Un proche vient de décéder et ses comptes restent en ligne : sa messagerie reçoit encore des messages, son profil affiche des anniversaires automatiques, ses photos circulent et, parfois, des inconnus tentent d’utiliser son identité. Dans l’urgence du deuil, la famille découvre un second inventaire à dresser, numérique celui-là : comptes, photos, messages, abonnements, dossier médical, biens stockés dans un nuage. Qui peut demander la fermeture d’un compte, récupérer des photos de famille ou obtenir la copie du dossier médical d’une personne décédée ? Quelles pièces fournir et que faire si la plateforme ou l’établissement refuse ?
Le droit français apporte des réponses précises, à condition de distinguer deux situations que tout oppose. D’un côté, le règlement européen sur la protection des données ne régit pas les défunts : son considérant 27 écarte de son champ d’application les données des personnes décédées et renvoie aux États membres le soin de prévoir des règles en la matière. De l’autre, la France a prévu ces règles : la loi du 6 janvier 1978 organise les directives que chacun peut laisser de son vivant et les droits que les héritiers peuvent exercer après le décès. La Commission nationale de l’informatique et des libertés résume ce dispositif sur sa page consacrée à la mort numérique, qui distingue les directives générales, les directives particulières et les actions ouvertes aux héritiers et aux proches.
Cet article décrit d’abord ce que le défunt a pu organiser lui-même, puis ce que les héritiers peuvent exiger en l’absence de directives, plateforme par plateforme, avant d’examiner le cas le plus conflictuel, celui du dossier médical, à la lumière de deux ordonnances de référé récentes et d’une décision du Conseil d’État du 17 juin 2026. Il se termine par une méthode complète : inventaire, courriers, pièces, délais et recours quand un organisme refuse.
I. Ce que le défunt a organisé prime sur les demandes de la famille
A. Les directives laissées de son vivant s’imposent aux héritiers
Toute personne peut anticiper le sort de ses données. L’article 85 de la loi du 6 janvier 1978 dispose que « Toute personne peut définir des directives relatives à la conservation, à l’effacement et à la communication de ses données à caractère personnel après son décès. » Cette formule est reprise par le Conseil d’État dans sa décision du 17 juin 2026. Ces directives se répartissent en deux catégories aux régimes différents, et cette distinction commande toute la suite des démarches.
Les directives générales ressemblent à un testament portant sur l’ensemble des données de la personne. Elles peuvent être enregistrées auprès d’un tiers de confiance numérique certifié par la Commission nationale de l’informatique et des libertés, et leurs références ainsi que le tiers dépositaire sont inscrits dans un registre unique dont les modalités et l’accès sont fixés par décret en Conseil d’État. Concrètement, le notaire qui règle la succession constitue souvent ce tiers de confiance : la personne peut lui confier des directives générales, et la loi lui permet de les modifier ou de les révoquer à tout moment. Les directives générales définissent la manière dont la personne entend que soient exercés, après son décès, les droits du chapitre II du titre II de la loi, c’est-à-dire l’accès, la rectification, l’effacement, la limitation et l’opposition.
Les directives particulières visent au contraire un ou plusieurs traitements déterminés, par exemple un réseau social ou un service de stockage précis, et elles sont enregistrées directement auprès des responsables de traitement concernés. La loi les entoure d’un formalisme protecteur : elles exigent un consentement spécifique de la personne et ne peuvent découler de la seule acceptation des conditions générales d’utilisation. Autrement dit, une simple case cochée dans des conditions générales ne vaut pas directive particulière. Et pour verrouiller cette protection, toute clause de conditions générales qui limiterait les prérogatives reconnues à la personne par cet article est réputée non écrite. La personne peut désigner quelqu’un pour exécuter ses directives ; cette personne a alors qualité, au décès, pour en prendre connaissance et en demander la mise en œuvre aux responsables de traitement. À défaut de désignation, ou si la personne désignée est elle-même décédée et sauf directive contraire, ce sont les héritiers qui ont qualité pour prendre connaissance des directives et en demander l’application.
Enfin, chaque prestataire d’un service de communication au public en ligne doit informer l’utilisateur du sort de ses données à son décès et lui permettre de choisir d’en communiquer ou non à un tiers qu’il désigne. C’est le fondement des contacts légataires proposés par les grandes plateformes, examinés ci-dessous. Lorsque les directives prévoient la communication de données qui comportent également des données de tiers, cette communication doit respecter la loi, ce qui limite par exemple l’accès aux correspondances mêlant le défunt et ses interlocuteurs.
En pratique, la première vérification consiste donc à rechercher des directives : interroger le notaire chargé de la succession, consulter les paramètres des comptes du défunt quand l’accès est possible, et demander à chaque plateforme si des directives particulières y ont été enregistrées. Si elles existent, elles s’imposent aux héritiers comme aux proches, y compris quand elles ordonnent l’effacement.
B. Sans directives, les héritiers disposent de droits propres mais bornés
Quand le défunt n’a rien prévu, la loi n’abandonne pas la famille : elle ouvre aux héritiers des droits propres, mais strictement cantonnés à deux finalités. L’article 84 de la loi du 6 janvier 1978 pose le principe que « Les droits mentionnés au chapitre II s’éteignent au décès de la personne concernée. Toutefois, ils peuvent être provisoirement maintenus dans les conditions fixées à l’article 85 », principe repris par le Conseil d’État dans sa décision du 17 juin 2026. L’article 85, II, énumère ensuite ces deux finalités : d’une part l’organisation et le règlement de la succession, d’autre part la prise en compte du décès par les responsables de traitement.
Au titre de la succession, les héritiers peuvent accéder aux traitements concernant le défunt afin d’identifier et d’obtenir communication des informations utiles à la liquidation et au partage, et ils peuvent recevoir communication des biens numériques ou des données qui s’apparentent à des souvenirs de famille et sont transmissibles. Au titre de la prise en compte du décès, « En l’absence de directives […] les héritiers […] peuvent exercer, après son décès, les droits […] dans la mesure nécessaire […] A la prise en compte, par les responsables de traitement, de son décès », à savoir la clôture des comptes utilisateurs du défunt, l’opposition à la poursuite des traitements le concernant ou leur mise à jour. Et lorsque les héritiers en font la demande, le responsable doit justifier sans frais pour le demandeur des opérations effectuées. Cette justification sans frais constitue une arme concrète : l’organisme qui affirme avoir clôturé un compte doit le prouver, et non se contenter de l’affirmer. En cas de désaccord entre héritiers sur l’exercice de ces droits, le texte renvoie au tribunal de grande instance compétent, juridiction devenue depuis le 1er janvier 2020 le tribunal judiciaire, comme le rappelle la décision du Conseil d’État du 17 juin 2026 qui reprend ces deux branches.
La qualité d’héritier se prouve de manière précise. Le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi prévoit qu’outre sa pièce d’identité, l’héritier doit prouver sa qualité par un acte de notoriété ou le livret de famille. Il faut donc joindre à chaque demande une pièce d’identité, l’acte de décès et, selon les cas, l’acte de notoriété établi par le notaire ou le livret de famille. Cette exigence rejoint le droit des successions : l’article 724 du code civil dispose que « Les héritiers désignés par la loi sont saisis de plein droit des biens, droits et actions du défunt. » L’acte de notoriété dressé par le notaire établit précisément cette qualité face aux organismes. Le même décret précise que les règles ordinaires d’exercice des droits s’appliquent sous réserve de ce chapitre particulier consacré aux personnes décédées.
Reste à traduire ces droits en démarches auprès des plateformes, dont les procédures varient sensiblement. Chez Google, le formulaire d’assistance dédié aux comptes d’utilisateurs décédés propose trois objets : clôturer le compte, demander la récupération des fonds qui y figurent, ou obtenir des données. Google indique qu’il peut collaborer avec la famille immédiate et les représentants légaux, que toute décision n’intervient qu’après un examen approfondi, et surtout qu’il ne communique ni les mots de passe ni les informations de connexion. Il faut donc renoncer à l’idée de reprendre le compte : on obtient sa clôture, des fonds ou certaines données, jamais les identifiants. Le gestionnaire de compte inactif, paramétrable du vivant de l’utilisateur, permet en outre d’organiser à l’avance la suppression ou la transmission de certaines données après une période d’inactivité.
Chez Facebook, la page d’aide consacrée à la suppression du compte d’un membre de la famille décédé exige un document confirmant que le demandeur est un membre de la famille proche ou l’exécuteur testamentaire du titulaire. Il faut joindre un scan ou une photo de l’acte de décès et, à défaut, une preuve d’autorité et une preuve du décès parmi les documents listés, comme la procuration, l’acte de naissance si le défunt était mineur, le testament ou la lettre de succession. La Commission confirme qu’un héritier peut demander la suppression du compte Facebook du défunt. À côté de la suppression, Facebook propose la commémoration du compte et le contact légataire, désigné du vivant de l’utilisateur, qui peut ensuite demander la suppression ; sans contact légataire désigné, seuls les héritiers et ayants droit peuvent agir.
Chez Apple, la page d’assistance relative au compte d’un membre de la famille décédé distingue trois voies : le contact légataire muni de sa clé d’accès, présenté comme le moyen le plus simple et le plus sûr d’accéder à certaines données stockées ; la demande de suppression définitive du compte et des données associées, qui suppose de disposer d’un compte Apple et des documents juridiques requis ; et la demande fondée sur une ordonnance du tribunal ou un autre justificatif. Apple avertit qu’il doit recueillir et vérifier certains documents juridiques avant toute opération sur le compte. Il faut compter avec une limite technique majeure : certaines données sont chiffrées de bout en bout et Apple indique ne pas pouvoir les déchiffrer, de sorte que le code de l’appareil du défunt ou d’autres informations peuvent être exigés. Pour les autres services, le tableau publié par la Commission recense les formulaires d’Instagram, de LinkedIn, de X et de Yahoo, chacun avec ses pièces et ses conditions. Pour les lecteurs qui gèrent déjà la suppression de leurs propres comptes, les règles applicables du vivant de la personne sont détaillées dans l’article du cabinet consacré à la plateforme qui refuse de supprimer un compte et conserve les données, utilement comparé ici puisque, après le décès, ce ne sont plus les droits du chapitre II exercés par la personne elle-même mais les droits bornés de l’article 85, II, qui s’appliquent.
II. Quand l’organisme refuse : dossier médical, preuve et juge
A. Le dossier médical du défunt obéit à un régime à trois clés
Le dossier médical concentre les refus les plus douloureux : connaître les causes du décès, contester un testament signé dans les derniers jours, ou défendre la mémoire du défunt suppose souvent d’accéder à des informations couvertes par le secret médical. Le régime applicable tient en trois textes qu’il faut combiner sans les confondre.
D’abord, le secret médical survit au décès mais comporte une ouverture limitée. L’article L1110-4 du code de la santé publique prévoit que « Le secret médical ne fait pas obstacle à ce que les informations concernant une personne décédée soient délivrées à ses ayants droit, son concubin ou son partenaire lié par un pacte civil de solidarité, dans la mesure où elles leur sont nécessaires pour leur permettre de connaître les causes de la mort, de défendre la mémoire du défunt ou de faire valoir leurs droits, sauf volonté contraire exprimée par la personne avant son décès. » Trois motifs seulement ouvrent l’accès, et la volonté contraire exprimée du vivant du patient le referme. Ensuite, l’article L1111-7 du même code organise l’accès de toute personne aux informations de santé la concernant, avec communication au plus tard dans les huit jours de la demande après un délai de réflexion de quarante-huit heures, délai porté à deux mois lorsque les informations datent de plus de cinq ans ; après le décès, l’accès des ayants droit, du concubin, du partenaire ou du médecin concerné par un examen de génétique s’effectue dans les conditions des deux derniers alinéas du V de l’article L1110-4. Enfin, avant tout procès, l’article 145 du code de procédure civile permet au juge d’ordonner des mesures d’instruction « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige », sur requête ou en référé et à la demande de tout intéressé.
Deux ordonnances de référé récentes montrent comment les juges articulent ces textes, dans des sens opposés qu’il faut comprendre pour calibrer sa demande. Le 10 juillet 2026, le juge des référés du tribunal judiciaire de Marseille (RG 26/00471) a ordonné à un établissement d’hébergement pour personnes âgées de communiquer à un frère et une sœur le dossier médical de leur sœur décédée en 2023. Les demandeurs, héritiers légaux, contestaient le testament olographe qui les déshéritait au profit d’une nièce, en faisant valoir l’état de santé dégradé de la défunte à la date de sa rédaction. L’établissement opposait la volonté de la patiente, qui aurait souhaité que son frère et sa sœur ne soient pas informés de son état de santé. Le juge a fait droit à la demande et ordonné la communication sous un mois à compter de la signification, en retenant que l’établissement devait prouver la volonté de sa patiente d’échapper à la communication post mortem et que les demandeurs justifiaient d’un motif légitime lié à la contestation du testament. La leçon est double : l’ayant droit doit rattacher sa demande à l’un des trois motifs légaux, ici faire valoir ses droits successoraux, et l’établissement qui invoque une volonté contraire doit la démontrer, sans pouvoir se retrancher derrière une simple affirmation.
À l’inverse, le 26 avril 2024, le juge des référés du tribunal judiciaire de Paris (RG 24/50180) a rejeté la demande d’une fille qui sollicitait la communication du dossier de son père décédé en soins palliatifs, afin de contester une vente de terrain consentie trois jours avant le décès par procuration au profit de son épouse. Le juge a relevé que le défunt s’était opposé de son vivant à la communication de ses informations médicales à toute autre personne que son épouse, opposition consignée par le médecin qui l’avait pris en charge, et que la demanderesse, malgré des relations conflictuelles avec sa belle-mère, ne l’avait pas dispensée de solliciter les pièces auprès de l’épouse ou de l’établissement munie de l’autorisation de la personne de confiance désignée par le patient. La demande d’injonction et d’expertise a donc été écartée, la demanderesse conservant la charge des dépens. La leçon est symétrique : une opposition exprimée du vivant du patient, dûment consignée, fait obstacle à la communication, et le détour par l’expertise judiciaire ne permet pas de contourner ce verrou.
Une troisième décision, rendue le 17 juin 2026 par le Conseil d’État (n° 503360 et 506619, ECLI:FR:CECHS:2026:503360.20260617, consultable sur la fiche officielle de la décision), éclaire l’articulation avec la plainte devant la Commission nationale de l’informatique et des libertés. Un veuf avait saisi la Commission d’une plainte contre un assureur, pour conservation, exploitation et transmission de données de santé de son épouse décédée sans consentement recueilli de son vivant, et contre le médiateur de l’assurance pour défaut de recueil explicite de son propre consentement. Il soutenait notamment que le considérant 27 du règlement européen ne viserait que les données traitées après le décès et non celles recueillies et stockées avant, et que le traitement porterait atteinte à ses intérêts patrimoniaux liés à un contrat souscrit en commun. Le Conseil d’État a joint les requêtes et les a rejetées : « il ne se trouve dans aucune des hypothèses visées par l’article 85 de la loi du 6 janvier 1978 » lui permettant d’exercer les droits de son épouse décédée, et il ne peut être regardé comme une personne concernée, de sorte que « Par suite, il ne peut justifier d’un intérêt pour saisir la CNIL lui donnant qualité pour demander l’annulation pour excès de pouvoir des décisions qu’il attaque. » La portée de l’arrêt doit être exactement mesurée : le juge ne tranche pas la question du champ temporel du considérant 27, il constate un défaut de qualité pour agir. Seul l’héritier agissant dans les hypothèses de l’article 85, ou la personne concernée par ses propres données, peut utilement saisir la Commission puis le juge de l’excès de pouvoir.
Il reste la réparation civile. La Commission rappelle que lorsqu’une personne s’estime lésée par le traitement de données concernant un proche décédé, elle peut saisir les tribunaux pour demander réparation, et que les héritiers peuvent agir lorsque l’utilisation de ces données porte atteinte à la mémoire, à la réputation ou à l’honneur du défunt ou leur cause un autre préjudice. Cette action suppose de démontrer un préjudice propre, distinct de la simple contrariété, et de rapporter la preuve de l’utilisation litigieuse, par constats, captures et échanges avec l’organisme.
B. Inventaire, courrier, délais et recours quand un responsable résiste
Face à un refus, l’improvisation fait perdre des mois. La méthode qui suit ordonne les démarches du premier jour jusqu’au juge, en distinguant les comptes en ligne, les données de santé et les biens numériques patrimoniaux.
Commencer par l’inventaire, avec le notaire quand une succession est ouverte. Relever les comptes connus : messageries, réseaux sociaux, stockages dans le nuage, abonnements, comptes bancaires en ligne, plateformes d’achat, jeux, cryptomonnaies. Rechercher les directives : interroger le notaire sur d’éventuelles directives générales, vérifier les paramètres des comptes accessibles, notamment les contacts légataires Apple, Facebook et Google, et demander à chaque responsable s’il détient des directives particulières. Rassembler les pièces communes à toutes les demandes : pièce d’identité du demandeur, acte de décès, preuve de la qualité d’héritier par acte de notoriété ou livret de famille, et, pour les plateformes étrangères, les documents qu’elles listent, comme la procuration, le testament ou la lettre de succession pour Facebook.
Rédiger ensuite une demande précise à chaque responsable de traitement, en visant le bon fondement. Pour un compte en ligne, invoquer l’article 85, II, de la loi du 6 janvier 1978, en précisant l’objet : clôture du compte, opposition à la poursuite des traitements, mise à jour, ou communication des informations utiles à la liquidation et au partage ainsi que des biens numériques et souvenirs de famille. Rappeler que le responsable doit justifier sans frais des opérations effectuées. Pour un dossier médical, viser les articles L1110-4 et L1111-7 du code de la santé publique, en rattachant explicitement la demande à l’un des trois motifs légaux : connaître les causes de la mort, défendre la mémoire du défunt ou faire valoir ses droits, et en décrivant le litige auquel la communication se rapporte, par exemple une contestation de testament ou d’une libéralité consentie dans les derniers jours. Adresser la demande au directeur de l’établissement ou au praticien, conserver la preuve de l’envoi et de la réception, et noter les délais : huit jours après quarante-huit heures de réflexion pour les informations récentes, deux mois pour celles qui datent de plus de cinq ans.
En cas de refus ou de silence, graduer la riposte. Relancer par écrit en rappelant l’obligation de justification sans frais, puis saisir la Commission nationale de l’informatique et des libertés d’une plainte, en vérifiant au préalable sa qualité : comme l’illustre la décision du Conseil d’État du 17 juin 2026, seul celui qui entre dans les hypothèses de l’article 85 ou qui défend ses propres données peut utilement la saisir. En parallèle, le juge des référés peut être saisi sur le fondement de l’article 145 du code de procédure civile pour ordonner la communication à titre de mesure d’instruction, à condition de démontrer le motif légitime, comme l’a admis le tribunal judiciaire de Marseille pour une contestation de testament, ou la juridiction compétente au fond pour trancher le litige principal et la réparation du préjudice de mémoire. Pour les données de santé, anticiper l’objection de la volonté contraire : si le défunt s’y était opposé de son vivant et que cette opposition est consignée, la communication sera refusée, comme l’a jugé le tribunal judiciaire de Paris, et il faudra orienter le litige vers d’autres preuves.
Trois situations appellent enfin une vigilance particulière. Le téléphone et l’ordinateur du défunt concentrent souvent l’essentiel des souvenirs, mais leur déverrouillage se heurte aux codes, au chiffrement et, chez certains fabricants, à l’impossibilité technique de déchiffrer les données chiffrées de bout en bout ; forcer l’accès sans qualité ni autorisation expose en outre à des qualifications pénales, de sorte que la voie régulière passe par le contact légataire, l’ordonnance du juge ou les documents acceptés par le fabricant. Les biens numériques à valeur patrimoniale, comme les soldes de comptes, les portefeuilles de cryptomonnaies ou les bibliothèques de contenus, relèvent à la fois de l’article 85, II, 1°, pour les informations utiles à la succession, et du règlement successoral conduit par le notaire, seul à même d’établir l’acte de notoriété que les plateformes exigent. Les usages fautifs commis après le décès, comme l’usurpation de l’identité du défunt ou la diffusion d’images portant atteinte à sa mémoire, justifient de faire constater les faits sans délai, de demander le retrait et la clôture, de déposer plainte quand les faits sont pénalement qualifiés, et de saisir le juge civil de la réparation du préjudice propre subi par les proches. En cas d’usage illicite persistant, le référé offre une voie rapide : l’article 835 du code de procédure civile permet au président du tribunal judiciaire de « prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite », ce qui peut fonder une demande de retrait ou de remise en état.
Conclusion
La mort n’efface ni les comptes ni les données, mais elle déplace les droits : le règlement européen s’arrête aux vivants, et seule la loi française organise la suite. Retenir l’essentiel tient en cinq repères. Les directives laissées par le défunt priment : générales auprès d’un tiers de confiance, particulières auprès de chaque responsable avec un consentement spécifique, elles s’imposent aux héritiers et aucune clause de conditions générales ne peut les rogner. Sans directives, les héritiers n’héritent pas de tous les droits du défunt : ils peuvent seulement obtenir ce qui sert la succession, les souvenirs transmissibles et la clôture ou la mise à jour des comptes, avec justification sans frais du responsable. Chaque plateforme applique sa procédure et ses pièces, Google, Facebook et Apple exigeant acte de décès, preuve de parenté ou de qualité d’héritier et, parfois, une ordonnance du juge, sans jamais remettre les mots de passe. Le dossier médical n’est communicable qu’aux ayants droit, concubin ou partenaire, pour connaître les causes de la mort, défendre la mémoire ou faire valoir des droits, sauf opposition exprimée du vivant du patient, et le juge contrôle ce motif avant d’ordonner ou de refuser la communication. Enfin, la plainte devant la Commission et le recours au juge supposent une qualité précise : l’arrêt du Conseil d’État du 17 juin 2026 rappelle qu’on ne saisit pas utilement la Commission pour les données d’un défunt quand on n’entre dans aucune hypothèse de l’article 85.
Agir vite et par écrit, viser le bon texte, joindre les bonnes pièces et accepter que certains accès restent fermés : telle est la discipline qui permet de récupérer les photos qui comptent, de fermer ce qui doit l’être et de faire trancher le reste par le juge.