Au 30 avril 2026, ouvrir un site de vente de médicaments en ligne ne nécessite plus l'autorisation du directeur général de l'Agence régionale de santé (ARS) : une déclaration préalable accompagnée d'un dossier suffit, avec un récépissé délivré sous 21 jours. Le contenu du dossier, lui, est plus exigeant qu'avant : hébergeur certifié HDS obligatoire, attestation de non-sous-traitance, registre RGPD joint. Ce que la réforme prévoit : un dossier déclaré incomplet par l'ARS peut être complété dans un délai supplémentaire de 15 jours ; ce n'est qu'en cas de persistance d'incomplétude à l'issue de ce délai que la procédure doit être reprise depuis le début.
Le verrou administratif des deux mois tombe le 30 avril 2026
Depuis l'ordonnance n° 2012-1427 du 19 décembre 2012, créer un site de commerce électronique de médicaments reposait sur une autorisation explicite ou implicite de l'ARS. En l'absence de décision dans un délai de deux mois, l'autorisation était réputée acquise. Ce régime, jugé trop lent et opaque par l'Autorité de la concurrence dans son avis du 23 mai 2024, disparaît au 30 avril 2026.
Le décret n° 2026-137 du 27 février 2026, publié au Journal officiel du 28 février 2026, remplace intégralement la procédure d'autorisation par un régime de déclaration préalable auprès de l'ARS territorialement compétente. Le texte est pris en application de l'article 89 de la loi n° 2020-1525 du 7 décembre 2020 dite loi ASAP (Accélération et Simplification de l'Action Publique), qui avait inscrit ce basculement dans la loi il y a plus de cinq ans. L'arrêté du 27 février 2026, signé par Stéphanie Rist, ministre de la Santé, des Familles, de l'Autonomie et des Personnes handicapées, fixe le contenu exact du dossier à constituer.
Concrètement, le titulaire adresse sa déclaration préalable, accompagnée du dossier, par tout moyen permettant de donner date certaine à sa réception (recommandé avec accusé de réception, dépôt contre récépissé, voie électronique sécurisée). L'ARS dispose ensuite de 21 jours pour notifier un éventuel avis d'incomplétude et demander les pièces manquantes dans un délai supplémentaire de 15 jours. Passé ce délai de 21 jours sans notification négative, l'activité peut démarrer de plein droit. Le silence de l'ARS vaut récépissé. En cas de dossier complet d'emblée, l'ARS adresse formellement le récépissé dans ce même délai de 21 jours.
Le changement de délai est réel : de 2 mois d'attente potentielle, on passe à 21 jours maximum, soit une réduction de près des deux tiers du délai théorique. (Décret n° 2026-137, Légifrance, 28 février 2026)
Ce que contient le dossier type imposé par l'arrêté du 27 février 2026
Le passage au régime déclaratif ne signifie pas allègement des exigences de fond. L'arrêté du 27 février 2026 définit quatre familles de pièces obligatoires, dont plusieurs sont nouvelles ou plus précises que sous l'ancien régime d'autorisation.
Bloc 1 : Identification et responsabilité professionnelle. Informations administratives complètes sur l'officine (numéro de licence, inscription à l'Ordre national des pharmaciens), identification nominative de tous les pharmaciens responsables de l'activité en ligne, copie des inscriptions ordinales correspondantes. (Arrêté du 27 février 2026, art. 1)
Bloc 2 : Organisation de l'activité de dispensation à distance. Descriptif précis du local ou de la zone dédiée à la préparation des commandes, modalités de stockage, procédures de vérification avant expédition. Ce point distingue formellement l'espace de traitement des commandes en ligne du circuit de dispensation classique. (Arrêté du 27 février 2026)
Bloc 3 : Site internet et parcours patient. Description du questionnaire de santé, des modalités de consultation des notices, des dispositifs d'alerte en cas de surdosage ou de contre-indication, des conditions de création et sécurisation du compte patient. Des captures d'écran représentatives sont attendues pour illustrer la conformité aux règles techniques de l'arrêté du 28 novembre 2016. (Arrêté du 27 février 2026 ; arrêté du 28 novembre 2016)
Bloc 4 : Données personnelles et hébergement. Copie du registre de traitement des données personnelles (RGPD), certification de l'hébergeur de données de santé (HDS) au sens de l'article L. 1111-8 du code de la santé publique, et attestation sur l'honneur de non-sous-traitance du contenu du site. (Arrêté du 27 février 2026 ; CSP, art. L. 1111-8)
Deux pièges qui bloquent la majorité des dossiers incomplets
Avant le 30 avril 2026, les dossiers d'autorisation étaient souvent incomplets sur la conformité technique du site. Dans le nouveau régime déclaratif, deux points concentrent la majorité des risques d'incomplétude.
Piège 1 : l'hébergeur de données de santé non certifié HDS. Un site de vente en ligne de médicaments collecte des données de santé à caractère personnel (compte patient, questionnaire de santé, historique de commandes). La loi française impose que ces données soient hébergées exclusivement chez un prestataire certifié HDS (Hébergeur de Données de Santé), au titre de l'article L. 1111-8 du code de la santé publique. L'arrêté du 27 février 2026 exige la production de la copie de la certification HDS dans le dossier de déclaration. Héberger un site e-pharmacie chez OVHcloud, Scaleway ou AWS Paris est techniquement possible, à condition que ces prestataires soient explicitement configurés sur leurs offres certifiées HDS et que les données soient localisées dans l'Espace économique européen (EEE). Un surcoût par rapport à un hébergement cloud standard est potentiellement à prévoir selon les estimations du secteur. (Agence du Numérique en Santé)
Piège 2 : l'attestation de non-sous-traitance du contenu du site. Le titulaire doit certifier sur l'honneur qu'il gère lui-même le contenu de son site, notamment les fiches médicaments, les conseils pharmaceutiques et les informations de santé, à l'exception de la conception et de la maintenance technique. Cette attestation vise à prévenir la délégation du conseil pharmaceutique à des prestataires non-pharmaciens. Elle est fréquemment absente dans les premiers dossiers constitués par des agences web. Le titulaire reste personnellement responsable de l'ensemble du contenu. (Arrêté du 27 février 2026, art. 3 ; CSP, art. L. 5125-33)
| Critère | Avant le 30 avril 2026 | À partir du 30 avril 2026 |
|---|---|---|
| Nature de la démarche | Autorisation préalable ARS | Déclaration préalable ARS |
| Délai administratif | 2 mois (silence vaut autorisation) | 21 jours (silence vaut récépissé) |
| Certification HDS requise dans le dossier | Non explicitement | Oui, obligatoire |
| Attestation de non-sous-traitance | Non | Oui, sur l'honneur |
| Registre RGPD joint | Non | Oui, copie obligatoire |
| Information de l'Ordre | Dans les 15 jours suivant l'autorisation | Dans les 7 jours suivant le récépissé |
| Dossier incomplet | Demande de complément possible | Délai de 15 jours pour compléter, puis reprise intégrale si persistance |
| Contrôle ARS a posteriori | Oui | Oui (maintenu) |
| Sources : Décret n° 2026-137 du 27 février 2026 ; Arrêté du 27 février 2026, Légifrance ; Ordre national des pharmaciens (ONP), mars 2026. | ||
"Cette évolution vise à alléger les conditions de mise en œuvre de la vente en ligne de médicaments à usage humain par les pharmaciens."
Ce que vous devez faire, et dans quel ordre
Action 1 : Vérifier la certification HDS de votre hébergeur avant de constituer le dossier
Avant toute autre démarche, identifiez l'hébergeur actuel de votre site (ou celui de votre futur site). Accédez au registre des hébergeurs certifiés HDS publié par l'Agence du Numérique en Santé (ANS) sur le site esante.gouv.fr. Vérifiez que la certification couvre bien les activités pertinentes (au minimum les activités 1, 2 et 3 du référentiel, relatives à l'infrastructure physique, matérielle et virtuelle) et que les données sont localisées dans l'EEE. Si votre hébergeur n'est pas certifié HDS ou si sa certification ne couvre pas votre périmètre, migrez vers un prestataire certifié (OVHcloud, Scaleway, Cegedim, Docaposte, entre autres) avant de déposer votre dossier. Un dossier déposé avec un hébergeur non certifié sera déclaré incomplet, et la procédure devra reprendre intégralement. Délai de migration à anticiper : minimum 2 à 4 semaines selon les prestataires.
Action 2 : Constituer le dossier complet selon l'arrêté du 27 février 2026 et le déposer avec accusé de réception
Rassemblez les quatre blocs de pièces définis par l'arrêté : (1) identification de l'officine et des pharmaciens responsables, (2) descriptif de l'organisation et des locaux dédiés, (3) documentation technique du site avec captures d'écran du questionnaire de santé et des modalités de dispensation, (4) registre de traitement RGPD, certificat HDS de l'hébergeur et attestation de non-sous-traitance signée par le titulaire. Transmettez le dossier par lettre recommandée avec accusé de réception (ou voie électronique sécurisée donnant date certaine) au directeur général de votre ARS. PharmaPex, copilote IA pour titulaires, permet de centraliser la traçabilité numérique de l'officine et de maintenir à jour le registre des traitements de données, deux prérequis directement exploitables dans ce dossier. Dans les 7 jours suivant la réception du récépissé, informez votre conseil de l'Ordre de l'ouverture de l'activité et transmettez copie du récépissé ou de tout document justifiant du dépôt d'un dossier complet et de l'expiration du délai de 21 jours.
Action 3 : Mettre en place une veille sur les modifications substantielles du dossier déclaré
L'arrêté précise les éléments dont la modification ultérieure doit faire l'objet d'une information à l'ARS et à l'Ordre dans les conditions prévues à l'article R. 5125-72 du code de la santé publique. Tenez à jour un journal des modifications, identifiez à l'avance quels éléments de votre dossier sont qualifiés de substantiels par l'arrêté du 27 février 2026, et instaurez un processus de validation interne avant tout changement technique ou organisationnel. Le contrôle a posteriori de l'ARS reste pleinement en vigueur : le passage au régime déclaratif n'exonère pas le titulaire d'un éventuel contrôle de conformité sur pièces ou sur site.