RGPD et opticien : le guide pratique 2026
RGPD opticien : ordonnances (données de santé), tiers payant mutuelles, fichier clients et relances, vente en ligne. Bases légales et durées de conservation.
- Ce qui rend l’opticien particulier au regard du RGPD
- Le statut de l’opticien : responsable de traitement
- Les bases légales à mobiliser
- L’ordonnance : une donnée de santé à traiter comme telle
- Le tiers payant : un flux de données de santé encadré
- Le fichier clients et les relances
- La vente en ligne de lunettes et lentilles
- Durées de conservation
- Erreurs fréquentes et sanctions
- FAQ
L’essentiel. L’opticien-lunetier traite des données de santé au quotidien : l’ordonnance de correction, la prescription de lentilles, l’historique de vue sont des données sensibles au sens de l’Art. 9 du RGPD. S’y ajoutent la gestion du tiers payant avec les mutuelles (flux de données de santé vers des organismes complémentaires), le fichier clients avec ses relances de renouvellement, et parfois la vente en ligne. Ce guide détaille le statut de l’opticien, les bases légales à mobiliser, les durées de conservation et les erreurs qui exposent le magasin à une sanction de la CNIL.
L’opticien occupe une position singulière : commerçant par son activité de vente, il est aussi professionnel de santé au sens du Code de la santé publique. Cette double nature se retrouve dans ses données. Un magasin d’optique n’est pas une boutique comme les autres : il détient des ordonnances, des corrections visuelles, un historique de santé oculaire, et il échange ces informations avec les organismes de tiers payant. Dans les audits que je mène auprès de commerces de santé, je constate que cette réalité est presque toujours minimisée. On protège le TPE de la caisse et on laisse traîner les ordonnances dans un dossier partagé. Voici comment structurer une conformité solide.
Ce qui rend l’opticien particulier au regard du RGPD
Trois spécificités justifient un régime renforcé.
La présence de données de santé. L’ordonnance de correction, la mesure de la vue, la prescription de lentilles, les antécédents visuels relèvent de l’Art. 9(1) du RGPD : ce sont des données concernant la santé, interdites de traitement par principe sauf exception de l’Art. 9(2). Le niveau de protection exigé est celui d’un professionnel de santé, pas d’un commerçant ordinaire.
Le tiers payant. La gestion du tiers payant suppose de transmettre à des organismes complémentaires (mutuelles, plateformes de gestion) des informations sur l’équipement et parfois sur la santé du client. C’est un flux de données de santé vers des tiers, à encadrer.
Le fichier clients et ses relances. L’optique vit du renouvellement : rappels de fin de validité d’ordonnance, propositions de nouvel équipement, campagnes de contrôle de la vue. Ces relances mêlent prospection commerciale et données de santé (date de la dernière correction), ce qui appelle un cadrage précis.
Le statut de l’opticien : responsable de traitement
L’opticien, qu’il exerce en indépendant, en franchise ou en enseigne, détermine les finalités (vendre et adapter l’équipement optique, gérer le tiers payant, fidéliser) et les moyens (logiciel métier, matériel de mesure, fichier clients). Il est donc responsable de traitement au sens de l’Art. 4(7) et répond directement devant la CNIL et devant ses clients.
Vis-à-vis de ses prestataires — éditeur du logiciel de gestion en SaaS, hébergeur, plateforme de tiers payant, prestataire d’emailing, plateforme e-commerce, prestataire de paiement — il est responsable de traitement et ces prestataires sont ses sous-traitants. Un contrat conforme à l’Art. 28 du RGPD est obligatoire avec chacun.
Point important sur l’hébergement : dès qu’un prestataire externe héberge des données de santé pour le compte du professionnel de santé, la certification HDS (hébergeur de données de santé) peut être requise. Le logiciel métier en mode SaaS qui stocke les ordonnances et corrections est le premier concerné : il faut vérifier son statut auprès de l’éditeur. La logique est la même que pour un cabinet médical.
Les bases légales à mobiliser
La base légale se construit finalité par finalité, sur le fondement de l’Art. 6, avec un second étage à l’Art. 9 pour les données de santé.
| Finalité | Base légale (Art. 6) | Second étage (Art. 9) |
|---|---|---|
| Adaptation et vente de l’équipement | Art. 6(1)(b) — contrat | Art. 9(2)(h) — prise en charge |
| Tiers payant (complémentaire santé) | Art. 6(1)©/(b) | Art. 9(2)(h) ou droit de la sécurité sociale |
| Facturation, comptabilité | Art. 6(1)© — obligation légale | — |
| Relances renouvellement (clients) | Art. 6(1)(f) — intérêt légitime | Vigilance données de santé |
| Prospection de non-clients | Art. 6(1)(a) — consentement | — |
| Vente en ligne | Art. 6(1)(b) — contrat | Art. 9(2)(h) si ordonnance |
La règle structurante : toute finalité qui touche à l’ordonnance ou à la correction suppose une exception de l’Art. 9(2), le plus souvent l’Art. 9(2)(h) (finalités de prise en charge sanitaire, exercée par un professionnel soumis au secret). Cette exception dispense de recueillir un consentement explicite pour l’adaptation de l’équipement, mais pas pour des usages qui débordent le soin (prospection, revente de données, statistiques hors cadre).
L’ordonnance : une donnée de santé à traiter comme telle
L’ordonnance médicale et la correction visuelle sont le cœur sensible du dossier. Trois exigences :
- Minimisation. On ne collecte et conserve que ce qui est nécessaire à l’adaptation de l’équipement et au respect des obligations légales. Une photo d’ordonnance stockée « au cas où » sans usage précis est un excès — voir le principe de minimisation.
- Cloisonnement et accès restreint. Les données de santé ne doivent être accessibles qu’aux personnes qui en ont besoin. Le personnel de caisse n’a pas à consulter l’historique visuel complet.
- Sécurité. Chiffrement des dossiers, comptes nominatifs, pas d’ordonnances qui circulent par email non protégé. Une fuite d’ordonnances est une violation de données à notifier à la CNIL dans les 72 heures via le modèle de notification lorsqu’elle présente un risque.
Le tiers payant : un flux de données de santé encadré
La gestion du tiers payant fait transiter des informations vers les organismes complémentaires et les plateformes de gestion (opérateurs de tiers payant). Points de vigilance :
- Minimisation vers l’organisme. On ne transmet que les données nécessaires à la prise en charge : nature de l’équipement, montant, éléments d’identification du bénéficiaire. Le détail de la santé oculaire du client n’a pas à être communiqué au-delà du strict nécessaire.
- Contrat de sous-traitance avec l’opérateur de tiers payant quand il agit pour le compte du magasin, ou clarification des rôles quand mutuelle et opticien sont chacun responsables de leurs finalités.
- Information du client sur la transmission de ses données à sa complémentaire dans le cadre du tiers payant.
Le pendant, côté organisme, est traité dans notre guide RGPD des mutuelles, qui détaille les obligations propres aux complémentaires santé.
Le fichier clients et les relances
C’est le terrain le plus glissant, parce qu’il mêle fidélisation commerciale et données de santé. Une relance « votre ordonnance arrive à échéance, pensez à faire contrôler votre vue » utilise, par définition, une information de santé (la date de la dernière correction).
- Relances aux clients existants. Elles peuvent reposer sur l’intérêt légitime (Art. 6(1)(f)), à condition de rester dans le champ de la relation commerciale, de proposer un moyen simple d’opposition et de ne pas exploiter les données de santé au-delà du rappel utile — voir les règles de prospection commerciale et le mécanisme opt-in / opt-out.
- Prospection de non-clients. Elle suppose un consentement préalable (opt-in) pour l’email et le SMS.
- Segmentation par la santé. Utiliser la correction ou l’historique visuel pour cibler finement des offres commerciales sort du cadre du soin et exige une base solide, à documenter. C’est un point d’attention réel en cas de contrôle.
La vente en ligne de lunettes et lentilles
Le magasin qui vend en ligne ajoute une couche : téléversement d’ordonnances, compte client, cookies et traceurs, paiement. Les règles de l’e-commerce et du RGPD s’appliquent : information transparente, gestion du consentement aux traceurs, sécurité du parcours de paiement, minimisation. Particularité optique : l’ordonnance téléversée est une donnée de santé qui doit être stockée de façon sécurisée et cloisonnée, pas mélangée aux données commerciales ordinaires.
Durées de conservation
Le respect du principe de temporalité impose des durées précises. À titre indicatif, à adapter à votre magasin :
| Donnée | Durée active | Archivage |
|---|---|---|
| Dossier client (correction, équipement) | Durée de la relation commerciale | Selon obligations |
| Ordonnance | Le temps de son utilité + suivi | Suppression ensuite |
| Pièces justificatives comptables | — | 10 ans (Code de commerce) |
| Données de tiers payant | Le temps de la prise en charge | Selon règles applicables |
| Prospect sans achat | 3 ans après le dernier contact | — |
| Données de paiement (carte) | Le temps de la transaction | Pas de conservation du CVV |
Le tableau des durées de conservation de référence aide à bâtir une politique cohérente, à formaliser dans le registre des activités de traitement.
Erreurs fréquentes et sanctions
Les manquements récurrents dans le secteur :
- Ordonnances accessibles à tout le personnel, sans cloisonnement ni journalisation des accès.
- Conservation illimitée des données de santé dans le logiciel métier.
- Relances commerciales exploitant la santé au-delà du rappel utile, sans base documentée.
- Absence de contrat Art. 28 avec l’éditeur du logiciel et l’opérateur de tiers payant.
- Hébergement non vérifié : le SaaS métier stocke des données de santé sans que le statut HDS ait été contrôlé.
La CNIL peut prononcer des amendes jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial (Art. 83), et le secteur de la santé fait partie de ses cibles prioritaires de contrôle. Notre synthèse des sanctions RGPD à connaître détaille les critères retenus.
Pour tenir le registre, suivre les durées de conservation et encadrer les sous-traitants sans y consacrer un temps disproportionné, un logiciel RGPD permet d’industrialiser ces tâches et de garder une trace exploitable en cas de contrôle.
FAQ
L’ordonnance de lunettes est-elle une donnée de santé au sens du RGPD ?
Oui. Une ordonnance de correction, une prescription de lentilles, une mesure de la vue et l’historique visuel relèvent de l’Art. 9(1) du RGPD : ce sont des données concernant la santé, dont le traitement est interdit par principe sauf exception de l’Art. 9(2). Pour l’adaptation de l’équipement, l’exception mobilisée est en général l’Art. 9(2)(h).
Un opticien peut-il envoyer des relances de renouvellement à ses clients ?
Oui, aux clients existants, sur le fondement de l’intérêt légitime, à condition d’offrir un moyen simple de s’y opposer et de rester dans le champ de la relation commerciale. Exploiter finement les données de santé (correction, historique) pour cibler des offres sort de ce cadre et exige une base plus solide. La prospection de non-clients suppose, elle, un consentement préalable.
Faut-il un hébergeur certifié HDS pour un magasin d’optique ?
Cela dépend du prestataire. Dès qu’un tiers externe héberge des données de santé pour le compte de l’opticien (logiciel métier en SaaS stockant les ordonnances, sauvegardes externalisées), la certification HDS peut être requise. Il faut vérifier le statut auprès de l’éditeur et le documenter.
Combien de temps conserver une ordonnance client ?
Le temps utile à l’adaptation de l’équipement, au suivi du client et au respect des obligations applicables, puis suppression. Les pièces comptables suivent leur propre régime (10 ans). Conserver indéfiniment les ordonnances « au cas où » est un manquement au principe de minimisation et un facteur de risque.
L’opticien doit-il désigner un DPO ?
Pas automatiquement. L’obligation de l’Art. 37 vise notamment le traitement à grande échelle de données de santé. Un magasin indépendant n’y est généralement pas tenu, mais une enseigne opérant à grande échelle peut l’être. La question mérite d’être tranchée et documentée.
Que transmettre à la mutuelle dans le cadre du tiers payant ?
Uniquement les données nécessaires à la prise en charge (identification du bénéficiaire, nature et montant de l’équipement), en application du principe de minimisation. Le détail de la santé oculaire du client n’a pas à être communiqué au-delà du strict nécessaire, et le client doit être informé de cette transmission.
Pour aller plus loin, recevez chaque semaine notre analyse de l’actualité RGPD et des décisions de la CNIL : abonnez-vous à la newsletter. Voir aussi nos guides RGPD et cabinet médical et RGPD des mutuelles.