Ce qu’il faut démontrer
Les informations des résidents ne sont recueillies, consultées et partagées que pour un besoin défini d’accompagnement, avec des accès maîtrisés et des équipes formées.
Méthode : Entretien ESSMS, documents et observation, dans le cadre du traceur ciblé (voir la méthode en EHPAD).
Les mesures à mettre en place dans l’EHPAD
- Décrire dans le projet d’établissement et une procédure « Confidentialité et protection des données des résidents » qui accède au dossier médical, au dossier d’accompagnement, aux transmissions et aux informations administratives selon sa fonction.
- Configurer des comptes individuels et des droits par métier dans le dossier informatisé ; retirer les accès d’un salarié qui quitte l’EHPAD, verrouiller les postes partagés et protéger les dossiers papier dans des armoires ou locaux fermés.
- Tenir un registre des traitements de données pertinents et remettre au résident une information claire sur l’usage de ses données, ses destinataires et l’exercice de ses droits ; ne collecter que les données nécessaires selon le référentiel CNIL pour le suivi médico-social.
- Définir pour les échanges avec médecin traitant, hôpital, pharmacie et proche ce qui est strictement nécessaire, qui peut le transmettre et sur quel canal sécurisé ; vérifier le consentement lorsque le partage a lieu hors de la même équipe de soins selon L. 1110-4.
- Former et sensibiliser salariés, remplaçants et intervenants concernés à des situations EHPAD concrètes : transmissions à voix haute, dossier ouvert à l’accueil, photo envoyée sur messagerie personnelle et demande d’information d’un proche ; conserver programme, support et émargements.
Les éléments d’évaluation et les preuves à rechercher
EE 1 · Entretien essms
L’ESSMS définit l’organisation et les pratiques qui garantissent la confidentialité et la protection des informations et données relatives à la personne accompagnée.
- Le projet d’établissement, le règlement et la procédure locale indiquent les rôles, les destinataires autorisés et les règles de partage nécessaires à l’accompagnement.
- La direction explique sur un cas type ce que l’IDE, l’agent hôtelier et l’accueil peuvent voir ou transmettre du dossier d’un résident.
- Le registre des traitements et l’information remise aux résidents décrivent les usages réels des données et la façon d’exercer leurs droits.
- La règle de partage avec un professionnel extérieur distingue la même équipe de soins d’un partage hors équipe, conformément à L. 1110-4.
EE 2 · Entretien essms
L’ESSMS met à disposition des moyens et des outils permettant la mise en œuvre de ces pratiques.
- Un échantillon de profils de comptes montre des habilitations adaptées aux fonctions et la suppression ou désactivation des accès des personnes parties.
- Les dossiers papier et les écrans ne sont pas accessibles au public ; les postes partagés sont verrouillés lorsque l’utilisateur s’éloigne.
- Les transmissions externes utilisent le canal défini par l’EHPAD pour les données sensibles, sans messagerie personnelle ou copie sans nécessité.
- Un incident d’accès ou d’envoi erroné peut être signalé au responsable désigné et traité selon la procédure interne.
EE 3 · Entretien essms
L’ESSMS forme/sensibilise les professionnels au respect des règles de confidentialité et de protection des informations et données relatives à la personne accompagnée.
- Le programme de sensibilisation et les émargements montrent quels métiers, nouveaux arrivants et remplaçants ont reçu les règles utiles.
- Les supports traitent des scènes de l’EHPAD : conversation dans le couloir, écran ouvert, appel d’un proche, photo d’activité et transmission à l’hôpital.
- Un professionnel sait quelle information il peut partager selon son rôle et vers qui orienter une demande d’accès au dossier.
- Une mise à jour de procédure ou un incident a donné lieu, si nécessaire, à un rappel ciblé auprès des équipes concernées.
- L’observation des bureaux et des transmissions concorde avec ce que les professionnels disent avoir appris.
Ce que change le statut de critère impératif
Un critère impératif ne peut pas être coté non concerné. Une cotation 1, 2 ou 3 entraîne un formulaire « critère impératif » et l’élaboration d’un plan d’action spécifique, transmis à l’autorité compétente avec le rapport d’évaluation (fiches pratiques 7 et 8 du manuel HAS).
Sources : HAS, manuel ESSMS, juillet 2025, p. 85 ; CNIL, référentiel accueil, hébergement et accompagnement social et médico-social, 2021 ; CASF, L. 311-3 ; CSP, L. 1110-4 ; RGPD, art. 5.