Lorsqu'un établissement de santé recourt à un prestataire extérieur mentionné au 4° du I de l'article R. 6113-5 pour la mise en œuvre des activités mentionnées au présent chapitre, ce prestataire ne peut conserver les données mises à disposition par l'établissement au-delà de la durée strictement nécessaire aux activités qui lui ont été confiées prévue par le contrat mentionné au I de l'article R. 6113-5-2. A l'issue de cette durée, le prestataire procède à l'effacement des données dans des conditions sécurisées et en apporte la preuve auprès du médecin responsable de l'information médicale.
Le commissaire aux comptes dans le cadre de sa mission légale de certification des comptes des établissements de santé ne peut conserver les données mises à disposition, par l'intermédiaire du médecin mentionné au I de l'article R. 6113-5-1, par un établissement au-delà de la durée strictement nécessaire à la certification annuelle des comptes. Le rapport de certification prévu à l'article R. 6145-61-5 ne comporte aucune donnée à caractère personnel traitée dans le cadre de cette mission.