Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement sur les marchés de crypto-actifs, et modifiant la directive (UE) 2019/1937

(Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

(2021/C 337/03)

La Commission européenne a adopté le 24 septembre 2020 une proposition de règlement sur les marchés de crypto-actifs, et modifiant la directive (UE) 2019/1937 (la «proposition»). La proposition établit des exigences de transparence et de divulgation pour l’émission et l’admission à la négociation de crypto-actifs; des règles relatives à l’autorisation et à la surveillance des prestataires de services sur crypto-actifs, des émetteurs de jetons se référant à des actifs et des émetteurs de jetons de monnaie électronique; réglemente le fonctionnement, l’organisation et la gouvernance des émetteurs de jetons se référant à des actifs, des émetteurs de jetons de monnaie électronique et des prestataires de services sur crypto-actifs; et prévoit des règles pour la protection des consommateurs dans le cadre de l’émission, de la négociation, de l’échange et de la conservation de crypto-actifs, ainsi que des mesures visant à prévenir les abus de marché afin de garantir l’intégrité des marchés des crypto-actifs.

Le CEPD rappelle la nécessité d’une réflexion plus large sur la manière de mieux garantir que la technologie sous-jacente des crypto-actifs, à savoir le respect par la chaîne de blocs et les registres distribués des règles et principes de protection des données, et renvoie à cet égard aux observations générales formulées dans son avis sur la proposition sur un régime pilote pour les infrastructures de marché reposant sur la technologie des registres distribués (DLT) et réaffirme la nécessité qu’une telle discussion ait lieu avant l’entrée en vigueur de la ou des propositions concernées.

Dans le même temps, le CEPD souligne la responsabilité du législateur de l’UE de veiller à ce que le traitement qui découlerait de la proposition puisse être mis en œuvre dans le respect de la législation en matière de protection des données, ainsi que la responsabilité des responsables du traitement de garantir la conformité conformément au principe de responsabilité.

Le CEPD considère que les émetteurs de crypto-actifs seraient normalement des responsables du traitement au sens du RGPD, eu égard au projet des émetteurs et dans la mesure où ce dernier implique le traitement de données à caractère personnel. Afin de renforcer la sécurité juridique, le CEPD invite le législateur à désigner explicitement les émetteurs comme responsables du traitement dans la proposition. En outre, le traitement des données à caractère personnel peut répondre à deux ou plusieurs des critères qui indiquent que le traitement est susceptible d’entraîner un risque élevé au sens de la législation en matière de protection des données. Par conséquent, l’émetteur de crypto-actifs peut être soumis à l’obligation, en vertu de l’article 35 du RGPD, de réaliser une analyse d’impact sur la protection des données (AIPD), avant d’amorcer le traitement envisagé des données à caractère personnel.

Le CEPD se félicite de l’objectif de la proposition de renforcer la protection des consommateurs en tant qu’acheteurs de crypto-actifs (investisseurs). Dans le même temps, le CEPD estime que la proposition devrait également inclure l’obligation pour les émetteurs de mettre particulièrement en évidence certaines garanties concernant la protection des données afin de mieux protéger les personnes concernées. Le CEPD recommande d’inclure dans la proposition, au titre des informations à fournir comme contenu du livre blanc sur le crypto-actif, des informations concernant les opérations de traitement prévues impliquant des données à caractère personnel, ainsi que les principaux risques envisagés et les stratégies d’atténuation pour ce qui concerne la protection des données.

En ce qui concerne la publication de sanctions administratives, le CEPD recommande d’inclure, parmi les critères à prendre en considération par l’autorité compétente, l’incidence sur la protection des données à caractère personnel des individus. En outre, le CEPD rappelle que le principe de limitation de la conservation des données exige que les données à caractère personnel soient conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées, et recommande de fixer une période de conservation des données maximale plutôt que minimale au titre de l’article 95, paragraphe 4, de la proposition.

1. Contexte

1. La Commission européenne a adopté, le 24 septembre 2020 une proposition de règlement sur les marchés de crypto-actifs, et modifiant la directive (UE) 2019/1937 (la «proposition») ( 1 ) . Cette proposition est un cadre réglementaire élaboré pour réglementer les crypto-actifs ne s’inscrivant pas actuellement dans le champ d’application et leurs prestataires de services dans l’UE et pour fournir un régime d’agrément unique dans tous les États membres d’ici à 2024. Elle vise à harmoniser le cadre européen pour l’émission et la négociation de divers types de crypto-jeton dans le cadre de la stratégie en matière de finance numérique pour l’Europe.

2. Cette proposition fait partie du train de mesures sur la finance numérique, lequel vise à libérer et à renforcer encore davantage le potentiel que la finance numérique peut offrir sur le plan de l’innovation et de la concurrence, tout en limitant les risques. Le train de mesures sur la finance numérique prévoit une nouvelle stratégie en matière de finance numérique pour le secteur financier de l’UE ( 2 ) , de manière à faire profiter les entreprises et les consommateurs européens des avantages de la finance numérique. Le train de mesures prévoit également, outre la présente proposition, une proposition de régime pilote pour les infrastructures de marché reposant sur la technologie des registres distribués (DLT) (la «proposition de régime pilote») ( 3 ) , une proposition sur la résilience opérationnelle numérique(«DORA») ( 4 ) , et une proposition visant à clarifier ou à modifier certaines règles connexes de l’Union sur les services financiers ( 5 )

3. Le CEPD a été consulté sur la proposition relative au régime pilote et a rendu son avis le 23 avril 2021 ( 6 ) . Il a également été consulté sur la proposition relative à la résilience opérationnelle numérique le 29 avril 2021 et a rendu son avis le 10 mai 2021 ( 7 )

4. Le 29 avril 2021, la Commission européenne a demandé au CEPD d’émettre un avis sur la proposition, conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725. Ces observations se limitent aux dispositions pertinentes de la proposition en matière de protection des données.

4. Conclusions

À la lumière de ce qui précède, le CEPD:

— rappelle la nécessité d’une réflexion et d’un débat plus larges, qui ne soient pas uniquement liés aux crypto-actifs, sur la question de savoir comment faire en sorte que la technologie sous-jacente des crypto-actifs, à savoir la chaîne de blocs et les registres distribués, respecte de la manière la plus efficace possible les règles et les principes en matière de protection des données, et réaffirme la nécessité que ce débat ait lieu avant l’entrée en vigueur de la ou des propositions pertinentes;

— recommande de désigner explicitement les émetteurs en tant que responsables du traitement afin d’éviter tout problème éventuel d’interprétation dans l’évaluation de ce rôle, compte tenu notamment de la complexité de l’objet de la proposition et des relations entre les acteurs concernés;

— recommande d’inclure dans les articles 5, 17 et 46 de la proposition, au titre des informations à fournir comme contenu du livre blanc sur le crypto-actif, les éléments suivants: «le cas échéant, la liste des opérations de traitement prévues impliquant des données à caractère personnel, ainsi que les principaux risques envisagés et les stratégies d’atténuation pour ce qui concerne la protection des données»;

— en ce qui concerne la publication des sanctions administratives, le CEPD recommande d’inclure, parmi les critères à prendre en considération par l’autorité compétente, les risques pour la protection des données à caractère personnel des individus, et de remplacer la période minimale de conservation des données prévue à l’article 95, paragraphe 4, d’«au moins cinq ans» par une période maximale spécifiée de conservation des données;

— en ce qui concerne la coopération administrative entre les autorités compétentes, l’ABE et l’AEMF, ainsi que la coopération avec les autorités de surveillance des pays tiers, le CEPD recommande d’envisager la suppression de la référence au RPDUE à l’article 108, paragraphe 3, étant donné la référence «horizontale» à l’applicabilité du RPDUE faite à l’article 88, paragraphe 2, de la proposition.

Bruxelles, le 24 juin 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Proposition de règlement du Parlement européen et du Conseil sur les marchés de crypto-actifs, et modifiant la directive (UE) 2019/1937, 24 septembre 2020 – 2020/0265 (COD).

(2) Communication de la Commission au Parlement européen, au Conseil européen, au Conseil, à la Banque centrale européenne, au Comité économique et social européen et au Comité des régions intitulée «Une stratégie en matière de finance numérique pour l’UE», 24 septembre 2020 – COM(2020) 591.

(3) Proposition de règlement du Parlement européen et du Conseil sur un régime pilote pour les infrastructures de marché reposant sur la technologie des registres distribués – COM(2020) 594.

(4) Proposition de règlement du Parlement européen et du Conseil sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) no 1060/2009, (UE) no 648/2012, (UE) no 600/2014 et (UE) no 909/2014 – COM(2020)595.

(5) Proposition de directive du Parlement européen et du Conseil modifiant les directives 2006/43/CE, 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 - COM(2020)596.

(6) Avis 6/2021 sur la proposition relative à un régime pilote pour les infrastructures de marché reposant sur la technologie des registres distribués, disponible à l’adresse suivante: https://edps.europa.eu/system/files/2021-06/2021-0219_d0912_opinion_on_pilot_regime_for_market_infrastructures_en.pdf.

(7) Avis 7/2021 sur la proposition de règlement sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) no 1060/2009, (UE) no 648/2012, (UE) no 600/2014 et (UE) no 909/2014, disponible à l’adresse suivante: https://edps.europa.eu/system/files/2021-05/2021-0203_d0943_opinion_digital_operational_resilience_for_the_financial_sector_en.pdf