Fuite Opsysweb : ce que les opticiens doivent faire

Le 14 novembre 2026, un pirate qui signe ChimeraZ a mis en libre téléchargement, sur un forum cybercriminel, un fichier de 18,3 Go présenté comme un export d’Opsysweb, la plateforme d’Essilor par laquelle les opticiens commandent leurs verres. Optical Center, Afflelou, Krys, Atol et Optic 2000 apparaissent dans les données. Rien n’est confirmé à ce jour. Les magasins ont pourtant de quoi s’occuper dès cette semaine, sans attendre un communiqué du verrier.

Ce que contiendrait le fichier

D’après frenchbreaches.com, le fichier compterait 4 317 268 commandes, près de 1,96 million d’enregistrements avec nom et prénom, 922 304 commentaires de commande et environ 26 300 références de centres optiques. Fuites Infos situe ces commandes entre le 17 août et le 31 octobre 2026 et estime le nombre de porteurs à 1,9 million, dont 1,4 million environ rattachés aux espaces français de la plateforme.

Chaque commande associerait le nom du porteur, le magasin, le type de verre (unifocal, progressif, avec prisme), les matériaux, les traitements et des références de prescription. Les deux sites ne signalent ni adresse, ni téléphone, ni courriel, ni numéro de sécurité sociale.

Essilor ne s’est pas exprimé publiquement à ce stade. Une revendication jugée crédible par les sites spécialisés reste une revendication tant que le verrier ne l’a pas confirmée.

Opsysweb, un outil du verrier relié au logiciel du magasin

Opsysweb appartient à Essilor. Le logiciel de gestion du magasin y envoie le dossier du client : porteur, corrections, écarts, hauteurs, verres choisis. L’opticien affine sa commande sur la plateforme puis la transmet à l’usine. Certains dossiers peuvent aussi rester enregistrés sur Opsysweb sans être commandés.

Ce détail compte pour la suite, car il détermine le rôle que le verrier joue vis-à-vis de l’opticien au regard du RGPD.

Une commande de verres renseigne sur la vue

Un verre progressif signale une presbytie. Un prisme évoque un trouble de la vision binoculaire, et une référence de prescription renvoie à une ordonnance. La Cour de justice de l’Union européenne lit largement la notion de donnée de santé : dans son arrêt Lindenapotheke du 4 octobre 2024 (C-21/23), elle a jugé que les informations saisies lors d’une commande de médicaments en ligne en faisaient partie, même sans certitude sur la personne qui les utilisera. Une commande de verres nominative suit la même logique. Pour un opticien, ces données relèvent de l’article 9 du RGPD et appellent le niveau de sécurité qui va avec.

Le magasin reste responsable de son fichier client

Chaque magasin, franchisé ou intégré, est responsable du traitement de son fichier client et des données qu’il décide d’envoyer à ses fournisseurs. La position du verrier est moins simple. Quand Essilor fabrique, facture et assure la traçabilité des verres, qui sont des dispositifs médicaux, il poursuit ses propres finalités : il agit alors en responsable distinct. Quand la plateforme conserve des dossiers pour le compte de l’opticien, on peut soutenir qu’il est sous-traitant. Seul le contrat permet de trancher.

Dans un réseau, la tête de réseau peut aussi avoir un rôle, par exemple si elle a négocié l’accès à Opsysweb pour tous les magasins ou si elle gère les comptes de façon centralisée. Un franchisé doit savoir qui a signé quoi, et en son nom ou non.

Retrouver le contrat qui vous lie à Opsysweb

Le document peut prendre plusieurs formes : conditions d’utilisation acceptées en ligne lors de l’ouverture du compte, accord commercial avec le verrier, contrat cadre signé par l’enseigne. Cherchez-y le rôle attribué à Essilor (sous-traitant au sens de l’article 28 ou responsable distinct), le délai d’alerte en cas de violation, les lieux d’hébergement et la liste des sous-traitants ultérieurs. Un contrat muet sur la protection des données est un écart à corriger, qu’il y ait un incident ou non.

Demander à Essilor une réponse écrite

Adressez votre demande par courriel au support ou à votre commercial, et gardez-en une copie. Demandez si l’incident est confirmé, quelle période et quelles données sont touchées, si des commandes de votre magasin en font partie, quel rôle Essilor s’attribue vis-à-vis de vous, quelles mesures il a prises et s’il a lui-même notifié la CNIL. Une réponse donnée au téléphone ne laissera aucune trace dans votre dossier.

Décider sous 72 heures et garder une trace de la décision

Le délai de l’article 33 court à partir du moment où le responsable a une certitude raisonnable qu’une violation touche ses données (lignes directrices 9/2022 du CEPD). Un article de presse sur une revendication ouvre une courte période de vérification, mais ne lance pas le décompte à lui seul. Le décompte démarre au plus tard quand Essilor confirme que des commandes de votre magasin sont concernées.

Si Essilor est votre sous-traitant, la notification à la CNIL vous revient. S’il est responsable distinct, il notifie pour son compte, et vous documentez votre analyse. Dans tous les cas, inscrivez l’événement, les faits connus et votre décision dans votre registre des violations (article 33, paragraphe 5), y compris si vous concluez qu’il n’y a pas lieu de notifier.

Le fichier ne contiendrait aucune coordonnée, mais un fraudeur qui le croise avec une autre fuite peut écrire au client en citant un équipement qu’il a vraiment commandé. Un message de vigilance à vos clients peut donc se justifier : votre magasin ne leur demandera jamais de régler des frais de commande par un lien reçu par SMS.

Changer les accès du magasin

Profitez-en pour changer le mot de passe du compte Opsysweb, supprimer les accès des anciens salariés, arrêter les identifiants partagés entre collaborateurs et activer la double authentification si la plateforme la propose. Ces gestes ne coûtent rien et prennent une demi-heure.

Sources

• French Breaches, « Piratage présumé d’Opsysweb, logiciel d’optique, plus de 4 millions de commandes diffusées », 14 novembre 2026
• Fuites Infos, « Essilor : fuite revendiquée visant 1,9 million de porteurs de lunettes », 14 novembre 2026
• MyEasyOptic, manuel de mise en route de l’interface Opsysweb
• CJUE, 4 octobre 2024, Lindenapotheke, C-21/23
• CEPD, lignes directrices 9/2022 sur la notification des violations de données personnelles
• RGPD, articles 9, 28, 33 et 34

Questions fréquentes