Données personnelles après le décès : Guide pour bien gérer les informations post mortem – Mon Expert RGPD

Chaque jour, des milliers de personnes décèdent en laissant derrière elles une empreinte numérique considérable : comptes bancaires, profils sur les réseaux sociaux, messageries, espaces cloud, dossiers médicaux, historiques d’achats en ligne. Ces données ne disparaissent pas avec leur titulaire. Elles continuent d’exister, parfois indéfiniment, sur des serveurs que nul n’administre plus. Pour les entreprises, les administrations et toute organisation traitant des données personnelles, la mort d’un utilisateur ou d’un client crée une situation juridique et éthique précise, avec des obligations concrètes à respecter. La loi française est l’une des rares en Europe à avoir structuré ce sujet, via l’article 85 de la Loi Informatique et Libertés. Comprendre ce cadre, c’est non seulement éviter des sanctions, mais aussi adopter une posture respectueuse envers les défunts et leurs proches.

• Le RGPD ne s’applique pas aux personnes décédées, mais la loi française comble ce vide avec l’article 85 de la Loi Informatique et Libertés.
• Toute personne peut formuler des directives anticipées sur le sort de ses données après son décès, générales ou spécifiques à un service.
• En l’absence de directives, les héritiers disposent de droits limités : fermeture de comptes, accès aux données utiles à la succession, opposition au traitement.
• Les responsables de traitement ont des obligations précises : informer, recueillir les directives, répondre aux héritiers, sécuriser les données.
• Certains transferts sont automatiques (banques, assurances-vie), d’autres nécessitent une demande explicite des héritiers.
• Les grandes plateformes (Facebook, Google, LinkedIn) ont mis en place des procédures spécifiques, variables selon les droits accordés.
• Les « deadbots », agents conversationnels entraînés sur les données d’un défunt, illustrent les nouvelles zones grises du droit et de l’éthique numérique.
• La CNIL est l’autorité compétente pour traiter les plaintes en cas de non-respect des règles sur les données post mortem.

Le RGPD ne protège pas les personnes décédées : ce que dit vraiment la loi

Le Règlement général sur la protection des données est explicite sur ce point : son considérant 27 précise qu’il ne s’applique pas aux données à caractère personnel des personnes décédées. Autrement dit, un client, un salarié ou un utilisateur qui décède sort du champ de protection européen dès le constat de son décès.

Cela ne signifie pas pour autant que ses données peuvent être traitées sans règle. La France a anticipé ce vide en intégrant à la Loi Informatique et Libertés un dispositif spécifique, via la Loi pour une République numérique du 7 octobre 2016. L’article 85 qui en résulte constitue aujourd’hui l’un des cadres les plus aboutis d’Europe sur la question des informations post mortem.

Ce texte permet à toute personne d’organiser par avance le sort de ses données personnelles après son décès. Il confère également des droits limités aux héritiers lorsqu’aucune directive n’a été laissée. Pour un responsable de traitement — qu’il gère une plateforme SaaS, un fichier clients ou un système de santé — cela crée des obligations concrètes, non des recommandations.

Vérifiez dès maintenant si votre politique de confidentialité mentionne le devenir des données en cas de décès d’un utilisateur. Si cette section est absente, elle doit être ajoutée.

Qu’est-ce que l’article 85 de la Loi Informatique et Libertés impose exactement ?

L’article 85 repose sur un principe simple : chaque individu doit pouvoir décider, de son vivant, de ce qu’il adviendra de ses données personnelles après sa mort. Cette capacité s’exerce par la formulation de directives anticipées, qui peuvent être générales ou particulières.

Les directives générales concernent l’ensemble des données d’une personne, tous traitements confondus. Elles devaient théoriquement être enregistrées auprès d’un tiers de confiance numérique certifié par la CNIL, répertorié dans un registre unique. Ce registre et le système de certification correspondant n’ont jamais été mis en place par décret. En pratique, le dépôt chez un notaire reste la solution la plus fiable dans l’attente d’une mise en œuvre complète du dispositif légal.

Les directives particulières, elles, s’appliquent à un traitement précis. Une personne peut par exemple indiquer à sa banque qu’elle souhaite que ses comptes soient clôturés dès notification du décès, ou demander à une plateforme de messagerie que ses courriers électroniques soient intégralement supprimés. Ces directives sont enregistrées directement auprès du responsable de traitement concerné, avec un consentement explicite et distinct des conditions générales d’utilisation.

Mettez en place un mécanisme dédié dans votre espace utilisateur ou client pour permettre l’enregistrement de ces directives. Un simple formulaire sécurisé, accessible depuis le compte personnel, suffit à répondre à cette obligation.

Que se passe-t-il quand aucune directive n’a été laissée ?

L’absence de directives anticipées est la situation la plus fréquente. La loi a prévu ce cas : elle accorde aux héritiers un droit d’agir, mais dans des limites strictement définies. Ces droits ne sont pas illimités et ne permettent pas un accès complet aux données personnelles du défunt.

Les héritiers peuvent demander la clôture des comptes en ligne, s’opposer à la poursuite des traitements, accéder aux données nécessaires au règlement de la succession (contrats, relevés bancaires, documents administratifs), et faire mettre à jour certaines informations, comme le signalement du décès auprès d’un organisme. Ce sont des droits fonctionnels, orientés vers la gestion pratique de la succession numérique.

En revanche, l’accès aux correspondances privées reste formellement interdit, sauf autorisation expresse laissée par le défunt. Le secret des correspondances survit à la mort. Un héritier ne peut pas lire les messages personnels de son parent décédé, même s’il dispose d’un accès légal à d’autres données. Cette frontière doit être clairement intégrée dans les procédures internes de traitement des demandes post mortem.

Lorsqu’un héritier vous contacte, exigez systématiquement un acte de décès, un justificatif de qualité d’héritier (certificat d’hérédité, attestation notariale), et vérifiez l’absence de directives contraires laissées par le défunt avant de communiquer la moindre donnée.

Quelles sont vos obligations concrètes en tant que responsable de traitement ?

La gestion des données post mortem n’est pas un sujet réservé aux grandes plateformes. Toute structure qui gère des fichiers clients, des dossiers salariés ou des comptes utilisateurs est concernée. Une PME industrielle qui dispose d’une base clients CRM, une mutuelle qui gère des contrats, un cabinet médical qui conserve des dossiers : tous font face à la même réalité.

La première obligation est celle d’information. Votre politique de confidentialité doit explicitement indiquer ce qu’il advient des données personnelles en cas de décès de l’utilisateur. Elle doit préciser les modalités d’enregistrement des directives anticipées, les droits des héritiers, et la procédure à suivre pour exercer ces droits. Une mention vague ne suffit pas.

La deuxième obligation concerne le recueil et le respect des directives. Si votre service permet aux utilisateurs de s’enregistrer, de créer un compte ou de renseigner un profil, vous devez leur proposer un mécanisme pour formuler leurs souhaits post mortem. Ces directives doivent être modifiables à tout moment et conservées de manière sécurisée.

La troisième obligation porte sur le traitement des demandes des héritiers. Vous devez définir une procédure interne claire : qui reçoit la demande, quels justificatifs sont exigés, dans quel délai la réponse est apportée, quelles données peuvent être communiquées ou supprimées. Cette procédure doit être documentée dans votre registre de traitements RGPD.

Désignez au sein de votre équipe (ou via votre DPO) un interlocuteur référent pour les demandes post mortem. Cette désignation doit figurer dans votre documentation interne et être connue du service client.

Transferts automatiques ou sur demande : comment distinguer les deux régimes ?

Toutes les données ne se gèrent pas de la même façon après un décès. La loi distingue deux situations radicalement différentes : les transferts que le responsable de traitement doit effectuer de lui-même, et ceux qui ne sont déclenchés que par une demande des héritiers.

Le tableau suivant illustre les principales situations rencontrées dans les secteurs les plus exposés :

Secteur	Obligation légale	Type de transfert
Banques	Déclaration automatique des comptes au FICOBA, blocage à la mort du titulaire	Transfert automatique aux héritiers pour la succession
Assurances-vie	Loi Eckert : contacter les bénéficiaires identifiés dans les 15 jours	Transfert automatique du capital aux bénéficiaires légaux
Employeurs	Information des organismes de prévoyance pour le capital décès	Transfert automatique des données nécessaires aux démarches
Réseaux sociaux	Aucune obligation proactive légale	Sur demande des héritiers : commémoration, fermeture ou transfert
Services cloud	Aucune obligation proactive légale	Sur demande : récupération ou suppression de fichiers
Messageries	Aucune sauf contact légataire désigné	Sur demande, avec vérification identité et droits

Dans les secteurs bancaires et assurantiels, l’héritier n’a rien à demander : le responsable de traitement agit de sa propre initiative parce que la loi l’y contraint. Ce régime de transfert automatique est non négociable et ne dépend pas de la volonté du défunt. Dans tous les autres cas, c’est à l’héritier de formuler une demande explicite, et au responsable de traitement de la traiter correctement.

Si votre activité relève du secteur bancaire ou assurantiel, auditez vos processus internes pour vous assurer que le déclenchement automatique des notifications et transferts est bien opérationnel dès réception de l’acte de décès.

Comment les grandes plateformes gèrent-elles les comptes des personnes décédées ?

Les géants du numérique ont chacun développé leurs propres mécanismes, avec des niveaux de contrôle très variables selon les plateformes. Ces pratiques illustrent concrètement ce que la gestion des données après décès peut impliquer opérationnellement.

Facebook et Instagram permettent de transformer un profil en page commémorative. L’utilisateur peut, de son vivant, désigner un « contact légataire » autorisé à gérer certains aspects du compte après sa mort : publier un message d’annonce, répondre à des demandes d’amis, modifier la photo de profil. Ce contact ne peut cependant pas lire les messages privés ni se connecter au compte. Pour en savoir plus sur les droits applicables dans ce contexte, la CNIL détaille les options d’effacement et de gestion post mortem sur son site officiel.

Google propose le « Gestionnaire de compte inactif », un outil permettant de désigner des contacts de confiance et de programmer, après une période d’inactivité définie, la suppression du compte ou le transfert de certaines données (Drive, Gmail, Photos). C’est l’approche la plus proactive des grandes plateformes en matière de planification numérique post mortem.

LinkedIn offre la possibilité de transformer un profil en profil commémoratif ou de demander sa suppression, sur présentation de justificatifs par un proche. X (anciennement Twitter) supprime le compte sur demande avec fourniture de documents, sans option commémorative. Microsoft propose un accès encadré à OneDrive et Outlook dans le cadre de sa politique de gestion post mortem.

Ces dispositifs montrent qu’une politique cohérente de gestion des accès aux comptes post mortem est techniquement réalisable, quelle que soit la taille de la structure. Inspirez-vous de ces exemples pour structurer votre propre procédure interne.

Les deadbots et la réutilisation commerciale des données : une zone grise du droit

La technologie ne s’est pas arrêtée à la gestion des comptes en ligne. Une réalité émergente, et profondément déstabilisante sur le plan éthique, s’est imposée : celle des agents conversationnels entraînés sur les données d’une personne décédée, communément appelés « deadbots ». Ces programmes sont nourris de messages, emails, publications, enregistrements vocaux et textes rédigés par le défunt, dans le but de simuler sa présence et de permettre des échanges posthumes.

Des entreprises proposent désormais ce type de service à des familles en deuil, parfois avec le consentement préalable de la personne, parfois sans. La question du consentement est centrale : la personne a-t-elle accepté, de son vivant, que ses données soient utilisées pour créer une telle représentation ? Dans la grande majorité des cas, aucune directive spécifique n’a été formulée. Le droit français ne prévoit pas encore de régulation explicite de ces pratiques, qui évoluent bien plus vite que les textes légaux.

Au-delà du consentement, des questions de dignité se posent. Qui contrôle l’image numérique du défunt ? Les héritiers peuvent-ils s’opposer à la création ou à la diffusion d’un tel avatar ? Quel impact psychologique ces technologies ont-elles sur le processus de deuil des proches ? Le cahier prospectif de la CNIL sur les données post mortem consacre une part importante à ces enjeux, soulignant l’urgence d’une réflexion collective et réglementaire.

Si votre activité vous amène à traiter des données dans des contextes liés à la mémoire, au patrimoine numérique ou aux services funéraires numériques, consultez un expert RGPD pour évaluer la conformité de vos pratiques au regard du droit actuel et anticiper les évolutions réglementaires à venir.

Bonnes pratiques pour mettre votre organisation en conformité

La conformité en matière de données post mortem ne se résume pas à une clause dans une politique de confidentialité. Elle requiert une organisation interne, des procédures documentées et une sensibilisation des équipes. Voici les actions à déployer concrètement dans votre structure.

• Mettre à jour la politique de confidentialité pour inclure une section dédiée au devenir des données en cas de décès, avec les modalités pratiques d’enregistrement des directives et les droits des héritiers.
• Créer un mécanisme d’enregistrement des directives anticipées accessible depuis l’espace personnel de l’utilisateur, permettant leur modification ou révocation à tout moment.
• Définir une procédure interne de traitement des demandes post mortem : interlocuteur désigné, documents exigés, délais de réponse, données communicables ou supprimables.
• Former les équipes concernées (service client, juridique, DPO) au cadre légal applicable et aux situations concrètes à traiter.
• Documenter tous les traitements liés aux données post mortem dans le registre des activités de traitement RGPD : directives reçues, actions effectuées, réponses apportées aux héritiers.
• Respecter les limites légales concernant les correspondances privées et les données sensibles, même face à des demandes légitimes des héritiers.
• Anticiper les évolutions réglementaires en suivant les publications de la CNIL et les travaux parlementaires sur le patrimoine numérique et les nouvelles technologies funéraires.

Des ressources complémentaires existent pour aller plus loin. Le site Leto Legal propose un guide pratique sur la mort numérique qui détaille les démarches plateforme par plateforme. Pour une lecture plus approfondie des obligations pesant sur les responsables de traitement, le guide publié sur Mon Expert RGPD sur les données post mortem constitue une référence utile.

La gestion des données après décès est un sujet qui révèle la maturité d’une organisation en matière de protection des données. Traiter ce sujet avec rigueur, c’est aussi envoyer un signal fort à vos clients et utilisateurs sur le respect que vous portez à leurs droits, y compris au-delà de leur vie.

Recours disponibles en cas de non-respect des règles post mortem

Lorsqu’un responsable de traitement ignore les directives laissées par un défunt, refuse de traiter une demande d’héritier légitime, ou exploite des données post mortem sans base légale, des recours existent. Ces voies ne sont pas théoriques : la CNIL instruit régulièrement des plaintes dans ce domaine.

Le premier recours est le dépôt de plainte auprès de la CNIL. Toute personne — héritier, légataire ou tiers justifiant d’un intérêt légitime — peut saisir l’autorité si elle estime que ses droits ou ceux du défunt n’ont pas été respectés. La CNIL peut adresser des mises en demeure, prononcer des sanctions administratives et, dans les cas les plus graves, infliger des amendes significatives.

Le recours judiciaire est également ouvert. Si l’utilisation des données d’un défunt porte atteinte à sa réputation, à son honneur ou cause un préjudice aux héritiers, une action en responsabilité civile peut être engagée devant les tribunaux. La protection de la vie privée des proches constitue aussi un fondement d’action lorsque la diffusion de données du défunt affecte directement leur vie personnelle ou familiale.

Enfin, dans les situations impliquant une exploitation commerciale non consentie des données — comme la création d’un deadbot sans autorisation préalable — des actions en violation du droit à l’image ou du droit moral peuvent être envisagées. Le droit évolue sur ces points, et les juridictions commencent à traiter des affaires qui n’existaient pas il y a dix ans.

Documentez systématiquement toutes les demandes reçues de la part d’héritiers et les réponses apportées. Cette traçabilité est votre meilleure protection en cas de litige ou de contrôle de la CNIL.

Le RGPD s’applique-t-il aux données d’une personne décédée ?

Non, le RGPD ne s’applique pas aux données des personnes décédées, comme le précise son considérant 27. En France, c’est l’article 85 de la Loi Informatique et Libertés qui comble ce vide, en permettant à toute personne de formuler des directives anticipées sur le sort de ses données après son décès et en accordant des droits limités aux héritiers.

Qu’est-ce qu’une directive anticipée en matière de données personnelles ?

Une directive anticipée est un document par lequel une personne définit, de son vivant, ce qu’il doit advenir de ses données personnelles après sa mort : conservation, effacement, communication à des tiers ou désignation d’un exécuteur numérique. Elle peut être générale (tous traitements) ou particulière (un service précis). Elle est modifiable ou révocable à tout moment.

Quels droits ont les héritiers sur les données d’un défunt ?

En l’absence de directives, les héritiers peuvent demander la clôture des comptes en ligne, s’opposer à la poursuite des traitements, accéder aux données nécessaires à la succession et faire signaler le décès. En revanche, l’accès aux correspondances privées est interdit, sauf autorisation expresse laissée par le défunt. Ces droits sont exercés sur demande, avec fourniture de justificatifs.

Un responsable de traitement doit-il informer les utilisateurs du devenir de leurs données après leur décès ?

Oui, c’est une obligation. La politique de confidentialité doit mentionner explicitement le devenir des données en cas de décès, les modalités d’enregistrement des directives anticipées, les droits des héritiers et la procédure à suivre. Une politique qui ne traite pas ce sujet est incomplète au regard de la Loi Informatique et Libertés.

Qu’est-ce qu’un deadbot et pourquoi pose-t-il des problèmes juridiques ?

Un deadbot est un agent conversationnel entraîné sur les données laissées par une personne décédée — messages, textes, enregistrements vocaux — afin de simuler sa présence. Ces dispositifs soulèvent des questions de consentement (la personne a-t-elle accepté cet usage ?), de dignité, de droits des héritiers et d’impact psychologique sur le deuil. En France, leur régulation reste lacunaire, ce qui les place dans une zone grise du droit.