MIDAS, l’outil de l’ESMA contre les abus de marché qui change le quotidien des PSCA

Dans cet article, Daniel ARROCHE, Avocat Associé au sein du cabinet d&a partners, présente MIDAS, le système de surveillance des marchés de crypto-actifs de l’ESMA, et ses conséquences pour les prestataires de services sur crypto-actifs.

Vous êtes PSCA et souhaitez préparer la transmission de vos données à MIDAS ? Le cabinet d’avocats d&a partners peut vous accompagner.

Jusqu’ici, un prestataire de services sur crypto-actifs agréé dans l’Union européenne devait conserver la trace de ses ordres et de ses transactions, et la remettre à son autorité lorsque celle-ci la lui demandait.

Ce schéma est en train de changer : ces données vont désormais partir, à intervalles réguliers et dans un format imposé, vers un système central de détection des abus de marché.

Le 21 octobre 2026, l’Autorité européenne des marchés financiers (ESMA) a publié les instructions de déclaration de MIDAS, son système central de surveillance des marchés de crypto-actifs.

Ce document technique, en apparence réservé aux équipes informatiques, dessine en réalité une nouvelle architecture de la surveillance. Qui doit transmettre quoi, qui surveille, et que doivent anticiper les prestataires ?

D’une obligation de conservation à un flux de données

Le règlement MiCA encadre notamment les prestataires de services sur crypto-actifs (PSCA), c’est-à-dire les entreprises agréées pour fournir à des clients des services tels que l’exploitation d’une plateforme de négociation, l’échange de crypto-actifs contre des fonds, l’exécution ou la réception et la transmission d’ordres.

Son titre VI interdit les abus de marché sur crypto-actifs : opérations d’initiés, divulgation illicite d’informations privilégiées et manipulations de marché.

Pour permettre la détection de ces abus, MiCA ne prévoit pas, à la différence du droit des instruments financiers, de déclaration systématique des transactions aux autorités.

Il impose en premier lieu à tous les PSCA de conserver un enregistrement de leurs services, activités, ordres et transactions.

Il exige en outre des plateformes de négociation qu’elles tiennent les données relatives aux ordres à la disposition des autorités pendant au moins cinq ans.

Il confère enfin aux autorités nationales compétentes le pouvoir d’exiger de toute personne la communication d’informations et de documents.

Autrement dit, le dispositif reposait sur une logique de conservation et de communication à la demande.

MIDAS le transforme en un flux : les PSCA doivent désormais transmettre leurs données selon un calendrier et un format fixés, pour qu’elles soient passées au crible d’algorithmes de détection.

Le rapprochement avec les entreprises d’investissement vient naturellement. Celles-ci déclarent leurs transactions sur instruments financiers à leur autorité, au plus tard le jour ouvré suivant, en application de MiFIR.

Qui transmet quoi, et comment

Les instructions distinguent deux flux de données, désignés par la référence de leur message :

(1) les données d’exécution, qui retracent les transactions exécutées et dont la transmission est obligatoire pour tous les PSCA ;

(2) les données de carnet d’ordres, qui couvrent l’ensemble du cycle de vie des ordres (saisie, modification, annulation, exécution partielle ou totale) et que seuls les PSCA exploitant une plateforme de négociation doivent transmettre, en plus de leurs données d’exécution.

La mécanique est strictement normée. Les données sont déposées sous forme de fichiers JSON sur un point d’accès sécurisé (SFTP) dédié, toutes les deux semaines, une autre fréquence pouvant être convenue avec le prestataire technique de l’ESMA et les autorités nationales.

Les fichiers subissent trois niveaux de contrôle, portant sur la transmission, le fichier lui-même et son contenu. Un fichier qui ne respecte pas la convention de nommage ou le format est rejeté automatiquement, sans qu’aucun enregistrement soit traité.

Les retours de contrôle sont déposés dans le répertoire SFTP du PSCA, en principe dans les deux heures suivant la réception, sans notification par courriel.

Un prestataire qui ne lit pas ces fichiers de retour peut donc croire ses obligations remplies alors qu’une partie de ses données a été rejetée.

L’entrée dans le dispositif se fait au cas par cas. Le PSCA adresse une demande d’intégration au support MIDAS de l’ESMA, procède à des tests dans un environnement dédié, puis l’autorité nationale dont il relève approuve le passage en production.

Les envois réguliers commencent ensuite à une date fixée. Il n’existe donc pas de date de démarrage commune à l’échelle européenne.

Qui surveille : l’ESMA détecte, les autorités nationales sanctionnent

Le document est explicite sur la répartition des rôles. Il rappelle que l’ESMA n’a pas de rôle formel de supervision sous MiCA : les autorités nationales conservent la responsabilité de la supervision et de l’exécution.

Ce sont elles qui ont collectivement décidé de centraliser la capacité technique de collecte et d’analyse des données. Par des accords de délégation, elles ont confié à l’ESMA la collecte, le traitement et le contrôle de qualité des données ainsi que la production et la diffusion des alertes.

Les instructions ne précisent en revanche ni le nombre ni l’identité des autorités nationales signataires de ces accords.

Les données personnelles, enjeu de la phase suivante

MIDAS est déployé par phases. La première exclut les données personnelles, les données non publiques des PSCA, les données de supervision et les informations relevant d’enquêtes, telles que les déclarations d’opérations suspectes ou les demandes d’information.

Les phases suivantes pourront étendre le périmètre aux données de supervision, y compris à des identifiants personnels, lorsque la supervision le requiert.

Le programme de travail de l’ESMA pour 2027 prévoit le déploiement de cette deuxième phase au quatrième trimestre 2027, sous réserve de l’approbation de son Board.

Le document ne précise pas à qui ces identifiants se rapporteront. S’il s’agit, comme on peut le penser, des clients des PSCA, des identifiants personnels d’investisseurs de toute l’Union seraient centralisés dans un même système.

Cette perspective appelle deux observations. D’une part, la protection des données personnelles impose de justifier la nécessité et la proportionnalité d’une telle centralisation.

D’autre part, la sécurité du système deviendrait en elle-même un enjeu d’intégrité du marché : une base de cette nature constituerait une cible de choix, à l’heure où les fuites de données font régulièrement l’actualité.

Ce que les PSCA doivent anticiper

Pour les prestataires, la conservation des enregistrements devient une chaîne de déclaration à part entière, qui appelle une organisation comparable à celle que les entreprises d’investissement ont mise en place pour leurs déclarations de transactions.

En pratique, plusieurs chantiers paraissent devoir être engagés sans attendre :

(1) cartographier les données d’exécution, et pour les plateformes les données de carnet d’ordres, au regard des champs et du format JSON imposés ;

(2) mettre en place la chaîne technique de dépôt sur SFTP et organiser les tests avec le prestataire de l’ESMA ;

(3) désigner un responsable du suivi des fichiers de retour et des corrections, faute de quoi des rejets pourraient passer inaperçus ;

(4) documenter le dispositif dans les procédures de conformité et de prévention des abus de marché, et en rendre compte à l’organe de direction ;

(5) préparer dès à présent la phase suivante, en anticipant les questions de protection des données que soulèvera la transmission d’identifiants personnels.

Les plus exposées sont les plateformes de négociation, dont le volume de données est sans commune mesure avec celui des autres prestataires. Mais la transmission des données d’exécution est obligatoire pour tous les PSCA.

Une européanisation de fait

MIDAS s’inscrit dans un débat plus large. Le paquet sur l’intégration et la supervision des marchés (Market Integration and Supervision Package, ou MISP), proposé par la Commission européenne en décembre 2025, envisageait de confier à l’ESMA la supervision directe de l’ensemble des PSCA.

Reste que, sans attendre l’issue de ces négociations, la détection des abus de marché sur crypto-actifs se centralise déjà au niveau européen, par la voie technique et contractuelle des accords de délégation.

Les autorités nationales conservent les enquêtes et les sanctions, mais c’est un outil européen qui produira les alertes susceptibles d’en être à l’origine.

Conclusion

Derrière un document technique se dessine un changement de nature des obligations des PSCA : la conservation passive des données cède la place à une transmission régulière, contrôlée et analysée par des algorithmes de détection.

Le cabinet accompagne les PSCA dans l’analyse de ces obligations et dans l’adaptation de leurs procédures.

---

Avertissement. Cet article est publié à titre d’information générale. Il reflète l’état des textes et des publications disponibles au 28 octobre 2026 et n’a pas vocation à être mis à jour. Il ne constitue pas un conseil juridique et ne crée aucune relation entre un avocat et son client. Toute situation particulière appelle une analyse fondée sur ses propres faits. Ni d&a partners ni l’auteur ne sauraient être tenus responsables de décisions prises sur le seul fondement de cet article.