Euro numérique : quels risques réels pour la vie privée ?

Payer laisse presque toujours une trace. La vraie question n’est donc pas de savoir si le numérique produit des données, mais quelles données sont nécessaires, qui les détient, combien de temps elles subsistent et à quelles autres informations elles pourront être reliées.

Un euro public sous forme numérique

L’euro numérique serait une monnaie de banque centrale accessible au public, comme les billets et les pièces mais sous forme électronique. Un euro numérique vaudrait toujours un euro. Il ne serait pas un cryptoactif spéculatif, ne fonctionnerait pas comme le bitcoin et ne constituerait pas non plus un nouveau compte courant rémunéré. Son intérêt revendiqué est d’offrir un moyen de paiement public dans une économie où les règlements électroniques reposent aujourd’hui surtout sur des banques et des réseaux privés.

Il faut distinguer trois formes de monnaie. Les espèces sont une créance directe sur la banque centrale et se transmettent physiquement. L’argent inscrit sur un compte bancaire est une créance sur une banque commerciale. L’euro numérique serait, lui aussi, une créance directe sur la banque centrale, mais distribué par des intermédiaires tels que les banques et prestataires de paiement.

Des services de base devraient être gratuits pour les particuliers. Un plafond de détention est prévu afin d’éviter qu’un mouvement massif des dépôts bancaires vers la banque centrale ne fragilise le financement de l’économie. Ce plafond relève d’un choix de stabilité financière : il ne faut pas le confondre avec une limite politique appliquée à la manière dont chacun dépense son argent.

Où en est réellement le projet en septembre 2026 ?

La Commission européenne a présenté deux propositions le 28 juin 2023 : l’une pour encadrer un éventuel euro numérique, l’autre pour conforter le cours légal et l’accessibilité des espèces. Le Conseil de l’Union européenne a arrêté sa position de négociation le 19 décembre 2025. Cette étape ne vaut pas adoption définitive : le Parlement européen et le Conseil doivent encore s’accorder sur un texte.

De son côté, la BCE a achevé en octobre 2025 la phase dite de préparation commencée en novembre 2023. Elle poursuit les travaux techniques, notamment le règlement fonctionnel, les fournisseurs et les expérimentations. Elle indique que, si le règlement était adopté en 2026, une éventuelle première émission pourrait intervenir en 2029. Le conditionnel compte : l’adoption de la loi ne déclencherait pas automatiquement l’émission, car le Conseil des gouverneurs de la BCE devrait encore décider de lancer ou non la monnaie.

Cette chronologie est importante pour le débat démocratique. Elle évite deux récits également trompeurs : annoncer un dispositif secret déjà opérationnel ou, à l’inverse, présenter ses garanties comme définitivement acquises. C’est maintenant, avant le vote final et avant l’architecture irréversible, que les exigences de vie privée sont utiles.

Qui pourrait voir quoi lors d’un paiement ?

La réponse dépend du mode de paiement et de l’acteur considéré. Dire simplement que « la BCE saura tout » est inexact au regard du dessin annoncé. Affirmer que « personne ne verra rien » le serait tout autant. La protection repose sur une répartition des informations entre la banque centrale, les intermédiaires, le commerçant et les appareils utilisés.

La BCE affirme qu’elle ne pourrait pas utiliser les données de paiement à des fins commerciales et que tout service personnalisé supplémentaire nécessiterait le consentement explicite de l’utilisateur. Des autorités indépendantes de protection des données devraient superviser le dispositif. Ces orientations sont favorables, mais la confiance ne peut reposer sur une phrase institutionnelle : les flux de données, les accès techniques et les journaux doivent pouvoir être audités.

Confidentialité ne signifie pas anonymat absolu

Le mode hors ligne est la promesse la plus forte. Deux appareils pourraient transférer de la valeur sans contacter immédiatement le système central. Cette architecture limite la visibilité de la banque centrale et du prestataire. Elle ne transforme pas pour autant un téléphone en billet de banque parfait : il faut approvisionner le portefeuille, sécuriser l’appareil, empêcher la copie d’une même unité et traiter les pertes ou les fraudes.

La formule honnête est donc « confidentialité comparable aux espèces pour les détails de petits paiements hors ligne », sous réserve de la règle finale et de sa mise en œuvre. Le mot « anonyme » serait trop absolu. Inversement, le fait que certains contrôles existent ne signifie pas que chaque achat doive être conservé dans un fichier nominatif.

Pseudonymisé n’est pas anonymisé

Une donnée pseudonymisée remplace l’identité directe par un identifiant ou une référence. Cette précaution réduit le risque, mais n’empêche pas toute réidentification. Une heure, un montant, un terminal et une habitude d’achat peuvent devenir très révélateurs lorsqu’ils sont combinés. La protection sérieuse repose donc sur plusieurs couches : collecte minimale, séparation organisationnelle, chiffrement, durées brèves, interdiction des recoupements et sanctions effectives.

Sept risques réels, sans scénario de science-fiction

1. L’élargissement progressif des finalités

Un système créé pour exécuter un paiement peut être sollicité demain pour la fraude, la fiscalité, une urgence ou une politique publique nouvelle. Chaque demande peut paraître défendable isolément. Leur accumulation transforme pourtant l’architecture. Le remède est juridique : toute nouvelle finalité doit être nécessaire, proportionnée, débattue publiquement et autorisée par un texte précis, plutôt que glissée dans des conditions d’utilisation.

2. La réidentification par croisement

Même si la banque centrale ne détient pas directement les noms, un intermédiaire connaît ses clients. Des données techniques conservées trop longtemps peuvent être rapprochées de fichiers commerciaux, fiscaux ou d’identité. Le risque ne suppose pas une intention malveillante : une mauvaise gouvernance, une fuite ou une réquisition trop large suffit. Il faut empêcher qu’un identifiant stable permette de suivre toutes les transactions d’une personne à travers plusieurs services.

3. L’interconnexion avec l’identité numérique

Le portefeuille européen d’identité numérique et l’euro numérique sont deux projets distincts. Les présenter comme un dispositif unique déjà construit serait faux. Leur coexistence crée néanmoins une question légitime : quelles passerelles seront techniquement possibles et juridiquement interdites ? Prouver son âge sans dévoiler son nom peut être protecteur. Exiger une identité centrale pour tout paiement ordinaire ferait basculer le rapport de force.

Ce sujet mérite un dossier propre, car l’obligation peut être juridique ou seulement pratique. Une application reste théoriquement facultative tout en devenant incontournable si les guichets ferment ou si les alternatives sont plus lentes. Pour l’euro numérique, la ligne rouge doit être claire : aucune connexion automatique avec la santé, les opinions, les déplacements ou l’accès général aux services publics.

4. L’érosion des espèces et l’obligation de fait

Le texte peut promettre que l’euro numérique est facultatif. Si, parallèlement, les distributeurs disparaissent, les commerçants refusent le liquide et les services essentiels passent au tout-numérique, le choix devient fictif. Les espèces protègent les personnes sans smartphone, les mineurs, certains publics fragiles et tous les citoyens lors d’une panne. Elles permettent aussi une dépense ordinaire sans profil commercial détaillé.

5. La dépendance technique et la panne systémique

Un moyen de paiement public devient une infrastructure critique. Une cyberattaque, une mise à jour défectueuse, une panne électrique ou la défaillance d’un fournisseur peut toucher des millions de personnes. Le mode hors ligne réduit une partie de ce risque, à condition qu’il fonctionne réellement sur des équipements accessibles. Des tests publics, des plans de continuité, des limites d’exposition et le maintien du liquide sont autant de protections de la vie quotidienne.

6. La concentration entre quelques fournisseurs

Une architecture européenne peut accroître la souveraineté face aux réseaux internationaux. Mais elle peut aussi déplacer la dépendance vers quelques fabricants de composants sécurisés, opérateurs de portefeuille ou prestataires techniques. Les contrats, sous-traitants, lieux de traitement et mécanismes de mise à jour doivent être transparents. La portabilité et l’interopérabilité évitent qu’un utilisateur soit enfermé dans une application ou un appareil.

7. Le changement de règle après l’adoption

Une garantie peut être affaiblie par une réforme future. C’est le risque le plus politique : l’architecture subsiste plus longtemps que les dirigeants qui l’ont créée. Les interdictions essentielles doivent donc figurer dans le droit, avec un contrôle du juge, des autorités de protection des données et du Parlement. Un rapport annuel lisible devrait indiquer les incidents, demandes d’accès, interruptions et modifications techniques.

Quatre craintes à distinguer des faits

« L’euro numérique aura une date d’expiration »

Aucune règle officielle examinée pour ce dossier ne prévoit que l’argent d’un citoyen expire à une date imposée. Cette possibilité correspondrait à une monnaie conditionnelle, incompatible avec la définition actuellement défendue par les institutions. La vigilance reste légitime, mais elle doit porter sur les textes et non sur une fonction inventée.

« La BCE décidera quels produits nous avons le droit d’acheter »

Le projet distingue la monnaie programmable des paiements conditionnels. Une monnaie programmable serait limitée par l’émetteur : valable seulement à tel endroit, avant telle date ou pour telle catégorie. Le cadre proposé l’exclut. Un paiement conditionnel, lui, exécute une instruction choisie par l’utilisateur, par exemple payer automatiquement à la livraison. L’automatisation d’un paiement n’implique pas que l’autorité conditionne la valeur de la monnaie.

« Les espèces vont être supprimées en 2029 »

2029 est un horizon possible d’émission, pas une date de disparition des billets. La Commission et le Conseil présentent l’euro numérique comme un complément et travaillent parallèlement à renforcer le statut des espèces. Cela ne garantit pas à lui seul que chaque commune gardera un distributeur ou chaque commerce un service identique : l’accès concret devra être mesuré et défendu.

« Un crédit social européen est déjà prêt »

Il n’existe pas de note civique européenne générale qui récompenserait ou sanctionnerait le comportement des citoyens au moyen de l’euro numérique. Confondre une infrastructure de paiement avec un crédit social empêche de voir les vrais arbitrages. Le risque pertinent est futur et conditionnel : plusieurs fichiers et règles pourraient être raccordés si le droit l’autorisait. La réponse est d’interdire ces raccordements avant qu’ils ne deviennent faciles.

Une alerte crédible nomme le mécanisme, l’acteur, la donnée et la règle en cause. Elle ne transforme pas une possibilité technique en fait accompli.

Ce que l’euro numérique pourrait améliorer

Une analyse contradictoire doit aussi examiner les bénéfices. Un moyen de paiement public européen pourrait réduire la dépendance aux réseaux privés, offrir une solution commune dans toute la zone euro et renforcer la résilience. Le mode hors ligne peut fournir davantage de confidentialité que de nombreux paiements électroniques actuels. La concurrence d’un instrument public peut également pousser les prestataires privés à réduire leurs frais ou à améliorer leurs garanties.

Pour les petits commerces, les associations et les citoyens, un standard commun peut simplifier les paiements. Pour les personnes dont la banque commerciale rencontre une difficulté, une monnaie de banque centrale représente une autre nature de créance. Enfin, une conception qui ne divulgue que le strict nécessaire peut être plus protectrice que les chaînes actuelles de carte, de portefeuille mobile, d’acquéreur et d’analytique commerciale.

Ces bénéfices ne sont ni automatiques ni gratuits. Ils dépendent des limites de détention, des terminaux disponibles, du modèle de rémunération des intermédiaires et de l’expérience des personnes éloignées du numérique. Le bon débat oppose donc plusieurs architectures possibles, pas la modernité à la liberté.

Notre analyse : le danger principal est institutionnel

Le risque le plus vraisemblable n’est pas un bouton secret permettant à la BCE de bloquer un dîner. C’est une suite de décisions ordinaires : davantage de données pour combattre une fraude, un identifiant commun pour simplifier un contrôle, une conservation prolongée pour résoudre des litiges, puis une nouvelle finalité ajoutée en période de crise. Chaque étage peut être légal et pourtant produire, ensemble, une surveillance excessive.

L’architecture doit donc être conçue selon le principe du moindre pouvoir. Aucun acteur ne devrait posséder simultanément l’identité, le détail des achats et la capacité de décision. Les fonctions doivent être séparées, les identifiants renouvelés, les accès journalisés et les exceptions rares. Un dispositif protecteur ne demande pas seulement « faites-nous confiance » : il rend certains abus difficiles, détectables et punissables.

Le consentement ne suffit pas non plus. Face à sa banque ou à un service essentiel, l’utilisateur n’est pas toujours en position de négocier. Les garanties de base doivent être communes à tous et contrôlées par des institutions indépendantes. Le consentement explicite garde son utilité pour un service additionnel, mais il ne doit pas légitimer une collecte disproportionnée au cœur du paiement.

Dix garanties avant toute émission

1. Protéger durablement les espèces. Leur acceptation, l’accès raisonnable au retrait et une voie de paiement sans smartphone doivent être mesurés territoire par territoire.
2. Garantir le caractère facultatif. Refuser l’euro numérique ne doit pas entraîner un surcoût, un délai excessif ou la perte d’un service essentiel.
3. Interdire la monnaie conditionnelle. Ni la BCE ni une administration ne doivent limiter les achats licites selon le produit, le lieu, la date ou le profil de la personne.
4. Sanctuariser le mode hors ligne. Les détails des petits paiements doivent rester hors de portée du système central, avec des seuils proportionnés et publics.
5. Minimiser aussi les paiements en ligne. La protection ne doit pas s’arrêter dès qu’une connexion existe ; seules les données nécessaires à une finalité légale précise doivent être traitées.
6. Séparer paiement et identité. Aucun identifiant universel ne doit relier automatiquement transactions, santé, fiscalité, opinions, déplacements et services publics.
7. Limiter la conservation. Chaque acteur doit publier ce qu’il conserve, pourquoi, où et pendant combien de temps, puis prouver l’effacement.
8. Ouvrir le système à l’audit. Spécifications, composants critiques, rapports de sécurité et incidents significatifs doivent être accessibles aux autorités et chercheurs habilités.
9. Créer un recours humain rapide. Une erreur, un blocage ou une fraude doivent pouvoir être contestés sans laisser une personne durablement privée de paiement.
10. Soumettre toute extension à un vote. Une nouvelle finalité ou un nouveau raccordement de données doit passer par la loi, une étude d’impact et le contrôle des autorités de protection.

Questions fréquentes