Contrôle externe T2A : la Cnam refond son guide et proscrit la clé USB

Une refonte attendue depuis 2018

Le guide sert de socle commun aux équipes de contrôle, aux établissements et aux agences régionales de santé. Sa précédente édition remontait à 2018 et ne pouvait tenir compte de la suspension des contrôles pendant la crise sanitaire, ni des modalités arrêtées lors de leur reprise.

Il est issu d'un groupe de travail piloté par la Cnam, associant des représentants de l'État, l'Agence technique de l'information sur l'hospitalisation, les fédérations hospitalières nationales et les deux principaux régimes d'assurance maladie.

L'architecture de la procédure reste celle du décret n° 2011-1209 du 29 septembre 2011 : programme régional arrêté par le directeur général de l'ARS, unité de coordination régionale composée pour un tiers de personnels d'ARS et pour deux tiers de personnels de l'assurance maladie, commission de contrôle réunissant à parité cinq représentants de l'ARS et cinq représentants des caisses, médecin conseil responsable du contrôle face au médecin responsable du département d'information médicale.

Deux modalités de préparation, au choix de l'établissement

La première évolution porte sur la répartition du travail préparatoire. L'établissement décide désormais s'il prépare ou non le contrôle. S'il ne le prépare pas, les équipes du médecin conseil responsable du contrôle sélectionnent et numérisent elles-mêmes les pièces nécessaires, puis les déposent sur un espace sécurisé informatique désigné par l'établissement. S'il le prépare, cette sélection revient au médecin responsable du DIM et à ses équipes.

Le choix intervient lors d'un contact préalable avec le médecin conseil, au moins quatre à six semaines avant la date prévisionnelle de début du contrôle. La réception du courrier du directeur général de l'ARS interdit à l'établissement d'envoyer de nouveaux Lamda ou factures rectificatives sur les champs ciblés.

Bluefiles, VMS : le circuit imposé aux échanges

Sur le transport des données, le guide est catégorique : « pour des raisons de sécurité informatique, la récupération de documents via une clé USB même cryptée est proscrite ». Le document fait état des contraintes organisationnelles et de sécurité rencontrées en 2025, et mentionne à ce titre la Commission nationale de l'informatique et des libertés.

Les échanges passent par Bluefiles, présenté comme répondant aux exigences de l'article 32 du RGPD et assurant un chiffrement de bout en bout de l'émetteur au destinataire. Le guide décrit le circuit : depuis l'espace sécurisé informatique d'un ordinateur de l'établissement, par la messagerie sécurisée du médecin responsable du DIM, vers celle du médecin conseil responsable du contrôle. Une charte du contrôle T2A, mise à jour le 27 janvier 2026, formalise les engagements de l'assurance maladie en matière de protection des données. Elle précise qu'aucune convention n'est nécessaire entre l'établissement et la caisse, l'obligation de transmission découlant de la loi.

Reste à savoir ce que recouvre cet espace sécurisé, que le guide impose sans jamais le définir. « L'espace sécurisé fait manifestement référence à un PC interne de l'établissement respectant la PSSI-E et la PSSI-MCAS : disque chiffré, accès en authentification forte de type carte CPS/CPE, pas de connexion sur un réseau non maîtrisé », estime Cédric Cartau, RSSI et délégué à la protection des données du CHU de Nantes.

Il juge le recours à Bluefiles cohérent : « chiffrement de bout en bout, espace de stockage intermédiaire certifié HDS », pour une messagerie « très répandue dans la santé, à juste titre ». Et voit dans l'attribution de licences au DIM pour ses échanges avec l'assurance maladie « un pas important » : « on sait que dans pas mal de cas, certains échanges se faisaient par simple messagerie non chiffrée ».

Les échanges à distance portant sur des dossiers de patients relèvent de l'article R. 315-2-3 du code de la sécurité sociale, qui autorise le service du contrôle médical à recourir aux technologies de l'information. La Cnam indique disposer à cette fin de l'outil VMS, pour vidéo Med sécurisé, par lequel devra transiter tout échange sur des dossiers.

La délocalisation partielle du contrôle est admise « à partir du moment où un accord commun des acteurs sur l'organisation du contrôle est obtenu ». Elle peut porter sur l'analyse et le recodage des séjours, ainsi que sur une partie des concertations. Le guide recommande de maintenir en établissement a minima un temps initial et un temps final, ce dernier pour la signature des fiches de concertation.

Un cadre qui repose sur un accord, pas sur un texte

Ces évolutions résultent d'une procédure définie et validée par le groupe de travail lors de la reprise des contrôles. Elles ne procèdent pas d'une modification réglementaire : le guide ne cite aucun texte postérieur à 2011 venant modifier la procédure elle-même.

Côté établissement, Cédric Cartau n'y voit pas d'obstacle. « La transmission de données sensibles doit se faire en sécurisant les échanges : c'est effectivement une préconisation claire de la loi Informatique et Libertés et du code de la santé publique, nul doute là-dessus. À partir de là, aucune convention n'est nécessaire, simplement une intervention de la DSI pour la mise à disposition des outils au DIM, une formation ou sensibilisation et éventuellement des rappels réguliers de bon usage, chose à laquelle les DIM sont de toute manière très attentifs. »

Les contrôles ont pour leur part repris leur cadence. L'instruction n° DGOS/FIP1/DSS/1A/2026/109 du 6 août 2026, publiée au Bulletin officiel Santé du 10 août, fixe huit priorités nationales pour la campagne 2026, portant sur l'activité 2025 en médecine, chirurgie et obstétrique hors hospitalisation à domicile. Y figurent le codage des diagnostics principaux et de certains actes CCAM, les séjours contigus, les séjours avec comorbidités, les prestations inter-établissements et les séjours en unité d'hospitalisation de courte durée.

Sources

• Cnam, « Guide du contrôle externe de la tarification à l'activité (T2A) des établissements de santé », version du 25 juin 2026 (PDF) : https://www.fhf.fr/sites/default/files/2026-07/2026%2025%20Juin%20%20Guide%20Ctl%20Ext.pdf
• Cnam, « Charte du contrôle T2A. Protection des données personnelles dans le cadre d'un contrôle sur pièces », mise à jour du 27 janvier 2026 (PDF) : https://www.fhf.fr/sites/default/files/2026-07/2026%2001%2027%20charte_controle_t2a_maj%20janvier%202026%20%28002%29.pdf
• FHF, « Guide de contrôle externe régional des établissements de santé / Charte du contrôle T2A », 16 juillet 2026 : https://www.fhf.fr/expertises/finances/reforme-du-mode-de-financement-de-lhospitalisation-tarification-lactivite/guide-de-controle-externe-regional-des-etablissements-de-sante/charte-du-controle-t2a
• FHP-MCO, « Dépêche Expert n° 969 — Contrôle T2A : nouvelle version du guide de contrôle externe régional des établissements de santé », 20 juillet 2026 : https://fhpmco.fr/2026/07/20/depeche-expert-n969-controle-t2a-nouvelle-version-du-guide-de-controle-externe-regional-des-etablissements-de-sante/
• FHF, « Contrôles externes de la tarification à l'activité pour la campagne 2026 portant sur l'activité 2025 », 11 août 2026 : https://www.fhf.fr/expertises/finances/reforme-du-mode-de-financement-de-lhospitalisation-tarification-lactivite/controles-externes-de-la-tarification-lactivite-pour-la-campagne-2026-portant-sur-lactivite-2025
• Cnam, « Tarification à l'activité (T2A) », ameli.fr : 
  https://www.ameli.fr/etablissement/textes-reference/tarifications/tarification-activite-t2a
• Échange avec Cédric Cartau, RSSI et délégué à la protection des données du CHU de Nantes, du 25/08/2026