Données des personnes décédées : vos obligations 2026

Environ 8 000 titulaires de comptes Facebook décèdent chaque jour, selon les chiffres repris par la CNIL. Une étude de l’Oxford Internet Institute qu’elle cite estime qu’en 2070, les comptes de personnes décédées seront plus nombreux que ceux des vivants sur les réseaux sociaux. Votre base clients, votre CRM et vos archives RH contiennent déjà des morts — et le jour où un héritier ou un notaire vous écrit, la réponse « le RGPD ne s’applique pas aux personnes décédées » est à la fois exacte et gravement insuffisante.

Le RGPD ne protège pas les morts, la loi française si

Le considérant 27 du RGPD est sans ambiguïté : le règlement « ne s’applique pas aux données à caractère personnel des personnes décédées ». Il ajoute immédiatement que « les États membres peuvent prévoir des règles relatives au traitement des données à caractère personnel des personnes décédées ».

La France a utilisé cette faculté. Le chapitre V du titre II de la loi Informatique et Libertés, composé des articles 84 à 86, organise un régime propre :

• Article 84 : les droits du chapitre II (accès, rectification, effacement, opposition, portabilité, limitation) s’éteignent au décès de leur titulaire, mais peuvent être « provisoirement maintenus » dans les conditions de l’article 85.
• Article 85 : les directives post-mortem et les droits des héritiers. C’est le texte central.
• Article 86 : le traitement des informations relatives aux personnes décédées, y compris celles figurant sur les certificats de causes de décès, à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé — sauf refus écrit exprimé par l’intéressé de son vivant.

Ce régime a un statut juridique particulier qu’il faut comprendre pour ne pas se tromper d’argument : ce ne sont pas des droits RGPD. Ce sont des droits de droit français, opposables au responsable de traitement, dont la méconnaissance relève des pouvoirs correcteurs de la CNIL prévus à l’article 20 de la loi Informatique et Libertés (mise en demeure, injonction, sanction).

Le piège : les données d’un mort sont souvent celles d’un vivant

C’est l’erreur d’analyse la plus fréquente, et celle qui expose le plus. Le dossier d’une personne décédée contient presque toujours des données à caractère personnel de personnes vivantes — auquel cas le RGPD s’applique pleinement à cette part du traitement.

Situation	Le RGPD s’applique-t-il ?	Pourquoi
Boîte e-mail d’un salarié décédé	Oui	Les correspondants, collègues et clients cités sont vivants
Dossier médical d’un patient décédé	Oui, partiellement	Antécédents familiaux, données génétiques révélant des informations sur les descendants
Compte bancaire d’un client décédé	Oui	Bénéficiaires, co-titulaires, mandataires, contreparties de virements
Photos de famille sur un espace de stockage	Oui	Les tiers photographiés sont identifiables
Fiche CRM d’un prospect décédé, sans tiers cité	Non	Seules les données du défunt sont concernées

Conséquence opérationnelle : lorsqu’un héritier demande la communication de contenus, vous devez arbitrer entre le droit successoral, l’article 85 de la loi Informatique et Libertés et les droits RGPD des tiers vivants dont les données figurent dans ces contenus. L’article 85 I le prévoit expressément : lorsque les directives portent sur des données comportant aussi des données relatives à des tiers, « cette communication s’effectue dans le respect de la présente loi ».

Les directives post-mortem : ce que permet réellement l’article 85

L’article 85 I pose un principe simple : « Toute personne peut définir des directives relatives à la conservation, à l’effacement et à la communication de ses données à caractère personnel après son décès. » Ces directives sont de deux types, et la distinction n’est pas cosmétique.

	Directives générales	Directives particulières
Périmètre	L’ensemble des données de la personne	Les seuls traitements qu’elles désignent
Où les enregistrer	Faculté (« peuvent être enregistrées ») auprès d’un tiers de confiance numérique certifié par la CNIL	Obligatoirement auprès du responsable de traitement concerné
Formalisme	Inscription des références dans un registre unique (décret en Conseil d’État)	Consentement spécifique de la personne concernée
Acceptation des CGU suffisante ?	Sans objet	Non — la loi l’exclut expressément
Effet pratique en 2026	Dispositif de certification non opérationnel	Applicable dès aujourd’hui

Deux points méritent l’attention d’un DPO.

Le dispositif des directives générales n’est pas opérationnel. La loi prévoit un tiers de confiance numérique « certifié par la CNIL » et un registre unique dont les modalités doivent être fixées par décret en Conseil d’État. Dans sa fiche pratique actualisée le 31 octobre 2025, la CNIL ne renvoie vers aucune liste de tiers certifiés : elle mentionne simplement la possibilité de déposer ses directives « auprès d’un tiers de confiance, comme un notaire ». Autrement dit, en 2026, les directives générales existent juridiquement mais reposent sur le dépôt notarié, sans registre centralisé consultable. Si vous êtes notaire ou officier public, c’est une prestation à formaliser.

Les directives particulières ne peuvent pas être noyées dans vos CGU. Le texte est explicite : elles « font l’objet du consentement spécifique de la personne concernée et ne peuvent résulter de la seule approbation par celle-ci des conditions générales d’utilisation ». Une case unique « j’accepte les CGU » qui vaudrait aussi directive post-mortem est inopposable. Il faut un recueil distinct, avec les mêmes exigences de granularité que le consentement RGPD : action positive, choix séparé, preuve conservée.

Enfin, l’article 85 I ferme la porte aux clauses de style : « Toute clause contractuelle des conditions générales d’utilisation d’un traitement portant sur des données à caractère personnel limitant les prérogatives reconnues à la personne en vertu du présent article est réputée non écrite. » Une clause qui prévoirait que « le compte et son contenu sont définitivement supprimés au décès sans possibilité de communication aux ayants droit » est donc sans effet.

L’obligation d’information que presque toutes les politiques de confidentialité oublient

C’est le point que je vois manquer dans la quasi-totalité des audits que je mène sur des sites français. L’article 85 III dispose :

« Tout prestataire d’un service de communication au public en ligne informe l’utilisateur du sort des données qui le concernent à son décès et lui permet de choisir de communiquer ou non ses données à un tiers qu’il désigne. »

Deux obligations distinctes, toutes deux positives :

1. Informer l’utilisateur du sort de ses données à son décès. Cette information a naturellement sa place dans la politique de confidentialité.
2. Permettre à l’utilisateur de désigner un tiers destinataire. Ce n’est pas une simple mention : c’est une fonctionnalité à ouvrir dans le parcours utilisateur ou, à défaut, un canal explicite (formulaire, adresse dédiée).

Le champ d’application est large. « Service de communication au public en ligne » couvre les sites web, les applications, les plateformes SaaS, les espaces clients. Si vous exploitez un compte utilisateur, vous êtes concerné. C’est un point à ajouter à votre checklist de conformité du site web.

Une rédaction minimale, à adapter, peut prendre cette forme :

Sort de vos données en cas de décès. Conformément à l’article 85 de la loi n° 78-17 du 6 janvier 1978, vous pouvez définir des directives relatives à la conservation, à l’effacement et à la communication de vos données après votre décès. Vous pouvez enregistrer des directives particulières portant sur votre compte en nous écrivant à [adresse], et désigner la personne chargée de leur exécution ainsi que, le cas échéant, le tiers auquel vos données pourront être communiquées. À défaut de directives, vos héritiers pourront exercer les droits prévus au II de l’article 85 : clôture du compte, opposition à la poursuite des traitements, mise à jour, et accès aux informations utiles au règlement de la succession.

Recevez nos analyses conformité chaque semaine. Décryptages du RGPD, de la loi Informatique et Libertés et des nouveaux règlements européens, écrits par un docteur en droit — sans jargon inutile. Inscrivez-vous à la newsletter.

Ce que les héritiers peuvent exiger — et ce que vous devez refuser

« En l’absence de directives ou de mention contraire dans ces directives », l’article 85 II ouvre aux héritiers l’exercice des droits du chapitre II, mais « dans la mesure nécessaire » à deux finalités limitativement énumérées. La précision compte : des directives peuvent exister tout en laissant subsister les droits des héritiers sur les points qu’elles ne tranchent pas. Cette formule est la clé de tout arbitrage : ce n’est pas un droit d’accès général, c’est un droit d’accès finalisé.

Demande de l’héritier	Fondement	Votre réponse
Clôturer le compte du défunt	Art. 85 II, 2°	À accorder
S’opposer à la poursuite des traitements	Art. 85 II, 2°	À accorder
Faire mettre à jour les traitements (mention du décès)	Art. 85 II, 2°	À accorder
Obtenir les informations utiles à la liquidation et au partage de la succession	Art. 85 II, 1°	À accorder, dans la limite de ce qui est utile à la succession
Recevoir les biens numériques ou données « s’apparentant à des souvenirs de famille »	Art. 85 II, 1°	À accorder, sous réserve des droits des tiers
Obtenir l’intégralité de la messagerie du défunt	Aucun	À refuser en l’état — secret des correspondances
Obtenir un historique complet « pour comprendre »	Aucun	À refuser : hors des deux finalités légales
Faire effacer immédiatement tout le dossier	Aucun	À refuser si des obligations de conservation subsistent

Le secret des correspondances reste un obstacle

C’est le sujet qui génère le plus de contentieux et le plus de malentendus avec les familles. Un compte de messagerie ou une messagerie privée de réseau social est protégé par le secret des correspondances (article 226-15 du code pénal). Le décès du titulaire n’emporte pas transmission du contenu des correspondances aux héritiers : les correspondants, eux, sont vivants et n’ont consenti à rien. La CNIL le rappelle : « par principe, un profil sur un réseau social ou un compte de messagerie est strictement personnel et soumis au secret des correspondances ».

La position défendable est de distinguer :

• Les métadonnées et éléments utiles à la succession (existence d’un contrat, soldes, factures, abonnements en cours, identifiants de comptes financiers) : communicables au titre de l’article 85 II, 1°.
• Le contenu des échanges avec des tiers : non communicable en l’absence de directives expresses du défunt l’autorisant.
• Les contenus créés par le seul défunt (photos personnelles, documents, achats numériques) : communicables au titre des « biens numériques » et « souvenirs de famille » lorsqu’ils n’exposent pas de tiers.

Deux obligations souvent ignorées du responsable de traitement

L’article 85 II impose une charge de la preuve inversée : « Lorsque les héritiers en font la demande, le responsable du traitement doit justifier, sans frais pour le demandeur, qu’il a procédé aux opérations exigées. » Vous devez donc être capable de produire une attestation documentée de clôture, d’opposition ou de mise à jour — gratuitement. C’est un point à intégrer à votre procédure d’exercice des droits.

Second point : « Les désaccords entre héritiers sur l’exercice des droits prévus au présent II sont portés devant le tribunal judiciaire compétent. » Vous n’êtes pas l’arbitre du conflit familial. Face à deux héritiers qui demandent l’un l’effacement et l’autre la conservation, la réponse juste est de le constater, de suspendre l’exécution de la demande la plus irréversible et de renvoyer au tribunal judiciaire — en le documentant.

Votre procédure interne en six étapes

Une demande post-mortem arrive rarement par le canal prévu. Elle arrive au service client, à l’agence, au standard, souvent dans un contexte émotionnel. La qualité de la procédure se joue sur l’aiguillage.

1. Détecter et qualifier. Toute demande mentionnant un décès doit être routée vers le DPO ou le référent conformité, quel que soit le canal d’entrée. Formez les équipes de front-office à cette détection : c’est le maillon faible.

2. Vérifier la qualité du demandeur. Trois qualités possibles : la personne désignée par les directives comme chargée de leur exécution, l’héritier, le notaire mandaté. Les justificatifs proportionnés sont l’acte de décès, l’acte de notoriété (ou le certificat d’hérédité) et la pièce d’identité du demandeur. Ne demandez pas plus : le principe de minimisation de l’article 5(1)© RGPD s’applique aux pièces de vérification, et ces justificatifs ne doivent pas être conservés au-delà du temps nécessaire à la preuve du traitement de la demande.

3. Rechercher l’existence de directives. Interrogez d’abord votre propre base : avez-vous enregistré des directives particulières pour ce compte ? Demandez ensuite au demandeur s’il a connaissance de directives générales déposées chez un notaire. Les directives priment sur les droits des héritiers — c’est l’ordre légal, et l’inverser est une faute.

4. Délimiter le périmètre. Deux questions : la demande entre-t-elle dans l’une des deux finalités de l’article 85 II ? Les données visées contiennent-elles des données de tiers vivants ? La réponse conditionne ce que vous communiquez, ce que vous caviardez et ce que vous refusez.

5. Répondre dans un délai maîtrisé. L’article 85 ne fixe aucun délai. En pratique, il est recommandé de s’aligner sur le délai d’un mois de l’article 12(3) du RGPD, prorogeable de deux mois pour les demandes complexes, avec information du demandeur. C’est le standard qu’un juge ou la CNIL retiendra comme référence de diligence.

6. Tracer et propager. Consignez la demande, la vérification d’identité, la décision et sa motivation. Puis propagez le décès à l’ensemble des traitements concernés : CRM, outils de prospection, facturation, sous-traitants. Un décès enregistré dans un seul système sur douze n’est pas un décès enregistré. C’est exactement le type de propagation transversale qu’un outil de pilotage de la conformité comme Legiscope permet d’objectiver, en partant du registre des traitements pour identifier tous les systèmes concernés.

Le cas particulier des données de santé

Le secteur santé obéit à un régime superposé, et c’est celui où les demandes sont les plus fréquentes et les plus sensibles.

L’article L. 1110-4 (V) du code de la santé publique prévoit que le secret médical ne fait pas obstacle à ce que les informations concernant une personne décédée soient délivrées à ses ayants droit, son concubin ou son partenaire de PACS, dans la mesure où elles leur sont nécessaires pour :

• connaître les causes de la mort ;
• défendre la mémoire du défunt ;
• faire valoir leurs droits.

Le tout sauf volonté contraire exprimée par la personne avant son décès. Trois observations pratiques.

D’abord, le périmètre des demandeurs est plus large qu’en droit successoral pur : le concubin et le partenaire de PACS, qui ne sont pas héritiers, y ont accès. Ensuite, la demande doit être motivée par l’une des trois finalités, et vous êtes fondé à demander laquelle — sans exiger de justification détaillée. Enfin, la communication porte sur les seules informations nécessaires à la finalité invoquée, pas sur l’intégralité du dossier.

L’article 86 de la loi Informatique et Libertés ajoute un régime distinct pour la recherche : les informations concernant les personnes décédées, y compris celles figurant sur les certificats des causes de décès, peuvent être traitées à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé, sauf refus écrit exprimé du vivant.

Ces règles concernent au premier chef les cabinets médicaux, les EHPAD, les hébergeurs soumis à la certification HDS et les mutuelles. Elles s’articulent avec le régime des données sensibles de l’article 9 RGPD pour tout ce qui touche aux tiers vivants figurant au dossier.

Combien de temps conserver le dossier d’un client décédé ?

Le décès n’est pas un événement d’effacement. C’est une erreur de raisonnement courante : puisque le RGPD ne s’applique plus, il faudrait purger. C’est l’inverse qui est vrai — plusieurs obligations imposent de conserver.

Nature des données	Effet du décès	Durée à retenir
Prospection commerciale, newsletter	Arrêt immédiat dès connaissance du décès	Suppression du ciblage, conservation d’un identifiant en liste d’exclusion
Pièces comptables et factures	Aucun	10 ans (art. L. 123-22 code de commerce)
Contrat et exécution	Aucun	Durée du contentieux possible, prescription de droit commun de 5 ans (art. 2224 code civil)
Dossier médical	Aucun	Durées propres au secteur santé
Justificatifs produits par les héritiers	—	Le temps nécessaire à la preuve du traitement de la demande
Données sans obligation de conservation ni utilité successorale	Effacement	Sur demande des héritiers au titre de l’art. 85 II, 2°

En pratique, la bonne réponse consiste à basculer le dossier d’un statut « actif » à un statut « archivage intermédiaire à accès restreint », avec suppression de toute utilisation commerciale. C’est la logique de votre politique de conservation des données et du tableau des durées de conservation que vous devez déjà tenir au titre de l’article 5(1)(e) RGPD.

Cinq erreurs qui coûtent cher

1. Continuer à prospecter un défunt. Un e-mail d’anniversaire ou une relance commerciale envoyée à une personne décédée est le déclencheur classique d’une plainte auprès de la CNIL au titre de l’article 77 du RGPD — et le préjudice moral invoqué par la famille peut fonder une demande d’indemnisation devant le juge. Le coût réputationnel dépasse largement le coût juridique. Purgez vos outils de prospection et votre CRM dès le signalement.

2. Répondre « le RGPD ne s’applique pas aux personnes décédées ». C’est vrai et hors sujet. Le fondement de la demande est l’article 85 de la loi Informatique et Libertés, pas le RGPD. Cette réponse, que je lis encore régulièrement dans des courriers d’entreprises, est celle qui transforme une demande banale en plainte.

3. Facturer la preuve. L’article 85 II impose de justifier des opérations effectuées « sans frais pour le demandeur ». Facturer des frais de dossier pour une attestation de clôture est directement contraire au texte.

4. Communiquer l’intégralité d’une messagerie. Céder à la pression émotionnelle d’une famille en transmettant une boîte e-mail complète expose au reproche d’atteinte au secret des correspondances et de violation des droits des tiers vivants. Le refus motivé, écrit, avec renvoi au tribunal judiciaire, est plus protecteur pour tout le monde.

5. Ne rien écrire dans sa politique de confidentialité. L’obligation de l’article 85 III est une obligation d’information autonome. Son absence est constatable en trois secondes par un contrôleur de la CNIL et signale, plus largement, une politique de confidentialité rédigée par copier-coller.

Ce qu’il faut retenir

• Le RGPD ne s’applique pas aux personnes décédées (considérant 27), mais la France a exercé la faculté ouverte aux États membres : les articles 84 à 86 de la loi Informatique et Libertés créent un régime national opposable.
• Les directives post-mortem priment. Générales (déposées chez un tiers de confiance, en pratique un notaire) ou particulières (enregistrées chez vous, avec consentement spécifique — jamais via l’acceptation des CGU). Toute clause de CGU qui les limite est réputée non écrite.
• À défaut de directives — ou de mention contraire dans celles-ci — les héritiers disposent de droits finalisés, limités à deux objets : le règlement de la succession, et la prise en compte du décès (clôture, opposition, mise à jour). Ce n’est pas un droit d’accès général.
• Le secret des correspondances et les droits des tiers vivants restent opposables. Le dossier d’un mort contient presque toujours des données de vivants : sur cette part, le RGPD s’applique pleinement.
• L’article 85 III impose une obligation d’information autonome à tout service en ligne : informer du sort des données au décès et permettre de désigner un tiers destinataire. C’est la ligne la plus fréquemment absente des politiques de confidentialité françaises.
• Le décès ne déclenche pas l’effacement. Il déclenche un changement de statut : arrêt de tout usage commercial, bascule en archivage intermédiaire, maintien des durées légales de conservation.

FAQ

Le RGPD s’applique-t-il aux données d’une personne décédée ?

Non. Le considérant 27 du RGPD exclut expressément les données des personnes décédées de son champ d’application, tout en autorisant les États membres à légiférer. La France l’a fait aux articles 84 à 86 de la loi Informatique et Libertés. En revanche, le RGPD redevient pleinement applicable dès que le dossier du défunt contient des données de personnes vivantes — ce qui est presque toujours le cas.

Un héritier peut-il obtenir la boîte e-mail d’un proche décédé ?

Pas en principe. La messagerie est protégée par le secret des correspondances (article 226-15 du code pénal) et les correspondants du défunt sont des tiers vivants dont les droits subsistent. L’héritier peut en revanche obtenir les informations utiles à la liquidation de la succession et les contenus s’apparentant à des souvenirs de famille, au titre de l’article 85 II, 1° de la loi Informatique et Libertés. Seules des directives expresses du défunt peuvent autoriser une communication plus large.

Quel délai pour répondre à une demande d’un héritier ?

L’article 85 de la loi Informatique et Libertés ne fixe aucun délai. Il est recommandé de s’aligner sur le délai d’un mois de l’article 12(3) du RGPD, prorogeable de deux mois pour les demandes complexes en informant le demandeur du motif de la prorogation. C’est le standard de diligence qui sera retenu en cas de contrôle ou de contentieux.

Que doit contenir ma politique de confidentialité sur le décès ?

L’article 85 III impose à tout prestataire d’un service de communication au public en ligne d’informer l’utilisateur du sort de ses données à son décès et de lui permettre de désigner un tiers destinataire. Concrètement : un paragraphe dédié dans la politique de confidentialité, un canal identifié pour enregistrer des directives particulières, et la mention des droits des héritiers en l’absence de directives.

Faut-il supprimer les données d’un client dès son décès ?

Non. Les obligations de conservation comptables (10 ans, article L. 123-22 du code de commerce), contractuelles et probatoires (prescription de cinq ans, article 2224 du code civil) continuent de s’appliquer. Ce qui doit cesser immédiatement, c’est l’usage commercial : prospection, newsletters, ciblage publicitaire. Le dossier bascule en archivage intermédiaire à accès restreint, il n’est pas détruit.

---

Sources : Article 85 de la loi n° 78-17 du 6 janvier 1978 (Légifrance) — CNIL, « Mort numérique : quels sont vos droits ? Quels sont les droits des héritiers ? », 31 octobre 2025 — CNIL, Cahier IP n° 10 « Nos données après nous », octobre 2025

Thiébaut Devergranne est docteur en droit (Paris II) et conseille les entreprises en protection des données depuis plus de vingt ans, dont six passées au service du Premier ministre. Cet article présente une analyse juridique générale et ne constitue pas un conseil juridique individualisé.