Article R6113-9-1 of the French Public Health Code

When a health care institution uses an external service provider mentioned in 4° of the I of article R. 6113-5 to implement the activities mentioned in this chapter, this service provider may not retain the data made available by the institution beyond the period strictly necessary for the activities entrusted to it as set out in the contract mentioned in the I of article R. 6113-5-2. At the end of this period, the service provider must delete the data under secure conditions and provide proof of this to the doctor responsible for medical information.

The statutory auditor, in the context of his legal mission to certify the accounts of health care institutions, may not keep the data made available, through the intermediary of the doctor mentioned in I of article R. 6113-5-1, by an institution beyond the period strictly necessary for the annual certification of the accounts. The certification report provided for in Article R. 6145-61-5 does not include any personal data processed as part of this task.

Original in French 🇫🇷

Article R6113-9-1

Lorsqu’un établissement de santé recourt à un prestataire extérieur mentionné au 4° du I de l’article R. 6113-5 pour la mise en œuvre des activités mentionnées au présent chapitre, ce prestataire ne peut conserver les données mises à disposition par l’établissement au-delà de la durée strictement nécessaire aux activités qui lui ont été confiées prévue par le contrat mentionné au I de l’article R. 6113-5-2. A l’issue de cette durée, le prestataire procède à l’effacement des données dans des conditions sécurisées et en apporte la preuve auprès du médecin responsable de l’information médicale.

Le commissaire aux comptes dans le cadre de sa mission légale de certification des comptes des établissements de santé ne peut conserver les données mises à disposition, par l’intermédiaire du médecin mentionné au I de l’article R. 6113-5-1, par un établissement au-delà de la durée strictement nécessaire à la certification annuelle des comptes. Le rapport de certification prévu à l’article R. 6145-61-5 ne comporte aucune donnée à caractère personnel traitée dans le cadre de cette mission.