Monnaies numériques de banque centrale et vie privée : ce qui se décide et les limites qui comptent

En payant un café, qui peut savoir ce que nous achetons, où, à quelle heure et avec quel solde nous nous retrouvons ? Avec de l’argent liquide, le commerce assiste à l’opération, mais aucun registre centralisé associé à notre identité n’est normalement créé. Lors d’un paiement numérique, en revanche, des banques, des processeurs, des applications et des autorités peuvent intervenir avec divers degrés d’accès.

Les monnaies numériques de banque centrale ajoutent une possibilité nouvelle à ce tableau. Également connues sous le nom de CBDC, d’après leur sigle en anglais, ou de MNBC en français, elles constitueraient de la monnaie publique sous format numérique. La question importante n’est pas de savoir si « le numérique » détruit la vie privée, mais qui peut associer chaque paiement à une personne, selon quelles règles et avec quelles voies de recours face à un abus.

Idée clé : « CBDC » identifie l’émetteur et la nature de la monnaie, et non un niveau déterminé de vie privée. Deux conceptions peuvent partager cette étiquette et offrir des garanties très différentes.

Ce qu’est une CBDC et ce qu’elle n’est pas

Une CBDC de détail est un instrument numérique libellé dans la monnaie nationale, émis en tant que passif direct de la banque centrale et disponible pour le public pour les paiements du quotidien. C’est ainsi que la décrivent les principes fondateurs de la Banque des règlements internationaux. Il s’agit de la version pertinente pour un achat ordinaire ; une CBDC de gros, en revanche, est destinée aux opérations entre institutions financières.

La distinction semble technique, mais elle compte. Le solde d’un compte bancaire ordinaire est une obligation de la banque commerciale. Une CBDC serait une obligation de la banque centrale, même si une entité privée administrait le portefeuille ou fournissait le service à l’utilisateur. Pour mieux comprendre l’émetteur, il convient de partir des fonctions et du pouvoir des banques centrales.

Elle ne serait pas non plus une cryptomonnaie privée par le simple fait d’utiliser une technologie numérique. Bitcoin n’a pas de banque centrale émettrice ; un stablecoin représente généralement une obligation ou une réserve gérée par une entité privée. La comparaison avec Bitcoin et liberté monétaire peut éclairer les différences de contrôle et de gouvernance, mais elle ne rend pas tous ces instruments équivalents.

Le parcours des données compte davantage que l’écran

Pour évaluer la vie privée, il ne suffit pas de se demander si la banque centrale « voit » un paiement. Il faut suivre les données tout au long de leur parcours.

Lors de l’ouverture d’un portefeuille, un intermédiaire pourrait vérifier l’identité. Lors de son approvisionnement, la banque ou le fournisseur pourrait enregistrer l’origine des fonds. Pendant le paiement, le commerçant a connaissance au moins de l’achat ; le prestataire peut traiter des identifiants, le montant et l’heure ; l’opérateur de l’infrastructure peut recevoir des informations techniques. Ensuite apparaissent d’autres étapes : prévention de la fraude, règlement des litiges, conservation des registres et réponse à une ordonnance d’une autorité.

C’est pourquoi une affirmation telle que « la banque centrale ne voit pas l’identité » peut être vraie et, dans le même temps, insuffisante. Peut-être un intermédiaire peut-il effectivement la relier à l’historique des transactions. Peut-être plusieurs ensembles de données distincts peuvent-ils être croisés. L’inverse peut également se produire : une infrastructure publique convenablement limitée pourrait exposer moins d’informations commerciales qu’un système financé par le profilage de la consommation.

La question doit être formulée par acteur et par moment :

• Que connaissent la banque centrale, l’opérateur et l’intermédiaire ?
• Que reçoivent le commerçant et ses prestataires technologiques ?
• Qui peut reconstituer l’historique d’une personne ?
• Quelle autorité peut le demander, pour quel motif et avec quelle autorisation ?
• Combien de temps est-il conservé et pour quels usages secondaires ?

Vie privée n’est pas synonyme d’anonymat

La vie privée financière signifie qu’il existe des limites à l’observation, la mise en relation, la conservation, la réutilisation et la divulgation de nos données de paiement. Elle n’exige pas nécessairement que personne ne puisse nous identifier en aucune circonstance.

L’anonymat suppose qu’une personne ne peut pas être raisonnablement identifiée. La pseudonymisation, en revanche, remplace les données directement identifiantes par des codes ou d’autres identifiants. Elle réduit l’exposition immédiate, mais elle peut être inversée si quelqu’un dispose d’informations supplémentaires. Le Règlement général sur la protection des données de l’Union européenne traite les données pseudonymisées qui permettent une réidentification comme des données à caractère personnel, et non comme des informations anonymes.

Cette différence évite une fausse tranquillité. Si l’opérateur d’une CBDC reçoit des transactions sous un pseudonyme, la protection dépendra de qui garde la clé de correspondance, de quand elle peut être utilisée et de s’il reste des traces auditables de chaque consultation.

Paiements en ligne et hors ligne

Un paiement hors ligne peut être réglé entre appareils sans consulter un système distant à ce moment-là. Bien conçu, il peut réduire les données transactionnelles partagées avec des intermédiaires et continuer de fonctionner lors d’une interruption de connectivité. Ce n’est pas, pour autant, une copie parfaite de l’argent liquide.

Le chargement et le déchargement de fonds peuvent laisser des traces. Les limites de solde ou de montant, nécessaires pour contenir les pertes, la fraude ou la double dépense, exigent également des contrôles. De plus, « hors ligne » peut décrire différents degrés de déconnexion selon l’architecture.

L’euro numérique offre un cas utile, à condition d’être présenté comme une proposition et non comme un modèle universel. La Banque centrale européenne a envisagé que les paiements hors ligne soient connus du payeur et du bénéficiaire, tandis qu’en ligne l’Eurosystème recevrait des données pseudonymisées et les intermédiaires rempliraient les obligations légales applicables. Ce sont des attributs annoncés pour une conception en cours de développement, et non une preuve que toute CBDC fonctionne ainsi, ni une garantie en soi.

En 2023, les autorités européennes indépendantes de protection des données ont demandé de préciser les responsabilités, de limiter les données nécessaires et d’éviter une centralisation excessive. Cette observation révèle une différence essentielle : une promesse d’architecture doit se traduire par des obligations vérifiables.

Idée clé : un paiement hors ligne peut se rapprocher de l’argent liquide face à certains observateurs, mais il n’efface pas nécessairement les données créées lors de l’obtention de fonds, de la gestion des risques ou de la reconnexion.

Une comparaison sans faux absolus

Chaque moyen de paiement répartit différemment la confiance et la visibilité :

La différence peut se résumer ainsi :

• Moyen : Argent liquide Qui répond de la valeur : Banque centrale
• Moyen : Dépôt bancaire Qui répond de la valeur : Banque commerciale
• Moyen : CBDC de détail Qui répond de la valeur : Banque centrale
• Moyen : Cryptoactif Qui répond de la valeur : Réseau ou émetteur, selon l’actif

Le tableau ne produit pas de gagnant automatique. L’argent liquide protège bien contre l’enregistrement systématique, mais il présente des limites pratiques. Les paiements bancaires facilitent les litiges et la prévention de la fraude au prix de la génération d’historiques. Une CBDC pourrait réduire la dépendance envers les entreprises qui monétisent les données, mais aussi créer une infrastructure d’observation puissante si elle est dépourvue de limites.

Il en va de même pour ce que l’on appelle la programmabilité. Automatiser un virement lorsqu’une condition est remplie — par exemple, remettre le paiement lors de la confirmation d’un envoi — n’équivaut pas à ce que l’émetteur puisse décider où ou quand dépenser chaque unité. De même, la capacité technique de geler des fonds ne constitue pas en soi une prérogative juridique illimitée. Mais une interdiction écrite ne sert à grand-chose sans contrôles techniques, surveillance et voies de recours effectives.

De la promesse à la garantie

La vie privée technique et la vie privée juridique se renforcent, mais ne se substituent pas l’une à l’autre. La minimisation des données réduit ce qui peut faire l’objet d’une fuite ou être utilisé indûment. Le chiffrement, la séparation des bases et le mode hors ligne peuvent diminuer l’exposition. Malgré tout, les logiciels changent, les exceptions s’étendent et une administration peut interpréter les règles d’une autre manière.

Une garantie robuste devrait pouvoir répondre, au moins, à ces questions :

1. Finalité : dans quel but précis chaque donnée est-elle collectée ?
2. Minimisation : le paiement peut-il être effectué avec moins d’informations ?
3. Conservation : quand l’enregistrement est-il supprimé et qui vérifie que cela se produise ?
4. Accès : quel fonctionnaire ou quelle entité peut consulter les données et en vertu de quelle autorisation ?
5. Audit : chaque accès laisse-t-il une trace vérifiable par un superviseur indépendant ?
6. Garanties procédurales : une personne peut-elle contester un blocage, corriger une erreur et obtenir réparation ?
7. Changement de règles : les utilisations peuvent-elles être élargies sans débat public ni contrôle judiciaire ?
8. Choix : l’argent liquide et des alternatives privées viables restent-ils disponibles ?

La prévention de la fraude, du blanchiment d’argent et d’autres délits répond à des besoins légitimes. C’est précisément pour cela qu’il convient de remplacer l’accès discrétionnaire par des règles générales : finalité définie, nécessité, proportionnalité, autorisation, traçabilité et examen indépendant. Les limites légales au pouvoir public n’empêchent pas d’enquêter ; elles visent à ce que l’exception ne devienne pas une surveillance ordinaire.

Idée clé : une sauvegarde est crédible lorsqu’elle associe une règle claire, une mise en œuvre vérifiable, une surveillance indépendante et un recours pour la personne concernée.

Vie privée et liberté de choix

Dans une perspective libérale, la vie privée financière protège une sphère d’autonomie quotidienne. Acheter un livre, soutenir une association ou recevoir un traitement médical ne devrait pas transformer une personne en objet d’un suivi permanent. Cette liberté ne repose pas sur la dissimulation de toute activité face à toute enquête, mais sur le fait d’empêcher le pouvoir d’observer ou de conditionner chacun sans motif individualisé.

Il importe également de pouvoir en sortir. Si une CBDC coexiste avec l’argent liquide et des moyens privés, les personnes conservent des solutions de rechange face aux défaillances, à l’exclusion ou aux changements de politique. Si elle devient l’unique moyen pratique de paiement, même une garantie formellement généreuse perd de sa force : l’utilisateur ne peut plus refuser des conditions intrusives.

Les monnaies numériques de banque centrale ne mènent pas inévitablement à une surveillance totale ni à une vie privée supérieure. Elles peuvent être conçues avec une exposition limitée, mais aussi concentrer des données et des capacités. L’évaluation responsable commence là où s’arrête l’étiquette : dans le parcours réel de l’information, les prérogatives légales, les contrôles indépendants et la possibilité effective de choisir. C’est là que se décide si une innovation monétaire sert les personnes ou accroît un pouvoir qu’il sera ensuite difficile de limiter.