I.-Le commissaire aux comptes ne reçoit communication, par l'intermédiaire d'un médecin agissant sous sa responsabilité à titre d'expert, que des seules données à caractère personnel mentionnées à l'article R. 6113-1 qui sont nécessaires à la vérification, par sondage sur la base d'échantillons pertinents de dossiers, de la fiabilité et de la traçabilité des données utilisées pour le calcul des recettes de l'établissement.

II.-Le médecin mentionné au I à qui le commissaire aux comptes fait appel doit :

1° Exercer ou avoir exercé des fonctions au sein d'un service chargé de l'information médicale dans un autre établissement ;

2° Présenter toutes les garanties de compétence, d'indépendance et d'impartialité requises pour l'exercice des missions qui lui sont confiées par le présent article.

Les indemnités dues et les modalités de réalisation de sa mission sont fixées par convention avec le commissaire aux comptes.

III.-Préalablement à toute communication de données, le commissaire aux comptes définit :

1° Le périmètre et les objectifs de la mission de certification justifiant la communication de données à caractère personnel mentionnées à l'article R. 6113-1 ;

2° Le délai de la réalisation de cette mission ;

3° Les catégories de données nécessaires à son accomplissement.

IV.-Après que le médecin mentionné au I a vérifié que les catégories de données dont la communication est demandée n'excèdent pas le champ de celles qui sont strictement nécessaires à l'exercice de la mission de certification, le commissaire aux comptes notifie au directeur d'établissement les éléments mentionnés au III.

V.-Le directeur d'établissement habilite individuellement et spécialement le médecin mentionné au I à accéder aux données mentionnées au 3° du III.

Le directeur d'établissement peut saisir le médecin mentionné au I, à tout moment, de toute demande d'information relative aux données sollicitées.

VI.-Seul le médecin mentionné au I peut accéder directement aux données traitées par l'établissement de santé, pour consultation uniquement et sans possibilité de création ou de modification.

Avant de mettre à disposition du commissaire aux comptes les données nécessaires à l'exercice de sa mission, le médecin mentionné au I procède à leur pseudonymisation en supprimant en particulier les données mentionnées au 1° de l'article R. 6113-1 relatives aux personnes concernées et les communique au commissaire aux comptes dans des conditions sécurisées.

La communication de toute donnée complémentaire est réalisée dans les mêmes conditions.

VII.-A l'issue de la mission de certification, le directeur d'établissement met fin à l'habilitation d'accès du médecin mentionné au I. Ce dernier efface, dans des conditions sécurisées, toute donnée transmise au commissaire aux comptes dans le cadre de sa mission.