MiCA, RGPD et adresses de portefeuilles crypto
Une adresse Bitcoin comporte 26 à 35 caractères en encodage Base58Check. Elle commence par « 1 », « 3 » ou « bc1 ». Une adresse Ethereum commence par « 0x » et contient 40 caractères hexadécimaux. Les deux sont pseudonymes. Aucune ne désigne une personne directement.
La loi s'applique quand même.
Quand une adresse devient une donnée personnelle
Les enregistrements pseudonymes sont des données personnelles s'ils peuvent être reliés à une personne. Un exchange crypto détient des fichiers KYC. Ces fichiers associent des adresses à des identités vérifiées. L'adresse seule ne désigne personne en dehors de l'exchange. Dans ses systèmes, elle identifie un client. Elle constitue donc une donnée personnelle.
Le règlement s'y applique pleinement.
MiCA ajoute une seconde couche
Le règlement MiCA (Markets in Crypto-Assets) est entré en vigueur en décembre 2024. Il oblige les prestataires de services sur crypto-actifs — les CASPs — à protéger les données clients. Un exchange européen est désormais soumis à deux règles simultanées. MiCA fixe des contrôles financiers. Le RGPD fixe des règles de protection des données. Les deux s'appliquent au même identifiant.
La lacune de détection des outils standard
Les outils PII standard ont été conçus pour la finance traditionnelle. Ils connaissent l'IBAN. Ils connaissent le SWIFT/BIC. Ils connaissent les codes de routage. Ils ne connaissent pas les formats d'adresses crypto.
Envoyez un document contenant une adresse Bitcoin, une adresse Ethereum et un code SWIFT dans un outil standard. Il trouve le code SWIFT. Il rate les deux adresses on-chain.
Pour un CASP qui traite des fichiers KYC, cette lacune est sérieuse. Ces identifiants sont aussi sensibles que des numéros de compte. Les manquer, c'est perdre chiffrement, masquage et piste d'audit.
L'article 32 et la lacune de chiffrement
L'article 32(1)(a) du RGPD exige la pseudonymisation et le chiffrement comme mesures techniques de base. 56 % des amendes RGPD citent un chiffrement insuffisant comme facteur. Un exchange qui chiffre tous les PII détectés mais rate les adresses de portefeuilles n'a rien protégé de ce qui est central à son activité.
La détection doit couvrir l'ensemble des identifiants. Pour un CASP, cet ensemble inclut ces formats d'adresses.
À quoi ressemble un pipeline conforme
Un exchange conforme ajoute ces types d'entités à son étape de détection. Les formats Bitcoin et Ethereum sont inclus. Les adresses sont signalées, chiffrées et consignées dans le ROPA à côté des IBANs et numéros de compte. Le DPIA nomme chaque type d'identifiant couvert. Les pistes d'audit MiCA s'alignent sur les registres de traitement.
Aucune nouvelle politique n'est nécessaire. La lacune est technique. L'ajout des bons types d'entités à l'étape de détection la comble.
Pour les mesures techniques au titre de l'article 32, voir RGPD article 32 et outils IA de surveillance des PII. Pour la pseudonymisation en pratique, voir Lignes directrices EDPB 2025 sur la pseudonymisation.