Mercredi, j’ai couvert les messages trompeurs autour de la nouvelle loi européenne contre le blanchiment d’argent, qui était annoncée comme « interdisant les portefeuilles cryptographiques anonymes ». Ce n’était pas vraiment vrai – la loi n’affecte que les dépositaires tiers, pas les portefeuilles logiciels ou matériels.

Cependant, il s’avère que les règles, bien qu’elles n’interdisent pas les portefeuilles anonymes auto-hébergés, pourraient indirectement les étrangler.

Les dispositions, et la stratégie plus large qui les sous-tend, indiquent des empiètements vraiment effrayants sur la liberté financière et devraient être combattues.

D’un autre côté, ces parties pernicieuses des règles de l’Union européenne pourraient être restreintes ou supprimées avant leur mise en œuvre prévue en 2024. Selon les membres de l’Autorité européenne de protection des données, elles pourraient enfreindre les «Règles générales de protection des données, récemment mises en œuvre en Europe, » ou RGPD.

La pilule empoisonnée se trouve à l’article 58 du règlement proposé (PDF complet ici) :

« Les propriétaires et bénéficiaires de comptes anonymes, de livrets anonymes, de coffres-forts anonymes ou de portefeuilles de crypto-actifs seront soumis à des mesures de vigilance à l’égard de la clientèle avant que ces comptes, livrets, coffres ou portefeuilles de crypto-actifs ne soient utilisés de quelque manière que ce soit. »

Selon Simon Lelieveldt, conseiller en conformité pour l’échange crypto néerlandais Bitonic, ce langage exigerait que les propriétaires de portefeuilles crypto hébergés et le propriétaire de tout portefeuille crypto avec lequel ils effectuent des transactions, y compris les portefeuilles auto-hébergés, soient soumis aux procédures de connaissance du client en vertu des nouvelles règles. (Au moins aux États-Unis, nous avons tendance à utiliser le terme « bénéficiaire » pour désigner le destinataire des actifs après le décès du propriétaire, mais dans ce contexte, cela signifie simplement les destinataires de la transaction.)

Selon Lelieveldt, cela fait partie d’une stratégie plus large visant à tuer les portefeuilles cryptographiques anonymes.

« En somme, la règle de déplacement est utilisée comme un coin pour pousser la décentralisation [wallets] dans un monde de garde légitime, rendant tout le reste illégitime et criminalisé », a-t-il déclaré à CoinDesk. «Et il sera utilisé pour interdire aux portefeuilles anonymes d’exister dans le monde réglementé. Par conséquent, les intentions exprimées par la Commission (européenne) sont correctes.

Lelieveldt approfondit le sujet dans ce excellent fil Twitter, et a longuement écrit sur la confrontation réussie de Bitonic avec des règles similaires.

Il est difficile de dire si les autorités européennes comprennent pleinement à quel point cette mesure est draconienne, malveillante et carrément absurde. Au plus haut niveau, cela pourrait être considéré comme interdisant à tout titulaire de compte crypto dépositaire de retirer ses avoirs en espèces. Il fixe un agenda européen fondamentalement hostile au droit de traiter en privé sur Internet.

Il est également très difficile d’imaginer comment cela fonctionnerait. Le Groupe d’action financière (GAFI), qui définit globalement l’agenda des mesures internationales de lutte contre le blanchiment d’argent (AML), déclare lui-même qu’il « n’a connaissance d’aucun moyen techniquement prouvé d’identifier la personne qui gère ou possède un portefeuille non hébergé, avec précision et exactitude en toutes circonstances. Tout système permettant de lier des identités à des portefeuilles en chaîne serait sujet à des erreurs et à des abus, pour des raisons technologiques profondes.

Mais ce qui est encore plus inquiétant, c’est la nature indirecte de l’initiative. Comme je l’ai écrit mercredi, les règles proposées ne font rien pour « interdire » directement les portefeuilles auto-hébergés. Mais ils créeraient un fossé énorme entre les portefeuilles hébergés par des tiers et les portefeuilles auto-hébergés, compromettant considérablement l’utilité des crypto-monnaies. Comme les résidents des quartiers urbains bifurqués par les autoroutes américaines au milieu du 20e siècle, les utilisateurs de cryptographie seraient coupés les uns des autres, sapant la promesse de la technologie de transactions peer-to-peer.

Étonnamment, il s’agit d’une stratégie d’application explicite lancée par le GAFI dans un document d’orientation de mars sur les actifs virtuels (merci encore à Lelieveldt pour le conseil ici). Le document comprend une liste d' »options pour atténuer les risques posés par le P2P [peer-to-peer] transactions au niveau national si les risques de BC/FT (blanchiment d’argent/financement du terrorisme) sont inacceptablement élevés. Cela inclut des mesures qui visent à apporter une plus grande visibilité aux transactions P2P, ainsi qu’à limiter l’exposition de la juridiction aux transactions P2P.

(Rappelez-vous ici que « l’exposition des juridictions aux transactions P2P » est synonyme de « droits des citoyens à effectuer des transactions librement. »)

La troisième recommandation du GAFI pour contrôler les transactions peer-to-peer est de « refuser l’octroi de licences aux VASP (fournisseurs de services d’actifs virtuels) s’ils autorisent les transactions vers/depuis des entités non assujetties (c’est-à-dire des portefeuilles privés ou non hébergés).

Maintenant, il y a de bonnes nouvelles (et assez drôles) ici. Avant que le projet de règles anti-blanchiment ne soit diffusé publiquement, la Commission financière européenne a reçu une lettre assez sévère du comité européen de la protection des données (EDPR), qui supervise l’application de la règle générale européenne sur la protection des données. Lorsqu’il a été mis en œuvre, le RGPD était largement considéré dans le contexte des médias sociaux et de la publicité, comme il l’a fait à la suite du scandale des données de Cambridge Analytica.

Mais le Conseil de protection des données indique clairement qu’il considère également les données financières comme soumises au RGPD. Et bien que la lettre aborde la question sur la pointe des pieds, elle laisse entendre que le conseil d’administration peut considérer le nouveau cadre AML proposé comme défectueux.

« Le CEPD … a noté à plusieurs reprises les défis de la vie privée et de la protection des données liés au cadre de LBC … un juste équilibre doit être trouvé entre l’intérêt de prévenir le blanchiment de capitaux et le financement du terrorisme, d’une part, et les intérêts sous-jacents aux droits fondamentaux à protection des données et de la vie privée, d’autre part », indique la lettre.

Le conseil d’administration souligne les principes tels que la « minimisation des données » et « la nécessité et la proportionnalité » comme clés pour élaborer des réglementations anti-blanchiment qui ne violent pas le RGPD. Creuser dans ceux-ci est une tâche pour un autre jour. Mais il suffit de dire qu’exiger que les informations personnelles détaillées des opérateurs soient envoyées avec chaque transaction financière importante, comme le font souvent les règles actuelles de lutte contre le blanchiment d’argent, ne cadre pas facilement avec ces principes.

« Pourquoi diffuser 99,8% des données redondantes de citoyens innocents via les canaux de paiement pour capturer 0,2% des personnes [committing crimes]», demande Lelieveldt, « à une époque où d’autres technologies de surveillance sont mieux adaptées ? Violations de données [of financial services] sont juste au coin de la rue. Des règles exigeant la livraison à la demande de données sur les transactions suspectes à la police, dit-il, seraient tout aussi efficaces tout en préservant la confidentialité.

De plus, les nouvelles règles AML pourraient créer une incitation perverse pour les entreprises dont les modèles commerciaux centrés sur les données sont menacés par des normes de confidentialité croissantes telles que le RGPD et la récente fonctionnalité de suivi de l’adhésion d’Apple.

Des entreprises comme « Cambridge Analytica (ou Facebook lui-même) saisiront l’occasion d’utiliser la règle de voyage crypto du GAFI pour transmettre toutes les données client à tous les partenaires commerciaux sous prétexte de se conformer aux règles du GAFI », prévient Lelieveldt.

Ce serait formidable si les têtes froides prévalaient et que les règles européennes de lutte contre le blanchiment d’argent soient révisées avant d’être mises en œuvre. Mais quelle que soit la lettre de la loi, il semble peu probable que le Conseil de protection des données ait la force de s’opposer à la Commission des finances, qui peut simplement commencer à parler de «financement du terrorisme» et utiliser la peur pour faire passer à peu près tout ce qu’elle veut.

La riposte nécessitera une large résistance. Il est temps que les voix fortes du monde entier se fassent entendre.