Prediction markets et options binaires : ce que rappelle l'ESMA aux acteurs financiers

L'Autorité européenne des marchés financiers (ESMA) a publié, le 3 juillet 2026, une déclaration rappelant à l'ensemble des acteurs financiers leurs obligations existantes face à l'essor mondial des prediction markets. Ces plateformes, qui permettent de parier sur l'issue binaire d'un événement futur, se développent à un rythme tel que le régulateur européen a jugé nécessaire de clarifier le cadre applicable plutôt que d'attendre un nouveau texte.

Ce qui s'est passé

Dans sa déclaration, l'ESMA revient sur la nature des event contracts (ou contrats événementiels) : des produits dont le paiement dépend d'une réponse binaire — oui ou non — à une question portant sur un événement futur, qu'il s'agisse d'un résultat électoral, d'une décision de banque centrale ou d'une performance sportive. Popularisés par des plateformes américaines comme Kalshi ou Polymarket, ces contrats gagnent du terrain en Europe sous des formes variées.

L'ESMA rappelle un principe simple, mais souvent ignoré des nouveaux entrants : lorsqu'un event contract est qualifié d'instrument financier, il constitue un dérivé et tombe, du fait de son issue binaire, dans le champ des mesures nationales d'intervention sur les options binaires déjà en vigueur. Ces mesures interdisent la commercialisation, la distribution ou la vente de tels produits aux clients de détail. L'ESMA précise également que la distribution de ces contrats en Europe requiert un agrément d'entreprise d'investissement, même lorsqu'ils ne sont proposés qu'à une clientèle non-retail.

Pourquoi c'est important pour la gouvernance des organisations concernées

À première vue, cette clarification technique relève du seul droit des marchés financiers et semble éloignée des préoccupations RGPD. Elle mérite pourtant l'attention des DPO et responsables conformité du secteur financier, pour une raison structurelle : les organisations qui opèrent ou envisagent de distribuer ce type de produits sont, presque systématiquement, déjà soumises à un empilement de textes européens qui se recouvrent — DORA pour la résilience opérationnelle, RGPD pour les données personnelles des clients, et potentiellement des exigences MiFID renforcées si l'agrément d'entreprise d'investissement devient nécessaire.

Comme le détaille notre guide sur DORA, NIS 2 et RGPD, les acteurs du secteur financier doivent aujourd'hui piloter leur conformité de façon transversale plutôt qu'en silos. Une plateforme de prediction markets qui collecte des données de vérification d'identité (KYC), des données de paiement et des profils de risque pour évaluer l'éligibilité de ses utilisateurs traite des données personnelles sensibles au sens du RGPD — et ce, dès sa phase de lancement, bien avant toute décision sur son statut réglementaire au regard du droit financier.

Cette clarification de l'ESMA illustre aussi une tendance de fond que Leto documente régulièrement : la gouvernance des données reste le maillon faible de nombreuses organisations. Une enquête récente montrait que seules 34 % des grandes entreprises françaises disposent d'un programme de gouvernance des données réellement effectif, alors que RGPD, AI Act, NIS 2 et DORA convergent pour exiger une traçabilité de bout en bout des traitements.

Ce que ça change concrètement pour les organisations

Pour toute organisation qui envisage de proposer, distribuer ou simplement référencer des event contracts en Europe, trois vérifications s'imposent désormais :

Qualifier le produit — déterminer si l'event contract proposé constitue un instrument financier au sens du droit national, ou s'il relève plutôt de la législation sur les jeux d'argent, deux qualifications qui n'emportent pas les mêmes obligations.

Vérifier l'agrément requis — si le produit est qualifié d'instrument financier, sa distribution nécessite un agrément d'entreprise d'investissement, y compris pour une clientèle non-retail.

Auditer la collecte de données associée — les données de vérification d'identité, de paiement et de profilage de risque collectées pour ces produits doivent être intégrées au registre des traitements et reposer sur une base légale documentée, un sujet sur lequel le DPO joue un rôle central de coordination entre les équipes produit, juridique et conformité.

Ce que Leto pense de cette décision

Cette déclaration de l'ESMA a le mérite de la clarté : elle ne crée aucune règle nouvelle, mais referme une zone grise dans laquelle certains acteurs auraient pu prospérer un temps. Pour les organisations qui structurent leur conformité de façon fragmentée — un texte, une équipe, un silo — ce type de rappel agit comme un signal d'alerte. Chez Leto, nous pensons que la bonne réponse n'est pas de traiter chaque nouveau produit financier comme un cas isolé, mais de construire, en amont, une cartographie des traitements suffisamment robuste pour absorber ce genre de clarification réglementaire sans devoir remettre à plat l'ensemble de son organisation.

Sources : ESMA — communiqué du 3 juillet 2026