🚨DAC 8: que change la décision du Conseil d’État ? Avec Francis Pouliot

concernée qui est très significative, à la fois une grande probabilité de fuite de s'édonner dans la nature et des conséquences qui sont gravissimes parce que, contrairement au coeur de les arts, les doigts ne s'arkoucent pas très bien. C'est en termes de timeline aussi, T.O. donc nous, ça fait déjà donc la directive de Dacquette a été votée au Parlement européen, si je m'en rappelle bien en 2023 ou 2024 et en 2020. Oui, c'est ça. Et l'Europe a été laissée aux États membres une deadline, je pense, de la 31 de somme 2025 pour l'implementaire en droit national. Nous, on avait déjà décidé de supposer Dacquette bien avant l'implamentation de Dacquette dans le droit français qui a eu lieu, je pense, je pense, à 10 minutes, je pense, autour de Noël, en 2025. Et donc, on a commencé notre cours en février, donc, à peu près, un mois après, bien, en fait, Dic, Dic, ça a été transposé en droit national français, on a commencé à travailler sur le recours, on a déposé, je ne me trompe pas, à 20 février, ou quelque chose de genre, aux alentours de ça, ou 15 février. Et on le fait que le plus tôt possible parce que les rapports, les premiers rapports de Dacquette sont dues en juin 2027, si je ne me trompe pas, c'est ça, T.O. Les premières transmission d'information en France, c'est pour le 15 juin 2027. Après, dans d'autres pays, c'est pas exactement la même date, et je crois que les échanges d'information, c'est pour septembre, si je dis pas de bêtises. Oui, c'est ça, donc, donc, notre objectif, c'était bon, on regarde la timeline, une fois que c'est transposé en droit national français, on se dit qu'on a un à une demi pour faire invalider le décret de Dacquette en France, et on s'est dit, bon, ben, OK, on a commencé la précédent heure, mais vu l'urgence de la situation, on s'est dit, on va demander un référence suspension, afin de s'assurer que si jamais notre premier recours est pas conclu avant la date de transmission de rapports, au moins, on a eu une deuxième mesure pour, immédiatement, le suspendre. Donc, comme on l'expliquait, le référence suspension de vos conseils d'État, on avait à démontrer deux choses, je sais pas si c'était autre, tu pourrais élaborer la question, on avait à démontrer deux choses essentiellement. La première chose, c'était que, vraisemblablement, le décret est illégal, OK, donc, donc, c'est pas très vol. Et deuxièmement qu'il y avait une situation d'urgence et un dommage grave, donc, je ne sais pas si c'est pourrais être établir Theo, c'était quoi notre augmentation sur ces deux points-là? Et qu'est-ce que... En fait, aussi, et parler du référait du contenu spécifiquement, et aussi de la réponse. Donc, la réponse du conseil d'État, qui a été... Je ne dirais pas que c'est une surprise, parce qu'on est en 2020, on ne s'attend pas nécessairement à ce que les gouvernements soient très raisonnables. Donc, c'était excessément concernant, je pense, et c'était très frustrant de voir cette réponse. Mais bon, c'est sûr qu'on s'y attendait, on savait que c'était une possibilité. Donc, Theo, est-ce que tu pourrais élaborer la question aussi? Récarrément. Du coup, effectivement, quand on fait un ce genre de référait, donc, là, il faut démontrer que les arguments sur le fond sont recevables. Sur ce point-là, donc, on a pour désolé le répéter, mais on a une procédure de fond, donc où nos avocats et notre directrice juridique établissent des arguments pour finalement expliquer pourquoi cette loi n'a pas été passée selon les codes administratifs français, pourquoi est-ce qu'elle compte revient un certain nombre de législations tant au niveau national que au niveau européen. Donc, on ne va pas vous faire le détail, mais voilà, les arguments qui sont déjà connues du Conseil d'État. Et donc, si le Conseil d'État avait considéré que tout ça, c'était des fructes, ils auraient renvoyé le référence suspension lui-même sur la base du fait que notre argumentation de fonds de manière n'était pas suffisamment étéillée. La bonne nouvelle, c'est qu'ils n'ont pas fait ça, donc ça veut dire qu'ils considèrent que notre argumentation sur le fond n'est pas infondée. Ou en tout cas, c'est comme ça qu'on peut l'interpréter. La deuxième chose à caractériser, c'est l'urgence ou cette idée de dommage irréparable, parce que, effectivement, toutes les loura ne sont pas de nature à produire des effets qui ne peuvent pas être annulés à posteriori, ou qui ne vont pas produire des effets. Ils sont si dommagables que ça. Et donc, c'est là qu'effectivement, ce situe le cœur de notre argumentation, en ce qui concerne ce référence suspension et en ce qui concerne la réponse du Conseil d'État. Donc, en fait, dans le référence suspension qu'on a uploadé plutôt aujourd'hui sur le signe d'accade.com, si vous regardez les arguments et on a essayé aussi de créer un billet de poste, un billet de blog, qu'il est résume, ce qu'il s'agissait de démontrer, c'est d'une part que la concentration de ces données dans une base commune crée une cible qui était plus intéressante pour des attaquents potentiels et qu'elle crée un risque de pénétration plus important. Ce qui est quelque chose qui, lorsqu'on est dans le monde de l'informatique ou de la crypto, compte sous l'évidence, mais qui n'est pas forcément évident pour le bureaucrat moyen. Donc, il s'agissait d'une part de démontrer, alors en général, avec citations à la pluie et papiers académiques et citations d'experts, ce qu'on a fait, que lorsqu'on concentre des données dans une base de données centrale, surtout des données de stiplats qui sont recherchées par des criminels pour des motifs pécuniers, on augmente le risque d'en faire une cible. La deuxième aspect, c'est le risque d'obtenxion d'accès, parce que lorsqu'on multiplie les accès, puisque on a 27 pays membres qui vont avoir accès à cette base de données plus les bureaucrats de la Commission européenne, finalement, on augmente la surface d'attaque, on augmente la capacité de pénétration et donc, on rend de temps plus probable la capacité d'exfilteration de données et le fait qu'elle soit répandue dans la nature. Et ensuite, il s'agissait de démontrer que l'utilisation de ces données pouvait provoquer des dommages importants et que il s'agissait d'une probabilité significative. Et donc pour ça, évidemment, on s'est appuyé sur la fréquence et la gravité de toutes les attaques, ciblants, des détenteurs de crypto ou leurs proches, qui ont eu lieu en France et en Europe, mais notamment en France, puisque on totalise aujourd'hui à 60% des camions d'yaux depuis le début de l'année et également la gravité des cas, parce que, dans certains cas, on a effectivement des cas de séquestration, des cas de multilation, des cas de violences physiques, des cas de violences psychologiques et qui sont des choses que vous ne pouvez pas déferre à posteriori, comme je disais de t'alleur, effectivement, en Dois, ça ne pousse pas aussi bien que de les ares. Et donc, voilà, en gros, les éléments qui sont demandé dans ce genre de référez et voilà, du coup, à quoi le cabinet en Ruel et notre directrice juridique, Martina, ce sont attachés à démontrer et selon nous, avec une clarté et un brillo qui n'est pas vraiment à remettre en question. Je vous invite vraiment à lire leurs arguments et les sources qui ont été invoquées ainsi que les faits qui ont été mobilisés pour étayer cette thèse. Déjà, normalement, si vous n'avez pas dans une grotte, si vous avez un minimum accès à la presse française, ça parait assez évident que les administrations françaises sont aujourd'hui sujets à de nombreuses attaques et sont assez incapables de se prémunir contre ces attaques. Le timing en plus du dépôt de ce référez est décompletement hallucinant puisque on a déposé le référez en suspension la requête de référence suspension, le 26 août, et que durant le mois d'août, on a eu quatre trois attaques par non effectives sur les services fiscaux français, donc la DGFIP, l'une qui a ex-filter des données patrimoniales, une autre des données cadastrales et une autre une intrusion, sans qu'on sache exactement quels ont été les données qui ont été ex-filterées, qui concernaient au bamo 800 000 personnes pour les données personnelles et 430 000 de mémoires donnés pour les données cadastrales, et données qui ont déjà été employées pour t'arguerter à la fois pour des escroqueries et pour des attaques violentes, les personnes qui étaient concernées. Donc on est quand même... Enfin, nous, on est un peu tombés dénus quand on a vu la réponse du Conseil d'État, parce que, effectivement, ce qu'ils répondent ensemble, ce qu'ils disent, c'est les requérants, donc ici, paymium et boule-bit-coyne, non pas, suffisamment démontrer la probabilité d'une telle suite de données et non pas démontrer que la concentration de ces données faisait porter un risque supplémentaire, ce qui est complètement lunaire déjà d'une part, parce que pour la question de la concentration des données, on a cité l'Anci elle-même, c'est-à-dire l'agent nationale de sécurité des systèmes d'information, qui en soit est censé être l'autorité référente sur les questions de cyber-sécurité, notamment pour les administrations publiques en France, et pour ce qui concerne la probabilité par dont des fuits de données, j'en vais dire, on s'est entaché à mentionner, à citer toutes les attaques de base de données gouvernementales qui ont eu lieu en 2026 et même en 2025, que ce soit la NTS, la DGFIP et elle-même, mais de toute manière, c'était déjà dans les news à peu près partout, au moment où on a déposé notre référy. Donc, c'est complètement hallucinant qu'ils n'aient pas retenu cette argument, et c'est pour ça que effectivement, on a été consterné par cette réponse, parce qu'effectivement, on va soit les mecs vivent dans une grotte, soit ils sont de mauvaise foi. Et je ne sais pas tout de ça. Mais en plus et ça, comme vous pouvez le voir, dans le référy, on a applaudé la PDF. Ça, c'est littéralement le référy qu'on a soumis. On a cité la DGFIP, elle-même, OK. Je vais vous l'aider un passage. Est-ce que vous m'entendez encore juste et haut, juste être sûr, parce que je t'entraînde l'aider un truc là? Oui, oui. Donc, un des éléments qu'on a mis, c'est une citation de la DGFIP et elle-même, qui est le fait en février de 2026, dans le cadre de discussion parlementaire relative à la création d'une déclaration de portefeuille de crypto-actifs. C'est au moment où il y avait une discussion sur la création d'un registre, c'est que l'idadresse bête coin et la DGFIP dit, elle-même, une déclaration généralisée de ses portefeuilles de crypto-actifs conduirait à centraliser des données très sensibles, comme l'identité des détenteurs et la valeur de leurs actifs, et que dans un contexte de cyberattaque fréquente contre les grandes bases de données, ces informations deviendraient une cible privilégier pour les pirates avec des risques accru d'excre-cri. Ça, c'est une citation de la DGFIP et elle-même. Donc, le conseil d'État contradicti la DGFIP et la Tue, ce qui est comme Théo le dit, c'est fucking hallucinant, parce que littéralement, c'est une autre que l'on a vu, on était sur le point de soumettre la quête de référer. Et je l'ai juste avant qu'on la soumette comme deux semaines avant, et là, il y a eu le hack de la DGFIP, que je crois avait eu lieu en juin du 1026, mais qui avait été, genre, tenu secret, je pense, jusqu'en nous, et ça a été révélé en nous. Donc nous, comme tu sais, je ne suis jamais content de voir que des données sont liquées, mais en même temps, je me disais, FFAC, le timing est incroyable, parce qu'on est sur le point de décider de faire la démonstration qu'une base de données centralisée à la DGFIP est un risque d'être liqué. Et littéralement, juste comme une semaine avant ou deux, il y a un mega, mega leak de la DGFIP, un des plus gros. Il y en avait déjà eu un qui était plus gros en termes de volume, je crois, il y avait un ou deux ans, on le citait d'ailleurs celui-là aussi. Ça, c'était 1.2 millions, je pense, de données bancaires ou quelque chose de genre qui avait été exulté. Donc, la réponse du conseil d'Etat, c'est comme si il y avait même pas lieu notre référy. C'est comme si il y avait regardé tous nos arguments, il ne valait pas de la merde un peu, vous avez pas fait la démonstration. Donc, moi, quand j'ai vu la réponse, j'ai dit, non, c'est pas vrai qu'on a pas fait de la démonstration. On a fait de la démonstration. Selon moi, hors de tout doute, et c'est très difficile d'expliquer comment ils ont été prétés notre démonstration comme étant insuffisante. Le comand des mortels, le n'importe qui, qui regarde les nouvelles à la télé, tu vas demander à n'importe qui dans la rue, est-ce que vous pensez que concentrer des données à la DGFP peut créer un risque de fuite? Tout le monde va dire oui, on sait tout ce, c'est une évidence même. Et plus tu expliquais aussi, Theo, comment ils ont rejeté le référy, c'est-à-dire que ça a été fait au niveau d'un tris. On a pas eu la chance d'enclimenter plus que le référy qu'on a soumis. Oui, alors peut-être juste avant d'expliquer ça, quelque chose qui vaut le coup d'être mentionné. Donc déjà ce que disait Francis, en fait, ils n'ont pas dénigré notre démonstration, ils ont dénigré eux-mêmes, en fait, la parole du responsable des systèmes de sécurité d'information à l'échelle administrative française et le gardien des données fiscales, c'est-à-dire la DGFP. Donc c'est quand même une situation qu'affquien, où il y a une partie de l'État qui dit à l'autre partie de l'État, en fait, non, vous êtes des cons, c'est mieux que vous, même si c'est votre domaine d'expertise. Et effectivement, c'est d'autant plus difficile à accepter, parce que c'est quelque chose qui a été fait sans aucun recours possible, c'est-à-dire qu'on n'a jamais eu la possibilité d'être entendue, on n'a jamais été questionnée et le jugement a été rendu directement. Il faut quand même noter qu'ils n'ont pas l'obligation, le juge des référies qui est donc la personne qui est chargée de prendre en compte ce genre de demande, n'a pas l'obligation de consulter les parties des fondres, donc la DGFP, où...