Chaque année, des milliers de clients et de salariés disparaissent. Leurs données, elles, restent dans vos fichiers. Comptes actifs, historiques d’achat, dossiers du personnel : que doit faire l’entreprise face à la mort numérique ? Le RGPD ne protège pas les défunts, mais le droit français impose de vraies obligations. Voici comment traiter les données d’une personne décédée sans faux pas.
Que deviennent les données personnelles après le décès ?
Le RGPD ne s’applique pas aux personnes décédées. Son considérant 27 est clair sur ce point.
Mais la France a comblé le vide. La loi Informatique et Libertés encadre le sort des données post-mortem dans ses articles 84 à 86.
Votre entreprise reste donc responsable. Un compte client ou un dossier RH ne se supprime pas automatiquement au décès.
Ignorer ce cadre expose à des réclamations de familles et à un risque d’image. La bonne gestion de ces données prolonge votre conformité de la relation client jusqu’à son terme.
Qu’est-ce qu’une directive post-mortem ?
Chaque personne peut organiser le sort de ses données de son vivant. On parle de directives anticipées.
La loi distingue deux formes, selon leur portée :
- Les directives générales : elles couvrent l’ensemble des données. Elles sont confiées à un tiers de confiance certifié par la CNIL.
- Les directives particulières : elles visent un traitement précis. La personne les enregistre directement auprès du responsable concerné, par exemple votre plateforme.
Ces directives peuvent demander la conservation, l’effacement ou la communication des données. Elles s’imposent à vous.
En l’absence de directive, un régime par défaut s’applique au profit des héritiers.
Quels sont les droits des héritiers sur les données du défunt ?
Sans directive contraire, les héritiers exercent certains droits. Ils agissent pour organiser la succession.
Ils peuvent accéder aux informations utiles au règlement de la succession. Ils peuvent aussi faire clôturer les comptes et actualiser le décès.
Ce droit reste plus limité que le droit d’accès classique d’une personne vivante.
Votre rôle : vérifier la qualité d’héritier avant toute communication. Une pièce justificative, comme un acte de notoriété, sécurise la demande.
Traitez ces échanges avec tact. La famille traverse un deuil, votre réponse doit rester claire et humaine.
Combien de temps conserver les données d’un client décédé ?
Le décès ne suspend pas les durées de conservation. Vos obligations comptables ou sociales continuent de courir.
Fixez une règle claire par type de données. Le tableau ci-dessous donne des repères courants.
| Type de donnée | Action au décès | Repère de conservation |
|---|---|---|
| Compte client actif | Clôture, anonymisation | Purge après la dernière obligation légale |
| Factures et pièces comptables | Archivage | 10 ans (Code de commerce) |
| Dossier du personnel | Archivage intermédiaire | 5 ans après le départ, selon la pièce |
| Newsletter, prospection | Suppression immédiate | Aucune, dès connaissance du décès |
Adossez ces règles à votre politique de durée de conservation. Une donnée sans base ni durée doit disparaître.
Gérer les directives post-mortem, tracer les demandes d’héritiers et fixer les bonnes durées demande méthode et disponibilité. Un DPO externalisé pour piloter votre conformité au quotidien transforme ces cas sensibles en procédure simple et documentée.
Deadbots et IA : peut-on recréer un défunt ?
De nouveaux services entraînent une IA sur les traces d’un défunt. Ces agents conversationnels imitent sa voix ou son style.
La CNIL alerte sur ces usages, qui touchent la mémoire et le deuil. Réutiliser ces données sans cadre expose votre entreprise.
Informez aussi vos équipes marketing. Un défunt ne doit plus recevoir de sollicitation commerciale.
Avant tout projet, mesurez le risque comme pour tout traitement d’intelligence artificielle face au RGPD. La CNIL sur l’intelligence artificielle rappelle les précautions attendues.
FAQ
Le RGPD s’applique-t-il aux personnes décédées ?
Non. Le RGPD exclut les défunts de son champ d’application. Toutefois, la loi française prend le relais. Les articles 84 à 86 de la loi Informatique et Libertés organisent le sort des données post-mortem et les droits reconnus aux héritiers du défunt.
Un proche peut-il demander la fermeture d’un compte ?
Oui. En qualité d’héritier, un proche peut demander la clôture des comptes du défunt et la mise à jour du décès. Vérifiez sa qualité avec un acte de notoriété avant d’agir, puis documentez la demande et votre réponse.
Que faire sans directive post-mortem ?
Un régime par défaut s’applique. Les héritiers peuvent accéder aux données utiles à la succession et faire clôturer les comptes. Vous conservez les données soumises à une obligation légale, puis vous purgez le reste selon vos durées définies.
Faut-il un DPO pour ces situations ?
Ce n’est pas toujours obligatoire, mais c’est utile. Un référent unique cadre la vérification des héritiers, applique les directives et fixe les durées. Il réduit le risque d’erreur sur des demandes rares, sensibles et souvent chargées d’émotion.
