Un père, une mère, un conjoint, un frère disparaît et laisse derrière lui une trace numérique considérable : un téléphone verrouillé, une messagerie pleine, des comptes sur les réseaux sociaux, des photographies stockées dans un nuage, des abonnements qui continuent d’être prélevés, parfois une banque en ligne dont personne ne connaît les codes. Les proches découvrent alors une situation déroutante : le défunt n’est plus là pour autoriser quoi que ce soit, mais ses comptes restent actifs, ses données continuent d’être traitées et certains prestataires refusent de parler à qui que ce soit d’autre qu’au titulaire. Que peut exiger un héritier, et où s’arrête son pouvoir ?
La réponse tient en trois idées. D’abord, ce que le défunt a décidé de son vivant prime : chacun peut laisser des directives sur le sort de ses données après sa mort, et ces directives s’imposent aux héritiers comme aux organismes. Ensuite, en l’absence de directives, la loi reconnaît aux héritiers des droits précis mais limités à deux finalités : régler la succession et faire prendre en compte le décès par les organismes. Enfin, tout n’est pas accessible : le contenu des messageries reste couvert par le secret des correspondances, et les données de santé obéissent à un régime propre, illustré par deux ordonnances récentes du tribunal judiciaire de Paris, l’une qui ordonne la communication, l’autre qui la refuse. Cet article décrit le cadre applicable, les démarches concrètes et les recours en cas de blocage.
I. Ce que la loi permet aux héritiers, et ce qu’elle leur interdit
A. Les directives laissées par le défunt priment sur les demandes des héritiers
Premier point de repère : comme le rappelle la CNIL dans sa page sur la mort numérique, le règlement européen sur la protection des données ne s’applique pas aux données des personnes décédées Ce principe correspond au considérant 27 du règlement (UE) 2016/679, qui renvoie aux États membres le soin de prévoir des règles relatives au traitement des données des personnes décédées. C’est donc la loi française, la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui organise le sort des données après le décès, dans un chapitre V consacré aux traitements de données à caractère personnel relatives aux personnes décédées.
Le principe de départ est posé par l’article 84 de cette loi : « Les droits mentionnés au chapitre II s’éteignent au décès de la personne concernée. Toutefois, ils peuvent être provisoirement maintenus dans les conditions fixées à l’article 85. » Autrement dit, le droit d’accès, de rectification, d’opposition ou d’effacement ne se transmet pas comme un bien de succession : il s’éteint, sauf le maintien provisoire organisé par l’article 85, au profit des personnes que cet article désigne et dans les limites qu’il fixe. Ces dispositions sont en vigueur depuis le 1er juin 2019, en même temps que le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi.
Au sommet de l’édifice figurent les directives que chacun peut laisser de son vivant. L’article 85 de la loi dispose : « Toute personne peut définir des directives relatives à la conservation, à l’effacement et à la communication de ses données à caractère personnel après son décès. Ces directives sont générales ou particulières. » Les directives générales portent sur l’ensemble des données de la personne et peuvent être enregistrées auprès d’un tiers de confiance numérique certifié par la Commission nationale de l’informatique et des libertés ; la loi prévoit l’inscription de leurs références dans un registre unique dont les modalités et l’accès sont fixés par décret en Conseil d’État. Les directives particulières visent au contraire un ou plusieurs traitements déterminés et sont enregistrées auprès des responsables de traitement concernés. La loi verrouille leur validité : « Elles font l’objet du consentement spécifique de la personne concernée et ne peuvent résulter de la seule approbation par celle-ci des conditions générales d’utilisation. » Une simple case cochée dans des conditions générales ne vaut donc pas directive. Et pour que les organismes ne vident pas ce droit de sa substance, le même article ajoute : « Toute clause contractuelle des conditions générales d’utilisation d’un traitement portant sur des données à caractère personnel limitant les prérogatives reconnues à la personne en vertu du présent article est réputée non écrite. »
Ces directives définissent la manière dont la personne entend que soient exercés, après son décès, les droits du chapitre II de la loi, et chacun peut les modifier ou les révoquer à tout moment. Surtout, elles peuvent désigner une personne chargée de leur exécution : celle-ci a alors qualité, une fois le décès survenu, pour en prendre connaissance et en demander la mise en œuvre aux responsables de traitement. À défaut de désignation, ou sauf directive contraire, ce sont les héritiers qui ont qualité pour prendre connaissance des directives et en demander l’application. Concrètement, avant toute démarche, les proches ont donc intérêt à vérifier si le défunt avait laissé de telles instructions : paramètres proposés par certains services (contact légataire, transformation en compte commémoratif, suppression après inactivité), directives confiées à un notaire ou à un tiers de confiance, ou instructions adressées directement à un organisme. Lorsqu’elles existent, elles s’imposent aux héritiers comme aux proches : on ne peut pas exiger d’un organisme le contraire de ce que le défunt avait décidé.
Symétriquement, la loi fait peser une obligation d’information sur les acteurs du numérique : « Tout prestataire d’un service de communication au public en ligne informe l’utilisateur du sort des données qui le concernent à son décès et lui permet de choisir de communiquer ou non ses données à un tiers qu’il désigne. » Un réseau social, une messagerie ou un service de stockage qui n’offrirait aucun choix à ses utilisateurs sur ce point méconnaîtrait cette exigence. Dans sa page consacrée à la mort numérique, actualisée le 31 octobre 2025, la CNIL relève d’ailleurs l’ampleur du phénomène : selon une enquête Harris Interactive-CNIL de novembre 2024 qu’elle cite, près d’un tiers des Français déclare avoir déjà été confronté à des contenus émanant de comptes de personnes décédées, et la moitié des personnes interrogées préférerait que leurs propres publications soient supprimées après leur décès. Cette page, de nature pédagogique, décrit fidèlement l’articulation entre directives et droits des héritiers : si la personne a donné des directives, elles s’imposent ; sinon, c’est le cadre général de la loi qui s’applique.
B. Sans directives : des droits limités à deux finalités, et des interdits qui demeurent
En l’absence de directives, ou pour ce qu’elles n’ont pas prévu, les héritiers ne disposent pas d’un droit d’accès général aux données du défunt. L’article 85 de la loi leur ouvre deux séries de prérogatives, chacune enfermée dans sa finalité. D’abord, « A l’organisation et au règlement de la succession du défunt. A ce titre, les héritiers peuvent accéder aux traitements de données à caractère personnel qui le concernent afin d’identifier et d’obtenir communication des informations utiles à la liquidation et au partage de la succession. Ils peuvent aussi recevoir communication des biens numériques ou des données s’apparentant à des souvenirs de famille, transmissibles aux héritiers ; » Ensuite, « A la prise en compte, par les responsables de traitement, de son décès. A ce titre, les héritiers peuvent faire procéder à la clôture des comptes utilisateurs du défunt, s’opposer à la poursuite des traitements de données à caractère personnel le concernant ou faire procéder à leur mise à jour. »
La distinction est essentielle et commande toute la stratégie des demandes. Relever les comptes bancaires, identifier un contrat d’assurance-vie, retrouver les factures d’un bien à partager, obtenir la liste des abonnements prélevés : tout cela relève du règlement de la succession et fonde une demande de communication des informations utiles. Faire fermer un profil de réseau social, exiger la suppression d’un compte de messagerie, s’opposer à ce qu’un site continue d’exploiter les données du défunt à des fins de prospection, corriger une mention devenue inexacte : tout cela relève de la prise en compte du décès. En revanche, obtenir l’intégralité des données « pour savoir », consulter par curiosité, ou réclamer des éléments sans lien avec la succession ni avec la clôture des comptes dépasse le cadre légal, et un organisme est fondé à refuser. La demande doit donc toujours énoncer clairement la finalité poursuivie et le lien entre les données réclamées et cette finalité : une demande vague et illimitée s’expose au refus, puis à l’échec devant la CNIL ou le juge.
La loi assortit ces droits d’une garantie pratique importante : « Lorsque les héritiers en font la demande, le responsable du traitement doit justifier, sans frais pour le demandeur, qu’il a procédé aux opérations exigées en application du précédent alinéa. » Clôture, opposition, mise à jour : l’organisme ne peut pas se contenter d’affirmer qu’il s’en est occupé, il doit le justifier, et il ne peut facturer cette justification. Enfin, la loi anticipe les conflits de famille : « Les désaccords entre héritiers sur l’exercice des droits prévus au présent II sont portés devant le tribunal judiciaire compétent. » Quand des cohéritiers se disputent sur la fermeture d’un compte, la conservation de photographies ou l’accès à des relevés, ce n’est pas l’organisme qui tranche, c’est le tribunal judiciaire.
À côté de ces droits, il existe un interdit que les proches sous-estiment souvent : le contenu des correspondances. Un profil de réseau social ou un compte de messagerie est strictement personnel, et la CNIL le rappelle dans sa doctrine : une fois le titulaire décédé, les héritiers peuvent faire clôturer le compte, mais ils ne peuvent pas exiger de lire ses messages. Le fondement est pénal. L’article 226-15 du code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende « Le fait, commis de mauvaise foi, d’ouvrir, de supprimer, de retarder ou de détourner des correspondances arrivées ou non à destination et adressées à des tiers, ou d’en prendre frauduleusement connaissance », et « le fait, commis de mauvaise foi, d’intercepter, de détourner, d’utiliser ou de divulguer des correspondances émises, transmises ou reçues par la voie électronique » encourt les mêmes peines. Le décès du titulaire ne fait pas disparaître le secret des correspondances : forcer l’accès à sa boîte de réception, deviner ou réinitialiser son mot de passe pour lire ses échanges, ou utiliser son téléphone déverrouillé pour fouiller ses conversations expose à des poursuites, même animé des meilleures intentions successorales. La frontière passe donc entre le contenant et le contenu : les héritiers peuvent obtenir la clôture du compte et la communication des informations utiles à la succession, ils peuvent recevoir les biens numériques et les données qui s’apparentent à des souvenirs de famille, comme des photographies, mais ils ne peuvent pas s’arroger un droit de lecture général des échanges privés du défunt. Les souvenirs de famille transmissibles se distinguent ainsi des correspondances protégées : les premières se partagent, les secondes restent secrètes.
Un dernier périmètre obéit à ses propres règles : les données de santé. Leur accès après le décès n’est pas régi d’abord par la loi Informatique et Libertés mais par le code de la santé publique, dont les conditions sont plus strictes et feront l’objet de la seconde partie. Retenons ici qu’un héritier ne peut pas exiger d’un hôpital, d’une clinique ou d’un médecin la communication de l’entier dossier médical du défunt au seul motif de sa qualité d’héritier : il doit entrer dans l’un des cas prévus par la loi, que le juge contrôle de près, comme le montrent les deux décisions parisiennes analysées plus loin.
II. Obtenir concrètement l’accès, la clôture ou la réparation
A. Le parcours pas à pas : pièces, demandes, prestataires et CNIL
La première étape consiste à réunir les pièces qui établissent la qualité du demandeur et la réalité du décès : acte de décès, pièce d’identité du demandeur, et preuve de la qualité d’héritier, par exemple un acte de notoriété établi par le notaire chargé de la succession, un livret de famille ou, selon les situations, l’ordonnance ou le jugement qui désigne le demandeur. Les organismes exigent ces justificatifs pour s’assurer qu’ils s’adressent bien à un ayant droit et non à un tiers indifférent, et la CNIL indique que les prestataires peuvent demander un certificat de décès, une pièce d’identité, voire un article nécrologique. Préparer ce dossier en amont évite les allers-retours : une demande incomplète est la première cause de retard.
La deuxième étape consiste à identifier le bon interlocuteur. Pour une banque, un assureur, un opérateur ou un site marchand, c’est le service indiqué dans la politique de confidentialité ou auprès du délégué à la protection des données lorsque l’organisme en a désigné un. Pour un réseau social ou un service en ligne, chaque grande plateforme propose une page dédiée aux comptes des personnes décédées, que la CNIL recense dans un tableau de paramétrage et de gestion des données post mortem : signalement du décès, demande de transformation en compte commémoratif, demande de suppression, désignation préalable d’un contact légataire. La demande écrite doit comporter quatre éléments : l’identité du défunt et celle du demandeur avec les justificatifs, la qualité invoquée (héritier, personne chargée de l’exécution de directives), l’opération précise demandée (clôture du compte, opposition à la poursuite du traitement, mise à jour, communication des informations utiles à la succession, transmission des souvenirs de famille), et la finalité légale correspondante (règlement de la succession ou prise en compte du décès). Plus la demande est ciblée, plus le refus est difficile à justifier : réclamer « toutes les données » sans autre précision affaiblit la position du demandeur, tandis qu’une demande qui vise des relevés nécessaires à la liquidation de la succession, ou la fermeture d’un compte déterminé, s’inscrit exactement dans le texte.
En cas d’acceptation, l’organisme doit exécuter l’opération et, si les héritiers le lui demandent, justifier sans frais qu’il l’a fait. En cas de refus ou de silence prolongé, la troisième étape est la mise en demeure : rappeler par écrit les dispositions applicables, joindre à nouveau les justificatifs et fixer un délai de réponse. Cette mise en demeure écrite servira ensuite de preuve des démarches accomplies, devant la CNIL comme devant le juge. Si le blocage persiste, la quatrième étape est la plainte auprès de la CNIL, qui peut être déposée en ligne : l’autorité contrôle le respect de la loi Informatique et Libertés, y compris de son article 85, et dispose de pouvoirs d’enquête et de sanction. Le même raisonnement vaut pour les organismes qui continuent d’exploiter les données du défunt, par exemple en lui adressant de la prospection ou en maintenant son profil accessible : les héritiers peuvent s’opposer à la poursuite du traitement au titre de la prise en compte du décès, selon la même procédure que celle applicable de son vivant aux demandes de suppression restées sans réponse, dont les étapes et les recours ont été décrits dans l’article consacré aux demandes de suppression de données sans réponse ou refusées.
Deux situations particulières appellent l’attention. D’abord, les contrats en cours et les prélèvements : résilier les abonnements, les assurances et les services souscrits par le défunt relève de la gestion courante de la succession et suppose de recenser les prélèvements, d’adresser les résiliations avec l’acte de décès, puis de vérifier l’arrêt effectif des débits. Ensuite, la recherche en santé : l’article 86 de la loi permet que « Les informations concernant les personnes décédées, y compris celles qui figurent sur les certificats des causes de décès, peuvent faire l’objet d’un traitement à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé, sauf si l’intéressé a, de son vivant, exprimé son refus par écrit ». Les proches ne peuvent donc pas s’opposer après coup à l’utilisation de ces informations pour la recherche au seul motif du décès : seul un refus écrit exprimé du vivant de la personne fait obstacle au traitement. C’est l’une des rares hypothèses où la volonté du défunt continue de produire effet sans aucune intervention des héritiers.
B. Quand le juge tranche : l’exemple des données de santé et des preuves de succession
Les données de santé du défunt concentrent les litiges les plus délicats, parce qu’elles sont à la fois indispensables aux héritiers dans certains contentieux successoraux et protégées par le secret médical, qui survit au décès. L’article L. 1110-4 du code de la santé publique dispose : « Le secret médical ne fait pas obstacle à ce que les informations concernant une personne décédée soient délivrées à ses ayants droit, son concubin ou son partenaire lié par un pacte civil de solidarité, dans la mesure où elles leur sont nécessaires pour leur permettre de connaître les causes de la mort, de défendre la mémoire du défunt ou de faire valoir leurs droits, sauf volonté contraire exprimée par la personne avant son décès. » Trois finalités seulement ouvrent l’accès : connaître les causes de la mort, défendre la mémoire du défunt, faire valoir ses droits. Et une limite absolue : la volonté contraire exprimée par la personne avant son décès. Le demandeur doit donc démontrer, pièces à l’appui, que les informations réclamées lui sont nécessaires pour l’une de ces trois finalités. L’article L. 1111-7 du même code renvoie à ce régime pour l’accès au dossier médical : « En cas de décès du malade, l’accès au dossier médical de ce malade des ayants droit, du concubin, du partenaire lié par un pacte civil de solidarité ou du médecin prenant en charge une personne susceptible de faire l’objet d’un examen des caractéristiques génétiques dans les conditions prévues au I de l’article L. 1130-4 s’effectue dans les conditions prévues aux deux derniers alinéas du V de l’article L. 1110-4. »
Deux ordonnances de référé du tribunal judiciaire de Paris, rendues à deux ans d’intervalle, montrent comment le juge applique ces conditions en sens opposé selon les faits. Le 11 mars 2026, statuant sur assignation du 13 novembre 2025 (RG 25/57817, décision consultable sur le site de la Cour de cassation), le juge des référés a enjoint à un assureur de communiquer à la fille du défunt, son unique héritière, le questionnaire médical rempli lors de la souscription d’un contrat d’assurance-vie. L’assureur refusait le versement du capital en soutenant que le souscripteur avait effectué une fausse déclaration intentionnelle ; la fille avait besoin du questionnaire pour contester ce refus dans un éventuel procès au fond. Le juge a retenu que le secret médical ne pouvait lui être opposé, puisqu’elle était l’ayante droit du défunt et que les informations étaient nécessaires pour lui permettre de faire valoir ses droits, et il a ordonné la communication sur le fondement de l’article 145 du code de procédure civile, sans astreinte, l’assureur ayant indiqué qu’il exécuterait l’ordonnance. C’est l’illustration nette de la troisième finalité : faire valoir ses droits, ici le bénéfice du contrat d’assurance-vie.
À l’inverse, le 26 avril 2024 (RG 24/50180, décision consultable sur le site de la Cour de cassation), le même tribunal a rejeté la demande d’une fille qui réclamait l’entier dossier médical de son père, décédé en soins palliatifs, afin d’établir qu’il n’avait plus la lucidité nécessaire pour signer, quelques jours avant sa mort, une procuration ayant permis la vente d’un terrain à vil prix. Le motif légitime existait pourtant : la demanderesse établissait sa qualité d’héritière et un litige potentiel déterminé. Mais l’établissement a produit la trace écrite d’une opposition exprimée par le patient, qui avait déclaré au personnel qu’il ne souhaitait la communication de ses informations médicales à personne d’autre que son épouse, désignée personne de confiance. Le juge a constaté cette volonté contraire et a écarté la demande d’injonction, y compris par le biais d’un expert. La leçon procédurale est claire : avant d’assigner l’établissement, il faut solliciter la communication auprès de la personne de confiance désignée par le patient, et aucune demande ne prospère contre une opposition exprimée du vivant du défunt, même lorsque l’héritier conteste après coup la lucidité de son auteur au moment de cette opposition.
Dans les deux affaires, le véhicule procédural était le même : l’article 145 du code de procédure civile, aux termes duquel « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé. » Ce texte permet au juge des référés d’ordonner une communication de pièces avant tout procès, à condition de justifier d’un fait crédible et plausible, en lien utile avec un litige potentiel dont l’objet et le fondement sont suffisamment déterminés. Il ne préjuge ni de la recevabilité ni du bien-fondé des demandes au fond. Pour les héritiers, c’est la voie la plus rapide lorsqu’un assureur, un établissement de santé ou un organisme détient la pièce qui conditionne le procès à venir : questionnaire médical, dossier de soins, relevés nécessaires à la liquidation. À Paris et en Île-de-France, ces demandes relèvent du président du tribunal judiciaire statuant en référé, et la partie qui sollicite la mesure doit produire ses justificatifs de qualité et exposer précisément le litige envisagé. Depuis le 1er septembre 2025, date d’entrée en vigueur du décret n° 2025-619 du 8 juillet 2025 qui a complété l’article 145, « La juridiction territorialement compétente pour statuer sur une demande formée en application du premier alinéa est, au choix du demandeur, celle susceptible de connaître de l’affaire au fond ou, s’il y a lieu, celle dans le ressort de laquelle la mesure d’instruction doit être exécutée. »
Reste le cas où l’atteinte est déjà consommée : un organisme qui refuse toute clôture, diffuse des informations relatives au défunt, porte atteinte à sa mémoire ou cause aux proches un dommage distinct. La CNIL rappelle que les héritiers peuvent alors saisir les tribunaux lorsque l’utilisation des données porte atteinte à la mémoire, à la réputation ou à l’honneur du défunt, ou leur cause un autre préjudice. Le fondement de la réparation est le droit commun de la responsabilité : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Il faut donc établir une faute de l’organisme, par exemple la méconnaissance des directives du défunt, le refus persistant d’exécuter une clôture ou une opposition régulièrement demandée, ou la communication de données à des tiers sans droit, un dommage, moral ou matériel, et un lien de causalité entre les deux. Les échanges préalables, les mises en demeure et la décision éventuelle de la CNIL constituent alors les pièces maîtresses du dossier d’indemnisation.
Conclusion
Le décès n’efface pas les données, mais il en change le régime : les droits du défunt s’éteignent et seuls subsistent, à titre provisoire, les directives qu’il a laissées et les droits limités que la loi reconnaît à ses héritiers. Vérifier d’abord l’existence de directives, formuler ensuite des demandes ciblées adossées à l’une des deux finalités légales, réunir les justificatifs de décès et de qualité d’héritier, exiger une justification sans frais, saisir la CNIL en cas de blocage puis le tribunal judiciaire en cas de désaccord ou de préjudice : tel est l’ordre utile des démarches. Les correspondances privées et, sauf cas prévus par la loi, les données de santé restent hors d’atteinte, et la volonté contraire exprimée du vivant du défunt fait obstacle à toute communication. Deux ordonnances parisiennes récentes le confirment : le juge ordonne la remise des pièces nécessaires à l’exercice des droits des ayants droit, mais il refuse celle que le défunt avait interdite. Agir vite, demander précis et prouver chaque étape, c’est ce qui transforme un droit provisoire en résultat effectif.