Que deviennent vos données d'exchange après le passage de vos cryptos en self-custody ?

TL;DR :

• Passer ses cryptos en self-custody change qui détient l’actif, pas ce que l’exchange a déjà dans ses dossiers. La self-custody retire l’actif de la garde de l’exchange et de son solde de compte actif. Elle ne supprime pas les registres historiques de soldes, de transactions, d’identité et d’adresses de retrait déjà conservés par l’exchange.
• Fermer le compte n’efface pas immédiatement les registres d’identité et de transaction que l’exchange doit conserver. Les règles anti-blanchiment de l’UE imposent aux plateformes crypto couvertes de garder les documents d’identification des clients et les registres de transactions pendant cinq ans après la fin de la relation client, et les États membres peuvent prolonger. Sous une période de conservation de cinq ans applicable, fermer un compte en 2026 peut signifier que certains registres subsistent jusqu’en 2031.
• Un retrait vers votre propre wallet est enregistré, mais ce n’est pas la même chose qu’être surveillé. L’exchange qui a traité le retrait ne devient pas pour autant un déclarant permanent de chaque transaction ultérieure de ce wallet. Les interactions ultérieures avec un CASP (prestataire de services sur crypto-actifs) peuvent créer leurs propres nouveaux registres et événements de communication.

Vous avez déjà utilisé un exchange avec KYC et vous avez retiré. Quelles données restent derrière ?

Disons que vous avez ouvert un compte sur un exchange de l’UE en 2021. Pour être vérifié, vous avez remis une photo de passeport, un selfie, votre adresse personnelle et une carte bancaire : ce processus s’appelle le KYC, les vérifications et informations qu’une plateforme utilise pour confirmer qui vous êtes. En juin 2026, vous avez tout déplacé vers un wallet en self-custody (un portefeuille non custodial dont vous détenez les clés privées), puis vous avez aussi fermé le compte. Les cryptos sont maintenant à une adresse que vous contrôlez. C’est une rupture nette dans la garde, mais pas dans la conservation des données.

Comprendre pourquoi compte pour une raison pratique : le dossier de l’exchange peut relier l’identité et l’adresse vérifiées à l’historique du compte et des soldes. Si ce dossier fuit un jour, vous ne pouvez pas y remédier comme vous remédiez à un mot de passe fuité. Un mot de passe se change en une minute. Les faits d’identité fondamentaux et les registres historiques de vérification ne peuvent pas être rendus obsolètes de la même manière. Nous les appellerions des données d’identité non renouvelables : des faits d’identité fondamentaux et des registres historiques de vérification, comme la date de naissance, les images de documents déjà soumises et les adresses vérifiées par le passé, qui ne peuvent pas être neutralisés simplement en changeant un identifiant.

Cette page cartographie ce qu’un exchange conserve après votre départ, quelles parties peuvent être communiquées ou transmises, et quelle couche de risque change vraiment quand vous passez en self-custody. Le but est de vous aider à distinguer les risques que le déplacement de vos cryptos réduit des risques que seules de meilleures décisions sur vos données peuvent réduire.

Ce que votre exchange conserve, et quelles parties peuvent être communiquées

Commencez par ce qu’il y a réellement dans le dossier. Il contient souvent plus que les seuls documents d’identité, et il se divise en quatre catégories.

Données d’identité et de vérification. La couche KYC : nom légal, date de naissance, images de documents d’identité, selfies, adresse personnelle et souvent numéros d’identification fiscale. Collectées pour satisfaire aux exigences de vérification d’identité, de lutte anti-blanchiment et de conformité associée, les champs exacts variant selon la plateforme et le profil de risque du client.

Historique du compte et des soldes. Ce que vous déteniez, quand, et combien cela valait, y compris des instantanés de solde qui persistent après que le solde lui-même est tombé à zéro.

Registres de trading, de retraits et de transferts. Les registres des transactions, dépôts et retraits traités via le compte, y compris les adresses de destination utilisées pour les retraits.

Données d’appareils, d’accès et de risque. Les plateformes peuvent aussi enregistrer des identifiants d’appareils, des données de session liées à l’IP, l’activité de connexion, les interactions avec le site et des signaux de risque. Tous les champs ne sont pas spécifiquement imposés par la loi : les plateformes collectent des combinaisons différentes pour la sécurité du compte, la prévention de la fraude, la conformité, l’exploitation du service et l’analyse produit. La documentation publique de confidentialité de Coinbase, pour prendre l’exemple d’une grande plateforme, liste les « comportements en ligne », les données d’appareils et les journaux d’activité parmi les catégories auxquelles un client peut demander accès.

La distinction suivante est où va chaque partie du dossier. Les quatre catégories ci-dessus ne correspondent pas une à une à des destinations ; la même donnée peut se trouver dans plusieurs canaux à la fois.

La plus grande partie du dossier reste dans les registres internes de l’exchange. Une tranche définie est communiquée aux autorités fiscales au titre de DAC8, la règle de l’UE par laquelle les plateformes crypto couvertes communiquent des informations spécifiées sur les clients et les transactions via l’autorité fiscale applicable, après quoi les informations peuvent être échangées entre autorités fiscales, couvrant l’activité à partir de la période de communication 2026. Les informations couvertes par cette communication sont précises : des données d’identité comme le nom, l’adresse, la résidence fiscale et le numéro d’identification fiscale, plus des données agrégées de transactions par type de crypto-actif et catégories de transactions. C’est plus étroit que tout ce que la plateforme détient : notre référence sur DAC8 et les retraits vers la self-custody explique quand et comment les premières communications circulent dans le système.

Une tranche séparée accompagne les transferts régulés au titre de la Travel Rule de l’UE (TFR, la règle qui exige que les transferts voyagent avec des informations identifiant le donneur d’ordre et le bénéficiaire). Les obligations pèsent ici sur les CASP, les prestataires de services sur crypto-actifs, la catégorie régulée qui peut inclure des exchanges, des dépositaires et des prestataires offrant des services de change crypto-fiat. Pour les transferts impliquant des wallets auto-hébergés au-dessus de 1 000 €, les CASP doivent aussi évaluer, le cas échéant, si l’adresse est détenue ou contrôlée par le client impliqué dans le transfert. L’« adresse » évaluée là est ce que les règles appellent une adresse auto-hébergée : une adresse contrôlée via un wallet que vous gérez vous-même, du type de celui vers lequel l’exemple de cet article a migré.

Et au-delà de ces deux canaux, les plateformes peuvent aussi être tenues de fournir des registres supplémentaires en réponse à des demandes légales et circonscrites au cas des autorités compétentes.

Un incident réel montre ce que contient la couche interne quand elle remonte à la surface. En mai 2025, Coinbase a révélé, dans un dépôt auprès de la Securities and Exchange Commission américaine, que des personnes occupant des postes de support à l’étranger avaient été soudoyées pour obtenir des données des systèmes internes. Les données compromises comprenaient des noms, adresses, numéros de téléphone et e-mails ; des numéros de sécurité sociale masqués ; des identifiants bancaires masqués ; des images de documents officiels ; et des données de compte, y compris des instantanés de solde et l’historique des transactions. Une notification réglementaire séparée a chiffré à 69 461 le nombre de clients touchés. Aucun mot de passe ni aucune clé privée n’ont été pris, et les données exposées ne donnaient pas en elles-mêmes un accès direct aux fonds des clients. L’exposition durable était la couche de l’identité et des informations de compte : une fuite réelle montre pourquoi la distinction compte, car les registres d’identité et les informations de compte peuvent rester précieux longtemps après qu’un mot de passe a été changé.

La leçon pratique de la carte : ce que votre autorité fiscale reçoit automatiquement est une tranche définie. L’exposition plus large vient de l’ensemble plus vaste de données que la plateforme conserve, pas seulement des champs communiqués automatiquement.

Fermer votre compte supprime-t-il vos données ?

Pas les registres qui comptent ici. Fermer un compte d’exchange n’efface normalement pas les registres d’identité, de transaction et de transfert que la plateforme est légalement tenue de conserver, même si d’autres données, comme les préférences marketing ou les réponses aux enquêtes, peuvent être supprimées ou anonymisées sur demande.

La raison n’est pas la politique de la plateforme mais le droit anti-blanchiment de l’UE. Les plateformes crypto qui sont des entités assujetties au cadre anti-blanchiment de l’UE doivent garder des copies des documents d’identification des clients et les registres de transactions pendant cinq ans après la fin de la relation d’affaires, et les États membres peuvent prolonger cette durée jusqu’à cinq ans de plus. Le nouveau règlement anti-blanchiment de l’UE, directement applicable, reconduit le cadre de conservation de base quand il commencera à s’appliquer en juillet 2027. Donc, dans l’exemple qui ouvre cet article : si la période de conservation applicable est de cinq ans à compter de la fin de la relation client, fermer le compte en juin 2026 peut signifier que certains registres subsistent au moins jusqu’à la mi-2031, plus longtemps là où un État membre a prolongé la période, et plus longtemps encore si un litige ou une enquête intervient.

Voyez-le comme vous verriez une banque : fermer le compte met fin à la relation, cela ne passe pas le dossier au broyeur. Ce que la fermeture d’un compte change bel et bien, c’est l’avenir. Les données ordinaires de trading, de soldes et de sessions cessent en général de s’accumuler. Le registre historique demeure, même si l’activité ordinaire du compte s’est arrêtée.

Fermer un compte peut arrêter l’accumulation de nouvelles données. Ce n’est pas un moyen d’effacer le registre historique, et le savoir vous dit où sont vos vraies options, ce qui est là où cet article aboutit.

L’exchange peut-il encore voir mon wallet après le retrait ?

Sur une blockchain publique, n’importe qui, y compris votre ancien exchange, peut regarder n’importe quelle adresse. Mais « peut regarder un registre public » et « a une relation de communication continue avec votre wallet » sont deux choses très différentes, et les confondre est une mauvaise lecture fréquente dans ce domaine.

Décomposez l’événement en trois couches :

Le retrait est enregistré. Quand vous avez sorti vos cryptos, l’exchange a enregistré ce transfert, avec le montant, l’actif et l’adresse de destination, dans ses registres de transferts et de compte, la même catégorie de registres décrite ci-dessus.

Le registre peut alimenter la communication applicable. Selon les règles qui s’appliquent, les informations sur ce transfert ou sur vous en tant que client peuvent devoir être conservées, transmises avec le transfert, ou reflétées dans la communication périodique. Ce sont des régimes différents avec des rythmes différents, un paquet de données Travel Rule n’est pas une communication fiscale, et ils s’attachent à l’événement et à la relation client, pas à votre wallet en tant que tel. Notre référence sur DAC8 et les retraits couvre lesquels de ces flux sont automatiques et lesquels ne le sont pas.

L’activité ultérieure du wallet n’est pas automatiquement une communication de l’exchange. L’exchange qui a traité le retrait ne devient pas pour autant un déclarant permanent de chaque transaction ultérieure de ce wallet. Les interactions ultérieures avec un CASP peuvent créer leurs propres nouveaux registres et événements de communication.

Deux mises en garde honnêtes empêchent que cela devienne trop confortable. Savoir si les autorités fiscales ou les sociétés d’analyse peuvent réassocier votre activité on-chain ultérieure au registre du retrait est une question distincte : un registre public signifie que l’observation est toujours possible, même là où aucune obligation de communication n’existe. Et chaque prestataire couvert que vous utiliserez ensuite peut créer ses propres registres et avoir ses propres obligations de communication, selon le service, la transaction et les règles applicables : la relation de données avec votre ancien exchange s’éteint ; de nouvelles commencent partout où vous irez ensuite.

La frontière : retirer vers la self-custody est une action ordinaire et licite. Elle peut toujours être filtrée ou examinée comme d’autres transferts, mais elle ne crée pas en elle-même une relation de communication permanente entre l’exchange et chaque transaction ultérieure du wallet.

Ce que la self-custody change vraiment, et ce qu’elle ne change pas

Pour la personne de notre exemple, trois choses ont changé et trois non.

Ce qui a changé : la garde et le contrôle de l’actif, car l’exchange ne le détient plus et ne l’affiche plus comme solde actif d’un client ; la surface future, car avec le compte fermé, les données ordinaires de trading, de soldes et de sessions cessent en général de s’accumuler ; et la forme de l’exposition future, car il n’y a pas de solde actif qu’un futur incident chez cet exchange pourrait capturer.

Ce qui n’a pas changé : les registres historiques de KYC, de soldes et de transactions, aussi longtemps que le droit de la conservation les retient, et des registres supplémentaires de conformité ou administratifs peuvent encore être créés même après la fermeture ; la possibilité que ce dossier historique fuie ; et vos obligations fiscales. Passer en self-custody change où se trouvent vos actifs, cela ne change pas ce que vous devez. Comme le dit notre référence DAC8, les règles de communication changent ce que l’autorité fiscale sait, pas ce qui est dû.

Au total : le déplacement réduit l’exposition future de garde et limite les nouvelles données de compte détenues par cet exchange. Il n’efface pas le dossier historique, et il n’empêche pas l’activité sur une blockchain publique d’être observée ailleurs.

La self-custody retire les actifs du contrôle de l’exchange, pas vos registres historiques d’identité et de transaction de ses systèmes. Cela explique à la fois la protection tournée vers l’avenir que la self-custody peut offrir et l’exposition tournée vers le passé qu’elle ne peut pas supprimer.

Votre situation → vos options

Vous détenez encore la plupart de vos cryptos sur un exchange et n’avez pas encore bougé. Sachez avant de bouger ce qui restera derrière : tout ce qui précède. Les actions qui changent votre surface future sont réduire le solde permanent que vous gardez sur la plateforme, fermer les comptes inactifs et éviter les comptes en double et les envois de documents d’identité inutiles auprès de services que vous ne comptez pas utiliser. Là où cela ne s’applique pas : si vous avez encore besoin d’un on/off-ramp fiat, garder un compte vérifié est un coût raisonnable ; voyez notre référence sur le remplacement des fonctions d’un exchange pour ce qui se déplace et ce qui reste.

Vous avez déjà bougé, et ce sont les données historiques qui vous inquiètent. Vous ne pouvez pas les rappeler, mais vous pouvez les borner. Téléchargez et conservez vos propres copies de l’historique des transactions et des retraits, y compris des comptes que vous avez fermés, lisez la politique de la plateforme sur la fermeture de compte et la conservation pour que le calendrier ne réserve pas de surprises, et n’attendez pas du retrait ou de la fermeture qu’ils remettent quoi que ce soit à zéro. Ce qu’il ne faut pas faire : ne laissez pas l’inconfort vis-à-vis du KYC vous pousser vers des plateformes non régulées sans KYC ; vous risqueriez de remplacer une préoccupation de conservation de données par un risque de contrepartie et de récupération plus sérieux.

Une fuite de données ou un article sur des agressions physiques de détenteurs de cryptos vous a fait peur. Séparez les couches. Déplacer l’actif protège contre l’exposition future de garde chez l’exchange, mais ne supprime pas le risque d’identité déjà stocké dans le dossier KYC de l’exchange. Changez ce qui se change : mots de passe, méthodes de double authentification, e-mail lié. Pour ce qui ne se change pas, relevez votre garde contre le phishing ciblé qui cite vos vrais détails, et suivez les remèdes formels de la plateforme. La pratique de sécurité physique personnelle compte et a sa propre littérature ; elle dépasse ce que couvre cette référence.

Vous avez hésité à retirer parce qu’on vous a dit que cela vous fait repérer. Un retrait peut être enregistré et filtré sans placer le wallet dans une relation de communication permanente avec l’exchange. La distinction importante est entre un transfert qui entre dans les registres de conformité et l’exchange qui deviendrait un déclarant continu de toute l’activité ultérieure du wallet : la section sur la frontière ci-dessus la parcourt, et la référence sur DAC8 et les retraits est la carte la plus complète de la filière de communication elle-même.

FAQ

Puis-je demander à l’exchange de supprimer mes données au titre du RGPD ?

Vous pouvez le demander, mais le droit à l’effacement n’est pas absolu. Sous le droit de la protection des données de l’UE, un exchange peut refuser de supprimer les registres qu’il doit conserver pour respecter des obligations légales, comme les périodes de conservation décrites ci-dessus, tout en supprimant ou en restreignant d’autres données qui ne sont plus nécessaires. La documentation publique de confidentialité d’une grande plateforme illustre le partage : des catégories comme les données marketing et les réponses aux enquêtes peuvent être supprimées librement, tandis que la suppression des données d’identité ou de transaction exige la fermeture du compte, et que les données soumises à une conservation réglementaire ne sont pas supprimées tant que ces exigences n’ont pas été satisfaites.

Si mon exchange a subi une fuite de données, que faire concrètement ?

Changez ce qui peut être changé : mot de passe, méthode de double authentification, e-mail lié, même si la plateforme dit que les identifiants n’ont pas été pris. Pour ce qui ne peut pas être changé, partez du principe que le phishing ciblé finira par citer de vrais détails issus de la fuite, et traitez ces détails comme l’indice d’un ciblage possible, pas comme la preuve qu’un message est authentique. Le fait qu’un message connaisse votre adresse ou votre solde n’en fait pas le support de votre plateforme. Utilisez les remèdes formels de la plateforme, comme la surveillance de crédit ou le support dédié, lorsqu’ils sont proposés.

Mes données sont-elles plus en sécurité chez un petit exchange que chez un grand ?

La taille seule n’est pas une mesure fiable de la sécurité des données. Ce qui détermine votre exposition, c’est ce que la plateforme collecte, à quel point elle le centralise, combien de temps elle le conserve et comment elle contrôle les accès internes et ceux des prestataires. La comparaison utile est la substance de la politique de confidentialité, pas la taille de la marque.

---

DeGate développe un wallet self-custody multichain. Cette référence vise à expliquer à la fois ce que la self-custody change et ce qu’elle ne change pas. Ce n’est pas un conseil juridique, fiscal ou de sécurité ; les périodes de conservation, les politiques des plateformes et les règles de communication varient selon l’État membre et évoluent dans le temps. Vérifiez auprès des sources primaires ci-dessous ou d’un conseiller qualifié.