Après la mort, vos données restent européennes — ou pas : le vide juridique qui expose vos salariés

# Après la mort, vos données restent européennes — ou pas : le vide juridique qui expose vos salariés

> *En 2026, la question des données personnelles post-mortem n'est plus un sujet de philosophie juridique réservé aux juristes. C'est un angle mort organisationnel que les acteurs américains ont déjà commencé à occuper — pendant que la plupart des DSI européens regardent ailleurs.*

Le mort numérique n'a pas de droit — et c'est là que tout se complique

Le RGPD, dans sa rédaction de 2018, a posé une frontière nette : il s'applique aux personnes physiques vivantes. Les données d'un salarié décédé tombent donc, en théorie, hors du champ de protection du règlement européen. En théorie seulement.

Car la réalité organisationnelle est bien plus trouble. Quand un collaborateur décède — qu'il soit cadre dirigeant, RSSI, développeur senior ou commercial —, son empreinte numérique dans le système d'information de l'entreprise ne s'évapore pas. Elle reste. Elle s'accumule, même. Des années d'e-mails, de documents contractuels, de conversations sur des outils de messagerie d'entreprise, d'accès à des bases de données clients, de traces dans les journaux d'audit : tout cela continue d'exister, stocké quelque part, accessible à quelqu'un, régi par des conditions générales que personne n'a relues depuis la signature du contrat SaaS.

La question n'est pas seulement juridique. Elle est profondément organisationnelle et souverainiste. Car la réponse à la question « qui contrôle ces données, et selon quelle loi ? » dépend très largement de l'hébergeur, de l'éditeur de la solution, et de sa nationalité.

Et là, le tableau devient moins confortable pour les DSI européens.

Ce que le droit européen dit — et ce qu'il ne dit pas encore

Depuis 2018, plusieurs États membres ont exercé la faculté ouverte par l'article 9 du RGPD pour légiférer sur les données post-mortem à l'échelle nationale. La France, via la loi Informatique et Libertés révisée, reconnaît la possibilité pour toute personne de formuler des directives anticipées numériques, applicables après son décès. L'Espagne, l'Italie, la Belgique ont adopté des dispositifs comparables, aux contours variables.

Mais cette mosaïque nationale est précisément le problème. Une PME française dont le salarié décédé travaillait depuis Barcelone, avec un outil SaaS américain hébergé en Irlande, sur un compte Microsoft 365 administré depuis Dublin : quelle loi s'applique ? Qui notifie qui ? Qui a le droit d'accéder aux boîtes mail professionnelles pour assurer la continuité d'activité — et dans quelles limites ?

En 2026, l'Union européenne n'a toujours pas produit de cadre harmonisé sur ce sujet précis. Le Data Act, entré en vigueur, traite de la portabilité et du partage des données industrielles. L'AI Act cible les systèmes à risque. Mais les données personnelles d'un mort dans un SI d'entreprise ? Silence réglementaire au niveau supranational.

Ce vide n'est pas anodin. Il crée une zone grise que les acteurs dominants américains exploitent structurellement, non par malveillance déclarée, mais par défaut : leurs conditions générales s'appliquent, leur droit de propriété intellectuelle sur les données hébergées s'applique, et leurs procédures internes de gestion des comptes inactifs ou décédés s'appliquent — souvent régies par le droit de l'État du Delaware ou de Californie.

Posons la question directement : quand un salarié décède et que sa boîte mail est hébergée chez un opérateur américain, qui décide concrètement de ce qui arrive à ces données ? La réponse honnête, dans la majorité des organisations européennes interrogées en 2025, est : on ne sait pas exactement.

L'angle mort organisationnel : personne n'a de processus, tout le monde improvise

C'est ici que le sujet cesse d'être abstrait pour devenir un problème de gouvernance RH immédiat.

Dans la plupart des ETI européennes, la gestion d'un décès de salarié suit un protocole RH bien rodé côté administratif : clôture du contrat, transmission aux ayants droit, déclarations sociales. Mais côté SI, il n'existe quasiment jamais de procédure documentée et testée. Les actions qui suivent un décès sont improvisées, souvent sous pression émotionnelle et temporelle, par un DSI ou un DRH qui n'a pas été formé à ce scénario.

Concrètement, cela produit des situations problématiques et récurrentes :

La continuité d'activité vs le respect de la vie privée. L'entreprise a besoin d'accéder aux e-mails professionnels du défunt pour récupérer des informations critiques — un contrat en cours, un mot de passe, une chaîne de validation. Légalement, ce droit d'accès est conditionné, encadré, et varie selon les législations nationales. En pratique, l'accès se fait souvent sans cadre formalisé, ce qui expose l'organisation à un risque juridique réel vis-à-vis des ayants droit.

La rétention indéfinie comme défaut. Faute de politique claire, les comptes et données des salariés décédés restent actifs bien au-delà de toute justification légale. Des comptes utilisateur ouverts depuis des années, des accès non révoqués, des données indexées dans des bases analytiques : c'est à la fois un risque RGPD (pour les données de tiers présentes dans les échanges) et un risque de sécurité.

Le flou sur les ayants droit. La loi française reconnaît aux héritiers un droit limité d'accès aux données numériques professionnelles du défunt. Mais qui, dans votre organisation, est formé pour traiter une telle demande ? Par quel canal ? Dans quel délai ? Avec quelle documentation ?

Ces questions ne sont pas rhétoriques. Elles correspondent à des obligations légales réelles, dont l'absence de réponse structurée constitue déjà, en 2026, un manquement documentable lors d'un audit CNIL.

Pourquoi les solutions américaines ne sont pas une réponse — elles sont le problème

Face à ce vide de processus, certains éditeurs proposent des modules de « digital legacy management » ou de « deceased account handling » intégrés à leurs suites. L'offre dominante américaine a, sur ce point comme sur beaucoup d'autres, une longueur d'avance en termes de marketing produit.

Mais adopter une solution américaine pour gérer les données post-mortem de vos salariés, c'est précisément aggraver le problème souverainiste qu'on cherche à résoudre.

D'abord, parce que la donnée résiduelle d'un salarié décédé contient souvent des informations sensibles sur des tiers vivants : clients, partenaires, collègues. Ces données, une fois dans l'infrastructure d'un acteur américain, sont soumises au Cloud Act — la loi américaine qui autorise les autorités fédérales à requérir l'accès aux données hébergées par des entreprises américaines, y compris en dehors du territoire américain. Aucune certification ISO, aucune clause contractuelle européenne ne neutralise cette exposition structurelle.

Ensuite, parce que déléguer à un prestataire externe la gestion des données post-mortem revient à externaliser une décision de gouvernance qui appartient à l'organisation. Qui a accès ? Pendant combien de temps ? Sur quelle base légale ? Ces questions doivent avoir des réponses internes, documentées, auditables — pas des réponses enfouies dans des conditions générales d'utilisation rédigées à San Francisco.

Enfin, parce que l'acteur américain dominant — qu'on ne nommera pas ici comme une référence neutre — a intérêt à ce que les données de vos ex-salariés restent dans son écosystème. La durée de rétention par défaut, les options de suppression, la portabilité des archives : rien de tout cela n'est conçu dans l'intérêt de votre organisation ou de vos obligations réglementaires européennes.

Ce que les DSI européens doivent construire — en interne, maintenant

La bonne nouvelle — et il y en a une — c'est que la réponse à ce problème n'est pas technologique. Elle est organisationnelle et juridique, et elle peut être construite avec des ressources internes, à condition d'accepter d'en faire une priorité de gouvernance SI.

Développer la compétence « cycle de vie de la donnée » en interne. La gestion des données post-mortem n'est que le cas extrême d'une problématique plus large : que se passe-t-il avec les données d'un salarié qui quitte l'entreprise — démission, licenciement, départ à la retraite, décès ? Cette compétence doit être internalisée, pas externalisée à un prestataire. Cela suppose de former un référent data lifecycle dans chaque organisation de taille significative, capable de dialoguer avec le DPO, les RH et la DSI.

Rédiger une politique de gestion des données salariales avec clause post-mortem. Ce document n'existe pas dans la majorité des ETI européennes. Il devrait. Il doit définir les durées de rétention par catégorie de données, les droits d'accès en cas de décès, la procédure de notification aux ayants droit, et les modalités de suppression ou d'archivage. Il doit être co-rédigé avec le DPO et validé par le Comité Social et Économique, là où il existe.

Auditer les dépendances SaaS sous l'angle post-mortem. Pour chaque solution hébergée chez un acteur américain — messagerie, GED, CRM, outils de collaboration —, il faut répondre à une question simple : que se passe-t-il concrètement si l'un de nos administrateurs ou utilisateurs décède demain ? Qui contrôle l'accès ? Selon quel droit ? Avec quel délai ? Si la réponse n'est pas dans votre contrat mais dans les CGU de l'éditeur, c'est un signal d'alerte.

**Construire un cas de migration différencié.** La gestion des données post-mortem peut devenir un argument concret — pas seulement philosophique — pour justifier une migration vers des solutions européennes souveraines. Des acteurs comme Tessi ou Oodrive, sur le segment de la gestion documentaire et des coffres-forts numériques, proposent des infrastructures hébergées en Europe, soumises exclusivement au droit européen, avec des clauses contractuelles compatibles avec les exigences RGPD sur le cycle de vie des données. Ce n'est pas un catalogue de solutions miracles : c'est une direction de travail, à évaluer en fonction de votre contexte spécifique.

Intégrer ce sujet dans les négociations contractuelles RH. En 2026, le contrat de travail et la charte informatique de votre organisation doivent comporter une clause explicite sur les données numériques du salarié, incluant le scénario du décès. Ce n'est pas une contrainte supplémentaire : c'est une protection pour l'organisation, pour les ayants droit, et pour les tiers dont les données figurent dans les échanges professionnels du salarié.

Conclusion : la souveraineté des données ne s'arrête pas à la mort — elle commence là

Les données post-mortem sont un révélateur. Elles exposent, dans leur forme la plus crue, ce que signifie réellement la dépendance à des acteurs extérieurs à l'espace juridique européen : au moment où la situation est la plus délicate — humainement, juridiquement, organisationnellement —, ce sont leurs règles qui s'appliquent, leurs délais qui s'imposent, leurs décisions qui prévalent.

Le RGPD n'a pas tout résolu. L'Union européenne n'a pas encore produit de cadre harmonisé. Les législations nationales divergent. Et les acteurs dominants américains, eux, ont déjà des procédures — les leurs.

La question qui devrait tenir éveillé n'importe quel DSI ou RSSI d'une ETI européenne en 2026 n'est pas « avons-nous une bonne politique RGPD ? ». C'est : si l'un de nos administrateurs SI décédait demain, qui contrôlerait quoi — et selon quelle loi ?

Si vous n'avez pas de réponse documentée à cette question, vous avez votre prochain chantier de gouvernance.