Données personnelles post-mortem : cadre juridique selon la loi Informatique et Libertés

Le Conseil d’État a récemment rappelé que les données personnelles d’une personne décédée continuent de relever du champ d’application de la loi « Informatique et Libertés ». Cette décision s’inscrit dans un contexte où un particulier avait sollicité la suppression des données de santé de son épouse décédée auprès d’un assureur, au motif que ces données avaient été collectées sans consentement valable.

Rejet de la demande par l’assureur et la CNIL

L’assureur a refusé la suppression des données, estimant que le traitement était conforme à la réglementation. Le particulier a alors saisi la CNIL, qui a rejeté sa plainte en invoquant deux arguments principaux :

• le RGPD ne s’applique pas aux données personnelles d’une personne décédée ;
• seule la personne concernée peut saisir la CNIL d’une réclamation, conformément aux articles 77 et 78 du RGPD.

Position du Conseil d’État : interprétation de l’article 84 de la loi « Informatique et Libertés »

Saisi en appel, le Conseil d’État a examiné l’article 84 de la loi « Informatique et Libertés », qui prévoit que :

• toute personne peut définir des directives concernant la conservation, l’effacement ou la communication de ses données personnelles après son décès ;
• en l’absence de directives ou de mention contraire, les héritiers peuvent exercer, après le décès, les droits attachés à la personne concernée, dans la limite de ce qui est nécessaire pour l’organisation de la succession ou pour prendre en compte le décès par le responsable du traitement.

Dans cette affaire, le Conseil d’État a estimé que le particulier ne remplissait aucune des conditions prévues par l’article 84. Par conséquent, sa requête a été rejetée.

Source : Derriennic