Le RGPD a mauvaise réputation chez les indépendants : beaucoup de bruit, des sites web couverts de bandeaux, et l'impression tenace que tout ça concerne surtout les géants du numérique.
Sauf qu'un magasin d'optique manipule, chaque jour, exactement ce que le règlement protège le plus : des données de santé. Corrections, ordonnances, antécédents, numéros de Sécurité sociale. Vous êtes, au sens du texte, un responsable de traitement de données sensibles.
La bonne nouvelle : la mise en conformité d'un magasin tient en cinq chantiers, dont aucun ne demande d'avocat.
Ce qui est sensible, exactement
Le RGPD distingue les données ordinaires des catégories particulières, qui bénéficient d'une protection renforcée. Les données concernant la santé en font partie.
Dans un magasin, cela couvre :
- la correction et toute mesure de réfraction,
- l'ordonnance et l'identité du prescripteur,
- les antécédents et motifs notés au dossier,
- tout élément du dossier de tiers payant qui révèle une prise en charge de santé,
- le numéro de Sécurité sociale, qui relève d'un encadrement spécifique.
Les données de contact — nom, téléphone, e-mail — sont, elles, des données ordinaires. La distinction compte, parce qu'elle ne commande pas les mêmes durées de conservation ni les mêmes précautions.
Chantier 1 : le registre des traitements
C'est le document fondateur, il est obligatoire, et c'est le premier qu'on vous demandera.
Un registre n'est pas un rapport. C'est un tableau qui liste, pour chaque traitement que vous opérez :
| Colonne | Ce qu'on y met |
|---|---|
| Traitement | « Gestion des dossiers clients », « Tiers payant », « Fichier de fidélité » |
| Finalité | À quoi ça sert, en une phrase |
| Catégories de données | Identité, contact, santé, données de facturation |
| Personnes concernées | Clients, prospects, salariés |
| Destinataires | Complémentaires, plateformes, éditeur du logiciel, expert-comptable |
| Durée de conservation | Une durée, pas « le temps nécessaire » |
| Mesures de sécurité | Comptes nommés, verrouillage, sauvegardes chiffrées |
Un magasin type a entre cinq et huit lignes. Comptez une demi-journée pour le rédiger la première fois, puis une relecture annuelle.
Chantier 2 : la base légale et l'information des clients
Sur quoi vous appuyez-vous
Traiter des données de santé est interdit par principe, sauf exception. Deux de ces exceptions couvrent l'activité d'un opticien : la prise en charge sanitaire — la fourniture de l'équipement prescrit relève des soins — et l'obligation légale, pour tout ce qui touche à la facturation et au tiers payant.
Conséquence souvent mal comprise : vous n'avez pas besoin du consentement du client pour tenir son dossier optique et transmettre sa demande de prise en charge. Le consentement redevient nécessaire pour ce qui sort du soin : prospection commerciale, newsletter, programme de fidélité facultatif.
Ce que vous devez dire
Une information claire et accessible : qui traite les données, pourquoi, combien de temps, à qui elles sont transmises, et comment exercer ses droits.
En pratique, cela prend deux formes : une mention courte sur les documents remis au client, et une notice complète disponible en magasin et sur votre site. Il n'est pas nécessaire de faire signer quoi que ce soit ; il faut pouvoir montrer que l'information est disponible.
Chantier 3 : les durées de conservation
C'est le chantier le plus souvent bâclé, et le plus simple à réussir.
Le principe : on garde une donnée le temps nécessaire à la finalité, puis on la supprime ou on l'archive. Ce qui est interdit, ce n'est pas de garder longtemps — c'est de garder sans durée définie.
Concrètement, décidez une durée par catégorie :
- Données de contact et suivi commercial : une durée de suivi actif, puis suppression ou archivage si le client ne revient pas.
- Pièces du dossier tiers payant : la durée imposée par vos obligations de facturation et par les délais de contrôle des organismes. Nous détaillons ce point dans combien de temps garder vos dossiers tiers payant.
- Documents comptables : la durée légale de conservation applicable aux pièces comptables.
- Images de vidéosurveillance, si vous en avez : une durée courte, de l'ordre de quelques semaines, et une information visible à l'entrée.
Écrivez ces durées dans le registre, puis — c'est le point qui compte — appliquez-les vraiment. Un logiciel qui ne purge jamais rien est le contraire d'une conformité.
Des données de santé qui ne quittent pas le magasin
Avec OptiBot, la lecture de la carte mutuelle et de l'ordonnance s'exécute dans le navigateur du magasin. Aucune image de document n'est envoyée sur nos serveurs.
Chantier 4 : la sécurité au quotidien
Personne n'attend d'un magasin d'optique qu'il déploie un dispositif de sécurité industriel. On attend des mesures proportionnées, et elles sont largement de bon sens.
Des comptes nommés. Un identifiant par personne, jamais un compte « magasin » partagé avec un mot de passe collé sous le clavier. C'est ce qui permet de savoir qui a consulté quoi — et c'est la mesure la plus fréquemment absente.
Le verrouillage automatique des postes. L'écran du comptoir affiche des données de santé. Il est visible du public. Un verrouillage à quelques minutes d'inactivité règle le problème.
Des sauvegardes testées. Une sauvegarde jamais restaurée n'est pas une sauvegarde. Faites l'essai une fois par an.
La maîtrise des envois. Les ordonnances qui transitent par une messagerie personnelle, la photo de carte mutuelle prise avec le téléphone privé d'un collaborateur et jamais supprimée : ce sont les fuites réelles d'un magasin, bien plus que les cyberattaques. Le sujet est traité dans notre article sur le scan de carte mutuelle en magasin.
La fin de contrat. Le jour où un collaborateur part, ses accès se ferment. Prévoyez la procédure avant d'en avoir besoin.
Chantier 5 : les sous-traitants
Votre éditeur de logiciel, votre hébergeur, votre prestataire de sauvegarde, votre solution d'automatisation : tous traitent des données pour votre compte. Ce sont des sous-traitants au sens du RGPD, et le règlement vous impose de les encadrer par contrat.
Les trois questions à poser à chacun :
- Où sont hébergées les données ? L'Union européenne simplifie beaucoup de choses.
- Y a-t-il un accord de sous-traitance ? Souvent appelé DPA. Demandez-le, lisez-le.
- Les données de santé sont-elles effectivement hébergées chez ce prestataire, ou restent-elles chez vous ? C'est la question la plus utile, parce qu'un prestataire qui n'héberge aucune donnée de santé supprime une grande partie du risque à la racine.
Ce dernier point mérite d'être vérifié plutôt que supposé. Certaines solutions envoient les images d'ordonnance et de carte mutuelle vers des serveurs distants pour les analyser ; d'autres exécutent cette analyse localement, dans le navigateur du magasin. C'est le choix que nous avons fait pour OptiBot : la reconnaissance de texte tourne sur le poste, les images ne partent pas, et le cache local est chiffré. Les détails figurent dans notre politique de confidentialité et la liste de nos sous-traitants.
Les droits des clients, et comment y répondre
Vos clients disposent de droits que vous devez pouvoir exercer sans improviser. En pratique, un magasin reçoit peu de demandes — mais celles qu'il reçoit arrivent souvent dans un contexte tendu.
Le droit d'accès. Le client peut demander une copie des données que vous détenez sur lui. Vous disposez d'un délai d'un mois pour répondre, prolongeable en cas de complexité. Préparez une fois pour toutes la liste des endroits où ses données se trouvent : logiciel de gestion, fichier de fidélité, messagerie, pièces numérisées.
Le droit de rectification. Une adresse erronée, un nom mal orthographié : cela se corrige immédiatement.
Le droit d'effacement. Il n'est pas absolu. Vous pouvez et devez refuser d'effacer ce que vos obligations légales vous imposent de conserver — les pièces comptables et les éléments de facturation du tiers payant, notamment. Répondez en expliquant la raison plutôt qu'en refusant sèchement.
Le droit d'opposition à la prospection. Celui-ci est sans discussion : un client qui demande à ne plus recevoir de sollicitations doit être retiré du fichier commercial, tout en restant dans le fichier client pour le suivi de son équipement. Vérifiez que votre logiciel permet bien cette distinction — beaucoup ne la font pas.
La conduite à tenir. Répondez par écrit, dans le délai, même si la réponse est un refus motivé. Conservez la trace de la demande et de votre réponse : c'est ce qui démontre votre conformité.
L'auto-diagnostic en dix questions
Si vous ne deviez faire qu'une chose après cet article, faites celle-ci. Dix questions, dix réponses par oui ou par non.
- Ai-je un registre des traitements écrit et daté de moins d'un an ?
- Chaque collaborateur a-t-il son propre identifiant sur le logiciel de gestion ?
- Les postes du comptoir se verrouillent-ils automatiquement ?
- Ai-je défini une durée de conservation pour chaque catégorie de données ?
- Ces durées sont-elles réellement appliquées, ou rien n'est-il jamais supprimé ?
- Ai-je testé une restauration de sauvegarde au cours des douze derniers mois ?
- Ai-je un accord de sous-traitance signé avec mon éditeur de logiciel ?
- Est-ce que je sais où sont hébergées les données de mes clients ?
- Les accès d'un collaborateur parti sont-ils fermés le jour de son départ ?
- Saurais-je quoi faire, et dans quel délai, si un poste était volé demain ?
Moins de sept « oui » : vous avez un chantier de quelques heures devant vous, pas davantage. Les questions 1, 4 et 7 sont celles par lesquelles commencer, parce qu'elles produisent les documents qu'un contrôle demande en premier.
En cas d'incident
Ordinateur volé, base exposée, envoi de dossier au mauvais destinataire : cela arrive.
La conduite à tenir est cadrée :
- Documenter immédiatement : quoi, quand, quelles données, combien de personnes.
- Contenir : couper l'accès, changer les mots de passe, récupérer ce qui peut l'être.
- Évaluer le risque pour les personnes concernées.
- Notifier la CNIL dans les 72 heures si un risque existe.
- Informer les personnes si le risque est élevé.
Tenez un registre des violations, y compris pour les incidents que vous n'avez pas notifiés. Pouvoir montrer que vous avez analysé un incident et conclu à l'absence de risque vaut infiniment mieux que de ne rien avoir écrit.
Questions fréquentes
Une correction optique est-elle une donnée de santé ?
Oui, au même titre que l'ordonnance ou un antécédent visuel. Elle relève des catégories particulières du RGPD.
Un magasin d'optique doit-il tenir un registre des traitements ?
Oui, dès lors qu'il traite des données de santé, quelle que soit sa taille.
Faut-il désigner un DPO quand on est opticien indépendant ?
Pas systématiquement : l'obligation vise le traitement à grande échelle de données sensibles. Un réseau de plusieurs magasins doit examiner la question sérieusement.
Combien de temps conserver les données d'un client en optique ?
Le temps nécessaire à chaque finalité, avec une durée définie par catégorie et réellement appliquée. L'absence de durée est le vrai manquement.
Que faire en cas de perte ou de vol de données clients ?
Documenter, contenir, évaluer le risque, notifier la CNIL sous 72 heures si nécessaire, et informer les personnes en cas de risque élevé.
En résumé
La conformité RGPD d'un magasin d'optique tient en cinq chantiers : un registre des traitements écrit, une base légale identifiée avec une information claire des clients, des durées de conservation définies et appliquées, des mesures de sécurité proportionnées — comptes nommés, verrouillage, sauvegardes testées — et des sous-traitants encadrés. Aucun ne demande d'expertise juridique. Le meilleur réflexe reste celui de la minimisation : la donnée la mieux protégée est celle que vous n'avez pas collectée, et le sous-traitant le moins risqué est celui qui n'héberge rien.