RGPD et généalogie successorale : ce que la CNIL attend vraiment de vous
Vous croisez identités, filiations, parfois données médicales et financières sur des décennies. La CNIL a clarifié sa doctrine sur la généalogie successorale : décryptage des obligations qui pèsent vraiment sur votre cabinet.
- Votre base légale n'est pas le consentement mais l'intérêt légitime, à condition de réussir le test de mise en balance documenté.
- La durée de conservation des dossiers généalogiques peut atteindre 30 ans, justifiée par la prescription de l'action en pétition d'hérédité.
- Une violation de données généalogiques entraîne notification CNIL sous 72h et exige une assurance Cyber dotée d'une cellule de gestion de crise.
Pourquoi votre activité est dans le viseur de la CNIL
Vous traitez de la donnée à caractère personnel à très grande échelle : noms, prénoms, dates et lieux de naissance, filiations, adresses, parfois professions, situations matrimoniales, mentions marginales d'état civil révélant divorces, reconnaissances, légitimations. Sur certains dossiers s'ajoutent des données sensibles au sens de l'article 9 du RGPD : santé (causes de décès), opinions religieuses (registres paroissiaux), origines (naturalisations).
Les personnes concernées sont par définition vivantes (les héritiers présomptifs identifiés) et parfois en grand nombre — une succession en collatéraux peut imposer la collecte de données sur 50 à 200 individus. La CNIL a confirmé en 2024 que la généalogie successorale entre pleinement dans le champ du RGPD : la qualification de mandat notarial ne dispense d'aucune obligation.
Base légale : oubliez le consentement, c'est l'intérêt légitime
La tentation est de cocher "consentement" parce que c'est la base légale la plus connue. C'est juridiquement faux et opérationnellement impossible : vous identifiez par définition des personnes qui ignorent l'existence de la succession ; leur demander leur accord avant de les chercher est un non-sens.
La bonne base légale est l'intérêt légitime (article 6.1.f du RGPD), à deux conditions cumulatives :
- Documenter le test de mise en balance entre votre intérêt (et celui des héritiers déjà identifiés à voir la succession se régler) et les droits des personnes concernées. Ce document doit exister par écrit, daté, signé par le DPO ou le responsable de traitement.
- Garantir aux personnes concernées un droit d'opposition effectif, qui implique une mention d'information claire dès le premier contact avec l'héritier identifié.
Pour les données sensibles, la base légale change : c'est l'article 9.2.f (constatation, exercice ou défense d'un droit en justice) qui s'applique pour l'établissement d'une dévolution successorale, mais uniquement sur les données strictement nécessaires.
Durées de conservation : la zone grise des 30 ans
Combien de temps gardez-vous un dossier de généalogie successorale ? La réponse instinctive — 5 ou 10 ans — est insuffisante. Trois durées cohabitent :
| Donnée | Durée | Justification |
|---|---|---|
| Dossier généalogique actif | Pendant la mission + 5 ans | Durée habituelle de prescription contractuelle. |
| Dossier généalogique archivé | Jusqu'à 30 ans | Action en pétition d'hérédité (art. 778 Code civil). |
| Données comptables et facturation | 10 ans | Obligation comptable. |
L'archivage à 30 ans doit être séparé physiquement et logiquement de la base active, avec un accès restreint au seul responsable du dossier ou à un référent désigné. Les copies de travail, brouillons, sources non retenues doivent être purgées à la clôture de la mission.
Droits des personnes : le casse-tête du droit d'opposition
Un héritier identifié vous oppose son droit à l'effacement parce qu'il refuse d'apparaître dans une succession qu'il décline. Que faire ?
Le RGPD prévoit que le droit à l'effacement cède devant la constatation, l'exercice ou la défense d'un droit en justice. Vous pouvez donc conserver les données minimales nécessaires à l'établissement de la dévolution (filiation prouvée, lien avec le défunt), même en cas d'opposition. Mais :
- Vous devez répondre à la demande dans le délai d'un mois, en motivant le refus partiel.
- Vous devez purger les données non strictement nécessaires (téléphone, profession, adresse électronique, photos d'arbre généalogique).
- Vous devez informer la personne de son droit de saisir la CNIL si elle conteste votre arbitrage.
Sur le droit d'accès, vous devez fournir les données sur la personne qui demande, mais pas l'intégralité du dossier généalogique du défunt — vous protégez les données des autres héritiers identifiés.
Violation de données : 72 heures pour notifier, et après ?
Disque dur volé contenant des dossiers en cours. Email envoyé à la mauvaise étude notariale avec un dossier joint. Hébergeur compromis. Le scénario d'incident est varié, le délai est invariable : 72 heures pour notifier la CNIL à compter de la prise de connaissance, et une information des personnes concernées si le risque est élevé.
Concrètement, en 72 heures vous devez :
- Caractériser la nature des données concernées et les volumes touchés.
- Évaluer les conséquences probables et les mesures prises.
- Rédiger la déclaration sur le téléservice CNIL.
- Identifier les obligations contractuelles vis-à-vis des notaires mandants.
C'est précisément l'objet d'une garantie Cyber : une cellule de crise mobilisable 24/7, un avocat spécialisé, un expert forensique pour caractériser l'incident, la prise en charge des frais de notification individuelle aux personnes concernées, et l'indemnisation des préjudices financiers. Sans cette garantie, le coût d'un incident de taille moyenne sur un cabinet de généalogie se situe entre 25 000 € et 80 000 €, hors sanction CNIL éventuelle.
Quatre actions concrètes à mettre en place ce trimestre
Le RGPD n'est pas un sujet à régler en une après-midi, mais quatre chantiers prioritaires permettent de sortir de l'exposition critique :
- Registre des traitements séparant les traitements liés aux missions notariales et ceux liés à la prospection ou à la généalogie familiale, avec base légale documentée pour chacun.
- Politique de confidentialité publiée sur votre site, complétée d'une mention d'information transmise dès le premier contact avec un héritier identifié.
- Contrats de sous-traitance (article 28 RGPD) avec votre hébergeur, votre outil de bases généalogiques, votre prestataire informatique. Si l'un d'eux est hors UE, un mécanisme de transfert (clauses contractuelles types) est obligatoire.
- Procédure de gestion d'incident écrite, testée, intégrée à votre contrat Cyber. C'est ce document que vous présenterez en cas de contrôle CNIL pour démontrer votre conformité préventive.
Questions fréquentes
La désignation est obligatoire si vous traitez à grande échelle des données sensibles. Le seuil est apprécié au cas par cas : un cabinet traitant plus d'une centaine de successions complexes par an est dans la zone de désignation obligatoire. Sinon, désigner un référent RGPD interne ou externe reste fortement recommandé.
Oui, à condition que le transfert soit encadré par un mécanisme valide : clauses contractuelles types de la Commission européenne, adhésion du fournisseur au Data Privacy Framework. Documentez ce choix dans votre registre des traitements et informez-en les personnes concernées dans votre politique de confidentialité.
Non, vous pouvez refuser l'effacement total au motif de la défense d'un droit en justice (établissement de la dévolution). Vous devez en revanche purger les données accessoires et limiter le traitement aux données strictement nécessaires.
Le plafond légal est de 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Dans les faits, sur un cabinet de généalogie, les sanctions prononcées se situent entre 5 000 € et 50 000 €, avec souvent une mise en demeure préalable. C'est moins que le coût opérationnel d'un incident non géré.
Non, les sanctions administratives ne sont jamais assurables en France. La garantie Cyber couvre en revanche tous les frais autour de l'incident : notification, gestion de crise, défense, indemnisation des personnes lésées, perte d'exploitation, restauration de système. C'est le coût le plus lourd à supporter en pratique.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Généalogiste successoral — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Généalogiste successoral →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.