Un parent vient de mourir et son téléphone reste verrouillé, ses photos sont stockées dans un nuage dont personne ne connaît le mot de passe, son profil de réseau social continue de recevoir des messages d’anniversaire. Les proches veulent récupérer des souvenirs de famille, fermer des comptes devenus inutiles ou retrouver un document nécessaire à la succession, et se heurtent à des formulaires en ligne, à des demandes de pièces et parfois à un refus sec opposé au nom du secret des correspondances. Le droit français a prévu cette situation : le règlement européen ne s’applique pas aux personnes décédées, mais la loi Informatique et Libertés organise le sort des données post mortem, entre directives laissées de son vivant, droits propres des héritiers et contrôle du juge. Voici, point par point, comment anticiper de son vivant et comment agir après le décès pour accéder aux données utiles, récupérer les souvenirs transmissibles et faire fermer ce qui doit l’être.

I. Anticiper de son vivant : des directives qui s’imposent après le décès

A. Des directives générales ou particulières, modifiables à tout moment

Le point de départ est européen. Le règlement général sur la protection des données ne vise que les personnes vivantes : son considérant 27 écarte les données des personnes décédées de son champ et renvoie aux États membres le soin d’édicter leurs propres règles pour ces traitements. La France l’a fait dès la loi du 6 janvier 1978 et son article 85 sur les directives post mortem, dont l’article 84 pose le principe : « Les droits mentionnés au chapitre II s’éteignent au décès de la personne concernée. » Les droits d’accès, de rectification, d’effacement et d’opposition meurent donc avec leur titulaire, mais la loi organise immédiatement la suite : directives anticipées et droits familiaux.

Chacun peut régler le sort de ses traces numériques. L’article 85 de la loi du 6 janvier 1978 prévoit : « Toute personne peut définir des directives relatives à la conservation, à l’effacement et à la communication de ses données à caractère personnel après son décès. Ces directives sont générales ou particulières. » Les directives générales ressemblent à un testament numérique : elles portent sur l’ensemble des données et peuvent être confiées à un tiers de confiance, par exemple un notaire, chargé de veiller à leur application. La loi précise : « Les directives générales concernent l’ensemble des données à caractère personnel se rapportant à la personne concernée et peuvent être enregistrées auprès d’un tiers de confiance numérique certifié par la Commission nationale de l’informatique et des libertés. » Les directives particulières visent au contraire un service déterminé, un réseau social ou un site précis, et doivent être communiquées directement à l’organisme concerné. Point important relevé par la CNIL dans sa fiche du 31 octobre 2025 sur la mort numérique : ces directives ne peuvent pas résulter de la simple approbation des conditions générales d’utilisation du service. Cocher une case à l’inscription ne vaut pas directive particulière.

Ces directives priment sur les volontés des proches : lorsqu’elles existent, elles s’imposent aux héritiers comme aux organismes. Elles restent toutefois libres jusqu’au bout, puisque la loi permet à chacun de modifier ou de révoquer ses directives à tout moment. Le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi précise les modalités du registre unique des directives générales et de la certification des tiers de confiance. En pratique, trois gestes simples suffisent à anticiper : rédiger des directives générales chez un notaire pour l’essentiel, paramétrer les outils proposés par chaque plateforme pour chaque compte important, et laisser à une personne de confiance la liste des comptes existants sans y joindre les mots de passe, qui ne doivent jamais circuler par écrit non protégé.

B. Paramétrer chaque compte : légataire, commémoration ou suppression

Les grandes plateformes proposent des réglages post mortem qu’il faut activer de son vivant, faute de quoi le cadre légal général s’appliquera par défaut. La CNIL recense ces paramétrages : ajouter un contact légataire, demander la transformation en compte commémoratif, ou programmer la suppression du compte après une période d’inactivité ou après signalement du décès. Chez Apple, le contact légataire peut demander l’accès à certaines données du défunt (paramétrage de la transmission et demande d’accès comme légataire). Google propose un gestionnaire de compte inactif qui supprime le compte ou transmet certaines données après une durée d’inactivité choisie (gestionnaire de compte inactif). Facebook permet de programmer la suppression du compte ou de désigner des contacts légataires, et de transformer le profil en compte commémoratif (page d’aide sur le devenir du compte en cas de décès). Sans instruction laissée de son vivant et sans demande des proches, les profils restent en ligne : la CNIL observe qu’il est difficile pour un responsable de site de distinguer un profil abandonné d’un profil dont le titulaire est mort, et recommande aux organismes de supprimer les comptes après un certain temps d’inactivité, après un message d’avertissement.

Le choix entre ces options dépend de ce que le compte contient. Un compte de stockage ou de messagerie renferme souvent des documents utiles à la succession et des souvenirs familiaux transmissibles, qu’une suppression automatique ferait disparaître. Un profil public expose au contraire des contenus que la personne aurait peut-être préféré voir effacer : l’enquête Harris Interactive réalisée pour la CNIL en novembre 2024 montre que la moitié des personnes interrogées préférerait que leurs publications soient supprimées après leur décès, un quart souhaitant un tri entre contenus à conserver et contenus à supprimer. Pour les contenus à valeur patrimoniale, comme une bibliothèque de musiques ou de vidéos achetées en ligne, le régime successoral ordinaire s’applique et ces biens numériques se transmettent aux héritiers. Pour les messages échangés avec des tiers vivants, le secret des correspondances continue de protéger les échanges : l’article 226-15 du code pénal punit l’atteinte à ce secret, et un compte de messagerie reste par principe strictement personnel. D’où la règle d’or : régler chaque compte important de son vivant, en distinguant souvenirs à transmettre, documents à conserver pour la succession et espaces privés à fermer.

II. Après le décès : ce que les héritiers et les proches peuvent exiger

A. Clôture des comptes, opposition et accès pour la succession

En l’absence de directives, la loi donne aux héritiers des pouvoirs précis. Ils peuvent accéder aux traitements afin d’identifier les informations utiles à la liquidation et au partage de la succession et d’en obtenir communication. Ils peuvent aussi faire procéder à la clôture des comptes utilisateurs du défunt, s’opposer à la poursuite des traitements de données le concernant ou faire procéder à leur mise à jour. Ils peuvent enfin recevoir communication des biens numériques et des données s’apparentant à des souvenirs de famille, transmissibles aux héritiers. Ce dernier point, souligné par la CNIL, distingue les souvenirs transmissibles, comme des photographies de famille stockées en ligne, des correspondances privées qui restent protégées. (art. 84 à 86, loi du 6 janvier 1978) Les proches qui ne sont pas héritiers disposent de droits plus étroits : ils peuvent signaler le décès aux organismes et demander la fermeture d’un compte ou sa transformation en profil commémoratif, mais l’accès aux contenus leur est en principe refusé. La CNIL répond ainsi que la suppression du compte d’une personne décédée sur un réseau social peut être demandée, tandis que la lecture de ses messages privés suppose la qualité d’héritier et un motif légitime.

La démarche commence toujours par le signalement du décès auprès de chaque organisme, avec les pièces justificatives demandées : acte de décès, pièce d’identité du demandeur, preuve de la qualité d’héritier comme l’acte de notoriété, et le cas échéant l’article nécrologique. Chaque plateforme organise ensuite sa procédure : Google met en ligne un formulaire de demande concernant le compte d’un utilisateur décédé pour clôturer le compte, récupérer des fonds ou obtenir des données (formulaire de demande concernant le compte d’un utilisateur décédé), Facebook distingue la demande de suppression, la transformation en profil commémoratif et la demande d’accès à certains contenus, Instagram réserve la suppression aux ayants droit, LinkedIn et Discord proposent le signalement et la clôture. Si l’organisme ne répond pas ou refuse sans motif, la mise en demeure par lettre recommandée avec accusé de réception doit rappeler les articles 84 à 86 de la loi du 6 janvier 1978, détailler les mesures demandées compte par compte et fixer un délai de réponse. Pour les démarches parallèles de la succession, la fiche de Service-public.fr sur le décès décrit étape par étape la constatation du décès, la déclaration en mairie et l’organisation des obsèques. Et lorsque le refus porte sur la copie de données personnelles en général, les règles de la demande d’accès et de ses recours ont été détaillées dans l’article du cabinet sur le refus de copie des données personnelles.

B. Demander au juge un accès ciblé quand l’organisme refuse

Quand la voie amiable échoue, le juge peut ordonner l’accès aux données du défunt, mais jamais une exploration sans limite. L’ordonnance de référé du tribunal judiciaire de Paris du 27 janvier 2026 (RG 25/56761) l’illustre avec netteté. Une amie du défunt, décédé sans conjoint ni descendant, recherchait un testament qui aurait été conservé sous forme dématérialisée sur les services en ligne d’un grand hébergeur, et demandait qu’un commissaire de justice accède au compte pour y chercher ce document. Le juge accueille la demande sur le fondement de l’article 145 du code de procédure civile, qui permet d’ordonner avant tout procès les mesures d’instruction légalement admissibles lorsqu’existe un motif légitime de conserver ou d’établir la preuve de faits dont peut dépendre la solution du litige. Mais il verrouille strictement la mesure : « une exploration générale et indifférenciée des données personnelles du défunt ne peut être ordonnée », car elle porterait une atteinte excessive à la vie privée. L’accès est donc « expressément limitée à une recherche ciblée par mots-clés, en lien direct avec l’objet du litige », avec une liste de mots comme le nom de la demanderesse, le décès, l’appartement, le testament, les dernières volontés, le legs ou la succession. Le commissaire de justice est désigné pour accomplir les démarches auprès de l’hébergeur et remplir les formulaires d’accès, sans pouvoir lire d’autres données étrangères au litige. La leçon pour les familles est directe : devant le juge, il faut démontrer un motif légitime précis, comme la recherche d’un testament ou d’un document de succession, et proposer d’emblée un périmètre de recherche limité par mots-clés et par services. Une demande qui reviendrait à lire toute la messagerie du défunt sera rejetée.

Le même équilibre entre accès et secret gouverne les dossiers médicaux et bancaires. Pour la santé, l’article L. 1111-7 du code de la santé publique organise l’accès de toute personne aux informations concernant sa santé, puis renvoie, en cas de décès, aux conditions de l’article L. 1110-4. Ce dernier dispose : « Le secret médical ne fait pas obstacle à ce que les informations concernant une personne décédée soient délivrées à ses ayants droit, son concubin ou son partenaire lié par un pacte civil de solidarité, dans la mesure où elles leur sont nécessaires pour leur permettre de connaître les causes de la mort, de défendre la mémoire du défunt ou de faire valoir leurs droits, sauf volonté contraire exprimée par la personne avant son décès. » L’accès est donc possible mais finalisé : connaître les causes de la mort, défendre la mémoire du défunt ou faire valoir ses droits. Une demande qui dépasse ces finalités échoue, comme le montre l’ordonnance du tribunal judiciaire de Paris du 26 avril 2024 (RG 24/50180) : la fille d’un patient décédé en soins palliatifs réclamait l’entier dossier médical avec astreinte et expertise, et le juge a rejeté l’ensemble des demandes. Pour obtenir gain de cause, l’ayant droit doit viser des pièces précises et rattacher chacune d’elles à l’une des trois finalités légales, en joignant la preuve de sa qualité et, si le défunt s’y était opposé de son vivant par écrit, en renonçant à ce que cette opposition couvre.

Pour les comptes bancaires, la solution est plus favorable aux héritiers. Dans son arrêt du 8 janvier 2025 (RG 23/09410), la cour d’appel de Lyon juge que le secret bancaire n’est pas opposable aux héritiers et légataires universels, parce qu’ils perdent leur qualité de tiers en continuant la personne du défunt. La cour condamne en conséquence la banque à communiquer aux légataires universelles les relevés du compte joint pour la période allant jusqu’au jour du décès, sous astreinte de 200 euros par jour de retard pendant six mois. Concrètement, l’héritier qui se voit opposer le secret bancaire sur les comptes du défunt peut donc saisir le tribunal judiciaire en invoquant sa saisine successorale de l’article 724 du code civil et cette jurisprudence : la banque doit communiquer les relevés jusqu’au décès, et le juge peut assortir l’injonction d’une astreinte. Après le décès en revanche, le compte joint continue de fonctionner pour le cotitulaire survivant, et les héritiers ne peuvent pas exiger les opérations postérieures au décès sans autorisation judiciaire. Lorsque l’utilisation des données du défunt porte atteinte à sa mémoire, à sa réputation ou à son honneur, ou cause un préjudice propre aux proches, les héritiers et la personne lésée peuvent saisir les tribunaux pour demander réparation : usurpation d’identité du défunt, diffusion de contenus humiliants, exploitation commerciale de son image. L’article 9 du code civil, qui dispose que chacun a droit au respect de sa vie privée, fonde avec l’article 226-1 du code pénal ces actions en cessation et en réparation, et le juge peut ordonner le retrait des contenus et allouer des dommages et intérêts.

Deux situations appellent des réflexes particuliers. Lorsque le défunt est un enfant mineur, ce sont les titulaires de l’autorité parentale qui exercent les droits : ils peuvent demander la clôture des comptes, l’accès aux données utiles et la suppression des contenus, en justifiant de leur qualité par le livret de famille et l’acte de décès. Les plateformes appliquent ici leurs procédures les plus protectrices, avec vérification renforcée de l’identité du demandeur, et tout contenu signalé comme portant atteinte à la dignité du mineur doit être retiré sans délai. Lorsque le défunt utilisait des outils professionnels, comme une messagerie d’entreprise ou un téléphone fourni par l’employeur, les données professionnelles relèvent de l’employeur tandis que les données personnelles restent protégées : l’héritier peut demander à l’employeur la restitution des effets personnels numériques, comme des photographies stockées sur l’appareil, sans pouvoir exiger la lecture des échanges professionnels couverts par le secret des affaires et par les obligations de l’entreprise. Le téléphone lui-même pose une difficulté pratique : ni l’opérateur ni le fabricant ne déverrouillent un appareil sur simple demande familiale, et le contournement des mesures de sécurité par un proche peut caractériser un accès frauduleux à un système de traitement automatisé de données. La voie régulière consiste à utiliser les procédures de légataire et de récupération offertes par les systèmes d’exploitation, puis, en cas de blocage, à demander au juge une mesure ciblée comme celle ordonnée à Paris en janvier 2026.

Enfin, les contenus publiés par des tiers sur le défunt suivent leur propre régime. Lorsqu’un article de presse, une vidéo ou un message accessible en ligne porte atteinte à la mémoire du défunt ou à la vie privée des proches, les héritiers peuvent demander le déréférencement du contenu auprès du moteur de recherche, sa suppression auprès de l’éditeur et, en cas de refus, saisir le juge en référé pour faire cesser le trouble manifestement illicite. La demande doit identifier précisément chaque adresse concernée, expliquer en quoi le contenu porte atteinte à la mémoire du défunt ou aux droits des proches, et joindre les pièces de filiation. Les moteurs de recherche disposent de formulaires dédiés aux demandes relatives aux personnes décédées, distincts des formulaires d’exercice des droits des personnes vivantes, et exigent la preuve du décès et du lien avec le demandeur. Si le contenu relève d’un débat d’intérêt général actuel, le juge met en balance la mémoire du défunt et la liberté d’expression, et le retrait n’est pas systématique : d’où l’importance de viser d’abord les contenus qui n’apportent aucune information au public, comme des photographies volées, des rumeurs ou des contenus humiliants. Comme pour les comptes, la conservation des preuves est décisive : captures datées, constats de commissaire de justice et échanges avec les plateformes constituent le dossier qui emportera la décision du juge ou la mise en conformité de l’organisme.

Un proche meurt et ses comptes lui survivent : directives rédigées de son vivant, paramétrages activés sur chaque plateforme et liste des comptes laissée à une personne de confiance évitent la plupart des blocages. Après le décès, les héritiers tiennent de la loi des pouvoirs délimités, entre clôture des comptes, opposition aux traitements, accès aux informations utiles à la succession et récupération des souvenirs transmissibles, tandis que les correspondances privées restent protégées et que les demandes trop larges sont rejetées, comme l’ont montré les juges parisiens en 2024 et en 2026. La méthode qui aboutit associe le signalement documenté du décès, la mise en demeure précise compte par compte et, en cas de refus persistant, la demande judiciaire ciblée avec mots-clés et astreinte. La cour d’appel de Lyon l’a confirmé pour les relevés bancaires comme le tribunal de Paris pour les données en ligne : le juge ouvre l’accès quand la demande est précise, légitime et proportionnée, et le ferme quand elle devient une exploration générale. Anticiper de son vivant reste le geste le plus simple, agir vite et par écrit après le décès le réflexe le plus efficace.

Lorsque l’atteinte persiste malgré la mise en demeure, les proches ne sont pas démunis. La CNIL rappelle que la personne lésée par le traitement de données concernant un proche décédé peut saisir les tribunaux pour demander réparation de son préjudice propre, et que les héritiers peuvent agir lorsque l’utilisation des données porte atteinte à la mémoire, à la réputation ou à l’honneur du défunt. Cette action en responsabilité se porte devant le tribunal judiciaire, en référé pour faire cesser rapidement une diffusion en cours ou au fond pour obtenir le retrait définitif et des dommages et intérêts. Le dossier doit établir la qualité du demandeur, la preuve du décès, la capture des contenus litigieux et la démonstration du lien entre ces contenus et l’atteinte à la mémoire du défunt ou au préjudice personnel du proche. (art. 86 de la loi du 6 janvier 1978) En parallèle, tout contenu pénalement répréhensible, comme une usurpation d’identité en ligne, un chantage aux images ou la diffusion de données volées, justifie une plainte pénale qui renforcera l’action civile en donnant date certaine aux faits et en permettant l’identification de l’auteur par réquisition judiciaire.