Les alertes MIDAS de l’ESMA à l’épreuve de la procédure pénale

Toutes les deux semaines, les prestataires de services sur crypto-actifs doivent transmettre leurs ordres et transactions à MIDAS, le système de surveillance de l’ESMA, qui les soumet à des indicateurs de détection et produit des alertes d’abus de marché. Ces alertes ne désignent personne et n’émanent d’aucune autorité clairement identifiée. Elles peuvent pourtant conduire au procureur de la République. Le droit français encadre déjà ce passage, par une règle rarement invoquée.

En bref

• MIDAS est le système central de détection des abus de marché sur crypto-actifs exploité par l’ESMA. Ses instructions de déclaration ont été publiées le 21 octobre 2026.
• L’ESMA calcule les alertes pour le compte des autorités nationales, sans pouvoir de surveillance propre. Les accords de délégation qui l’y autorisent ne sont pas publiés.
• En France, l’alerte parvient à l’AMF, tenue d’aviser le procureur de la République de tout délit dont elle acquiert la connaissance.
• L’information confidentielle reçue d’une autorité européenne de surveillance ne peut être divulguée sans l’accord exprès de celle-ci (art. L. 632-1-A CMF). Cette règle commande la transmission de l’alerte au parquet comme son accès par la défense.

La présentation officielle : un instrument technique

Selon les instructions publiées le 21 octobre 2026, les prestataires de services sur crypto-actifs (PSCA) transmettent à MIDAS leurs ordres et transactions toutes les deux semaines, sous forme de fichiers JSON, après approbation de leur passage en production par l’autorité nationale compétente.¹ Le système contrôle ces données, leur applique des indicateurs de détection et produit des alertes.

L’ESMA présente MIDAS comme un outil. Les instructions précisent : « ESMA has no formal supervisory role in MiCA ». Les suites relèvent des seules autorités nationales : demande d’informations, enquête, sanction.¹

Dans cette présentation, l’alerte demeure un signal interne aux autorités. Elle n’emporte, par elle-même, aucun effet à l’égard de la personne concernée.

De l’alerte à la poursuite pénale

Une alerte peut déclencher une enquête de l’AMF. Cette enquête peut conduire à la saisine du procureur de la République, puis du tribunal correctionnel. Le droit français encadre déjà ce parcours par une règle rarement invoquée : celle qui régit l’usage des informations reçues d’une autorité européenne.

Une alerte sans auteur juridiquement identifié

Les autorités nationales ont délégué à l’ESMA la collecte et le traitement des données, leur contrôle de qualité, le calcul des alertes et leur distribution. Cette délégation repose sur l’article 28 du règlement (UE) n° 1095/2010. Selon les instructions, « A delegation can only cover tasks and not supervisory responsibilities ».¹

L’ESMA a confié le projet à un prestataire privé, retenu par marché public ; la page de garde des instructions le désigne comme « Solution Provider ».¹ Le périmètre des données collectées a déjà été étendu par un « Delegated Project Board », afin d’affiner la calibration des alertes et de « minimize false positives ».¹

L’article 28, § 4, du règlement n° 1095/2010 oblige l’ESMA à publier les accords de délégation. Au 2 novembre 2026, la page qu’elle leur consacre n’en mentionne aucun relatif à MiCA.² Ni l’identité des autorités signataires ni les conditions de circulation de l’alerte ne sont donc publiquement établies.

Une alerte qui vise des ordres, non des personnes

En phase 1, MIDAS exclut les données personnelles, les déclarations d’opérations suspectes et les demandes d’informations. Les champs relatifs à l’acheteur et au vendeur ne portent qu’une valeur par défaut (« BUYI » ou « SELL ») : l’identité n’est pas déclarée.¹

L’alerte ne peut donc désigner le client à l’origine des ordres. Elle vise un PSCA et une séquence d’ordres. L’identification relève ensuite des pouvoirs d’enquête de l’autorité nationale. L’alerte constitue, par nature, un point de départ d’enquête et non un élément de preuve.

Le programme de travail 2027 de l’ESMA annonce une phase 2, sous réserve de l’accord de son Board. Selon les instructions, les phases ultérieures intégreront des « personal identifiers ».³ La question se posera alors en d’autres termes.

Les voies de transmission au parquet

En France, l’alerte parvient à l’AMF, compétente pour sanctionner les opérations d’initié et les manipulations de marché portant sur des crypto-actifs (art. L. 621-15, II, d et f, CMF).

Les délits correspondants couvrent les crypto-actifs depuis le 30 décembre 2024 : délit d’initié (art. L. 465-1) et manipulation de marché (art. L. 465-3-1).⁴ L’AMF et le procureur de la République financier s’informent réciproquement avant d’engager des poursuites, et une seule voie peut être suivie (art. L. 465-3-6).

L’AMF qui acquiert la connaissance d’un délit est en outre tenue d’en aviser sans délai le procureur de la République et de lui transmettre « tous les renseignements, procès-verbaux et actes qui y sont relatifs » (art. L. 621-20-1). La chambre criminelle a déjà eu à connaître de ce mécanisme : une information du chef de délit d’initié avait été étendue à la suite d’un signalement de l’AMF accompagné de pièces de son enquête.⁵

Le principe de spécialité

Aux termes de l’article L. 632-1-A CMF, les informations confidentielles reçues par l’AMF « de la part d’une autorité européenne de surveillance » ne peuvent être divulguées « sans l’accord exprès de l’autorité » qui les a communiquées et, le cas échéant, « aux seules fins pour lesquelles son accord a été donné ».

L’ESMA est une autorité européenne de surveillance : l’article 1er du règlement n° 1095/2010 l’institue sous cette dénomination. Elle distribue les alertes aux autorités nationales.¹

Le procureur de la République peut obtenir de l’AMF communication de tout renseignement sans que le secret lui soit opposé (art. L. 621-20-1, al. 2). Ce droit s’exerce toutefois sous réserve du troisième alinéa de l’article L. 632-16, qui rend l’article L. 632-1-A applicable à la coopération de l’AMF avec les autorités étrangères.

La chambre criminelle a fait application de cette règle. Elle a censuré un arrêt ayant admis le versement, dans une information judiciaire, de pièces transmises à l’AMF par l’autorité suisse de surveillance des marchés financiers. Ces pièces ne pouvaient être versées dans une procédure pénale « que dans le respect du principe de spécialité ».⁶ L’arrêt, non publié, concerne un pays tiers. Le texte appliqué vise indistinctement les autorités européennes de surveillance.

La portée de la règle dépend des conditions posées par l’autorité d’origine. En l’espèce, le droit suisse admettait la retransmission aux autorités pénales pour l’application de la réglementation boursière, non pour la poursuite d’un faux de droit commun.⁶ S’agissant de MIDAS, ces conditions relèvent de l’accord de délégation, qui n’est pas publié.

L’article 100 de MiCA ne résout pas la difficulté. Il autorise la divulgation nécessaire à une procédure pénale, mais ne vise que les informations « que s’échangent les autorités compétentes ».⁷

Une objection doit être examinée : l’alerte est-elle une information reçue de l’ESMA, ou une information de l’AMF élaborée pour son compte par un délégataire ? Les instructions décrivent des alertes calculées et distribuées par l’ESMA. En l’absence de publication de l’accord de délégation, la question demeure ouverte.

L’accès de la défense aux données de l’alerte

Discuter une alerte suppose d’en connaître trois éléments : l’indicateur qui l’a déclenchée, sa calibration à la date des faits et les enregistrements sur lesquels elle a été calculée. Aucun ne figure, en principe, au dossier.

Le dernier appelle une vigilance particulière. Selon les instructions, un enregistrement rejeté lors des contrôles de validation « is not held in MIDAS and will not appear in any surveillance output ».¹ La séquence soumise à l’indicateur peut donc différer de celle que le PSCA a déclarée. MIDAS conserve en revanche la version antérieure de tout enregistrement corrigé, « for audit purposes ».¹

Deux sources permettent de reconstituer ces données. Elles n’obéissent pas au même régime.

La première est l’AMF, qui détient l’alerte. La voie ouverte à la défense pour en obtenir communication dépend du cadre procédural.

En enquête préliminaire, la défense ne dispose que d’observations adressées au procureur de la République, une fois le dossier mis à sa disposition. Elles peuvent porter sur « la nécessité de procéder à de nouveaux actes » ; le refus du procureur se conteste devant le procureur général (art. 77-2 CPP).

Si une information est ouverte, la défense demande au juge d’instruction tout acte qui lui paraît « nécessaire à la manifestation de la vérité » (art. 82-1 CPP). Le juge qui refuse statue par ordonnance motivée dans le mois ; l’appel est soumis au filtre du président de la chambre de l’instruction (art. 186-1 CPP).

Saisi par citation ou par convocation, le tribunal correctionnel peut être requis, par conclusions écrites, d’ordonner tout acte nécessaire à la manifestation de la vérité. Son refus doit être spécialement motivé (art. 388-5 CPP).

Chacune de ces voies rencontre l’article L. 632-1-A. Si l’alerte est une information reçue de l’ESMA, l’AMF ne peut la communiquer sans l’accord de celle-ci, quels que soient le demandeur et le stade de la procédure.

La seconde est le PSCA lui-même. MiCA l’oblige à conserver un enregistrement de tous les ordres et transactions qu’il effectue (art. 68, § 9) et, s’il exploite une plate-forme de négociation, à tenir les données relatives aux ordres à la disposition de l’autorité compétente pendant au moins cinq ans (art. 76, § 15). Il reçoit en outre de MIDAS, pour chaque dépôt, un fichier de retour qui identifie les enregistrements rejetés et demeure sur son serveur pendant sept ans.¹

Le PSCA ne détient ni l’alerte ni l’indicateur. Il détient les données à partir desquelles l’alerte a été calculée, et ces données sont les siennes : il ne les a pas reçues de l’ESMA. L’article L. 632-1-A, qui ne régit que les informations reçues d’une autorité européenne par l’AMF, l’Autorité de contrôle prudentiel et de résolution et la Banque de France, ne fait donc pas obstacle à leur remise. Le procureur de la République en enquête (art. 77-1-1 CPP) et le juge d’instruction (art. 99-3 CPP) peuvent les requérir auprès du PSCA, au besoin sur demande de la défense formée par les voies qui précèdent.

Le principe de loyauté de la preuve n’offre ici aucune prise : il sanctionne le stratagème employé par « un agent de l’autorité publique » pour vicier la recherche de la preuve,⁸ ce qu’un indicateur de détection n’est pas. Le fondement pertinent est l’article 427 CPP : le juge ne peut fonder sa décision que sur des preuves « contradictoirement discutées devant lui ». Une alerte dont l’indicateur, la calibration et les données sources demeurent inaccessibles ne peut être ainsi discutée. Elle ne saurait, à elle seule, fonder une déclaration de culpabilité.

La réforme en discussion : le paquet MISP

La proposition de la Commission du 4 décembre 2025 place l’ensemble des PSCA agréés sous la surveillance de l’ESMA, abus de marché compris. Les déclarations d’opérations suspectes lui seraient adressées, et elle disposerait du pouvoir de « renvoyer une affaire à des fins de poursuites pénales ».⁹

Le 9 octobre 2026, le Conseil a arrêté les éléments essentiels de sa position : seuls les PSCA transfrontières les plus significatifs relèveraient immédiatement de l’ESMA, en lieu et place du régime général proposé par la Commission.¹⁰ Au 2 novembre 2026, la commission ECON du Parlement européen n’a pas adopté son rapport.¹¹

Si le texte est adopté en ce sens, l’alerte deviendra, pour ces PSCA, l’acte d’une autorité dotée de pouvoirs propres de surveillance et de renvoi. Le régime actuel demeurera pour les autres.

Conclusion : la réponse appartient à l’AMF

Tant que les accords de délégation ne sont pas publiés, une seule autorité est en mesure d’indiquer l’usage qu’elle fait d’une alerte MIDAS : l’AMF. Elle seule sait si elle a obtenu de l’ESMA l’accord exprès qu’exige l’article L. 632-1-A avant toute transmission au parquet. À défaut de réponse de sa part, il appartiendra à la défense de poser la question, au stade où se trouve la procédure, par les voies décrites plus haut.

Textes cités : règlement (UE) 2023/1114, art. 68, 76 et 100 ; règlement (UE) n° 1095/2010, art. 1er et 28 ; Code monétaire et financier, art. L. 465-1, L. 465-3-1, L. 465-3-6, L. 621-15, L. 621-20-1, L. 632-1-A et L. 632-16 ; Code de procédure pénale, art. 77-1-1, 77-2, 82-1, 99-3, 186-1, 388-5 et 427.