reprennent ce principe de collecter un minimum de données personnelles, à l’exception de l’adresse IP pour certains. Ainsi, l’exercice du droit d’opposition est impossible pour de telles données puisque refuser le traitement signifie tout simplement refuser d’utiliser le protocole en question. Encore une fois, nous en revenons toujours au même point : ce sont les plateformes centralisées qui conservent le plus de données personnelles, en raison notamment de la vérification d’identité, ou KYC (Know Your Customer) à effectuer. La question principale est donc celle de la prochaine articulation entre les protocoles décentralisés, le RGPD et le futur règlement européen TFR (Transfer of Funds Regulation). Ce dernier, bientôt en première lecture au Parlement européen (6), va effectivement obliger les plateformes d’échange à effectuer une vérification d’identité pour tout transfert vers les portefeuilles non hébergés.

Nécessaire souplesse dans l’interprétation
Or, à l’exception de l’adresse IP pour certains protocoles bien identifiés, aucune donnée personnelle n’est collectée à ce jour lors de la création de ces portefeuilles, comme ceux de l’entreprise française Ledger. Si tel est le cas à l’avenir, la collecte et la conservation des données devraient a priori respecter les dispositions du RGPD.
En définitive, il est envisageable de respecter les principes du RGPD, tout en utilisant la blockchain (7). Les marges d’appréciation sont importantes et le règlement dispose de nombreuses exceptions. Cela nécessite de la souplesse. Depuis le rapport de 2019 du Parlement européen (8), les réflexions dans ce domaine se poursuivent. Il ne faudrait cependant pas qu’une règlementation trop stricte retarde l’Europe par rapport aux Etats-Unis et à la Chine, comme cela l’a été pour le développement d’Internet dans les années 1990… Affaire à suivre ! @

* Benjamin Allouch est consultant indépendant Web3
et protection des données.

Devenue en cinq ans la plus grande bourse mondiale de cryptomonnaies, Binance mise sur la France

Binance, numéro un mondial des plateformes d’échange de cryptomonnaies, s’est fait pirater début octobre. Le Sino-Canadien Changpeng Zhao, son PDG cofondateur devenu milliardaire, aurait sans doute rêvé meilleur événement pour les cinq ans de sa licorne. Qu’à cela ne tienne, il accélère et compte sur Paris.

Quand la plus grande plateforme mondiale d’échange de cryptomonnaies se fait pirater, en plus du krach des bitcoin, ether, ripple et autres dogecoin de cet été, cela n’augure rien de bon dans l’esprit du public pour l’avenir des monnaies numériques. Surtout qu’elles sont censées être sécurisées et certifiées par leur blockchain, ces réseaux décentralisés, cryptés et capables d’authentifier la détention et les échanges d’actifs numériques. Ainsi, Binance – le numéro un mondial de cette finance décentralisée (DeFi (1)) – s’est fait « hacker » dans la nuit du 6 au 7 octobre 2022. Le pirate a pu s’emparer de l’équivalent de 100 millions voire 110 millions de dollars sur le demimilliard de dollars que celui-ci comptait détourner en BNB (2), la cryptomonnaie de Binance. Celle-ci fonctionne sur la blockchain Binance Smart Chain (BSC) depuis septembre 2020, après avoir été lancée comme token sur Ethereum il y a cinq ans, au moment du démarrage de la plateforme d’échange de cryptomonnaies. Plus de peur que de mal pour cette licorne sans frontières – la start-up Binance n’est pas (encore) cotée mais elle est valorisée 300 milliards de dollars (3) – qui a réalisé l’an dernier plus de 20 milliards de dollars de chiffre d’affaires (4).

Piratage de Binance : deux « exploits » inquiétants
La cyberattaque a été rapidement circonscrite par la « suspension temporaire » de la blockchain BSC et la faille identifiée sur « un pont à chaînes multiples » (5). La majorité des fonds ont été « gelés », mais l’hackeur s’est évaporé dans le cyberespace avec au moins 100 millions de dollars dérobés. « Le problème est maintenant maîtrisé. Nous nous excusons pour les désagréments et nous vous fournirons en conséquence d’autres mises à jour », a twitté le PDG de Binance, Changpeng Zhao (photo), le 7 octobre au petit matin (6). Cette déconvenue pour Binance laissera des traces, au-delà de la forte chute du cours du BNB qui fut au pire moment de – 7,5 % par rapport au niveau le plus haut du 6 octobre (7). Surtout que ce n’est pas la première fois que Binance se fait pirater : un précédent « exploit » (8) s’est produit en mai 2019, avec un vol de 7.000 bitcoins d’un montant à l’époque de 40 millions de dollars (9). De tels incidents font désordre pour la plus grande bourse de cryptomonnaies au monde en volume. Forte actuellement de ses 90 millions d’utilisateurs, la fintech des cryptos nourrit des ambitions planétaires sans précédent et son patron lance un véritable défi à tout la finance internationale.

Un total de 1 milliard d’investissements en 2022
Se surnommant « CZ », ce Sino-Canadien (né et ayant grandi en Chine avant d’avoir la nationalité canadienne) a cofondé Binance il y a cinq ans à Singapour avec Yi He (photo ci-contre) – aujourd’hui directrice marketing (CMO) et depuis début août en charge aussi de l’incubateur Binance Labs gérant 7,5 milliards de dollars d’actifs (10). Malgré les embûches, la crypto-exchange continue d’aller de l’avant pour conforter sa place de leader, loin devant son rival Coinbase (11), qui est, lui, coté à la Bourse de New-York, au Nasdaq. La licorne de CZ est devenue le fleuron du « capitalisme Web3 » et affiche déjà des pics d’activité impressionnants : jusqu’à 100 milliards de dollars échangés en 24 heures, soit jusqu’à 7.700 milliards dollars négociés sur une année ! De quoi donner le tournis, même aux plus aguerris du trading. Depuis 2018, CZ est milliardaire et aujourd’hui – à 45 ans depuis le 10 septembre – sa fortune atteint (au 14-10-22) 17,4 milliards de dollars (12).
Dans un entretien à l’agence Bloomberg (13), publié le 7 octobre, CZ affirme que Binance pourrait dépenser sur l’ensemble de l’année 2022 plus de 1milliard de dollars dans des acquisitions et des investissements. Le numéro un mondial de l’exchange de tokens veut faire des emplettes pour accroître ses activités dans la DeFi, les NFT, le métavers, les jeux vidéo ou encore le e-commerce. Or, depuis janvier, seulement 325 millions de dollars ont été dépensés dans quelque 67 projets. Si le milliard était atteint, cela représenterait sept fois les dépenses de l’année 2021. Et encore, cela ne prend pas en compte deux investissements très en vue : le plus important est le projet de participer à la prochaine acquisition de Twitter par Elon Musk, opération dans laquelle Binance prévoit d’injecter 500 milliards de dollars ; le second, déjà envisagé en février dernier mais reporté, consiste à investir 200 millions de dollars dans Forbes Media, l’éditeur américain du plus que centenaire magazine économique. Et ce, via une Spac (14) – sorte de « coquille vide » boursière permettant de lever des fonds en Bourse et baptisée Magnum Opus Acquisition.
La participation minoritaire dans Twitter pourrait se concrétiser dès que le patron de Tesla et de SpaceX aura jeté son dévolu sur la firme à l’oiseau bleu. Concernant Forbes Media et son projet d’introduction en Bourse accompagné par Binance, lequel apportait aussi son expertise dans les cryptomonnaie, la blockchain et le Web3 dans des contenus éditoriaux du célèbre titre (lu par 150 millions de personnes dans le monde), ce n’est que partie remise comme l’avait confirmé Forbes Media le 1er juin (15). Avec CoinMarketCap, le site web d’information de référence sur les cryptomonnaies et 543e site web le plus visité au monde avec 120 millions de visiteurs par mois (16), Binance a fait en avril 2020 sa première acquisition de taille. A qui le tour ? « Binance Labs gère actuellement des actifs pour un total de 7,5 milliards de dollars, ce qui en fait la plus grande société de capital de risque en cryptoactifs de l’industrie », déclare l’incubateur qui finance plus de 180 projets liés au Web décentralisé (blockchain) et à la crytographie. Autant de start-up dont certaines pourraient tomber dans son escarcelle. CZ se focalise notamment sur l’Europe et plus particulièrement sur la France où il a déclaré lors du Paris Blockchain Week Summit (PBWS) le 13 avril 2022 : « We love France » ! Il y a annoncé vouloir investir 100 millions d’euros en France justement, dans le cadre de son projet « Objectif Lune » (Moon Objective) lancé en novembre 2021, avec la bénédiction de Cédric O, alors secrétaire d’Etat chargé du Numérique, et le partenariat de l’incubateur de startup Station F créé par Xavier Niel (il y a cinq ans comme Binance). Et ce, au moment de la création de Binance France SAS domiciliée à Montrouge et présidée par David Prinçay. A l’instar de Binance US, l’entité distincte aux Etats-Unis (BAM Trading Services Inc., enregistrée dans le Delaware), la société française n’a pas de lien juridique avec Binance Asia Services (BAS) à Singapour. BAS a d’ailleurs dû fermer sa plateforme en février dans ce pays pour pivoter en hub de blockchain.
CZ avait indiqué au printemps qu’il avait choisi la France – à la crypto-régulation plus accueillante – comme « rampe de lancement pour l’Europe » et en faire de l’Hexagone « le coeur de la communauté crypto européenne ». CZ s’est ainsi « engag[é]à construire et soutenir un écosystème fort autour de la blockchain, du Web3 et des métavers » (17). Le mois suivant, le 4 mai dernier, Binance obtenait en France son statut de prestataires de services sur actifs numériques (PSAN), véritable sésame délivré par l’Autorité des marchés financiers (AMF). De là à faire de Paris la domiciliation de son futur siège social (européen ou mondial) voire la place financière de sa cotation en Bourse envisagée, il n’y aurait qu’un pas.

Paris, tête de pont pour l’Europe voire le monde
La fintech du Web3 a franchi une étape supplémentaire durant la Binance Blockchain Week (BBW) qui s’est tenue à Paris mi-septembre dernier, où Changpeng Zhao a rencontré Jean-Noël Barrot, le nouveau ministre délégué chargé de la Transition numérique et des Télécommunications (18). « Nous avons aujourd’hui 150 personnes à Paris et nous prévoyons d’en embaucher environ 200 autres d’ici la fin de l’année », a indiqué le Sino-Canadien, plus francophile que jamais. Selon nos informations, un directeur général de Binance France pourrait être recruté d’ici la fin de l’année. Durant ce même BBW dans la capitale française, Binance s’est constitué un conseil mondial d’experts (Global Advisory Board), présidé par Max Baucus, ancien sénateur américain et ambassadeur en Chine. Le haut fonctionnaire français Bruno Bézard, ancien directeur du Trésor à Bercy, en est un des membres. Après le crypto-krach du marché des cryptos, surnommé « l’hiver crypto », Binance – adoubé par la France – veut montrer pattes blanches aux régulateurs financiers du monde entier. @

Charles de Laubier