Fuites de données : la commissaire Peirce de la SEC appelle à remplacer les KYC par des ZK-proofs
Hester Peirce, commissaire de la SEC (Securities and Exchange Commission), s'attaque aux problèmes des KYC, ces vérifications d’identité obligatoires que les entreprises doivent demander à leurs clients. Devant la SIFMA, elle a appelé à remplacer la collecte massive de données personnelles par des preuves à connaissance nulle, ou « ZK-proofs ». Son discours a précédé de quelques heures une révélation de Reuters sur une fuite de données du FBI, et suit de peu un revers judiciaire pour la sécurité des données personnelles en France.
Hester Peirce dénonce des montagnes de données personnelles toujours plus grosses
Pour l'une de ses dernières interventions à la Securities and Exchange Commission qu’elle quittera dans les prochaines semaines, la commissaire Hester Peirce a critiqué les dispositifs de connaissance du client (KYC) et de lutte contre le blanchiment (AML). Elle s'exprimait ce 23 septembre à New York, lors de la conférence de la SIFMA ( Securities Industry and Financial Markets Association ) consacrée aux actifs numériques.
Et sa critique est frontale : « Nous construisons des meules de foin de données toujours plus grosses en pensant y trouver une aiguille ou deux. Mais une meule plus grosse rend les aiguilles plus difficiles à trouver », a-t-elle déclaré. Selon elle, le coût de ce système semble éclipser son efficacité, et chaque donnée supplémentaire collectée augmente le risque qu'elle soit mal gérée, par accident ou volontairement.
Depuis des décennies, l’approche adoptée pour traquer les flux financiers illicites et l’utilisation du système financier à des fins d’activités illicites reste la même : collecter toujours plus de données. Cette approche ne fonctionne pas particulièrement bien, et la technologie a dépassé notre approche traditionnelle. Il est donc temps de changer. Les registres publics sont plus transparents et plus difficiles à altérer que ne l’ont jamais été les registres papier. La cryptographie nous permet d’être sûrs de la véracité d’un fait sans connaître les données sous-jacentes.
Hester Peirce
commissaire de la SEC
Les ZK-proofs comme alternative aux KYC
La commissaire de la SEC propose donc de recourir aux zero-knowledge proofs , ou ZK-proofs , des preuves cryptographiques qui confirment qu'une affirmation est vraie sans révéler les données sous-jacentes. Des attribute-based credentials (attestations vérifiables) pourraient ainsi certifier l'âge, la nationalité, le statut d'investisseur qualifié ou l'absence d'un individu sur les listes de sanctions. Une telle preuve dirait à une contrepartie « Oui, cette personne remplit votre condition », sans lui transmettre nom, revenus ou adresse.
Hester Peirce plaide aussi pour que les établissements régulés puissent s'appuyer sur une vérification d'identité déjà réalisée par un autre acteur agréé. Aujourd'hui, les mêmes informations sensibles sont copiées et stockées par des dizaines d'institutions. « Les outils existent (…) ce qui manque, c'est le cadre réglementaire qui permettrait et encouragerait leur adoption », résume-t-elle.
Elle est aussi revenue sur l’exemption pour l'innovation de la SEC , annoncée le 17 septembre. Limitée dans le temps et en taille, elle autorise l'échange d'actions tokenisées via des automated market makers . « Je préfère que la tokenisation se fasse ici plutôt que de voir des marchés étrangers offrir une exposition tokenisée aux actions américaines sans alternative nationale », a-t-elle justifié.
Des fuites de données en série, aux États-Unis comme en France
Presque dans le même temps, Reuters a révélé une fuite de données du FBI, qui auraient été dérobées par le groupe de hackers ShinyHunters. Ces données sensibles détailleraient les affectations de nombreux agents, y compris sur des dossiers liés à l'espionnage chinois, au renseignement russe et aux cartels de drogue.
En France, le Conseil d'État a rejeté la contestation en urgence de Paymium et Bull Bitcoin contre le décret transposant la directive européenne DAC8 , qui oblige les plateformes françaises à collecter les données de leurs utilisateurs depuis le 1er janvier 2026 (en vue d'une première transmission au fisc en 2027). Le juge estime que « la simple éventualité d'un risque, dont la probabilité de réalisation est très faible, ne saurait être constitutive d'une situation d'urgence ».
Un risque « très faible » de fuites qui défraient pourtant la chronique de plus en plus régulièrement
Ce rejet ne vise toutefois que le référé-suspension, une procédure d'urgence prévue par le code de justice administrative. Le fond du recours que Bull Bitcoin a déposé plus tôt cette année suit donc toujours son cours. Une décision définitive sur la légalité du décret n'est pas attendue avant un à deux ans. En attendant, le décret s'applique, et les plateformes françaises doivent donc collecter les données de leurs utilisateurs depuis le 1er janvier dernier.
Le risque jugé « très faible » par le Conseil d’État s'est pourtant déjà concrétisé au sein même de l'administration française, et à de nombreuses reprises. En avril 2026, l'Agence nationale des titres sécurisés (ANTS) a signalé un incident susceptible de concerner des millions de comptes. Plus récemment, la Direction générale des finances publiques (DGFiP) , qui reçoit les données exigées par DAC8, a confirmé le vol d'informations sur 678 000 particuliers et professionnels. Le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source figuraient parmi les données dérobées.
Les données personnelles, qu’elles soient stockées par des plateformes privées ou des administrations publiques, n’ont jamais été aussi menacées qu’aujourd’hui. Les identifications ZK-proofs pourraient bien limiter la casse.
Sources : discours de la commissaire Peirce , Reuters sur X
Retrouvez cet article sur Cryptoast.fr
0 commentaire
Vous devez être membre pour ajouter un commentaire.
Vous êtes déjà membre ? Connectez-vous
Pas encore membre ? Devenez membre gratuitement
Signaler le commentaire
Fermer