rechtstexte

8

rechtstexte 8

Protection des données personnelles de personnes décédées

La protection des données personnelles de personnes décédées est une thématique qui s’impose progressivement dans le contexte de la numérisation de la société. Tandis que l’élaboration d’un tel régime est désormais à l’agenda du législateur européen dans le cadre de la transformation numérique européenne, la Suisse a renoncé à introduire une disposition correspondante dans le cadre de la révision récente de sa Loi fédérale sur la protection des données. Une analyse des derniers développements au sein des droits nationaux de protection des données des Etats Membres met en évidence certains des grands enjeux qui se poseront dans la mise en œuvre d’un régime de protection des données post mortem : la nature de la titularité des droits conférés, la prise en compte de la volonté de la personne défunte exprimée de son vivant et l’exercice des droits par les survivants. Tandis qu’il est probable que l’Union européenne réglemente la problématique directement dans son droit de la protection des données, la Suisse semble, pour l’heure, préférer opter pour une solution consacrée directement dans son droit des successions, lequel est toujours en cours de révision. Le risque existe que la Suisse fasse cavalier seul sur cette question alors que la question d’une coordination avec le RGPD se posera inévitablement.

Table des matières

• Introduction1
• Situation dans l’Union européenne6
• Nature de la titularité12
• Prise en compte de la volonté de la personne défunte exprimée de son vivant20
• Exercice des droits par les survivants25
• Cercles des personnes autorisées26
• Etendue des droits34
• Droit suisse41
• Droit à la consultation des données personnelles de personnes décédées sous l’ancien droit42
• Absence de protection des données personnelles de personnes décédées de lege lata43
• Projet avorté d’une disposition conférant des droits de protection des données sur les données personnelles du défunt46
• Teneur et historique législatif de l’art. 16 P-LPD47
• Caractéristiques du projet en comparaison avec le droit interne des Etats Membres55
• Nature de la titularité56
• Prise en compte de la volonté de la personne défunte exprimée de son vivant58
• Exercice des droits par les survivants60
• Enjeux de la (re)conceptualisation d’une future protection des données post mortem62
• Conclusion72

Introduction

Cette contribution se consacre à la protection des données personnelles¹ de personnes décédées, avec un regard particulier sur les évolutions nécessaires du fait des enjeux de la numérisation de la société.

Le but d’un tel régime consiste à protéger la vie privée de la personne concernée² au-delà de sa vie biologique. On saisit d’emblée la difficulté conceptuelle liée à une telle protection : l’absence – tant biologique que juridique – du titulaire du droit est presque un contre-sens puisqu’un régime de protection des données protège, en droit suisse, la personne physique (nécessairement vivante³) dont les informations personnelles font l’objet d’un traitement.⁴

Dans le contexte de la numérisation de la société, l’individu génère des quantités considérables de données personnelles sur Internet sous forme de données numériques⁵. Ces données continuent d’être conservées après le décès par le responsable du traitement, souvent de manière pérenne, sans que les proches survivants ne puissent intervenir ou en reprendre la maîtrise.⁶ La perte de contrôle, déjà notable du vivant de l’utilisateur, est accentuée au décès. Cette dégradation post mortem de la maîtrise sur les données générées conjuguée à l’accroissement spectaculaire du volume d’informations personnelles appelle ainsi une réflexion renouvelée sur la protection post mortem de la vie privée et, par extension, des données personnelles.⁷

L’idée d’une protection des données personnelles au-delà de la mort de la personne concernée prend progressivement corps en doctrine. La littérature juridique étrangère soutient l’idée que le défunt devrait pouvoir bénéficier, au moins dans une certaine mesure, d’une protection de sa vie privée au-delà de sa vie biologique⁸. Cette doctrine tend à définir la protection de la vie privée tantôt au sens étroit, comme la simple protection des données personnelles du défunt, tantôt au sens large, comme le droit d’une personne de préserver et de contrôler ce qu’il advient de sa réputation, de sa dignité, de son intégrité et ses secrets ou de sa mémoire après le décès, soit à contrôler ses « restes numériques » (« digital remains ») postérieurement au décès⁹, un objectif qui peut également être atteint par un régime de protection des données¹⁰.¹¹

La conceptualisation d’une telle protection demeure encore embryonnaire mais elle émerge progressivement sur le plan européen. Cette contribution se limitera à proposer un survol du développement législatif en droit européen (cf. infra B) et (de son absence) en droit suisse (cf. infra C), qui nous permettra de conclure sur une mise en perspective de la dynamique du droit suisse face à celle européenne (cf. infra D).

Situation dans l’Union européenne

La protection des données personnelles au niveau de l’Union européenne est régie par le Règlement général sur la protection des données (ci-après : RGPD). Son champ d’application ne recouvre cependant pas les données personnelles de personnes décédées ; il ne s’applique qu’aux données personnelles de personnes vivantes.¹² Son considérant 27 précise à cet égard que « [l]es États membres peuvent prévoir des règles relatives au traitement des données à caractère personnel des personnes décédées ». Le texte laisse ainsi une marge de manœuvre importante aux Etats Membres pour prendre d’éventuelles dispositions législatives en ce sens dans leur droit interne.

Cette situation est vraisemblablement appelée à changer dans un avenir proche. Dans le cadre du programme d’action de la « Décennie numérique de l’Europe » visant la transformation numérique de l’Union européenne, les instances de l’Union européenne ont signé la Déclaration européenne sur les droits et principes numériques pour la décennie numérique 2023/C 23/01 (la « Déclaration »). Cette Déclaration – certes non contraignante – vise en substance à promouvoir un cadre juridique mettant en œuvre les valeurs et principes fondamentaux de l’Union européenne dans le contexte de la transformation numérique.¹³

La protection de la vie privée est abordée au sein d’un Chapitre V « Sûreté, sécurité et autonomisation » dans un Sous-chapitre intitulé « Droit à la vie privée et contrôle des personnes sur leurs données » divisé en trois points. Le point 17 prévoit que « Toute personne a droit au respect de sa vie privée et à la protection de ses données à caractère personnel. Ce dernier droit permet notamment à chacun de contrôler la manière dont ses données à caractère personnel sont utilisées et avec qui elles sont partagées » tandis que le point 18 dispose que « Toute personne a droit à la confidentialité de ses communications et des informations figurant sur ses appareils électroniques, et a le droit de ne pas être soumise à une surveillance en ligne illicite, à un suivi omniprésent illicite ou à des mesures d’interception ».¹⁴

Dans le cadre de cette contribution, c’est le point 19 qui nous intéresse tout particulièrement puisque celui-ci vient poser des principes s’inscrivant spécifiquement dans le contexte de la mort numérique :

« Toute personne devrait être en mesure de définir son patrimoine numérique et de décider du sort qui sera réservé, après son décès, à ses comptes personnels et aux informations qui la concernent.

Nous nous engageons à:

a) veiller à ce que chacun ait le contrôle effectif de ses données à caractère personnel et non personnel, conformément aux règles de l'UE en matière de protection des données et à la législation pertinente de l'UE;

b) garantir effectivement la possibilité pour une personne de transférer facilement ses données à caractère personnel et non personnel entre différents services numériques, dans le respect des droits en matière de portabilité;

c) protéger efficacement les communications contre tout accès non autorisé de tiers;

d) interdire l'identification illicite ainsi que la conservation illicite de relevés d'activité »¹⁵.

La mise en œuvre d’un cadre législatif mettant en œuvre ces principes demeure toutefois une musique d’avenir. Pour l’heure, c’est encore au sein du droit interne des Etats Membres de l’Union européenne qu’il s’agit de regarder pour trouver de telles règles. À notre connaissance¹⁶, dix des vingt-sept Etats Membres ont saisi l’opportunité d’intégrer au sein de leur législation nationale, de manière plus ou moins détaillée, des règles sur la protection des données personnelles du défunt. Il s’agit, dans l’ordre alphabétique, de la Bulgarie¹⁷, du Danemark¹⁸, de l’Espagne¹⁹, de l’Estonie²⁰, de la France²¹, de la Hongrie²², de l’Italie²³, du Portugal²⁴, de la Slovaquie²⁵ et de la Slovénie²⁶.²⁷

Nous nous intéresserons à trois enjeux de la mise en place d’un régime de protection des données post mortem à l’exemple des régimes européens : la nature de la titularité (cf. infra I), la prise en compte de la volonté de la personne concernée de son vivant (cf. infra II) et l’exercice des droits de protection des données post mortem par les survivants (cf. infra III).

Nature de la titularité

La question sous-jacente à toute conceptualisation d’un régime de protection des données post mortem est celle – loin d’être anodine – de savoir quelle est la nature de la titularité des droits ainsi conférés à des tiers : ces droits sont-ils transmis par voie successorale ou exercés à titre de droits propres ?

Cette interrogation fait écho à la question du sujet de droit (Frage des Rechtsträgers) qui a longtemps occupé la doctrine allemande dans le contexte du développement de la protection de la personnalité post mortem consacré dans cette juridiction : une protection ne peut être mise en œuvre que s’il existe un titulaire des droits qui étaient ceux du défunt.²⁸ Pour prolonger la protection de la personne au-delà de sa mort, il y a dogmatiquement deux approches possibles. On distingue généralement entre les droits transmis iure hereditatis – à savoir les droits transférés en vertu de la dévolution du patrimoine transmissible aux héritiers dans un contexte successoral – et les droits qui naissent ex novo au décès et qui sont exercés iure proprio par les proches du défunt sans que ceux-ci n’aient besoin de revêtir la qualité d’héritiers ; en matière de protection de la personnalité du défunt, ce sont généralement l’un ou l’autre de ces régimes qui sont consacrés.²⁹

Un simple coup d’œil à la terminologie légale utilisée (cf. infra N 26) ne suffit pas à répondre à cette question dans toute sa mesure. Nous revenons ci-après sur deux réflexions qui ont eu lieu à ce sujet en droit français et en droit italien.

En droit français, la question de la nature de la transmission s’est posée dans le cadre de la LPD/FR. Le point de départ de la réflexion est l’art. 84 LPD/FR lequel prévoit, en substance, que si les droits de la personne concernée s’éteignent au décès de celle-ci, ils peuvent néanmoins « être provisoirement maintenus dans les conditions fixées à l'article 85 ». La disposition laisse entendre que les droits de protection des données de la personne concernée s’éteignent au décès.³⁰ La question est dès lors celle de savoir comment le droit français conceptualise ce maintien provisoire des droits au-delà du décès.

Dans le cadre de cette réflexion, la doctrine française a rapidement exclu deux hypothèses : celle d’un exercice iure proprio par les héritiers qui exclurait tout effet translatif et celle d’une personne chargée par le biais d’un mandat post mortem de gérer le sort des données personnelles du défunt, respectivement mettre en œuvre la volonté de celui-ci (comme pourrait le faire l’exécuteur testamentaire).³¹ Plusieurs auteurs s’accordent à considérer qu’il faut, au contraire, y voir une transmission de nature successorale anomale.³² On parle de succession anomale lorsqu’il est fait référence à un cas de succession dans le cadre duquel les successeurs du titulaire des droits doivent être déterminées selon des règles différentes de celles qui régissent habituellement le droit des successions.³³ Le droit du « successeur anomal » découle de la position juridique du défunt et n’est donc pas un droit propre de celui-là.³⁴ Le droit français s’attache par conséquent à inscrire dans cette disposition un droit de nature successorale. Néanmoins, à la lecture du texte légal, il demeure l’impression d’un « compromis entre deux conceptions souvent difficiles à concilier »³⁵ dont il faudra juger l’efficacité dans le temps.

En Italie, la doctrine a mené une réflexion d’une nature similaire. La LPD/IT contient un art. 2-terdecies intitulé « Diritti riguardanti le persone decedute ». Si cette disposition est entrée en vigueur dans le cadre du décret législatif du 10 août 2018 visant à aligner le droit national sur le RGPD, le droit italien connaît depuis 1996 un régime de protection des données personnelles de personnes décédées.³⁶ L’Italie avait, en effet, décidé d’étendre le champ d’application de sa loi nationale de protection des données dès la mise en œuvre de la Directive européenne.³⁷ Ainsi, l’art. 13 al. 3 LPD/IT/1996 prévoyait déjà que les droits de la personne concernée (art. 13 al. 1 LPD/IT/1996), pouvaient être exercés post mortem par toute personne démontrant un intérêt légitime.³⁸

Dans le contexte de l’entrée en vigueur de l’art 2-terdecies LPD/IT, la question de la nature des droits conférés par cette disposition s’est rapidement posée en doctrine.³⁹ Certains auteurs soutiennent qu’il s’agit d’une transmission causa mortis des droits de la personne concernée et que les héritiers exercent ces prérogatives iure hereditatis.⁴⁰ D’autres estiment au contraire qu’il s’agit au contraire d’un droit propre qui naît au décès de la personne concernée et qui est exercé iure proprio.⁴¹ Ce débat s’inscrit en miroir dans celui qui existait déjà en matière de protection de la personnalité du défunt.⁴² Sur ce sujet, deux courants doctrinaux s’opposent, l’une estimant que les droits de protection de la personnalité du défunt sont exercés par les héritiers dans le cadre d’une succession anomale, l’autre considérant qu’il s’agit d’un droit qui naît directement dans les mains des survivants qui ont la charge de protéger la personnalité du défunt et dont le fondement est puisé dans un intérêt familial ou affectif distinct.⁴³ A l’heure actuelle, la théorie d’un droit propre demeure dominante, tant s’agissant de la protection de la personnalité du défunt que s’agissant de l’art. 2-terdecies LPD/IT.

A la différence de la situation en France, les tribunaux italiens ont eu l’occasion d’évoquer la thématique. Dans trois cas successifs portant sur l’accès aux données numériques d’un défunt, les tribunaux de première instance de Milan, Bologne et Rome ont tous confirmé l’idée qu’il existait une « persistance des droits de la personne concernée » (« il riconoscimento della persistenza dei diritti connessi ai dati personali ») après le décès et que leur exercice, post mortem, est prévu pour certaines personnes habilitées à exercer ces droits. Si les tribunaux précités ne s’étendent pas particulièrement sur la nature de la titularité – ce n’était d’ailleurs pas leur rôle⁴⁴ –, les deux décisions les plus récentes semblent néanmoins pencher vers une attribution iure proprio. Cela peut néanmoins s’expliquer par le fait que les requérants agissaient sur la base d’un « intérêt familial digne de protection » (art. 2-terdecies para. 1 1^ère hypothèse LPD/IT). Il demeure encore incertain de savoir si un héritier pourrait agir à ce titre-là, ou même au titre d’un intérêt personnel (art. 2-terdecies para. 1 3^e hypothèse LPD/IT), ce qui ajoute à la complexité.⁴⁵

Prise en compte de la volonté de la personne défunte exprimée de son vivant

Un enjeu essentiel d’un régime de protection des données post mortem est celui de la prise en compte de la volonté de la personne défunte exprimée de son vivant sur le sort post mortem de ses droits de protection des données. Une majorité d’Etats Membres a aménagé un système visant à rendre cette volonté contraignante pour les survivants. Plusieurs approches sont identifiables à cet égard.

Primo, certains Etats membres prévoient que le régime prévu en droit interne constitue un régime par défaut mais que la personne concernée peut exclure de son vivant son application au-delà de son décès. La personne concernée a alors la possibilité d’exclure de son vivant, totalement ou partiellement, l’exercice post mortem des droits tirés du RGPD. Ainsi, en Italie, les art. 2-terdecies para. 2 et 3 LPD/IT prévoient que l’exercice des droits conférés par l’art. 2-terdecies para. 1 LPD/IT peut être interdit, totalement ou en partie, par la personne concernée dans une déclaration écrite remise au responsable du traitement ou communiquée à ce dernier⁴⁶. La personne concernée a le droit, à tout moment, de retirer ou de modifier cette interdiction. Au Portugal, l’art. 17 al. 3 LPD/PT dispose que la personne concernée peut rendre impossible l'exercice des droits conférés par l’art. 17 al. 2 LPD/PT.⁴⁷ En Slovénie, la loi prévoit que la personne concernée peut interdire par une déclaration écrite transmise au responsable du traitement de transmettre les données personnelles à ses proches et héritiers⁴⁸.

Secundo, certains Etats Membres ne prévoient pas la possibilité d’exclure l’exercice des droits post mortem mais permet néanmoins à la personne concernée d’en définir les modalités de son vivant. Par exemple, en France, l’art. 85 LPD/FR institue un système de directives relatives à la conservation, à l'effacement et à la communication de ses données à caractère personnel après son décès (art. 85 para. I al. 1 LPD/FR). La personne peut modifier ou révoquer ses directives à tout moment (art. 85 para. I al. 7 LPD/FR). Ces directives peuvent désigner une personne chargée de leur exécution. Celle-ci a alors qualité, lorsque la personne est décédée, pour prendre connaissance des directives et demander leur mise en œuvre aux responsables de traitement concernés. À défaut de désignation ou, sauf directive contraire, en cas de décès de la personne désignée, ses héritiers ont qualité pour prendre connaissance des directives au décès de leur auteur et demander leur mise en œuvre aux responsables de traitement concernés (art. 85 para. I al. 8 LPD/FR). En Hongrie, la loi prévoit que la personne concernée peut autoriser un tiers à exercer les droits conférés par les art. 15 à 18 et 21 RGPD au moyen d’un acte administratif ou d’une déclaration faite auprès du responsable du traitement et incorporée dans un acte public ou dans un acte sous seing privé ayant force probante (Section 25 para. 1 LPD/HG).⁴⁹

Tertio, et enfin, certains Etats Membres se limitent à réglementer la portée post mortem du consentement donné par le défunt de son vivant. Ce n’est ainsi pas du catalogue des droits de la personne concernée dont il est question mais du consentement au sens de l’art. 6 para. 1 let. a RGPD et à son retrait au sens de l’art. 7 para. 3 RGPD⁵⁰. Le droit estonien prévoit que le consentement de la personne concernée reste valable au-delà du décès de la personne concernée pour une période de dix ans, sauf décision contraire de celle-ci⁵¹. Les modalités de cette décision n’apparaissent pas dans le texte de la loi.

Ces approches visent toutes à mettre en œuvre une certaine conception du droit à l’autodétermination informationnelle de la personne concernée au-delà de sa mort.⁵²

Exercice des droits par les survivants

Il reste à examiner l’exercice de droits en protection des données du défunt par les survivants, ce qui suppose d’identifier, d’une part, le cercle des personnes autorisées (cf. infra 1) et, d’autre part, l’étendue des droits conférés (cf. infra 2).

Cercles des personnes autorisées

Les législations nationales de protection des données des Etats Membres laissent apparaître une diversité d’approches consacrant, de manière schématique, trois régimes distincts. Les prérogatives sont octroyées par la loi parfois aux héritiers, parfois aux proches du défunt, parfois aux deux cercles de survivants.⁵³ Nous utiliserons le terme d’héritier pour désigner un survivant exerçant un droit en vertu d’une vocation successorale, celui de proche pour désigner un survivant l’exerçant en vertu d’un droit propre. Le terme survivant recouvrira simultanément les héritiers et les proches.

Un premier groupe d’Etats Membres prévoit que ce sont exclusivement les héritiers qui sont habilités à exercer les droits de protection des données du défunt.⁵⁴ Tel est par exemple le cas en France, où les héritiers sont au cœur du système de protection des données post mortem. Le droit français confère des prérogatives spécifiques aux héritiers pour deux finalités distinctes. D’une part, les héritiers ont la qualité pour prendre connaissance d’éventuelles directives laissées par la personne concernée afin de demander leur mise en œuvre aux responsables de traitement.⁵⁵ Dans la même optique, en l’absence de directives laissées par le défunt, ce sont les héritiers qui peuvent faire valoir les droits de protection des données nécessaires pour clôturer des comptes utilisateurs du défunt, s’opposer à la poursuite des traitements des données personnelles concernant celui-ci ou, cas échéant, les faire rectifier.⁵⁶ D’autre part, les héritiers ont également le droit d’exercer après le décès de la personne concernée les droits de protection des données dans la mesure nécessaire «[à] l'organisation et au règlement de la succession du défunt. A ce titre, les héritiers peuvent accéder aux traitements de données à caractère personnel qui le concernent afin d'identifier et d'obtenir communication des informations utiles à la liquidation et au partage de la succession. Ils peuvent aussi recevoir communication des biens numériques ou des données s'apparentant à des souvenirs de famille, transmissibles aux héritiers »⁵⁷.

Une seconde catégorie d’Etats Membres confère les droits de protection des données du défunt aux proches de celui-ci. C’est le cas de la Hongrie (« close relative »)⁵⁸ ainsi que de la Slovaquie (« a person close to [the data subject] »)⁵⁹. La notion de proche est ici celle du droit civil : le droit slovaque renvoie expressément à la définition de proche contenu à l’art. 116 de son Code civil⁶⁰ tandis que le droit hongrois renvoie plus généralement à son code civil.

Enfin, une troisième catégorie – majoritaire – d’Etats Membres disposent de législations nationales prévoyant un régime mixte dans lequel tant les héritiers que les proches du défunt peuvent prétendre à l’exercice des droits de protection des données de celui-ci.

L’Espagne prévoit que ce sont les personnes en lien avec la personne concernée pour des raisons familiales ou de fait (« por razones familiares o de hecho ») ainsi que ses héritiers (« sus herederos ») qui disposent de ces prérogatives.⁶¹ Si la base légale ne définit pas précisément le cercle des personnes qu’impliquent ces notions, la doctrine précise qu’il s’agit du conjoint, du partenaire stable, des descendants ou ascendants ainsi que les héritiers.⁶² L’agence espagnole de protection des données a précisé qu’il s’agissait d’une légitimation très large allant au-delà des simples héritiers.⁶³ Ce type de légitimation était déjà connu du droit espagnol dans une série de lois internes ; dans des cas spécifiques ce sont ainsi uniquement les héritiers qui sont habilités à agir, souvent en matière de droits strictement personnels.⁶⁴

En Bulgarie, ce sont les héritiers ainsi que toute personne disposant d’un intérêt digne de protection⁶⁵.

En Slovénie, la loi est plus précise puisque celle-ci prévoit expressément que les droits de protection des données sont conférés à l’époux, au partenaire légal, à l’enfant, au parent ou à l’héritier. L’art. 9 para. 3 LPD/SI prévoit en effet : « […] le responsable du traitement transmet les données à caractère personnel relatives à une personne décédée, à leur demande, au conjoint, au partenaire extraconjugal, aux enfants, aux parents ou aux héritiers […] »⁶⁶.

En Italie, l’art. 2-terdecies LPD/IT prévoit, en substance, que les droits de la personne concernée des art. 15 à 22 RGPD concernant des données personnelles relatives à des données décédées peuvent être exercés par toute personne disposant d’un intérêt personnel ou qui agit en protection de la personne concernée, en tant que mandataire de la personne concernée ou pour des raisons familiales dignes de protection (art. 2-terdecies para. 1 LPD/IT).⁶⁷

Etendue des droits

Une fois les survivants autorisés à agir en protection des données du défunt identifiés, il convient de déterminer quelle est l’étendue des droits qui leur sont conférés – en d’autres termes, quels droits peuvent être exercés en protection des données du défunt. A nouveau, nous pouvons catégoriser les Etats Membres selon diverses pratiques.

Une majorité d’Etats Membres prévoit que le survivant autorisé peut exercer tout ou parties des droits qui étaient ceux de la personne concernée de son vivant en vertu du RGPD. L’Italie prévoit ainsi expressément que le survivant autorisé peut exercer l’entier du catalogue des droits de la personne concernée, à savoir les droits conférés aux art. 15 à 22 RGPD⁶⁸. Certains Etats Membres, comme le Portugal ou l’Espagne⁶⁹, ne mentionnent, expressément, que certains droits comme le droit d’accès, le droit à la rectification ou encore le droit à la suppression des données personnelles.⁷⁰ Le droit portugais restreint, par ailleurs, l’exercice de ces droits aux catégories particulières de données personnelles au sens de l’art. 9 para. 1 RGPD⁷¹, ou lorsqu’elles concernent des données relatives à la vie privée, à l’image ou aux communications.

Un deuxième groupe d’Etats Membres limite les prérogatives post mortem à un simple droit à l’accès et/ou un droit à la copie des données personnelles du défunt. Le droit bulgare prévoit ainsi que le responsable du traitement fournit, sur demande, l’accès aux données personnelles de personnes décédées, incluant une copie de celles-ci, aux héritiers ou d’autre personnes disposant d’un intérêt juridique.⁷² De façon plus détaillée, le droit slovène prévoit :

« (2) Le responsable du traitement ne transmet les données relatives à une personne décédée qu'aux utilisateurs qui sont autorisés par la loi à traiter des données à caractère personnel et aux utilisateurs qui justifient d'un intérêt légitime à faire valoir leurs droits auprès d'organismes du secteur public.

(3) Nonobstant les dispositions du paragraphe précédent, le responsable du traitement transmet les données à caractère personnel relatives à une personne décédée, à leur demande, au conjoint, au partenaire extraconjugal, aux enfants, aux parents ou aux héritiers, si la personne décédée n'a pas interdit par écrit au responsable du traitement de transmettre ses données à caractère personnel ou si une autre loi n'en dispose pas autrement.

(4) Sauf disposition contraire d'une autre loi, le responsable du traitement peut également transmettre les données relatives à la personne décédée à une autre personne qui prouve qu'elle a l'intention d'utiliser ces données à des fins de recherche scientifique, de recherche historique, d'enseignement, de statistiques ou d'archivage »⁷³.

Enfin, un dernier groupe d’Etats Membres se limite à réglementer la capacité des survivants à consentir au traitement des données personnelles de la personne décédée. Le droit estonien prévoit qu’après le décès de la personne concernée, le traitement des données personnelles du défunt est autorisé seulement avec le consentement des successeurs de la personne concernée, sauf dans les hypothèses suivantes : (1) lorsque dix ans ont passé depuis le décès de celle-ci ; (2) vingt ans ont passé depuis le décès de celle-ci laquelle était mineure ; (3) les données personnelles sont traitées sur la base d’autres dispositions légales.⁷⁴ Le consentement du vivant de la personne concernée n’est cependant pas nécessaire si les données personnelles traitées concernent le nom, le sexe, la date de naissance ou de décès, la cause du décès ou encore l’horaire et le lieu de l’enterrement.⁷⁵

Le droit slovaque se limite à conférer aux proches du défunt la possibilité de pouvoir donner leur consentement au traitement des données personnelles du défunt lorsque ce consentement est requis⁷⁶. La validité de ce consentement tombe si une seule personne proche du défunt exprime sa désapprobation par écrit.⁷⁷

Le droit slovène dispose, pour sa part, que le traitement des données personnelles du défunt peut avoir lieu si celui-ci est prévu par la loi, si le consentement au traitement a été donné du vivant de la personne concernée ou si un consentement écrit a été donné après le décès par les personnes après le décès de la personne concernée par les personnes suivantes : le conjoint ou partenaire légal, les enfants ou les parents de la personne décédée.⁷⁸ Quelques autres motifs autorisent également le traitement des données personnelles de la personne défunte (publications historiques et éducatives).⁷⁹

Notons que cette approche axée sur le contrôle post mortem du consentement de la personne concernée comme motif justificatif trouve ses limites dans le fait que nombre de responsable du traitement fondent le traitement des données personnelles sur d’autres motifs de licéité du traitement (art. 6 para. 1 let. b à f RGPD) que celui du consentement.

Droit suisse

Le droit suisse de la protection des données connaît, pour sa part, une histoire récente mouvementée s’agissant de la protection des données personnelles du défunt. Jusqu’à l’entrée en vigueur le 1^er septembre 2023 de la nouvelle LPD faisant suite à la révision totale de cette dernière, le droit suisse prévoyait un droit à la consultation des données personnelles de personnes décédées (cf. infra I). Dans sa mouture désormais en vigueur, la LPD ne contient plus aucune disposition sur la protection des données personnelles du défunt (cf. infra II). Pourtant, le texte révisé du projet comprenait une disposition qui visait à consolider les droits sur les données personnelles du défunt (cf. infra III), laquelle a finalement été abandonnée dans les derniers instants du processus parlementaire. Cet abandon ne met certainement pas fin définitivement aux réflexions autour d’une protection des données du défunt, thématique qui reviendra inévitablement sur la table (cf. infra IV).

Droit à la consultation des données personnelles de personnes décédées sous l’ancien droit

L’ancien droit de la protection des données contenait un droit à la consultation des données personnelles de la personne décédée consigné à l’art. 1 al. 7 de l’ancienne Ordonnance relative à la loi fédérale sur la protection des données (aOLPD). Cette disposition prévoyait que « "[l]a consultation des données d’une personne décédée est accordée lorsque le requérant justifie d’un intérêt à la consultation et qu’aucun intérêt prépondérant de proches de la personne décédée ou de tiers ne s’y oppose ». Un intérêt était établi lorsque la personne requérante était un proche parent de la personne décédée ou était marié à cette dernière.⁸⁰ La légalité de cette disposition était controversée faute de base légale formelle dans la LPD.⁸¹

Absence de protection des données personnelles de personnes décédées de lege lata

Dans le contexte de la révision totale de la LPD, l’aOLPD a été révoquée et aucune base équivalente n’a été reprise dans la désormais dénommée Ordonnance sur la protection des données (OPDo⁸²).⁸³ Dans sa version actuelle, la LPD telle qu’entrée en vigueur le 1er septembre 2023 ne s’applique ainsi pas aux données personnelles de personnes décédées.

Le champ d’application de la LPD se limite aux données personnelles de personnes vivantes.⁸⁴ La terminologie de la LPD désigne par personne concernée « la personne physique dont les données personnelles font l’objet d’un traitement » (art. 5 let. b LPD).⁸⁵ La notion de personne physique utilisée dans cette définition correspond à celle du droit civil.⁸⁶ La LPD ne régit donc que les données personnelles de personnes physiques au sens du droit civil, c’est-à-dire au sens de notre système en vigueur de personnes vivantes dotées de la personnalité juridique⁸⁷. Au décès de la personne physique, celle-ci perd sa capacité civile et sa personnalité s’éteint (art. 31 al. 1 CC).⁸⁸ Les données personnelles de la personne concernée décédée ne sont ainsi plus protégées par la LPD.⁸⁹ Les données personnelles demeurent toutefois protégées, dans le doute, lorsqu’on ne sait pas si la personne concernée est vivante ou non.⁹⁰

Précisons que certaines lois fédérales prévoient des règles sectorielles s’agissant des données personnelles de personnes décédées.⁹¹ Celles-ci ne s’appliquant qu’à des cas particuliers et non à l’ensemble des données personnelles, elles sortent du cadre de cette contribution.

Projet avorté d’une disposition conférant des droits de protection des données sur les données personnelles du défunt

Dans le cadre de la révision de la LPD, une disposition conférant des droits sur les données personnelles de personnes décédées avait été proposée dans l’avant-projet (art. 12 AP-LPD) puis consolidée dans le cadre du projet (art. 16 P-LPD). Nous reviendrons sur la teneur et l’historique législatif de cette dernière disposition (cf. infra 1) puis mettrons les caractéristiques qu’elle présentait en perspective avec le droit interne des Etats Membres (cf. infra 2).

Teneur et historique législatif de l’art. 16 P-LPD

Dans le cadre de la dernière révision totale de la LPD, le projet contenait un art. 16 P-LPD qui faisait l’objet d’une section à part entière (« Section 3 - Données de personnes décédées ») au sein d’un Chapitre 2 consacré aux dispositions générales. Le texte était le suivant :

« ¹ Le responsable du traitement accorde la consultation gratuite des données personnelles d’une personne décédée lorsque les conditions suivantes sont réunies :

a. il existe un intérêt légitime à la consultation ou le demandeur a un lien de parenté directe avec le défunt, était marié, avait conclu un partenariat enregistré ou menait de fait une vie de couple avec lui au moment du décès ou il s’agit de son exécuteur testamentaire ;

b. le défunt n’a pas, de son vivant, interdit expressément la consultation et n’a besoin d’aucune protection particulière ;

c. aucun intérêt prépondérant du responsable du traitement ou d’un tiers ne s’oppose à la consultation ».

² S’il refuse la consultation en raison du secret de fonction ou du secret professionnel, les personnes légitimées selon l’al. 1, let. a, peuvent demander à l’autorité compétente selon les art. 320 et 321 du code pénal qu’elle le délie de son secret

³ Les héritiers ou l’exécuteur testamentaire peuvent exiger que le responsable du traitement efface ou détruise les données personnelles du défunt, sauf dans les cas suivants (art. 16 al. 3 P-LPD) :

a. le défunt l’a expressément interdit de son vivant ;

b. l’effacement ou la destruction va à l’encontre d’intérêts prépondérants du défunt, du responsable du traitement ou de tiers ;

c. l’effacement ou la destruction va à l’encontre d’intérêts publics prépondérants »

Cette disposition visait à mettre en œuvre le postulat 12.3152 déposé par Jean Christophe Schwaab le 14 mars 2012 et intitulé « Droit à l’oubli numérique », lequel chargeait le Conseil fédéral « d'étudier l'opportunité d'ancrer et/ou de préciser dans la législation un droit à l'"oubli numérique", en particulier en ce qui concerne les réseaux sociaux et les moteurs de recherche sur Internet. Il étudiera en outre comment en faciliter l'usage par les consommateurs ». Il y était développé ce qui suit :

« Les internautes laissent des traces sur Internet sous forme de diverses données personnelles, parfois à leur insu, souvent contre leur gré. Ils n'ont en général aucun contrôle sur ce qu'il advient des données qu'on a pu collecter à leur sujet sur les réseaux sociaux et qui sont accessibles par les moteurs de recherche. Or, ces données peuvent rester en ligne indéfiniment et constituer une atteinte à la personnalité, en particulier lorsqu'elles sont sensibles, obsolètes, incomplètes ou présentées hors-contexte. Les atteintes à la réputation sont fréquentes, et souvent irréversibles […] Le droit à l'oubli numérique contient notamment l'obligation, en particulier pour les réseaux sociaux, de limiter au maximum le volume de données personnelles stockées en ligne, l'obligation de configurer par défaut le système d'une façon qui garantit que les données ne seront pas rendues publiques et l'obligation incombant aux responsables du traitement des données personnelles de les effacer définitivement sur demande de la personne concernée, à moins qu'une raison légitime ne justifie leur conservation »⁹².

Par ailleurs, cette disposition réalisait partiellement une autre intervention parlementaire déposée par Jean-Christophe Schwaab le 24 septembre 2014, le postulat 14.3782, « Des règles pour la ‘mort numérique’ » qui, cette fois, se focalisait non pas sur la suppression des données numériques mais sur leur accès :

« Les données personnelles n'étant pas régies par le droit de la propriété il n'est souvent pas possible d'en hériter. En outre, les accès à certains services offerts sur Internet (comptes d'utilisateurs) ne peuvent pas être supprimés en cas de décès, même par les héritiers, qui n'y ont d'ailleurs pas toujours accès. Certes, certains hébergeurs de services en lignes coopèrent facilement avec les héritiers, mais tel n'est pas le cas de tous. Dans bien des cas, il n'est pas possible de supprimer les comptes d'une personne décédée ou de signaler son décès, en tout cas à brève échéance. Dans d'autres cas, inversement, il peut arriver que lors du décès d'un utilisateur, l'hébergeur du service en ligne supprime immédiatement toutes ses données, en privant ainsi ses héritiers, indépendamment des droits qu'ils pourraient avoir. Le décès physique d'une personne n'entraîne donc pas forcément sa "mort numérique" et sa succession n'est pas forcément universelle, même s'il s'agit du principe qui régit notre droit des successions. En France, la CNIL fait les mêmes constats et a donc engagé une réflexion sur la "mort numérique" en 2014. Elle constate notamment qu'il doit y avoir une conciliation entre le droit à l'oubli numérique et les possibilités d'atteindre l'"éternité numérique" offertes par la vie en ligne. Il s'agit aussi de concilier le respect de l'identité du défunt tout en protégeant la vie privée de ses héritiers. Il convient donc de compléter le droit des successions afin que les données personnelles et les droits d'accès numériques fassent partie de la succession d'un défunt. Il convient en outre de veiller au respect de la personnalité du défunt en ligne, même après son décès »⁹³.

Le Message du Conseil fédéral précisait néanmoins que ces « questions soulevées par ce postulat, celle par exemple de la transmissibilité des données, sont en cours d’examen dans le cadre de la révision du droit successoral »⁹⁴. Ce volet de la modernisation du droit des successions est toujours en cours de révision ; à notre connaissance, aucun développement concret sur cette thématique n’a encore été publié à ce jour par la Confédération.⁹⁵

Alors que l’art. 16 P-LPD était supposé remédier à l’absence de base légale du droit à la consultation des données personnelles de la personne décédée jadis prévu par l’art. 1 al. 7 aOLPD et ainsi clarifier les modalités de ce droit⁹⁶, cette disposition a finalement été supprimée du texte final dans les tout derniers instants du processus parlementaire.

Le communiqué de presse de la Commission des institutions politiques du Conseil national indique : « Contrairement à ce que propose le Conseil fédéral, la commission a décidé, par 14 voix contre 8 et 1 abstention, de ne pas prévoir de réglementation particulière concernant la gestion des données de personnes décédées. Il existe en effet déjà des possibilités permettant de résoudre les problèmes qui se posent dans ce contexte. Une minorité estime au contraire qu’une réglementation spécifique est nécessaire, notamment concernant la mort numérique »⁹⁷. Il avait ainsi été considéré que le Code civil suffisait en l’état.⁹⁸ Cette suppression évitait, il est vrai, certainement des réflexions relatives à la délimitation entre le droit de la protection des données et celui des successions.⁹⁹

Pourtant, la disposition semblait évoquer un certain intérêt parmi les parlementaires. Dans le cadre de la session parlementaire du 24 septembre 2019 sur la révision de la LPD, Beat Flach avait défendu la disposition dans le cadre de son intervention : « In Artikel 16 geht es um die Daten verstorbener Personen. Ich bitte Sie auch hier, der Minderheit zuzustimmen, die die Möglichkeit schafft, dass Verwandte, Hinterbliebene eine Anfrage starten können und einen Anspruch auf diese Daten haben. Die Daten einer verstorbenen Person sollten zugänglich gemacht werden »¹⁰⁰. Dans le même sens, Cédric Wermuth avait considéré : « Bei Artikel 16 geht es um das Recht auf Einsicht in die Daten von verstorbenen Personen. Mit Verlaub, aber warum diese Möglichkeit für die Angehörigen generell aus dem Gesetz gestrichen werden soll, hat sich aus den Kommissionsdebatten nicht ergeben. Es scheint uns auch klar, dass diese Einsichtnahme für Nachfolgerinnen und Nachfolger, für Hinterlassene nicht mit Kostenfolgen verbunden sein sollte. Logischerweise kann ein grosses Interesse darin bestehen, zu sehen, unter welchen Umständen bestimmte Dinge im Leben eines Verstorbenen passiert sind. Es wird ja dann auch im Gesetz geregelt, was genau die entsprechenden Bedingungen sind »¹⁰¹.

En dépit de ces appels à maintenir la disposition, celle-ci a été biffée par 134 votes contre 63 et supprimée du texte final entré en vigueur le 1er septembre 2023.¹⁰² De manière cohérente, au moins, l’Office fédéral de la justice a indiqué dans son Rapport explicatif sur l’Ordonnance sur la protection des données (OPDo) du 31 août 2022, que le droit à la consultation des données d’une personne décédée n’était pas repris au sein de l’ordonnance dès lors que le Parlement a refusé d’introduire un article de loi correspondant dans la LPD.¹⁰³ L’abandon d’une disposition conférant des droits sur les données personnelles de la personne décédée a donc définitivement privé la Suisse d’une base légale formelle conceptualisant une protection des données personnelles de personnes décédées.¹⁰⁴

Caractéristiques du projet en comparaison avec le droit interne des Etats Membres

En dépit de son abandon, nous pouvons tout de même mettre la disposition, telle qu’elle avait été envisagée, en perspective avec les solutions développées par les Etats Membres dans leur droit interne, en la passant brièvement au crible des trois caractéristiques examinées précédemment, à savoir la nature de la titularité envisagée (cf. infra a), la prise en compte de la volonté de la personne défunte exprimée de son vivant (cf. infra b) et l’exercice des droits par les survivants (cf. infra c).

Nature de la titularité

Du point de vue de la nature de cette titularité, la documentation préparatoire semblait envisager les droits conférés par les art. 12 AP-LPD et 16 P-LPD comme des droits propres. En effet, le Message du Conseil fédéral précisait que la question de la transmissibilité des données était en cours d’examen dans le cadre de la révision du droit successoral.¹⁰⁵ Dans la même veine, le Rapport explicatif considérait relativement à l’art. 12 AP-LPD que « [d]’autres questions soulevées dans le postulat, concernant par exemple la possibilité d’hériter les données, seront traitées dans le cadre de la révision du droit des successions »¹⁰⁶. Il semble donc que l’objectif législatif était de conférer des droits propres au sein de la loi de protection des données et de réserver les éventuels droits transmissibles sur les données au droit des successions.

La direction prise par le législateur consistant à intégrer au sein du cercle des personnes autorisées à exercer les droits sur les données personnelles du défunt non seulement tout requérant disposant d’un « intérêt légitime à la consultation » respectivement d’un lien de parenté (art. 16 al. 1 P-LPD) mais également les héritiers (art. 16 al. 4 P-LPD) demeure curieuse et peu compatible avec le droit privé suisse. Cette approche menait à une certaine confusion entre droit des successions et protection des données¹⁰⁷, en ce qu’elle mettait sur un même plan des acteurs à vocation successorale à des acteurs exerçant leurs droits en vertu de la protection de la personnalité.

Prise en compte de la volonté de la personne défunte exprimée de son vivant

Cette disposition offrait une place non négligeable à la volonté de la personne concernée exprimée de son vivant¹⁰⁸. En effet, tant dans le cas de l’accès que celui de l’effacement respectivement la destruction, la personne concernée pouvait de son vivant y faire échec par le biais d’une déclaration de volonté. Celle-ci devait être facilement prouvable et idéalement revêtir une forme textuelle comme celle d’une directive anticipée ou d’un message clair manuscrit ou électronique, et adressé directement au responsable du traitement.¹⁰⁹ La déclaration pouvait également être intégrée au besoin au sein d’un testament.¹¹⁰

Cette approche s’aligne dans les grandes lignes sur celles développées notamment en droit italien et portugais. Cette possibilité aurait ainsi permis à la personne concernée d’exclure de son vivant l’exercice post mortem des droits de protection des données par les personnes autorisées par l’art. 16 P-LPD. Une question qui serait demeurée ouverte et qui a trait à l’autre volet du droit à l’autodétermination informationnelle est celle de savoir dans quelle mesure la personne concernée aurait pu instruire sur la gestion de ses données post mortem sous la forme de directives personnelles¹¹¹.

Exercice des droits par les survivants

Sous l’angle de la titularité des droits de protection des données, la disposition du projet semblait opter pour un régime mixte avec toutefois une nuance selon le droit concerné. L’exercice d’un droit à la consultation des données personnelles du défunt était ainsi réservé aux proches et à l’exécuteur testamentaire tandis que le droit à l’effacement respectivement à la destruction des données personnelles pouvait être exercé par les héritiers ou l’exécuteur testamentaire. Cette disposition ne constituait ainsi pas un simple prolongement de l’art. 1 al. 7 OLPD mais une refonte du système de protection des données personnelles de la personne défunte.

Sous l’angle de l’étendue des droits, l’art. 16 P-LPD se limitait à conférer certains droits de protection des données déjà existant dans la LPD, à savoir les droits d’accès et le droit à l’effacement respectivement de destruction. Précisons qu’aucun droit à la rectification des données personnelles du défunt n’était prévu au sein de ce projet. Ce cherry-picking de droits ne correspond à aucune pratique des Etats Membres de l’Union européenne analysés dans le cadre de cette contribution et constitue donc une solution singulière qui vient s’ajouter à la variété déjà constatée sur le plan européen.

Enjeux de la (re)conceptualisation d’une future protection des données post mortem

Tandis que la protection des données personnelles de personnes décédées est une thématique qui se trouve désormais à l’agenda du législateur européen, la Suisse a décidé – pour l’heure – de se passer d’un tel régime. Cet abandon va à l’encontre de la dynamique qui se développe sur le plan de l’Union européenne et fait fi de l’actualité grandissante de la thématique de la mort numérique¹¹², marquée l’apparition progressive, d’un point de vue transnational, de nombreux cas dans lesquels des proches et/ou des héritiers de personnes défuntes cherchent à accéder aux données numériques de celles-ci. De telles décisions ont notamment émergé aux Etats-Unis¹¹³, en Allemagne¹¹⁴ mais aussi plus récemment en Italie¹¹⁵.

La renonciation du législateur à finalement introduire une disposition instaurant un régime de protection des données des personnes décédées semble essentiellement liée à un inconfort ressenti face à la présence, au sein d’une même disposition légale, de prérogatives relevant de la protection de la personnalité (droit des proches) et de prérogatives relevant du droit des successions (droit des héritiers et de l’exécuteur testamentaire). Ce mélange de prérogatives s’inscrit, en effet, difficilement au sein du droit suisse, lequel repose sur une dichotomie entre un droit des successions conceptualisé comme un droit patrimonial¹¹⁶ et un droit de la personnalité conçu comme un droit non-patrimonial¹¹⁷. Un régime de protection des données post mortem doit, dans ce contexte, nécessairement s’inscrire dans l’une ou l’autre de ces logiques¹¹⁸.

La tendance actuelle en Suisse semble (désormais) pencher vers la conceptualisation d’un accès aux données numériques du défunt réglé au sein du droit des successions.¹¹⁹ En effet, la révision totale de la LPD ayant été menée à son terme, il ne reste que la révision du droit des successions dans le cadre de laquelle la question d’une éventuelle « transmissibilité des données »¹²⁰ pourrait être traitée. Si une telle dynamique devait se confirmer, le législateur privilégierait alors des prérogatives conférées iure hereditatis aux héritiers dans une perspective patrimoniale.

L’alternative à l’hypothèse précitée consisterait à aligner le régime de protection sur les fondements du droit de la personnalité dans une perspective non-patrimoniale. Dans la mesure où le Tribunal fédéral ne consacre pas de protection directe de la personnalité du défunt comme le droit allemand, la protection du défunt est limitée à une protection indirecte par le biais de la protection du sentiment de piété des proches (Andenkenschutz) sur la base de leurs propres droits de la personnalité.¹²¹ Ce nonobstant, notre Haute cour reconnaît ponctuellement une protection de l’intérêt du défunt par le biais des effets subséquents de la personnalité découlant des droits fondamentaux et en particulier la protection de la dignité humaine. Cette protection impose à autrui de respecter l’intégrité corporelle du défunt, la liberté personnelle après la mort ainsi que, dans une certaine mesure au moins, la sphère privée.¹²² Toute personne a, notamment, le droit de décider du sort de sa dépouille.¹²³

Trancher entre l’une et l’autre de ces logiques n’est pas qu’une simple question théorique mais entraîne de véritables conséquences pratiques, en particulier dans le contexte de l’environnement numérique.

Une titularité des droits de protection des données acquise par voie successorale supposerait que les héritiers exercent leur droit en commun en application de l’art. 602 al. 2 CC. Cette exigence semble difficilement compatible avec, d’une part, la réactivité nécessaire à la bonne gestion des données numériques et, d’autre part, avec le caractère potentiellement confidentiel de certaines de ces données. L’approche successorale supposerait, par ailleurs, que les droits de protection des données entrent dans le patrimoine du défunt. Ce faisant, la personne souhaitant déroger à l’attribution légale de ces droits, ou restreindre les prérogatives des héritiers, devra nécessairement confectionner une disposition pour cause de mort, avec le respect des exigences de forme successorales. Or, ces dernières, particulièrement lourdes, sont peu compatibles avec des instructions données par des voies informatiques¹²⁴, lesquelles constituent une manière de plus en plus démocratisée de disposer de ses données numériques en vue du décès¹²⁵.

Face à ces limites, une approche hors du cadre successoral revêt de véritables avantages.

D’une part, la prise en compte de la volonté de la personne concernée de son vivant pourrait être calquée sur les effets subséquents de la personnalité. C’est d’ailleurs sous cet angle que le Conseil fédéral avait envisagé l’art. 16 P-LPD.¹²⁶ Dans ce contexte, une protection des données personnelles de la personne décédée pourrait être conférée – comme il est parfois suggéré dans la littérature étrangère – sur la base d’une analogie avec la gestion de la dépouille humaine¹²⁷. Cette analogie supposerait de concevoir une protection du « corps informationnel » (informational body)¹²⁸ fondée sur le droit à l’autodétermination informationnelle, la dignité humaine¹²⁹ et la vie privée.¹³⁰

Dans ce contexte, la prise de décision par l’individu de son vivant reposerait sur des directives personnelles non soumises à des exigences de forme¹³¹, compatibles avec l’environnement en ligne et notamment les outils informatiques permettant la gestion post mortem des données personnelles sous forme numérique. Une telle approche faciliterait ainsi la prise de décisions ante mortem sur le sort de ses données personnelles dans une perspective post mortem.

D’autre part, l’attribution de droits de protection aux proches reposerait sur un intérêt digne de protection des proches, dans un alignement sur la théorie de l’Andenkenschutz¹³². Dans ce cadre, la catégorie des proches en droit civil semble a priori plus appropriée pour la gestion des données personnelles : elle suppose l’exercice individuel des droits de protection des données et évite que des héritiers qui ne constituent pas des proches du défunt aient accès aux données personnelles de ce dernier. Cela n’élimine toutefois pas toute difficulté, notamment en cas de conflits entre proches.

Conclusion

La protection des données personnelles de personnes décédées n’en est qu’à ses balbutiements. Le défi du développement d’un tel régime sur le plan de l’Union européenne – et donc supranational – consistera à adopter une solution qui transcende les particularismes locaux tant en protection des données qu’en droit des successions.

Devant l’ampleur de la tâche, il paraît utile de prendre du recul afin de saisir les enjeux relatifs à la mise sur pied d’une protection adéquate du défunt. Notre approche transnationale a permis de mettre en évidence qu’en dépit de particularismes locaux en matière de protection des données, il existait une possible convergence vers un dénominateur commun au sein des régimes déjà envisagés au sein des Etats Membres de l’Union européenne : la prise en compte de la volonté exprimée par la personne concernée de son vivant et contraignante post mortem, d’une part, et l’attribution de droits de protection des données personnelles de la personne défunte exercé post mortem par un cercle de survivants déterminés, d’autre part.

En droit suisse en particulier, la question se pose de savoir comment conceptualiser un tel régime. Si la tendance semble tendre vers une réglementation au sein du droit des successions, le droit suisse autorise néanmoins, d’une part, la consécration de droits conférés aux proches du défunt sur la base de leurs propres droits de la personnalité et, d’autre part, la protection des intérêts du défunt en vertu des effets subséquents de la personnalité. Une solution ancrée dans le droit de la personnalité nous paraît, à titre personnel, s’inscrire plus harmonieusement dans le contexte des défis posés par la numérisation de la société.

Le législateur suisse serait bien inspiré de garder un œil avisé sur les développements européens, car ceux-ci vont à terme fixer le cadre juridique d’une protection des données de personnes décédées dont le droit suisse ne pourra pas faire (totalement) abstraction ; nous voyons bien l’influence du RGPD sur les pratiques suisses en matière de protection des données. La thématique de la mort numérique n’échappera vraisemblablement pas à une influence similaire et l’orientation que prendra le droit suisse devra, dès lors, nécessairement tenir compte du droit communautaire, sous peine de s’isoler de façon spectaculaire.