Le società del marchio Bull Bitcoin hanno impugnato davanti al Conseil d’État il decreto con cui la Francia ha attuato la direttiva. Se la Corte di giustizia accogliesse i loro argomenti, la schedatura dei detentori di criptovalute perderebbe la base giuridica in tutti e 27 gli Stati membri.
Per la prima volta DAC8 dovrà difendersi in un’aula di giustizia. Léonod SARL e Satoshi Portal Inc., le società francese e canadese che operano con il marchio Bull Bitcoin, hanno impugnato davanti al Conseil d’État, il vertice della giustizia amministrativa francese, il decreto n° 2025-1276 del 19 dicembre 2025, l’atto con cui Parigi ha recepito la direttiva europea sullo scambio automatico dei dati fiscali relativi alle criptovalute. È il primo ricorso giudiziario contro una misura attuativa di DAC8 nell’Unione Europea.
Il ricorso introduttivo è stato depositato il 24 febbraio 2026, la memoria integrativa sul merito il 1° maggio. Controparte: il ministero dell’Economia e delle Finanze francese. Atlas21 ha potuto visionare la documentazione legale del caso. Un dettaglio procedurale vale più di molte dichiarazioni: il decreto è un atto regolamentare di portata generale, quindi un eventuale annullamento o una sospensione varrebbe per tutti gli operatori attivi in Francia, ben oltre le società che hanno firmato il ricorso.
Bull Bitcoin, fondata a Montréal nel 2013 e autofinanziata, è tra i più longevi exchange Bitcoin-only e non-custodial al mondo. In Europa opera attraverso la propria sede francese, con cui ha ottenuto la licenza MiCA, e l’ingresso nel mercato francese lo aveva annunciato con una formula che suonava già come un programma: “a call to reclaim sovereignty”, un invito a riprendersi la sovranità.
Un archivio per ventisette amministrazioni
DAC8, direttiva (UE) 2023/2226, si applica dal 1° gennaio 2026 e traduce in diritto europeo il Crypto-Asset Reporting Framework dell’OCSE. Ogni fornitore di servizi su cripto-attività che serve clienti europei deve raccogliere e comunicare al fisco identità completa, codice fiscale, saldi e transazioni dei propri utenti. Le informazioni viaggiano poi in automatico tra le amministrazioni dei 27 Stati membri e verso i partner del circuito CARF, che a marzo 2026 contava 56 Stati firmatari. Ne abbiamo scritto quando la direttiva è entrata in vigore: il più vasto database di detentori di criptovalute mai concepito.
Il calendario francese è già scandito: registrazione degli operatori entro il 31 dicembre 2026, prima dichiarazione al fisco entro il 15 giugno 2027, primo scambio tra amministrazioni entro il 30 settembre dello stesso anno. Gli obblighi operativi, però, corrono già: raccolta dati e verifiche KYC sono legge dal 1° gennaio di quest’anno.
Che un archivio simile sia un bersaglio lo dimostra da mesi l’esperienza francese. Secondo CoinDesk, solo nei primi mesi del 2026 la Francia ha contato almeno 41 tra rapine e invasioni domestiche legate alle criptovalute. Ogni obbligo dichiarativo produce da qualche parte la prova che a un nome e a un indirizzo corrisponde un asset al portatore: basta un dipendente infedele o una falla informatica perché quella prova cambi proprietario. DAC8 moltiplica i punti di accesso: più dati, in più mani, in più Paesi.
Due binari verso Lussemburgo
La strategia processuale corre su due binari. Il primo è il merito davanti al Conseil d’État, dove il ricorso attacca il decreto da due direzioni. La prima è tutta francese: l’articolo 1 del decreto estende gli obblighi dichiarativi allo staking e al prestito di cripto-attività, ma secondo la memoria la legge di trasposizione non autorizzava il governo a spingersi fino a lì, perché l’articolo 34 della Costituzione francese riserva questa materia al legislatore. Se il giudice concorda, quella parte del decreto cade per incompetenza. È un motivo che il Conseil d’État può decidere da solo, in tempi relativamente brevi.
La seconda direzione è quella che può cambiare le regole per l’intero continente. Il ricorso sostiene che DAC8 sia incompatibile con gli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione, vita privata e protezione dei dati personali, e con l’articolo 8 della Convenzione europea dei diritti dell’uomo. Nessun tribunale nazionale può però invalidare una direttiva: per questo la memoria chiede al Conseil d’État di sospendere il giudizio e rinviare la questione alla Corte di giustizia dell’Unione Europea. La domanda sottoposta è netta: una raccolta e uno scambio “automatici, sistematici e indifferenziati” dei dati di tutti gli utenti, in assenza di qualsiasi indizio di frode e senza adeguate garanzie procedurali, sono compatibili con i diritti fondamentali?
Il precedente che pesa a favore dei ricorrenti esiste già. Nel 2022, con la sentenza Orde van Vlaamse Balies, la Corte di giustizia ha dichiarato invalida una disposizione di DAC6, l’obbligo di notifica a carico degli avvocati, proprio per violazione dell’articolo 7 della Carta. L’architettura normativa che oggi ospita DAC8 è già stata amputata una volta.
C’è poi l’argomento di proporzionalità, il cuore tecnico del caso. Il fisco francese dispone già di uno strumento mirato, il droit de communication, che gli consente di chiedere dati specifici su contribuenti specifici quando esiste una ragione per farlo. DAC8 sostituisce quel meccanismo selettivo con una raccolta di massa senza sospetto, priva di controllo preventivo da parte di un giudice o di un’autorità indipendente. Nella giurisprudenza europea l’esistenza di un’alternativa meno invasiva e già funzionante pesa spesso in modo decisivo contro la misura più intrusiva.
Il secondo binario è la velocità. Bull Bitcoin si prepara a depositare un référé-suspension, la richiesta di sospensione d’urgenza su cui un giudice dedicato decide in settimane o mesi. Servono due condizioni: un dubbio serio sulla legittimità del decreto, che si appoggia agli stessi argomenti del merito, e l’urgenza, che i ricorrenti ancorano agli obblighi già in vigore da gennaio: sistemi di raccolta dati costosi e difficili da smontare, esposizione a sanzioni, rischi concreti per i clienti. Se il giudice sospende un atto regolamentare, la sospensione vale erga omnes, per tutti gli operatori del mercato francese e, di riflesso, per i loro clienti europei. Una vittoria sul binario veloce congelerebbe la schedatura in Francia mentre il binario lento fa il suo corso: per la via di Lussemburgo la stessa Bull stima tempi realistici di tre-cinque anni.
L’Italia ha già visto questo film
Due precedenti italiani danno al caso una risonanza particolare. Il primo è giudiziario: l’8 gennaio 2026, nella causa Ferrieri e Bonassisa c. Italia, la Corte europea dei diritti dell’uomo ha condannato l’Italia per l’accesso del fisco ai dati bancari dei contribuenti senza garanzie adeguate: discrezionalità troppo ampia, nessun controllo indipendente, rimedi solo eventuali. Il caso riguarda i conti correnti, ma il principio si trasferisce senza sforzo sui flussi di DAC8: contano le garanzie che circondano l’accesso dello Stato ai dati, prima ancora della natura dei dati stessi.
Il secondo precedente è amministrativo e racconta dove finiscono i dati raccolti per un altro scopo. Il registro OAM, operativo dal 2022, obbligava gli operatori crypto attivi in Italia a trasmettere ogni trimestre identità dei clienti e dati sulle transazioni, con conservazione decennale. Finalità dichiarata: esclusivamente antiriciclaggio. Tre anni dopo, il decreto legislativo con cui l’Italia ha recepito DAC8, il 194/2025, ha sostituito proprio quel canale trimestrale con lo scambio automatico europeo: un registro nato per l’antiriciclaggio ha chiuso la propria parabola come infrastruttura di reporting fiscale, senza che nessuna legge lo avesse mai riqualificato come tale. Nel frattempo la legge di bilancio 2023 aveva portato le cripto-attività nell’imponibile e autorizzato il fisco a costruire su quei flussi un proprio patrimonio informativo strutturato.
DAC8 scrive questa deriva direttamente nella norma: l’articolo 16 della direttiva sulla cooperazione amministrativa consente agli Stati membri di estendere l’uso dei dati scambiati ad altri scopi con una semplice notifica, senza controllo indipendente. Quello che in Italia è avvenuto per accumulo, nel nuovo regime è disponibile per progetto. I giuristi lo chiamano purpose creep, lo scivolamento di finalità: i dati raccolti per uno scopo trovano sempre un secondo impiego.
C’è infine un paradosso che rende il caso interessante oltre i confini europei. Gli Stati Uniti procedono con molta più cautela: il regime domestico di reporting è ancora in rodaggio e l’adesione americana al CARF resta allo studio, con un ingresso negli scambi multilaterali che gli osservatori collocano al 2029. L’Unione ha costruito prima di tutti l’iterazione più avanzata e invasiva dell’architettura globale di reporting oggi in vigore. È anche l’unico ordinamento a possedere uno strumento, la Carta dei diritti fondamentali, con cui un giudice può smontarla. Il terreno che ha prodotto la sorveglianza è lo stesso che offre l’arma per contestarla.
Il Conseil d’État dirà se la questione merita Lussemburgo; il giudice dell’urgenza, prima ancora, se nel frattempo la raccolta può continuare. Comunque vada, per la prima volta la schedatura fiscale delle criptovalute dovrà giustificarsi davanti a un giudice con gli standard dei diritti fondamentali, standard con cui finora non si era mai misurata. Se per tassare le plusvalenze di alcuni serve archiviare in permanenza la vita finanziaria di tutti, la questione che arriva a Lussemburgo si riduce a una domanda sola: uno Stato che non sospetta di nessuno può permettersi di sapere tutto di tutti?
