La prescription oubliée sur le serveur : quand l'opticien devient gardien de données de santé

Beaucoup d'opticiens raisonnent comme des commerçants : un fichier de clients, des coordonnées, un historique d'achats. La réalité juridique est tout autre. Dès qu'un magasin enregistre une réfraction, le scan d'une ordonnance d'ophtalmologiste, une mesure d'écart pupillaire associée à une pathologie, ou une note sur une déficience visuelle, il traite des données de santé au sens de l'article 9 du RGPD.

Cette catégorie est dite « sensible ». Elle bénéficie d'une protection renforcée et son traitement engage une responsabilité bien supérieure à celle d'un fichier marketing ordinaire. Concrètement, l'opticien est responsable de traitement : il doit garantir la confidentialité, l'intégrité et la sécurité de ces informations.

Or le quotidien d'un magasin multiplie les points de fuite :

• Logiciel de gestion hébergé sur un poste vieillissant, sans mise à jour.
• Sauvegardes des dossiers clients sur une clé USB non chiffrée.
• Ordonnances scannées stockées dans un dossier partagé accessible à toute l'équipe.
• Boîte e-mail recevant des prescriptions transmises par les clients.

Chacun de ces usages, anodin en apparence, est une porte d'entrée pour une violation de données.

Prenons un scénario réaliste. Un mardi soir, l'opticien éteint son poste comme d'habitude. Le lendemain, l'écran affiche un message : les fichiers du logiciel de vente et la base clients sont chiffrés. Un rançongiciel est passé par une pièce jointe ouverte la veille. La base contient les dossiers de 6 800 clients, réfractions et ordonnances comprises.

L'enchaînement réglementaire se déclenche aussitôt :

• Sous 72 heures, notification de la violation à la CNIL, car des données de santé sont concernées (article 33 du RGPD).
• Si le risque pour les personnes est élevé, information individuelle des clients dont les données ont fuité (article 34).
• Documentation de la violation dans un registre interne, que la CNIL peut exiger.

Le coût réel n'est pas la rançon — qu'il ne faut pas payer — mais la gestion de crise : intervention d'un expert en cybersécurité pour analyser l'intrusion, restauration des sauvegardes, reconstitution des dossiers, rédaction des notifications, et accompagnement juridique. Pour un magasin indépendant, la facture d'une telle prise en charge se chiffre couramment en dizaines de milliers d'euros.

Une violation de données de santé n'est jamais un simple incident informatique : c'est un dossier réglementaire à monter sous contrainte de délai, avec la CNIL pour interlocuteur.

L'opticien victime d'une fuite est doublement exposé. D'un côté, la CNIL peut le sanctionner si elle estime que les mesures de sécurité étaient insuffisantes : absence de chiffrement, sauvegardes inexistantes, accès non restreints. Le manquement reproché n'est pas d'avoir été attaqué, mais de ne pas avoir protégé les données comme l'exige le RGPD.

De l'autre, les clients dont les données de santé ont été exposées peuvent agir : demande de réparation d'un préjudice moral, signalement, atteinte à la réputation du magasin par le bouche-à-oreille. Pour un commerce de proximité dont la clientèle repose sur la confiance, l'impact commercial peut dépasser la sanction administrative.

Les obligations minimales attendues d'un opticien responsable de traitement :

• Chiffrer les supports contenant des données de santé (postes, sauvegardes, clés USB).
• Restreindre les accès au logiciel de gestion par identifiants individuels.
• Sauvegarder régulièrement, hors ligne, et tester la restauration.
• Tenir un registre des traitements et une procédure en cas de violation.
• Sécuriser les échanges d'ordonnances, en évitant les e-mails non protégés.

Ces mesures réduisent le risque, mais ne le suppriment pas. Aucun magasin n'est à l'abri d'un poste compromis ou d'une erreur humaine.

Un réflexe répandu : « j'ai une RC professionnelle, je suis couvert ». C'est une erreur d'analyse. La RC Pro indemnise les dommages causés à des tiers dans l'exercice du métier — par exemple une erreur de montage qui blesse un client. Elle n'a pas vocation à financer la gestion d'une violation de données : expertise forensique, notification CNIL, restauration des systèmes, frais de défense face à une procédure.

C'est précisément le rôle d'une assurance cyber. Pour un opticien, elle prend typiquement en charge :

• L'intervention d'urgence d'experts en cybersécurité après une attaque.
• Les frais de notification à la CNIL et aux clients concernés.
• La restauration des données et des systèmes, dans la limite des sauvegardes existantes.
• Les frais juridiques de gestion d'un contrôle ou d'une procédure CNIL.
• La perte d'exploitation liée à l'indisponibilité du logiciel de vente.

Le poste de travail qui pilote les ventes et héberge les dossiers de santé est le cœur névralgique du magasin. Le protéger contractuellement, c'est éviter qu'un incident informatique ne se transforme en sinistre réglementaire ingérable. Pour cadrer le besoin selon la taille de votre clientèle et vos outils, partez de votre fiche métier d'opticien.