Le décret n° 2026-137 du 27 février 2026 supprime l'autorisation préalable de l'ARS pour la vente en ligne de médicaments et la remplace par une déclaration préalable, avec un délai d'instruction ramené de deux mois à 21 jours, à compter du 30 avril 2026. Le passage en régime déclaratif ne signifie pas un allègement des exigences : le dossier intègre désormais des volets données de santé et une attestation de non-sous-traitance absents de l'ancien formulaire. Les officines mal préparées risquent un avis d'incomplétude qui les oblige à tout reprendre depuis le début.
21 jours au lieu de deux mois : ce que cache ce chiffre
Depuis 2013, ouvrir un site de vente de médicaments en ligne nécessitait une autorisation explicite du directeur général de l'ARS dont dépend l'officine. En l'absence de réponse dans un délai de deux mois, l'autorisation était réputée acquise. Ce régime disparaît le 30 avril 2026 au profit d'une déclaration préalable adressée par tout moyen donnant date certaine à sa réception.
La mécanique est désormais la suivante. L'ARS dispose de 21 jours pour vérifier si le dossier est complet. Si elle constate un manque, elle notifie le déclarant qui dispose alors de 15 jours supplémentaires pour transmettre les pièces manquantes. L'ARS adresse ensuite soit un récépissé (dossier complet), soit un avis d'incomplétude si le dossier demeure insuffisant, auquel cas la procédure repart à zéro. L'activité peut démarrer dès l'expiration du délai de 21 jours sans avis négatif. La rapidité apparente repose donc entièrement sur la qualité du dossier initial.
Un délai s'ajoute côté Ordre. Une fois l'activité lancée, le pharmacien doit informer son conseil régional de l'ordre des pharmaciens dans un délai de 7 jours, contre 15 jours auparavant, en lui transmettant une copie du récépissé ou tout justificatif de dépôt de dossier complet.
Les quatre blocs du dossier, et le piège sur les données
L'arrêté du 27 février 2026 fixe le contenu exact du dossier en annexe opérationnelle. Trois familles de pièces structurent le dossier : identification et responsabilité professionnelle, organisation officinale de la dispensation à distance, conformité du site et protection des données.
Bloc 1, Informations administratives. Copie de la licence d'officine, identité des pharmaciens responsables de l'activité en ligne, coordonnées complètes de l'officine. Ces éléments sont identiques à ceux de l'ancien régime d'autorisation.
Bloc 2, Organisation de la dispensation. Descriptif précis du local ou de la zone dédiée à la préparation des commandes, modalités de stockage et d'expédition des médicaments. L'activité de commerce électronique doit physiquement s'exercer depuis l'officine autorisée.
Bloc 3, Site internet et modalités de vente. Description détaillée de l'architecture du site, présentation des médicaments (classement par catégorie d'indication, photos conformes, prix affichés sans artifice de mise en valeur), fonctionnalités et parcours d'achat. L'affichage du logo commun européen sur toutes les pages reste obligatoire.
Bloc 4, Données personnelles et questionnaire de santé. C'est le bloc le plus nouveau et le plus piégeux. Le pharmacien doit décrire les conditions de création et de sécurisation du compte patient, le fonctionnement du questionnaire de santé, et l'information délivrée au patient sur le traitement de ses données et ses droits. La collecte de données de santé dans ce contexte est soumise au RGPD et, si les données sont hébergées par un prestataire externe, à l'obligation de recourir à un hébergeur certifié HDS (Hébergeur de Données de Santé) conformément au décret n° 2018-137 du 26 février 2018.
À ce bloc s'ajoute une pièce inédite : le pharmacien doit attester sur l'honneur de la non-sous-traitance de l'administration du site à une entité extérieure à la pharmacie. La conception et la maintenance technique restent autorisables à un tiers, mais la gestion des contenus, catalogue, fiches produits, questionnaire de santé, doit rester sous le contrôle direct du titulaire ou d'un pharmacien de l'officine.
| Critère | Avant le 30 avril 2026 | À partir du 30 avril 2026 |
|---|---|---|
| Nature de la procédure | Autorisation préalable du DG de l'ARS | Déclaration préalable auprès du DG de l'ARS |
| Délai d'instruction | 2 mois (silence valait autorisation tacite) | 21 jours (silence après récépissé = feu vert) |
| Information de l'Ordre | Dans les 15 jours suivant l'autorisation | Dans les 7 jours suivant le lancement de l'activité |
| Dossier données personnelles | Non exigé formellement | Obligatoire : compte patient, questionnaire santé, droits RGPD |
| Attestation non-sous-traitance | Non exigée | Obligatoire sur l'honneur (gestion des contenus) |
| Modifications substantielles | Déclaration sans délai au DG ARS et au CROP | Information ARS et Ordre « par tout moyen permettant d'en accuser réception » |
| Suspension ou cessation | Information sans délai | Information dans les 7 jours |
| Sources : Décret n° 2026-137 du 27 février 2026 ; Arrêté du 27 février 2026 (J.O. du 28 février 2026) ; Le Moniteur des Pharmacies, 2 mars 2026 | ||
Ce que le régime déclaratif ne supprime pas
Le régime déclaratif ne modifie ni le périmètre autorisé, ni les sanctions possibles. La vente en ligne de médicaments reste strictement limitée aux médicaments non soumis à prescription obligatoire. Un site de vente officinal ne peut être autorisé que s'il est adossé à une officine physique disposant d'une licence ARS en cours de validité. La cessation d'activité de l'officine entraîne automatiquement la fermeture du site.
Le contrôle a posteriori est maintenu. En cas de manquement aux règles applicables, le directeur général de l'ARS conserve le pouvoir de prononcer la fermeture temporaire du site pour une durée maximale de cinq mois, d'infliger une amende administrative et une astreinte journalière. Une nouvelle fermeture peut être décidée si l'officine ne s'est pas mise en conformité à l'issue des cinq mois. La responsabilité entière de l'activité en ligne pèse sur le pharmacien titulaire.
Le décret du 24 mars 2026 relatif à l'hébergement de données de santé ajoute une couche supplémentaire : il impose désormais une localisation des données au sein de l'Union européenne et renforce les obligations contractuelles envers les hébergeurs. Les pharmaciens disposent d'un délai jusqu'au 26 septembre 2026 pour s'assurer de la conformité de leurs prestataires numériques.
« Le commerce électronique du médicament demeure autorisé en France. Mais à compter du 30 avril 2026, il s'inscrit dans un cadre déclaratif plus rapide, sans pour autant être moins exigeant. »
Ce que vous devez faire, et dans quel ordre
Action 1 : Constituez votre dossier dès maintenant (avant le 9 avril 2026)
Rassemblez les quatre blocs documentaires exigés par l'arrêté du 27 février 2026 : (1) pièces administratives de l'officine et identité des pharmaciens responsables ; (2) descriptif des locaux dédiés et organisation de la dispensation ; (3) description du site, présentation des médicaments, parcours d'achat ; (4) politique de données patients, fonctionnement du questionnaire de santé, mention d'information RGPD. Rédigez l'attestation sur l'honneur de non-sous-traitance de la gestion des contenus. Adressez le dossier complet à votre ARS de rattachement par lettre recommandée avec accusé de réception ou via le portail dématérialisé si disponible, afin de donner date certaine à la réception. Un envoi avec au moins 30 jours d'avance sur la date de lancement souhaitée vous protège contre un avis d'incomplétude qui nécessiterait 15 jours de correction puis un nouveau délai de 21 jours. PharmaPex peut vous accompagner dans la structuration et la vérification du volet données de santé et conformité RGPD de votre dossier.
Action 2 : Vérifiez votre hébergeur de données de santé avant le 26 septembre 2026
Si votre site e-commerce est hébergé par un prestataire externe, celui-ci doit être certifié HDS (Hébergeur de Données de Santé) conformément au décret n° 2018-137 du 26 février 2018. Le nouveau décret du 24 mars 2026 impose en outre une localisation des données au sein de l'Union européenne. Consultez la liste des hébergeurs certifiés publiée par l'Agence du Numérique en Santé (ANS) sur esante.gouv.fr. Demandez à votre prestataire un justificatif de certification HDS et vérifiez que son contrat mentionne explicitement la localisation des serveurs en UE. La date limite de mise en conformité est fixée au 26 septembre 2026.
Action 3 : Surveillez vos modifications substantielles après lancement
Toute modification substantielle des éléments de la déclaration préalable, changement de pharmacien responsable de l'activité en ligne, modification de l'architecture du site, évolution du questionnaire de santé ou du prestataire d'hébergement, doit être signalée à l'ARS et à l'Ordre des pharmaciens « par tout moyen permettant d'en accuser réception ». En cas de suspension ou de cessation d'activité, le délai de notification est de 7 jours. Maintenez un registre interne des modifications du site et désignez un responsable en officine chargé de cette veille, en particulier pour les multi-officines dont chaque site constitue une déclaration distincte.