Quel régime juridique pour les données personnelles des personnes décédées ?

À l’heure où le nouveau règlement en matière de données à caractère personnel (1) (RGPD) sera bientôt applicable dans chacun des États membres et où les données personnelles des vivants sont au centre du débat, qu’en est-il des données personnelles des personnes décédées ?

Me Antoine Carle. Cette adresse e-mail est protégée contre les robots spammeurs. Vous devez activer le JavaScript pour la visualiser.	Me Emmanuelle Nevo.

Le Règlement Général sur la Protection des Données (RGPD) consacre un droit à l’oubli au profit des personnes dont les données sont traitées, lequel leur permettra de demander aux responsables de traitements concernés de supprimer leurs données lorsqu’il n’existe plus de motif légitime à cette conservation (obligation légale, etc.).

Le Règlement lui-même indique que ce droit à l’oubli ne s’applique pas aux personnes décédées (Considérant 27). Toutefois, il laisse la possibilité aux États membres de prévoir au niveau national des règles spécifiques applicables aux traitements des données à caractère personnel des personnes défuntes.

Aussi, de quelle manière cette question est-elle appréhendée en droit français ?

Contrairement à d’autres pays comme le Royaume-Uni, en France le législateur a souhaité mettre un terme à cette sorte d’ "immortalité numérique" qui maintenait des milliers de comptes de personnes décédées ouverts, et donc disponibles sur Internet, avec toutes les données à caractère personnel qui y sont attachées.

La loi pour une République numérique du 7 octobre 2016(2) est en effet venue mettre en place un droit à la mort numérique permettant à toute personne d’organiser les conditions dans lesquelles ses données seront traitées après sa mort, et plus particulièrement les conditions dans lesquelles elles seront conservées, effacées ou encore communiquées.

Deux types de directives peuvent donc être mises en place par la personne :

- Des directives générales relatives à l’ensemble des données se rapportant à cette personne, lesquelles doivent être enregistrées auprès d’un tiers de confiance numérique certifié par la Commission Nationale de l’Informatique et des Libertés (CNIL). Le fait que la personne a établi des directives générales, ainsi que le tiers de confiance numérique auprès duquel elles ont été enregistrées sont inscrits dans un registre.

- Des directives particulières, lesquelles doivent être communiquées auprès des responsables de traitements concernés (ex. : Facebook, Twitter, etc.). Ces dernières doivent faire l’objet d’un consentement spécifique, et donc de la mise en place d’une procédure spécifique par les responsables de traitement.

Les directives visées ci-avant peuvent être modifiées ou révoquées à tout moment par la personne concernée. En outre, cette dernière peut également désigner une personne qui sera chargée de les exécuter. À défaut, ce seront ses héritiers qui se chargeront de leur mise en œuvre.

Dans l’hypothèse où la personne décédée n’a rien prévu de son vivant, ses héritiers pourront exercer après son décès les droits d’accès, de rectification et d’opposition visés par la loi informatique et libertés(3) afin que le décès de cette personne soit pris en compte par le responsable de traitement. Conformément à l’article 40-1 de la loi informatique et libertés, les héritiers de cette personne pourront alors notamment faire procéder à la clôture des comptes utilisateur du défunt, s’opposer à la poursuite des traitements de données à caractère personnel le concernant, ou encore faire procéder à leur mise à jour.

Outre les aspects numériques, nul doute que l’ensemble des acteurs du funéraire amenés à utiliser et archiver des données sur les personnes décédées seront directement impactés. En cas de conflit, le litige pourra être porté devant le tribunal de grande instance compétent.

Le nouveau projet de loi relatif à la protection des données personnelles est en cours de discussion au Parlement. Reste à voir si ce dernier abordera également la question des données personnelles des défunts.

Antoine Carle et Emmanuelle Nevo
Avocats
Cabinet d’avocats FIDAL – Pôle Funéraire

Nota :
(1) Règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.
(2) Loi n° 2016-1321 du 7 octobre 2016.
(3) Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

Résonance n°138 - Mars 2018