De uppgifter som avses i 1 mom. lämnas ut till den som sammanställer datamaterialet via den informationssäkra överföringstjänsten eller någon annan informationssäker tjänst.

Den som sammanställer datamaterialet är personuppgiftsansvarig för de uppgifter som den fått på det sätt som avses i denna paragraf.

Tillståndsmyndigheten och organisationer som avses i 6 § får trots skyldigheten att iaktta sekretess i enskilda fall med stöd av en begäran om information producera aggregerade statistiska uppgifter som bygger på kunduppgifter och andra personuppgifter från organisationer som avses i 6 § för sådan utvecklings- och innovationsverksamhet som genomförs på annat sätt än som vetenskaplig forskning.

Tillståndsmyndigheten eller en organisation som avses i 6 § beslutar huruvida en begäran om information överensstämmer med användningsändamålen enligt 2 § och de krav som ställs på en begäran om information.

När den fattar sådana beslut ska Tillståndsmyndigheten och den i 6 § avsedda organisationen, med stöd av artiklarna 9.2 g och 86 i dataskyddsförordningen och med beaktande av den i 8 § avsedda expertgruppens principiella riktlinjer, bedöma om det är möjligt att av de begärda registeruppgifterna utforma aggregerade statistiska uppgifter enligt begäran.

Om uppgifterna begärs för vetenskaplig forskning och begäran gäller uppgifter som en statistikmyndighet samlat in för statistiska ändamål, ska begäran om information dock behandlas med iakttagande av 7 § och 51 § 3 mom.

Begäranden om information och ansökningar om dataanvändningstillstånd ska lämnas in till Tillståndsmyndigheten via e-tjänsten. Om sökanden kompletterar sin ansökan, ska även kompletteringen lämnas in till Tillståndsmyndigheten via e-tjänsten. Till en tillståndsansökan och till en begäran om information som gäller aggregerade statistiska uppgifter ska det fogas en plan för användning av uppgifterna.

Tillståndsmyndigheten meddelar föreskrifter om datainnehållet och datastrukturerna i ansökan om dataanvändningstillstånd, i planen för användning av uppgifterna, i begäran om information samt i beslutet om dataanvändningstillstånd och om begäran om information.

Beslut om ansökan om dataanvändningstillstånd ska meddelas utan dröjsmål, dock senast tre månader från det att tillståndsansökan har inkommit i fullständig form till organisationen.

Tillståndsmyndigheten eller en organisation som avses i 6 § kan av vägande skäl besluta att behandlingstiden för en ansökan om dataanvändningstillstånd ska förlängas med högst tre månader, om behandlingen av ansökan och av den anknytande planen för användning av uppgifterna förutsätter en exceptionellt omfattande behandling som omfattar flera olika personuppgiftsansvarigas uppgifter eller förutsätter särskilt krävande prövning. Tillståndsmyndigheten eller den i 6 § avsedda organisationen ska underrätta den som ansöker om tillstånd om förlängning av tidsfristen och om grunden för förlängningen samt om den nya tidsfrist inom vilken tillståndsbeslutet meddelas.

Om den organisation som svarar för beslutet om dataanvändningstillstånd begär ett utlåtande enligt 6 a § 5 mom. från dataombudsmannen, avbryts den ansvariga organisationens tidsfrist för behandling av ansökan tills utlåtandet har kommit in.

En personuppgiftsansvarig som avses i 6 § och en privat tjänstetillhandahållare inom socialvården eller hälso- och sjukvården ska på begäran av Tillståndsmyndigheten utan dröjsmål lämna Tillståndsmyndigheten de uppgifter som behövs för behandlingen av en ansökan om dataanvändningstillstånd eller av en begäran om information, dock senast inom 15 vardagar från det att begäran inkom. Om den utredning som sökanden lagt fram till stöd för sin ansökan eller sin begäran är otillräcklig, ska den personuppgiftsansvarige utan dröjsmål underrätta Tillståndsmyndigheten och sökanden om vilka tilläggsutredningar som krävs. De uppgifter som behövs för behandling av ansökan om dataanvändningstillstånd eller begäran om information ska då lämnas in till Tillståndsmyndigheten inom 15 vardagar från det att de tilläggsutredningar som erhållits av sökanden är tillräckliga.

En personuppgiftsansvarig som avses i 6 § och en privat tjänstetillhandahållare inom socialvården eller hälso- och sjukvården ska på begäran av Tillståndsmyndigheten utan dröjsmål lämna ut de registeruppgifter som hänför sig till ett beviljat dataanvändningstillstånd eller som behövs för behandlingen av en begäran om information, dock senast inom 30 vardagar från det att Tillståndsmyndigheten har fattat beslut om att uppgifterna får lämnas ut till sökanden.

En personuppgiftsansvarig som avses i 6 § ska på begäran av en i 51 § avsedd sammanställare av datamaterial utan dröjsmål lämna ut registeruppgifter enligt ett beviljat dataanvändningstillstånd eller uppgifter som behövs för behandlingen av en begäran om information, dock senast inom 30 vardagar från det att organisationerna har fattat beslut om att uppgifterna får lämnas ut till sökanden.

Om den utredning som sökanden lagt fram till stöd för utlämnande av uppgifter är otillräcklig, ska Tillståndsmyndigheten eller den som sammanställer datamaterialet utan dröjsmål underrätta sökanden om vilka tilläggsutredningar som krävs. De begärda uppgifterna ska då lämnas ut till sökanden inom 30 vardagar från det att tilläggsutredningen togs emot, om säkerhet om förutsättningarna för utlämnandet kan nås med stöd av den inlämnade tilläggsutredningen.

Om uppgifterna inte kan lämnas ut till Tillståndsmyndigheten eller den som sammanställer datamaterialet inom den tidsfrist som föreskrivs i 1 mom., ska den personuppgiftsansvarige före tidsfristens utgång informera om dröjsmålet, om orsaken till dröjsmålet och om den förlängning av tidsfristen som behövs för utlämnande av uppgifter. Tillståndsmyndigheten eller den som sammanställer datamaterialet ska av grundad anledning sätta ut en ny tidsfrist för utlämnandet.

Tillståndsmyndigheten eller den som sammanställer datamaterialet ska lämna ut de uppgifter som den med stöd av ett dataanvändningstillstånd samlat och samkört till tillståndshavaren utan dröjsmål, dock senast 60 vardagar från det att tillståndet beviljades.

Tillståndsmyndigheten eller den som sammanställer datamaterialet kan av vägande skäl förlänga tidsfristen för utlämnande av uppgifter, om utlämnandet av uppgifterna förutsätter en exceptionellt omfattande behandling som omfattar flera olika personuppgiftsansvarigas uppgifter eller förutsätter särskilt krävande samkörning av uppgifter. Tillståndsmyndigheten eller den som sammanställer datamaterialet ska informera tillståndshavaren om förlängningen av tidsfristen och om grunden för förlängningen samt om den nya tidsfrist inom vilken uppgifterna lämnas ut.

Om Tillståndsmyndigheten har beviljat ett dataanvändningstillstånd eller fattat ett beslut om begäran om information, ska den samla och vid behov samköra och förbehandla samt pseudonymisera eller anonymisera de uppgifter som specificeras i tillståndet eller producera de aggregerade statistiska uppgifter som avses i begäran om information.

Om varje sådan organisation som avses i 6 § har beviljat dataanvändningstillstånd eller fattat beslut om begäran om information i fråga om sitt eget datamaterial beträffande en ansökan om dataanvändningstillstånd eller en begäran om information som gäller flera organisationers data, sammanställs organisationernas datamaterial antingen av Tillståndsmyndigheten eller någon av de organisationer som avses i 6 § 2, 3, 5, 7 eller 8 punkten och som är föremål för tillståndsansökan eller begäran om information. Beslutet om vilken av de ovan avsedda organisationerna som ska sammanställa datamaterialet ska fattas i samarbete mellan de organisationer som ansökan om dataanvändningstillstånd eller begäran om information gäller utifrån organisationernas resurser och tillgänglig sakkunskap. En organisation som avses i 6 § 2, 3, 5, 7 eller 8 punkten kan meddela att den inte står till förfogande för uppgiften i fråga. Om organisationerna inte når samförstånd om vilken organisation som ska sammanställa datamaterialet, ska datamaterialet sammanställas av Tillståndsmyndigheten. Den som sammanställer datamaterialet ska också vid behov samköra och förbehandla samt pseudonymisera eller anonymisera de uppgifter som specificeras i dataanvändningstillståndet eller producera de aggregerade statistiska uppgifter som avses i begäran om information.

Om det för användningsändamålet även behövs uppgifter som Statistikcentralen eller Institutet för hälsa och välfärd i egenskap av statistikmyndighet samlat för statistiska ändamål, ska statistikmyndigheten samköra samt vid behov förbehandla och pseudonymisera eller anonymisera de uppgifter som ska lämnas ut eller producera de aggregerade statistiska uppgifter som avses i begäran om information. Om det för användningsändamålet behövs uppgifter av båda statistikmyndigheterna, ska myndigheterna sinsemellan komma överens om vem av dem som samkör och pseudonymiserar eller anonymiserar uppgifterna. Uppgifterna kan därefter via den informationssäkra överföringstjänsten lämnas ut till tillståndshavaren för behandling antingen i Statistikcentralens eller Tillståndsmyndighetens informationssäkra driftmiljö eller i någon annan informationssäker driftmiljö, beroende på uppgifternas art och mängd.

Om en sökande i en ansökan om dataanvändningstillstånd eller en begäran om information som gäller uppgifter hos flera organisationer som avses i 6 § anger att datamaterialet hos ett flertal av de organisationerna inte behöver samköras, ska varje organisation som avses i ansökan eller i begäran om information sammanställa, förbehandla och pseudonymisera eller anonymisera sitt eget datamaterial eller producera sådana aggregerade statistiska uppgifter som avses i begäran om information. Organisationerna kan vid pseudonymiseringen använda sig av en pseudonymiseringsnyckel som Tillståndsmyndigheten skapar.

Om en tillståndsansökan eller begäran om information gäller endast en organisations eget datamaterial, ska den i 6 § avsedda organisation som beviljat dataanvändningstillståndet eller fattat beslutet om begäran om information samla, förbehandla och pseudonymisera eller anonymisera uppgifterna eller producera de aggregerade statistiska uppgifter som avses i begäran om information.

En organisation kan i fråga om sitt eget datamaterial överlåta behörigheten att utföra den behandling av datamaterial som avses i denna paragraf till Tillståndsmyndigheten tills vidare eller för viss tid. Behörigheten kan överlåtas om det är motiverat med beaktande av organisationens resurser och tillgänglig sakkunskap. Om organisationen anser att det inte längre finns grunder för överföring av behörigheten kan den återta behörigheten genom att underrätta Tillståndsmyndigheten om saken.

I andra situationer än de som avses i 51 c och 51 d § ska det datamaterial som baserar sig på ett dataanvändningstillstånd lämnas ut till tillståndshavaren för behandling i en i 20 § avsedd informationssäker driftmiljö via den informationssäkra överföringstjänsten eller någon annan informationssäker tjänst, om det inte har skapats aggregerade statistiska uppgifter av materialet.

Leverantören av en driftmiljö ska innan en anslutning till tillståndshavaren öppnas säkerställa att tillståndshavaren uppfyller kraven i dataanvändningstillståndet.

Sökanden ska i sin ansökan om dataanvändningstillstånd motivera varför datamaterialet inte kan behandlas i en sådan informationssäker driftmiljö som avses i 20 § och lämna alla uppgifter som behövs för att Tillståndsmyndigheten ska kunna bedöma huruvida förutsättningarna enligt 1 mom. uppfylls. Dataanvändningstillståndet kan förenas med närmare villkor för behandlingen av uppgifter.

Om Tillståndsmyndigheten har beviljat ett dataanvändningstillstånd som avses i 1 §, ska den samla och vid behov samköra och förbehandla samt pseudonymisera eller anonymisera de uppgifter som specificeras i dataanvändningstillståndet och lämna ut det datamaterial som den producerat till tillståndshavaren för behandling i en annan säker driftmiljö än en sådan informationssäker driftmiljö som avses i 20 §.

En organisation som avses i 6 § kan av särskilda skäl bevilja dataanvändningstillstånd för erhållande av uppgifter i anonymiserad form utanför en sådan informationssäker driftmiljö som avses i 20 §, om ansökan om dataanvändningstillstånd gäller endast sådana uppgifter som innehas av organisationen i fråga. Om en ansökan om dataanvändningstillstånd gäller uppgifter hos fler än en av de organisationer som avses i 6 §, kan Tillståndsmyndigheten av särskilda skäl bevilja dataanvändningstillstånd för erhållande av uppgifter i anonymiserad form utanför en sådan informationssäker driftmiljö som avses i 20 §.

En organisation som avses i 6 § kan i fråga om sitt eget datamaterial överlåta behörigheten att meddela i denna paragraf avsedda beslut om dataanvändningstillstånd till Tillståndsmyndigheten tills vidare eller för viss tid. Tillståndsmyndigheten fattar då besluten om dataanvändningstillstånd i fråga om datamaterialet hos den personuppgiftsansvariga som överlåtit behörigheten. Behörigheten kan överlåtas om det är motiverat med beaktande av organisationens resurser och tillgänglig sakkunskap. Om organisationen anser att det inte längre finns grunder för överföring av behörigheten kan den återta behörigheten genom att underrätta Tillståndsmyndigheten om saken.

En förutsättning för beviljande av tillstånd enligt 1 mom. är att riskerna som hänför sig till datamaterialet är små och att datamaterialet kan anonymiseras på ett tillförlitligt sätt.

En organisation som avses i 6 § eller Tillståndsmyndigheten ska samla och vid behov samköra och förbehandla samt anonymisera de uppgifter som specificeras i dataanvändningstillståndet och lämna ut det anonymiserade datamaterial som den producerat till tillståndshavaren.

När uppgifter med stöd av ett dataanvändningstillstånd har lämnats ut för behandling i en sådan informationssäker driftmiljö som avses i 20 § och de resultat som producerats på basis av uppgifterna exporteras ur den informationssäkra driftmiljön, ska tillståndshavaren anonymisera de resultat som exporteras ur den informationssäkra driftmiljön. På begäran av tillståndshavaren kan Tillståndsmyndigheten producera de anonymiserade resultaten och lämna ut dem till tillståndshavaren.

Om det är tillståndshavaren som har anonymiserat resultaten, ska tillståndshavaren meddela Tillståndsmyndigheten att avsikten är att exportera resultaten ur den informationssäkra driftmiljön. Tillståndsmyndigheten ska säkerställa anonymiseringen av de producerade resultaten utifrån en riskbaserad bedömning.

Tillståndsmyndigheten får meddela närmare föreskrifter om anonymisering av resultat.

I fråga om ett sådant beslut om en begäran om information och ett sådant beslut om en ansökan om dataanvändningstillstånd eller återkallelse av tillstånd som avses i denna lag och som meddelats av Tillståndsmyndigheten eller av en i 6 § avsedd organisation samt i fråga om ett beslut som meddelats av Tillstånds- och tillsynsverket med stöd av denna lag får omprövning begäras. Bestämmelser om begäran om omprövning finns i förvaltningslagen (434/2003).

Bestämmelser om sökande av ändring i förvaltningsdomstol finns i lagen om rättegång i förvaltningsärenden (808/2019).

Edellä 1 momentissa tarkoitetut tiedot luovutetaan tietoaineistojen kokoajan käyttöön tietoturvallisen siirtopalvelun tai muun tietoturvallisen palvelun välityksellä.

Tietoaineistojen kokoaja on tässä pykälässä tarkoitetuin tavoin saamiensa tietojen rekisterinpitäjä.

Tietolupaviranomainen ja 6 §:ssä tarkoitettu organisaatio saa salassapitovelvoitteiden estämättä tuottaa tietopyynnön perusteella yksittäistapauksessa asiakastietoihin sekä muihin 6 §:ssä tarkoitettujen organisaatioiden henkilötietoihin perustuvat aggregoidut tilastotiedot kehittämis- ja innovaatiotoimintaan, jota toteutetaan muutoin kuin tieteellisenä tutkimuksena.

Tietolupaviranomainen tai 6 §:ssä tarkoitettu organisaatio päättää, onko tietopyyntö 2 §:ssä säädettyjen käyttötarkoitusten ja tietopyynnölle säädettyjen vaatimusten mukainen.

Päätöstä tehdessään Tietolupaviranomaisen ja 6 §:ssä tarkoitetun organisaation on arvioitava tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan ja 86 artiklan nojalla sekä ottaen huomioon 8 §:ssä tarkoitetun asiantuntijaryhmän periaatelinjaukset, onko pyytäjän esittämistä rekisteritiedoista mahdollista muodostaa tietopyynnössä tarkoitettu aggregoitu tilastotieto.

Jos tietoja pyydetään tieteellistä tutkimusta varten ja pyyntö koskee tilastoviranomaisen tilastotarkoituksiin keräämiä tietoja, käsitellään tietopyyntö kuitenkin noudattaen, mitä 7 §:ssä ja 51 §:n 3 momentissa säädetään.

Tietopyyntö sekä tietolupahakemus on toimitettava Tietolupaviranomaiselle asiointipalvelun välityksellä. Jos hakija täydentää hakemustaan, myös täydennys on toimitettava Tietolupaviranomaiselle asiointipalvelun välityksellä. Lupahakemukseen ja aggregoituja tilastotietoja koskevaan tietopyyntöön on liitettävä tiedonhyödyntämissuunnitelma.

Tietolupaviranomainen antaa määräykset tietolupahakemuksen, tiedonhyödyntämissuunnitelman, tietopyynnön sekä tietolupa- ja tietopyyntöpäätöksen tietosisällöistä ja tietorakenteista.

Päätös tietolupahakemukseen on annettava viipymättä, kuitenkin viimeistään 3 kuukauden kuluessa siitä, kun lupahakemus on saapunut täydellisenä organisaatiolle.

Tietolupaviranomainen tai 6 §:ssä tarkoitettu organisaatio voi painavasta syystä päättää, että tietolupahakemuksen käsittelyaikaa jatketaan enintään 3 kuukautta, jos hakemuksen ja siihen liittyvän tiedonhyödyntämissuunnitelman käsittely edellyttää poikkeuksellisen laajaa ja usean eri rekisterinpitäjän tietojen käsittelyä taikka erityisen vaativaa harkintaa. Tietolupaviranomaisen tai 6 §:ssä tarkoitetun organisaation on annettava luvan hakijalle tieto määräajan pidentämisestä ja sen perusteesta sekä uudesta määräajasta, jonka kuluessa lupapäätös annetaan.

Jos tietolupapäätöksestä vastaava organisaatio pyytää 6 a §:n 5 momentissa tarkoitettua lausuntoa tietosuojavaltuutetulta, tietolupapäätöksestä vastaavan organisaation määräaika hakemuksen käsittelylle keskeytyy, kunnes lausunto on saapunut.

Edellä 6 §:ssä tarkoitetun rekisterinpitäjän sekä yksityisen sosiaali- tai terveydenhuollon palvelunantajan on luovutettava Tietolupaviranomaiselle tietolupahakemuksen tai tietopyynnön käsittelyssä tarvittavat tiedot Tietolupaviranomaisen pyynnöstä viivytyksettä, kuitenkin viimeistään 15 arkipäivän kuluessa pyynnön saapumisesta. Jos hakijan hakemuksensa tai pyyntönsä tueksi esittämä selvitys on riittämätön, rekisterinpitäjän on ilmoitettava viipymättä Tietolupaviranomaiselle ja hakijalle, mitä lisäselvitystä edellytetään. Tietolupahakemuksen tai tietopyynnön käsittelyssä tarvittavat tiedot on tällöin toimitettava Tietolupaviranomaiselle 15 arkipäivän kuluessa siitä, kun hakijalta saadut lisäselvitykset ovat riittäviä.

Edellä 6 §:ssä tarkoitetun rekisterinpitäjän sekä yksityisen sosiaali- tai terveydenhuollon palvelunantajan on luovutettava myönnetyn tietoluvan mukaiset rekisteritiedot tai tietopyynnön käsittelyssä tarvittavat tiedot Tietolupaviranomaisen pyynnöstä viivytyksettä, kuitenkin viimeistään 30 arkipäivän kuluessa siitä, kun Tietolupaviranomainen on tehnyt päätöksen siitä, että tiedot saa luovuttaa hakijalle.

Edellä 6 §:ssä tarkoitetun rekisterinpitäjän on luovutettava myönnetyn tietoluvan mukaiset rekisteritiedot tai tietopyynnön käsittelyssä tarvittavat tiedot 51 §:ssä tarkoitetun tietoaineistojen kokoajan pyynnöstä viivytyksettä, kuitenkin viimeistään 30 arkipäivän kuluessa siitä, kun organisaatiot ovat tehneet päätöksen siitä, että tiedot saa luovuttaa hakijalle.

Jos hakijan tietojen luovuttamisen tueksi esittämä selvitys on riittämätön, Tietolupaviranomaisen tai tietoaineistojen kokoajan on ilmoitettava viipymättä hakijalle, mitä lisäselvitystä edellytetään. Pyydetyt tiedot on tällöin toimitettava hakijalle 30 arkipäivän kuluessa lisäselvityksen vastaanottamisesta, jos luovutuksen edellytyksistä voidaan varmistua toimitetun lisäselvityksen perusteella.

Jos tietojen luovuttaminen Tietolupaviranomaiselle tai tietoaineistojen kokoajalle ei ole mahdollista 1 momentissa säädetyssä määräajassa, rekisterinpitäjän on ilmoitettava viivästyksestä, sen syystä ja tietojen luovutukseen tarvittavasta määräajan pidennyksestä ennen määräajan päättymistä. Tietolupaviranomaisen tai tietoaineistojen kokoajan on asetettava perustellusta syystä luovutukselle uusi määräaika.

Tietolupaviranomaisen tai tietoaineistojen kokoajan on luovutettava luvansaajalle tietoluvan perusteella kokoamansa ja yhdistelemänsä tiedot viipymättä, kuitenkin viimeistään 60 arkipäivän kuluessa luvan myöntämisestä.

Tietolupaviranomainen tai tietoaineistojen kokoaja voi painavasta syystä pidentää luovutuksen määräaikaa, jos tietojen luovuttaminen edellyttää poikkeuksellisen laajaa ja usean eri rekisterinpitäjän tietojen käsittelyä tai erityisen vaativaa tietojen yhdistelyä. Tietolupaviranomaisen tai tietoaineistojen kokoajan on annettava luvan saajalle tieto määräajan pidentämisestä ja sen perusteesta sekä uudesta määräajasta, jonka kuluessa tiedot luovutetaan.

Jos Tietolupaviranomainen on myöntänyt tietoluvan tai tehnyt tietopyyntöä koskevan päätöksen, se kokoaa ja tarvittaessa yhdistelee ja esikäsittelee sekä pseudonymisoi tai anonymisoi tietoluvassa yksilöidyt tiedot tai tuottaa tietopyynnössä tarkoitetun aggregoidun tilastotiedon.

Jos kukin 6 §:ssä tarkoitettu organisaatio on myöntänyt tietoluvan tai tehnyt tietopyyntöä koskevan päätöksen omien tietoaineistojensa osalta tietolupahakemuksessa tai tietopyynnössä, joka koskee usean organisaation tietoja, usean organisaation tietoaineistot kokoaa joko Tietolupaviranomainen tai jokin hakemuksen tai pyynnön kohteena oleva 6 §:n 2, 3, 5, 7 tai 8 kohdassa tarkoitettu organisaatio. Päätöksen siitä, mikä edellä tarkoitettu organisaatio kokoaa tietoaineistot, tekevät tietolupahakemuksen tai tietopyynnön kohteena olevat organisaatiot yhteistyössä perustuen organisaatioiden resursseihin ja käytettävissä olevaan asiantuntemukseen. Edellä 6 §:n 2, 3, 5, 7 tai 8 kohdassa tarkoitettu organisaatio voi ilmoittaa, että se ei ole käytettävissä kyseiseen tehtävään. Jos organisaatiot eivät pääse yhteisymmärrykseen siitä, mikä organisaatio kokoaa tietoaineistot, tietoaineistot kokoaa Tietolupaviranomainen. Tietoaineistojen kokoaja myös tarvittaessa yhdistelee ja esikäsittelee sekä pseudonymisoi tai anonymisoi tietoluvassa yksilöidyt tiedot tai tuottaa tietopyynnössä tarkoitetun aggregoidun tilastotiedon.

Jos käyttötarkoitukseen tarvitaan myös Tilastokeskuksen tai Terveyden ja hyvinvoinnin laitoksen tilastoviranomaisena tilastotarkoitusta varten kokoamia tietoja, tilastoviranomainen yhdistelee sekä tarvittaessa esikäsittelee ja pseudonymisoi tai anonymisoi luovutettavat tiedot tai tuottaa tietopyynnössä tarkoitetun aggregoidun tilastotiedon. Jos käyttötarkoitukseen tarvitaan molempien tilastoviranomaisten tietoja, viranomaiset sopivat keskenään, kumpi yhdistelee ja pseudonymisoi tai anonymisoi tiedot. Tiedot voidaan tämän jälkeen luovuttaa tietoturvallisen siirtopalvelun välityksellä saajan käsiteltäväksi tietojen luonteesta ja määrästä riippuen joko Tilastokeskuksen tai Tietolupaviranomaisen tietoturvalliseen käyttöympäristöön tai muuhun tietoturvalliseen käyttöympäristöön.

Jos hakija ilmoittaa tietolupahakemuksessa tai tietopyynnössä, joka koskee usean 6 §:ssä tarkoitetun organisaation tietoja, että usean organisaation tietoaineistoja ei ole tarpeen yhdistellä, jokainen hakemuksessa tai tietopyynnössä tarkoitettu organisaatio kokoaa, esikäsittelee ja pseudonymisoi tai anonymisoi omat tietoaineistonsa tai tuottaa tietopyynnössä tarkoitetun aggregoidun tilastotiedon. Organisaatiot voivat käyttää pseudonymisoinnissa Tietolupaviranomaisen luomaa pseudonymisointiavainta.

Jos hakemus tai tietopyyntö on koskenut vain organisaation omia tietoaineistoja, tietoluvan myöntänyt tai tietopyyntöpäätöksen tehnyt 6 §:ssä tarkoitettu organisaatio kokoaa, esikäsittelee ja pseudonymisoi tai anonymisoi tiedot tai tuottaa tietopyynnössä tarkoitetun aggregoidun tilastotiedon.

Organisaatio voi luovuttaa toimivallan tässä pykälässä tarkoitettuun tietoaineistojen käsittelyyn omien tietoaineistojensa osalta Tietolupaviranomaiselle toistaiseksi tai määräajaksi. Toimivalta voidaan luovuttaa, jos se on organisaation resurssit ja käytettävissä oleva asiantuntemus huomioiden perusteltua. Jos organisaatio katsoo, että toimivallan siirrolle ei ole enää perusteita, se voi palauttaa toimivallan itselleen ilmoittamalla asiasta Tietolupaviranomaiselle.

Muissa kuin 51 c ja 51 d §:ssä tarkoitetuissa tilanteissa tietolupaan perustuva tietoaineisto luovutetaan luvansaajan käsiteltäväksi 20 §:ssä tarkoitettuun tietoturvalliseen käyttöympäristöön tietoturvallisen siirtopalvelun tai muun tietoturvallisen palvelun välityksellä, ellei siitä ole muodostettu aggregoitua tilastotietoa.

Käyttöympäristön palveluntarjoajan on varmistettava ennen yhteyden avaamista luvansaajalle, että luvansaaja täyttää tietoluvassa asetetut vaatimukset.

Hakijan tulee perustella tietolupahakemuksessaan, miksi tietoaineistoa ei ole mahdollista käsitellä 20 §:ssä tarkoitetussa tietoturvallisessa käyttöympäristössä ja antaa kaikki tarvittavat tiedot, jotta Tietolupaviranomainen voi arvioida, täyttyvätkö 1 momentissa säädetyt edellytykset. Tietolupaan voidaan liittää tarkempia tietojen käsittelyä koskevia ehtoja.

Jos Tietolupaviranomainen on myöntänyt 1 momentissa tarkoitetun tietoluvan, se kokoaa ja tarvittaessa yhdistelee ja esikäsittelee sekä pseudonymisoi tai anonymisoi tietoluvassa yksilöidyt tiedot sekä luovuttaa tuottamansa tietoaineiston luvansaajan käsiteltäväksi muussa turvallisessa käyttöympäristössä kuin 20 §:ssä tarkoitetussa tietoturvallisessa käyttöympäristössä.

Edellä 6 §:ssä tarkoitettu organisaatio voi erityisestä syystä myöntää tietoluvan tietojen saamiseen anonymisoidussa muodossa 20 §:ssä tarkoitetun tietoturvallisen käyttöympäristön ulkopuolelle, jos tietolupahakemus koskee ainoastaan kyseisen organisaation tietoja. Jos tietolupahakemus koskee useamman kuin yhden 6 §:ssä tarkoitetun organisaation tietoja, Tietolupaviranomainen voi erityisestä syystä myöntää tietoluvan tietojen saamiseen anonymisoidussa muodossa 20 §:ssä tarkoitetun tietoturvallisen käyttöympäristön ulkopuolelle.

Edellä 6 §:ssä tarkoitettu organisaatio voi luovuttaa toimivallan antaa tässä pykälässä tarkoitettuja tietolupapäätöksiä omien tietoaineistojensa osalta Tietolupaviranomaiselle toistaiseksi tai määräajaksi. Tietolupaviranomainen tekee tällöin toimivallan luovuttaneen rekisterinpitäjän tietoaineistoja koskevat tietolupia koskevat päätökset. Toimivalta voidaan luovuttaa, jos se on organisaation resurssit ja käytettävissä oleva asiantuntemus huomioiden perusteltua. Jos organisaatio katsoo, että toimivallan siirrolle ei ole enää perusteita, se voi palauttaa toimivallan itselleen ilmoittamalla asiasta Tietolupaviranomaiselle.

Edellä 1 momentissa tarkoitetun luvan myöntämisen edellytyksenä on, että tietoaineistoon kohdistuvat riskit ovat vähäiset ja että tietoaineisto on mahdollista anonymisoida luotettavalla tavalla.

Edellä 6 §:ssä tarkoitettu organisaatio tai Tietolupaviranomainen kokoaa ja tarvittaessa yhdistelee ja esikäsittelee sekä anonymisoi tietoluvassa yksilöidyt tiedot ja luovuttaa tuottamansa anonymisoidun tietoaineiston luvansaajalle.

Kun tietoluvan nojalla on luovutettu tietoja käsiteltäviksi 20 §:ssä tarkoitetussa tietoturvallisessa käyttöympäristössä ja niiden pohjalta tuotettuja tuloksia halutaan tuoda ulos tietoturvallisesta käyttöympäristöstä, luvansaaja anonymisoi tietoturvallisesta käyttöympäristöstä ulos otettavat tulokset. Tietolupaviranomainen voi luvansaajan pyynnöstä tuottaa anonymisoidut tulokset ja luovuttaa ne luvansaajalle.

Jos tulokset on anonymisoinut luvansaaja, sen tulee ilmoittaa Tietolupaviranomaiselle, että se aikoo tuoda tulokset ulos tietoturvallisesta käyttöympäristöstä. Tietolupaviranomainen varmistaa tuotettujen tulosten anonymisoinnin riskiperusteisen arvioinnin perusteella.

Tietolupaviranomainen voi antaa tarkempia määräyksiä tulosten anonymisoinnista.

Tässä laissa tarkoitettuun tietopyyntöä koskevaan päätökseen sekä tietolupahakemusta ja luvan peruuttamista koskevaan päätökseen, jonka antaa Tietolupaviranomainen tai 6 §:ssä tarkoitettu organisaatio, sekä Lupa- ja valvontaviraston tämän lain nojalla tekemään päätökseen saa vaatia oikaisua. Oikaisuvaatimuksesta säädetään hallintolaissa (434/2003).

Muutoksenhausta hallintotuomioistuimeen säädetään oikeudenkäynnistä hallintoasioissa annetussa laissa (808/2019).