Lagens syfte är att möjliggöra en effektiv och informationssäker behandling av personuppgifter som har registrerats i social- och hälsovårdsverksamhet och för styrnings-, tillsyns-, forsknings- och statistikändamål inom social- och hälsovården samt en samkörning av dessa personuppgifter med Folkpensionsanstaltens, Befolkningsregistercentralens, Statistikcentralens och Pensionsskyddscentralens personuppgifter.

Lagens syfte är dessutom att trygga skyddet för individens tillitsskydd samt rättigheter och friheter vid behandlingen av personuppgifter.

Bestämmelser om organisationer vars uppgifter får behandlas i enlighet med 1 mom. samt om inskränkningar i behandlingen av uppgifter finns i 6 och 7 §.

Bestämmelser om grunder för utlämnande personuppgifter och om mottagarens rätt att behandla de utlämnade personuppgifterna för sådana ändamål som avses i 1 mom. finns i 4 och 5 kap.

Den i denna lag avsedda Tillståndsmyndigheten för användning av social- och hälsovårdsdata (Tillståndsmyndigheten) finns i anslutning till Institutet för hälsa och välfärd. För de uppgifter som föreskrivs för Tillståndsmyndigheten svarar vid institutet en självständig enhet som har avskilts från de uppgifter som anges i 2 § i lagen om Institutet för hälsa och välfärd (668/2008).

Tillståndsmyndigheten omfattas av social- och hälsovårdsministeriets resultatstyrning och har en separat direktör utnämnd av social- och hälsovårdsministeriet och en av ministeriet tillsatt styrgrupp.

Tillståndsmyndigheten fattar beslut om dataanvändningstillstånd som gäller andra personuppgiftsansvarigas material och beslutar om en begäran om information enligt 45 § överensstämmer med denna lag samt svarar för insamling, samkörning, förbehandling och utlämnande av uppgifter med stöd av dess beslut för sekundär användning enligt denna lag. Tillståndsmyndigheten får även för ett användningsändamål enligt denna lag på begäran om information samla in personuppgifter från olika personuppgiftsansvariga och genom att samköra dem producera anonym information åt den som framställt begäran.

Tillståndsmyndigheten driver ett hanteringssystem för begäranden om information för förmedling och behandling av begäranden om information och tillståndsansökningar samt en informationssäker drifttjänst för mottagande och utlämnande av personuppgifter. Tillståndsmyndigheten förvaltar även en informationssäker driftmiljö där tillståndshavaren kan behandla de personuppgifter som lämnats ut med stöd av ett dataanvändningstillstånd.

Tillståndsmyndigheten övervakar att villkoren för det beviljade tillståndet iakttas. Den får återkalla ett dataanvändningstillstånd, om tillståndshavaren inte iakttar lagen eller bryter mot villkoren i tillståndet.

Tillståndsmyndigheten svarar på det sätt som anges i 52 § för anonymiseringen av de personuppgifter som de publicerade resultaten bygger på.

Statistikcentralen samt Institutet för hälsa och välfärd i egenskap av statistikmyndighet (statistikmyndigheter) svarar för dataanvändningstillstånd för uppgifter som de i egenskap av statistikmyndigheter för statistiska ändamål samlat in för vetenskaplig forskning och för att uppgifter som hänför sig till en och samma forskningsplan samkörs med deras egna uppgifter samt för pseudonymisering eller anonymisering av uppgifterna i enlighet med statistiklagen (280/2004). En tillståndsansökan som gäller andra uppgifter som avses i denna lag och uppgifter som statistikmyndigheterna samlat in för statistiska ändamål lämnas till Statistikcentralen och Institutet för hälsa och välfärd via det hanteringssystem för begäranden om information som avses i 16 §. Även kontakterna till den tillståndssökande vid behandlingen av en tillståndsansökan och delgivningen av beslutet sker via hanteringssystemet.

Bestämmelser om utlämnande av uppgifter till uppgifter enligt denna lag som sammanslagits i enlighet med statistiklagen finns i 51 § 4 mom.

Social- och hälsovårdsministeriet ska utse en expertgrupp på hög nivå för Tillståndsmyndigheten. Gruppen har i uppgift att ta fram principiella riktlinjer för anonymisering, dataskydd och informationssäkerhet för myndighetens verksamhet. Expertgruppen ska ha en expert på artificiell intelligens, dataanalys, informationssäkerhet, dataskydd, sektorsforskning, statistik respektive statistikväsendet och en företrädare för Tillståndsmyndigheten. Närmare bestämmelser om expertgruppens uppgifter, antalet medlemmar och behörighetsvillkoren för dem får utfärdas genom förordning av social- och hälsovårdsministeriet.

Social- och hälsovårdsministeriet får ensamt eller tillsammans med en eller flera organisationer som avses i 6 §, undervisnings- och kulturministeriet, arbets- och näringsministeriet eller finansministeriet bilda ett aktiebolag som verkar under Tillståndsmyndigheten. Bolaget ägs och förvaltas av staten. För ägarstyrningen av bolaget och förvaltningen av dess aktier svarar social- och hälsovårdsministeriet. Syftet med bolagets verksamhet är inte att bereda vinst.

Bolaget kan ges uppgifter i anknytning till de tjänster som avses i 10 § 3–7 punkten. Närmare bestämmelser om bolagets uppgifter får utfärdas genom förordning av statsrådet.

Institutet för hälsa och välfärd eller Tillståndsmyndigheten kan producera administrativa tjänster och andra stödtjänster för aktiebolaget mot ersättning till marknadspris.

Bolaget ska på begäran lämna social- och hälsovårdsministeriet de uppgifter som behövs för att bolaget ska kunna styras och övervakas. På bolagets handlingar tillämpas vad som i lagen om offentlighet i myndigheternas verksamhet (621/1999), nedan offentlighetslagen, föreskrivs om myndighetshandlingar. Beslut om att en bolagshandling inte lämnas ut till den som begär det ska fattas av Tillståndsmyndigheten i enlighet med 4 kap. i offentlighetslagen.

För bolagets verksamhet kan det beviljas statsunderstöd inom ramen för de anslag som tas in i statsbudgeten. Bestämmelser om statsunderstöd finns i statsunderstödslagen (688/2001).

På personer som är anställda hos bolaget och på ledamöter i bolagets styrelse tillämpas bestämmelserna om straffrättsligt tjänsteansvar.

Tillståndsmyndigheten svarar dock för tjänster som gäller uppgifter hos Pensionsskyddscentralen, Befolkningsregistercentralen och Statistikcentralen endast om uppgifterna samkörs med uppgifter som innehas av de organisationer som avses i 6 § 1–8 punkten, med uppgifter som är registrerade i Kanta-tjänsterna eller med registeruppgifter hos en privat serviceanordnare inom socialvården eller hälso- och sjukvården.

Om en ansökan om dataanvändningstillstånd gäller uppgifter i personregister hos endast en av de organisationer som avses i 6 § 1–8 punkten, svarar organisationen själv för alla de tjänster som avses i 10 § 1–4 punkten. De organisationerna kan emellertid underrätta Tillståndsmyndigheten att de avstår från att tillhandahålla andra tjänster än de som avses i 10 § 1 och 2 punkten. I så fall svarar Tillståndsmyndigheten för den anmälande organisationens tjänster avseende personuppgifter enligt 10 § 3–7 punkten.

De organisationer som avses i 6 § ska som personuppgiftsansvariga göra upp materialbeskrivningar av datainnehållet i sina datalager så att det på basis av dem är möjligt att bedöma om registeruppgifterna lämpar sig för de ändamål som anges i 2 §. Tillståndsmyndigheten ska göra upp materialbeskrivningar över sina i 14 § 5 mom. avsedda färdiga datamaterial.

Tillståndsmyndigheten meddelar närmare föreskrifter om materialbeskrivningarnas datainnehåll, begrepp och datastrukturer. Innan föreskrifterna meddelas ska Tillståndsmyndigheten höra organisationerna i fråga.

Bestämmelser om när de skyldigheter som föreskrivs i 1 mom. börjar tillämpas utfärdas genom förordning av social- och hälsovårdsministeriet.

En personuppgiftsansvarig enligt 6 § ska ordna en rådgivningstjänst för sina egna registeruppgifter som avses i den paragrafen så att de som behöver uppgifterna för ändamål som avses i 2 § får tillräcklig information om de tillgängliga registrens datainnehåll och huruvida registeruppgifterna lämpar sig för det aktuella informationsbehovet.

Utöver vad som föreskrivs i 1 mom. ska Tillståndsmyndigheten ordna en rådgivningstjänst som avser förutsättningarna för beviljande av dataanvändningstillstånd, förutsättningarna för godkännande av begäran om information, innehållet i och betydelsen av de tjänster som avses i 10 § samt de färdiga datamaterial som avses i 14 § 5 mom.

När Tillståndsmyndigheten har beviljat ett dataanvändningstillstånd enligt 44 § eller beslutat bifalla en begäran om information enligt 45 § ska den samla in, samköra och förbehandla och vid behov pseudonymisera eller anonymisera materialet för behandling av tillståndshavaren eller producera de aggregerade statistiska uppgifter som avses i begäran om information i enlighet med beslutet.

När dataanvändningstillståndet har beviljats av en enskild personuppgiftsansvarig enligt 6 § 1–8 punkten i fråga om uppgifter i dennes egna register ska den producera materialet enligt tillståndet för behandling av tillståndshavaren. Om materialet emellertid enligt tillståndet lämnas ut i anonymiserad form ska den personuppgiftsansvarige ge in tillståndet och det tillhörande datamaterialet till Tillståndsmyndigheten för samkörning, förbehandling och anonymisering.

Tillståndsmyndigheten ska bevara en beskrivning av hur datamaterial och aggregerade statistiska uppgifter som den lämnat ut bildats, av de pseudonymiserings- och anonymiseringsmetoder den använt och av det utlämnade slutresultatet.

Om personuppgifter med stöd av flera olika planer för användning av uppgifter lämnas ut i pseudonymiserad form, ska uppgifterna pseudonymiseras med olika identifierare för varje utlämnande.

Tillståndsmyndigheten får utforma färdiga datamaterial av uppgifter hos de myndigheter och organisationer som avses i 6 §. Tillståndsmyndigheten får senare plocka ut de uppgifter som behövs för beviljande av dataanvändningstillstånd och som avses i ett beviljat dataanvändningstillstånd eller i ett beslut med anledning av en begäran om information ur de färdiga datamaterialen.

Den myndighet som beviljat dataanvändningstillstånd förvarar identifierarna för pseudonymiserat material på ett informationssäkert sätt så att materialet vid behov kan göras identifierbart och att detta samma material med hjälp av identifierarna kan produceras på nytt.

Myndigheten ska förvara identifierarna så länge de behövs för forskning och för säkerställande av ändamålsenliga forskningsresultat.

Tillståndsmyndigheten driver ensam eller tillsammans med andra myndigheter ett system för hantering av begäranden om information, via vilket en ansökan om dataanvändningstillstånd eller en begäran om information enligt denna lag ska lämnas till Tillståndsmyndigheten.

Utredningar och kompletteringar som Tillståndsmyndigheten begär för att kunna behandla ansökan samt de utredningar, kompletteringar och ändringar i ansökan som sökanden lämnar in till Tillståndsmyndigheten förmedlas via hanteringssystemet. Tillståndsbeslutet delges sökanden via hanteringsystemet.

Om användningsändamålet enligt lag förutsätter en etisk förhandsgranskning av planen för användning av uppgifterna, inleds även en etisk granskning och lämnas ett utlåtande via hanteringssystemet.

Tillståndsmyndigheten driver en informationssäker drifttjänst att användas vid utlämnande av de uppgifter som behövs vid behandlingen av en ansökan om dataanvändningstillstånd eller i begäran om information samt av uppgifter som avses i ett beviljat dataanvändningstillstånd. Via drifttjänsten får personuppgifter, under de förutsättningar som anges i denna lag, lämnas mellan Tillståndsmyndigheten och övriga myndigheter som anges i 6 §, mellan Tillståndsmyndigheten och privata tillhandahållare av social- och hälsovårdstjänster samt mellan den som ansöker om tillstånd och Tillståndsmyndigheten.

När personuppgifter förmedlas via den informationssäkra drifttjänsten ska deras integritet och ursprung säkerställas med en elektronisk underskrift. Integritet och ursprung hos uppgifter som sänds av en organisation och informationsteknisk utrustning ska säkerställas genom användning av teknik med motsvarande tillförlitlighet som vid elektronisk signering som görs av en fysisk person. Användare av den informationssäkra drifttjänsten måste vara starkt identifierade när personuppgifter lämnas ut till dem. Bestämmelser om avancerad elektronisk underskrift och stark elektronisk identifiering finns i Europaparlamentets och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG och i lagen om stark autentisering och betrodda elektroniska tjänster (617/2009).

Tillståndsmyndigheten ska skapa de gränssnitt som behövs för drifttjänstens interoperabilitet och sörja för att dataöverföringen kan göras med hjälp av allmänt använda tekniker.

När personuppgifter behandlas med stöd av denna lag ska en tillräcklig informationssäkerhet för behandlingen säkerställas genom riskhantering, åtkomsthantering, aktiv övervakning och genom iakttagande av föreskrifter och anvisningar från den myndighet som svarar för förverkligandet och övervakningen av informationssäkerhet och dataskydd. Särskild uppmärksamhet ska fästas vid att användningsbegränsningar och sekretessplikten iakttas.

Den som behandlar personuppgifter med stöd av ett dataanvändningstillstånd enligt denna lag ska i användningslogguppgifterna registrera information om den personuppgiftsansvarige som fått dataanvändningstillstånd, användningsändamålet enligt 2 §, dataanvändningstillstånd som ger rätt till behandling, användare som är berättigad att behandla uppgifterna enligt dataanvändningstillståndet, de uppgifter och uppgiftsgrupper som har behandlats samt användningstidpunkten.

När en tjänstetillhandahållare behandlar personuppgifter i sina personregister och informationsledning är användningsändamålet ska denne i användningslogguppgifterna registrera information om vilka personuppgifter som använts, vem som har använt uppgifterna, användningsändamålet och användningstidpunkten.

Logguppgifterna ska förstöras eller arkiveras tolv år efter det att dataanvändningstillståndet upphört att gälla eller den behandling som avses i 3 mom. har upphört.

Tillståndsmyndigheten kan meddela närmare föreskrifter om de uppgifter som ska registreras i loggregistren och om deras datainnehåll.

Tillståndsmyndigheten ska ensam eller tillsammans med andra myndigheter förvalta en informationssäker driftmiljö som gör det möjligt att garantera en informationssäker, tillståndsenlig behandling av uppgifter som Tillståndsmyndigheten eller någon annan myndighet som avses i denna lag lämnat ut med stöd av denna lag.

Behandlingen ska vara tekniskt möjlig att genomföra på olika sätt och driftmiljön ska vara tillgänglig från olika platser. Tillståndsmyndigheten ska bedöma hur känsliga de uppgifter som lämnas ut är och beakta detta i de krav som i beslutet om dataanvändningstillstånd ska ställas på användning av den informationssäkra driftmiljön.

Om ansökan om dataanvändningstillstånd innehåller en begäran om att datamaterial ska lämnas ut för behandling i en annan miljö än den som avses i 1 mom., ska det i ansökan särskilt motiveras varför detta är nödvändigt. Tillståndsmyndigheten eller någon annan myndighet som avses i denna lag får då lämna ut uppgifter till sökanden endast om driftmiljön uppfyller villkoren i 2 mom. och i 21–29 §.

Användarna i en informationssäker driftmiljö ska identifieras på ett tillförlitligt sätt och verifieras.

Närmare bestämmelser om de tekniska identifierings- och verifieringsmedlen får utfärdas genom förordning av social- och hälsovårdsministeriet.

Tjänsteleverantören ska specificera åtkomsträttigheterna till personuppgifter för tillståndshavaren och andra personer som behandlar personuppgifter i driftmiljön. Tillståndshavaren ges åtkomsträttighet till personuppgifter enligt dataanvändningstillståndet. Andra personer som behandlar personuppgifter i en driftmiljö beviljas åtkomsträttigheter till sådana nödvändiga personuppgifter som de behöver i sina arbetsuppgifter.

Tjänsteleverantören ska föra register över användarna i den informationssäkra driftmiljön och deras åtkomsträttigheter. Uppgifter om åtkomsträttigheter för användarna i driftmiljön ska förstöras eller arkiveras tolv år efter det att åtkomsträtten upphört att gälla.

Tillståndsmyndigheten meddelar föreskrifter om de grunder enligt vilka tjänsteleverantören ska specificera tillståndshavarens åtkomsträttigheter till kunduppgifterna.

En informationssäker driftmiljö ska skyddas i enlighet med statliga myndigheters skyldigheter i fråga om informationssäkerhet enligt vad som föreskrivs i 36 § i offentlighetslagen och i den statsrådsförordning som utfärdats med stöd av 1 mom. i den paragrafen.

Driftmiljön ska i enlighet med 19 § möjliggöra insamling av logguppgifter om användningen av utlämnade uppgifter för uppföljning och tillsyn.

Informationssäkra driftmiljöer ska uppfylla kraven på informationssäkerhet och interoperabel informationsöverföring som bygger på myndigheternas föreskrifter, rekommendationer och de standarder som enligt dessa lämpar sig för en informationssäker driftmiljö.

Tillståndsmyndigheten meddelar närmare föreskrifter om de krav som ska ställas på andra tjänsteleverantörers informationssäkra driftmiljöer. Kraven ska förutsätta informationssäkerhet på motsvarande nivå som i Tillståndsmyndighetens egen driftmiljö.

Informationssäkerheten i driftmiljön ska påvisas genom ett i 26 § avsett intyg från ett bedömningsorgan för informationssäkerhet.

Tillståndsmyndigheten får meddela närmare föreskrifter om de förfaranden som ska iakttas vid påvisande av informationssäkerhet.

Ett bedömningsorgan för informationssäkerhet bedömer i enlighet med denna lag och lagen om bedömningsorgan för informationssäkerhet, på ansökan av tjänsteleverantören om driftmiljön uppfyller kraven på informationssäkerhet. Som bedömningskriterier ska användas föreskrifter om kraven på en säker driftmiljö från Tillståndsmyndigheten.

Om driftmiljön uppfyller informationssäkerhetskraven enligt denna lag, ska bedömningsorganet för informationssäkerhet ge tjänsteleverantören ett intyg över sin bedömning och en anknytande kontrollrapport. Om bedömningen eller en förnyad bedömning gäller endast en del av driftmiljön, ska det i bedömningsorganets intyg tydligt antecknas vilken del av driftmiljön som har bedömts.

Bedömningsorganets intyg är i kraft högst fem år. Bedömningsorganet för informationssäkerhet kan av tjänsteleverantören kräva alla de uppgifter som förutsätts för bedömningen och för uppgörandet och upprätthållandet av intyget. På utfärdande av intyget tillämpas i övrigt 9 § 3 mom. i lagen om bedömningsorgan för informationssäkerhet.

Om ett bedömningsorgan för informationssäkerhet konstaterar att en driftmiljö inte har uppfyllt eller inte längre uppfyller kraven i denna lag eller att ett intyg av någon annan orsak inte borde ha beviljats, ska organet uppmana tjänsteleverantören att avhjälpa bristerna. Bedömningsorganet får återkalla intyget för viss tid eller helt och hållet eller bevilja intyget med begränsningar, om inte tjänsteleverantören avhjälper bristerna inom den tid som organet satt ut. När tidsfristens längd bestäms ska det beaktas att en skälig tid behövs för att korrigera driftmiljön.

Bedömningsorgan för informationssäkerhet ska underrätta Tillstånds- och tillsynsverket för social- och hälsovården om alla intyg som har utfärdats, ändrats eller kompletterats eller som har återkallats för viss tid eller helt och hållet eller förvägrats samt om de uppmaningar och begränsningar som avses i 27 §. Dessutom ska bedömningsorgan för informationssäkerhet på begäran ge Tillstånds- och tillsynsverket för social- och hälsovården all behövlig ytterligare information i ärendet.

Tjänsteleverantören ska genom ett uppdaterat och systematiskt förfarande följa upp och utvärdera erfarenheterna av en informationssäker driftmiljö under den tid den används för produktion. Tjänsteleverantören ska ge akt på ändringar i denna lag och justera driftmiljön i enlighet med ändringarna. Väsentliga förändringar i driftmiljön ska anmälas till bedömningsorganet för informationssäkerhet. Bedömningsorganets intyg ska förnyas, om betydande förändringar görs i driftmiljön eller om minimikraven på driftmiljön har ändrats på ett sätt som förutsätter en förnyad bedömning.

Tjänsteleverantören ska bevara uppgifterna om överensstämmelse med kraven och övriga uppgifter som tillsynen kräver i minst fem år efter det att den informationssäkra driftmiljön inte längre används för produktion.

Tillstånds- och tillsynsverket för social- och hälsovården ska övervaka och främja att informationssäkra driftmiljöer uppfyller kraven på dataskydd och informationssäkerhet. Tillstånds- och tillsynsverket för social- och hälsovården för ett offentligt register över driftmiljöer som uppfyller kraven och som anmälts till verket.

Tillstånds- och tillsynsverket för social- och hälsovården har rätt att utföra inspektioner som krävs för tillsynen. För att utföra en inspektion har en inspektör rätt att få tillträde till alla lokaler där det bedrivs verksamhet som avses i denna lag eller där det förvaras uppgifter som är viktiga för tillsynen över efterlevnaden av denna lag. Inspektioner får dock inte utföras i utrymmen som används för boende av permanent natur.

Vid en inspektion ska alla handlingar som inspektören ber om och som behövs för inspektionen läggas fram. På inspektörens begäran ska dessutom kopior av de handlingar som behövs för inspektionen överlämnas till inspektören utan avgift.

Tillstånds- och tillsynsverket för social- och hälsovården ska bevara inspektionsprotokollet i tio år efter det att inspektionen utfördes.

Tillstånds- och tillsynsverket för social- och hälsovården har rätt att anlita utomstående experter för bedömning av informationssäkra driftmiljöers överensstämmelse med kraven. Utomstående experter får delta i inspektioner som avses i denna lag samt undersöka och testa driftmiljöer. Utomstående experter ska ha den sakkunskap och kompetens som uppgifterna kräver.

På utomstående experter som utför uppgifter enligt denna lag tillämpas förvaltningslagens (434/2003) bestämmelser om tjänstemannajäv och bestämmelserna om straffrättsligt tjänsteansvar.

Tillstånds- och tillsynsverket för social- och hälsovården har rätt att, avgiftsfritt och trots sekretessbestämmelserna, för tillsynen över driftmiljöer få nödvändiga uppgifter av statliga och kommunala myndigheter samt av fysiska och juridiska personer som omfattas av denna lag eller av bestämmelser som utfärdats med stöd av den.

Tillstånds- och tillsynsverket för social- och hälsovården får med anledning av en inspektion som gjorts med stöd av 30 § ålägga tjänsteleverantören att avhjälpa brister i driftmiljöer som används för produktion.

Om en informationssäker driftmiljö kan äventyra dataskyddet, eller om systemet inte uppfyller de krav som ställs på det i denna lag, och bristerna inte har avhjälpts inom den tidsfrist som Tillstånds- och tillsynsverket har satt ut, får verket förbjuda användningen av driftmiljön till dess att bristerna har avhjälpts. Vidare får Tillståndsmyndigheten eller någon annan myndighet som avses i 6 § stänga av förbindelsen till sina informationssystem, om den som använder dem äventyrar eller ett utomstående system som anslutits till dem kan äventyra en ändamålsenlig användning av informationssystemet.

Tillstånds- och tillsynsverket för social- och hälsovården får ålägga tjänsteleverantören eller en befullmäktigad representant att inom den tid och på det sätt som verket bestämmer informera om beslut som gäller användningen av driftmiljön för produktion.

Tillstånds- och tillsynsverket för social- och hälsovården kan förena beslut som fattats med stöd av 1 mom. med vite eller med hot om att verksamheten helt eller delvis avbryts eller att den försummade åtgärden vidtas på den försumliges bekostnad. Tillstånds- och tillsynsverket ska underrätta Tillståndsmyndigheten om sitt beslut.

Om en tjänsteleverantör, en myndighet som avses i 6 § eller någon som annars behandlar personuppgifter i enlighet med denna lag har underlåtit att fullgöra sin skyldighet enligt denna lag när det gäller informationssystem eller deras användning, får Tillstånds- och tillsynsverket för social- och hälsovården meddela ett föreläggande om att skyldigheten ska uppfyllas inom utsatt tid.

Dessutom får Tillståndsmyndigheten eller någon annan myndighet som avses i 6 § stänga av förbindelsen till informationssystem som den förvaltar, om tjänsteleverantören, en myndighet enligt 6 § eller någon annan som behandlar personuppgifter enligt denna lag, trots den tid som Tillstånds- och tillsynsverket för social- och hälsovården satt ut, underlåtit att fullgöra sin skyldighet enligt denna lag när det gäller informationssystem eller deras användning.

Tillstånds- och tillsynsverket för social- och hälsovården får förena ett föreläggande som det meddelat enligt 1 mom. med vite eller med hot om att verksamheten helt eller delvis avbryts eller att den försummade åtgärden vidtas på den försumliges bekostnad. Verket ska underrätta Tillståndsmyndigheten om sitt beslut.

Registeruppgifter hos personuppgiftsansvariga som avses i 6 § och registeruppgifter hos en privat serviceanordnare inom social- och hälsovården får behandlas för ett sekundärt användningsändamål med ett tidsbundet dataanvändningstillstånd från den personuppgiftsansvarige eller Tillståndsmyndigheten eller direkt med stöd av bestämmelser i lag, enligt vad som föreskrivs nedan.

De uppgifter som avses i 1 mom. kan lämnas ut till Tillståndsmyndigheten via den informationssäkra drifttjänst som avses i 17 §.

Tillståndsmyndigheten kan oberoende av sekretessplikten och andra begränsningar som gäller användningen av uppgifter via den informationssäkra drifttjänst som avses i 17 § plocka ut uppgifter enligt dataanvändningstillståndet ur uppgifter och datalager som innehas av de personuppgiftsansvariga som avses i 1 mom., om det är möjligt och ändamålsenligt med hänsyn till dessa uppgifters och datalagers innehåll och tekniska utförande.

Tillståndsmyndigheten är personuppgiftsansvarig på det sätt som avses i denna paragraf för de uppgifter den har erhållit.

Tillståndsmyndigheten får trots skyldigheten att iaktta sekretess i enskilda fall med stöd av en begäran om information enligt 3 § 9 punkten producera aggregerade statistiska uppgifter som bygger på kunduppgifter och andra personuppgifter från organisationer som avses i 6 § för sådan utvecklings- och innovationsverksamhet som genomförs på annat sätt än som vetenskaplig forskning som avses i 38 §.

För vetenskaplig forskning och statistikföring får trots sekretessplikten i enskilda fall ges dataanvändningstillstånd för kunduppgifter och andra personuppgifter från organisationer som avses i 6 §.

Prövningen av om dataanvändningstillstånd ska beviljas eller inte ska utgå från att den vetenskapliga forskningens frihet tryggas.

Bestämmelser om behandling av uppgifter för vetenskaplig forskning och statistikföring finns dessutom i dataskyddslagen (1050/2018).

Kunduppgifter från en tillhandahållare av social- eller hälsovårdstjänster får trots sekretessplikten och med stöd av artikel 9.2 g i dataskyddsförordningen behandlas för att framställa undervisningsmaterial för undervisning av personal som behandlar kunduppgifter inom social- och hälsovården och av personer som studerar till en yrkesexamen inom social- och hälsovården, om det är nödvändigt för att syftet med undervisningen ska uppnås. En förutsättning för detta är dessutom att dataanvändningstillstånd enligt denna lag har beviljats för behandlingen.

Identifierbara uppgifter får dock användas i undervisningssituationer endast om undervisningen inte kan hållas anonym på grund av att fallet i fråga är sällsynt, på grund av undervisningens natur eller av något annat motsvarande skäl. Undervisningspersonalen ska informera dem som följer undervisningen om den lagstadgade sekretessplikten och om sanktionerna för brott mot den.

Den registrerade har inte i artikel 21 i dataskyddsförordningen avsedd rätt att göra invändningar mot behandling av personuppgifter om honom eller henne i undervisningssyfte, om behandlingen av uppgifter är nödvändig på grund av att fallet i fråga är sällsynt.

Tillståndshavaren ska förstöra ett separat material som samlats in för undervisningsändamål när det inte längre är nödvändigt för det ändamålet.

Tillhandahållare av social- eller hälsovårdstjänster har trots sekretessplikten och med stöd av artikel 9.2 h i dataskyddsförordningen rätt att på ett identifierbart sätt behandla och samköra kunduppgifter som har uppstått i tillhandahållarens egen verksamhet eller är införda i tillhandahållarens egna register, om detta är nödvändigt för att den serviceverksamhet som tjänstetillhandahållaren är ansvarig för ska kunna produceras, följas, utvärderas, planeras, utvecklas, ledas och övervakas.

Om en tjänstetillhandahållare för utvärdering, planering eller utveckling av serviceverksamhet som denna ansvarar för eller av servicekedjor behöver jämföra sin egen verksamhet med andra tjänstetillhandahållares verksamhet, kan Tillståndsmyndigheten producera behövligt jämförelsematerial i form av aggregerade statistiska uppgifter i enlighet med 45 § på grundval av en begäran om information enligt 3 § 9 punkten.

Utöver vad som föreskrivs i 1 och 2 mom. har kommuner och samkommuner rätt att för informationsledning på ett identifierbart sätt behandla och samköra också sådana kunduppgifter som lagrats i ett sådant gemensamt register som avses i 9 § 1 mom. i hälso- och sjukvårdslagen (1326/2010).

Om en styrnings- och tillsynsmyndighet inom social- och hälsovården för utförande av sina lagstadgade styrnings- eller tillsynsuppgifter behöver samkörda uppgifter som är baserade på personuppgifter lagrade i register inom social- eller hälsovården eller på andra identifierbara registeruppgifter hos i 6 § avsedda personuppgiftsansvariga kan Tillståndsmyndigheten producera de behövliga aggregerade statistiska uppgifterna i enlighet med 45 § på grundval av en begäran om information enligt 3 § 9 punkten.

Sådana uppgifter enligt 1 mom. som en tillsynsmyndighet som avses i det momentet har rätt att få enligt någon annan lag trots sekretessplikten kan på motiverad begäran lämnas ut också som identifierbara.

De uppgifter som avses i 2 mom. kan lämnas ut till tillsynsmyndigheten via den informationssäkra drifttjänst som avses i 17 §.

Ett dataanvändningstillstånd för personuppgifter får beviljas, om användningsändamålet för uppgifterna enligt ansökan och planen för användning av uppgifterna överensstämmer med dataskyddsförordningen, dataskyddslagen samt denna och någon annan lag som gäller uppgifterna i fråga och om användningsändamålet mest ändamålsenligt förverkligas genom användning av de i ansökan avsedda uppgifterna.

Om ansökan om dataanvändningstillstånd hänför sig till ett sådant användningsändamål för vilket det föreskrivs separat om tillståndsförfarandet och grunderna för beviljande av tillstånd, ska samtliga förutsättningar för tillståndet i fråga uppfyllas.

Om de uppgifter som lämnas ut har sammanställts med den registrerades samtycke, kan dataanvändningstillstånd för registeruppgifter som gäller den registrerade beviljas endast om det är förenligt med samtycket och med villkoren för användningen och utlämnandet av informationen. Om uppgifterna om ansökan om dataanvändningstillstånd hänför sig till ett användningsändamål som baserar sig på den registrerades samtycke, kan dataanvändningstillstånd beviljas endast för sådana uppgifter som omfattas av den registrerades samtycke.

Ett dataanvändningstillstånd kan beviljas för viss tid, om det är uppenbart att de intressen som sekretessen är avsedd att skydda inte kränks av att uppgifterna lämnas ut. Tillståndet ska utifrån riskerna förenas med krav på åtgärder till skydd för behandlingen av uppgifter samt andra föreskrifter som behövs för att skydda enskilda intressen. Ett tillstånd kan återkallas om det prövas föreligga skäl för återkallandet.

Om Tillståndsmyndigheten utifrån ansökan om dataanvändningstillstånd konstaterar att ärendet kan behandlas som en begäran om information enligt 45 § och inte som en tillståndsansökan, ska Tillståndsmyndigheten ta kontakt med den tillståndssökande och föreslå att ärendet behandlas som en begäran om information. Om den tillståndssökande kräver att ärendet behandlas som en tillståndsansökan, ska Tillståndsmyndigheten fatta beslut i ärendet.

Tillståndsmyndigheten svarar dessutom för beslut om dataanvändningstillstånd för Pensionsskyddscentralens, Befolkningsregistercentralens och Statistikcentralens uppgifter enligt 6 § 9–11 punkten, om de uppgifterna samkörs med de uppgifter som avses i 1 mom. 1–3 punkten.

Om en ansökan om dataanvändningstillstånd gäller uppgifter i personregister hos endast en av de organisationer som avses i 6 § 1–8 punkten, svarar organisationen själv för beslutet om dataanvändningstillstånd. Om organisationen emellertid i enlighet med 11 § 3 mom. har underrättat Tillståndsmyndigheten om att den avstår från att tillhandahålla andra tjänster än de som avses i 10 § 1 och 2 punkten, svarar Tillståndsmyndigheten för beslut om dataanvändningstillstånd för dess personuppgifter enligt denna lag.

Den myndighet som svarar för beslut om dataanvändningstillstånd har rätt att begära utlåtande från dataombudsmannen om en ansökan om dataanvändningstillstånd, om den beslutande myndigheten bedömer att det behövs.

Tillståndsmyndigheten beslutar om en begäran om information enligt 3 § 9 punkten överensstämmer med användningsändamålen enligt 2 § 1 mom. och övriga krav som ställs på en sådan begäran.

När den fattar sådana beslut ska Tillståndsmyndigheten, med stöd av artiklarna 9.2 g och 86 i dataskyddsförordningen och med beaktande av den i 8 § 4 mom. avsedda expertgruppens principiella riktlinjer, bedöma om det är möjligt att av de begärda registeruppgifterna utforma aggregerade statistiska uppgifter enligt begäran.

Om användningsändamålet för den information som begärs är forskning och begäran också gäller uppgifter som en statistikmyndighet samlat in för statistiska ändamål, ska förfarandet ske enligt 7 § och 51 § 4 mom.

Begäranden om information och ansökningar om dataanvändningstillstånd till Tillståndsmyndigheten ska lämnas via det system för hantering av begäranden om information som avses i 16 §. Om sökanden kompletterar sin ansökan, ska även kompletteringen lämnas till Tillståndsmyndigheten via hanteringssystemet för begäranden om information. Till en tillståndsansökan och en informationsbegäran om aggregerade statistiska uppgifter ska det fogas en plan för användning av uppgifterna.

Tillståndsmyndigheten meddelar föreskrifter om datainnehållet och datastrukturerna i ansökan om dataanvändningstillstånd, planen för användning av uppgifterna och begäran om information.

Beslut om ansökan om dataanvändningstillstånd ska meddelas utan dröjsmål, dock senast tre månader från det att tillståndsansökan har inkommit i fullständig form till myndigheten.

Tillståndsmyndigheten kan av vägande skäl besluta att behandlingstiden för en ansökan om dataanvändningstillstånd ska förlängas med högst tre månader, om behandlingen av ansökan och den anknytande planen för användning av uppgifterna förutsätter en exceptionellt omfattande behandling som omfattar flera olika personuppgiftsansvarigas uppgifter eller särskilt krävande prövning. Tillståndsmyndigheten ska underrätta den som ansöker om tillstånd om förlängning av tidsfristen och om grunden för förlängningen samt om den nya tidsfrist inom vilken tillståndsbeslutet meddelas.

Om den myndighet som svarar för beslutet om dataanvändningstillstånd begär ett utlåtande enligt 44 § 4 mom. från dataombudsmannen, avbryts den ansvariga myndighetens tidsfrist för behandling av ansökan tills utlåtandet har kommit in.

En personuppgiftsansvarig som avses i 6 § och en privat tillhandahållare av social- eller hälsovårdstjänster ska utan dröjsmål lämna Tillståndsmyndigheten de uppgifter som behövs för behandlingen av en ansökan om dataanvändningstillstånd eller av en sådan informationsbegäran om aggregerade statistiska uppgifter som avses i 45 §, dock senast 15 vardagar från det att begäran inkom.

En personuppgiftsansvarig som avses i 6 § och en privat tillhandahållare av social- eller hälsovårdstjänster ska på begäran av Tillståndsmyndigheten utan dröjsmål lämna ut registeruppgifter enligt ett beviljat dataanvändningstillstånd eller uppgifter som behövs för behandlingen av en sådan begäran om aggregerade statistiska uppgifter som avses i 45 §, dock senast 30 vardagar från det att Tillståndsmyndigheten har fattat beslut om att uppgifterna får lämnas ut till sökanden. Om den utredning som den sökande anfört till stöd för utlämnande av uppgifter är otillräcklig, ska Tillståndsmyndigheten utan dröjsmål underrätta sökanden om vilka tilläggsutredningar som krävs. De begärda uppgifterna ska då lämnas till sökanden inom 30 vardagar från det att tilläggsutredningen togs emot, om säkerhet om förutsättningarna för utlämnandet kan nås med stöd av den inlämnade tilläggsutredningen.

Om uppgifterna inte kan lämnas ut till Tillståndsmyndigheten inom den tid som avses i 1 mom., ska den personuppgiftsansvarige före tidsfristens utgång informera om dröjsmålet, om orsaken till dröjsmålet och om den förlängning av tidsfristen som behövs för utlämnande av uppgifter. Tillståndsmyndigheten ska av grundad anledning ställa en ny tidsfrist för utlämnandet.

Tillståndsmyndigheten ska lämna ut de uppgifter som den med stöd av ett dataanvändningstillstånd samlat in och samkört till tillståndshavaren utan dröjsmål, dock senast 60 vardagar från det att tillståndet beviljades.

Tillståndsmyndigheten kan av vägande skäl förlänga tidsfristen för utlämnandet, om uppgifternas användningsändamål förutsätter en exceptionellt omfattande behandling som berör uppgifter hos flera olika personuppgiftsansvariga eller en särskilt krävande samkörning. Tillståndsmyndigheten ska informera tillståndshavaren om förlängningen av tidsfristen och om grunden för förlängningen samt om den nya tidsfrist inom vilken uppgifterna lämnas ut.

Tillståndsmyndigheten eller någon annan myndighet som beviljat tillstånd får ta ut en avgift för ett dataanvändningstillstånd och för ett beslut som gäller en begäran om information. Bestämmelser om grunderna för fastställande av avgifter finns i lagen om grunder för avgifter till staten (150/1992).

Tillståndsmyndigheten får ta ut ersättning för urval, tillhandahållande, samkörning, förbehandling, pseudonymisering och anonymisering av uppgifter enligt ett dataanvändningstillstånd eller ett beslut som gäller en begäran om information som avses i denna lag samt för användning av en informationssäker driftmiljö.

Ersättningar som gäller uppgifter som med stöd av dataanvändningstillstånd eller beslut som gäller begäran om information plockas ut och tillhandahålls från andra datalager än Tillståndsmyndighetens egna bestäms i enlighet med vad som föreskrivs om varje personuppgiftsansvarig som tillhandahållit uppgifterna. Den personuppgiftsansvarige eller det personuppgiftsbiträde som lämnar ut uppgifter till Tillståndsmyndigheten med stöd av ett dataanvändningstillstånd eller ett beslut som gäller en begäran om information enligt denna lag har rätt att av myndigheten som ersättning få en på föreskrivet sätt bestämd andel av de kostnadsersättningar som påförts tillståndshavaren eller den som mottagit beslutet.

Den som har rätt till ersättning i enlighet med denna paragraf ska på begäran tillhandahålla Tillståndsmyndigheten en uppskattning av vilka kostnader den som har rätt till ersättning för behandlingen av uppgifter orsakas. Tillståndsmyndigheten gör utifrån de uppgifter den fått upp ett kostnadsförslag för tillmötesgående av begäran om information och lämnar den till den som ansöker om tillstånd eller lämnat begäran. Tillståndsmyndigheten tar ut de ersättningar som avses i 2 mom. hos tillståndshavaren eller mottagaren av beslutet om begäran om information och betalar dem till de personuppgiftsansvariga som lämnat uppgifter.

Bestämmelser om grunderna för bestämmande av ersättningar till Tillståndsmyndigheten finns i lagen om grunderna för avgifter till staten. Bestämmelser om avgifter som bedömningsorgan för informationssäkerhet tar ut för bedömningar finns i 11 § i lagen om bedömningsorgan för informationssäkerhet.

Registrering och införande av en i 30 § 1 mom. i denna lag avsedd anmälan i ett offentligt register hos Tillstånds- och tillsynsverket för social- och hälsovården är avgiftsbelagd.

Om Tillståndsmyndigheten har beviljat dataanvändningstillstånd i en situation där detta förutsätts enligt 44 §, ska den samla in och vid behov samköra samt pseudonymisera eller anonymisera de uppgifter som specificeras i dataanvändningstillståndet samt lämna ut datamaterialet till tillståndshavaren för behandling enligt 3 mom. i denna paragraf.

Om en enskild personuppgiftsansvarig som avses i 44 § 3 mom. har fattat ett beslut om dataanvändningstillstånd i fråga om uppgifter i dess egna register, ska den samla in uppgifterna ur registren, vid behov samköra, förbehandla och pseudonymisera dem och överlämna datamaterialet till tillståndshavaren för behandling i enlighet med 3 mom. i denna paragraf. Om datamaterialet ändå överlämnas till tillståndshavaren i anonymiserad form, ska den personuppgiftsansvarige ge in tillståndsbeslutet samt uppgifterna enligt tillståndet till Tillståndsmyndigheten, vid behov för samkörning och förbehandling samt anonymisering. Tillståndsmyndigheten svarar alltid för anonymiseringen av uppgifter som lämnas ut för behandling och för att de lämnas ut till tillståndshavaren för behandling.

Utlämning av datamaterial enligt ett dataanvändningstillstånd för behandling av tillståndshavaren ska alltid ske i en sådan informationssäker driftmiljö som avses i 20 § via en sådan informationssäker drifttjänst som avses i 17 §, såvida det inte har bildats aggregerade statistiska uppgifter av datamaterialet. Det datamaterial som avses i 1 och 2 mom. i denna paragraf ska i första hand lämnas ut för att behandlas i den informationssäkra driftmiljö som avses i 20 § 1 mom. och som Tillståndsmyndigheten förvaltar. Om det emellertid av ett särskilt skäl som framgår av planen för användning av uppgifterna eller dataanvändningstillståndet är viktigt kan datamaterialet lämnas ut för behandling på motsvarande sätt i en annan informationssäker driftmiljö som avses 20 § 3 mom.

Om användningsändamålet kräver uppgifter som Statistikcentralen eller Institutet för hälsa och välfärd i egenskap av statistikmyndighet samlat in för statistiska ändamål, samkör statistikmyndigheten i fråga och vid behov förbehandlar och pseudonymiserar eller anonymiserar de uppgifter som ska lämnas ut. Om användningsändamålet kräver uppgifter av båda statistikmyndigheterna, ska de sinsemellan komma överens om vilken myndighet som samkör och pseudonymiserar eller anonymiserar uppgifterna. Uppgifterna kan därefter, beroende på art och omfattning, lämnas ut via den informationssäkra drifttjänst som avses i 17 § till tillståndshavaren för behandling i en informationssäker driftmiljö som förvaltas av Statistikcentralen eller Tillståndsmyndigheten eller i någon annan driftmiljö enligt 20 §.

Leverantören av en driftmiljö ska innan en anslutning till tillståndshavaren öppnas säkerställa att tillståndshavaren uppfyller kraven i dataanvändningstillståndet.

När uppgifter lämnats ut med stöd av ett dataanvändningstillstånd för behandling i en sådan informationssäker driftmiljö som avses i 20 § och någon vill publicera resultatet utifrån uppgifterna ska Tillståndsmyndigheten försäkra sig om att de uppgifter som publiceras är anonymiserade. Myndigheten kan emellertid av grundad anledning i tillståndsbeslutet bevilja tillståndshavaren rätt att själv anonymisera de uppgifter som ska publiceras, förutsatt att uppgifterna ges in till myndigheten i efterhand.

Tillståndsmyndigheten producerar anonymiserade resultat och överlämnar dem till tillståndshavaren som får publicera dem fritt enligt sin begäran och de bifogade förslagen oberoende av om dataanvändningstillståndet beviljats av en enskild personuppgiftsansvarig eller Tillståndsmyndigheten.

Myndigheter som ansvarar för behandlingen av dataanvändningstillstånd ska minst en gång om året lämna dataombudsmannen en detaljerad redogörelse för behandlingen av uppgifter med stöd av denna lag och för behandlingen av uppgifter som registrerats i loggregistret.

Om sekretessbelagda uppgifter med stöd av denna lag lämnas ut till någon annan än en myndighet, ska mottagaren i samband med utlämnandet informeras om sekretessplikten så som föreskrivs i 25 § i offentlighetslagen.

Trots vad som någon annanstans i lag föreskrivs om rätten eller skyldigheten att lämna ut sekretessbelagda uppgifter, får uppgifter som samlats in med stöd av denna lag inte lämnas ut för administrativt beslutsfattande eller någon annan motsvarande behandling av ärenden som gäller en enskild person utan hans eller hennes uttryckliga samtycke. En tillsynsmyndighet inom social- och hälsovården får dock i en tillsynsuppgift som gäller någon annan än den registrerade använda uppgifter som den erhållit med stöd av 42 §, när lagenligheten eller den professionella lämpligheten bedöms i verksamhet som bedrivs av verksamhetsenheter eller yrkesutbildade personer inom social- och hälsovården.

Trots vad som föreskrivs i 54 § 3 mom. har en innehavare av dataanvändningstillstånd rätt att till den ansvariga person som Tillståndsmyndigheten utsett anmäla betydande kliniska fynd på grundval av vilka hälsorisker för en viss patient kan förebyggas eller vårdens kvalitet betydligt förbättras.

Om de uppgifter som är grunden för den anmälan som avses i 1 mom. är pseudonymiserade, ska den ansvariga personen utreda vem eller vilka informationen gäller. När Tillståndsmyndighetens ansvariga person känner till vilken eller vilka personer som en anmälan enligt 1 mom. gäller, ska den ansvariga personen utan obefogat dröjsmål lämna uppgifterna till en expert som utsetts av Institutet för hälsa och välfärd.

Den expert som avses i 2 mom. ska i samarbete med övriga experter som utsetts av institutet bedöma betydelsen av informationen och den förväntade nyttan med de åtgärder som kan vidtas med stöd av den. Om nyttan bedöms vara så uppenbar att det skulle vara viktigt att den som ska undersökas får vård, ska den expert vid Institutet för hälsa och välfärd som avses i 2 mom. anmäla fyndet till den verksamhetsenhet som med stöd av hälso- och sjukvårdslagen är regionalt ansvarig för den aktuella personens hälso- och sjukvård.

Den verksamhetsenhet som avses i 3 mom. ska kontakta patienten och klarlägga om han eller hon vill ha information om det betydande kliniska fyndet och de undersöknings- och vårdåtgärder som eventuellt ska vidtas på grundval av det samt om den förväntade nyttan med åtgärderna.

Patienten har rätt att förbjuda kontakt som tas på basis av ett kliniskt betydande fynd. Förbudet antecknas i den viljeyttringstjänst som avses i 12 § i lagen om elektronisk behandling av kunduppgifter inom social- och hälsovården (784/2021). Patienten kan meddela förbudet skriftligt hos en valfri verksamhetsenhet som producerar offentlig hälso- och sjukvård eller elektroniskt via det medborgargränssnitt som avses i 24 § i den lagen.

Patienten har rätt att förbjuda kontakt som tas på basis av ett kliniskt betydande fynd. Förbudet antecknas i patientens informationshanteringstjänst som avses i 14 a § i klientuppgiftslagen. Patienten kan meddela förbudet skriftligt hos en valfri verksamhetsenhet som producerar offentlig hälso- och sjukvård eller elektroniskt via det medborgargränssnitt som avses i 19 § i klientuppgiftslagen.

För den allmänna planeringen, styrningen och övervakningen av behandling av kunduppgifter enligt denna lag och av anknytande informationsförvaltning svarar social- och hälsovårdsministeriet.

Dataombudsmannen, Tillstånds- och tillsynsverket för social- och hälsovården samt Tillståndsmyndigheten styr och övervakar inom sitt verksamhetsområde i enlighet med sin behörighet efterlevnaden av denna lag.

Tillståndsmyndigheten och övriga myndigheter som beviljar dataanvändningstillstånd i enlighet med denna lag samt Tillstånds- och tillsynsverket för social- och hälsovården ska för sin del följa och övervaka att det dataskydd och den datasäkerhet som hänför sig till deras tjänster förverkligas och att villkoren i tillstånd som de beviljat iakttas. Om någon har behandlat personuppgifter i strid med lag, ska den behöriga myndigheten på eget initiativ vidta behövliga åtgärder. Om uppgifter med stöd av 20 § 3 mom. behandlas i någon annan driftmiljö än Tillståndsmyndighetens informationssäkra driftmiljö, ska logguppgifterna enligt 19 § och uppgifterna i ett användarregister enligt 22 § 2 mom. på Tillståndsmyndighetens begäran lämnas till den utan obefogat dröjsmål för förverkligande av uppföljningen och övervakningen.

Om Tillståndsmyndigheten eller en myndighet som beviljar dataanvändningstillstånd i enlighet med denna lag har grundad anledning att misstänka att den som behandlar uppgifter med stöd av ett dataanvändningstillstånd från myndigheten inte behandlar personuppgifter i enlighet med lag, ska myndigheten underrätta dataombudsmannen om saken snarast möjligt.

Tillståndsmyndigheten ska rapportera till styrgruppen om avvikelser från de tidsfrister som avses i 47 och 48 § och publicera uppgifter om dem.

I ett beslut enligt denna lag som Tillståndsmyndigheten eller en personuppgiftsansvarig som avses i 6 § meddelat om en begäran om information enligt 45 § samt om en ansökan om dataanvändningstillstånd eller återkallelse av tillstånd samt i ett beslut som Tillstånds- och tillsynsverket för social- och hälsovården har fattat med stöd av denna lag får omprövning begäras på det sätt som anges i förvaltningslagen hos den myndighet som fattat beslutet.

I ett beslut som har fattats med anledning av en begäran om omprövning får ändring sökas genom besvär hos förvaltningsdomstolen på det sätt som anges i förvaltningsprocesslagen (586/1996). Förvaltningsdomstolens beslut får överklagas genom besvär bara om högsta förvaltningsdomstolen beviljar besvärstillstånd.

Denna lag träder i kraft den 1 maj 2019.

Bestämmelserna om logguppgifter i 19 § och om kraven på informationssäkra driftmiljöer i 20 § 3 mom. och 21–34 § samt om kliniska fynd i 55 § tillämpas från och med den 1 maj 2021. Före denna tidpunkt får uppgifter lämnas ut för behandling till tillståndstagaren med stöd av 51 § 1 och 2 mom., även om det i ansökan om dataanvändningstillstånd inte anvisas en i 51 § 3 mom. avsedd informationssäker driftmiljö för behandlingen av uppgifter.

Tidsfristerna för utlämnande av uppgifter enligt 47 § 4 mom. och 48 § tillämpas på Folkpensionsanstalten och serviceanordnare inom socialvården från och med den 1 januari 2024 samt på uppgifter om recept och anknytande receptexpedieringar som registrerats i det receptcenter som avses i 3 § 4 punkten och i det receptarkiv som avses i 3 § 5 punkten i lagen om elektroniska recept från och med den 1 januari 2021.

Denna lag tillämpas på de Kanta-tjänster som avses i klientuppgiftslagen från och med den 1 januari 2021.

Uppgifter som före lagens ikraftträdande samlats in med den berördas samtycke får i enlighet med denna lag användas och lämnas ut för användningsändamål enligt 2 § 1 mom. 1, 2 och 7 punkten trots vad som föreskrivs i 43 § 3 mom., om det är uppenbart att användningen och utlämnandet inte avviker från de syften för vilka uppgifterna har lämnats. Den myndighet som fattar beslut om dataanvändningstillståndet kan förutsätta att den som ansöker om tillstånd, till grund för tillståndsbeslutet ska be om en etisk bedömning av den etiska kommittén vid Institutet för hälsa och välfärd.

Behandlingen av en ansökan som har gjorts innan denna lag trätt i kraft slutförs i enlighet med de bestämmelser som gällde vid ikraftträdandet. På en ansökan som gäller utlämnande av personuppgifter enligt 4 § i lagen om riksomfattande personregister för hälsovården (556/1989) tillämpas dock inte skyldigheten enligt 1 mom. i den paragrafen att ge dataombudsmannen möjlighet att bli hörd, utan rätten enligt 44 § 4 mom. i denna lag att begära utlåtande från dataombudsmannen om en ansökan om dataanvändningstillstånd.

Bestämmelserna om en rådgivningstjänst i 13 § i denna lag ska tillämpas från och med den 1 november 2019.

Bestämmelserna om behandling av begäranden om aggregerade statistiska uppgifter i 41 § 2 mom., 42 § 1 mom. och 45 § i denna lag ska tillämpas från och med den 1 januari 2020.

Bestämmelserna om en tjänst för insamling, samkörning och förbehandling av uppgifter och om pseudonymisering och anonymisering av uppgifter i 14 § 1 och 2 mom., om ett hanteringssystem för begäranden om information i 16 § och om en informationssäker driftmiljö i 20 § 1 mom. tillämpas från och med den 1 januari 2020.

Behörighet för behandling av dataanvändningstillstånd bestäms i enlighet med 44 § 1–3 mom. i denna lag från och med den 1 april 2020. Ansökan om dataanvändningstillstånd och begäran om information ska via det i 16 § avsedda hanteringssystemet för begäranden om information lämnas till Tillståndsmyndigheten från och med den 1 april 2020.

Lagens syfte är att möjliggöra en effektiv och informationssäker behandling av personuppgifter som har registrerats i social- och hälsovårdsverksamhet och för styrnings-, tillsyns-, forsknings- och statistikändamål inom social- och hälsovården samt en samkörning av dessa personuppgifter med Folkpensionsanstaltens, Befolkningsregistercentralens, Statistikcentralens och Pensionsskyddscentralens personuppgifter.

Lagens syfte är dessutom att trygga skyddet för individens tillitsskydd samt rättigheter och friheter vid behandlingen av personuppgifter.

Bestämmelser om organisationer vars uppgifter får behandlas i enlighet med 1 mom. samt om inskränkningar i behandlingen av uppgifter finns i 6 och 7 §.

Bestämmelser om grunder för utlämnande personuppgifter och om mottagarens rätt att behandla de utlämnade personuppgifterna för sådana ändamål som avses i 1 mom. finns i 4 och 5 kap.

Den i denna lag avsedda Tillståndsmyndigheten för användning av social- och hälsovårdsdata (Tillståndsmyndigheten) finns i anslutning till Institutet för hälsa och välfärd. För de uppgifter som föreskrivs för Tillståndsmyndigheten svarar vid institutet en självständig enhet som har avskilts från de uppgifter som anges i 2 § i lagen om Institutet för hälsa och välfärd (668/2008).

Tillståndsmyndigheten omfattas av social- och hälsovårdsministeriets resultatstyrning och har en separat direktör utnämnd av social- och hälsovårdsministeriet och en av ministeriet tillsatt styrgrupp.

Tillståndsmyndigheten fattar beslut om dataanvändningstillstånd som gäller andra personuppgiftsansvarigas material och beslutar om en begäran om information enligt 45 § överensstämmer med denna lag samt svarar för insamling, samkörning, förbehandling och utlämnande av uppgifter med stöd av dess beslut för sekundär användning enligt denna lag. Tillståndsmyndigheten får även för ett användningsändamål enligt denna lag på begäran om information samla in personuppgifter från olika personuppgiftsansvariga och genom att samköra dem producera anonym information åt den som framställt begäran.

Tillståndsmyndigheten driver ett hanteringssystem för begäranden om information för förmedling och behandling av begäranden om information och tillståndsansökningar samt en informationssäker drifttjänst för mottagande och utlämnande av personuppgifter. Tillståndsmyndigheten förvaltar även en informationssäker driftmiljö där tillståndshavaren kan behandla de personuppgifter som lämnats ut med stöd av ett dataanvändningstillstånd.

Tillståndsmyndigheten övervakar att villkoren för det beviljade tillståndet iakttas. Den får återkalla ett dataanvändningstillstånd, om tillståndshavaren inte iakttar lagen eller bryter mot villkoren i tillståndet.

Tillståndsmyndigheten svarar på det sätt som anges i 52 § för anonymiseringen av de personuppgifter som de publicerade resultaten bygger på.

Statistikcentralen samt Institutet för hälsa och välfärd i egenskap av statistikmyndighet (statistikmyndigheter) svarar för dataanvändningstillstånd för uppgifter som de i egenskap av statistikmyndigheter för statistiska ändamål samlat in för vetenskaplig forskning och för att uppgifter som hänför sig till en och samma forskningsplan samkörs med deras egna uppgifter samt för pseudonymisering eller anonymisering av uppgifterna i enlighet med statistiklagen (280/2004). En tillståndsansökan som gäller andra uppgifter som avses i denna lag och uppgifter som statistikmyndigheterna samlat in för statistiska ändamål lämnas till Statistikcentralen och Institutet för hälsa och välfärd via det hanteringssystem för begäranden om information som avses i 16 §. Även kontakterna till den tillståndssökande vid behandlingen av en tillståndsansökan och delgivningen av beslutet sker via hanteringssystemet.

Bestämmelser om utlämnande av uppgifter till uppgifter enligt denna lag som sammanslagits i enlighet med statistiklagen finns i 51 § 4 mom.

Social- och hälsovårdsministeriet ska utse en expertgrupp på hög nivå för Tillståndsmyndigheten. Gruppen har i uppgift att ta fram principiella riktlinjer för anonymisering, dataskydd och informationssäkerhet för myndighetens verksamhet. Expertgruppen ska ha en expert på artificiell intelligens, dataanalys, informationssäkerhet, dataskydd, sektorsforskning, statistik respektive statistikväsendet och en företrädare för Tillståndsmyndigheten. Närmare bestämmelser om expertgruppens uppgifter, antalet medlemmar och behörighetsvillkoren för dem får utfärdas genom förordning av social- och hälsovårdsministeriet.

Social- och hälsovårdsministeriet får ensamt eller tillsammans med en eller flera organisationer som avses i 6 §, undervisnings- och kulturministeriet, arbets- och näringsministeriet eller finansministeriet bilda ett aktiebolag som verkar under Tillståndsmyndigheten. Bolaget ägs och förvaltas av staten. För ägarstyrningen av bolaget och förvaltningen av dess aktier svarar social- och hälsovårdsministeriet. Syftet med bolagets verksamhet är inte att bereda vinst.

Bolaget kan ges uppgifter i anknytning till de tjänster som avses i 10 § 3–7 punkten. Närmare bestämmelser om bolagets uppgifter får utfärdas genom förordning av statsrådet.

Institutet för hälsa och välfärd eller Tillståndsmyndigheten kan producera administrativa tjänster och andra stödtjänster för aktiebolaget mot ersättning till marknadspris.

Bolaget ska på begäran lämna social- och hälsovårdsministeriet de uppgifter som behövs för att bolaget ska kunna styras och övervakas. På bolagets handlingar tillämpas vad som i lagen om offentlighet i myndigheternas verksamhet (621/1999), nedan offentlighetslagen, föreskrivs om myndighetshandlingar. Beslut om att en bolagshandling inte lämnas ut till den som begär det ska fattas av Tillståndsmyndigheten i enlighet med 4 kap. i offentlighetslagen.

För bolagets verksamhet kan det beviljas statsunderstöd inom ramen för de anslag som tas in i statsbudgeten. Bestämmelser om statsunderstöd finns i statsunderstödslagen (688/2001).

På personer som är anställda hos bolaget och på ledamöter i bolagets styrelse tillämpas bestämmelserna om straffrättsligt tjänsteansvar.

Tillståndsmyndigheten svarar dock för tjänster som gäller uppgifter hos Pensionsskyddscentralen, Befolkningsregistercentralen och Statistikcentralen endast om uppgifterna samkörs med uppgifter som innehas av de organisationer som avses i 6 § 1–8 punkten, med uppgifter som är registrerade i Kanta-tjänsterna eller med registeruppgifter hos en privat serviceanordnare inom socialvården eller hälso- och sjukvården.

Om en ansökan om dataanvändningstillstånd gäller uppgifter i personregister hos endast en av de organisationer som avses i 6 § 1–8 punkten, svarar organisationen själv för alla de tjänster som avses i 10 § 1–4 punkten. De organisationerna kan emellertid underrätta Tillståndsmyndigheten att de avstår från att tillhandahålla andra tjänster än de som avses i 10 § 1 och 2 punkten. I så fall svarar Tillståndsmyndigheten för den anmälande organisationens tjänster avseende personuppgifter enligt 10 § 3–7 punkten.

De organisationer som avses i 6 § ska som personuppgiftsansvariga göra upp materialbeskrivningar av datainnehållet i sina datalager så att det på basis av dem är möjligt att bedöma om registeruppgifterna lämpar sig för de ändamål som anges i 2 §. Tillståndsmyndigheten ska göra upp materialbeskrivningar över sina i 14 § 5 mom. avsedda färdiga datamaterial.

Tillståndsmyndigheten meddelar närmare föreskrifter om materialbeskrivningarnas datainnehåll, begrepp och datastrukturer. Innan föreskrifterna meddelas ska Tillståndsmyndigheten höra organisationerna i fråga.

Bestämmelser om när de skyldigheter som föreskrivs i 1 mom. börjar tillämpas utfärdas genom förordning av social- och hälsovårdsministeriet.

En personuppgiftsansvarig enligt 6 § ska ordna en rådgivningstjänst för sina egna registeruppgifter som avses i den paragrafen så att de som behöver uppgifterna för ändamål som avses i 2 § får tillräcklig information om de tillgängliga registrens datainnehåll och huruvida registeruppgifterna lämpar sig för det aktuella informationsbehovet.

Utöver vad som föreskrivs i 1 mom. ska Tillståndsmyndigheten ordna en rådgivningstjänst som avser förutsättningarna för beviljande av dataanvändningstillstånd, förutsättningarna för godkännande av begäran om information, innehållet i och betydelsen av de tjänster som avses i 10 § samt de färdiga datamaterial som avses i 14 § 5 mom.

När Tillståndsmyndigheten har beviljat ett dataanvändningstillstånd enligt 44 § eller beslutat bifalla en begäran om information enligt 45 § ska den samla in, samköra och förbehandla och vid behov pseudonymisera eller anonymisera materialet för behandling av tillståndshavaren eller producera de aggregerade statistiska uppgifter som avses i begäran om information i enlighet med beslutet.

När dataanvändningstillståndet har beviljats av en enskild personuppgiftsansvarig enligt 6 § 1–8 punkten i fråga om uppgifter i dennes egna register ska den producera materialet enligt tillståndet för behandling av tillståndshavaren. Om materialet emellertid enligt tillståndet lämnas ut i anonymiserad form ska den personuppgiftsansvarige ge in tillståndet och det tillhörande datamaterialet till Tillståndsmyndigheten för samkörning, förbehandling och anonymisering.

Tillståndsmyndigheten ska bevara en beskrivning av hur datamaterial och aggregerade statistiska uppgifter som den lämnat ut bildats, av de pseudonymiserings- och anonymiseringsmetoder den använt och av det utlämnade slutresultatet.

Om personuppgifter med stöd av flera olika planer för användning av uppgifter lämnas ut i pseudonymiserad form, ska uppgifterna pseudonymiseras med olika identifierare för varje utlämnande.

Tillståndsmyndigheten får utforma färdiga datamaterial av uppgifter hos de myndigheter och organisationer som avses i 6 §. Tillståndsmyndigheten får senare plocka ut de uppgifter som behövs för beviljande av dataanvändningstillstånd och som avses i ett beviljat dataanvändningstillstånd eller i ett beslut med anledning av en begäran om information ur de färdiga datamaterialen.

Den myndighet som beviljat dataanvändningstillstånd förvarar identifierarna för pseudonymiserat material på ett informationssäkert sätt så att materialet vid behov kan göras identifierbart och att detta samma material med hjälp av identifierarna kan produceras på nytt.

Myndigheten ska förvara identifierarna så länge de behövs för forskning och för säkerställande av ändamålsenliga forskningsresultat.

Tillståndsmyndigheten driver ensam eller tillsammans med andra myndigheter ett system för hantering av begäranden om information, via vilket en ansökan om dataanvändningstillstånd eller en begäran om information enligt denna lag ska lämnas till Tillståndsmyndigheten.

Utredningar och kompletteringar som Tillståndsmyndigheten begär för att kunna behandla ansökan samt de utredningar, kompletteringar och ändringar i ansökan som sökanden lämnar in till Tillståndsmyndigheten förmedlas via hanteringssystemet. Tillståndsbeslutet delges sökanden via hanteringsystemet.

Om användningsändamålet enligt lag förutsätter en etisk förhandsgranskning av planen för användning av uppgifterna, inleds även en etisk granskning och lämnas ett utlåtande via hanteringssystemet.

Tillståndsmyndigheten driver en informationssäker drifttjänst att användas vid utlämnande av de uppgifter som behövs vid behandlingen av en ansökan om dataanvändningstillstånd eller i begäran om information samt av uppgifter som avses i ett beviljat dataanvändningstillstånd. Via drifttjänsten får personuppgifter, under de förutsättningar som anges i denna lag, lämnas mellan Tillståndsmyndigheten och övriga myndigheter som anges i 6 §, mellan Tillståndsmyndigheten och privata tillhandahållare av social- och hälsovårdstjänster samt mellan den som ansöker om tillstånd och Tillståndsmyndigheten.

När personuppgifter förmedlas via den informationssäkra drifttjänsten ska deras integritet och ursprung säkerställas med en elektronisk underskrift. Integritet och ursprung hos uppgifter som sänds av en organisation och informationsteknisk utrustning ska säkerställas genom användning av teknik med motsvarande tillförlitlighet som vid elektronisk signering som görs av en fysisk person. Användare av den informationssäkra drifttjänsten måste vara starkt identifierade när personuppgifter lämnas ut till dem. Bestämmelser om avancerad elektronisk underskrift och stark elektronisk identifiering finns i Europaparlamentets och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG och i lagen om stark autentisering och betrodda elektroniska tjänster (617/2009).

Tillståndsmyndigheten ska skapa de gränssnitt som behövs för drifttjänstens interoperabilitet och sörja för att dataöverföringen kan göras med hjälp av allmänt använda tekniker.

När personuppgifter behandlas med stöd av denna lag ska en tillräcklig informationssäkerhet för behandlingen säkerställas genom riskhantering, åtkomsthantering, aktiv övervakning och genom iakttagande av föreskrifter och anvisningar från den myndighet som svarar för förverkligandet och övervakningen av informationssäkerhet och dataskydd. Särskild uppmärksamhet ska fästas vid att användningsbegränsningar och sekretessplikten iakttas.

Den som behandlar personuppgifter med stöd av ett dataanvändningstillstånd enligt denna lag ska i användningslogguppgifterna registrera information om den personuppgiftsansvarige som fått dataanvändningstillstånd, användningsändamålet enligt 2 §, dataanvändningstillstånd som ger rätt till behandling, användare som är berättigad att behandla uppgifterna enligt dataanvändningstillståndet, de uppgifter och uppgiftsgrupper som har behandlats samt användningstidpunkten.

När en tjänstetillhandahållare behandlar personuppgifter i sina personregister och informationsledning är användningsändamålet ska denne i användningslogguppgifterna registrera information om vilka personuppgifter som använts, vem som har använt uppgifterna, användningsändamålet och användningstidpunkten.

Logguppgifterna ska förstöras eller arkiveras tolv år efter det att dataanvändningstillståndet upphört att gälla eller den behandling som avses i 3 mom. har upphört.

Tillståndsmyndigheten kan meddela närmare föreskrifter om de uppgifter som ska registreras i loggregistren och om deras datainnehåll.

Tillståndsmyndigheten ska ensam eller tillsammans med andra myndigheter förvalta en informationssäker driftmiljö som gör det möjligt att garantera en informationssäker, tillståndsenlig behandling av uppgifter som Tillståndsmyndigheten eller någon annan myndighet som avses i denna lag lämnat ut med stöd av denna lag.

Behandlingen ska vara tekniskt möjlig att genomföra på olika sätt och driftmiljön ska vara tillgänglig från olika platser. Tillståndsmyndigheten ska bedöma hur känsliga de uppgifter som lämnas ut är och beakta detta i de krav som i beslutet om dataanvändningstillstånd ska ställas på användning av den informationssäkra driftmiljön.

Om ansökan om dataanvändningstillstånd innehåller en begäran om att datamaterial ska lämnas ut för behandling i en annan miljö än den som avses i 1 mom., ska det i ansökan särskilt motiveras varför detta är nödvändigt. Tillståndsmyndigheten eller någon annan myndighet som avses i denna lag får då lämna ut uppgifter till sökanden endast om driftmiljön uppfyller villkoren i 2 mom. och i 21–29 §.

Användarna i en informationssäker driftmiljö ska identifieras på ett tillförlitligt sätt och verifieras.

Närmare bestämmelser om de tekniska identifierings- och verifieringsmedlen får utfärdas genom förordning av social- och hälsovårdsministeriet.

Tjänsteleverantören ska specificera åtkomsträttigheterna till personuppgifter för tillståndshavaren och andra personer som behandlar personuppgifter i driftmiljön. Tillståndshavaren ges åtkomsträttighet till personuppgifter enligt dataanvändningstillståndet. Andra personer som behandlar personuppgifter i en driftmiljö beviljas åtkomsträttigheter till sådana nödvändiga personuppgifter som de behöver i sina arbetsuppgifter.

Tjänsteleverantören ska föra register över användarna i den informationssäkra driftmiljön och deras åtkomsträttigheter. Uppgifter om åtkomsträttigheter för användarna i driftmiljön ska förstöras eller arkiveras tolv år efter det att åtkomsträtten upphört att gälla.

Tillståndsmyndigheten meddelar föreskrifter om de grunder enligt vilka tjänsteleverantören ska specificera tillståndshavarens åtkomsträttigheter till kunduppgifterna.

En informationssäker driftmiljö ska skyddas i enlighet med statliga myndigheters skyldigheter i fråga om informationssäkerhet enligt vad som föreskrivs i 36 § i offentlighetslagen och i den statsrådsförordning som utfärdats med stöd av 1 mom. i den paragrafen.

Driftmiljön ska i enlighet med 19 § möjliggöra insamling av logguppgifter om användningen av utlämnade uppgifter för uppföljning och tillsyn.

Informationssäkra driftmiljöer ska uppfylla kraven på informationssäkerhet och interoperabel informationsöverföring som bygger på myndigheternas föreskrifter, rekommendationer och de standarder som enligt dessa lämpar sig för en informationssäker driftmiljö.

Tillståndsmyndigheten meddelar närmare föreskrifter om de krav som ska ställas på andra tjänsteleverantörers informationssäkra driftmiljöer. Kraven ska förutsätta informationssäkerhet på motsvarande nivå som i Tillståndsmyndighetens egen driftmiljö.

Informationssäkerheten i driftmiljön ska påvisas genom ett i 26 § avsett intyg från ett bedömningsorgan för informationssäkerhet.

Tillståndsmyndigheten får meddela närmare föreskrifter om de förfaranden som ska iakttas vid påvisande av informationssäkerhet.

Ett bedömningsorgan för informationssäkerhet bedömer i enlighet med denna lag och lagen om bedömningsorgan för informationssäkerhet, på ansökan av tjänsteleverantören om driftmiljön uppfyller kraven på informationssäkerhet. Som bedömningskriterier ska användas föreskrifter om kraven på en säker driftmiljö från Tillståndsmyndigheten.

Om driftmiljön uppfyller informationssäkerhetskraven enligt denna lag, ska bedömningsorganet för informationssäkerhet ge tjänsteleverantören ett intyg över sin bedömning och en anknytande kontrollrapport. Om bedömningen eller en förnyad bedömning gäller endast en del av driftmiljön, ska det i bedömningsorganets intyg tydligt antecknas vilken del av driftmiljön som har bedömts.

Bedömningsorganets intyg är i kraft högst fem år. Bedömningsorganet för informationssäkerhet kan av tjänsteleverantören kräva alla de uppgifter som förutsätts för bedömningen och för uppgörandet och upprätthållandet av intyget. På utfärdande av intyget tillämpas i övrigt 9 § 3 mom. i lagen om bedömningsorgan för informationssäkerhet.

Om ett bedömningsorgan för informationssäkerhet konstaterar att en driftmiljö inte har uppfyllt eller inte längre uppfyller kraven i denna lag eller att ett intyg av någon annan orsak inte borde ha beviljats, ska organet uppmana tjänsteleverantören att avhjälpa bristerna. Bedömningsorganet får återkalla intyget för viss tid eller helt och hållet eller bevilja intyget med begränsningar, om inte tjänsteleverantören avhjälper bristerna inom den tid som organet satt ut. När tidsfristens längd bestäms ska det beaktas att en skälig tid behövs för att korrigera driftmiljön.

Bedömningsorgan för informationssäkerhet ska underrätta Tillstånds- och tillsynsverket för social- och hälsovården om alla intyg som har utfärdats, ändrats eller kompletterats eller som har återkallats för viss tid eller helt och hållet eller förvägrats samt om de uppmaningar och begränsningar som avses i 27 §. Dessutom ska bedömningsorgan för informationssäkerhet på begäran ge Tillstånds- och tillsynsverket för social- och hälsovården all behövlig ytterligare information i ärendet.

Tjänsteleverantören ska genom ett uppdaterat och systematiskt förfarande följa upp och utvärdera erfarenheterna av en informationssäker driftmiljö under den tid den används för produktion. Tjänsteleverantören ska ge akt på ändringar i denna lag och justera driftmiljön i enlighet med ändringarna. Väsentliga förändringar i driftmiljön ska anmälas till bedömningsorganet för informationssäkerhet. Bedömningsorganets intyg ska förnyas, om betydande förändringar görs i driftmiljön eller om minimikraven på driftmiljön har ändrats på ett sätt som förutsätter en förnyad bedömning.

Tjänsteleverantören ska bevara uppgifterna om överensstämmelse med kraven och övriga uppgifter som tillsynen kräver i minst fem år efter det att den informationssäkra driftmiljön inte längre används för produktion.

Tillstånds- och tillsynsverket för social- och hälsovården ska övervaka och främja att informationssäkra driftmiljöer uppfyller kraven på dataskydd och informationssäkerhet. Tillstånds- och tillsynsverket för social- och hälsovården för ett offentligt register över driftmiljöer som uppfyller kraven och som anmälts till verket.

Tillstånds- och tillsynsverket för social- och hälsovården har rätt att utföra inspektioner som krävs för tillsynen. För att utföra en inspektion har en inspektör rätt att få tillträde till alla lokaler där det bedrivs verksamhet som avses i denna lag eller där det förvaras uppgifter som är viktiga för tillsynen över efterlevnaden av denna lag. Inspektioner får dock inte utföras i utrymmen som används för boende av permanent natur.

Vid en inspektion ska alla handlingar som inspektören ber om och som behövs för inspektionen läggas fram. På inspektörens begäran ska dessutom kopior av de handlingar som behövs för inspektionen överlämnas till inspektören utan avgift.

Tillstånds- och tillsynsverket för social- och hälsovården ska bevara inspektionsprotokollet i tio år efter det att inspektionen utfördes.

Tillstånds- och tillsynsverket för social- och hälsovården har rätt att anlita utomstående experter för bedömning av informationssäkra driftmiljöers överensstämmelse med kraven. Utomstående experter får delta i inspektioner som avses i denna lag samt undersöka och testa driftmiljöer. Utomstående experter ska ha den sakkunskap och kompetens som uppgifterna kräver.

På utomstående experter som utför uppgifter enligt denna lag tillämpas förvaltningslagens (434/2003) bestämmelser om tjänstemannajäv och bestämmelserna om straffrättsligt tjänsteansvar.

Tillstånds- och tillsynsverket för social- och hälsovården har rätt att, avgiftsfritt och trots sekretessbestämmelserna, för tillsynen över driftmiljöer få nödvändiga uppgifter av statliga och kommunala myndigheter samt av fysiska och juridiska personer som omfattas av denna lag eller av bestämmelser som utfärdats med stöd av den.

Tillstånds- och tillsynsverket för social- och hälsovården får med anledning av en inspektion som gjorts med stöd av 30 § ålägga tjänsteleverantören att avhjälpa brister i driftmiljöer som används för produktion.

Om en informationssäker driftmiljö kan äventyra dataskyddet, eller om systemet inte uppfyller de krav som ställs på det i denna lag, och bristerna inte har avhjälpts inom den tidsfrist som Tillstånds- och tillsynsverket har satt ut, får verket förbjuda användningen av driftmiljön till dess att bristerna har avhjälpts. Vidare får Tillståndsmyndigheten eller någon annan myndighet som avses i 6 § stänga av förbindelsen till sina informationssystem, om den som använder dem äventyrar eller ett utomstående system som anslutits till dem kan äventyra en ändamålsenlig användning av informationssystemet.

Tillstånds- och tillsynsverket för social- och hälsovården får ålägga tjänsteleverantören eller en befullmäktigad representant att inom den tid och på det sätt som verket bestämmer informera om beslut som gäller användningen av driftmiljön för produktion.

Tillstånds- och tillsynsverket för social- och hälsovården kan förena beslut som fattats med stöd av 1 mom. med vite eller med hot om att verksamheten helt eller delvis avbryts eller att den försummade åtgärden vidtas på den försumliges bekostnad. Tillstånds- och tillsynsverket ska underrätta Tillståndsmyndigheten om sitt beslut.

Om en tjänsteleverantör, en myndighet som avses i 6 § eller någon som annars behandlar personuppgifter i enlighet med denna lag har underlåtit att fullgöra sin skyldighet enligt denna lag när det gäller informationssystem eller deras användning, får Tillstånds- och tillsynsverket för social- och hälsovården meddela ett föreläggande om att skyldigheten ska uppfyllas inom utsatt tid.

Dessutom får Tillståndsmyndigheten eller någon annan myndighet som avses i 6 § stänga av förbindelsen till informationssystem som den förvaltar, om tjänsteleverantören, en myndighet enligt 6 § eller någon annan som behandlar personuppgifter enligt denna lag, trots den tid som Tillstånds- och tillsynsverket för social- och hälsovården satt ut, underlåtit att fullgöra sin skyldighet enligt denna lag när det gäller informationssystem eller deras användning.

Tillstånds- och tillsynsverket för social- och hälsovården får förena ett föreläggande som det meddelat enligt 1 mom. med vite eller med hot om att verksamheten helt eller delvis avbryts eller att den försummade åtgärden vidtas på den försumliges bekostnad. Verket ska underrätta Tillståndsmyndigheten om sitt beslut.

Registeruppgifter hos personuppgiftsansvariga som avses i 6 § och registeruppgifter hos en privat serviceanordnare inom social- och hälsovården får behandlas för ett sekundärt användningsändamål med ett tidsbundet dataanvändningstillstånd från den personuppgiftsansvarige eller Tillståndsmyndigheten eller direkt med stöd av bestämmelser i lag, enligt vad som föreskrivs nedan.

De uppgifter som avses i 1 mom. kan lämnas ut till Tillståndsmyndigheten via den informationssäkra drifttjänst som avses i 17 §.

Tillståndsmyndigheten kan oberoende av sekretessplikten och andra begränsningar som gäller användningen av uppgifter via den informationssäkra drifttjänst som avses i 17 § plocka ut uppgifter enligt dataanvändningstillståndet ur uppgifter och datalager som innehas av de personuppgiftsansvariga som avses i 1 mom., om det är möjligt och ändamålsenligt med hänsyn till dessa uppgifters och datalagers innehåll och tekniska utförande.

Tillståndsmyndigheten är personuppgiftsansvarig på det sätt som avses i denna paragraf för de uppgifter den har erhållit.

Tillståndsmyndigheten får trots skyldigheten att iaktta sekretess i enskilda fall med stöd av en begäran om information enligt 3 § 9 punkten producera aggregerade statistiska uppgifter som bygger på kunduppgifter och andra personuppgifter från organisationer som avses i 6 § för sådan utvecklings- och innovationsverksamhet som genomförs på annat sätt än som vetenskaplig forskning som avses i 38 §.

För vetenskaplig forskning och statistikföring får trots sekretessplikten i enskilda fall ges dataanvändningstillstånd för kunduppgifter och andra personuppgifter från organisationer som avses i 6 §.

Prövningen av om dataanvändningstillstånd ska beviljas eller inte ska utgå från att den vetenskapliga forskningens frihet tryggas.

Bestämmelser om behandling av uppgifter för vetenskaplig forskning och statistikföring finns dessutom i dataskyddslagen (1050/2018).

Kunduppgifter från en tillhandahållare av social- eller hälsovårdstjänster får trots sekretessplikten och med stöd av artikel 9.2 g i dataskyddsförordningen behandlas för att framställa undervisningsmaterial för undervisning av personal som behandlar kunduppgifter inom social- och hälsovården och av personer som studerar till en yrkesexamen inom social- och hälsovården, om det är nödvändigt för att syftet med undervisningen ska uppnås. En förutsättning för detta är dessutom att dataanvändningstillstånd enligt denna lag har beviljats för behandlingen.

Identifierbara uppgifter får dock användas i undervisningssituationer endast om undervisningen inte kan hållas anonym på grund av att fallet i fråga är sällsynt, på grund av undervisningens natur eller av något annat motsvarande skäl. Undervisningspersonalen ska informera dem som följer undervisningen om den lagstadgade sekretessplikten och om sanktionerna för brott mot den.

Den registrerade har inte i artikel 21 i dataskyddsförordningen avsedd rätt att göra invändningar mot behandling av personuppgifter om honom eller henne i undervisningssyfte, om behandlingen av uppgifter är nödvändig på grund av att fallet i fråga är sällsynt.

Tillståndshavaren ska förstöra ett separat material som samlats in för undervisningsändamål när det inte längre är nödvändigt för det ändamålet.

Tillhandahållare av social- eller hälsovårdstjänster har trots sekretessplikten och med stöd av artikel 9.2 h i dataskyddsförordningen rätt att på ett identifierbart sätt behandla och samköra kunduppgifter som har uppstått i tillhandahållarens egen verksamhet eller är införda i tillhandahållarens egna register, om detta är nödvändigt för att den serviceverksamhet som tjänstetillhandahållaren är ansvarig för ska kunna produceras, följas, utvärderas, planeras, utvecklas, ledas och övervakas.

Om en tjänstetillhandahållare för utvärdering, planering eller utveckling av serviceverksamhet som denna ansvarar för eller av servicekedjor behöver jämföra sin egen verksamhet med andra tjänstetillhandahållares verksamhet, kan Tillståndsmyndigheten producera behövligt jämförelsematerial i form av aggregerade statistiska uppgifter i enlighet med 45 § på grundval av en begäran om information enligt 3 § 9 punkten.

Utöver vad som föreskrivs i 1 och 2 mom. har kommuner och samkommuner rätt att för informationsledning på ett identifierbart sätt behandla och samköra också sådana kunduppgifter som lagrats i ett sådant gemensamt register som avses i 9 § 1 mom. i hälso- och sjukvårdslagen (1326/2010).

Om en styrnings- och tillsynsmyndighet inom social- och hälsovården för utförande av sina lagstadgade styrnings- eller tillsynsuppgifter behöver samkörda uppgifter som är baserade på personuppgifter lagrade i register inom social- eller hälsovården eller på andra identifierbara registeruppgifter hos i 6 § avsedda personuppgiftsansvariga kan Tillståndsmyndigheten producera de behövliga aggregerade statistiska uppgifterna i enlighet med 45 § på grundval av en begäran om information enligt 3 § 9 punkten.

Sådana uppgifter enligt 1 mom. som en tillsynsmyndighet som avses i det momentet har rätt att få enligt någon annan lag trots sekretessplikten kan på motiverad begäran lämnas ut också som identifierbara.

De uppgifter som avses i 2 mom. kan lämnas ut till tillsynsmyndigheten via den informationssäkra drifttjänst som avses i 17 §.

Ett dataanvändningstillstånd för personuppgifter får beviljas, om användningsändamålet för uppgifterna enligt ansökan och planen för användning av uppgifterna överensstämmer med dataskyddsförordningen, dataskyddslagen samt denna och någon annan lag som gäller uppgifterna i fråga och om användningsändamålet mest ändamålsenligt förverkligas genom användning av de i ansökan avsedda uppgifterna.

Om ansökan om dataanvändningstillstånd hänför sig till ett sådant användningsändamål för vilket det föreskrivs separat om tillståndsförfarandet och grunderna för beviljande av tillstånd, ska samtliga förutsättningar för tillståndet i fråga uppfyllas.

Om de uppgifter som lämnas ut har sammanställts med den registrerades samtycke, kan dataanvändningstillstånd för registeruppgifter som gäller den registrerade beviljas endast om det är förenligt med samtycket och med villkoren för användningen och utlämnandet av informationen. Om uppgifterna om ansökan om dataanvändningstillstånd hänför sig till ett användningsändamål som baserar sig på den registrerades samtycke, kan dataanvändningstillstånd beviljas endast för sådana uppgifter som omfattas av den registrerades samtycke.

Ett dataanvändningstillstånd kan beviljas för viss tid, om det är uppenbart att de intressen som sekretessen är avsedd att skydda inte kränks av att uppgifterna lämnas ut. Tillståndet ska utifrån riskerna förenas med krav på åtgärder till skydd för behandlingen av uppgifter samt andra föreskrifter som behövs för att skydda enskilda intressen. Ett tillstånd kan återkallas om det prövas föreligga skäl för återkallandet.

Om Tillståndsmyndigheten utifrån ansökan om dataanvändningstillstånd konstaterar att ärendet kan behandlas som en begäran om information enligt 45 § och inte som en tillståndsansökan, ska Tillståndsmyndigheten ta kontakt med den tillståndssökande och föreslå att ärendet behandlas som en begäran om information. Om den tillståndssökande kräver att ärendet behandlas som en tillståndsansökan, ska Tillståndsmyndigheten fatta beslut i ärendet.

Tillståndsmyndigheten svarar dessutom för beslut om dataanvändningstillstånd för Pensionsskyddscentralens, Befolkningsregistercentralens och Statistikcentralens uppgifter enligt 6 § 9–11 punkten, om de uppgifterna samkörs med de uppgifter som avses i 1 mom. 1–3 punkten.

Om en ansökan om dataanvändningstillstånd gäller uppgifter i personregister hos endast en av de organisationer som avses i 6 § 1–8 punkten, svarar organisationen själv för beslutet om dataanvändningstillstånd. Om organisationen emellertid i enlighet med 11 § 3 mom. har underrättat Tillståndsmyndigheten om att den avstår från att tillhandahålla andra tjänster än de som avses i 10 § 1 och 2 punkten, svarar Tillståndsmyndigheten för beslut om dataanvändningstillstånd för dess personuppgifter enligt denna lag.

Den myndighet som svarar för beslut om dataanvändningstillstånd har rätt att begära utlåtande från dataombudsmannen om en ansökan om dataanvändningstillstånd, om den beslutande myndigheten bedömer att det behövs.

Tillståndsmyndigheten beslutar om en begäran om information enligt 3 § 9 punkten överensstämmer med användningsändamålen enligt 2 § 1 mom. och övriga krav som ställs på en sådan begäran.

När den fattar sådana beslut ska Tillståndsmyndigheten, med stöd av artiklarna 9.2 g och 86 i dataskyddsförordningen och med beaktande av den i 8 § 4 mom. avsedda expertgruppens principiella riktlinjer, bedöma om det är möjligt att av de begärda registeruppgifterna utforma aggregerade statistiska uppgifter enligt begäran.

Om användningsändamålet för den information som begärs är forskning och begäran också gäller uppgifter som en statistikmyndighet samlat in för statistiska ändamål, ska förfarandet ske enligt 7 § och 51 § 4 mom.

Begäranden om information och ansökningar om dataanvändningstillstånd till Tillståndsmyndigheten ska lämnas via det system för hantering av begäranden om information som avses i 16 §. Om sökanden kompletterar sin ansökan, ska även kompletteringen lämnas till Tillståndsmyndigheten via hanteringssystemet för begäranden om information. Till en tillståndsansökan och en informationsbegäran om aggregerade statistiska uppgifter ska det fogas en plan för användning av uppgifterna.

Tillståndsmyndigheten meddelar föreskrifter om datainnehållet och datastrukturerna i ansökan om dataanvändningstillstånd, planen för användning av uppgifterna och begäran om information.

Beslut om ansökan om dataanvändningstillstånd ska meddelas utan dröjsmål, dock senast tre månader från det att tillståndsansökan har inkommit i fullständig form till myndigheten.

Tillståndsmyndigheten kan av vägande skäl besluta att behandlingstiden för en ansökan om dataanvändningstillstånd ska förlängas med högst tre månader, om behandlingen av ansökan och den anknytande planen för användning av uppgifterna förutsätter en exceptionellt omfattande behandling som omfattar flera olika personuppgiftsansvarigas uppgifter eller särskilt krävande prövning. Tillståndsmyndigheten ska underrätta den som ansöker om tillstånd om förlängning av tidsfristen och om grunden för förlängningen samt om den nya tidsfrist inom vilken tillståndsbeslutet meddelas.

Om den myndighet som svarar för beslutet om dataanvändningstillstånd begär ett utlåtande enligt 44 § 4 mom. från dataombudsmannen, avbryts den ansvariga myndighetens tidsfrist för behandling av ansökan tills utlåtandet har kommit in.

En personuppgiftsansvarig som avses i 6 § och en privat tillhandahållare av social- eller hälsovårdstjänster ska utan dröjsmål lämna Tillståndsmyndigheten de uppgifter som behövs för behandlingen av en ansökan om dataanvändningstillstånd eller av en sådan informationsbegäran om aggregerade statistiska uppgifter som avses i 45 §, dock senast 15 vardagar från det att begäran inkom.

En personuppgiftsansvarig som avses i 6 § och en privat tillhandahållare av social- eller hälsovårdstjänster ska på begäran av Tillståndsmyndigheten utan dröjsmål lämna ut registeruppgifter enligt ett beviljat dataanvändningstillstånd eller uppgifter som behövs för behandlingen av en sådan begäran om aggregerade statistiska uppgifter som avses i 45 §, dock senast 30 vardagar från det att Tillståndsmyndigheten har fattat beslut om att uppgifterna får lämnas ut till sökanden. Om den utredning som den sökande anfört till stöd för utlämnande av uppgifter är otillräcklig, ska Tillståndsmyndigheten utan dröjsmål underrätta sökanden om vilka tilläggsutredningar som krävs. De begärda uppgifterna ska då lämnas till sökanden inom 30 vardagar från det att tilläggsutredningen togs emot, om säkerhet om förutsättningarna för utlämnandet kan nås med stöd av den inlämnade tilläggsutredningen.

Om uppgifterna inte kan lämnas ut till Tillståndsmyndigheten inom den tid som avses i 1 mom., ska den personuppgiftsansvarige före tidsfristens utgång informera om dröjsmålet, om orsaken till dröjsmålet och om den förlängning av tidsfristen som behövs för utlämnande av uppgifter. Tillståndsmyndigheten ska av grundad anledning ställa en ny tidsfrist för utlämnandet.

Tillståndsmyndigheten ska lämna ut de uppgifter som den med stöd av ett dataanvändningstillstånd samlat in och samkört till tillståndshavaren utan dröjsmål, dock senast 60 vardagar från det att tillståndet beviljades.

Tillståndsmyndigheten kan av vägande skäl förlänga tidsfristen för utlämnandet, om uppgifternas användningsändamål förutsätter en exceptionellt omfattande behandling som berör uppgifter hos flera olika personuppgiftsansvariga eller en särskilt krävande samkörning. Tillståndsmyndigheten ska informera tillståndshavaren om förlängningen av tidsfristen och om grunden för förlängningen samt om den nya tidsfrist inom vilken uppgifterna lämnas ut.

Tillståndsmyndigheten eller någon annan myndighet som beviljat tillstånd får ta ut en avgift för ett dataanvändningstillstånd och för ett beslut som gäller en begäran om information. Bestämmelser om grunderna för fastställande av avgifter finns i lagen om grunder för avgifter till staten (150/1992).

Tillståndsmyndigheten får ta ut ersättning för urval, tillhandahållande, samkörning, förbehandling, pseudonymisering och anonymisering av uppgifter enligt ett dataanvändningstillstånd eller ett beslut som gäller en begäran om information som avses i denna lag samt för användning av en informationssäker driftmiljö.

Ersättningar som gäller uppgifter som med stöd av dataanvändningstillstånd eller beslut som gäller begäran om information plockas ut och tillhandahålls från andra datalager än Tillståndsmyndighetens egna bestäms i enlighet med vad som föreskrivs om varje personuppgiftsansvarig som tillhandahållit uppgifterna. Den personuppgiftsansvarige eller det personuppgiftsbiträde som lämnar ut uppgifter till Tillståndsmyndigheten med stöd av ett dataanvändningstillstånd eller ett beslut som gäller en begäran om information enligt denna lag har rätt att av myndigheten som ersättning få en på föreskrivet sätt bestämd andel av de kostnadsersättningar som påförts tillståndshavaren eller den som mottagit beslutet.

Den som har rätt till ersättning i enlighet med denna paragraf ska på begäran tillhandahålla Tillståndsmyndigheten en uppskattning av vilka kostnader den som har rätt till ersättning för behandlingen av uppgifter orsakas. Tillståndsmyndigheten gör utifrån de uppgifter den fått upp ett kostnadsförslag för tillmötesgående av begäran om information och lämnar den till den som ansöker om tillstånd eller lämnat begäran. Tillståndsmyndigheten tar ut de ersättningar som avses i 2 mom. hos tillståndshavaren eller mottagaren av beslutet om begäran om information och betalar dem till de personuppgiftsansvariga som lämnat uppgifter.

Bestämmelser om grunderna för bestämmande av ersättningar till Tillståndsmyndigheten finns i lagen om grunderna för avgifter till staten. Bestämmelser om avgifter som bedömningsorgan för informationssäkerhet tar ut för bedömningar finns i 11 § i lagen om bedömningsorgan för informationssäkerhet.

Registrering och införande av en i 30 § 1 mom. i denna lag avsedd anmälan i ett offentligt register hos Tillstånds- och tillsynsverket för social- och hälsovården är avgiftsbelagd.

Om Tillståndsmyndigheten har beviljat dataanvändningstillstånd i en situation där detta förutsätts enligt 44 §, ska den samla in och vid behov samköra samt pseudonymisera eller anonymisera de uppgifter som specificeras i dataanvändningstillståndet samt lämna ut datamaterialet till tillståndshavaren för behandling enligt 3 mom. i denna paragraf.

Om en enskild personuppgiftsansvarig som avses i 44 § 3 mom. har fattat ett beslut om dataanvändningstillstånd i fråga om uppgifter i dess egna register, ska den samla in uppgifterna ur registren, vid behov samköra, förbehandla och pseudonymisera dem och överlämna datamaterialet till tillståndshavaren för behandling i enlighet med 3 mom. i denna paragraf. Om datamaterialet ändå överlämnas till tillståndshavaren i anonymiserad form, ska den personuppgiftsansvarige ge in tillståndsbeslutet samt uppgifterna enligt tillståndet till Tillståndsmyndigheten, vid behov för samkörning och förbehandling samt anonymisering. Tillståndsmyndigheten svarar alltid för anonymiseringen av uppgifter som lämnas ut för behandling och för att de lämnas ut till tillståndshavaren för behandling.

Utlämning av datamaterial enligt ett dataanvändningstillstånd för behandling av tillståndshavaren ska alltid ske i en sådan informationssäker driftmiljö som avses i 20 § via en sådan informationssäker drifttjänst som avses i 17 §, såvida det inte har bildats aggregerade statistiska uppgifter av datamaterialet. Det datamaterial som avses i 1 och 2 mom. i denna paragraf ska i första hand lämnas ut för att behandlas i den informationssäkra driftmiljö som avses i 20 § 1 mom. och som Tillståndsmyndigheten förvaltar. Om det emellertid av ett särskilt skäl som framgår av planen för användning av uppgifterna eller dataanvändningstillståndet är viktigt kan datamaterialet lämnas ut för behandling på motsvarande sätt i en annan informationssäker driftmiljö som avses 20 § 3 mom.

Om användningsändamålet kräver uppgifter som Statistikcentralen eller Institutet för hälsa och välfärd i egenskap av statistikmyndighet samlat in för statistiska ändamål, samkör statistikmyndigheten i fråga och vid behov förbehandlar och pseudonymiserar eller anonymiserar de uppgifter som ska lämnas ut. Om användningsändamålet kräver uppgifter av båda statistikmyndigheterna, ska de sinsemellan komma överens om vilken myndighet som samkör och pseudonymiserar eller anonymiserar uppgifterna. Uppgifterna kan därefter, beroende på art och omfattning, lämnas ut via den informationssäkra drifttjänst som avses i 17 § till tillståndshavaren för behandling i en informationssäker driftmiljö som förvaltas av Statistikcentralen eller Tillståndsmyndigheten eller i någon annan driftmiljö enligt 20 §.

Leverantören av en driftmiljö ska innan en anslutning till tillståndshavaren öppnas säkerställa att tillståndshavaren uppfyller kraven i dataanvändningstillståndet.

När uppgifter lämnats ut med stöd av ett dataanvändningstillstånd för behandling i en sådan informationssäker driftmiljö som avses i 20 § och någon vill publicera resultatet utifrån uppgifterna ska Tillståndsmyndigheten försäkra sig om att de uppgifter som publiceras är anonymiserade. Myndigheten kan emellertid av grundad anledning i tillståndsbeslutet bevilja tillståndshavaren rätt att själv anonymisera de uppgifter som ska publiceras, förutsatt att uppgifterna ges in till myndigheten i efterhand.

Tillståndsmyndigheten producerar anonymiserade resultat och överlämnar dem till tillståndshavaren som får publicera dem fritt enligt sin begäran och de bifogade förslagen oberoende av om dataanvändningstillståndet beviljats av en enskild personuppgiftsansvarig eller Tillståndsmyndigheten.

Myndigheter som ansvarar för behandlingen av dataanvändningstillstånd ska minst en gång om året lämna dataombudsmannen en detaljerad redogörelse för behandlingen av uppgifter med stöd av denna lag och för behandlingen av uppgifter som registrerats i loggregistret.

Om sekretessbelagda uppgifter med stöd av denna lag lämnas ut till någon annan än en myndighet, ska mottagaren i samband med utlämnandet informeras om sekretessplikten så som föreskrivs i 25 § i offentlighetslagen.

Trots vad som någon annanstans i lag föreskrivs om rätten eller skyldigheten att lämna ut sekretessbelagda uppgifter, får uppgifter som samlats in med stöd av denna lag inte lämnas ut för administrativt beslutsfattande eller någon annan motsvarande behandling av ärenden som gäller en enskild person utan hans eller hennes uttryckliga samtycke. En tillsynsmyndighet inom social- och hälsovården får dock i en tillsynsuppgift som gäller någon annan än den registrerade använda uppgifter som den erhållit med stöd av 42 §, när lagenligheten eller den professionella lämpligheten bedöms i verksamhet som bedrivs av verksamhetsenheter eller yrkesutbildade personer inom social- och hälsovården.

Trots vad som föreskrivs i 54 § 3 mom. har en innehavare av dataanvändningstillstånd rätt att till den ansvariga person som Tillståndsmyndigheten utsett anmäla betydande kliniska fynd på grundval av vilka hälsorisker för en viss patient kan förebyggas eller vårdens kvalitet betydligt förbättras.

Om de uppgifter som är grunden för den anmälan som avses i 1 mom. är pseudonymiserade, ska den ansvariga personen utreda vem eller vilka informationen gäller. När Tillståndsmyndighetens ansvariga person känner till vilken eller vilka personer som en anmälan enligt 1 mom. gäller, ska den ansvariga personen utan obefogat dröjsmål lämna uppgifterna till en expert som utsetts av Institutet för hälsa och välfärd.

Den expert som avses i 2 mom. ska i samarbete med övriga experter som utsetts av institutet bedöma betydelsen av informationen och den förväntade nyttan med de åtgärder som kan vidtas med stöd av den. Om nyttan bedöms vara så uppenbar att det skulle vara viktigt att den som ska undersökas får vård, ska den expert vid Institutet för hälsa och välfärd som avses i 2 mom. anmäla fyndet till den verksamhetsenhet som med stöd av hälso- och sjukvårdslagen är regionalt ansvarig för den aktuella personens hälso- och sjukvård.

Den verksamhetsenhet som avses i 3 mom. ska kontakta patienten och klarlägga om han eller hon vill ha information om det betydande kliniska fyndet och de undersöknings- och vårdåtgärder som eventuellt ska vidtas på grundval av det samt om den förväntade nyttan med åtgärderna.

Patienten har rätt att förbjuda kontakt som tas på basis av ett kliniskt betydande fynd. Förbudet antecknas i den viljeyttringstjänst som avses i 12 § i klientuppgiftslagen. Patienten kan meddela förbudet skriftligt hos en valfri verksamhetsenhet som producerar offentlig hälso- och sjukvård eller elektroniskt via det medborgargränssnitt som avses i 24 § i klientuppgiftslagen.

För den allmänna planeringen, styrningen och övervakningen av behandling av kunduppgifter enligt denna lag och av anknytande informationsförvaltning svarar social- och hälsovårdsministeriet.

Dataombudsmannen, Tillstånds- och tillsynsverket för social- och hälsovården samt Tillståndsmyndigheten styr och övervakar inom sitt verksamhetsområde i enlighet med sin behörighet efterlevnaden av denna lag.

Tillståndsmyndigheten och övriga myndigheter som beviljar dataanvändningstillstånd i enlighet med denna lag samt Tillstånds- och tillsynsverket för social- och hälsovården ska för sin del följa och övervaka att det dataskydd och den datasäkerhet som hänför sig till deras tjänster förverkligas och att villkoren i tillstånd som de beviljat iakttas. Om någon har behandlat personuppgifter i strid med lag, ska den behöriga myndigheten på eget initiativ vidta behövliga åtgärder. Om uppgifter med stöd av 20 § 3 mom. behandlas i någon annan driftmiljö än Tillståndsmyndighetens informationssäkra driftmiljö, ska logguppgifterna enligt 19 § och uppgifterna i ett användarregister enligt 22 § 2 mom. på Tillståndsmyndighetens begäran lämnas till den utan obefogat dröjsmål för förverkligande av uppföljningen och övervakningen.

Om Tillståndsmyndigheten eller en myndighet som beviljar dataanvändningstillstånd i enlighet med denna lag har grundad anledning att misstänka att den som behandlar uppgifter med stöd av ett dataanvändningstillstånd från myndigheten inte behandlar personuppgifter i enlighet med lag, ska myndigheten underrätta dataombudsmannen om saken snarast möjligt.

Tillståndsmyndigheten ska rapportera till styrgruppen om avvikelser från de tidsfrister som avses i 47 och 48 § och publicera uppgifter om dem.

I ett beslut enligt denna lag som Tillståndsmyndigheten eller en personuppgiftsansvarig som avses i 6 § meddelat om en begäran om information enligt 45 § samt om en ansökan om dataanvändningstillstånd eller återkallelse av tillstånd samt i ett beslut som Tillstånds- och tillsynsverket för social- och hälsovården har fattat med stöd av denna lag får omprövning begäras på det sätt som anges i förvaltningslagen hos den myndighet som fattat beslutet.

I ett beslut som har fattats med anledning av en begäran om omprövning får ändring sökas genom besvär hos förvaltningsdomstolen på det sätt som anges i förvaltningsprocesslagen (586/1996). Förvaltningsdomstolens beslut får överklagas genom besvär bara om högsta förvaltningsdomstolen beviljar besvärstillstånd.

Denna lag träder i kraft den 1 maj 2019.

Bestämmelserna om logguppgifter i 19 § tillämpas från och med den 1 maj 2021. Bestämmelserna om kraven på informationssäkra driftmiljöer i 20 § 3 mom. och 21–34 § tillämpas från och med den 1 maj 2022. Före denna tidpunkt får uppgifter lämnas ut för behandling till tillståndshavaren med stöd av 51 § 1 och 2 mom., även om det i ansökan om dataanvändningstillstånd inte anvisas en i 51 § 3 mom. avsedd informationssäker driftmiljö för behandlingen av uppgifter. Utlämnandet av uppgifter förutsätter då ett dataanvändningstillstånd som med stöd av 43 § 4 mom. beviljats för viss tid och som gäller högst till den 30 april 2022. Bestämmelserna i 55 § om kliniska fynd tillämpas från och med den 1 januari 2024.

Tidsfristerna för utlämnande av uppgifter enligt 47 § 4 mom. och 48 § tillämpas på Folkpensionsanstalten och serviceanordnare inom socialvården från och med den 1 januari 2024 samt på uppgifter om recept och anknytande receptexpedieringar som registrerats i det receptcenter som avses i 3 § 4 punkten och i det receptarkiv som avses i 3 § 5 punkten i lagen om elektroniska recept från och med den 1 januari 2021.

Denna lag tillämpas på de Kanta-tjänster som avses i klientuppgiftslagen från och med den 1 januari 2021.

Uppgifter som före lagens ikraftträdande samlats in med den berördas samtycke får i enlighet med denna lag användas och lämnas ut för användningsändamål enligt 2 § 1 mom. 1, 2 och 7 punkten trots vad som föreskrivs i 43 § 3 mom., om det är uppenbart att användningen och utlämnandet inte avviker från de syften för vilka uppgifterna har lämnats. Den myndighet som fattar beslut om dataanvändningstillståndet kan förutsätta att den som ansöker om tillstånd, till grund för tillståndsbeslutet ska be om en etisk bedömning av den etiska kommittén vid Institutet för hälsa och välfärd.

Behandlingen av en ansökan som har gjorts innan denna lag trätt i kraft slutförs i enlighet med de bestämmelser som gällde vid ikraftträdandet. På en ansökan som gäller utlämnande av personuppgifter enligt 4 § i lagen om riksomfattande personregister för hälsovården (556/1989) tillämpas dock inte skyldigheten enligt 1 mom. i den paragrafen att ge dataombudsmannen möjlighet att bli hörd, utan rätten enligt 44 § 4 mom. i denna lag att begära utlåtande från dataombudsmannen om en ansökan om dataanvändningstillstånd.

Bestämmelserna om en rådgivningstjänst i 13 § i denna lag ska tillämpas från och med den 1 november 2019.

Bestämmelserna om behandling av begäranden om aggregerade statistiska uppgifter i 41 § 2 mom., 42 § 1 mom. och 45 § i denna lag ska tillämpas från och med den 1 januari 2020.

Bestämmelserna om en tjänst för insamling, samkörning och förbehandling av uppgifter och om pseudonymisering och anonymisering av uppgifter i 14 § 1 och 2 mom., om ett hanteringssystem för begäranden om information i 16 § och om en informationssäker driftmiljö i 20 § 1 mom. tillämpas från och med den 1 januari 2020.

Behörighet för behandling av dataanvändningstillstånd bestäms i enlighet med 44 § 1–3 mom. i denna lag från och med den 1 april 2020. Ansökan om dataanvändningstillstånd och begäran om information ska via det i 16 § avsedda hanteringssystemet för begäranden om information lämnas till Tillståndsmyndigheten från och med den 1 april 2020.

Lain tavoitteena on mahdollistaa sosiaali- ja terveydenhuollon toiminnassa sekä sosiaali- ja terveysalan ohjaus-, valvonta-, tutkimus- ja tilastotarkoituksessa tallennettujen henkilötietojen tehokas ja tietoturvallinen käsittely sekä niiden yhdistäminen Kansaneläkelaitoksen, Väestörekisterikeskuksen, Tilastokeskuksen ja Eläketurvakeskuksen henkilötietoihin.

Lain tavoitteena on lisäksi turvata yksilön luottamuksensuoja sekä oikeudet ja vapaudet henkilötietoja käsiteltäessä.

Organisaatioista, joiden tietoja saa tämän lain nojalla käsitellä 1 momentin mukaisesti, sekä tietojen käsittelyyn liittyvistä rajauksista säädetään 6 ja 7 §:ssä.

Luovutusperusteista sekä vastaanottajan oikeudesta käsitellä luovutettuja henkilötietoja 1 momentissa tarkoitettuihin käyttötarkoituksiin säädetään 4 ja 5 luvussa.

Tässä laissa tarkoitettu Sosiaali- ja terveysalan tietolupaviranomainen (Tietolupaviranomainen) toimii Terveyden ja hyvinvoinnin laitoksen yhteydessä. Tietolupaviranomaiselle säädetyistä tehtävistä vastaa laitoksessa itsenäinen yksikkö, joka on eriytetty Terveyden ja hyvinvoinnin laitoksesta annetun lain (668/2008) 2 §:ssä säädetyistä tehtävistä.

Tietolupaviranomainen toimii sosiaali- ja terveysministeriön tulosohjauksessa, ja sillä on erillinen sosiaali- ja terveysministeriön nimittämä johtaja sekä ministeriön asettama ohjausryhmä.

Tietolupaviranomainen tekee muiden rekisterinpitäjien aineistoja koskevia tietolupapäätöksiä ja päättää, onko 45 §:ssä tarkoitettu tietopyyntö tämän lain mukainen, sekä vastaa päätöstensä mukaisten tietojen kokoamisesta, yhdistelystä, esikäsittelystä ja luovuttamisesta toissijaiseen käyttöön tämän lain mukaisesti. Lisäksi Tietolupaviranomainen saa koota tässä laissa säädettyä käyttötarkoitusta varten tietopyynnön perusteella eri rekisterinpitäjien henkilötietoja ja niitä yhdistelemällä tuottaa anonyymejä tietoja pyytäjän käyttöön.

Tietolupaviranomainen ylläpitää tietopyyntöjen hallintajärjestelmää tietopyyntöjen ja lupahakemusten välittämiseksi ja käsittelemiseksi sekä tietoturvallista käyttöpalvelua henkilötietojen vastaanottamiseksi ja luovuttamiseksi. Lisäksi Tietolupaviranomainen ylläpitää tietoturvallista käyttöympäristöä, jossa luvansaajan on mahdollista käsitellä tietoluvan perusteella saamiaan henkilötietoja.

Tietolupaviranomainen valvoo myöntämänsä luvan ehtojen noudattamista. Se saa peruttaa tietoluvan, jos luvansaaja ei noudata lakia tai rikkoo luvan ehtoja.

Tietolupaviranomainen vastaa julkaistavien tulosten pohjana olleiden henkilötietojen anonymisoinnista siten kuin 52 §:ssä säädetään.

Tilastokeskus sekä Terveyden ja hyvinvoinnin laitos tilastoviranomaisena (tilastoviranomaiset) vastaavat tilastoviranomaisena tilastotarkoituksiin keräämiensä tietojen tietoluvista tieteellistä tutkimusta varten sekä samaan tutkimussuunnitelmaan liittyvien tietojen yhdistelystä omiin tietoihinsa ja niiden pseudonymisoinnista tai anonymisoinnista tilastolain (280/2004) mukaisesti. Lupahakemus, joka koskee muita tässä laissa tarkoitettuja tietoja sekä tilastoviranomaisten tilastotarkoituksissa keräämiä tietoja, toimitetaan Tilastokeskukselle sekä Terveyden ja hyvinvoinnin laitokselle 16 §:ssä tarkoitetun tietopyyntöjen hallintajärjestelmän välityksellä. Myös lupahakemuksen käsittelyyn liittyvä yhteydenpito luvanhakijaan ja päätöksen tiedoksianto toteutetaan sanotun hallintajärjestelmän välityksellä.

Tietojen luovuttamisesta tilastolain mukaisesti yhdisteltyihin, tässä laissa tarkoitettuihin tietoihin säädetään 51 §:n 4 momentissa.

Sosiaali- ja terveysministeriö asettaa Tietolupaviranomaiselle korkean tason asiantuntijaryhmän, jonka tehtävänä on laatia anonymisointia, tietosuojaa ja tietoturvaa koskevat Tietolupaviranomaisen toiminnan periaatelinjaukset. Asiantuntijaryhmässä on oltava tekoälyn, data-analytiikan, tietoturvan, tietosuojan, alan tutkimuksen, tilastotieteen ja tilastotoimen asiantuntija sekä Tietolupaviranomaisen edustaja. Sosiaali- ja terveysministeriön asetuksella voidaan säätää tarkemmin asiantuntijaryhmän tehtävistä sekä sen jäsenten määrästä ja kelpoisuusehdoista.

Sosiaali- ja terveysministeriö saa perustaa Tietolupaviranomaisen alaisuudessa toimivan osakeyhtiön yksin taikka yhden tai useamman 6 §:ssä tarkoitetun organisaation, opetus- ja kulttuuriministeriön, työ- ja elinkeinoministeriön tai valtiovarainministeriön kanssa. Yhtiö on valtion omistuksessa ja hallinnassa. Yhtiön omistajaohjauksesta ja sen osakkeiden hallinnoinnista vastaa sosiaali- ja terveysministeriö. Yhtiön tarkoituksena ei ole tuottaa voittoa.

Yhtiölle voidaan antaa 10 §:n 3–7 kohdassa tarkoitettuihin palveluihin liittyviä tehtäviä. Valtioneuvoston asetuksella voidaan antaa tarkempia säännöksiä yhtiön tehtävistä.

Terveyden ja hyvinvoinnin laitos tai Tietolupaviranomainen voi tuottaa osakeyhtiölle hallinnollisia palveluja ja muita tukipalveluja markkinahintaista korvausta vastaan.

Yhtiön on annettava sosiaali- ja terveysministeriölle sen pyynnöstä tiedot, jotka ovat tarpeen yhtiön ohjaamiseksi ja valvomiseksi. Yhtiön asiakirjoihin sovelletaan, mitä viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999), jäljempänä julkisuuslaki, säädetään viranomaisen asiakirjasta. Päätöksen siitä, ettei yhtiön asiakirjaa luovuteta sitä pyytäneelle, tekee Tietolupaviranomainen julkisuuslain 4 luvun mukaisesti.

Yhtiön toimintaan voidaan myöntää valtionavustusta valtion talousarvioon otettavien määrärahojen rajoissa. Valtionavustuksesta säädetään valtionavustuslaissa (688/2001).

Yhtiön palveluksessa olevaan henkilöön ja yhtiön hallituksen jäseniin sovelletaan rikosoikeudellista virkavastuuta koskevia säännöksiä.

Tietolupaviranomainen vastaa kuitenkin Eläketurvakeskuksen, Väestörekisterikeskuksen ja Tilastokeskuksen tietoihin kohdistuvista palveluista vain, jos kyseisiä tietoja yhdistetään 6 §:n 1–8 kohdassa tarkoitettujen organisaatioiden tietoihin tai Kanta-palveluihin tallennettuihin tietoihin taikka yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoihin.

Jos tietolupahakemus koskee vain yhden 6 §:n 1–8 kohdassa tarkoitetun organisaation henkilörekistereissä olevia tietoja, sanottu organisaatio vastaa itse kaikista 10 §:n 1–4 kohdassa tarkoitetuista palveluista. Sanotut organisaatiot voivat kuitenkin ilmoittaa Tietolupaviranomaiselle, että ne luopuvat ylläpitämästä muita kuin 10 §:n 1 ja 2 kohdassa tarkoitettuja palveluita. Tietolupaviranomainen vastaa tällöin ilmoituksen tehneen organisaation henkilötietoja koskevista 10 §:n 3–7 §:ssä tarkoitetuista palveluista.

Edellä 6 §:ssä tarkoitettujen organisaatioiden on rekisterinpitäjänä laadittava aineistokuvaukset tietovarantojensa tietosisällöistä siten, että niiden perusteella on mahdollista arvioida rekisteritietojen soveltuvuutta 2 §:ssä mainittuihin tarkoituksiin. Tietolupaviranomaisen on laadittava aineistokuvaukset 14 §:n 5 momentissa tarkoitetuista valmisaineistoistaan.

Tietolupaviranomainen antaa tarkemmat määräykset aineistokuvausten tietosisällöistä, käsitteistä ja tietorakenteista. Ennen määräysten antamista Tietolupaviranomaisen tulee kuulla asianomaisia organisaatioita.

Sosiaali- ja terveysministeriön asetuksella säädetään, mistä lähtien 1 momentissa säädettyjä velvoitteita sovelletaan.

Edellä 6 §:ssä tarkoitetun rekisterinpitäjän on järjestettävä mainitussa pykälässä tarkoitettuja rekisteritietojaan koskeva neuvontapalvelu siten, että niitä 2 §:ssä mainitussa tarkoituksessa tarvitseva saa riittävät tiedot käytettävissä olevien rekistereiden tietosisällöistä ja rekisteritietojen soveltuvuudesta tiedon tarpeisiinsa.

Sen lisäksi, mitä 1 momentissa säädetään, Tietolupaviranomaisen on järjestettävä neuvontapalvelu, joka koskee tietoluvan myöntämisedellytyksiä, tietopyyntöjen hyväksymisedellytyksiä, 10 §:ssä tarkoitettujen palvelujen sisältöä ja merkitystä sekä 14 §:n 5 momentissa tarkoitettuja valmisaineistoja.

Kun Tietolupaviranomainen on myöntänyt 44 §:ssä tarkoitetun tietoluvan tai tehnyt 45 §:ssä tarkoitettua tietopyyntöä koskevan myönteisen päätöksen, se kokoaa, yhdistelee ja esikäsittelee sekä tarvittaessa pseudonymisoi tai anonymisoi aineiston luvansaajan käsiteltäväksi taikka tuottaa tietopyynnössä tarkoitetun aggregoidun tilastotiedon päätöksen mukaisesti.

Kun tietoluvan on myöntänyt yksittäinen 6 §:n 1–8 kohdassa tarkoitettu rekisterinpitäjä omissa rekistereissään oleviin tietoihin, se tuottaa luvan mukaisen aineiston luvansaajan käsiteltäväksi. Jos kuitenkin aineisto luvan mukaan luovutetaan anonymisoituna, rekisterinpitäjän on toimitettava lupa ja siihen liittyvä tietoaineisto Tietolupaviranomaiselle yhdisteltäväksi, esikäsiteltäväksi ja anonymisoitavaksi.

Tietolupaviranomaisen on säilytettävä kuvaus luovuttamiensa tietoaineistojen ja aggregoitujen tilastotietojen muodostamisesta, käyttämistään pseudonymisointi- ja anonymisointimenetelmistä sekä luovutetuista lopputuloksista.

Jos henkilötietoja luovutetaan usean eri tiedonhyödyntämissuunnitelman perusteella pseudonymisoituna, tiedot on pseudonymisoitava jokaista luovutusta varten eri tunnisteella.

Tietolupaviranomainen saa muodostaa valmisaineistoja 6 §:ssä tarkoitettujen viranomaisten ja organisaatioiden tiedoista. Tietolupaviranomainen saa myöhemmin poimia tietoluvan myöntämiseksi tarvittavat ja myönnetyn tietoluvan tai tietopyyntöä koskevan päätöksen mukaiset tiedot valmisaineistoista.

Tietoluvan antanut viranomainen säilyttää pseudonymisoitujen aineistojen tunnisteet tietoturvallisesti ja siten, että aineisto on mahdollista tarvittaessa muuttaa tunnisteelliseksi ja että sama aineisto on niiden avulla mahdollista tuottaa uudelleen.

Viranomaisen on säilytettävä tunnisteet niin kauan kuin ne ovat tarpeen tutkimuksen tekemiseksi ja sen tulosten asianmukaisuuden varmistamiseksi.

Tietolupaviranomainen ylläpitää yksin tai yhdessä muiden viranomaisten kanssa tietopyyntöjen hallintajärjestelmää, jonka välityksellä tietolupahakemus tai tämän lain mukainen tietopyyntö on toimitettava sille.

Käsittelyn edellytyksenä olevat Tietolupaviranomaisen selvitys- ja täydennyspyynnöt sekä hakijan sille toimittamat selvitykset, täydennykset ja hakemusta koskevat muutokset toteutetaan hallintajärjestelmän välityksellä. Lupapäätös annetaan hakijalle tiedoksi hallintajärjestelmän välityksellä.

Jos käyttötarkoituksen edellytyksenä on lakisääteisesti tiedonhyödyntämissuunnitelman eettinen ennakkoarviointi, myös eettinen arviointi saatetaan vireille ja lausunto toimitetaan hallintajärjestelmän välityksellä.

Tietolupaviranomainen ylläpitää tietoturvallista käyttöpalvelua tietolupahakemuksen ja tietopyynnön käsittelyssä tarvittavien tietojen sekä myönnetyn tietoluvan mukaisten tietojen luovuttamiseksi. Käyttöpalvelun välityksellä saa tässä laissa säädetyin edellytyksin luovuttaa henkilötietoja Tietolupaviranomaisen ja muiden 6 §:ssä mainittujen viranomaisten välillä, Tietolupaviranomaisen ja yksityisten sosiaali- ja terveydenhuollon palvelunantajien välillä sekä luvanhakijan ja Tietolupaviranomaisen välillä.

Kun henkilötietoja välitetään tietoturvallisen käyttöpalvelun välityksellä, niiden eheys ja alkuperä on varmistettava sähköisellä allekirjoituksella. Organisaation ja tietoteknisten laitteiden lähettämien tietojen eheys ja alkuperä on varmistettava käyttämällä luotettavuudeltaan vastaavaa tekniikkaa kuin luonnollisen henkilön sähköisessä allekirjoituksessa. Tietoturvallisen käyttöpalvelun käyttäjät on tunnistettava vahvasti, kun heille luovutetaan henkilötietoja. Kehittyneestä sähköisestä allekirjoituksesta ja vahvasta sähköisestä tunnistamisesta säädetään sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93/EY kumoamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) N:o 910/2014 sekä vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetussa laissa (617/2009).

Tietolupaviranomaisen on luotava tarvittavat rajapinnat käyttöpalvelun yhteentoimivuutta varten ja huolehdittava siitä, että tiedonsiirto voidaan tehdä yleisesti käytössä olevien teknologioiden avulla.

Kun henkilötietoja käsitellään tämän lain nojalla, käsittelyn riittävä tietoturvallisuus on varmistettava riskienhallinnalla, pääsynhallinnalla, aktiivisella valvonnalla sekä noudattamalla tietoturvallisuuden ja tietosuojan toteutuksesta ja valvonnasta vastaavan viranomaisen määräyksiä ja ohjeita. Erityistä huomiota on kiinnitettävä käyttörajoitusten sekä salassapitovelvoitteen toteuttamiseen.

Henkilötietoja tämän lain mukaisen tietoluvan perusteella käsittelevän on tallennettava käyttölokitietoihin tieto tietoluvan saaneesta rekisterinpitäjästä, 2 §:n mukaisesta käyttötarkoituksesta, käsittelyyn oikeuttavasta tietoluvasta, tietojen käsittelyyn tietoluvan mukaan oikeutetusta käyttäjästä, käsitellyistä tiedoista ja tietoryhmistä sekä käyttöajankohdasta.

Kun palvelunantaja käsittelee omissa henkilörekistereissään olevia henkilötietoja tietojohtamisen käyttötarkoituksessa, sen on tallennettava käyttölokitietoihin tieto käytetyistä henkilötiedoista, tietojen käyttäjästä, tietojen käyttötarkoituksesta ja käyttöajankohdasta.

Lokitiedot on hävitettävä tai arkistoitava 12 vuoden kuluttua tietoluvan päättymisestä tai 3 momentissa tarkoitetun käsittelyn päättymisestä.

Tietolupaviranomainen voi antaa tarkempia määräyksiä lokirekistereihin tallennettavista tiedoista ja tietosisällöistä.

Tietolupaviranomainen ylläpitää yksin tai yhdessä muiden viranomaisten kanssa tietoturvallista käyttöympäristöä, jossa voidaan varmistaa Tietolupaviranomaisen tai muun tässä laissa tarkoitetun viranomaisen tämän lain nojalla luovuttamien tietojen tietoturvallinen, luvan mukainen käsittely.

Käsittelyn on oltava mahdollista teknisesti erilaisin tavoin ja käyttöympäristöön on oltava pääsy eri paikoista. Tietolupaviranomaisen on arvioitava luovutettavien tietojen arkaluontoisuuden tasoa ja huomioitava tämä tietolupapäätöksessä tietoturvallisen käyttöympäristön käytölle asetettavissa vaatimuksissa.

Jos tietolupahakemuksessa pyydetään luovuttamaan tietoaineistoja käsiteltäviksi muussa kuin 1 momentissa tarkoitetussa käyttöympäristössä, hakemuksessa on erikseen perusteltava syyt, joiden vuoksi tämä on välttämätöntä. Tietolupaviranomainen tai muu tässä laissa tarkoitettu viranomainen saa tällöin luovuttaa tiedot hakijalle vain, jos käyttöympäristö täyttää 2 momentissa ja 21–29 §:ssä säädetyt edellytykset.

Tietoturvallisen käyttöympäristön käyttäjät on tunnistettava luotettavasti sekä todennettava.

Sosiaali- ja terveysministeriön asetuksella voidaan antaa tarkempia säännöksiä tunnistamisen ja todentamisen teknisestä toteuttamisesta.

Palveluntarjoajan on määriteltävä luvansaajan ja muun henkilötietoja käyttöympäristössä käsittelevän henkilön käyttöoikeus henkilötietoihin. Luvansaajalle annetaan käyttöoikeus tietoluvan mukaisiin henkilötietoihin. Muille henkilötietoja käyttöympäristössä käsitteleville annetaan käyttöoikeudet heidän työtehtävissään tarvitsemiinsa välttämättömiin henkilötietoihin.

Palveluntarjoajan on pidettävä rekisteriä tietoturvallisen käyttöympäristön käyttäjistä sekä näiden käyttöoikeuksista. Käyttöympäristön käyttäjien käyttöoikeustiedot on hävitettävä tai arkistoitava 12 vuoden kuluttua käyttöoikeuden päättymisestä.

Tietolupaviranomainen antaa määräykset niistä perusteista, joiden mukaisesti palveluntarjoajan on määriteltävä luvansaajan käyttöoikeudet asiakastietoihin.

Tietoturvallinen käyttöympäristö on suojattava valtion viranomaisten tietoturvallisuutta koskevien velvoitteiden mukaisesti noudattaen, mitä julkisuuslain 36 §:ssä ja mainitun pykälän 1 momentin nojalla annetussa valtioneuvoston asetuksessa säädetään.

Käyttöympäristön on mahdollistettava lokitietojen kerääminen luovutettujen tietojen käytöstä seurantaa ja valvontaa varten 19 §:n mukaisesti.

Tietoturvallisen käyttöympäristön on täytettävä tietoturvaa ja tiedonsiirron yhteentoimivuutta koskevat vaatimukset, jotka perustuvat viranomaisten antamiin määräyksiin, suosituksiin ja näiden osoittamiin, tietoturvalliseen käyttöympäristöön soveltuviin standardeihin.

Tietolupaviranomainen antaa tarkemmat määräykset muiden palveluntarjoajien tietoturvallisille käyttöympäristöille asetettavista vaatimuksista. Vaatimuksissa on edellytettävä vastaavaa tietoturvan tasoa kuin Tietolupaviranomaisen omassa käyttöympäristössä vaaditaan.

Käyttöympäristön tietoturvallisuus on osoitettava 26 §:n mukaisella tietoturvallisuuden arviointilaitoksen antamalla todistuksella.

Tietolupaviranomainen voi antaa tarkempia määräyksiä tietoturvallisuuden osoittamisessa noudatettavista menettelyistä.

Tietoturvallisuuden arviointilaitos arvioi tämän lain ja tietoturvallisuuden arviointilaitoksista annetun lain mukaisesti palveluntarjoajan hakemuksesta, täyttääkö käyttöympäristö tietoturvallisuutta koskevat vaatimukset. Arviointiperusteina on käytettävä Tietolupaviranomaisen määräyksiä turvalliselle käyttöympäristölle asetettavista vaatimuksista.

Jos käyttöympäristö täyttää tämän lain mukaiset tietoturvallisuusvaatimukset, tietoturvallisuuden arviointilaitoksen on annettava suorittamastaan arvioinnista palveluntarjoajalle todistus sekä siihen liittyvä tarkastusraportti. Jos arviointi tai uudelleenarviointi koskee vain käyttöympäristön osaa, arviointilaitoksen antamaan todistukseen on selkeästi merkittävä, mikä osa käyttöympäristöstä on arvioitu.

Arviointilaitoksen myöntämä todistus on voimassa enintään viisi vuotta. Tietoturvallisuuden arviointilaitos voi vaatia palveluntarjoajalta kaikki arvioinnin sekä todistuksen laatimisen ja ylläpitämisen edellytyksenä olevat tiedot. Todistuksen antamiseen sovelletaan muutoin tietoturvallisuuden arviointilaitoksista annetun lain 9 §:n 3 momenttia.

Jos tietoturvallisuuden arviointilaitos toteaa, että käyttöympäristö ei ole täyttänyt tai ei enää täytä tässä laissa säädettyjä vaatimuksia tai että todistusta ei muutoin olisi tullut myöntää, laitoksen on kehotettava palveluntarjoajaa korjaamaan puutteet. Arviointilaitos voi peruuttaa todistuksen määräajaksi tai kokonaan taikka myöntää sen rajoitettuna, jollei palveluntarjoaja korjaa puutteellisuuksia arviointilaitoksen asettamassa määräajassa. Määräajan pituutta määritettäessä on otettava huomioon käyttöympäristön korjaamiseksi tarvittava kohtuullinen aika.

Tietoturvallisuuden arviointilaitoksen on ilmoitettava Sosiaali- ja terveysalan lupa- ja valvontavirastolle tiedot kaikista myönnetyistä, muutetuista, täydennetyistä, määräajaksi tai kokonaan peruutetuista tai evätyistä todistuksista sekä 27 §:n mukaisista kehotuksista ja rajoituksista. Lisäksi tietoturvallisuuden arviointilaitoksen on pyydettäessä annettava Sosiaali- ja terveysalan lupa- ja valvontavirastolle kaikki tarvittavat lisätiedot.

Palveluntarjoajan on seurattava ja arvioitava ajantasaisella järjestelmällisellä menettelyllä tietoturvallisesta käyttöympäristöstä sen tuotantokäytön aikana saatavia kokemuksia. Palveluntarjoajan on seurattava tämän lain muutoksia ja tehtävä käyttöympäristöön muutosten edellytyksenä olevat korjaukset. Käyttöympäristön olennaisista muutoksista on ilmoitettava tietoturvallisuuden arviointilaitokselle. Arviointilaitoksen myöntämä todistus on uudistettava, jos käyttöympäristöön tehdään merkittäviä muutoksia tai jos käyttöympäristöä koskevia vähimmäisvaatimuksia on muutettu tavalla, jonka edellytyksenä on uusi arviointi.

Palveluntarjoajan on säilytettävä vaatimustenmukaisuutta koskevat ja muut valvonnan edellytyksenä olevat tiedot vähintään viisi vuotta tietoturvallisen käyttöympäristön tuotantokäytön päättymisestä.

Sosiaali- ja terveysalan lupa- ja valvontaviraston tehtävänä on valvoa ja edistää sitä, että tietoturvalliset käyttöympäristöt täyttävät tietosuojaa ja tietoturvaa koskevat vaatimukset. Sosiaali- ja terveysalan lupa- ja valvontavirasto ylläpitää julkista rekisteriä sille ilmoitetuista, vaatimukset täyttävistä käyttöympäristöistä.

Sosiaali- ja terveysalan lupa- ja valvontavirastolla on oikeus tehdä valvonnan edellytyksenä olevia tarkastuksia. Tarkastuksen suorittamiseksi tarkastajalla on oikeus päästä kaikkiin tiloihin, joissa harjoitetaan tässä laissa tarkoitettua toimintaa tai säilytetään tämän lain noudattamisen valvonnan kannalta merkityksellisiä tietoja. Tarkastusta ei kuitenkaan saa tehdä pysyväisluonteiseen asumiseen käytettävissä tiloissa.

Tarkastuksessa on esitettävä kaikki tarkastajan pyytämät asiakirjat, jotka ovat tarpeellisia tarkastuksen toimittamiseksi. Lisäksi tarkastajalle on annettava maksutta hänen pyytämänsä jäljennökset tarkastuksen toimittamiseksi tarpeellisista asiakirjoista.

Sosiaali- ja terveysalan lupa- ja valvontaviraston on säilytettävä tarkastuksesta laadittava tarkastuskertomus kymmenen vuoden ajan tarkastuksen suorittamisesta.

Sosiaali- ja terveysalan lupa- ja valvontavirastolla on oikeus käyttää ulkopuolisia asiantuntijoita arvioimaan tietoturvallisen käyttöympäristön vaatimustenmukaisuutta. Ulkopuoliset asiantuntijat voivat osallistua tämän lain mukaisiin tarkastuksiin sekä tutkia ja testata käyttöympäristöjä. Ulkopuolisella asiantuntijalla tulee olla tehtävien edellytyksenä oleva asiantuntemus ja pätevyys.

Ulkopuoliseen asiantuntijaan sovelletaan virkamiehen esteellisyyttä koskevia hallintolain (434/2003) säännöksiä sekä rikosoikeudellista virkavastuuta hänen suorittaessaan tässä laissa tarkoitettuja tehtäviä.

Sosiaali- ja terveysalan lupa- ja valvontavirastolla on oikeus saada maksutta ja salassapitosäännösten estämättä käyttöympäristöjen valvontaa varten välttämättömät tiedot valtion ja kunnan viranomaisilta sekä luonnollisilta ja oikeushenkilöiltä, joita tämän lain tai sen nojalla annetut säännökset koskevat.

Sosiaali- ja terveysalan lupa- ja valvontavirasto saa 30 §:n nojalla tehdyn tarkastuksen perusteella määrätä palveluntarjoajan korjaamaan tuotantokäytössä olevaa käyttöympäristöä koskevat puutteet.

Jos tietoturvallinen käyttöympäristö voi vaarantaa tietosuojan tai toteuttaa puutteellisesti tässä laissa sille asetetut vaatimukset eikä puutteita ole korjattu Sosiaali- ja terveysalan lupa- ja valvontaviraston asettamassa määräajassa, lupa- ja valvontavirasto saa kieltää käyttöympäristön käytön, kunnes puutteet on korjattu. Lisäksi Tietolupaviranomainen tai muu 6 §:ssä tarkoitettu viranomainen voi sulkea yhteyden ylläpitämiinsä tietojärjestelmiin, jos niitä käyttävä vaarantaa tai niihin liitetty ulkopuolinen järjestelmä voi vaarantaa niiden asianmukaisen toiminnan.

Sosiaali- ja terveysalan lupa- ja valvontavirasto voi velvoittaa palveluntarjoajan tai valtuutetun edustajan tiedottamaan käyttöympäristön tuotantokäyttöä koskevasta päätöksestä lupa- ja valvontaviraston asettamassa määräajassa ja määräämällä tavalla.

Sosiaali- ja terveysalan lupa- ja valvontavirasto voi asettaa 1 momentin nojalla tekemänsä päätöksen tehosteeksi uhkasakon tai uhan, että toiminta keskeytetään osaksi tai kokonaan taikka että tekemättä jätetty toimenpide teetetään asianomaisen kustannuksella. Lupa- ja valvontaviraston on ilmoitettava päätöksestään Tietolupaviranomaiselle.

Jos palveluntarjoaja, 6 §:ssä tarkoitettu viranomainen tai henkilötietoja muutoin tämän lain mukaisesti käsittelevä on laiminlyönyt tässä laissa säädetyn tietojärjestelmiin tai niiden käyttöön liittyvän velvollisuutensa, Sosiaali- ja terveysalan lupa- ja valvontavirasto voi määrätä velvollisuuden täytettäväksi määräajassa.

Lisäksi Tietolupaviranomainen tai muu 6 §:ssä tarkoitettu viranomainen voi sulkea yhteyden ylläpitämiinsä tietojärjestelmiin, jos palveluntarjoaja, 6 §:ssä tarkoitettu viranomainen tai henkilötietoja muutoin tämän lain mukaisesti käsittelevä on Sosiaali- ja terveysalan lupa- ja valvontaviraston asettamasta määräajasta huolimatta laiminlyönyt tässä laissa säädetyn tietojärjestelmiin tai niiden käyttöön liittyvän velvollisuutensa.

Sosiaali- ja terveysalan lupa- ja valvontavirasto voi asettaa 1 momentin nojalla tekemänsä määräyksen tehosteeksi uhkasakon tai uhan, että toiminta keskeytetään osaksi tai kokonaan taikka että tekemättä jätetty toimenpide teetetään asianomaisen kustannuksella. Sosiaali- ja terveysalan lupa- ja valvontaviraston on ilmoitettava päätöksestään Tietolupaviranomaiselle.

Edellä 6 §:ssä tarkoitettujen rekisterinpitäjien rekisteritietoja ja yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoja saa käsitellä toissijaisessa käyttötarkoituksessa rekisterinpitäjän tai Tietolupaviranomaisen myöntämällä määräaikaisella tietoluvalla taikka suoraan lain säännösten perusteella siten kuin jäljempänä säädetään.

Edellä 1 momentissa tarkoitetut tiedot voidaan luovuttaa Tietolupaviranomaisen käyttöön 17 §:ssä tarkoitetun tietoturvallisen käyttöpalvelun välityksellä.

Tietolupaviranomainen voi salassapitovelvoitteista ja muista tietojen käyttöä koskevista rajoituksista riippumatta poimia tietoluvan mukaiset tiedot 17 §:ssä tarkoitetun tietoturvallisen käyttöpalvelun välityksellä sellaisista 1 momentissa tarkoitettujen rekisterinpitäjien tiedoista ja tietovarannoista, joista se on rekistereiden ja tietovarantojen sisältö ja tekninen toteutus huomioon ottaen mahdollista ja tarkoituksenmukaista.

Tietolupaviranomainen on tässä pykälässä tarkoitetuin tavoin saamiensa tietojen rekisterinpitäjä.

Tietolupaviranomainen saa salassapitovelvoitteiden estämättä tuottaa 3 §:n 9 kohdassa tarkoitetun tietopyynnön perusteella yksittäistapauksessa asiakastietoihin sekä muihin 6 §:ssä tarkoitettujen organisaatioiden henkilötietoihin perustuvat aggregoidut tilastotiedot kehittämis- ja innovaatiotoimintaan, jota toteutetaan muutoin kuin 38 §:ssä tarkoitettuna tieteellisenä tutkimuksena.

Tieteelliseen tutkimukseen ja tilastointiin saa salassapitovelvoitteiden estämättä antaa yksittäistapauksessa tietoluvan asiakastietoihin sekä muihin 6 §:ssä tarkoitettujen organisaatioiden henkilötietoihin.

Tietolupaa harkittaessa on huolehdittava siitä, että tieteellisen tutkimuksen vapaus turvataan.

Tietojen käsittelystä tieteellistä tutkimusta ja tilastointia varten säädetään lisäksi tietosuojalaissa (1050/2018).

Sosiaali- tai terveydenhuollon palvelunantajan asiakastietoja saa käsitellä salassapitovelvoitteiden estämättä sekä tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan nojalla opetusaineistojen valmistamiseksi sosiaali- ja terveydenhuollon asiakastietoja käsittelevän henkilöstön ja sosiaali- ja terveydenhuollon ammattihenkilöiksi opiskelevien opetukseen, jos se on välttämätöntä opetuksen tarkoituksen toteuttamiseksi. Edellytyksenä on lisäksi, että käsittelylle on myönnetty tässä laissa tarkoitettu tietolupa.

Tunnisteellisina tietoja saa käyttää opetustilanteissa kuitenkin vain, jos opetusta ei voida toteuttaa anonyyminä käsiteltävän tapauksen harvinaislaatuisuuden, opetuksen luonteen tai muun vastaavan syyn vuoksi. Opetusta antavan henkilön on informoitava opetusta seuraavia laissa säädetystä salassapitovelvollisuudesta ja sen rikkomisesta seuraavista sanktioista.

Rekisteröidyllä ei ole tietosuoja-asetuksen 21 artiklan mukaista oikeutta vastustaa henkilötietojensa käsittelyä opetustarkoituksessa, jos tietojen käsittely on välttämätöntä tapauksen harvinaislaatuisuuden vuoksi.

Luvansaajan on hävitettävä opetustarkoitusta varten koottu erillinen aineisto, kun se ei enää ole välttämätön kyseistä tarkoitusta varten.

Sosiaali- tai terveydenhuollon palvelunantajalla on oikeus salassapitovelvoitteiden estämättä sekä tietosuoja-asetuksen 9 artiklan 2 kohdan h alakohdan nojalla käsitellä ja yhdistellä tunnisteellisesti asiakastietoja, jotka ovat syntyneet sen omassa toiminnassa tai ovat sen omiin rekistereihin tallennettuja, jos se on välttämätöntä palvelunantajan vastuulla toteutettavan palvelutoiminnan tuottamista, seurantaa, arviointia, suunnittelua, kehittämistä, johtamista ja valvontaa varten.

Jos palvelunantajalle on tarpeen vastuullaan toteutettavan palvelutoiminnan taikka palveluketjujen arviointia, suunnittelua tai kehittämistä varten verrata omaa toimintaansa muiden palvelunantajien toimintaan, Tietolupaviranomainen voi tuottaa tarvittavan vertailuaineiston aggregoituna tilastotietona 45 §:n mukaisesti 3 §:n 9 kohdassa tarkoitetun tietopyynnön perusteella.

Sen lisäksi, mitä 1 ja 2 momentissa säädetään, kunnalla tai kuntayhtymällä on tietojohtamisen tarkoituksessa oikeus käsitellä ja yhdistellä tunnisteellisesti myös asiakastietoja, jotka on tallennettu terveydenhuoltolain (1326/2010) 9 §:n 1 momentissa tarkoitettuun yhteisrekisteriin.

Jos sosiaali- ja terveysalan ohjaus- tai valvontaviranomainen tarvitsee laissa säädetyn ohjaus- tai valvontatehtävänsä toteuttamiseksi sosiaali- tai terveydenhuollon rekistereihin tallennettuihin henkilötietoihin tai muihin tunnisteellisiin 6 §:ssä tarkoitettujen rekisterinpitäjien rekisteritietoihin perustuvia yhdisteltyjä tietoja, Tietolupaviranomainen voi tuottaa tarvittavat aggregoidut tilastotiedot 45 §:n mukaisesti 3 §:n 9 kohdassa tarkoitetun tietopyynnön perusteella.

Sellaiset 1 momentissa tarkoitetut tiedot, jotka sanotussa momentissa tarkoitetulla valvontaviranomaisella on muun lain mukaan oikeus saada salassapitovelvoitteista riippumatta, voidaan perustellusta pyynnöstä luovuttaa myös tunnisteellisina.

Edellä 2 momentissa tarkoitetut tiedot voidaan luovuttaa valvontaviranomaiselle 17 §:ssä tarkoitetun tietoturvallisen käyttöpalvelun välityksellä.

Tietolupa henkilötietoihin voidaan myöntää, jos hakemuksesta ja tiedonhyödyntämissuunnitelmasta ilmenevä tiedon käyttötarkoitus on tietosuoja-asetuksen, tietosuojalain sekä tämän ja muun kyseessä olevia tietoja koskevan lain mukainen ja jos käyttötarkoitus on tarkoituksenmukaisimmin toteutettavissa hakemuksessa tarkoitettuja tietoja käyttäen.

Jos tietolupahakemus liittyy sellaiseen käyttötarkoitukseen, jota koskevasta lupamenettelystä ja luvan myöntämisen perusteista säädetään erikseen, sanotun luvan kaikkien edellytysten on täytyttävä.

Jos luovutettavat tiedot on koottu rekisteröidyn suostumuksella, tietolupa häntä koskeviin rekisteritietoihin voidaan myöntää vain, jos se on suostumuksen ja tiedon käytölle ja luovutukselle annettujen ehtojen mukaista. Jos tietolupahakemusta koskevat tiedot liittyvät käyttötarkoitukseen, joka perustuu rekisteröidyn suostumukseen, tietolupa voidaan myöntää vain sellaisiin tietoihin, jotka rekisteröidyn suostumus kattaa.

Tietolupa voidaan antaa määräajaksi, jos on ilmeistä, ettei tiedon antaminen loukkaa niitä etuja, joiden suojaksi salassapitovelvollisuus on säädetty. Lupaan on liitettävä tietojen käsittelyn suojaustoimenpiteitä koskevat riskien mukaiset vaatimukset ja muut yksityisen edun suojaamiseksi tarpeelliset määräykset. Lupa voidaan peruuttaa, jos siihen harkitaan olevan syytä.

Jos Tietolupaviranomainen toteaa tietolupahakemuksen perusteella, että tietoluvan sijaan asia voidaan käsitellä 45 §:n mukaisena tietopyyntönä, Tietolupaviranomaisen on otettava yhteys luvanhakijaan ja esitettävä, että asia käsitellään tietopyyntönä. Jos luvanhakija vaatii tietolupapäätöksen käsittelyä, Tietolupaviranomaisen on tehtävä asiaa koskeva päätös.

Tietolupaviranomainen vastaa lisäksi Eläketurvakeskuksen, Väestörekisterikeskuksen ja Tilastokeskuksen 6 §:n 9–11 kohdassa tarkoitettuihin tietoihin kohdistuvasta tietolupapäätöksestä, jos sanottuja tietoja yhdistetään 1 momentin 1–3 kohdassa tarkoitettuihin tietoihin.

Jos tietolupahakemus koskee vain yhden 6 §:n 1–8 kohdassa tarkoitetun organisaation henkilörekistereissä olevia tietoja, organisaatio vastaa itse tietolupapäätöksestä. Jos kuitenkin sanottu organisaatio on ilmoittanut Tietolupaviranomaiselle 11 §:n 3 momentin mukaisesti luopuvansa ylläpitämästä muita kuin 10 §:n 1 ja 2 kohdassa tarkoitettuja palveluita, vastaa Tietolupaviranomainen sen tässä laissa tarkoitettuja henkilötietoja koskevista tietolupapäätöksistä.

Tietolupapäätöksestä vastaavalla viranomaisella on oikeus pyytää tietosuojavaltuutetulta lausunto tietolupahakemuksesta, jos arvioi sen tarpeelliseksi.

Tietolupaviranomainen päättää, onko 3 §:n 9 kohdassa tarkoitettu tietopyyntö 2 §:n 1 momentissa säädettyjen käyttötarkoitusten ja muiden tietopyynnölle asetettujen vaatimusten mukainen.

Päätöstä tehdessään Tietolupaviranomaisen on arvioitava tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan ja 86 artiklan nojalla sekä ottaen huomioon 8 §:n 4 momentissa tarkoitetun asiantuntijaryhmän periaatelinjaukset, onko pyytäjän esittämistä rekisteritiedoista mahdollista muodostaa tietopyynnössä tarkoitettu aggregoitu tilastotieto.

Jos tietopyyntö kuitenkin koskee tieteellisen tutkimuksen käyttötarkoitusta ja pyyntö koskee myös tilastoviranomaisen tilastotarkoituksiin keräämiä tietoja, noudatetaan menettelyssä, mitä 7 §:ssä ja 51 §:n 4 momentissa säädetään.

Tietopyyntö sekä tietolupahakemus Tietolupaviranomaiselle on toimitettava 16 §:ssä tarkoitetun tietopyyntöjen hallintajärjestelmän välityksellä. Jos hakija täydentää hakemustaan, myös täydennys on toimitettava Tietolupaviranomaiselle tietopyyntöjen hallintajärjestelmän välityksellä. Lupahakemukseen ja aggregoituja tilastotietoja koskevaan tietopyyntöön on liitettävä tiedonhyödyntämissuunnitelma.

Tietolupaviranomainen antaa määräykset tietolupahakemuksen ja tiedonhyödyntämissuunnitelman sekä tietopyynnön tietosisällöistä ja tietorakenteista.

Päätös tietolupahakemukseen on annettava viipymättä, kuitenkin viimeistään 3 kuukauden kuluessa siitä, kun lupahakemus on saapunut täydellisenä viranomaiselle.

Tietolupaviranomainen voi painavasta syystä päättää, että tietolupahakemuksen käsittelyaikaa jatketaan enintään 3 kuukautta, jos hakemuksen ja siihen liittyvän tiedonhyödyntämissuunnitelman käsittelyn edellytyksenä on poikkeuksellisen laaja ja usean eri rekisterinpitäjän tietojen käsittely taikka erityisen vaativa harkinta. Tietolupaviranomaisen on annettava luvan hakijalle tieto määräajan pidentämisestä ja sen perusteesta sekä uudesta määräajasta, jonka kuluessa lupapäätös annetaan.

Jos tietolupapäätöksestä vastaava viranomainen pyytää 44 §:n 4 momentissa tarkoitettua lausuntoa tietosuojavaltuutetulta, tietolupapäätöksestä vastaavan viranomaisen määräaika hakemuksen käsittelylle keskeytyy, kunnes lausunto on saapunut.

Edellä 6 §:ssä tarkoitetun rekisterinpitäjän sekä yksityisen sosiaali- tai terveydenhuollon palvelunantajan on luovutettava Tietolupaviranomaiselle tietolupahakemuksen tai 45 §:ssä tarkoitetun, aggregoitua tilastotietoa koskevan tietopyynnön käsittelyssä tarvittavat tiedot Tietolupaviranomaisen pyynnöstä viivytyksettä, kuitenkin viimeistään 15 arkipäivässä pyynnön saapumisesta.

Edellä 6 §:ssä tarkoitetun rekisterinpitäjän sekä yksityisen sosiaali- tai terveydenhuollon palvelunantajan on luovutettava myönnetyn tietoluvan mukaiset rekisteritiedot tai 45 §:ssä tarkoitetun aggregoituja tilastotietoja koskevan pyynnön käsittelyssä tarvittavat tiedot Tietolupaviranomaisen pyynnöstä viivytyksettä, kuitenkin viimeistään 30 arkipäivässä siitä, kun Tietolupaviranomainen on tehnyt päätöksen siitä, että tiedot saa luovuttaa hakijalle. Jos hakijan tietojen luovuttamisen tueksi esittämä selvitys on riittämätön, Tietolupaviranomaisen on ilmoitettava viipymättä hakijalle, mitä lisäselvitystä edellytetään. Pyydetyt tiedot on tällöin toimitettava hakijalle 30 arkipäivän kuluessa lisäselvityksen vastaanottamisesta, jos luovutuksen edellytyksistä voidaan varmistua toimitetun lisäselvityksen perusteella.

Jos tietojen luovuttaminen Tietolupaviranomaiselle ei ole mahdollista 1 momentissa tarkoitetussa määräajassa, rekisterinpitäjän on ilmoitettava viivästyksestä, sen syystä ja tietojen luovutukseen tarvittavasta määräajan pidennyksestä ennen määräajan päättymistä. Tietolupaviranomaisen on asetettava perustellusta syystä luovutukselle uusi määräaika.

Tietolupaviranomaisen on luovutettava luvansaajalle tietoluvan perusteella kokoamansa ja yhdistelemänsä tiedot viipymättä, kuitenkin viimeistään 60 arkipäivän kuluessa luvan myöntämisestä.

Tietolupaviranomainen voi painavasta syystä pidentää luovutuksen määräaikaa, jos tietojen käyttötarkoituksen edellytyksenä on poikkeuksellisen laaja ja usean eri rekisterinpitäjän tietojen käsittely tai erityisen vaativa yhdistelytyö. Tietolupaviranomaisen on annettava luvan saajalle tieto määräajan pidentämisestä ja sen perusteesta sekä uudesta määräajasta, jonka kuluessa tiedot luovutetaan.

Tietolupaviranomainen tai muu luvan myöntänyt viranomainen saa periä maksun tietoluvasta ja tietopyyntöä koskevasta päätöksestä. Maksun määräytymisen perusteista säädetään valtion maksuperustelaissa (150/1992).

Tietolupaviranomainen saa periä korvauksen tässä laissa tarkoitetun tietoluvan mukaisten tietojen poimimisesta, toimittamisesta ja yhdistelystä, esikäsittelystä, pseudonymisoinnista ja anonymisoinnista sekä tietoturvallisen käyttöympäristön käytöstä.

Korvaukset, jotka koskevan tietolupaan perustuvien tietojen poimintaa ja toimittamista muista kuin Tietolupaviranomaisen omista tietovarannoista, määräytyvät kutakin tiedot toimittanutta rekisterinpitäjää koskevien säännösten mukaisesti. Rekisterinpitäjällä tai henkilötietojen käsittelijällä, joka luovuttaa Tietolupaviranomaiselle tietoja tässä laissa tarkoitetun tietoluvan perusteella, on oikeus saada Tietolupaviranomaiselta korvauksena näin määräytyvä osuutensa luvansaajan maksettaviksi määrätyistä kustannusten korvauksista.

Korvaukseen tämän pykälän mukaisesti oikeutetun on toimitettava Tietolupaviranomaiselle pyynnöstä arvio kustannuksista, joita tietojen käsittelystä korvaukseen oikeutetulle aiheutuu. Tietolupaviranomainen laatii saamiensa tietojen pohjalta kustannusarvion tietopyynnön toteuttamisesta ja toimittaa sen luvanhakijalle. Tietolupaviranomainen perii luvansaajalta 2 momentissa tarkoitetut korvaukset ja tulouttaa ne tiedot toimittaneille rekisterinpitäjille.

Tietolupaviranomaisen korvausten määräytymisen perusteista säädetään valtion maksuperustelaissa. Tietoturvallisuuden arviointilaitoksen suorittamasta arvioinnista perittävistä maksuista säädetään tietoturvallisuuden arviointilaitoksista annetun lain 11 §:ssä.

Sosiaali- ja terveysalan lupa- ja valvontavirastolle 30 §:n 1 momentin mukaan tehtävän ilmoituksen rekisteröinti ja merkintä julkiseen rekisteriin on maksullinen.

Jos Tietolupaviranomainen on 44 §:ssä edellytetyissä tilanteissa myöntänyt tietoluvan, se kokoaa ja tarvittaessa yhdistelee ja esikäsittelee sekä pseudonymisoi tai anonymisoi tietoluvassa yksilöidyt tiedot sekä luovuttaa tuottamansa tietoaineiston luvansaajan käsiteltäväksi tämän pykälän 3 momentin mukaisesti.

Jos 44 §:n 3 momentissa tarkoitettu yksittäinen rekisterinpitäjä on tehnyt omiin rekistereihinsä sisältyviä tietoja koskevan tietolupapäätöksen, se kokoaa rekistereistään tiedot, tarvittaessa yhdistelee, esikäsittelee ja pseudonymisoi ne sekä luovuttaa tietoaineiston luvansaajan käsiteltäväksi tämän pykälän 3 momentin mukaisesti. Jos kuitenkin tietoaineisto luovutetaan luvansaajalle anonymisoituna, on rekisterinpitäjän toimitettava lupapäätös sekä luvan mukaiset tiedot Tietolupaviranomaiselle tarvittaessa yhdisteltäviksi ja esikäsiteltäviksi sekä anonymisoitavaksi. Tietolupaviranomainen vastaa aina käsiteltäviksi luovutettavien tietojen anonymisoinnista ja niiden luovuttamisesta luvansaajan käsiteltäväksi.

Tietolupaan perustuva tietoaineisto luovutetaan luvansaajan käsiteltäväksi aina 20 §:ssä tarkoitettuun tietoturvalliseen käyttöympäristöön 17 §:ssä tarkoitetun tietoturvallisen käyttöpalvelun välityksellä, ellei siitä ole muodostettu aggregoitua tilastotietoa. Ensisijaisesti tämän pykälän 1 ja 2 momentissa tarkoitettu tietoaineisto luovutetaan käsiteltäväksi 20 §:n 1 momentissa tarkoitetussa, Tietolupaviranomaisen ylläpitämässä tietoturvallisessa käyttöympäristössä. Jos se kuitenkin tiedonhyödyntämissuunnitelmasta ja tietoluvasta erikseen ilmenevästä syystä on tärkeää, voidaan tietoaineisto luovuttaa vastaavasti 20 §:n 3 momentissa tarkoitetussa muussa tietoturvallisessa käyttöympäristössä käsiteltäväksi.

Jos käyttötarkoitukseen tarvitaan myös Tilastokeskuksen tai Terveyden ja hyvinvoinnin laitoksen tilastoviranomaisena tilastotarkoitusta varten kokoamia tietoja, sanottu tilastoviranomainen yhdistelee sekä tarvittaessa esikäsittelee ja pseudonymisoi tai anonymisoi luovutettavat tiedot. Jos käyttötarkoitukseen tarvitaan molempien tilastoviranomaisten tietoja, sanotut viranomaiset sopivat keskenään, kumpi yhdistelee ja pseudonymisoi tai anonymisoi tiedot. Tiedot voidaan tämän jälkeen luovuttaa 17 §:ssä tarkoitetun tietoturvallisen käyttöpalvelun välityksellä saajan käsiteltäväksi tietojen luonteesta ja määrästä riippuen Tilastokeskuksen tai Tietolupaviranomaisen ylläpitämässä tietoturvallisessa käyttöympäristössä taikka muussa 20 §:n mukaisessa käyttöympäristössä.

Käyttöympäristön palveluntarjoajan on varmistettava ennen yhteyden avaamista luvansaajalle, että luvansaaja täyttää tietoluvassa asetetut vaatimukset.

Kun tietoluvan nojalla on luovutettu tietoja käsiteltäviksi 20 §:ssä tarkoitetussa tietoturvallisessa käyttöympäristössä ja niiden pohjalta tuotettuja tuloksia halutaan julkaista, vastaa Tietolupaviranomainen julkaistavien tietojen anonymisoinnin varmistamisesta. Tietolupaviranomainen voi kuitenkin perustellusta syystä lupapäätöksessään myöntää luvansaajalle oikeuden toteuttaa itse julkaistavien edellä mainittujen tietojen anonymisoinnin ehdolla, että ne toimitetaan jälkikäteen Tietolupaviranomaisille.

Tietolupaviranomainen tuottaa anonymisoidut tulokset ja luovuttaa ne luvansaajalle vapaasti julkaistaviksi tämän tekemän pyynnön ja pyyntöön liitetyn ehdotuksen perusteella riippumatta siitä, onko tietoluvan myöntänyt yksittäinen rekisterinpitäjä vai Tietolupaviranomainen.

Tietolupakäsittelystä vastaavien viranomaisten on toimitettava vähintään kerran vuodessa tämän lain nojalla suorittamastaan tietojen käsittelystä ja lokirekisteriin tallennettujen tietojen käsittelystä yksityiskohtainen selvitys tietosuojavaltuutetulle.

Jos tämän lain nojalla luovutetaan salassa pidettäviä tietoja muulle kuin viranomaiselle, niiden saajaa on luovutuksen yhteydessä informoitava salassapitovelvoitteista noudattaen julkisuuslain 25 §:ää.

Sen estämättä, mitä muualla laissa säädetään oikeudesta tai velvollisuudesta luovuttaa salassa pidettäviä tietoja, tämän lain nojalla kerättyjä tietoja ei saa luovuttaa käytettäväksi yksityishenkilöä koskevassa hallinnollisessa päätöksenteossa eikä muussa vastaavassa asioiden käsittelyssä ilman hänen nimenomaista suostumustaan. Sosiaali- ja terveysalan valvontaviranomainen voi kuitenkin käyttää 42 §:n nojalla saamiaan tietoja muuta henkilöä kuin rekisteröityä koskevassa valvontatehtävässä, kun arvioidaan sosiaali- ja terveydenhuollon toimintayksiköiden tai ammattihenkilöiden toiminnan lainmukaisuutta taikka ammatillista asianmukaisuutta.

Sen estämättä, mitä 54 §:n 3 momentissa säädetään, tietoluvan saajalla on oikeus ilmoittaa Tietolupaviranomaisen nimeämälle vastuuhenkilölle kliinisesti merkittävästä löydöksestä, jonka perusteella olisi mahdollista ehkäistä tietyn potilaan terveyteen liittyvää riskiä tai parantaa merkittävästi hoidon laatua.

Jos 1 momentissa tarkoitetun ilmoituksen perusteena olevat tiedot ovat pseudonymisoituja, sanotun vastuuhenkilön on selvitettävä, ketä tai keitä tieto koskee. Kun Tietolupaviranomaisen vastuuhenkilöllä on tiedossaan henkilö tai henkilöt, joita 1 momentissa tarkoitettu ilmoitus koskee, vastuuhenkilön on toimitettava ilman aiheetonta viivytystä tiedot Terveyden ja hyvinvoinnin laitoksen nimeämälle asiantuntijalle.

Edellä 2 momentissa tarkoitetun asiantuntijan on yhteistyössä laitoksen nimeämien muiden asiantuntijoiden kanssa arvioitava tiedon merkittävyys ja sen pohjalta toteutettavissa olevien toimenpiteiden odotettavissa oleva hyöty. Jos hyöty arvioidaan niin ilmeiseksi, että tutkittava olisi tärkeää saada hoidon piiriin, Terveyden ja hyvinvoinnin laitoksen 2 momentissa tarkoitetun asiantuntijan on ilmoitettava löydöksestä kunkin henkilön terveydenhuollosta alueellisesti terveydenhuoltolain nojalla vastuussa olevalle toimintayksikölle.

Edellä 3 momentissa tarkoitetun toimintayksikön on otettava yhteys potilaaseen ja selvitettävä, haluaako tämä tiedon kliinisesti merkittävästä löydöksestä ja sen perusteella mahdollisesti tehtävistä tutkimus- ja hoitotoimenpiteistä sekä niistä odotettavissa olevasta hyödystä.

Potilaalla on oikeus kieltää kliinisesti merkittävän löydöksen perusteella tehtävät yhteydenotot. Kielto kirjataan asiakastietolain 14 a §:ssä tarkoitettuun potilaan tiedonhallintapalveluun. Potilas voi tehdä kiellon kirjallisesti missä tahansa julkista terveydenhuoltoa tuottavassa toimintayksikössä taikka sähköisesti asiakastietolain 19 §:ssä tarkoitetun kansalaisen käyttöliittymän välityksellä.

Tämän lain mukaisen henkilötietojen käsittelyn ja siihen liittyvän tietohallinnon yleinen suunnittelu, ohjaus ja valvonta kuuluvat sosiaali- ja terveysministeriölle.

Tietosuojavaltuutettu, Sosiaali- ja terveysalan lupa- ja valvontavirasto sekä Tietolupaviranomainen ohjaavat ja valvovat toimialueellaan niille säädetyn toimivallan mukaisesti osaltaan tämän lain noudattamista.

Tietolupaviranomaisen ja muiden tämän lain mukaisesti tietolupia myöntävien viranomaisten sekä Sosiaali- ja terveysalan lupa- ja valvontaviraston on omalta osaltaan seurattava ja valvottava, että kunkin antamaan palveluun liittyvä tietosuoja ja tietoturva toteutuvat ja että niiden myöntämien lupien ehtoja noudatetaan. Jos joku on lainvastaisesti käsitellyt henkilötietoja, asianomaisen viranomaisen on oma-aloitteisesti ryhdyttävä tarvittaviin toimenpiteisiin. Jos tietoja käsitellään 20 §:n 3 momentin nojalla muussa kuin Tietolupaviranomaisen tietoturvallisessa käyttöympäristössä, 19 §:ssä tarkoitetut lokitiedot sekä 22 §:n 2 momentissa tarkoitetun käyttäjärekisterin tiedot on toimitettava Tietolupaviranomaiselle seurannan ja valvonnan toteuttamiseksi sen pyynnöstä ilman aiheetonta viivytystä.

Jos Tietolupaviranomaisella tai tämän lain mukaisesti tietolupia myöntävällä viranomaisella on perusteltua syytä epäillä, että sen myöntämän tietoluvan perusteella tietoja käsittelevä ei käsittele henkilötietoja lain mukaisesti, sen on viipymättä tehtävä ilmoitus tietosuojavaltuutetulle.

Tietolupaviranomaisen on raportoitava ohjausryhmälle tapauksista, joissa poiketaan 47 ja 48 §:ssä tarkoitetuista määräajoista, sekä julkaistava tiedot niistä.

Tässä laissa tarkoitettuun 45 §:n mukaista tietopyyntöä koskevaan päätökseen sekä tietolupahakemusta ja luvan peruuttamista koskevaan päätökseen, jonka antaa Tietolupaviranomainen taikka 6 §:ssä tarkoitettu rekisterinpitäjä, sekä Sosiaali- ja terveysalan lupa- ja valvontaviranomaisen tämän lain nojalla tekemään päätökseen saa vaatia oikaisua päätöksen tehneeltä viranomaiselta siten kuin hallintolaissa säädetään.

Oikaisuvaatimukseen annettuun päätökseen saa hakea muutosta valittamalla hallinto-oikeuteen siten kuin hallintolainkäyttölaissa (586/1996) säädetään. Hallinto-oikeuden päätökseen saa hakea muutosta valittamalla vain, jos korkein hallinto-oikeus myöntää valitusluvan.

Tämä laki tulee voimaan 1 päivänä toukokuuta 2019.

Tämän lain 19 §:ää lokitiedoista, 20 §:n 3 momenttia ja 21–34 §:ää tietoturvalliselta käyttöympäristöltä edellytettävistä vaatimuksista sekä 55 §:ää kliinisistä löydöksistä sovelletaan 1 päivästä toukokuuta 2021. Ennen mainittua ajankohtaa tietoja voidaan luovuttaa luvansaajan käsiteltäväksi 51 §:n 1 ja 2 momentin nojalla, vaikka tietolupahakemuksessa ei osoitettaisi 51 §:n 3 momentissa tarkoitettua tietoturvallista käyttöympäristöä tietojen käsittelylle.

Edellä 47 §:n 4 momentissa ja 48 §:ssä säädettyjä tietojen luovutusta koskevia määräaikoja sovelletaan Kansaneläkelaitokseen ja sosiaalihuollon palvelunjärjestäjiin 1 päivästä tammikuuta 2024 sekä sähköisestä lääkemääräyksestä annetun lain 3 §:n 4 kohdassa tarkoitettuun reseptikeskukseen ja 5 kohdassa tarkoitettuun reseptiarkistoon tallennettuihin tietoihin lääkemääräyksistä ja niihin liittyvistä toimitustiedoista 1 päivästä tammikuuta 2021.

Tätä lakia sovelletaan asiakastietolaissa tarkoitettuihin Kanta-palveluihin 1 päivästä tammikuuta 2021.

Ennen lain voimaantuloa asianomaisen suostumuksella kerättyjä tietoja saa käyttää ja luovuttaa tämän lain mukaisesti lain 2 §:n 1 momentin 1, 2 ja 7 kohdan mukaisiin käyttötarkoituksiin sen estämättä, mitä 43 §:n 3 momentissa säädetään, jos on ilmeistä, että tietojen tällainen käyttö ja luovutus ei poikkea niistä tarkoituksista, joita varten tiedot on annettu. Tietoluvasta päättävä viranomainen voi edellyttää, että luvanhakija pyytää eettisen arvion lupapäätöksen perusteeksi Terveyden ja hyvinvoinnin laitoksen eettiseltä toimikunnalta.

Hakemus, joka on tehty ennen tämän lain voimaantuloa, käsitellään loppuun noudattaen tämän lain voimaan tullessa voimassa olleita säännöksiä. Hakemukseen, joka koskee henkilötietojen luovuttamista terveydenhuollon valtakunnallisista henkilörekistereistä annetun lain (556/1989) 4 §:n mukaisesti, ei kuitenkaan sovelleta mainitun pykälän 1 momentin mukaista velvollisuutta varata tietosuojavaltuutetulle tilaisuus tulla kuulluksi, vaan tämän lain 44 §:n 4 momentin mukaista oikeutta pyytää tietosuojavaltuutetulta lausunto tietolupahakemuksesta.

Tämän lain 13 §:ää neuvontapalvelusta sovelletaan 1 päivästä marraskuuta 2019.

Tämän lain 41 §:n 2 momenttia ja 42 §:n 1 momenttia sekä 45 §:ää aggregoitua tilastotietoa koskevan tietopyynnön käsittelystä sovelletaan 1 päivästä tammikuuta 2020.

Tämän lain 14 §:n 1 ja 2 momenttia tietojen kokoamis-, yhdistämis- ja esikäsittelypalvelusta, pseudonymisoinnista ja anonymisoinnista, 16 §:ää tietopyyntöjen hallintajärjestelmästä sekä 20 §:n 1 momenttia tietoturvallisesta käyttöympäristöstä sovelletaan 1 päivästä tammikuuta 2020.

Tietolupakäsittelyyn liittyvä toimivalta määräytyy tämän lain 44 §:n 1–3 momentin mukaisesti 1 päivästä huhtikuuta 2020. Tietolupahakemus ja tietopyyntö on toimitettava 16 §:ssä tarkoitetun tietopyyntöjen hallintajärjestelmän välityksellä Tietolupaviranomaiselle 1 päivästä huhtikuuta 2020.