Le RGPD protège les données à caractère personnel des personnes vivantes. Son considérant 27 est explicite : le règlement ne s'applique pas aux données des personnes décédées, et chaque État membre peut prévoir ses propres règles. En France, ces règles existent depuis la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, et elles pèsent directement sur les responsables de traitement.
Comptes clients jamais clôturés, abonnements qui continuent d'être facturés, héritiers qui réclament l'accès à une messagerie : le décès d'un utilisateur finit toujours par arriver sur le bureau du DPO. Et il arrive rarement avec une procédure prête.
Dans cet article, nous verrons :
- ce qu'est la mort numérique et ce que dit la loi Informatique et Libertés,
- comment fonctionnent les directives post mortem, et leurs limites pratiques,
- les droits des héritiers en l'absence de directives,
- ce que le responsable de traitement doit faire face au décès d'un utilisateur,
- les sanctions en cas de manquement.
1- Qu'est-ce que la mort numérique ?
Un encadrement juridique national
Le RGPD restant silencieux, c'est la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique qui a introduit la notion de mort numérique en modifiant la loi du 6 janvier 1978. L'ancien article 40-1 de la loi Informatique et Libertés est devenu, depuis la renumérotation opérée par l'ordonnance n° 2018-1125 du 12 décembre 2018, le chapitre V de la loi (articles 84 à 86), consacré aux traitements de données relatives aux personnes décédées.
Le point de départ est posé par l'article 84 : les droits de la personne concernée s'éteignent à son décès. Ils peuvent toutefois être provisoirement maintenus dans les conditions de l'article 85, soit par les directives du défunt, soit, à défaut, par ses héritiers.
La définition de la mort numérique
La mort numérique désigne la cessation d'activité en ligne du fait du décès d'une personne. Son identité numérique, elle, lui survit : sans intervention, ses comptes, ses publications et ses données restent présents chez les organismes qui les traitent.
L'identité numérique regroupe l'ensemble des traces qu'une personne laisse en ligne : pseudonymes, photos, vidéos, adresses IP, commentaires, activité sur les réseaux sociaux, comptes clients, historiques d'achat.
Les enjeux de la mort numérique
Le décès n'entraîne aucun effacement automatique. Or les données qui subsistent posent trois problèmes concrets :
- la mémoire du défunt et ses proches : un profil actif, des rappels d'anniversaire ou des suggestions de contact sont difficiles à vivre pour l'entourage ;
- la sécurité : un compte que plus personne ne surveille est une cible pour la prise de contrôle, puis pour l'usurpation d'identité ou la fraude (voir notre guide sur les violations de données) ;
- la succession : certaines données sont nécessaires aux héritiers pour régler la succession, d'autres relèvent des souvenirs de famille.
2- Les directives post mortem : ce que prévoit l'article 85
L'article 85, I, de la loi Informatique et Libertés permet à toute personne de définir, de son vivant, des directives relatives à la conservation, à l'effacement et à la communication de ses données personnelles après son décès. Ces directives peuvent être modifiées ou révoquées à tout moment.
Directives générales et directives particulières
- Directives générales : elles portent sur l'ensemble des données de la personne (exemple : elle souhaite que tous ses comptes soient supprimés après son décès). La loi prévoit qu'elles peuvent être enregistrées auprès d'un tiers de confiance numérique certifié par la CNIL, et que leurs références sont inscrites dans un registre unique dont les modalités sont fixées par décret en Conseil d'État.
- Directives particulières : elles ne concernent que certains traitements (exemple : maintenir un compte de réseau social, supprimer une messagerie). Elles sont enregistrées auprès de chaque responsable de traitement concerné et font l'objet d'un consentement spécifique de la personne.
Qui fait exécuter les directives ?
La loi distingue deux rôles qu'il ne faut pas confondre :
- Le dépositaire des directives générales : le tiers de confiance numérique certifié par la CNIL auprès duquel elles peuvent être enregistrées. Il reçoit et conserve les directives, et la CNIL indique qu'il peut veiller à leur application.
- La personne chargée de l'exécution : les directives peuvent désigner une personne (un proche, un notaire…) qui aura qualité, après le décès, pour en prendre connaissance et demander leur mise en œuvre aux responsables de traitement concernés (article 85, I, dernier alinéa).
Ces deux rôles peuvent être tenus par la même personne, un notaire par exemple, mais c'est à la personne désignée que l'article 85 donne qualité pour agir auprès des responsables de traitement. À défaut de désignation, ou si la personne désignée est elle-même décédée (sauf directive contraire), ce sont les héritiers qui ont qualité pour prendre connaissance des directives et demander leur mise en œuvre.
Tiers de confiance et registre unique : ce qu'en dit la CNIL
Le mécanisme de certification des tiers de confiance et le registre unique dépendent de textes d'application. Or, comme le rappelle le laboratoire d'innovation de la CNIL dans son article du 3 février 2025, « Données post-mortem : y a-t-il une vie numérique après la mort ? », ces dispositions ne sont pas applicables faute de publication des décrets correspondants. À la date de cet article de la CNIL, il n'existait donc ni tiers de confiance certifié, ni registre unique consultable.
Formaliser ses directives en pratique
En attendant, deux voies restent ouvertes :
- Les directives générales confiées à un notaire : la CNIL cite elle-même le notaire comme tiers de confiance possible pour recevoir des directives générales et veiller à leur application, sans certification CNIL à ce stade.
- Les paramétrages proposés par les services en ligne : contact légataire, compte commémoratif, suppression après une période d'inactivité ou dès le signalement du décès. Ce sont, pour chaque service, des directives particulières.
Un conseil de prudence : ne jamais consigner ses mots de passe dans un testament ou un document partagé. Mieux vaut désigner un contact légataire là où le service le permet.
3- En l'absence de directives : les droits des héritiers
Ce que prévoit l'article 85, II
Si le défunt n'a laissé aucune directive (ou si ses directives ne disent rien de contraire), ses héritiers peuvent exercer ses droits dans la mesure nécessaire à deux finalités, et à elles seules :
- L'organisation et le règlement de la succession. Les héritiers peuvent :
- accéder aux traitements qui concernent le défunt pour identifier et obtenir les informations utiles à la liquidation et au partage de la succession ;
- recevoir communication des biens numériques ou des données s'apparentant à des souvenirs de famille, transmissibles aux héritiers.
- La prise en compte du décès par les responsables de traitement. Les héritiers peuvent :
- faire procéder à la clôture des comptes utilisateur du défunt (compte e-commerce, réseau social…) ;
- s'opposer à la poursuite des traitements le concernant (résiliation d'un abonnement téléphonique, par exemple) ;
- faire procéder à la mise à jour de ses données.
Lorsque les héritiers le demandent, le responsable de traitement doit justifier, sans frais, qu'il a procédé aux opérations exigées.
L'exemple des réseaux sociaux et des messageries
La CNIL le rappelle dans sa fiche « Mort numérique : quels sont vos droits ? » : un profil sur un réseau social ou un compte de messagerie est strictement personnel et soumis au secret des correspondances. Les héritiers n'ont donc pas un droit d'accès général au contenu de ces comptes : ils agissent dans les limites des deux finalités ci-dessus.
En pratique, ils peuvent demander au service de clôturer le compte ou de tenir compte du décès. Google, Microsoft, Apple et les principaux réseaux sociaux proposent des formulaires dédiés, qui exigent un justificatif d'identité, un justificatif du décès et, selon les cas, de la qualité d'héritier.
🔎 Exemple : Facebook permet de transformer le compte d'un défunt en compte commémoratif, ou de désigner de son vivant un contact légataire qui gérera ce compte.
4- Le responsable de traitement face au décès d'un utilisateur
C'est la partie qui concerne directement le DPO : que doit faire le responsable de traitement, et que peut-il faire de lui-même ?
Supprimer de sa propre initiative : oui, dans le cadre de ses durées de conservation
Un responsable de traitement n'a pas besoin d'une demande pour supprimer des données : le principe de limitation de la conservation (article 5, 1, e) du RGPD) l'oblige au contraire à ne pas les garder au-delà de ce qui est nécessaire. Une politique qui supprime ou archive les comptes inactifs au terme d'une durée définie est donc légitime, et souvent attendue (voir notre guide sur la durée de conservation des données).
Ce que l'organisme ne peut pas faire, en revanche :
- présumer un décès à partir d'une inactivité et en tirer des conséquences propres au décès (communiquer des données aux proches, par exemple) ;
- ignorer des directives particulières enregistrées chez lui : il est tenu de les appliquer ;
- restreindre ces droits par ses conditions générales : toute clause des CGU qui limite les prérogatives de l'article 85 est réputée non écrite.
Les obligations propres aux services en ligne
L'article 85, III, impose à tout prestataire d'un service de communication au public en ligne d'informer l'utilisateur du sort de ses données à son décès et de lui permettre de choisir de communiquer ou non ses données à un tiers qu'il désigne. Pour une plateforme, une application ou un espace client, cette information a sa place dans la politique de confidentialité, et le choix doit être réellement proposé.
La check-list du DPO
- Informer : une mention sur le sort des données au décès dans la politique de confidentialité (article 85, III, pour les services en ligne).
- Recueillir et tracer les directives particulières, avec le consentement spécifique de la personne, et les rattacher aux traitements concernés dans votre registre des traitements pour qu'elles ne se perdent pas le jour où elles doivent s'appliquer.
- Prévoir une procédure « décès » dans le traitement des demandes : vérification de l'identité du demandeur, du décès et de sa qualité d'héritier ou de personne désignée, contrôle de la finalité (succession ou prise en compte du décès), réponse motivée (voir notre guide pour faciliter l'exercice des droits).
- Conserver la preuve des opérations réalisées : l'organisme doit pouvoir justifier, sans frais, de la clôture, de l'opposition ou de la mise à jour demandées.
- Documenter les durées de conservation des comptes inactifs, pour que la suppression de routine repose sur une règle écrite et non sur une présomption de décès.
Centraliser ces demandes à côté du registre, avec leur historique et leurs preuves, c'est exactement le quotidien que Leto outille pour les DPO. Si vous voulez voir à quoi cela ressemble, demandez une démo.
5- Mort numérique : les sanctions en cas de non-respect
Plusieurs voies existent quand un responsable de traitement ne respecte pas ces règles ou quand les héritiers ne s'accordent pas :
- Le tribunal judiciaire (qui a remplacé le tribunal de grande instance le 1er janvier 2020) :
- pour trancher les désaccords entre héritiers sur l'exercice des droits de l'article 85, II, que la loi lui attribue expressément ;
- pour demander réparation du préjudice subi lorsqu'un héritier s'estime lésé par le traitement des données d'un proche décédé (absence de réponse à une demande de clôture, abonnement non résilié…) ou lorsque ce traitement porte atteinte à la mémoire, à la réputation ou à l'honneur du défunt.
- Le juge pénal : l'article R. 625-12 du Code pénal punit de l'amende prévue pour les contraventions de 5e classe le responsable de traitement qui ne procède pas, sans frais, aux opérations d'effacement ou de mise à jour exigées par l'héritier d'une personne décédée, lorsque les données sont inexactes, périmées ou que leur conservation est interdite.
En résumé
Le RGPD ne s'applique pas aux données des défunts, mais la loi Informatique et Libertés prend le relais : directives post mortem, droits des héritiers, et obligations précises pour les responsables de traitement. Côté organisme, trois gestes suffisent à ne pas être pris de court : informer, tracer les directives, et traiter les demandes des héritiers comme des demandes d'exercice de droits à part entière.
Questions fréquemment posées
Le RGPD s'applique-t-il aux données d'une personne décédée ?
Non. Le considérant 27 du RGPD exclut les données des personnes décédées et laisse chaque État membre libre de prévoir des règles. En France, ce sont les articles 84 à 86 de la loi Informatique et Libertés, issus de la loi pour une République numérique du 7 octobre 2016, qui s'appliquent.
Un responsable de traitement peut-il supprimer le compte d'un utilisateur décédé sans demande ?
Oui, s'il applique sa politique de durées de conservation : l'article 5, 1, e) du RGPD l'oblige à ne pas conserver les données au-delà du nécessaire, et la suppression des comptes inactifs après une durée définie est légitime. Il ne peut pas, en revanche, présumer un décès pour en tirer d'autres conséquences, ni écarter des directives particulières enregistrées chez lui.
Les héritiers peuvent-ils accéder à la messagerie ou aux réseaux sociaux du défunt ?
Pas de manière générale. La CNIL rappelle que ces comptes sont strictement personnels et soumis au secret des correspondances. Sans directive, les héritiers n'agissent que dans la mesure nécessaire au règlement de la succession ou à la prise en compte du décès : clôture du compte, opposition au traitement, mise à jour, communication des informations utiles à la succession et des souvenirs de famille.
Existe-t-il un tiers de confiance certifié par la CNIL pour déposer ses directives ?
L'article 85 de la loi Informatique et Libertés le prévoit, avec un registre unique, mais le laboratoire d'innovation de la CNIL indiquait le 3 février 2025 que ces dispositions n'étaient pas applicables, faute de publication des décrets d'application. Il reste possible de confier ses directives générales à un notaire.
Que doit contenir la politique de confidentialité sur ce sujet ?
Pour un service de communication au public en ligne, l'article 85, III, de la loi Informatique et Libertés impose d'informer l'utilisateur du sort de ses données à son décès et de lui permettre de choisir de les communiquer ou non à un tiers qu'il désigne. Il est utile d'y indiquer aussi comment les héritiers peuvent adresser leurs demandes.
