Depuis le 30 avril 2026, ouvrir un site de vente de médicaments sans ordonnance ne nécessite plus d'autorisation préalable de l'Agence régionale de santé (ARS) : une simple déclaration suffit. Cette bascule, issue du décret n° 2026-137 du 27 février 2026, réduit le délai d'instruction de 2 mois à 21 jours, mais elle déplace la responsabilité vers le titulaire, avec un contrôle a posteriori renforcé. Ce que presque aucune communication institutionnelle ne dit : la plupart des contrats de responsabilité civile professionnelle (RC pro) souscrits avant 2026 ne couvrent pas explicitement l'activité de commerce électronique de médicaments, ni les risques spécifiques qui l'accompagnent.
30 avril 2026 : le verrou administratif saute, la responsabilité reste entière
Le chiffre est limpide. Sur les 19 990 officines en activité en France (Ordre national des pharmaciens, panorama 2025), seule une minorité exploite un site de vente en ligne déclaré. Le nouveau régime déclaratif est conçu pour faire levier : là où l'ancien régime d'autorisation imposait jusqu'à deux mois d'attente et un dossier soumis à l'appréciation discrétionnaire de l'ARS, le décret n° 2026-137 ouvre la possibilité d'exercer dès réception du récépissé, délivré sous 21 jours. (Légifrance, JORF du 28 février 2026).
Ce que la simplification ne touche pas : la chaîne de responsabilité. L'exercice de la pharmacie reste personnel. Le titulaire qui dépose une déclaration ARS pour son site internet est responsable de plein droit à l'égard du patient de la bonne exécution des obligations résultant du contrat conclu à distance. La loi d'accélération et de simplification de l'action publique (dite loi ASAP, 2020), à l'origine de la réforme, a allegé la procédure, pas le régime de responsabilité. L'ARS conserve un droit de contrôle a posteriori et peut intervenir en cas de manquement constaté. (Décret n° 2026-137, Légifrance ; avis Autorité de la concurrence n° 24-A-02 du 23 mai 2024).
Le dossier de déclaration préalable est lui-même exigeant. Il doit décrire l'identité des pharmaciens responsables de l'activité de commerce électronique, l'organisation logistique, le site internet, les modalités de livraison et les conditions de vente. Il doit également inclure une copie du registre de traitement des données personnelles conforme au Règlement général sur la protection des données (RGPD) et la certification de l'hébergeur de données de santé (HDS). (Arrêté du 27 février 2026, CNOP, fiche professionnelle mise à jour).
Ce que le dossier ARS désigne sans le dire : le pharmacien responsable en ligne est une cible juridique distincte
Premier angle mort. Le dossier de déclaration identifie nominativement les pharmaciens responsables de l'activité de commerce électronique (art. R. 5125-71 du Code de la santé publique). Ce n'est pas une formalité. C'est une désignation juridique : en cas de sinistre lié au site (erreur de délivrance en ligne, interaction non détectée, produit livré défectueux), le pharmacien nommé dans la déclaration est directement exposé. Si ce pharmacien est un adjoint agissant par délégation écrite du titulaire, les deux portent une responsabilité : le titulaire comme responsable d'ensemble, l'adjoint comme auteur direct de l'acte. (Code de la santé publique, art. L. 5125-33 et R. 5125-70 ; CNOP, fiche vente en ligne).
La question à poser à votre assureur avant de signer la déclaration : « Mon contrat RC pro couvre-t-il explicitement les actes de dispensation réalisés à distance par voie électronique, y compris par délégation à un adjoint ? » La réponse n'est pas toujours oui. Les contrats standards de RC pro officinale couvrent les activités habituelles de l'officine physique. L'acte de délivrance en ligne, qualifié juridiquement de contrat à distance, introduit des obligations nouvelles, notamment la responsabilité de plein droit du vendeur à distance, qui ne figurent pas nécessairement dans les exclusions explicites mais qui ne sont pas non plus couverts par défaut. (Code civil, droit des contrats à distance ; doctrine RC pro officinale).
Trois risques concrets que votre RC pro officinale ne couvre probablement pas
Risque 1 : l'erreur de dispensation en ligne. En officine physique, l'acte de conseil est oral, immédiat, et peut être corrigé sur-le-champ. En ligne, la délivrance est différée, sans contact direct, sans possibilité de questionner le client sur ses antécédents en temps réel. Si un patient reçoit un produit inadapté à sa situation et subit un préjudice, la responsabilité est engagée sur le fondement du contrat à distance : le titulaire est responsable de plein droit de la bonne exécution, sauf à prouver la faute exclusive du consommateur ou un cas de force majeure. (Code de la santé publique, art. L. 5125-34 ; doctrine civiliste, contrat à distance).
Risque 2 : le retrait de lot sur des commandes déjà expédiées. L'Agence nationale de sécurité du médicament et des produits de santé (ANSM) déclenche des rappels de lots plusieurs fois par mois. En officine physique, le produit est en rayon ou au stock : il suffit de le mettre en quarantaine. En vente en ligne, des boîtes du lot rappelé peuvent déjà être en transit ou livrées chez des clients répartis sur tout le territoire national. L'obligation de traçabilité au numéro de lot (entrées et sorties) est obligatoire depuis le 1er janvier 2011 en application de l'article R. 5124-58 du Code de la santé publique. Mais la capacité à rappeler activement un client ayant reçu une commande web, à documenter cette action et à prouver l'effectivité du retrait est une obligation opérationnelle supplémentaire que peu de procédures officinales intègrent encore. (ANSM, traçabilité au numéro de lot ; ONP, recommandation de procédure retraits/rappels de lots, mars 2016).
Risque 3 : les cyberrisques et la violation de données de santé. Le dossier de déclaration ARS exige une certification HDS et la conformité RGPD. Un site marchand officinal traite des données de santé (nature des produits commandés, pathologies implicites). Une violation de données expose le titulaire à une double sanction : une sanction administrative de la Commission nationale de l'informatique et des libertés (CNIL) et une mise en cause civile des patients lésés. La garantie RC pro standard ne couvre pas ce risque : il faut une garantie cyberrisques dédiée, que seule une partie des assureurs propose en complément du contrat officinal. (Arrêté du 27 février 2026, pièce HDS ; RGPD, règlement (UE) 2016/679).
| Risque | Officine physique | Officine en ligne | Couvert par RC pro standard ? |
|---|---|---|---|
| Erreur de dispensation | Conseil oral, correction immédiate possible | Délivrance différée, responsabilité de plein droit | Partiel (acte en officine, pas à distance) |
| Rappel de lot | Stock en rayon, mise en quarantaine locale | Lots en transit ou chez des clients distants | Non (absence de procédure web dans le contrat) |
| Violation de données clients | Fichiers locaux, exposition limitée | Base de données e-commerce, données de santé | Non (garantie cyberrisques distincte) |
| Faute du pharmacien adjoint par délégation | Couverte par RC pro du titulaire | Délégation écrite sur le site : double exposition | A vérifier explicitement dans le contrat |
| Litige livraison (produit endommagé, retard) | Non applicable | Responsabilité du vendeur à distance | Non (RC après livraison rarement incluse) |
| Sources : Code de la santé publique, ANSM, doctrine RC pro officinale, arrêté du 27 février 2026 (Légifrance). | |||
"Ce nouveau cadre juridique vise à favoriser le développement du commerce électronique officinal tout en maintenant un haut niveau de sécurité pour le patient, grâce à un contrôle a posteriori et une responsabilité accrue du pharmacien titulaire."
Ce que vous devez faire, et dans quel ordre
Action 1 : Soumettre la grille des 10 points a votre assureur avant toute déclaration ARS
Avant de déposer votre dossier auprès de l'ARS, envoyez à votre assureur RC pro un questionnaire écrit portant sur les 10 points suivants. Exigez une réponse écrite, opposable, avant de démarrer l'activité en ligne. Les 10 points a vérifier :
1. La délivrance de médicaments par voie électronique est-elle explicitement couverte par mon contrat RC pro ? 2. La délégation écrite à un adjoint pour l'exploitation du site est-elle couverte ? 3. La responsabilité de plein droit du vendeur à distance (contrat à distance, Code civil) est-elle incluse ? 4. Les dommages corporels résultant d'une erreur de dispensation en ligne sont-ils couverts, y compris si la commande a été expédiée hors de mon département ? 5. La procédure de rappel de lots sur commandes déjà expédiées (clients web) est-elle couverte ? 6. Mon contrat inclut-il une garantie RC après livraison pour les produits livrés ? 7. Ai-je une garantie cyberrisques couvrant une violation de données de santé de mes clients en ligne ? 8. Mon hébergeur de données de santé (HDS) est-il couvert en cas de sinistre affectant ma base client ? 9. Ma responsabilité en cas de litige portant sur les données personnelles (RGPD) traitées via le site est-elle couverte ? 10. Existe-t-il une clause d'exclusion liée au commerce électronique dans mon contrat actuel ?
Si votre assureur ne peut répondre à chacun de ces points par écrit sous 15 jours, c'est un signal : votre couverture n'est probablement pas adaptée. Demandez un avenant ou changez de contrat avant de déposer la déclaration ARS.
Action 2 : Mettre a jour votre procedure interne de retrait de lots pour integrer le canal web
L'ONP publie une recommandation de procédure de gestion des retraits et rappels de lots depuis mars 2016. Elle est conçue pour l'officine physique : mise en quarantaine du stock, apposition d'un visa, archivage selon le numéro d'ordre ANSM. Elle ne couvre pas le cas des commandes déjà expédiées à des clients web. Complétez votre procédure interne avec trois éléments : un registre horodaté des commandes web par numéro de lot (export quotidien depuis votre logiciel de gestion ou votre plateforme e-commerce), un modèle de message de rappel client (email + SMS) activable sous 24 heures en cas d'alerte ANSM, et un protocole de retour des produits rappelés avec étiquette prépayée. Ce registre doit être archivé avec les documents de traçabilité selon les recommandations de l'ONP et opposable à tout contrôle ARS. PharmaPex peut vous aider à structurer le suivi documentaire et à centraliser ces données dans un tableau de bord accessible à votre équipe.
Action 3 : Surveiller mensuellement l'etat de votre declaration ARS
Le régime déclaratif n'est pas figé. Toute modification substantielle (changement d'URL, changement de pharmacien responsable désigné, déménagement de l'officine, évolution de l'hébergeur) doit faire l'objet d'une déclaration modificative auprès de l'ARS et d'une information au Conseil régional de l'Ordre des pharmaciens dans un délai fixé par les textes. L'Autorité de la concurrence avait elle-même signalé la lourdeur de cette obligation d'information continue dans son avis n° 24-A-02 du 23 mai 2024. Mettez en place un rappel mensuel pour vérifier que les éléments de votre déclaration sont toujours conformes à la réalité opérationnelle de votre site. L'indicateur a surveiller : toute évolution de votre prestataire logistique, de votre hébergeur ou de la composition de votre équipe délégataire doit déclencher automatiquement une vérification de votre déclaration ARS.