Banques centrales vs régulateurs de données
Si les pouces de colonne sont un indicateur, les nouveaux systèmes monétaires basés sur la monnaie numérique de la banque centrale (connus familièrement sous le nom de CBDC) regardent les cartes pour la plupart des juridictions occidentales. Les partisans de ces régimes affirment qu’ils sont susceptibles d’élargir l’accessibilité financière et de réduire le coût des transactions.
En réalité, cependant, il y a à la fois des avantages et des inconvénients à instituer des CBDC. Parmi les inconvénients, reconnus par la plupart des banquiers centraux, figurent les impacts négatifs potentiels sur la disponibilité des financements bancaires et la confidentialité.
Mais il y a un autre problème négligé.
Si, comme cela semble de plus en plus probable, un régime CBDC initie une ère d’argent lié à l’identité, la question de savoir qui contrôle les données et comment les violations seront traitées deviendra de plus en plus centrale dans la politique monétaire.
Que les banques centrales choisissent d’externaliser cette gestion à des banques ou à d’autres entités privées, ou qu’elles trouvent des moyens de compartimenter les données, il est juste de supposer que les responsables monétaires resteront responsables de toute violation des règles de protection des données.
Cela invite à la possibilité embarrassante que, quelque part comme le Royaume-Uni, les pouvoirs de la Banque d’Angleterre puissent, dans certaines circonstances, être restreints par le Bureau du commissaire à l’information (ICO).
Étant donné l’étendue des renseignements personnels que les CBDC peuvent finir par détenir sur les gens, cela peut sembler rationnel. Pourquoi la BoE, comme d’autres organismes publics, ne serait-elle pas responsable devant l’ICO ?
FT Alphaville a eu des discussions avec des banquiers centraux qui ont ouvertement déclaré que les CBDC, tout en détenant des données de transaction, intégreraient très probablement des informations de crédit dans leurs réserves de données (et peut-être même des ensembles plus larges de données personnelles).
Cela introduit la possibilité très réelle que, dans un avenir pas trop lointain, l’argent futur pourrait se transformer d’être quelque chose de neutre et universellement équivalent (et donc fongible) en quelque chose de beaucoup plus sur mesure et conditionnel.
Pensez aux points de vente des supermarchés, comme exemple d’endroit où les choses pourraient se diriger. Ils récompensent votre fidélité et votre prévisibilité, générant le plus grand pouvoir d’achat lorsqu’ils sont utilisés conjointement avec des offres de vente spéciales. C’est-à-dire lorsque les dépenses correspondent le plus aux intérêts du supermarché.
Quel que soit le point de vue sur l’opportunité d’un tel système, le défi que présente la structure en termes de protection des données est indéniable.
À qui la BoE confiera le travail de gestion des données, le scénario positionnera la banque centrale en première ligne de la guerre contre la fraude aux données et à l’identité. Ce n’est pas nécessairement quelque chose auquel il est habitué.
déterminer ce qui constitue un incident d’accès aux données autorisé ou non autorisé peut souvent être incroyablement subjectif.
Dans le cas des banques, ce sont le médiateur financier et la FCA qui jouent le plus grand rôle dans la détermination de l’issue des affaires personnelles. La supervision de l’ICO, quant à elle, a tendance à se concentrer sur les violations au niveau institutionnel qui ne sont pas liées à des attaques de phishing ou à des cas d’usurpation d’identité qui ont un impact direct sur les clients.
Mais et si une CBDC était piratée ?
Considérons l’hypothèse suivante. Les responsables de la BoE se réveillent un matin pour découvrir que le système CBDC du Royaume-Uni a été piraté et que les données personnelles de millions d’utilisateurs ont été volées. Pire que cela, les données sont utilisées pour initier des transactions non autorisées qui épuisent les comptes d’innombrables victimes.
La question, à ce stade, n’est pas seulement ce que la BoE peut faire pour annuler ces transactions, mais aussi si elle doit indemniser les victimes si elle ne le peut pas et, dans l’affirmative, dans quelle mesure. Une autre question cruciale est de savoir comment cette compensation devrait être financée.
Dans l’ancien monde des banques centrales non CBDC, il appartenait – dans la plupart des circonstances – à la banque centrale de déterminer la réponse à tout incident majeur de piratage de liquidités ou de capital compromettant comme celui-ci. Mais dans un monde CBDC, où les pratiques de gestion des données de la banque centrale sont soumises à l’autorité de réglementation de l’ICO, il est très possible que la banque centrale doive s’en remettre au régulateur des données pour obtenir des conseils.
Pour l’instant, l’ICO n’a pas le pouvoir de dicter le montant d’indemnisation qu’une institution doit offrir aux clients touchés par la violation, même si cela peut fortement influencer les choses. Ses pouvoirs se limitent à infliger des amendes directement aux institutions en cas d’infraction. Mais un régulateur de données « infligeant une amende » à une banque centrale pour mauvaise pratique semble une proposition absurde à bien des égards.
Alors, comment une violation massive de données dans une structure CBDC pourrait-elle se dérouler ?
aux épisodes de piratage qui ont déjà été vécus dans l’espace des crypto-monnaies, notamment dans le cas de Bitfinex en 2016, la rupture de contrat intelligent DAO la même année et le piratage Poly Network de cette semaine.
On peut soutenir que tous ces épisodes ont conduit à des réponses au niveau de la « politique monétaire » au sein de leurs systèmes natifs.
Dans l’affaire Bitfinex, la bourse a opté pour un renflouement efficace pour répartir le coût de la violation de données sur l’ensemble de sa base d’utilisateurs (que les utilisateurs aient été directement touchés ou non). Dans l’incident du DAO, il a été déterminé que l’option nucléaire d’une réinitialisation du système était le meilleur pari (sapant toute la notion de code est la loi et conduisant à une vaste inversion des transactions, y compris celles tout à fait légitimes).
Plus récemment, dans l’épisode Poly Network, l’institution a plutôt entamé une négociation directe avec les pirates. L’espoir était de neutraliser l’impact du piratage via une sensibilisation morale directement à l’auteur. * En persuadant le pirate informatique de restituer une grande partie des fonds volés, l’incident a sans doute été transformé d’une fraude de plusieurs milliards de dollars en un test de pénétration par procuration. Tous les fonds conservés par le pirate informatique dans ce scénario pourraient être considérés comme une prime de bogue.
La grande différence entre ces cas et une violation potentielle de la CBDC est que les institutions cryptographiques en question avaient l’autonomie pour déterminer leur propre choix de réponse. Dans une violation de CBDC, déterminer comment procéder pourrait ne pas dépendre autant de la banque centrale que du régulateur des données.
Cela pourrait avoir des implications considérables pour la politique monétaire et la surveillance financière, car ce qui est bon pour les victimes de violations de données peut ne pas l’être pour la stabilité financière.
Il convient également de noter que de nombreuses juridictions actuellement en course pour lancer des CBDC, comme le Ghana, sont entièrement nouvelles dans l’institution de normes ou de réglementations en matière de protection des données. Les lois chinoises sur la protection des données, quant à elles, viennent tout juste d’entrer en vigueur et il est peu probable qu’elles protègent les utilisateurs des autorités elles-mêmes. Cela introduit en outre le risque que les utilisateurs de leurs systèmes soient exceptionnellement vulnérables non seulement aux piratages, mais également à l’exploitation de leurs données par les autorités elles-mêmes.
Dans cette optique, l’espoir que les CBDC rendent enfin les systèmes financiers interopérables sur une base transfrontalière est probablement assez fantaisiste. La réglementation des données est, après tout, encore moins alignée dans le monde que ne l’est la réglementation bancaire.
* La décision du pirate informatique de restituer l’argent a également très probablement été influencée par le fait que Tether, l’émetteur de pièces stables en difficulté, avait gelé une grande somme des fonds volés. Cela en soi a démontré que Tether est loin d’être une entité décentralisée. Cela a également démontré que Tether, ironiquement, est aussi enclin que les banques conventionnelles et les gouvernements à sanctionner ce qu’il considère comme de mauvais acteurs.
