Le sort des données des défunts

La conception personnaliste des données personnelles § 6 : « Une conception personnaliste des données personnelles (vs réaliste) ». a induit le principe de leur extinction avec la personne concernée elle-même, simplement tempéré par un maintien provisoire, pour en traiter le sort, dans un champ imprécisément défini.

– Le principe de l'extinction. – Le sort des données personnelles des personnes décédées est fixé par les articles 84 à 86 de la loi informatique et libertés. Leur construction est parfaitement classique, par l'énoncé d'un principe, l'extinction des droits, puis d'une exception, leur maintien temporaire L. n^o 78-17, 6 janv. 1978, art. 84, al. 2 : « Les droits mentionnés au chapitre II s'éteignent au décès de la personne concernée. Toutefois, ils peuvent être provisoirement maintenus dans les conditions fixées à l'article 85 ». .

Ainsi, l'article 84, alinéa 2 de la loi informatique et libertés dispose dans sa première phrase : « Les droits mentionnés au chapitre II [art. 48 à 56] s'éteignent au décès de la personne concernée ». Il s'agit des droits à l'information (art. 48), à l'accès (art. 49), à la rectification (art. 50), à l'effacement (art. 51), à la limitation (art. 53), à la portabilité (art. 55) et à l'opposition (art. 56).

L'inspiration du principe d'extinction n'est pas seulement la protection de la vie privée, attribut de la personne physique, laquelle s'éteint ainsi avec la personne concernée. La Cnil rappelle que la protection des données personnelles en est indépendante, et va ainsi au-delà de celle-ci, en la forme d'un droit moral distinct, plus proche, s'il fallait le comparer, de la propriété intellectuelle E. Geffray, Le point de vue du secrétaire général de la Commission nationale informatique et libertés : RDP janv. 2016, p. 35 et s. .

– L'exception du maintien temporaire. – Ce même article 84, alinéa 2 de la loi informatique et libertés dispose dans la seconde phrase de son second alinéa : « Toutefois, ils peuvent être provisoirement maintenus dans les conditions fixées à l'article 85 ».

Ce maintien est donc exceptionnel et temporaire, ce qu'aucune règle ne vient cependant borner, quelles que soient ses modalités, légales ou volontaires, en l'absence ou en présence de directives. La question se pose alors de savoir qui pourra tirer argument de leur caractère par principe provisoire : un responsable de traitement pour s'affranchir des droits des héritiers, en les considérant prescrits ? Un ayant droit ne bénéficiant par ailleurs d'aucune prérogative ? Un tiers ? Dans quelles conditions et limites ? Toutes ces questions supplémentaires devront attendre un complément législatif, improbable, ou la réponse de la jurisprudence, lente et incertaine.

– Un champ probablement large. – L'article 85 de la loi informatique et libertés prévoit ensuite : « Toute personne peut définir des directives relatives à la conservation, à l'effacement et à la communication de ses données à caractère personnel après son décès ».

Il peut tout d'abord sembler paradoxal de lire que des droits voués à l'extinction, mais temporairement maintenus, peuvent servir à la conservation de données.

Il est également regrettable que la loi, après avoir prévu le principe de l'extinction de droits précisément énumérés et définis, ouvre la possibilité de directives sur des notions différentes et imprécises de « conservation » et « communication ».

Cependant, après ce premier alinéa introductif de l'article 85, son alinéa 5 permet de nouveau des directives relatives à l'exercice, après décès, « des droits mentionnés au chapitre II du présent titre ».

Les juridictions devront encore une fois résoudre cette apparente contradiction, lorsqu'elles seront saisies, ce qui n'est ni probable ni prochain tant les cas de directives semblent encore rares, avec une faible probabilité de contentieux à leur égard.

Sous cette réserve, il est certain que les directives sont possibles dans le périmètre des droits à l'information, à l'accès, à l'effacement, voire à l'opposition. Au titre de l'accès, la nature numérique des données du défunt permettra par exemple leur récupération. À l'opposé, au titre du droit à l'opposition et à l'effacement, les directives permettront la clôture des comptes et la suppression des données.

Il est en revanche incertain qu'elles puissent porter sur l'exercice du droit à la rectification, à la limitation et à la portabilité. Les deux premiers étant toutefois ouverts aux héritiers en l'absence de directives L. n^o 78-17, 6 janv. 1978, art. 85, II, 2^o pour s'opposer à la poursuite du traitement de données… et faire procéder à leur mise à jour. , il serait paradoxal que des directives du défunt aient un champ plus restreint que les droits des héritiers en leur absence.

– Quelques exceptions traditionnelles. – Comme toujours, des limites sont prévues à l'exécution des directives des personnes concernées :

Une hésitation toutefois : le texte proscrit toute limitation à la liberté de prendre de telles dispositions dans « toute clause contractuelle des conditions générales d'utilisation ». Est-ce à dire qu'en dehors desdites conditions générales il serait possible de prévoir de telles restrictions contractuelles ? Cette question aussi risque de demeurer sans réponse, tant l'hypothèse de conditions non générales est peu probable pour des applications grand public. Mais elle pourrait se poser en dehors de ce périmètre, des données personnelles pouvant être traitées en dehors de ce seul champ, dans des contrats particuliers, pour des données personnelles singulières.

Si les droits pouvant faire l'objet de directives semblent peu limités, les données à caractère personnel pouvant faire l'objet de directives ne le sont pas du tout. Il s'agit de toutes les données numériques habituelles : écrits, sons, images, etc.

Ces rappels préalables faits, il est désormais possible d'aborder les droits des personnes concernées d'apporter des restrictions au traitement de leurs données personnelles.

Sous ces seules réserves et dans le champ déterminé, la liberté de prendre de telles dispositions est voulue absolue. Elle ne devrait pas être limitée par des clauses contractuelles d'utilisation des traitements de données, qui seraient réputées non écrites L. n^o 78-17, 6 janv. 1978, art. 85, I in fine. .