On crée son compte Laboconnect en quelques minutes à l’accueil du laboratoire, on reçoit un lien par e-mail, on choisit un mot de passe, et on accède à ses résultats d’analyses. La procédure est rodée. Ce qui l’est beaucoup moins, c’est la visibilité sur ce que deviennent ces données de santé une fois stockées sur la plateforme. Laboconnect et confidentialité sont deux sujets rarement abordés ensemble par les laboratoires, et les lacunes d’information sont concrètes.
Cookies Laboconnect : ce qui se déclenche avant même la connexion
Avant d’entrer un identifiant, le navigateur charge déjà plusieurs cookies. La page « Vie privée » de Laboconnect en liste trois catégories : un cookie de session (JSESSIONID), un cookie persistant sur tout le domaine (PERSISTID) et un cookie enregistrant le choix d’acceptation des cookies analytiques (LCAcceptCookieAna, conservé six mois).
A découvrir également : Magasins de CBD à Gap : top 5 des boutiques à ne pas manquer
Les deux premiers sont classés « nécessaires » et ne requièrent pas de consentement. Leur durée de vie est liée à la session utilisateur. Le troisième sert à ne plus afficher la bannière de consentement pendant six mois. Jusque-là, rien d’anormal.
Le problème commence avec la mention de « cookies tiers » dans le texte de la bannière. Laboconnect mentionne des cookies tiers sans les identifier nommément. On ne sait pas quel service externe les dépose, ni quelle donnée transite. Pour une plateforme qui héberge des résultats d’analyses médicales, ce flou est difficile à justifier.
A voir aussi : Aliment en i : liste des aliments commençant par i que vous ne connaissez pas
Durée de conservation des résultats sur Laboconnect
On a beau chercher dans les notices d’utilisation publiées par les laboratoires ou dans la documentation officielle Dedalus (l’éditeur de Laboconnect), une information manque systématiquement : aucune durée de conservation des comptes et résultats n’est communiquée aux patients.
Le droit français et le RGPD imposent pourtant que toute conservation de données de santé soit limitée dans le temps, proportionnée à la finalité du traitement et clairement portée à la connaissance de la personne concernée. La CNIL rappelle régulièrement ce principe pour les traitements de données sensibles.
Ce que ça change pour le patient
Sans politique de purge ou d’archivage visible, on ne peut pas répondre à des questions simples :
- Un compte inactif depuis plusieurs années est-il supprimé automatiquement, ou les données restent-elles indéfiniment sur les serveurs ?
- Les résultats d’analyses sont-ils archivés dans un système distinct après un certain délai, avec des conditions d’accès différentes ?
- En cas de décès du titulaire du compte, qui peut demander la suppression et selon quelle procédure ?
Ces questions ne relèvent pas de la curiosité. Elles touchent aux droits fondamentaux des patients sur leurs données de santé, et le silence de Laboconnect sur ces points constitue un manque de transparence au regard des exigences réglementaires actuelles.
Hébergement des données de santé : où sont stockés vos résultats ?
La documentation Laboconnect accessible en ligne se concentre sur la création de compte, la réinitialisation de mot de passe et la consultation des résultats. La localisation physique des serveurs hébergeant les données n’est jamais précisée.
C’est un angle mort significatif. Le RGPD exige que tout transfert de données personnelles vers un pays situé hors de l’Union européenne soit encadré par des garanties spécifiques (décision d’adéquation, clauses contractuelles types) et porté à la connaissance de la personne concernée.
Pour des données de santé, les exigences sont encore plus strictes. L’hébergeur doit être certifié HDS (Hébergeur de Données de Santé) en France. On ne sait pas, à la lecture des contenus publics de Laboconnect, si les résultats transitent par des prestataires techniques situés hors de l’UE pour l’envoi d’e-mails, l’hébergement cloud ou d’autres fonctions annexes.
Un réflexe à avoir
Quand on s’inscrit sur Laboconnect, on peut demander directement au laboratoire où sont hébergées les données et si des sous-traitants hors UE interviennent. Le laboratoire est le responsable de traitement au sens du RGPD. Il est tenu de répondre.
Compte partagé Laboconnect et confidentialité familiale
Plusieurs laboratoires du réseau Inovie documentent une situation fréquente : un même compte Laboconnect partagé entre plusieurs membres d’une famille via une seule adresse e-mail. Concrètement, si un couple ou un parent et un enfant majeur utilisent le même e-mail, tous les résultats d’analyses apparaissent dans le même espace.
La procédure de séparation existe mais reste peu connue. Elle nécessite de prévenir la secrétaire à l’accueil, de créer un nouveau compte sur laboconnect.com, puis d’appeler le laboratoire pour effectuer le transfert de dossier via un code d’activation.
Le risque concret
Tant que la séparation n’est pas faite, n’importe quel titulaire du compte accède aux résultats de l’autre. Pour des analyses sensibles (sérologies, bilans hormonaux, marqueurs spécifiques), la confidentialité entre membres d’un même foyer n’est pas garantie. Les retours varient sur ce point selon les laboratoires, certains alertant les patients dès l’accueil, d’autres ne mentionnant pas le sujet.
Droits des patients : les demandes que Laboconnect ne facilite pas
Le RGPD accorde à chaque personne un droit d’accès, de rectification, de suppression et de portabilité de ses données. En pratique, Laboconnect ne propose aucun bouton ou formulaire dédié à l’exercice de ces droits depuis l’interface patient.
- Pour demander la suppression de son compte, il faut contacter le laboratoire par téléphone ou sur place, sans procédure en ligne documentée.
- Pour obtenir une copie de l’ensemble de ses données au format exploitable (portabilité), aucune fonction d’export n’est visible dans les guides utilisateur.
- Pour savoir quelles données ont été consultées et par qui (traçabilité des accès), rien n’est accessible côté patient.
L’absence d’outils en libre-service pour exercer ses droits RGPD oblige le patient à passer systématiquement par le laboratoire. Ce n’est pas illégal, mais c’est un frein réel à l’exercice de ces droits, surtout quand on ne connaît pas la marche à suivre.
La confidentialité sur Laboconnect repose aujourd’hui davantage sur la confiance accordée au laboratoire que sur des mécanismes vérifiables par le patient. Cookies tiers non identifiés, durée de conservation absente des documents publics, localisation des serveurs non communiquée, comptes familiaux partagés par défaut, droits RGPD sans interface dédiée : chaque point pris isolément semble mineur, mais leur accumulation dessine un déficit de transparence que les patients ont le droit de questionner auprès de leur laboratoire.
