Critère impératif2.2.7
La confidentialité des informations et des données.
Ce que l'évaluateur HAS vérifie, les questions qu'il peut vous poser, et comment vous y préparer.
Ce que dit le manuel HAS
« L’ESSMS garantit la confidentialité et la protection des informations et données relatives à la personne accompagnée. »
Objectif 2.2 : Les professionnels favorisent l’exercice des droits fondamentaux et des libertés individuelles de la personne accompagnée.
Entretien avec l’ESSMS
- L’ESSMS définit l’organisation et les pratiques qui garantissent la confidentialité et la protection des informations et données relatives à la personne accompagnée.
- L’ESSMS met à disposition des moyens et des outils permettant la mise en œuvre de ces pratiques.
- L’ESSMS forme/sensibilise les professionnels au respect des règles de confidentialité et de protection des informations et données relatives à la personne accompagnée.
Consultation documentaire
- Projet d’établissement/de service.
- Règlement de fonctionnement.
- Plan de formation/programme de sensibilisation des professionnels
Observation
- Observation des pratiques professionnelles, des règles de confidentialité et de protection des données.
Références légales et réglementaires
- Article L311-3 CASF
- Article L226-2-2 du CASF
- Article L1110-4 du Code de la santé publique
- Article 226-13 du Code pénal
- Article 5 du Règlement général de la protection des données (RGPD)
Autres références
- Rapport "La vie privée : un droit pour l'enfant", Défenseur des droits, 2022.
- Référentiel relatif aux traitements de données à caractère personnel mis en oeuvre dans le cadre de la protection de l'enfance et des jeunes majeurs de moins de vingt-et-un ans, CNIL, 2022
- Référentiel relatif aux traitements de données à caractère personnel mis en oeuvre dans le cadre de l'accueil, l'hébergement et l'accompagnement social et médico-social des personnes âgées, des personnes en situation de handicap et de celles en difficulté, CNIL, 2021.
- Les informations à caractère personnel concernant les personnes accompagnées : des données à protéger et parfois à partager, HCTS/CED, 2017.
- Le partage d'informations à caractère personnel dans le champ de l'aide à domicile personnes âgées, personnes handicapées, HCTS/CED, 2017.
Source : HAS, Manuel d'évaluation de la qualité des établissements et services sociaux et médico-sociaux, actualisé le 8 juillet 2025, page 85, has-sante.fr. Reproduit sans modification.
Ce que l'évaluateur va chercher
Questions et conseils proposés par Veriane, outil indépendant de la HAS, non validés par elle.
Ce critère regarde si la structure organise la confidentialité des informations, donne les outils pour la garantir et sensibilise les professionnels ; l'évaluateur peut aussi observer les pratiques sur place.
Les questions qu'il risque de vous poser
« Comment avez-vous organisé la confidentialité des informations ? »
« Quels moyens et outils mettez-vous à disposition ? »
« Comment formez-vous ou sensibilisez-vous les professionnels ? »
Les pièges à éviter
1Une organisation qui n'est écrite nulle part
Le manuel cite le projet de service, le règlement de fonctionnement et le plan de formation ou de sensibilisation (p. 85). Une procédure de protection des données et le registre RGPD (exigé par l'article 30 du RGPD, pas par la HAS) appuient bien votre réponse.
2Des pratiques visibles dans vos locaux
L'évaluateur peut aussi observer sur place : écrans visibles, dossiers en libre accès, conversations entendues.
Pour vous préparer, par où commencer
Formaliser la procédure et le registre
Une procédure de protection des données personnelles et un registre des traitements RGPD tenu à jour.
Donner les outils
Logiciel à accès sécurisés, dossiers rangés à l'abri des regards, règles de partage d'informations.
Sensibiliser chaque année
Un support présenté en réunion, un compte rendu conservé, et un engagement de confidentialité signé par chaque salarié.
Faire connaître les règles concrètes
Ne rien divulguer devant des tiers, ne pas laisser traîner de documents nominatifs, sécuriser les échanges.
Les preuves à préparer
- Procédure de protection des données et de confidentialité
- Registre des traitements RGPD tenu à jour (obligation RGPD)
- Support de sensibilisation à la confidentialité et compte rendu de la réunion de présentation
- Engagement de confidentialité ou engagement qualité signé par chaque salarié
- Plan de formation ou programme de sensibilisation des professionnels
- Règlement de fonctionnement abordant la protection des données
Une réponse possible, le jour de l'évaluation
La direction, en entretien
« La protection des données est organisée par une procédure dédiée et un registre RGPD tenu à jour. Les accès au logiciel métier sont individuels et limités selon les fonctions, les dossiers papier sont rangés dans des armoires fermées. Chaque salarié est sensibilisé dès son intégration puis chaque année en réunion, et signe un engagement de confidentialité. Au domicile, les intervenants ne divulguent aucune information devant des tiers. »
Dans Veriane
Quatre gestes pour le préparer.
Décrire votre organisation de la confidentialité dans le document Droits et confidentialité
DocumentsRenseigner la section « outils numériques et protection des données » du projet de service
DocumentsRenseigner la section sur la confidentialité du règlement de fonctionnement
DocumentsDécrire votre organisation de la confidentialité dans le document « Sécurisation des données, des dossiers et des accès »
Documents
À lire aussi
Critère impératif 2.2.6
L'exercice des droits et libertés
Lire : L'exercice des droits et libertésGuide gratuit · PDF
Les 18 critères impératifs, en un seul document
Où en est votre structure sur les 18 ?
Votre note A à D en avant-première, en deux minutes.