S’agissant des données à caractère personnel, celles relatives à la santé des personnes sont parmi les plus protégées. Pourtant, à des fins de contrôle de l’activité des établissements de santé, elles peuvent passer entre les mains de professionnels non impliqués dans les traitements, tels que les commissaires aux comptes. Ce qui nécessite de respecter quelques règles…

L’accès aux données des commissaires aux comptes encadré

Dans le cadre de l’analyse de l’activité médicale des établissements de santé, des commissaires aux comptes et des prestataires habilités peuvent être amenés à consulter des données se rapportant aux soins prodigués par l’établissement.

Les données personnelles des patients devant bénéficier de la meilleure protection possible, les conditions dans lesquelles ces analystes accèdent aux données évoluent.

Bien qu’une sécurité vis-à-vis des données existe déjà, notamment par l’affirmation de la nécessité du respect du secret professionnel des analystes, un filtre supplémentaire est ajouté.

En effet, désormais les commissaires aux comptes et autres prestataires ne pourront recevoir communication des données à caractère personnel nécessaires à l’analyse que par l’intermédiaire d’un médecin expert.

Le commissaire aux comptes devra au préalable définir les périmètres et objectifs de sa mission justifiant un accès à ces données, la durée de cette mission et les catégories de données auxquelles il a besoin d’accéder.

Sur cette base, le médecin expert doit déterminer que la demande de données est conforme aux objectifs poursuivis.

Il pourra ensuite obtenir de l’établissement de santé concerné l’accès aux données et procéder à leur pseudonymisation avant de les mettre à disposition du commissaire aux comptes.

Dans des conditions similaires, les prestataires auxquels l’établissement de santé souhaite faire appel pour l’assister dans la gestion de ses services d’information et ses traitements de données devront au préalable signer un contrat avec le chef de l’établissement définissant le périmètre de la mission.

Le directeur de l’établissement devra alors habiliter individuellement les membres du personnel du prestataire qui seront autorisés à accéder aux données.

L’ensemble des actions menées par le prestataire concernant les données devra être référencé et daté afin que le médecin responsable de l’information médicale en soit averti.

Contrôle financier des établissements de santé et données personnelles – © Copyright WebLex