Article R6113-5-1 of the French Public Health Code

I.-The statutory auditor will only receive, through the intermediary of a doctor acting under his responsibility as an expert, the personal data mentioned in article R. 6113-1 which are necessary to verify, by sampling on the basis of relevant samples of files, the reliability and traceability of the data used to calculate the establishment’s revenue.

II.-The doctor referred to in I who is called upon by the statutory auditor must:

1° Exercise or have exercised functions within a department responsible for medical information in another establishment;

2° Present all the guarantees of competence, independence and impartiality required for the exercise of the missions entrusted to him by this article.

The compensation due and the terms and conditions for carrying out his mission are set out in an agreement with the statutory auditor.

III.-Prior to any communication of data, the statutory auditor shall define:

1° The scope and objectives of the certification assignment justifying the communication of the personal data referred to in Article R. 6113-1;

2° The timeframe for the completion of this assignment;

3° The categories of data necessary for its completion.

IV.-After the doctor referred to in I has verified that the categories of data requested do not exceed the scope of those strictly necessary for the performance of the certification task, the statutory auditor will notify the head of the institution of the information referred to in III.

V.-The director of the institution shall individually and specifically authorise the doctor referred to in I to access the data referred to in 3° of III.

The director of the institution may refer to the doctor referred to in I, at any time, any request for information relating to the data requested.

VI.-Only the doctor mentioned in I may have direct access to the data processed by the health care institution, for consultation only and without the possibility of creating or modifying it.

Before providing the statutory auditor with the data necessary for the performance of his duties, the doctor mentioned in I shall proceed to pseudonymise it by deleting, in particular, the data mentioned in 1° of Article R. 6113-1 relating to the persons concerned and shall communicate it to the statutory auditor under secure conditions.

Any additional data shall be communicated under the same conditions.

VII -At the end of the certification mission, the establishment director terminates the access authorisation of the doctor mentioned in I. The doctor must delete, under secure conditions, any data sent to the statutory auditor as part of the audit.

Original in French 🇫🇷

Article R6113-5-1

I.-Le commissaire aux comptes ne reçoit communication, par l’intermédiaire d’un médecin agissant sous sa responsabilité à titre d’expert, que des seules données à caractère personnel mentionnées à l’article R. 6113-1 qui sont nécessaires à la vérification, par sondage sur la base d’échantillons pertinents de dossiers, de la fiabilité et de la traçabilité des données utilisées pour le calcul des recettes de l’établissement.

II.-Le médecin mentionné au I à qui le commissaire aux comptes fait appel doit :

1° Exercer ou avoir exercé des fonctions au sein d’un service chargé de l’information médicale dans un autre établissement ;

2° Présenter toutes les garanties de compétence, d’indépendance et d’impartialité requises pour l’exercice des missions qui lui sont confiées par le présent article.

Les indemnités dues et les modalités de réalisation de sa mission sont fixées par convention avec le commissaire aux comptes.

III.-Préalablement à toute communication de données, le commissaire aux comptes définit :

1° Le périmètre et les objectifs de la mission de certification justifiant la communication de données à caractère personnel mentionnées à l’article R. 6113-1 ;

2° Le délai de la réalisation de cette mission ;

3° Les catégories de données nécessaires à son accomplissement.

IV.-Après que le médecin mentionné au I a vérifié que les catégories de données dont la communication est demandée n’excèdent pas le champ de celles qui sont strictement nécessaires à l’exercice de la mission de certification, le commissaire aux comptes notifie au directeur d’établissement les éléments mentionnés au III.

V.-Le directeur d’établissement habilite individuellement et spécialement le médecin mentionné au I à accéder aux données mentionnées au 3° du III.

Le directeur d’établissement peut saisir le médecin mentionné au I, à tout moment, de toute demande d’information relative aux données sollicitées.

VI.-Seul le médecin mentionné au I peut accéder directement aux données traitées par l’établissement de santé, pour consultation uniquement et sans possibilité de création ou de modification.

Avant de mettre à disposition du commissaire aux comptes les données nécessaires à l’exercice de sa mission, le médecin mentionné au I procède à leur pseudonymisation en supprimant en particulier les données mentionnées au 1° de l’article R. 6113-1 relatives aux personnes concernées et les communique au commissaire aux comptes dans des conditions sécurisées.

La communication de toute donnée complémentaire est réalisée dans les mêmes conditions.

VII.-A l’issue de la mission de certification, le directeur d’établissement met fin à l’habilitation d’accès du médecin mentionné au I. Ce dernier efface, dans des conditions sécurisées, toute donnée transmise au commissaire aux comptes dans le cadre de sa mission.