Regulating secondary use of health data

Tässä laissa annetaan eurooppalaisesta terveystietoalueesta sekä direktiivin 2011/24/EU ja asetuksen (EU) 2024/2847 muuttamisesta annettua Euroopan parlamentin ja neuvoston asetusta (EU) 2025/327, jäljempänä EHDS-asetus , toissijaista käyttöä täydentävät ja täsmentävät säännökset sekä EHDS-asetuksen 99 artiklassa tarkoitetut asetuksen rikkomiseen sovellettavat seuraamukset.

Tätä lakia sovelletaan EHDS-asetuksen 1 artiklan soveltamisalan mukaisesti. Tätä lakia ei sovelleta eduskunnan valtiopäivätoimintaan eikä eduskunnan virastoihin. Lakia ei myöskään sovelleta eduskunnan oikeusasiamieheen eikä valtioneuvoston oikeuskansleriin.

EHDS-asetuksen 50 artiklan 3 kohdassa tarkoitetut terveystietojen välittäjäyhteisöt voivat täyttää EHDS-asetuksen 2 artiklan 2 kohdan t-alakohdassa tarkoitettujen terveystietojen haltijoiden ryhmien EHDS-asetuksen 60 artiklassa tarkoitetut velvollisuudet käsitellä terveystietojen haltijoiden toimittamia sähköisiä terveystietoja niiden toissijaista käyttöä varten. Edellytyksenä tälle on, että terveystietojen haltija ja terveystietojen välittäjäyhteisö ovat yksilöineet ne EHDS-asetuksen 60 artiklassa tarkoitetut terveystietohaltijan velvollisuudet, jotka terveystietojen välittäjäyhteisö terveystietojen haltijan puolesta täyttää.

Terveystietojen haltijan, joka siirtää sen EHDS-asetuksessa tarkoitettuja tehtäviään terveystietojen välittäjäyhteisölle, on informoitava tehtävien siirrosta terveystietoihin pääsystä vastaavaa elintä.

Sen estämättä, mitä EHDS-asetuksen 51 artiklassa säädetään:

1) Asiakastietojen käsittelystä annetussa laissa (703/2023), jäljempänä asiakastietolaki , 3 §:n 11 kohdassa tarkoitetun palvelunantajan tulee asettaa asiakastietolain 3 §:n 8 kohdassa tarkoitetut sosiaalihuollon asiakastiedot EHDS-asetuksen 53 artiklassa säädettyä toissijaista käyttöä varten.

2) Kansaneläkelaitoksen tulee asettaa etuuskäsittelyn asiakassuhteessa tallennetut henkilötiedot saataville EHDS-asetuksen 53 artiklassa säädettyä toissijaista käyttöä varten.

Mitä EHDS-asetuksessa ja edellä tässä laissa säädetään sähköisten terveystietojen toissijaisesta käsittelystä, koskee myös sosiaalihuollon asiakastietoja ja etuuskäsittelyn asiakassuhteessa tallennettuja henkilötietoja.

EHDS-asetuksen 77 artiklassa säädetään tietoaineiston kuvauksesta ja tietoaineistoluettelosta. Sosiaali- ja terveystietojen toissijaisesta käytöstä annetun lain (552/2019) 4 §:ssä tarkoitetun Sosiaali- ja terveysalan tietolupaviranomaisen, jäljempänä Tietolupaviranomainen , tehtävänä on ylläpitää EHDS-asetuksen 77 artiklassa tarkoitettua kansallista tietoaineistoluetteloa.

Tietolupaviranomainen antaa tarkemmat määräykset sähköisten terveystietojen, sosiaalihuollon asiakastietojen ja etuuskäsittelyn asiakassuhteessa tallennettujen henkilötietojen aineistokuvausten tietosisällöistä, käsitteistä ja tietorakenteista. Määräyksen tulee sisältää vähintään EHDS-asetuksen 77 artiklan 4 kohdan perusteella annetun komission täytäntöönpanosäädöksen vähimmäisosatekijät, jotka terveystietojen haltijoiden on toimitettava tietoaineistoista ja kyseisten osatekijöiden ominaisuuksista. Ennen määräysten antamista Tietolupaviranomaisen tulee kuulla asianomaisia terveystietojen, sosiaalihuollon asiakastietojen ja etuustietojen käyttäjiä, terveystietojen haltijoita, sosiaalihuollon palvelunantajia, Kansaneläkelaitosta ja terveystietoihin pääsystä vastaavia elimiä.

Tietolupaviranomainen antaa tarkemmat määräykset tietolupahakemuksissa, tietoluvissa ja tietopyynnöissä ja niitä koskevissa päätöksissä noudatettavista malliasiakirjoista, joita on käytettävä sähköisten terveystietojen, sosiaalihuollon asiakastietojen ja etuuskäsittelyn asiakassuhteessa tallennettujen henkilötietojen käsittelyssä.

Määräyksessä tulee ottaa huomioon Europan Unionin komission EHDS-asetuksen 70 artiklan perusteella annetun täytäntöönpanosäädöksen mallien mukaiset vähimmäisosatekijät.

Ennen määräysten antamista Tietolupaviranomaisen tulee kuulla asianomaisia sosiaalihuollon asiakastietojen- ja terveystietojen käyttäjiä, terveystietojen haltijoita, sosiaalihuollon palvelunantajia, Kansaneläkelaitosta ja terveystietoihin pääsystä vastaavia elimiä.

Tietolupaviranomainen ylläpitää keskitettyä asiointijärjestelmää tietolupahakemusten ja terveystietopyyntöjen välittämiseksi ja käsittelemiseksi ja EHDS-asetuksen 71 artiklassa tarkoitettujen kieltojen tarkistamiseksi.

Keskitetyn asiointijärjestelmän kautta terveystietojen hakija voi edellä 5 §:ssä tarkoitetun yhteisen mallin mukaisella yhdellä hakemuksella hakea tietolupaa tai tehdä terveystietopyynnön, joka välitetään tietoturvallisella siirtopalvelulla toimivaltaisille 7 §:ssä tarkoitetulle terveystietoihin pääsystä vastaavalle elimelle.

Tietolupahakemusta ja tietopyyntöä koskevat selvitys- ja täydennyspyynnöt sekä keskeiset hakijan laatimat selvitykset ja täydennykset sekä hakemusta koskevat muutokset toimitetaan asiointijärjestelmän välityksellä. Lupapäätös voidaan antaa hakijalle tiedoksi asiointijärjestelmän välityksellä toimivaltaisille terveystietoihin pääsystä vastaavalle elimelle.

Jos terveystietojen hakija hakee pääsyä useampaan kuin yhteen jäsenvaltioon sijoittautuneilta terveystietojen haltijoiden tai EHDS-asetuksen 75 artiklassa tarkoitettujen Terveysdata @ EU:n (HealthData@EU) -infrastruktuurin asiaankuuluvien hyväksyttyjen osallistujien hallussa oleviin sähköisiin terveystietoihin, terveystietojen hakijan on toimitettava vain yksi tietoihin pääsyä koskeva hakemus 1 momentissa tarkoitetun asiointijärjestelmän kautta.

Edellä 4 momentissa tarkoitettu hakemus välitetään automaattisesti asiaankuuluville Terveysdata @ EU:n (HealthData@EU) -infrastruktuurin hyväksytyille osallistujille ja terveystietoihin pääsystä vastaaville elimille niissä jäsenvaltioissa, joihin terveystietoihin pääsyä koskevassa hakemuksessa yksilöidyt terveystietojen haltijat ovat sijoittautuneet.

EHDS-asetuksen 55 artiklan tarkoittamina terveystietoihin pääsystä vastaavina eliminä toimivat:

1) Tietolupaviranomainen; ja

2) sosiaali- ja terveydenhuollon järjestämisestä annetun lain (612/2021) 34 §:ssä tarkoitettu yliopistollista sairaalaa ylläpitävän hyvinvointialueen ja HUS-yhtymän toimivaltainen viranomainen.

Hyvinvointialueiden välisestä yhteistyöstä säädetään sosiaali- ja terveydenhuollon järjestämisestä annetun lain (612/2021) 5 luvussa.

Tietolupaviranomainen toimii EHDS-asetuksen 55 artiklan 1 kohdassa tarkoitettuna koordinaattorina, joka vastaa tehtävien koordinoinnista muiden 1 momentissa tarkoitettujen terveystietoihin pääsystä vastaavien elinten kanssa sekä Suomen alueella että muiden jäsenvaltioiden terveystietoihin pääsystä vastaavien elinten kanssa.

Terveystietoihin pääsystä vastaavalla viranomaisella on oltava EHDS-asetuksen 55 artiklan 2 kohdan edellyttämät:

1) tarvittavat henkilöresurssit ja taloudelliset ja tekniset resurssit;

2) tarvittavaa asiantuntemusta; ja

3) tarvittavat tilat ja infrastruktuuri.

Terveystietoihin pääsystä vastaavien 1 momentin mukaisten viranomaisten tulee terveystietoihin pääsystä vastaavina eliminä toimiessaan EHDS-asetuksen 55 artiklan 3 mukaisesti välttää eturistiriitoja esimerkiksi organisatorisilla suojatoimilla, kuten terveystietoihin pääsystä vastaavien elinten erilaisten tehtävien erottamisella toisistaan, mukaan lukien hakemusten arviointi, tietoaineistojen vastaanotto ja valmistelu, esimerkiksi pseudonymisointi ja anonymisointi, sekä turvattujen käsittely-ympäristöjen kautta tapahtuva tiedon tarjoaminen.

Yliopistollista sairaalaa ylläpitävän hyvinvointialueen ja HUS-yhtymän toimivaltaisen viranomaisen tehtävänä on:

1) päätösten tekeminen EHDS-asetuksen 67 artiklan mukaisista terveystietoihin pääsyä koskevista hakemuksista, tietolupien hyväksymisestä ja myöntämisestä sähköisten terveystietojen toissijaista käyttöä varten ja päätösten tekemisestä EHDS-asetuksen 69 artiklan nojalla toimitetuista tietopyynnöistä EHDS-asetuksen IV luvun mukaisesti ja Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/868, eurooppalaisen datan hallinnoinnista ja asetuksen (EU) 2018/1724 muuttamisesta asetuksen (EU) 2022/868 (datanhallinta-asetus ) II luvun mukaisesti, mukaan lukien pääsyn antaminen sähköisiin terveystietoihin terveystietojen käyttäjille tietoluvan nojalla turvatussa käsittely-ympäristössä 73 artiklan mukaisesti, jotka koskevat kyseisen yliopistollista sairaalaa ylläpitävän hyvinvointialueen, yhteistyöalueen hyvinvointialueen, Helsingin kaupungin tai EHDS-asetuksen 72 artiklassa tarkoitetun luotetun terveystietojen haltijan rekisterinpitoon kuuluvia sähköisiä terveystietoja ja sosiaalihuollon asiakastietoja EHDS-asetuksessa tarkoitettua toissijaista käyttöä varten, sen seuraaminen, että terveystietojen käyttäjät ja terveystietojen haltijat noudattavat EHDS-asetuksessa säädettyjä vaatimuksia ja asetuksen 51 artiklassa tarkoitettujen sähköisten terveystietojen pyytäminen asiaankuuluvilta terveystietojen haltijoilta myönnetyn tietoluvan nojalla tai hyväksytyn terveystietopyynnön johdosta;

2) sähköisten terveystietojen käsittelemisestä, kuten terveystietojen haltijoilta pyydettyjen tällaisten terveystietojen vastaanottaminen, yhdistäminen, valmistelu ja kokoaminen ja kyseisten tietojen pseudonymisointi tai anonymisointi;

3) kaikkien tarvittavien toimenpiteiden toteuttaminen teollis- ja tekijänoikeuksien ja dokumentaatiosuojan sekä liikesalaisuuksien luottamuksellisuuden säilyttämiseksi EHDS-asetuksen 52 artiklassa säädetyn mukaisesti ja ottaen huomioon sekä terveystietojen haltijan että terveystietojen käyttäjän asiaankuuluvat oikeudet;

4) yhteistyön tekeminen terveystietojen haltijoiden, terveystietojen käyttäjien ja Tietolupaviranomaisen kanssa:

5) terveystietojen haltijoiden seuraaminen yhteistyössä Tietolupaviranomaisen kanssa tietojen laatu- ja hyötymerkkiä koskevien säännösten yhdenmukaisen ja asianmukaisen täytäntöönpanon varmistamiseksi;

6) sellaisen muun kuin 6 §:ssä tarkoitetun hallinnointijärjestelmän ylläpitäminen, johon kirjataan ja jossa käsitellään terveystietoihin pääsyä koskevia hakemuksia, terveystietopyyntöjä, kyseisiä hakemuksia ja pyyntöjä koskevia päätöksiä ja käsiteltyjä tietolupia sekä terveystietopyyntöjä, joihin on vastattu, ja joissa on tiedot ainakin terveystietojen hakijan nimestä, pääsyn tarkoituksesta, myöntämispäivästä, tietoluvan voimassaoloajasta sekä kuvaus terveystietoihin pääsyä koskevasta hakemuksesta tai terveystietopyynnöstä ja julkisen tietojärjestelmän ylläpitäminen EHDS-asetuksen 58 artiklassa säädettyjen velvollisuuksien noudattamiseksi;

7) tietojen julkaiseminen EHDS-asetuksen 57 artiklan 1 kohdan j-alakohdan ii-iii ja v-vii alakohtien mukaisesti; sekä

8) velvollisuuksien täyttäminen luonnollisia henkilöitä kohtaan 58 artiklan nojalla.

Tietolupaviranomaisen tehtävänä on vastata EHDS-asetuksen 57 artiklan mukaisista tehtävistä, jos:

1) tietolupahakemus tai terveystietopyyntö koskee yhden tai usean muun kuin 1 momentissa tarkoitetun toimivaltaisen viranomaisen alueeseen kuuluvan terveystietojen haltijan rekisterinpitoon kuuluvia sähköisiä terveystietoja, sosiaalihuollon asiakastietoja tai etuuskäsittelyn asiakassuhteessa tallennettuja henkilötietoja taikka asiakastietolaissa tarkoitettuihin valtakunnallisiin tietojärjestelmäpalveluihin (Kanta-palvelut) tallennettuja asiakastietoja; tai

2) jos terveystietojen hakija haluaa vain yhden tietolupapäätöksen tai terveystietoa koskevan päätöksen, joka koskee yhden tai useamman terveystietojen haltijan rekisterinpitoon kuuluvia sähköisiä terveystietoja, sosiaalihuollon asiakastietoja tai etuuskäsittelyn asiakassuhteen henkilötietoja.

Edellä 2 momentin säädetyn lisäksi, ja ellei tässä laissa ole erikseen toisin todettu, Tietolupaviranomainen vastaa kaikista muista EHDS-asetuksen 57 artiklan mukaisista tehtävistä ja kaikkien muiden tehtävien hoitamisesta, jotka liittyvät sähköisten terveystietojen toissijaisen käytön mahdollistamiseen EHDS-asetuksen IV luvun puitteissa sekä tässä laissa sille erikseen määrätyistä tehtävistä.

Tietolupaviranomaisen on tämän lain mukaisia tehtäviä suorittaessaan tehtävä yhteistyötä terveystietoihin pääsystä vastaavien elinten, terveystietojen haltijoiden ja terveystietojen käyttäjien kanssa.

EHDS-asetuksen 72 artiklan tarkoittamina luotettuina terveystietojen haltijoina toimivat:

1) Kansaneläkelaitos;

2) Terveyden ja hyvinvoinnin laitos;

3) Lupa- ja valvontavirasto;

4) Työterveyslaitos;

5) Lääkealan turvallisuus- ja kehittämiskeskus;

6) Tilastokeskus;

7) Eläketurvakeskus; sekä

8) Digi- ja väestötietovirasto.

Muu kuin 1 momentissa tarkoitettu terveystietojen haltija voi hakea Tietolupaviranomaiselta tulla nimetyksi luotetuksi terveystietojen haltijaksi, jos se voi antaa pääsyn terveystietoihin EHDS-asetuksen 73 artiklassa säädetyt vaatimukset täyttävän turvatun käsittely-ympäristön kautta, sillä on tarvittava asiantuntemus arvioidakseen terveystietoihin pääsyä koskevat hakemukset ja terveystietopyynnöt sekä se antaa tarvittavat takeet EHDS-asetuksen noudattamisen varmistamisesta.

Tietolupaviranomaisen on nimettävä luotettu terveystietojen haltija sen jälkeen, kun se on arvioinut, että 2 momentin mukaiset edellytykset täyttyvät.

Tietolupaviranomaisen on arvioitava säännöllisesti uudelleen, täyttääkö luotettu terveystietojen haltija edelleen 2 momentin mukaiset edellytykset.

Mikäli Tietolupaviranomaisen arvioi, että luotettu terveystietojen haltija ei enää täytä 2 momentissa tarkoitettuja edellytyksiä, sen tulee kehottaa terveystietojen haltijaa kohtuullisessa määräajassa korjaamaan puutteet. Mikäli luotettu terveystietojen haltija ei korjaa puutteita määräajassa tai jos luotettu terveystietojen haltija tekee hakemuksen, jolla se haluaa luopua luotetun terveystietojen haltijana toimimista, Tietolupaviranomainen voi tehdä päätöksen, että 2 ja 3 momentissa tarkoitettu luotettu terveystietojen haltija ei enää toimi luotettuna terveystietojen haltijana.

Luotetun terveystietojen haltijan on toimitettava 3 momentin nojalla tekemänsä arviointi sekä ehdotus päätökseksi 7 §:ssä tarkoitetulle terveystietoihin pääsystä vastaavalle toimivaltaiselle elimelle kahden kuukauden kuluessa terveystietoihin pääsyä koskevan hakemuksen tai terveystietopyynnön vastaanottamisesta terveystietoihin pääsystä vastaavalta elimeltä. Edellä 7 §:ssä tarkoitetun toimivaltaisen terveystietoihin pääsystä vastaavan elimen on kahden kuukauden kuluessa arvioinnin vastaanottamisesta tehtävä päätös terveystietoihin pääsyä koskevasta hakemuksesta tai terveystietopyynnöstä. Luotetun terveystietojen haltijan toimittama ehdotus ei sido toimivaltaista terveystietoihin pääsystä vastaavaa elintä.

Edellä 7 §:ssä tarkoitetun terveystietoihin pääsystä vastaavan elimen on myönnettävä tai evättävä tietolupa kahden kuukauden kuluessa terveystietoihin pääsyä koskevan täydellisen hakemuksen vastaanottamisesta, jos sähköisiä terveystietoja on tarkoitus käsitellä EHDS-asetuksen 53 artiklan 1 kohdan a, b ja c alakohdassa vahvistetuissa tarkoituksissa ja hakijana on julkisen sektorin elin ja Euroopan unionin toimielin, elin tai laitos, joilla on lakisääteinen toimeksianto kansanterveyden alalla.

Terveystietoihin pääsystä vastaava elin voi tarvittaessa jatkaa yhdellä kuukaudella määräaikaa, jonka kuluessa terveystietoihin pääsyä koskevaan hakemukseen on vastattava.

EHDS-asetuksen 71 artiklassa säädetään luonnollisen henkilön oikeudesta kieltää häneen liittyvien henkilökohtaisten sähköisten terveystietojen käsittely EHDS-asetuksen IV luvussa tarkoitettua toissijaista käyttöä varten.

Luonnollinen henkilö voi kieltää kaiken henkilökohtaisten sähköisten terveystietojen, sosiaalihuollon asiakastietojen ja etuuskäsittelyn asiakassuhteessa tallennettujen henkilötietojen käsittelyn toissijaista käyttöä varten.

Luonnollinen henkilö voi kohdistaa EHDS-asetuksen 71 artiklassa tarkoitetun kiellon kaikkiin tai yksittäisiin EHDS-asetuksen 53 artiklan 1 kohdan a-f alakohdissa tarkoitettuihin käyttötarkoituksiin.

Luonnollinen henkilö voi kohdistaa EHDS-asetuksen 71 artiklassa tarkoitetun kiellon kaikkiin tai yksittäisiin EHDS-asetuksen 51 artiklan 1 kohdan f, g, i ja q alakohdan mukaisiin sähköisten terveystietojen luokkiin.

Luonnollinen henkilö voi tehdä EHDS-asetuksen 71 artiklassa kiellon asiakastietolain 74 §:ssä tarkoitetun kansalaisen käyttöliittymän välityksellä tai terveystietojen haltijan, sosiaalihuollon palvelunantajan tai Kansaneläkelaitoksen palvelupisteessä.

Terveystietoihin pääsystä vastaavan toimivaltaisen elimen tulee varmistaa, että sen jälkeen, kun luonnolliset henkilöt ovat käyttäneet kielto-oikeuttaan, ja jos heitä koskevat henkilökohtaiset sähköiset terveystiedot, sosiaalihuollon asiakastiedot ja etuuskäsittelyn asiakassuhteessa tallennetut henkilötiedot ovat tunnistettavissa tietoaineistosta, heitä koskevia edellä mainittuja tietoja ei saa asettaa saataville tai muulla tavoin käsitellä sellaisten myönnettyjen tietolupien nojalla tai hyväksyttyjen terveystietopyyntöjen johdosta, jotka on myönnetty tai hyväksytty sen jälkeen, kun luonnollinen henkilö on käyttänyt kielto-oikeuttaan.

EHDS-asetuksen 71 artiklan 1 kohdassa tarkoitetusta kielto-oikeudesta poiketen, sähköiset terveystiedot, sosiaalihuollon asiakastiedot ja etuuskäsittelyn asiakassuhteessa tallennetut henkilötiedot saadaan asettaa saataville terveystietoihin pääsystä vastaavan elimen päätöksellä, jos kaikki seuraavat edellytykset täyttyvät:

1) terveystietoihin pääsyä koskevan hakemuksen tai terveystietopyynnön toimittaa julkisen sektorin elin tai unionin toimielin, elin tai laitos, jonka toimeksiantoon kuuluu tehtäviä kansanterveyden alalla, tai muu toimija, jolle on uskottu julkisia tehtäviä kansanterveyden alalla tai joka toimii viranomaisen puolesta tai viranomaiselta toimeksi saaneena, ja kyseisten tietojen käsittely on välttämätöntä jossakin seuraavassa tarkoituksessa:a)53 artiklan 1 kohdan a b ja c alakohdassa tarkoitetut tarkoitukset; b) tieteellinen tutkimus yleiseen etuun liittyvistä tärkeistä syistä;

2) kyseisiä tietoja ei voida saada vaihtoehtoisin keinoin ajoissa, tehokkaasti ja vastaavin edellytyksin;

3) terveystietojen hakija on toimittanut 68 artiklan 1 kohdan g alakohdassa tai 69 artiklan 2 kohdan g alakohdassa tarkoitetut perustelut.

Käsiteltäessä henkilötietoja 1 momentissa tarkoitetussa tilanteessa julkisen sektorin elin tai unionin toimielin, elin tai laitos, jonka toimeksiantoon kuuluu tehtäviä kansanterveyden alalla, tai muu toimija, jolle on uskottu julkisia tehtäviä kansanterveyden alalla tai joka toimii viranomaisen puolesta tai viranomaiselta toimeksi saaneena on toteutettava asianmukaiset ja erityiset toimenpiteet rekisteröidyn oikeuksien suojaamiseksi.

Terveystietoihin pääsystä vastaavan elimen, tulee toimittaa luonnolliselle henkilölle tiedoksi kirjallinen päätös, jolla hänen henkilökohtaisten sähköisten terveystietojensa toissijaista käyttöä antamaa kielto-oikeutta on rajoitettu.

Käsiteltäessä sähköisiä terveystietoja, sosiaalihuollon asiakastietoja ja etuuskäsittelyn asiakassuhteessa tallennettuja henkilötietoja 1 momentin perusteella, on noudatettava EHDS-asetuksen IV luvun vaatimuksia.

EHDS-asetuksen 62 artiklassa säädetään terveystietoihin pääsystä vastaavien elinten, mukaan lukien unionin terveystietojenkäyttöpalvelun tai EHDS-asetuksen 72 artiklassa tarkoitetun luotetun terveystietojen haltijan, oikeudesta veloittaa maksuja sähköisten terveystietojen asettamisesta saataville toissijaista käyttöä varten.

Alennettuja maksuja voidaan vahvistaa unionissa sijaitseville terveystietojen käyttäjille, joilla on lakisääteinen toimeksianto kansanterveyden alalla, sekä yliopistotutkijoille tai mikroyrityksille.

Erityisestä syystä maksu voidaan jättää tietyltä terveystietojen käyttäjältä kokonaan perimättä.

Valtioneuvoston asetuksella säädetään tarkemmista edellytyksistä määrätä alennetut maksut tai jättää maksu perimättä tietyntyyppisiltä terveystietojen käyttäjiltä, joilla on lakisääteinen toimeksianto kansanterveyden alalla sekä korkeakoulu- ja yliopistotutkijoille tai mikroyrityksille.

Tietolupaviranomainen toimii EHDS-asetuksen 75 artiklan tarkoittamana Terveysdata @ EU (HealthData@EU) -infrastruktuurin toissijaisen käytön kansallisena yhteyspisteenä ja ylläpitää sen edellyttämää keskitettyä tietolupahakemusten ja terveystietopyyntöjen asiointijärjestelmää.

Terveystietojen käyttäjä voi ilmoittaa terveystietoihin pääsystä vastaavalle elimelle, jos terveystietojen käyttäjä on korjannut, annotoinnut, täydentänyt tai muulla tavalla parantanut käsiteltävien sähköisten terveystietojen täsmällisyyttä, täydellisyyttä tai laatua.

Terveystietoihin pääsystä vastaavan elimen tulee palauttaa parannellut sähköiset terveystiedot terveystietojen haltijalle.

Terveystietojen haltijan tulee asettaa uusi tietoaineisto maksutta saataville, paitsi jos se antaa terveystietoihin pääsystä vastaavalle elimelle perustellun ilmoituksen siitä, miksi aineistoa ei aseteta saataville, esimerkiksi tapauksissa, joissa rikastamisen laatu on heikko.

EHDS-asetuksen 73 artiklassa ja sen perusteella annetussa täytäntöönpanosäädöksessä säädetään turvatusta käsittely-ympäristöstä ja käsittely-ympäristöä koskevista teknisistä ja organisatorisista vaatimuksista sekä tietoturva-, luottamuksellisuus-, tietosuoja- ja yhteentoimivuusvaatimuksista.

Edellä 7 §:ssä tarkoitettujen terveystietoihin pääsystä vastaavien elinten on varmistettava, että turvatut käsittely-ympäristöt tarkastetaan säännöllisesti, myös kolmansien osapuolten tekemillä tarkastuksilla, ja toteutettava korjaavia toimia, jos kyseisillä tarkastuksilla havaitaan turvatuissa käsittely-ympäristöissä puutteita, riskejä tai haavoittuvuuksia.

Viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista annetussa laissa (1406/2011) säädetään viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista.

Liikenne- ja viestintäviraston tehtävistä yritysturvallisuusselvitystä laadittaessa säädetään turvallisuusselvityslaissa (726/2014).

Palveluntarjoaja, joka tarjoaa asiakkailleen turvattuun käsittely-ympäristöön liittyviä palveluita, jäljempänä palvelutarjoaja , on seurattava ja arvioitava ajantasaisella järjestelmällisellä menettelyllä turvatun käsittely-ympäristöstä sen tuotantokäytön aikana saatavia kokemuksia. Palveluntarjoajan on seurattava tämän lain ja EHDS-asetuksen 73 artiklan 5 kohdan mukaisen täytäntöönpanosäädöksen muutoksia ja tehtävä käsittely-ympäristöön muutosten edellytyksenä olevat korjaukset. Turvatun käsittely-ympäristön olennaisista muutoksista on ilmoitettava 7 §:ssä tarkoitetulle toimivaltaiselle terveystietoihin pääsystä vastaavalle elimelle sekä Lupa- ja valvontavirastolle.

Palveluntarjoajan on säilytettävä vaatimustenmukaisuutta koskevat ja muut valvonnan edellytyksenä olevat tiedot vähintään viisi vuotta turvatun käsittely-ympäristön tuotantokäytön päättymisestä.

Edellä 7 §:ssä tarkoitettujen terveystietoihin pääsystä vastaavien elinten ja Lupa- ja valvontaviraston tehtävänä on valvoa ja edistää sitä, että turvatut käsittely-ympäristöt täyttävät EHDS-asetuksen 73 artiklassa ja sen 5 kohdan nojalla annetussa täytäntöönpanosäädöksessä tarkoitetut tietosuojaa ja tietoturvaa koskevat vaatimukset. Lupa- ja valvontavirasto ylläpitää julkista rekisteriä sille ilmoitetuista, vaatimukset täyttävistä käsittely-ympäristöistä.

Lupa- ja valvontavirastolla on oikeus käyttää ulkopuolisia asiantuntijoita arvioimaan turvatun käsittely-ympäristön vaatimustenmukaisuutta. Ulkopuoliset asiantuntijat voivat osallistua tämän lain mukaisiin tarkastuksiin sekä tutkia ja testata käsittely-ympäristöjä. Ulkopuolisella asiantuntijalla tulee olla tehtävien edellytyksenä oleva asiantuntemus ja pätevyys.

Ulkopuoliseen asiantuntijaan sovelletaan virkamiehen esteellisyyttä koskevia hallintolain

(434/2003) säännöksiä sekä rikosoikeudellista virkavastuuta hänen suorittaessaan tässä laissa tarkoitettuja tehtäviä.

Lupa- ja valvontavirastolla on oikeus saada maksutta ja salassapitosäännösten estämättä käsittely-ympäristöjen valvontaa varten välttämättömät tiedot terveystietoihin pääsystä vastaavilta elimiltä, terveystietojen haltijoilta ja palveluntarjoajilta, joita EHDS-asetuksen, tämän lain tai sen nojalla annetut säännökset koskevat.

Lupa- ja valvontavirasto saa 18 §:n nojalla tehdyn tarkastuksen perusteella määrätä palveluntarjoajan korjaamaan tuotantokäytössä olevaa käsittely-ympäristöä koskevat puutteet.

Jos turvattu käsittely-ympäristö voi vaarantaa tietosuojan tai toteuttaa puutteellisesti EHDS-asetuksessa ja tässä laissa sille asetetut vaatimukset eikä puutteita ole korjattu Lupa- ja valvontaviraston asettamassa määräajassa, Lupa- ja valvontavirasto saa kieltää käsittely-ympäristön käytön, kunnes puutteet on korjattu. Lisäksi terveystietoihin pääsystä vastaava edellä 7 §:ssä tarkoitettu toimivaltainen elin tai luotettu terveystietojen haltija voi sulkea yhteyden turvattuun käsittely-ympäristöön ja muihin tietojärjestelmiin, jos niitä käyttävä vaarantaa tai niihin liitetty ulkopuolinen järjestelmä voi vaarantaa niiden asianmukaisen toiminnan.

Lupa- ja valvontavirasto voi velvoittaa palveluntarjoajan tai valtuutetun edustajan tiedottamaan turvatun käsittely-ympäristön tuotantokäyttöä koskevasta päätöksestä Lupa- ja valvontaviraston asettamassa määräajassa ja määräämällä tavalla.

Jos palveluntarjoaja, terveystietojen haltija tai 7 §:ssä tarkoitettu terveystietoihin pääsystä vastaava elin on laiminlyönyt turvattuun käsittely-ympäristöön EHDS-asetuksen IV luvussa tai tässä laissa säädetyn tai niiden käyttöön liittyvän velvollisuutensa, Lupa- ja valvontavirasto voi määrätä velvollisuuden täytettäväksi määräajassa.

Lisäksi 7 §:ssä tarkoitettu toimivaltainen terveystietoihin pääsystä vastaava elin tai luotettu terveystietojen haltija voi sulkea yhteyden käsittely-ympäristöön, jos palveluntarjoaja, tai muu terveystietoihin pääsystä vastaava elin tai luotettu terveystietojen haltija on Lupa- ja valvontaviraston asettamasta määräajasta huolimatta laiminlyönyt EHDS-asetuksessa ja tässä laissa säädetyn käsittely-ympäristöön tai niiden käyttöön liittyvän velvollisuutensa.

Luonnollisilla henkilöillä ja oikeushenkilöillä on oikeus tehdä EHDS-asetuksen IV luvun säännöksiin liittyvä valitus yksin tai tarvittaessa yhteisesti Lupa- ja valvontavirastolle, jos kyseisten henkilöiden oikeuksiin tai etuihin kohdistuu kielteisiä vaikutuksia, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja.

Jos valitus koskee EHDS-asetuksen 71 artiklan mukaisia luonnollisten henkilöiden oikeuksia, valitus on siirrettävä tietosuojavaltuutetulle. Lupa- ja valvontaviraston on salassapitosäännösten estämättä ja maksutta toimitettava tietosuojavaltuutetulle käytettävissään olevat välttämättömät tiedot, joita tarvitaan valituksen arvioinnin ja tutkimisen helpottamiseksi.

Tietolupaviranomainen vastaa yhteistyössä muiden terveystietoihin pääsystä vastaavien elinten kanssa EHDS-asetuksen 63 artiklan tarkoittamasta noudattamisen valvonnasta.

Tapauksissa, joissa terveystietojen käyttäjät eivät noudata EHDS-asetuksen IV luvun mukaisia vaatimuksia, terveystietoihin pääsystä vastaavilla elimillä on valtuudet peruuttaa EHDS-asetuksen 68 artiklan nojalla myönnetty tietolupa ja lopettaa terveystietojen käyttäjän toteuttama asiaan liittyvä sähköisten terveystietojen käsittelytoimi ilman aiheetonta viivytystä, ja niiden on toteutettava asianmukaiset ja oikeasuhteiset toimenpiteet, joilla pyritään varmistamaan, että terveystietojen käyttäjä käsittelee tietoja vaatimusten mukaisesti. Osana tällaisia valvontatoimenpiteitä Tietolupaviranomaisella on tarvittaessa valtuus aloittaa menettely, jonka tarkoituksena on kieltää, asianomaiselta terveystietojen käyttäjältä pääsy sähköisiin terveystietoihin eurooppalaisen terveystietoalueen puitteissa toissijaista käyttöä varten enintään viiden vuoden ajaksi.

Tapauksissa, joissa terveystietojen haltijat eivät noudata vaatimuksia ja joissa terveystietojen haltijat kieltäytyvät antamasta sähköisiä terveystietoja terveystietoihin pääsystä vastaaville elimille ilmeisenä tarkoituksenaan estää sähköisten terveystietojen käyttö tai ne eivät noudata EHDS-asetuksen 60 artiklan 2 kohdassa säädettyjä määräaikoja, Tietolupaviranomaisella on valtuus EHDS-asetuksen 63 artiklan mukaisesti määrätä terveystietojen haltijalle kultakin viivästyspäivältä perittävä uhkasakko. Uhkasakko asetetaan terveystietojen haltijalle päiväkohtaisesti juoksevana. Terveystietojen haltijalle asetettavan uhkasakon enimmäismäärä on enintään kaksi prosenttia sen edeltävän tilikauden vuotuisesta maailmanlaajuisesta keskimääräisestä päivittäisestä maailmanlaajuisesta liikevaihdosta tai tulosta kultakin viivästyspäivältä. Uhkasakko asetetaan uhkasakkolain (1113/1990) 9 §:ssä säädetystä poiketen ilman kiinteää peruserää ja lisäeriä. Uhkasakkolain 10 §:n 2 momentissa säädetystä poiketen uhkasakko voidaan tuomita kerrallaan enintään 60 päivän ajanjaksolta, jonka ylittävältä osalta uhkasakko raukeaa niiltä päiviltä, jotka ovat alkaneet ennen kuin päätös uhkasakon tuomitsemisesta tehdään. Muilta osin uhkasakkoon sovelletaan uhkasakkolakia.

Jos terveystietojen haltija rikkoo toistuvasti velvollisuuttaan tehdä yhteistyötä terveystietoihin pääsystä vastaavan elimen kanssa, Tietolupaviranomainen voi aloittaa menettelyn, jonka tarkoituksena on kieltää, asianomaiselta terveystietojen haltijalta terveystietoihin pääsyä koskevien hakemusten jättäminen EHDS-asetuksen IV luvun nojalla enintään viiden vuoden ajaksi. Kyseisen kiellon aikana terveystietojen haltija on edelleen velvollinen asettamaan tietoja tarvittaessa saataville EHDS-asetuksen IV luvun mukaisesti.

EHDS-asetuksen mukaisten hallinnollisten seuraamusmaksujen yleisistä edellytyksistä säädetään EHDS-asetuksen 64 artiklassa.

Seuraamusmaksua ei saa määrätä, jos on kulunut yli kymmenen vuotta siitä, kun rikkomus tai laiminlyönti on tapahtunut. Jos rikkomus tai laiminlyönti on ollut luonteeltaan jatkuvaa, kymmenen vuoden määräaika lasketaan siitä, kun rikkomus tai laiminlyönti on päättynyt.

Tietolupaviranomaisen yhteydessä on seuraamuskollegio, jonka tehtävänä on EHDS-asetuksen 64 artiklassa tarkoitettujen seuraamusten määrääminen EHDS-asetuksen ja tämän lain 25 §:n nojalla.

Tietolupaviranomainen nimeää Tietolupaviranomaisen yhteydessä olevan seuraamuskollegioon puheenjohtajan, varapuheenjohtajan ja kolme jäsentä. Seuraamuskollegion puheenjohtajan, varapuheenjohtajan ja jäsenten tulee olla sen tehtävissä sovellettavaan sääntelyyn hyvin perehtyneitä Tietolupaviranomaisen virkamiehiä. Seuraamuskollegion puheenjohtajalla ja varapuheenjohtajalla tulee lisäksi olla tehtävän edellyttämä riittävä oikeudellinen asiantuntemus. Seuraamuskollegion toimikausi on kolme vuotta.

Seuraamuskollegion puheenjohtaja, varapuheenjohtaja ja jäsen toimivat tehtävässään riippumattomasti ja puolueettomasti.

Seuraamuskollegio on päätösvaltainen kolmijäsenisenä. Yhden läsnä olevista on oltava puheenjohtaja tai varapuheenjohtaja. Päätökseksi tulee se kanta, jota enemmistö on kannattanut. Äänten mennessä tasan päätökseksi tulee se kanta, joka on lievempi sille, johon seuraamus kohdistuu.

Tietolupaviranomaisella ja sen yhteydessä olevalla seuraamuskollegiolla on oikeus salassapitosäännösten estämättä saada maksutta tehtäviensä hoidon kannalta välttämättömät tiedot terveystietojen, sosiaalihuollon asiakastietojen ja etuustietojen käyttäjiltä, terveystietojen haltijoilta, sosiaalihuollon palvelunantajilta ja Kansaneläkelaitokselta.

Tietolupaviranomainen ja sen yhteydessä oleva seuraamuskollegio saa toimittaa tarkastuksen pysyväisluonteiseen asumiseen käytetyssä tilassa tarkastuksen vain, jos se on välttämätöntä tarkastuksen kohteena olevien seikkojen selvittämiseksi ja kyseessä olevassa tapauksessa on olemassa perusteltu ja yksilöity syy epäillä EHDS-asetuksen 63 ja 64 artiklassa tarkoitetulla tavalla henkilötietojen käsittelyä koskevia säännöksiä rikotun tai rikottavan tavalla, josta voi olla seuraamuksena hallinnollinen seuraamusmaksu tai rikoslaissa (39/1889) säädetty rangaistus. Tarkastukseen sovelletaan lisäksi hallintolain (434/2003) 39 §:ää.

Tietolupaviranomainen ja sen yhteydessä toimivat seuraamuskollegio voi käyttää toimivaltaansa kuuluvan tarkastuksen suorittamisessa apunaan ulkopuolisia asiantuntijoita.

Asiantuntijaan sovelletaan rikosoikeudellista virkavastuuta koskevia säännöksiä hänen suorittaessaan tällaisia tehtäviä. Vahingonkorvausvastuusta säädetään vahingonkorvauslaissa.

Tietolupaviranomaisella ja sen yhteydessä olevalla seuraamuskollegiolla on oikeus tämän lain 24 ja 25 §:ssä tarkoitettujen tehtäviensä suorittamiseksi saada pyynnöstä poliisilta virka-apua.

Sen estämättä, mitä asiakastietolaissa on erikseen säädetty, jos Lupa- ja valvontavirasto toteaa, että EHDS-asetuksen velvollisuuksia tai kieltoja on rikottu, se voi antaa huomautuksen tai varoituksen ja velvoittaa sen, joka rikkoo EHDS-asetusta, lopettamaan rikkomisen, korjaamaan virheensä tai laiminlyöntinsä taikka kieltää EHDS-asetuksen vastaisen toimenpiteen.

Lupa- ja valvontaviranomainen voi asettaa kohtuullisen määräajan, jonka kuluessa rikkomus tai laiminlyönti on lopetettava.

Lupa- ja valvontavirasto voi asettaa 30 §:n nojalla antamansa valvontapäätöksen tai muun tämän lain nojalla antamansa määräyksen tehosteeksi uhkasakon tai keskeyttämisuhan taikka että tekemättä jätetty toimenpide teetetään asianomaisen kustannuksella.

Lupa- ja valvontaviraston on ilmoitettava edellä 21 ja 22 §:n perusteella antamastaan päätöksestä edellä 7 §:ssä tarkoitetulle toimivaltaiselle terveystietoihin pääsystä vastaavalle elimelle.

Uhkasakosta säädetään uhkasakkolaissa (1113/1990).

Lupa- ja valvontavirasto voi jättää asian tutkimatta, jos asialla on epäillystä virheestä tai laiminlyönnistä huolimatta EHDS-asetuksen mukaisten velvoitteiden noudattamisen kannalta vain vähäinen merkitys. Lupa- ja valvontaviraston on tehtävä päätös tutkimatta jättämisestä heti, kun se on mahdollista.

Lupa- ja valvontavirastolla on oikeus tehdä valvonnan edellytyksenä olevia tarkastuksia.

Lupa- ja valvontavirastolla on tarkastuksen suorittamiseksi ja EHDS-asetukseen perustuvien velvoitteiden epäiltyyn rikkomiseen liittyvää valvontaa varten oikeus päästä tilaan, jota EHDS-asetuksessa tarkoitettu sosiaali- ja terveydenhuollon palvelunantaja, sähköisiä potilaskertomusjärjestelmiä koskeva talouden toimija, terveystietojen haltija ja terveystietojen käyttäjä käyttää elinkeino- tai ammattitoimintaansa liittyviin tarkoituksiin, ja tehdä valvonta-asian hoitamiseksi tarvittavia tarkastuksia. Pääsy- ja tarkastusoikeus ei koske pysyväisluonteiseen asumiseen käytettäviä tiloja.

Lupa- ja valvontavirastolla on tarkastuksissa oikeus salassapitosäännösten estämättä saada tutkittavakseen, jäljentää ja ottaa jäljennösten ottamista varten haltuun kaikki tarkastajan pyytämät asiakirjat, jotka ovat tarpeellisia tarkastuksen toimittamiseksi tai epäiltyyn rikkomukseen liittyvän valvontatehtävän kannalta tarpeellinen liikekirjeenvaihto, kirjanpito, muut asiakirjat ja tiedot missä tahansa muodossa tallennusvälineestä riippumatta. Tarkastusta toimittava virkamies voi pyytää tarkastuksen kohteen laillisilta edustajilta tai henkilöstön jäseniltä tarkastuksen kohteeseen ja tarkoitukseen liittyviä selvityksiä tosiseikoista ja asiakirjoista sekä tallentaa saamansa vastaukset. Lupa- ja valvontaviraston on säilytettävä tarkastuksesta laadittava tarkastuskertomus kymmenen vuoden ajan tarkastuksen suorittamisesta.

Tarkastukseen sovelletaan lisäksi hallintolain (434/2003) 39 §:ää.

Lupa- ja valvontavirastolla on oikeus EHDS-asetuksessa ja tässä laissa säädettyjen valvonta ja seurantatehtäviensä suorittamiseksi saada pyynnöstä poliisilta virka-apua.

Lupa- ja valvontavirasto voi määrätä seuraamusmaksun yksityiselle terveyspalvelun tarjoajalle, joka tahallaan tai huolimattomuudesta rikkoo tai laiminlyö EHDS-asetuksen II luvussa sille asetettua velvollisuutta toteuttaa:

1) asetuksen 3 artiklan ja 5–9 artiklan mukaiset luonnollisten henkilöiden oikeudet;

2) asetuksen 11 ja 12 artiklan terveydenhuollon ammattihenkilöiden oikeudet ja velvollisuudet;

3) asetuksen 13 artiklan tarkoittaman henkilökohtaisten sähköisten terveystietojen rekisteröinnin;

4) pääsyn asetuksen 14 artiklan mukaisiin prioriteettiluokkiin kuuluviin sähköisiin terveystietoihin;

5) käyttää potilaskertomusjärjestelmää, joka toteuttaa henkilökohtaisten sähköisten terveystietojen prioriteettiluokkia koskevat tekniset eritelmien mukaisen eurooppalainen sähköisten terveystietojen vaihtoformaatin; sekä

6) käyttää luonnollisten henkilöiden ja terveydenhuollon ammattihenkilöiden yhteentoimivaa rajatylittävää tunnistamis- ja todentamismekanismia, joka täyttää Euroopan unionin komission EHDS-asetuksen 16 artiklan 2 kohdan perusteella säädetyn täytäntöönpanosäädöksessä tarkoitetut vaatimukset.

Lupa- ja valvontavirasto voi lisäksi määrätä seuraamusmaksun yksityiselle terveyspalvelun tarjoajalle tehostamaan asetuksen 19 artiklassa tarkoitetun digitaalisesta terveydenhuollosta vastaavan viranomaisen sekä asetuksen 21 artiklassa tarkoitetun viranomaisen toimenpiteitä.

Lupa- ja valvontavirasto voi määrätä seuraamusmaksun sähköisen potilaskertomusjärjestelmän valmistajalle, joka tahallaan tai huolimattomuudesta rikkoo tai laiminlyö EHDS-asetuksen 30 artiklan 1 kohdan a-c ja i-l alakohdassa asetettuja velvollisuuksia tai markkinavalvontaviranomaisen sille asettamia velvoitteita.

Lupa- ja valvontavirasto voi määrätä seuraamusmaksun sähköisen potilaskertomusjärjestelmän valtuutetulle edustajalle, joka tahallaan tai huolimattomuudesta rikkoo tai laiminlyö EHDS-asetuksen 31 artiklan 2 kohdan b-d ja f alakohdassa kohdassa sille asetettuja velvollisuuksia tai markkinavalvontaviranomaisen sille asettamia velvoitteita.

Lupa- ja valvontavirasto voi määrätä seuraamusmaksun sähköisen potilaskertomusjärjestelmän maahantuojalle, joka tahallaan tai huolimattomuudesta rikkoo tai laiminlyö EHDS-asetuksen 32 artiklan 1 ja 2, 4 ja 5 kohdassa ja 7–9 kohdassa sille asetettuja velvollisuuksia tai markkinavalvontaviranomaisen sille asettamia velvoitteita.

Lupa- ja valvontavirasto voi määrätä seuraamusmaksun sähköisen potilaskertomusjärjestelmän jakelijalle, joka tahallaan tai huolimattomuudesta rikkoo tai laiminlyö EHDS-asetuksen 33 artiklan 3 ja 4 kohdassa sille asetettuja velvollisuuksia tai markkinavalvontaviranomaisen sille asettamia velvoitteita.

Lupa- ja valvontavirasto voi määrätä seuraamusmaksun yksityiselle terveystietojen käyttäjälle, joka tahallaan tai huolimattomuudesta rikkoo tai laiminlyö EHDS-asetuksen 61 artiklan 2–5 kohdassa sille asetettuja velvollisuuksia ja joista Tietolupaviranomaisen yhteydessä oleva seuraamuskollegio ei ole määrännyt EHDS-asetuksen 64 artiklassa tarkoitettua hallinnollista seuraamusmaksua.

Lupa- ja valvontavirasto voi määrätä seuraamusmaksun yksityiselle terveystietojen haltijalle, jota tahallaan tai huolimattomuudesta rikkoo tai laiminlyö EHDS-asetuksen 60 artiklassa tarkoitettua sille asetettuja velvollisuuksia ja joista Tietolupaviranomaisen yhteydessä oleva seuraamuskollegio ei ole määrännyt EHDS-asetuksen 64 artiklassa tarkoitettua hallinnollista seuraamusmaksua.

Lupa- ja valvontavirasto voi määrätä seuraamusmaksun yksityiselle luotetulle terveystietojen haltijalle, jota tahallaan tai huolimattomuudesta rikkoo tai laiminlyö EHDS-asetuksen 72 artiklassa sille asetettuja velvollisuuksia ja joista Tietolupaviranomaisen yhteydessä oleva seuraamuskollegio ei ole määrännyt EHDS-asetuksen 64 artiklassa tarkoitettua hallinnollista seuraamusmaksua.

EHDS-asetuksen rikkomista koskeva seuraamusmaksu on enintään 100 000 euroa.

Seuraamusmaksun suuruus perustuu kokonaisarviointiin. Seuraamusmaksua määrättäessä sovelletaan EHDS-asetuksen 99 artiklan 2 kohtaa.

Lupa- ja valvontavirasto voi jättää määräämättä edellä 35–39 §:ssä tarkoitetun seuraamusmaksun EHDS-asetuksen rikkomisesta, jos velvoitteen rikkomista on pidettävä vähäisenä tai seuraamusmaksun määräämistä ilmeisen kohtuuttomana.

Seuraamusmaksua ei voida määrätä sille, jota epäillään samasta teosta esitutkinnassa, syyteharkinnassa tai tuomioistuimessa vireillä olevassa rikosasiassa. Seuraamusmaksua ei voida määrätä myöskään sille, jolle on samasta teosta annettu lainvoimainen tuomio.

Seuraamusmaksua ei voida määrätä valtion viranomaiselle, valtion liikelaitokselle, kunnalliselle viranomaiselle, kuntayhtymälle, hyvinvointialueelle, hyvinvointiyhtymälle, itsenäiselle julkisoikeudelliselle laitokselle, eduskunnan virastolle, tasavallan presidentin kanslialle eikä Suomen evankelis-luterilaiselle kirkolle ja Suomen ortodoksiselle kirkolle eikä niiden seurakunnille, seurakuntayhtymille ja muille elimille.

Seuraamusmaksua ei saa määrätä, jos on kulunut yli viisi vuotta siitä, kun rikkomus tai laiminlyönti on tapahtunut. Jos rikkomus tai laiminlyönti on ollut luonteeltaan jatkuvaa, viiden vuoden määräaika lasketaan siitä, kun rikkomus tai laiminlyönti on päättynyt.

Seuraamusmaksu saadaan määrätä myös sellaiselle elinkeinonharjoittajalle, jolle elinkeinotoiminta, jossa laiminlyönti tai rikkomus on tapahtunut, on siirtynyt yrityskaupan tai muun yritysjärjestelyn seurauksena.

EHDS-asetuksen IV luvun ja tämän lain mukaisen henkilötietojen käsittelyn ja siihen liittyvän tiedonhallinnan yleinen suunnittelu, ohjaus ja valvonta kuuluvat sosiaali- ja terveysministeriölle.

Lupa- ja valvontavirasto, Tietolupaviranomainen sekä Tietosuojavaltuutettu ohjaavat ja valvovat toimialueellaan niille säädetyn toimivallan mukaisesti osaltaan tämän lain noudattamista.

Tietolupaviranomaisen, terveystietoihin pääsystä vastaavien elinten sekä Lupa- ja valvontaviraston on omalta osaltaan seurattava ja valvottava, että kunkin antamaan palveluun liittyvä tietosuoja ja tietoturva toteutuvat ja että niiden myöntämien lupien ja päätösten ehtoja noudatetaan. Jos joku on lainvastaisesti käsitellyt henkilötietoja, asianomaisen viranomaisen on oma-aloitteisesti ryhdyttävä tarvittaviin toimenpiteisiin.

Jos terveystietoihin pääsystä vastaavalla elimellä on perusteltua syytä epäillä, että sen myöntämän tietoluvan tai terveystietopyyntöä koskevan päätöksen perusteella tietoja käsittelevä ei käsittele henkilötietoja EHDS-asetuksen tai lain mukaisesti, sen on viipymättä tehtävä ilmoitus tietosuojavaltuutetulle.

Tämän lain 7 §:ssä tarkoitetun terveystietoihin pääsystä vastaavan elimen päätökseen saa vaatia oikaisua.

Tietolupaviranomaisen päätökseen, joka koskee tämän lain 7 §:ssä tarkoitettua luotetuksi terveystietojen haltijaksi nimeämistä ja 24 §:ssä tarkoitettua EHDS-asetuksen noudattamisen valvontaa saa vaatia oikaisua.

Lupa- ja valvontaviraston muun kuin seuraamusmaksun määräämistä koskevaan tämän lain nojalla tekemään päätökseen saa vaatia oikaisua.

Oikaisuvaatimuksesta säädetään hallintolaissa (434/2003).

Muutoksenhausta hallintotuomioistuimeen säädetään oikeudenkäynnistä hallintoasioissa annetussa laissa (808/2019).

Muutoksenhaussa uhkasakon asettamista ja maksettavaksi tuomitsemista koskevaan päätökseen sovelletaan kuitenkin uhkasakkolakia (1113/1990).

Toimivaltaisen viranomaisen muussa kuin seuraamusmaksun määräämistä koskevassa päätöksessä voidaan määrätä, että päätöstä on noudatettava muutoksenhausta huolimatta, jollei valitusviranomainen toisin määrää.

Tämän lain nojalla maksettavaksi määrätyn seuraamusmaksun täytäntöönpanosta säädetään sakon täytäntöönpanosta annetussa laissa (672/2022).

Tämä laki tulee voimaan 1 päivänä tammikuuta 2027.

Tätä lakia sovelletaan kuitenkin 26 päivästä maaliskuuta 2029.

Tämän lain 35–41 §:ää ei sovelleta kuitenkaan tekoihin tai laiminlyönteihin, jotka ovat tapahtuneet ennen tämän lain voimaantuloa.

Tietolupaviranomainen antaa tarkemmat määräykset aineistokuvausten tietosisällöistä, käsitteistä ja tietorakenteista. Määräyksessä tulee olla vähintään ne vähimmäisosatekijät, jotka Euroopan unionin komissio on EHDS-asetuksen 77 artiklan 4 kohdan perusteella annetun täytäntöönpanosäädöksen perusteella säätänyt terveystietojen haltijoiden toissijaista käyttöä varten asetetuistatietoaineistoista ja kyseisten osatekijöiden ominaisuuksista. Ennen määräysten antamista Tietolupaviranomaisen tulee kuulla asianomaisia organisaatioita.

Tietoturvallisessa käyttöympäristössä on noudatettava erityisesti seuraavia turvatoimenpiteitä:

1) tietoturvalliseen käyttöympäristöön pääsyn rajoittaminen myönnetyssä tietoluvassa lueteltuihin valtuutettuihin luonnollisiin henkilöihin;

2) tietoturvallisessa käyttöympäristössä säilytettävien sosiaali- ja terveystietojen luvattoman lukemisen, jäljentämisen, muuttamisen tai siirtämisen riskin minimointi uusimman tekniikan mukaisten teknisten ja organisatoristen toimenpiteiden avulla;

3) sosiaali- ja terveystietojen syöttämistä ja tietoturvallisessa käyttöympäristössä säilytettävien sähköisten terveystietojen tarkastamista, muuttamista tai poistamista koskevan oikeuden rajaaminen vain pieneen määrään valtuutettuja tunnistettavissa olevia henkilöitä;

4) sen varmistaminen, että sosiaali- ja terveystietojen käyttäjillä on pääsy ainoastaan tietolupansa kattamiin sosiaali- ja terveystietojen, käyttämällä yksilöllisiä ja ainutkertaisia käyttäjäidentiteettejä ja luottamuksellisia pääsytapoja;

5) tunnistettavissa olevien lokitietojen säilyttäminen pääsystä tietoturvalliseen käyttöympäristöön ja toimista kyseisessä ympäristössä, niin kauan kuin se on tarpeen kaikkien kyseisessä ympäristössä suoritettujen käsittelytoimien todentamiseen ja tarkastamiseen; pääsyä koskevat lokitiedot on säilytettävä vähintään vuoden ajan;

6) tässä momentissa tarkoitettujen turvatoimenpiteiden noudattamisen ja valvonnan varmistaminen mahdollisten turvallisuusuhkien lieventämiseksi.

Tietolupaviranomaisen tai muun 6 §:ssä tarkoitetun organisaation on varmistettava, että kyseiset sosiaali- ja terveystietojen rekisterinpitäjät voivat ladata edellä mainittuja tietojaan tietoluvassa täsmennetyssä muodossa ja että tietojen käyttäjä voi päästä niihin tietoturvallisessa käyttöympäristössä.

Tietolupaviranomaisen tietoturvallisen käyttöympäristön ja muiden tietoturvallisten käyttöympäristöjen tulee täyttää 2 ja 3 momentissa ja 21–29 §:ssä sekä EHDS-asetuksen 73 artiklan 5 kohdan perusteella annetun täytäntöönpanosäädöksen edellytykset.

EHDS-asetuksen 73 artiklassa tarkoitettu turvattu käsittely-ympäristö täyttää kuitenkin tietoturvallisen käyttöympäristön vaatimuksen, jos sen vaatimuksenmukaisuus on varmistettu EHDS-asetuksen 73 artiklan ja sen 5 kohdan perusteella annetun Euroopan unionin komission täytäntöönpanosäädöksessä säädetyn mukaisesti.

Tietoturvallisen käyttöympäristön on täytettävä tietoturvaa ja tiedonsiirron yhteentoimivuutta koskevat vaatimukset, jotka perustuvat viranomaisten antamiin määräyksiin, suosituksiin ja näiden osoittamiin, tietoturvalliseen käyttöympäristöön soveltuviin standardeihin sekä EHDS-asetuksen 73 artiklan tarkoitetun turvatun käsittely-ympäristöä koskevan täytäntöönpanosäädöksen vaatimuksiin.

Tietoturvallisuuden arviointilaitos arvioi tämän lain ja tietoturvallisuuden arviointilaitoksista annetun lain mukaisesti palveluntarjoajan hakemuksesta, täyttääkö käyttöympäristö tietoturvallisuutta koskevat vaatimukset. Arviointiperusteina on käytettävä tämän lain ja Euroopan komission täytäntöönpanosäädöksessä turvatulle käsittely-ympäristölle asetettuja vaatimuksia.

Jos käyttöympäristö täyttää tämän lain ja Euroopan komission täytäntöönpanosäädöksessä turvatulle käsittely-ympäristölle asetetut tietoturvallisuusvaatimukset, tietoturvallisuuden arviointilaitoksen on annettava suorittamastaan arvioinnista palveluntarjoajalle todistus sekä siihen liittyvä tarkastusraportti. Jos arviointi tai uudelleenarviointi koskee vain käyttöympäristön osaa, arviointilaitoksen antamaan todistukseen on selkeästi merkittävä, mikä osa käyttöympäristöstä on arvioitu.

Arviointilaitoksen myöntämä todistus on voimassa enintään kolme vuotta. Tietoturvallisuuden arviointilaitos voi vaatia palveluntarjoajalta kaikki arvioinnin sekä todistuksen laatimisen ja ylläpitämisen edellytyksenä olevat tiedot. Todistuksen antamiseen sovelletaan muutoin tietoturvallisuuden arviointilaitoksista annetun lain 9 §:n 3 momenttia

Jos tietoturvallisuuden arviointilaitos toteaa, että käyttöympäristö ei ole täyttänyt tai ei enää täytä tässä laissa ja EHDS-asetuksen 73 artiklan 5 kohdan perusteella annetun täytäntöönpanosäädöksessä säädettyjä vaatimuksia tai että todistusta ei muutoin olisi tullut myöntää, laitoksen on kehotettava palveluntarjoajaa korjaamaan puutteet. Arviointilaitos voi peruuttaa todistuksen määräajaksi tai kokonaan taikka myöntää sen rajoitettuna, jollei palveluntarjoaja korjaa puutteellisuuksia arviointilaitoksen asettamassa määräajassa. Määräajan pituutta määritettäessä on otettava huomioon käyttöympäristön korjaamiseksi tarvittava kohtuullinen.

Palveluntarjoajan on seurattava ja arvioitava ajantasaisella järjestelmällisellä menettelyllä tietoturvallisesta käyttöympäristöstä sen tuotantokäytön aikana saatavia kokemuksia. Palveluntarjoajan on seurattava tämän lain sekä EHDS-asetuksen 73 artiklan 5 kohdan perusteella annetun täytäntöönpanosäädöksen muutoksia ja tehtävä käyttöympäristöön muutosten edellytyksenä olevat korjaukset. Käyttöympäristön olennaisista muutoksista on ilmoitettava tietoturvallisuuden arviointilaitokselle. Arviointilaitoksen myöntämä todistus on uudistettava, jos käyttöympäristöön tehdään merkittäviä muutoksia tai jos käyttöympäristöä koskevia vähimmäisvaatimuksia on muutettu tavalla, jonka edellytyksenä on uusi arviointi.

Jos tietoturvallinen käyttöympäristö voi vaarantaa tietosuojan tai toteuttaa puutteellisesti tässä laissa ja EHDS-asetuksen 73 artiklan 5 kohdan perusteella sille asetetut vaatimukset eikä puutteita ole korjattu Lupa- ja valvontaviraston asettamassa määräajassa, Lupa- ja valvontavirasto saa kieltää käyttöympäristön käytön, kunnes puutteet on korjattu. Lisäksi Tietolupaviranomainen tai muu 6 §:ssä tarkoitettu viranomainen voi sulkea yhteyden ylläpitämiinsä tietojärjestelmiin, jos niitä käyttävä vaarantaa tai niihin liitetty ulkopuolinen järjestelmä voi vaarantaa niiden asianmukaisen toiminnan.

Tietolupaviranomainen voi veloittaa maksuja tässä laissa tarkoitettujen sosiaali- ja terveystietojen asettamisesta saataville tässä laissa tarkoitettua toissijaista käyttöä varten.

Maksujen on oltava oikeassa suhteessa tietojen saataville asettamisen kustannuksiin, eivätkä ne saa rajoittaa kilpailua. Kaikkien maksujen, joita veloitetaan tämän lain ja kutakin tiedot toimittanutta rekisterinpitäjää koskevien säännösten nojalla, on oltava läpinäkyviä ja syrjimättömiä.

Maksujen on katettava kaikki tai osa kustannuksista, jotka liittyvät tietolupahakemuksen tai tietopyynnön arviointiin, tietoluvan tai tietopyyntöä koskevan päätöksen myöntämiseen, epäämiseen tai muuttamiseen, mukaan lukien tietojen kokoamiseen, valmisteluun, pseudonymisointiin, anonymisointiin ja tarjoamiseen liittyvät kustannukset.

Maksuihin voi sisältyä hyvitys kustannuksista, joita edellä 6 §:ssä tarkoitetuille rekisterinpitäjille aiheutuu toissijaista käyttöä varten saataville asetettavien tietojen kokoamisesta ja valmistelusta. Tällaisissa tapauksissa edellä mainitun rekiterinpitäjän on toimitettava arvio tällaisista kustannuksista Tietolupaviranomaiselle. Se osa maksuista, joka liittyy sen kustannuksiin, suoritetaan kyseiselle rekisterinpitäjälle.

Tietyntyyppisille sosiaali- ja terveystietojen käyttäjille, joilla on lakisääteinen toimeksianto kansanterveyden alalla sekä korkeakoulu- ja yliopistotutkijoille tai mikroyrityksille on pyrittävä määräämään alennetut maksut.

Korvaukset, jotka koskevat tietolupaan ja tietopyyntöä koskevaan päätökseen perustuvien tietojen poimintaa ja toimittamista muista kuin Tietolupaviranomaisen omista tietovarannoista, määräytyvät kutakin tiedot toimittanutta rekisterinpitäjää koskevien säännösten mukaisesti.

Tietolupaviranomaisen korvausten määräytymisen perusteista säädetään valtion maksuperustelaissa.

Siltä osin, kun edellä mainitun 4 ja 5 momentin perusteella määräytyvät säännökset ovat ristiriidassa tämän lain 50 §:n kanssa, noudatetaan tätä lakia.

Tietoturvallisuuden arviointilaitoksen suorittamasta arvioinnista perittävistä maksuista säädetään tietoturvallisuuden arviointilaitoksista annetun lain 11 §:ssä. Lupa- ja valvontavirastolle 30 §:n 1 momentin mukaan tehtävän ilmoituksen rekisteröinti ja merkintä julkiseen rekisteriin on maksullinen.

Tämä laki tulee voimaan 1 päivänä tammikuuta 2027.

Tämän lain 12 §:n 2 momenttia sovelletaan kuitenkin tietoaineistojen kuvauksiin, tietosisältöihin, käsitteisiin ja tietorakenteisiin 26 päivästä maaliskuuta 2029.

Tämän lain 20 §:ää, 24 §:n 1 momenttia, 26 §:ää, 27 §:ää, 29 §:n 1 momenttia ja 33 §:n 2 momenttia sovelletaan kuitenkin vain 20 §:ssä tarkoitettuihin tietoturvallisiin käyttöympäristöihin, jotka on saatettu markkinoille tai otettu käyttöön 26 päivästä maaliskuuta 2029 jälkeen.

Tämä lain 50 §:ää ei sovelletaan tietopyyntöihin ja tietolupiin, jotka ovat olleet vireillä ennen 26 päivää maaliskuuta 2029.

Tässä laissa tarkoitetaan:

16) tahdonilmaisupalvelulla valtakunnallista tietojärjestelmäpalvelua, jolla ylläpidetään informointi-, luovutuslupa- suostumus- ja kieltoasiakirjoja ja sosiaali- ja terveyspalveluihin ja eurooppalaisesta terveystietoalueesta sekä direktiivin 2011/24/EU ja asetuksen (EU) 2024/2847 muuttamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) 2025/327, jäljempänä, EHDS-asetus, liittyviä tahdonilmauksia sekä muita sosiaali- ja terveysalan palveluihin ja asiakastietojen käsittelyyn liittyviä tahdonilmauksia;

Muut toimijat kuin sosiaali- ja terveydenhuollon palvelunantajat, joiden palveluita ja asiakastietojen käsittelyä koskevia tahdonilmauksia tallennetaan 65 §:n 1 momentin 7 kohdassa tarkoitettuun tahdonilmaisupalveluun, voivat liittyä tahdonilmaisupalvelun käyttäjäksi. Sosiaali- ja terveystietojen toissijaisesta käytöstä annetun lain (552/2019) 4 §:ssä tarkoitetun Sosiaali- ja terveysalan tietolupaviranomaisen tulee liittyä tahdonilmaisupalvelun käyttäjäksi.

Tahdonilmaisupalveluun on tallennettava tieto tämän lain, lääkemääräyslain ja EHDS-asetuksen mukaisista informoinneista, luovutusluvista, pyynnöistä, henkilökohtaisten sähköisten terveystietojen käsittelyn toissijaista käyttöä koskevasta kiellosta ja valtakunnallisia tietojärjestelmäpalveluja koskevista suostumuksista.

Henkilö voi antaa tahdonilmauksia sekä hoitaa asiakkuuteensa ja asiakas- ja hyvinvointitietojensa hallinnointiin liittyviä asioita kansalaisen käyttöliittymällä. Kansalaisen käyttöliittymä toteuttaa tämän lain ja EHDS-asetuksen 71 artiklan mukaiset luonnollisen henkilön oikeuksia koskevat toiminnallisuudet.

Sen estämättä, mitä EHDS-asetuksessa säädetään, luonnolliselle henkilölle saadaan näyttää tai toimittaa kansalaisen käyttöliittymän tai hyvinvointisovelluksen välityksellä valtakunnallisiin tietojärjestelmäpalveluihin hänestä tallennetut tiedot lukuun ottamatta sellaista tietoa, jota julkisuuslain 11 §:n 2 momentin, tietosuojalain 34 §:n tai muun lainsäädännön mukaan asiakkaalla ei ole oikeutta saada. Saadakseen tiedot hyvinvointisovellukseen asiakkaan tulee ottaa hyvinvointisovellus käyttöön ja hyväksyä tietojen luovutus. Lisäksi henkilölle saadaan näyttää käyttöliittymän välityksellä hänen asiakastietojensa käsittelyä koskevat luovutus- ja käyttölokitiedot ja sähköisten terveystietojen toissijaista käyttöä koskevat EHDS-asetuksen 71 artiklassa tarkoitetut kiellot.

Tämä laki tulee voimaan 1 päivänä tammikuuta 2027.

Sen 3 §:n 16 ja 18 kohtaa, 67 §:n 3 momenttia, 72 §:n 1 momenttia ja 74 §:n 1 ja 2 momentissa tarkoitettua henkilökohtaisten sähköisten terveystietojen käsittelyä toissijaista käyttöä koskevaa kieltoa ei sovelleta sellaisiin tietolupahakemuksiin ja tietopyyntöihin, jotka ovat olleet vireillä ennen 26 päivää maaliskuuta 2029.

Tässä laissa säädetään seuraavien rangaistusluonteisten hallinnollisten seuraamusten täytäntöönpanosta:

66 a) eurooppalaista terveystietoaluetta koskevaa asetusta täydentävästä sääntelystä annetun lain ( / ) 25 ja 35—39 §:ssä tarkoitettu seuraamusmaksu;

Tämä laki tulee voimaan 1 päivänä tammikuuta 2027.

Sen 1 §:n 2 momentin 66 a kohtaa sovelletaan kuitenkin 26 päivästä maaliskuuta 2029.