Sosiaali- ja terveystietojen tutkimuskäytön sujuvoittaminen

Lain tavoitteena on mahdollistaa sosiaali- ja terveydenhuollon toiminnassa sekä sosiaali- ja terveysalan ohjaus-, valvonta-, tutkimus- ja tilastotarkoituksessa tallennettujen henkilötietojen tehokas ja tietoturvallinen käsittely, sekä niiden yhdistäminen Kansaneläkelaitoksen, Väestörekisterikeskuksen, Tilastokeskuksen ja Eläketurvakeskuksen henkilötietoihin.

Lain tavoitteena on lisäksi turvata yksilön luottamuksensuoja sekä oikeudet ja vapaudet henkilötietoja käsiteltäessä.

Tässä laissa annetaan luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) annettua Euroopan parlamentin ja neuvoston asetusta 2016/679, jäljempänä tietosuoja-asetus , täydentävät säännökset, kun 1 §:ssä tarkoitettuja henkilötietoja käsitellään seuraaviin käyttötarkoituksiin, vaikka niitä ei olisi alun perin tallennettu mainitussa tarkoituksessa:

1) tilastointi;

2) tieteellinen tutkimus;

3) kehittämis- ja innovaatiotoiminta;

4) opetus;

5) tietojohtaminen;

6) sosiaali- ja terveydenhuollon viranomaisohjaus ja -valvonta; sekä

7) viranomaisen suunnittelu- ja selvitystehtävä.

Organisaatioista, joiden tietoja saa tämän lain nojalla käsitellä 1 momentin mukaisesti sekä tietojen käsittelyyn liittyvistä rajauksista säädetään 6 ja 7 §:ssä.

Luovutusperusteista sekä vastaanottajan oikeudesta käsitellä luovutettuja henkilötietoja 1 momentissa tarkoitettuihin käyttötarkoituksiin säädetään 4 ja 5 luvussa.

Tässä laissa tarkoitetaan:

1) asiakastiedolla lain mukaan salassa pidettävää, tietosuoja-asetuksen 4 artiklan 1 kohdan mukaista henkilötietoa, joka on tallennettu sosiaali- ja terveydenhuollon tai etuuskäsittelyn asiakassuhteessa asiakasrekisteriin tai asiakkuuteen liittyvään hallinnolliseen rekisteriin;

2) henkilötietojen ensisijaisella käyttötarkoituksella sellaista käyttötarkoitusta, jossa henkilötiedot on alun perin tallennettu;

3) henkilötietojen toissijaisella käyttötarkoituksella henkilötietojen käsittelyä muussa käyttötarkoituksessa kuin 2 kohdan tarkoittamassa ensisijaisessa käyttötarkoituksessa;

4) kehittämis- ja innovaatiotoiminnalla teknisen ja liiketoimintatiedon sekä olemassa olevan muun tiedon soveltamista ja käyttöä yhdessä tässä laissa tarkoitettujen henkilötietojen kanssa, kun tavoitteena on kehittää uusia tai merkittävästi parannettuja tuotteita, prosesseja tai palveluja;

5) tietojohtamisella tiedon käsittelemistä palvelunantajan asiakas-, palvelu- ja tuotantoprosesseissa toiminnan, tuotannon ja talouden ohjauksen, johtamisen ja päätöksenteon tukena;

6) sosiaali- ja terveydenhuollon viranomaisohjauksella kansallisten sosiaali- ja terveydenhuollon viranomaisten lainsäädäntöön perustuvaa alan toimijoiden ohjausta, joka pohjautuu tarkoitukseen koottuihin henkilö- ja tilastotietoihin taikka tietoihin, jotka on yksittäistapauksessa saatu ohjaus- tai valvontatehtävää varten;

7) sosiaali- ja terveydenhuollon viranomaisvalvonnalla kansallisten sosiaali- ja terveydenhuollon viranomaisten lainsäädäntöön perustuvaa sosiaali- ja terveydenhuollon ammattihenkilöiden ja toimintayksiköiden valvontaa;

8) käyttöluvalla tämän lain mukaisesti myönnettyä lupaa käsitellä luvassa määriteltyjä salassa pidettäviä henkilötietoja luvassa mainittuun käyttötarkoitukseen;

9) tietopyynnöllä pyyntöä saada henkilötietoja tämän lain mukaiseen käyttötarkoitukseen anonymisoituna;

10) tietoturvallisella käyttöpalvelulla tietoturvallista ratkaisua, jonka kautta osapuolet voivat luovuttaa ja vastaanottaa käyttörajoituksen alaisia tietoja;

11) tietoturvallisella käyttöympäristöllä teknistä, organisatorista ja fyysistä tietojen käsittelyn toimintaympäristöä jossa tietoturvallisuus on varmistettu asianmukaisin hallinnollisin ja teknisin toimin;

12) tietopyyntöjen hallintajärjestelmällä järjestelmää, jonka välityksellä käyttöluvan hakija tai tietoja tämän lain perusteella muutoin pyytävä toimittaa käyttölupahakemuksen tai tämän lain mukaisen tietopyynnön ja sen liitteet viranomaiselle ja jossa käyttölupaa tai tietopyyntöä koskeva päätös annetaan tiedoksi luvan hakijalle;

13) palvelunantajalla sosiaali- ja terveydenhuoltoa tai sosiaali- ja terveyspalveluja järjestävää, tuottavaa tai toteuttavaa viranomaista taikka yksityistä palvelujen tuottajaa, jota tarkoitetaan yksityisistä sosiaalipalveluista annetussa laissa (922/2011) tai yksityisestä terveydenhuollosta annetussa laissa (152/1990);

14) palvelunjärjestäjällä sosiaali- tai terveydenhuollon palvelunantajaa, jolla on:a) viranomaisena velvollisuus huolehtia siitä, että asiakas saa hänelle lain tai viranomaisen päätöksen mukaan kuuluvan palvelun tai etuuden; taikka b) yksityisenä palvelunantajana velvollisuus huolehtia siitä, että yksityisesti palvelun ostava asiakas saa kuluttajansuojaa koskevien säännösten mukaisen, hänelle kuuluvan palvelun;

15) palveluntuottajalla palvelunantajaa, joka palvelunjärjestäjän kanssa tehdyn sopimuksen perusteella tai muutoin palvelunjärjestäjän lukuun tuottaa sosiaali- tai terveyspalvelua;

16) palveluntarjoajalla toimijaa, joka tarjoaa asiakkailleen tietoturvalliseen käyttöympäristöön liittyviä palveluita;

17) tiedonhyödyntämissuunnitelmalla tutkimussuunnitelmaa, hankesuunnitelmaa ja vastaavaa suunnitelmaa, josta ilmenevät lupahakemuksessa tarkoitettujen tietojen käyttötarkoitus, niiden rekisterinpitäjä ja käsittelijät, käsittelyn oikeudellinen peruste sekä tietojen käsittelyn tietosuojaan ja tietoturvaan liittyvät olennaiset seikat kattaen koko tietojen elinkaaren mukaan lukien tietojen säilytys sekä hävittäminen tai arkistointi;

18) valmisaineistolla aineistokokonaisuutta, jotka 4 §:ssä tarkoitettu Sosiaali- ja terveysalan käyttölupaviranomainen on koostanut yhden tai useamman kuin yhden organisaation tiedoista ja yhdistänyt yhdeksi aineistoksi taikka tallentanut siten, että aineistojen tunnistetiedot on koodattu yhdenmukaisella koodilla;

19) tietoturvallisuuden arviointilaitoksella sellaista yritystä, yhteisöä ja viranomaista, jonka Viestintävirasto on hyväksynyt tietoturvallisuuden arviointilaitoksista annetun lain (1405/2011) perusteella arvioimaan sitä, täyttääkö tietojärjestelmä tietoturvallisuutta koskevat vaatimukset.

Tässä laissa tarkoitettu Sosiaali- ja terveysalan käyttölupaviranomainen toimii Terveyden ja hyvinvoinnin laitoksen yhteydessä. Käyttölupaviranomaiselle säädetyistä tehtävistä vastaa laitoksessa yksikkö, joka on eriytetty Terveyden ja hyvinvoinnin laitoksesta annetun lain (668/2008) 2 §:ssä säädetyistä tehtävistä.

Käyttölupaviranomainen toimii sosiaali- ja terveysministeriön tulosohjauksessa, ja sillä on erillinen ohjausryhmä.

Sosiaali- ja terveysalan käyttölupaviranomainen tekee muiden rekisterinpitäjien aineistoja koskevia käyttölupapäätöksiä sekä vastaa käyttölupapäätösten mukaisten tietojen kokoamisesta, yhdistelystä ja luovuttamisesta toissijaiseen käyttöön tämän lain mukaisesti. Lisäksi käyttölupaviranomainen saa koota tässä laissa säädettyä käyttötarkoitusta varten tietopyynnön perusteella eri rekisterinpitäjien henkilötietoja ja niitä yhdistelemällä tuottaa anonyymeja tietoja pyytäjän käyttöön.

Käyttölupaviranomainen ylläpitää tietopyyntöjen hallintajärjestelmää tietopyyntöjen ja lupahakemusten välittämiseksi ja käsittelemiseksi sekä tietoturvallista käyttöpalvelua henkilötietojen vastaanottamiseksi ja luovuttamiseksi. Lisäksi käyttölupaviranomainen ylläpitää tietoturvallista käyttöympäristöä, jossa luvansaajan on mahdollista käsitellä käyttöluvan perusteella saamiaan henkilötietoja.

Käyttölupaviranomainen valvoo myöntämänsä luvan ehtojen noudattamista. Se saa peruttaa käyttöluvan, jos luvansaaja ei noudata lakia tai rikkoo luvan ehtoja.

Palveluista, joita tarvitaan sosiaali- ja terveydenhuollon asiakastietojen sekä niihin yhdistettävien muiden tässä laissa tarkoitettujen henkilötietojen käsittelemiseksi 2 §:n mukaisiin tarkoituksiin, säädetään 3 luvussa. Vastuu niiden tuottamisesta on Sosiaali- ja terveysalan käyttölupaviranomaisella sekä seuraavilla viranomaisilla ja organisaatioilla:

1) sosiaali- ja terveysministeriö;

2) Terveyden ja hyvinvoinnin laitos lukuun ottamatta sen tilastoviranomaisena tilastotarkoituksiin keräämiä tietoja;

3) Kansaneläkelaitos siltä osin kuin tämän lain mukaisiin tarkoituksiin tarvitaan etuuskäsittelyn asiakassuhteessa tallennettuja henkilötietoja sekä sähköisestä lääkemääräyksestä annetun lain (61/2007) 3 §:n 1 momentin 4 kohdassa tarkoitettuun reseptikeskukseen ja 5 kohdassa tarkoitettuun reseptiarkistoon tallennettuja tietoja lääkemääräyksistä ja niihin liittyvistä toimitustiedoista;

4) Sosiaali- ja terveysalan lupa- ja valvontavirasto;

5) aluehallintovirastot siltä osin kuin ne käsittelevät sosiaali- ja terveydenhuoltoon liittyviä asioita;

6) Työterveyslaitos;

7) Lääkealan turvallisuus- ja kehittämiskeskus;

8) sosiaali- ja terveydenhuollon julkiset palvelunjärjestäjät;

9) Tilastokeskus siltä osin kuin tämän lain mukaisiin tarkoituksiin tarvitaan kuolemansyyn selvittämisestä annetussa laissa (459/1973) tarkoitettuja tietoja;

10) Eläketurvakeskus siltä osin kuin tämän lain mukaisiin tarkoituksiin tarvitaan Eläketurvakeskuksen rekistereihin sisältyviä välttämättömiä henkilötietoja, jotka koskevat työeläketurvan toimeenpanossa tallennettuja vakuutettujen työ- ja ansiotietoja sekä myönnettyjä etuuksia ja niiden perusteita mukaan lukien työkyvyttömyyseläkkeiden diagnoosit;

11) Väestörekisterikeskus siltä osin kuin tämän lain mukaisiin tarkoituksiin tarvitaan henkilöiden perustietoja, henkilöiden perhesuhteita ja asuinpaikkoja koskevia tietoja sekä rakennustietoja väestötietojärjestelmästä.

Tilastokeskus sekä Terveyden ja hyvinvoinnin laitos tilastoviranomaisena (tilastoviranomaiset) vastaavat tilastoviranomaisena tilastotarkoituksiin keräämiensä tietojen käyttöluvista tieteellistä tutkimusta varten sekä samaan tutkimussuunnitelmaan liittyvien tietojen yhdistelystä omiin tietoihinsa ja niiden pseudonymisoinnista tai anonymisoinnista tilastolain (280/2004) mukaisesti. Lupahakemus, joka koskee muita, tässä laissa tarkoitettuja tietoja sekä tilastoviranomaisten tilastotarkoituksissa keräämiä tietoja, toimitetaan Tilastokeskukselle sekä Terveyden ja hyvinvoinnin laitokselle 16 §:ssä tarkoitetun tietopyyntöjen hallintajärjestelmän välityksellä. Myös lupahakemuksen käsittelyyn liittyvä yhteydenpito luvanhakijaan ja päätöksen tiedoksianto toteutetaan sanotun hallintajärjestelmän välityksellä.

Käyttöoikeuden toteuttamisesta tilastolain mukaisesti yhdisteltyihin, tässä laissa tarkoitettuihin tietoihin säädetään 51 §:n 2 momentissa.

Sosiaali- ja terveysalan käyttölupaviranomaisen toiminnan ohjausta ja palveluista vastaavien organisaatioiden yhteisen toiminnan kehittämistä varten sosiaali- ja terveysministeriö asettaa käyttölupaviranomaiselle ohjausryhmän kolmivuotiskaudeksi, sekä nimittää ohjausryhmän puheenjohtajan. Sosiaali- ja terveysministeriö nimeää ohjausryhmään jäseniksi:

6 §:ssä mainittujen organisaatioiden ja viranomaisten esitysten pohjalta kuusi edustajaa;

yhden jäsenen edustamaan kuntia sosiaali- ja terveyspalvelujen järjestäjänä;

yhden jäsenen edustamaan kuntia ehkäisevän sosiaali- ja terveydenhuollon järjestäjänä Kuntaliiton esityksen pohjalta;

yhden jäsenen edustamaan yksityisten sosiaali- ja terveyspalvelujen järjestäjiä.

Ohjausryhmän tehtävänä on käsitellä ja tehdä esitys Terveyden ja hyvinvoinnin laitokselle ja sosiaali- ja terveysministeriölle:

käyttölupaviranomaisen vuosittaisesta toimintasuunnitelmasta ja siihen liittyvästä talousarviosta;

toimintakertomuksesta ja tilinpäätöksestä käyttölupaviranomaista koskevilta osin;

rekisterinpitäjien toiminnan yhteisestä kehittämisestä ja siihen suunnattavista voimavaroista;

kullekin toimijalle suunnattavista voimavaroista tietojärjestelmien ja yhteistoiminnan kehittämiseksi.

Ohjausryhmä seuraa käyttölupaviranomaisen toiminnan ja palvelujen toimivuutta ja 47 §:ssä tarkoitettuja lupakäsittelyyn liittyviä sekä 48 §:ssä tarkoitettuja tietojen luovutusta koskevia määräaikoja. Lisäksi ohjausryhmä:

voi asettaa tavoitemittareita käyttölupaviranomaisen toimintaprosesseille ja käynnistää niihin kohdistuvia ulkoisia auditointeja;

voi tehdä tarvittaessa ehdotuksen käyttölupaviranomaisen toiminnan kehittämisestä Terveyden ja hyvinvoinnin laitokselle ja sosiaali- ja terveysministeriölle;

voi asettaa käyttölupaviranomaisen toimintaa tukevia asiantuntijaryhmiä.

Sosiaali- ja terveysministeriö saa perustaa Sosiaali- ja terveysalan käyttölupaviranomaisen alaisuudessa toimivan osakeyhtiön yksin taikka yhden tai useamman 6 §:ssä tarkoitetun organisaation, opetus- ja kulttuuriministeriön, työ- ja elinkeinoministeriön tai valtiovarainministeriön kanssa. Yhtiö on valtion omistuksessa ja hallinnassa. Yhtiön omistajaohjauksesta ja sen osakkeiden hallinnoinnista vastaa sosiaali- ja terveysministeriö. Yhtiön tarkoituksena ei ole tuottaa voittoa.

Yhtiölle voidaan antaa 10 §:n 3—7 kohdassa tarkoitettuihin palveluihin liittyviä tehtäviä. Valtioneuvoston asetuksella voidaan antaa tarkempia säännöksiä yhtiön tehtävistä.

Terveyden ja hyvinvoinnin laitos tai Sosiaali- ja terveysalan käyttölupaviranomainen voi tuottaa osakeyhtiölle hallinnollisia palveluja ja muita tukipalveluja markkinahintaista korvausta vastaan.

Yhtiön on annettava sosiaali- ja terveysministeriölle sen pyynnöstä tiedot, jotka ovat tarpeen yhtiön ohjaamiseksi ja valvomiseksi. Yhtiön asiakirjoihin sovelletaan, mitä viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999), jäljempänä julkisuuslaki, säädetään viranomaisen asiakirjasta.

Yhtiön toimintaan voidaan myöntää valtionavustusta valtion talousarvioon otettavien määrärahojen rajoissa. Valtionavustuksesta säädetään valtionavustuslaissa (688/2001).

Yhtiön palveluksessa olevaan henkilöön ja yhtiön hallituksen jäseniin sovelletaan rikosoikeudellista virkavastuuta koskevia säännöksiä.

Rekisteritietojen toissijaista käyttöä varten ylläpidetään seuraavia 6 §:ssä tarkoitettujen organisaatioiden palveluita:

1) tietoaineistojen kuvaukset;

2) neuvontapalvelu;

3) tietojen kokoamis-, yhdistämis- ja esikäsittelypalvelu;

4) tunnisteiden hallinnointipalvelu;

5) tietopyyntöjen hallintajärjestelmä;

6) tietoturvallinen käyttöpalvelu;

7) tietoturvallinen käyttöympäristö.

Sosiaali- ja terveysalan käyttölupaviranomainen vastaa 10 §:n 3—7 kohdassa tarkoitetuista palveluista, jos käyttölupahakemus tai tämän lain mukainen tietopyyntö koskee usean 6 §:ssä tarkoitetun rekisterinpitäjän henkilörekistereitä tai sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetussa laissa (159/2007), jäljempänä asiakastietolaki, tarkoitettuihin valtakunnallisiin tietojärjestelmäpalveluihin (Kanta-palvelut ) tallennettuja tietoja taikka tietoja luovutetaan yhden tai usean organisaation rekistereistä 38 §:ssä tarkoitettuun kehittämis- ja innovaatiotoimintaan. Sosiaali- ja terveysalan käyttölupaviranomainen vastaa kuitenkin Eläketurvakeskuksen, Väestörekisterikeskuksen ja Tilastokeskuksen tietoihin kohdistuvista palveluista vain, jos kyseisiä tietoja yhdistetään 6 §:n 1—8 kohdassa tarkoitettujen organisaatioiden tietoihin.

Jos tietopyyntö tai käyttölupahakemus koskee vain yhden 6 §:ssä tarkoitetun organisaation henkilörekistereissä olevia tietoja, sanottu organisaatio vastaa itse kaikista 10 §:ssä tarkoitetuista palveluista. Sosiaali- ja terveysalan käyttölupaviranomainen voi kuitenkin sopia muiden 6 §:ssä tarkoitettujen organisaatioiden kanssa, että se hoitaa kaikki tai osan tässä momentissa tarkoitetuista palveluista sopimuksen tehneen organisaation puolesta.

Sosiaali- ja terveysalan käyttölupaviranomainen vastaa aina 10 §:n 3—7 kohdassa tarkoitetuista palveluista, jos käyttölupahakemus tai tämän lain mukainen tietopyyntö koskee yhden tai usean yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoja.

Edellä 6 §:ssä tarkoitettujen organisaatioiden on rekisterinpitäjänä laadittava aineistokuvaukset tietovarantojensa tietosisällöistä siten, että niiden perusteella on mahdollista arvioida rekisteritietojen soveltuvuutta 2 §:ssä mainittuihin tarkoituksiin. Sosiaali- ja terveysalan käyttölupaviranomaisen on laadittava aineistokuvaukset 14 §:n 3 momentissa tarkoitetuista valmisaineistoistaan.

Sosiaali- ja terveysalan käyttölupaviranomainen antaa tarkemmat määräykset aineistokuvausten tietosisällöistä, käsitteistä ja tietorakenteista. Ennen määräysten antamista käyttölupaviranomaisen tulee kuulla asianomaisia organisaatioita.

Sosiaali- ja terveysministeriön asetuksella säädetään, mistä lähtien 1 momentissa säädettyjä velvoitteita sovelletaan.

Edellä 6 §:ssä tarkoitetun rekisterinpitäjän on järjestettävä mainitussa pykälässä tarkoitettuja rekisteritietojaan koskeva neuvontapalvelu siten, että niitä 2 §:ssä mainitussa tarkoituksessa tarvitseva saa riittävät tiedot käytettävissä olevien rekistereiden tietosisällöistä ja rekisteritietojen soveltuvuudesta tiedon tarpeisiinsa.

Sen lisäksi, mitä 1 momentissa säädetään, Sosiaali- ja terveysalan käyttölupaviranomaisen on järjestettävä neuvontapalvelu, joka koskee käyttöluvan myöntämisedellytyksiä, 10 §:ssä tarkoitettujen palvelujen sisältöä ja merkitystä sekä 14 §:n 3 momentissa tarkoitettuja valmisaineistoja.

Jos Sosiaali- ja terveysalan käyttölupaviranomaisen myöntämä käyttölupa koskee usean rekisterinpitäjän tietoja, käyttölupaviranomainen kokoaa ja esikäsittelee käyttöluvan mukaisesti poimitut tai saadut ja tarvittaessa yhdistellyt tiedot 36 §:n mukaisesti.

Jos käyttölupaviranomainen luovuttaa tietoja tietopyynnön perusteella, se kokoaa ja tarvittaessa yhdistelee sekä anonymisoi luovutettavan aineiston. Käyttölupaviranomaisen on säilytettävä kuvaus aineiston muodostamisesta, anonymisointimenetelmistä ja lopputuloksesta.

Käyttölupaviranomainen saa muodostaa valmisaineistoja 6 §:ssä tarkoitettujen viranomaisten ja organisaatioiden tiedoista. Käyttölupaviranomainen saa myöhemmin poimia käyttöluvan myöntämiseksi tarvittavat ja myönnetyn käyttöluvan mukaiset tiedot valmisaineistoista.

Jos henkilötietoja luovutetaan usean eri tiedonhyödyntämissuunnitelman perusteella pseudonymisoituna, tiedot on pseudonymisoitava jokaista luovutusta varten eri tunnisteella.

Käyttöluvan antanut viranomainen säilyttää pseudonymisoitujen aineistojen tunnisteet tietoturvallisesti ja siten, että aineisto on mahdollista tarvittaessa muuttaa tunnisteelliseksi, ja että sama aineisto on niiden avulla mahdollista tuottaa uudelleen.

Viranomaisen on säilytettävä tunnisteet niin kauan kuin ne ovat tarpeen tutkimuksen tekemiseksi ja sen tulosten asianmukaisuuden varmistamiseksi.

Sosiaali- ja terveysalan käyttölupaviranomainen ylläpitää yksin tai yhdessä muiden viranomaisten kanssa tietopyyntöjen hallintajärjestelmää, jonka välityksellä käyttölupahakemus tai tämän lain mukainen tietopyyntö on toimitettava sille.

Käsittelyn edellytyksenä olevat käyttölupaviranomaisen selvitys- ja täydennyspyynnöt sekä hakijan sille toimittamat selvitykset, täydennykset ja hakemusta koskevat muutokset toteutetaan hallintajärjestelmän välityksellä. Lupapäätös annetaan hakijalle tiedoksi hallintajärjestelmän välityksellä.

Jos käyttötarkoituksen edellytyksenä on lakisääteisesti tiedonhyödyntämissuunnitelman eettinen ennakkoarviointi, myös eettinen arviointi saatetaan vireille ja lausunto toimitetaan hallintajärjestelmän välityksellä.

Sosiaali- ja terveysalan käyttölupaviranomainen ylläpitää tietoturvallista käyttöpalvelua käyttölupahakemuksen ja tietopyynnön käsittelyssä tarvittavien tietojen sekä myönnetyn käyttöluvan mukaisten tietojen luovuttamiseksi. Käyttöpalvelun välityksellä saa tässä laissa säädetyin edellytyksin luovuttaa henkilötietoja käyttölupaviranomaisen ja muiden 6 §:ssä mainittujen viranomaisten välillä, käyttölupaviranomaisen ja yksityisten sosiaali- ja terveydenhuollon palvelunantajien välillä sekä luvanhakijan ja käyttölupaviranomaisen välillä.

Kun henkilötietoja välitetään tietoturvallisen käyttöpalvelun välityksellä, niiden eheys ja alkuperä on varmistettava sähköisellä allekirjoituksella. Organisaation ja tietoteknisten laitteiden lähettämien tietojen eheys ja alkuperä on varmistettava käyttämällä luotettavuudeltaan vastaavaa tekniikkaa kuin luonnollisen henkilön sähköisessä allekirjoituksessa. Tietoturvallisen käyttöpalvelun käyttäjät on tunnistettava vahvasti, kun heille luovutetaan henkilötietoja. Kehittyneestä sähköisestä allekirjoituksesta ja vahvasta sähköisestä tunnistamisesta säädetään sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93/EY kumoamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) N:o 910/2014, sekä vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetussa laissa (617/2009).

Käyttölupaviranomaisen on luotava tarvittavat rajapinnat käyttöpalvelun yhteentoimivuutta varten ja huolehdittava siitä, että tiedonsiirto voidaan tehdä yleisesti käytössä olevien teknologioiden avulla.

Kun henkilötietoja käsitellään tämän lain nojalla, käsittelyn riittävä tietoturvallisuus on varmistettava riskienhallinnalla, pääsynhallinnalla, aktiivisella valvonnalla sekä noudattamalla tietoturvallisuuden ja tietosuojan toteutuksesta ja valvonnasta vastaavan viranomaisen määräyksiä ja ohjeita. Erityistä huomiota on kiinnitettävä käyttörajoitusten sekä salassapitovelvoitteen toteuttamiseen.

Kun henkilötietoja käsitellään tämän lain mukaista lupaharkintaa tai tietojen luovuttamista varten, lokitiedot on kerättävä seuraavasti:

1) Sosiaali- ja terveysalan käyttölupaviranomaisen ja 6 §:ssä tarkoitetun organisaation on tallennettava käyttölokitietoihin tiedot siitä organisaatiosta, jonka tietoja käytetään, tietojen käyttäjästä, käsitellyistä tiedoista ja tietoryhmistä, tietojen käyttötarkoituksesta, käyttölupahakemuksen tai tietopyynnön tunnisteesta sekä käyttöajankohdasta;

2) käyttölupaviranomaisen, yksityisen sosiaali- ja terveydenhuollon palvelunantajan ja 6 §:ssä tarkoitetun organisaation on tallennettava luovutuslokitietoihin tiedot luovuttaneesta organisaatiosta, tietojen luovuttajasta, tietojen 2 §:n mukaisesta luovutustarkoituksesta, käyttölupahakemuksen tai tietopyynnön tunnisteesta, luovutuksensaajasta ja luovutusajankohdasta.

Henkilötietoja tämän lain mukaisen käyttöluvan perusteella käsittelevän on tallennettava käyttölokitietoihin tieto käyttöluvan saaneesta rekisterinpitäjästä, 2 §:n mukaisesta käyttötarkoituksesta, käsittelyyn oikeuttavasta käyttöluvasta, tietojen käsittelyyn käyttöluvan mukaan oikeutetusta käyttäjästä, käsitellyistä tiedoista ja tietoryhmistä sekä käyttöajankohdasta.

Henkilötietoja tietojohtamiseen käsittelevän palvelunantajan on tallennettava käyttölokitietoihin tieto käytetyistä henkilötiedoista, tietojen käyttäjästä, tietojen käyttötarkoituksesta ja käyttöajankohdasta.

Lokitiedot on hävitettävä tai arkistoitava, kun ne eivät enää ole tarpeen käytön ja luovutuksen lainmukaisuuden seuraamiseksi ja mahdollisten väärinkäytöksistä aiheutuvien seuraamusten määräämiseksi.

Käyttölupaviranomainen voi antaa tarkempia määräyksiä lokirekistereihin tallennettavista tiedoista ja tietosisällöistä.

Sosiaali- ja terveysalan käyttölupaviranomainen ylläpitää yksin tai yhdessä muiden viranomaisten kanssa tietoturvallista käyttöympäristöä, jossa voidaan varmistaa käyttölupaviranomaisen tai muun tässä laissa tarkoitetun viranomaisen tämän lain nojalla luovuttamien tietojen tietoturvallinen, luvan mukainen käsittely.

Käsittelyn on oltava mahdollista teknisesti erilaisin tavoin ja käyttöympäristöön on oltava pääsy eri paikoista. Käyttölupaviranomaisen on arvioitava luovutettavien tietojen arkaluontoisuuden tasoa ja huomioitava tämä käyttölupapäätöksessä tietoturvallisen käyttöympäristön käytölle asetettavissa vaatimuksissa.

Jos käyttölupahakemuksessa pyydetään luovuttamaan muita kuin anonymisoituja tietoja käsiteltäviksi muussa kuin 1 momentissa tarkoitetussa käyttöympäristössä, hakemuksessa on erikseen perusteltava syyt, joiden vuoksi tämä on välttämätöntä. Käyttölupaviranomainen tai muu tässä laissa tarkoitettu viranomainen saa tällöin luovuttaa tiedot hakijalle vain, jos käyttöympäristö täyttää 20 §:n 2 momentissa ja 21—29 §:ssä säädetyt edellytykset.

Tietoturvallisen käyttöympäristön käyttäjät on tunnistettava luotettavasti sekä todennettava.

Sosiaali- ja terveysministeriön asetuksella voidaan antaa tarkempia säännöksiä tunnistamisen ja todentamisen teknisestä toteuttamisesta.

Palveluntarjoajan on määriteltävä luvansaajan ja muun henkilötietoja käyttöympäristössä käsittelevän henkilön käyttöoikeus henkilötietoihin. Luvansaajalle annetaan käyttöoikeus käyttöluvan mukaisiin henkilötietoihin. Muille henkilötietoja käyttöympäristössä käsitteleville annetaan käyttöoikeudet heidän työtehtävissään tarvitsemiinsa välttämättömiin henkilötietoihin.

Palveluntarjoajan on pidettävä rekisteriä tietoturvallisen käyttöympäristön käyttäjistä sekä näiden käyttöoikeuksista. Käyttöympäristön käyttäjien käyttöoikeustiedot tulee hävittää, kun ne eivät enää ole tarpeen ympäristön käytön ja luovutuksen lainmukaisuuden seuraamiseksi.

Sosiaali- ja terveysalan käyttölupaviranomainen antaa määräykset niistä perusteista, joiden mukaisesti palveluntarjoajan on määriteltävä luvansaajan käyttöoikeudet asiakastietoihin.

Tietoturvallinen käyttöympäristö on suojattava valtion viranomaisten tietoturvallisuutta koskevien velvoitteiden mukaisesti noudattaen, mitä julkisuuslain 36 §:ssä ja mainitun pykälän 1 momentin nojalla annetussa valtioneuvoston asetuksessa säädetään.

Käyttöympäristön on mahdollistettava lokitietojen kerääminen luovutettujen tietojen käytöstä seurantaa ja valvontaa varten 19 §:n mukaisesti.

Tietoturvallisen käyttöympäristön on täytettävä tietoturvaa ja tiedonsiirron yhteentoimivuutta koskevat vaatimukset, jotka perustuvat viranomaisten antamiin määräyksiin, suosituksiin ja näiden osoittamiin, tietoturvalliseen käyttöympäristöön soveltuviin standardeihin.

Sosiaali- ja terveysalan käyttölupaviranomainen antaa tarkemmat määräykset muiden palveluntarjoajien tietoturvallisille käyttöympäristöille asetettavista vaatimuksista. Vaatimuksissa on edellytettävä vastaavaa tietoturvan ja perustoiminnallisuuden tasoa kuin käyttölupaviranomaisen omassa käyttöympäristössä vaaditaan.

Käyttöympäristön tietoturvallisuus on osoitettava 26 §:n mukaisella tietoturvallisuuden arviointilaitoksen antamalla todistuksella.

Sosiaali- ja terveysalan käyttölupaviranomainen voi antaa tarkempia määräyksiä tietoturvallisuuden osoittamisessa noudatettavista menettelyistä.

Tietoturvallisuuden arviointilaitos arvioi tämän lain ja tietoturvallisuuden arviointilaitoksista annetun lain mukaisesti palveluntarjoajan hakemuksesta, täyttääkö käyttöympäristö tietoturvallisuutta koskevat vaatimukset. Arviointiperusteina on käytettävä Sosiaali- ja terveysalan käyttölupaviranomaisen määräyksiä turvalliselle käyttöympäristölle asetettavista vaatimuksista.

Jos käyttöympäristö täyttää tämän lain mukaiset tietoturvallisuusvaatimukset, tietoturvallisuuden arviointilaitoksen on annettava suorittamastaan arvioinnista palveluntarjoajalle todistus sekä siihen liittyvä tarkastusraportti. Jos arviointi tai uudelleenarviointi koskee vain käyttöympäristön osaa, arviointilaitoksen antamaan todistukseen on selkeästi merkittävä, mikä osa käyttöympäristöstä on arvioitu.

Arviointilaitoksen myöntämä todistus on voimassa enintään viisi vuotta. Tietoturvallisuuden arviointilaitos voi vaatia palveluntarjoajalta kaikki arvioinnin sekä todistuksen laatimisen ja ylläpitämisen edellytyksenä olevat tiedot. Todistuksen antamiseen sovelletaan muutoin tietoturvallisuuden arviointilaitoksista annetun lain 9 §:n 3 momenttia.

Jos tietoturvallisuuden arviointilaitos toteaa, että käyttöympäristö ei ole täyttänyt tai ei enää täytä tässä laissa säädettyjä vaatimuksia tai että todistusta ei muutoin olisi tullut myöntää, laitoksen on kehotettava palveluntarjoajaa korjaamaan puutteet. Arviointilaitos voi peruuttaa todistuksen määräajaksi tai kokonaan taikka myöntää sen rajoitettuna, jollei palveluntarjoaja korjaa puutteellisuuksia arviointilaitoksen asettamassa määräajassa. Määräajan pituutta määritettäessä on otettava huomioon käyttöympäristön korjaamiseksi tarvittava kohtuullinen aika.

Tietoturvallisuuden arviointilaitoksen on ilmoitettava Sosiaali- ja terveysalan lupa- ja valvontavirastolle tiedot kaikista myönnetyistä, muutetuista, täydennetyistä, määräajaksi tai kokonaan peruutetuista tai evätyistä todistuksista sekä 27 §:n mukaisista kehotuksista ja rajoituksista. Lisäksi tietotuvallisuuden arviointilaitoksen on pyydettäessä annettava Sosiaali- ja terveysalan lupa- ja valvontavirastolle kaikki tarvittavat lisätiedot.

Palveluntarjoajan on seurattava ja arvioitava ajantasaisella järjestelmällisellä menettelyllä tietoturvallisesta käyttöympäristöstä sen tuotantokäytön aikana saatavia kokemuksia. Palveluntarjoajan on seurattava tämän lain muutoksia ja tehtävä käyttöympäristöön muutosten edellytyksenä olevat korjaukset. Käyttöympäristön olennaisista muutoksista on ilmoitettava tietoturvallisuuden arviointilaitokselle. Arviointilaitoksen myöntämä todistus on uudistettava, jos käyttöympäristöön tehdään merkittäviä muutoksia tai jos käyttöympäristöä koskevia vähimmäisvaatimuksia on muutettu tavalla, jonka edellytyksenä on uusi arviointi.

Palveluntarjoajan on säilytettävä vaatimustenmukaisuutta koskevat ja muut valvonnan edellytyksenä olevat tiedot vähintään viisi vuotta tietoturvallisen käyttöympäristön tuotantokäytön päättymisestä.

Sosiaali- ja terveysalan lupa- ja valvontaviraston tehtävänä on valvoa ja edistää sitä, että tietoturvalliset käyttöympäristöt täyttävät tietosuojaa ja tietoturvaa koskevat vaatimukset. Sosiaali- ja terveysalan lupa- ja valvontavirasto ylläpitää julkista rekisteriä sille ilmoitetuista, vaatimukset täyttävistä käyttöympäristöistä.

Sosiaali- ja terveysalan lupa- ja valvontavirastolla on oikeus tehdä valvonnan edellytyksenä olevia tarkastuksia. Tarkastuksen suorittamiseksi tarkastajalla on oikeus päästä kaikkiin tiloihin, joissa harjoitetaan tässä laissa tarkoitettua toimintaa tai säilytetään tämän lain noudattamisen valvonnan kannalta merkityksellisiä tietoja. Tarkastusta ei kuitenkaan saa tehdä pysyväisluonteiseen asumiseen käytettävissä tiloissa.

Tarkastuksessa on esitettävä kaikki tarkastajan pyytämät asiakirjat, jotka ovat tarpeellisia tarkastuksen toimittamiseksi. Lisäksi tarkastajalle on annettava maksutta hänen pyytämänsä jäljennökset tarkastuksen toimittamiseksi tarpeellisista asiakirjoista.

Sosiaali- ja terveysalan lupa- ja valvontaviraston on säilytettävä tarkastuksesta laadittava tarkastuskertomus kymmenen vuoden ajan tarkastuksen suorittamisesta.

Sosiaali- ja terveysalan lupa- ja valvontavirastolla on oikeus käyttää ulkopuolisia asiantuntijoita arvioimaan tietoturvallisen käyttöympäristön vaatimustenmukaisuutta. Ulkopuoliset asiantuntijat voivat osallistua tämän lain mukaisiin tarkastuksiin sekä tutkia ja testata käyttöympäristöjä. Ulkopuolisella asiantuntijalla tulee olla tehtävien edellytyksenä oleva asiantuntemus ja pätevyys.

Ulkopuoliseen asiantuntijaan sovelletaan virkamiehen esteellisyyttä koskevia hallintolain (434/2003) säännöksiä sekä rikosoikeudellista virkavastuuta hänen suorittaessaan tässä laissa tarkoitettuja tehtäviä.

Sosiaali- ja terveysalan lupa- ja valvontavirastolla on oikeus saada maksutta ja salassapitosäännösten estämättä käyttöympäristöjen valvontaa varten välttämättömät tiedot valtion ja kunnan viranomaisilta sekä luonnollisilta ja oikeushenkilöiltä, joita tämän lain tai sen nojalla annetut säännökset koskevat.

Sosiaali- ja terveysalan lupa- ja valvontavirasto saa 30 §:n nojalla tehdyn tarkastuksen perusteella määrätä palveluntarjoajan korjaamaan tuotantokäytössä olevaa käyttöympäristöä koskevat puutteet.

Jos tietoturvallinen käyttöympäristö voi vaarantaa tietosuojan tai toteuttaa puutteellisesti tässä laissa sille asetetut vaatimukset, eikä puutteita ole korjattu Sosiaali- ja terveysalan lupa- ja valvontaviraston asettamassa määräajassa, lupa- ja valvontavirasto saa kieltää käyttöympäristön käytön, kunnes puutteet on korjattu. Lisäksi Sosiaali- ja terveysalan käyttölupaviranomainen tai muu 6 §:ssä tarkoitettu viranomainen voi sulkea yhteyden ylläpitämiinsä tietojärjestelmiin, jos niitä käyttävä vaarantaa tai niihin liitetty ulkopuolinen järjestelmä voi vaarantaa niiden asianmukaisen toiminnan.

Sosiaali- ja terveysalan lupa- ja valvontavirasto voi velvoittaa palveluntarjoajan tai valtuutetun edustajan tiedottamaan käyttöympäristön tuotantokäyttöä koskevasta päätöksestä lupa- ja valvontaviraston asettamassa määräajassa ja määräämällä tavalla.

Sosiaali- ja terveysalan lupa- ja valvontavirasto voi asettaa 1 momentin nojalla tekemänsä päätöksen tehosteeksi uhkasakon tai uhan, että toiminta keskeytetään osaksi tai kokonaan taikka että tekemättä jätetty toimenpide teetetään asianomaisen kustannuksella. Lupa- ja valvontaviraston on ilmoitettava päätöksestään Sosiaali- ja terveysalan käyttölupaviranomaiselle.

Jos palveluntarjoaja, 6 §:ssä tarkoitettu viranomainen tai henkilötietoja muutoin tämän lain mukaisesti käsittelevä on laiminlyönyt tässä laissa säädetyn tietojärjestelmiin tai niiden käyttöön liittyvän velvollisuutensa, Sosiaali- ja terveysalan lupa- ja valvontavirasto voi määrätä velvollisuuden täytettäväksi määräajassa.

Edellä 6 §:ssä tarkoitettujen rekisterinpitäjien rekisteritietoja ja yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoja saa käsitellä rekisterinpitäjän tai Sosiaali- ja terveysalan käyttölupaviranomaisen myöntämällä määräaikaisella käyttöluvalla, suoraan lain säännösten perusteella taikka käyttölupaviranomaisen tietopyynnön nojalla yhdistelemänä ja anonymisoimana siten kuin jäljempänä säädetään.

Sosiaali- ja terveysalan käyttölupaviranomaisella on salassapitovelvoitteista ja muista tietojen käyttöä koskevista rajoituksista riippumatta oikeus saada 6 §:ssä tarkoitetuilta rekisterinpitäjiltä, yksityisiltä sosiaali- ja terveydenhuollon palvelunantajilta sekä Kanta-palveluihin sisältyvistä, asiakastietolaissa tarkoitetuista tiedoista Kansaneläkelaitokselta:

1) käyttöluvan myöntämiseksi tarvittavat tiedot;

2) myöntämässään käyttöluvassa tarkoitetut tiedot niiden kokoamiseksi, yhdistelemiseksi ja luovuttamiseksi luvansaajan käsiteltäväksi 14 §:n mukaisesti;

3) tiedot sen arvioimiseksi, onko 45 §:ssä tarkoitetut tiedot mahdollista anonymisoida;

4) anonyymien tietoaineistojen tuottamista varten tarvittavat tiedot; sekä

5) 14 §:n 3 momentissa tarkoitettujen valmisaineistojen koostamiseksi tarvittavat tiedot.

Edellä 1 momentissa tarkoitetut tiedot voidaan luovuttaa käyttölupaviranomaisen käyttöön 17 §:ssä tarkoitetun tietoturvallisen käyttöpalvelun välityksellä.

Käyttölupaviranomainen voi salassapitovelvoitteista ja muista tietojen käyttöä koskevista rajoituksista riippumatta poimia käyttöluvan mukaiset tiedot 17 §:ssä tarkoitetun tietoturvallisen käyttöpalvelun välityksellä sellaisista 1 momentissa tarkoitettujen rekisterinpitäjien tiedoista ja tietovarannoista, joista se on rekistereiden ja tietovarantojen sisältö ja tekninen toteutus huomioon ottaen mahdollista ja tarkoituksenmukaista.

Käyttölupaviranomainen on tässä pykälässä tarkoitetuin tavoin saamiensa tietojen rekisterinpitäjä.

Tieteelliseen tutkimukseen ja tilastointiin saa salassapitovelvoitteiden estämättä antaa yksittäistapauksessa käyttöluvan asiakastietoihin sekä muihin 6 §:ssä tarkoitettujen organisaatioiden henkilötietoihin.

Käyttölupaa harkittaessa on huolehdittava siitä, että tieteellisen tutkimuksen vapaus turvataan.

Tietojen käsittelystä tieteellistä tutkimusta ja tilastointia varten säädetään lisäksi henkilötietolaissa (523/1999).

Salassapitovelvoitteiden estämättä Sosiaali- ja terveysalan käyttölupaviranomainen saa antaa yksittäistapauksessa käyttöluvan asiakastietoihin sekä muihin 6 §:ssä tarkoitettujen organisaatioiden henkilötietoihin, jos kehittämis- ja innovaatiotoimintaa toteutetaan muutoin kuin 37 §:ssä tarkoitetun tieteellisen tutkimuksen menetelmin, ja rekisteröity on antanut suostumuksensa tietojen käsittelyyn tässä tarkoituksessa. Luvan saa antaa rekisteröidyn suostumuksessa annettujen ehtojen mukaisesti.

Edellytyksenä on lisäksi, että:

1) toiminnasta vastaa nimetty vastuuhenkilö tai ryhmä; ja

2) tietoja käytetään vain tiedonhyödyntämissuunnitelman mukaisesti sekä toimitaan niin, että tiettyä henkilöä koskevat tiedot eivät paljastu ulkopuolisille.

Jos tietoja pyydetään anonymisoituina, tiedot voidaan luovuttaa ilman rekisteröidyn suostumusta 45 §:n mukaisesti.

Sosiaali- tai terveydenhuollon palvelunantajan asiakastietoja saa käsitellä salassapitovelvoitteiden estämättä sekä tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan nojalla opetusaineistojen valmistamiseksi sosiaali- ja terveydenhuollon asiakastietoja käsittelevän henkilöstön ja sosiaali- ja terveydenhuollon ammattihenkilöiksi opiskelevien opetukseen, jos se on välttämätöntä opetuksen tarkoituksen toteuttamiseksi. Edellytyksenä on lisäksi, että käsittelylle on myönnetty tässä laissa tarkoitettu käyttölupa.

Tunnisteellisina tietoja saa käyttää opetustilanteissa kuitenkin vain, jos opetusta ei voida toteuttaa anonyyminä käsiteltävän tapauksen harvinaislaatuisuuden, opetuksen luonteen tai muun vastaavan syyn vuoksi. Opetusta antavan henkilön on informoitava opetusta seuraavia laissa säädetystä salassapitovelvollisuudesta ja sen rikkomisesta seuraavista sanktioista.

Rekisteröidyllä ei ole tietosuoja-asetuksen 21 artiklan mukaista oikeutta vastustaa henkilötietojensa käsittelyä opetustarkoituksessa, jos tietojen käsittely on välttämätöntä tapauksen harvinaislaatuisuuden vuoksi.

Luvansaajan on hävitettävä opetustarkoitusta varten koottu erillinen aineisto, kun sitä ei enää tarvita kyseistä tarkoitusta varten.

Viranomaisen suunnittelu- ja selvitystehtävää varten välttämättömiä asiakastietoja sekä muita 6 §:ssä tarkoitettujen organisaatioiden henkilötietoja saa käsitellä tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan nojalla seuraavin edellytyksin:

1) käsittelylle on myönnetty tässä laissa tarkoitettu käyttölupa;

2) käsittely perustuu asianmukaiseen tiedonhyödyntämissuunnitelmaan;

3) suunnittelu- ja selvitystehtävää tai sen tarkoituksena olevaa tiedontarvetta ei voida toteuttaa ilman henkilötietojen käsittelyä.

Sosiaali- tai terveydenhuollon palvelunantajalla on oikeus salassapitovelvoitteiden estämättä sekä tietosuoja-asetuksen 9 artiklan 2 kohdan h alakohdan nojalla käsitellä ja yhdistellä tunnisteellisesti asiakastietoja, jotka ovat syntyneet sen omassa toiminnassa tai ovat sen omiin rekistereihin tallennettuja, jos se on välttämätöntä palvelunantajan vastuulla toteutettavan palvelutoiminnan tuottamista, seurantaa, arviointia, suunnittelua, kehittämistä, johtamista ja valvontaa varten.

Jos palvelunantajalle on tarpeen vastuullaan toteutettavan palvelutoiminnan taikka palveluketjujen arviointia, suunnittelua tai kehittämistä varten verrata omaa toimintaansa muiden palvelunantajien toimintaan, Sosiaali- ja terveysalan käyttölupaviranomainen voi 45 §:ssä säädetyin edellytyksin tuottaa tarvittavan vertailuaineiston anonymisoituina.

Sosiaali- ja terveysalan valvontaviranomainen voi saada laissa säädetyn ohjaus- ja valvontatehtävänsä toteuttamiseksi Sosiaali- ja terveysalan käyttölupaviranomaiselta asiakastietoihin ja tarvittaessa muihin tunnisteellisiin 6 §:ssä tarkoitettujen rekisterinpitäjien rekisteritietoihin perustuvat yhdistellyt tiedot anonymisoituna.

Sellaiset 1 momentissa tarkoitetut tiedot, jotka sanotussa momentissa tarkoitetulla valvontaviranomaisella on muun lain mukaan oikeus saada salassapitovelvoitteista riippumatta, voidaan perustellusta pyynnöstä luovuttaa myös tunnisteellisina.

Edellä 2 momentissa tarkoitetut tiedot voidaan luovuttaa valvontaviranomaiselle 17 §:ssä tarkoitetun tietoturvallisen käyttöpalvelun välityksellä.

Käyttölupa henkilötietoihin voidaan myöntää, jos hakemuksesta ja tiedonhyödyntämissuunnitelmasta ilmenevä tiedon käyttötarkoitus on:

1) tietosuoja-asetuksen, henkilötietolain sekä tämän ja muun tietoja koskevan lain mukainen; ja

2) tarkoituksenmukaisimmin toteutettavissa hakemuksessa tarkoitettuja tietoja käyttäen.

Jos käyttölupahakemus liittyy sellaiseen käyttötarkoitukseen, jota koskevasta lupamenettelystä ja luvan myöntämisen perusteista säädetään erikseen, sanotun luvan kaikkien edellytysten on täytyttävä.

Jos luovutettavat tiedot on koottu rekisteröidyn suostumuksella, käyttölupa heitä koskeviin rekisteritietoihin voidaan myöntää vain, jos se on suostumuksen ja tiedon käytölle ja luovutukselle annettujen ehtojen mukaista. Jos käyttölupahakemusta koskevat tiedot liittyvät käyttötarkoitukseen, joka perustuu rekisteröidyn suostumukseen, käyttölupa voidaan myöntää vain sellaisiin tietoihin, jotka rekisteröidyn suostumus kattaa.

Käyttölupa voidaan antaa määräajaksi, jos on ilmeistä, ettei tiedon antaminen loukkaa niitä etuja, joiden suojaksi salassapitovelvollisuus on säädetty. Lupaan on liitettävä tietojen käsittelyn suojaustoimenpiteitä koskevat riskien mukaiset vaatimukset ja muut yksityisen edun suojaamiseksi tarpeelliset määräykset. Lupa voidaan peruuttaa, jos siihen harkitaan olevan syytä.

Jos Sosiaali- ja terveysalan käyttölupaviranomainen toteaa käyttölupahakemuksen perusteella, että luvan sijaan asia voidaan käsitellä 45 §:n mukaisena tietopyyntönä, käyttölupaviranomaisen on otettava yhteys luvanhakijaan ja esitettävä, että asia käsitellään tietopyyntönä. Jos luvanhakija vaatii käyttölupapäätöksen käsittelyä, käyttölupaviranomaisen on tehtävä asiaa koskeva päätös.

Sosiaali- ja terveysalan käyttölupaviranomainen vastaa käyttölupapäätöksestä, jos käyttölupahakemus koskee usean 6 §:ssä tarkoitetun rekisterinpitäjän henkilörekistereitä taikka Kanta-palveluihin tallennettuja tietoja. Käyttölupaviranomainen vastaa lisäksi aina käyttölupapäätöksestä, jos tietoja luovutetaan 38 §:ssä tarkoitettuun kehittämis- ja innovaatiotoimintaan. Käyttölupaviranomainen vastaa kuitenkin Eläketurvakeskuksen, Väestörekisterikeskuksen ja Tilastokeskuksen tietoihin kohdistuvasta käyttölupapäätöksestä vain, jos kyseisiä tietoja yhdistetään 6 §:n 1—8 kohdassa tarkoitettujen organisaatioiden tietoihin.

Lisäksi käyttölupaviranomainen vastaa käyttölupapäätöksestä, jos lupahakemus koskee yhden tai usean yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoja.

Jos käyttölupahakemus koskee vain yhden 6 §:ssä tarkoitetun organisaation henkilörekistereissä olevia tietoja, organisaatio vastaa itse käyttölupapäätöksestä. Käyttölupaviranomainen voi kuitenkin sopia muiden 6 §:ssä tarkoitettujen organisaatioiden kanssa, että se vastaa käyttölupapäätöksistä sopimuksen tehneen organisaation puolesta.

Käyttölupapäätöksestä vastaavalla viranomaisella on oikeus pyytää tietosuojavaltuutetulta lausunto käyttölupahakemuksesta, jos se arvioi sen tarpeelliseksi.

Jos hakija pyytää asiakastietoja tai 6 §:ssä tarkoitettuja muita henkilötietoja 2 §:n mukaiseen käyttötarkoitukseen vain anonymisoituna, Sosiaali- ja terveysalan käyttölupaviranomainen arvioi tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan ja 86 artiklan nojalla, onko pyydetyt tiedot mahdollista anonymisoida.

Anonymisoitujen tietojen luovuttamiseen sovelletaan lisäksi 41 ja 42 §:ää.

Käyttölupahakemus ja tietopyyntö on toimitettava Sosiaali- ja terveysalan käyttölupaviranomaiselle 16 §:ssä tarkoitetun tietopyyntöjen hallintajärjestelmän välityksellä. Jos hakija täydentää hakemustaan, myös täydennys on toimitettava käyttölupaviranomaiselle tietopyyntöjen hallintajärjestelmän välityksellä. Lupahakemukseen ja anonymisoituja tietoja koskevaan pyyntöön on liitettävä tiedonhyödyntämissuunnitelma.

Käyttölupaviranomainen antaa määräykset käyttölupahakemuksen ja tiedonhyödyntämissuunnitelman tietosisällöistä ja tietorakenteista.

Päätös käyttölupahakemukseen on annettava viipymättä, kuitenkin viimeistään 3 kuukauden kuluessa siitä, kun lupahakemus on saapunut täydellisenä viranomaiselle.

Sosiaali- ja terveysalan käyttölupaviranomainen voi painavasta syystä päättää, että käyttölupahakemuksen käsittelyaikaa jatketaan enintään 3 kuukautta, jos käyttölupahakemuksen ja siihen liittyvän tiedonhyödyntämissuunnitelman käsittelyn edellytyksenä on poikkeuksellisen laaja ja usean eri rekisterinpitäjän tietojen käsittely taikka erityisen vaativa harkinta. Käyttölupaviranomaisen on annettava luvan hakijalle tieto määräajan pidentämisestä ja sen perusteesta sekä uudesta määräajasta, jonka kuluessa lupapäätös annetaan.

Jos käyttölupapäätöksestä vastaava viranomainen pyytää 44 §:n 4 momentissa tarkoitettua lausuntoa tietosuojavaltuutetulta, käyttölupapäätöksestä vastaavan viranomaisen määräaika hakemuksen käsittelylle keskeytyy kunnes lausunto on saapunut.

Edellä 6 §:ssä tarkoitetun rekisterinpitäjän sekä yksityisen sosiaali- tai terveydenhuollon palvelunantajan on luovutettava käyttölupaviranomaiselle käyttölupahakemuksen tai 45 §:ssä tarkoitetun anonymisoituja tietoja koskevan pyynnön käsittelyssä tarvittavat tiedot käyttölupaviranomaisen pyynnöstä viivytyksettä, kuitenkin viimeistään 15 arkipäivässä pyynnön saapumisesta.

Edellä 6 §:ssä tarkoitetun rekisterinpitäjän sekä yksityisen sosiaali- tai terveydenhuollon palvelunantajan on luovutettava myönnetyn käyttöluvan mukaiset rekisteritiedot tai 45 §:ssä tarkoitetun anonymisoituja tietoja koskevan pyynnön käsittelyssä tarvittava tiedot käyttölupaviranomaisen pyynnöstä viivytyksettä, kuitenkin viimeistään 30 päivässä siitä, kun käyttölupaviranomainen on tehnyt päätöksen siitä, että tiedot saa luovuttaa hakijalle. Jos hakijan tietojen luovuttamisen tueksi esittämä selvitys on riittämätön, käyttölupaviranomaisen on ilmoitettava viipymättä hakijalle, mitä lisäselvitystä edellytetään. Pyydetyt tiedot on tällöin toimitettava hakijalle 30 päivän kuluessa lisäselvityksen vastaanottamisesta, jos luovutuksen edellytyksistä voidaan varmistua toimitetun lisäselvityksen perusteella.

Jos tietojen luovuttaminen käyttölupaviranomaiselle ei ole mahdollista 1 momentissa tarkoitetussa määräajassa, rekisterinpitäjän on ilmoitettava viivästyksestä, sen syystä ja tietojen luovutukseen tarvittavasta määräajan pidennyksestä ennen määräajan päättymistä. Käyttölupaviranomaisen on asetettava perustellusta syystä luovutukselle uusi määräaika.

Käyttölupaviranomaisen on luovutettava luvansaajalle käyttöluvan perusteella kokoamansa ja yhdistelemänsä tiedot viipymättä, kuitenkin viimeistään 60 päivän kuluessa luvan myöntämisestä.

Käyttölupaviranomainen voi painavasta syystä pidentää luovutuksen määräaikaa, jos tietojen käyttötarkoituksen edellytyksenä on poikkeuksellisen laaja ja usean eri rekisterinpitäjän tietojen käsittely tai erityisen vaativa yhdistelytyö. Käyttölupaviranomaisen on annettava luvan saajalle tieto määräajan pidentämisestä ja sen perusteesta sekä uudesta määräajasta, jonka kuluessa tiedot luovutetaan.

Sosiaali- ja terveysalan käyttölupaviranomainen tai muu luvan myöntänyt viranomainen saa periä maksun käyttöluvasta. Maksun määräytymisen perusteista säädetään valtion maksuperustelaissa.

Sosiaali- ja terveysalan käyttölupaviranomainen saa periä korvauksen tässä laissa tarkoitetun käyttöluvan mukaisten tietojen poimimisesta, toimittamisesta ja yhdistelystä sekä tietoturvallisen käyttöympäristön käytöstä.

Korvaukset, jotka koskevan käyttölupaan perustuvien tietojen poimintaa ja toimittamista muista kuin käyttölupaviranomaisen omista tietovarannoista, määräytyvät kutakin tiedot toimittanutta rekisterinpitäjää koskevien säännösten mukaisesti. Rekisterinpitäjällä tai henkilötietojen käsittelijällä, joka luovuttaa käyttölupaviranomaiselle tietoja tässä laissa tarkoitetun käyttöluvan perusteella, on oikeus saada käyttölupaviranomaiselta korvauksena näin määräytyvä osuutensa luvansaajan maksettavaksi määrätyistä kustannusten korvauksista.

Korvaukseen tämän pykälän mukaisesti oikeutetun on toimitettava käyttölupaviranomaiselle pyynnöstä arvio kustannuksista, joita tietojen käsittelystä korvaukseen oikeutetulle aiheutuu. Käyttölupaviranomainen laatii saamiensa tietojen pohjalta kustannusarvion tietopyynnön toteuttamisesta ja toimittaa sen luvanhakijalle. Käyttölupaviranomainen perii luvansaajalta 2 momentissa tarkoitetut korvaukset ja tulouttaa ne tiedot toimittaneille rekisterinpitäjille.

Käyttölupaviranomainen voi periä korvauksen tietojen poiminnasta omista tietovarannoistaan, tietojen yhdistelystä ja toimittamisesta sekä tietoturvallisen käyttöympäristön käytöstä.

Sosiaali- ja terveysalan lupa- ja valvontavirastolle 30 §:n 1 momentin mukaan tehtävän ilmoituksen rekisteröinti ja merkintä julkiseen rekisteriin on maksullinen.

Korvausten määräytymisen perusteista säädetään valtion maksuperustelaissa. Tietoturvallisuuden arviointilaitoksen suorittamasta arvioinnista perittävistä maksuista säädetään tietoturvallisuuden arviointilaitoksista annetun lain 11 §:ssä.

Jos Sosiaali- ja terveysalan käyttölupaviranomainen on 44 §:ssä edellytetyissä tilanteissa myöntänyt käyttöluvan, se hankkii ja tarvittaessa yhdistelee käyttöluvassa yksilöidyt tiedot sekä luovuttaa tietoaineiston luvansaajan käsiteltäväksi:

1) 17 §:ssä tarkoitetun tietoturvallisen käyttöpalvelun välityksellä 20 §:n 1 momentissa tarkoitetussa tietoturvallisessa käyttöympäristössä käsiteltäväksi, jos luovutettavat tiedot ovat tunnisteellisia tai pseudonymisoituja;

2) pseudonymisoituna tai henkilötunnuksin varustettuna 17 §:ssä tarkoitetun tietoturvallisen käyttöpalvelun välityksellä 20 §:n 3 momentissa tarkoitetussa käyttöympäristössä käsiteltäväksi, jos se on tiedonhyödyntämissuunnitelmasta ja käyttöluvasta erikseen ilmenevästä syystä välttämätöntä.

Jos käyttötarkoituksen edellytyksenä on Tilastokeskuksen tai Terveyden ja hyvinvoinnin laitoksen tilastoviranomaisena tilastotarkoitusta varten kokoamien tietojen käsittely, tilastoviranomainen yhdistelee sekä tarvittaessa pseudonymisoi tai anonymisoi luovutettavat tiedot. Jos käyttötarkoituksen edellytyksenä on molempien tilastoviranomaisten tietojen yhdistely ja pseudonymisointi tai anonymisointi, viranomaiset sopivat keskenään kumpi yhdistelee ja pseudonymisoi tai anonymisoi tiedot. Tiedot voidaan tämän jälkeen luovuttaa tietopyyntöjen hallintajärjestelmän välityksellä saajalle taikka saajan käsiteltäväksi tietojen luonteesta ja määrästä riippuen Tilastokeskuksen tai Sosiaali- ja terveysalan käyttölupaviranomaisen ylläpitämässä tietoturvallisessa käyttöympäristössä taikka muussa 20 §:n mukaisessa käyttöympäristössä.

Käyttöympäristön palveluntarjoajan on varmistettava ennen yhteyden avaamista luvansaajalle, että luvansaaja täyttää käyttöluvassa asetetut vaatimukset.

Käyttölupakäsittelystä vastaavien viranomaisten on toimitettava vähintään kerran vuodessa tämän lain nojalla suorittamastaan tietojen käsittelystä ja lokirekisteriin tallennettujen tietojen käsittelystä yksityiskohtainen selvitys tietosuojavaltuutetulle.

Myös muihin tämän lain nojalla saatuihin tietoihin kuin viranomaisen tietoihin sovelletaan julkisuuslain:

1) 22 §:ää asiakirjasalaisuudesta;

2) 23 §:ää vaitiolovelvollisuudesta ja hyväksikäyttökiellosta;

3) 24 §:ssä salassa pidettävistä tiedoista;

4) 31 §:ää asiakirjan salassapidon lakkaamisesta;

5) 32 §:ää vaitiolovelvollisuudesta poikkeamisesta ja sen lakkaamisesta.

Jos tämän lain nojalla luovutetaan salassa pidettäviä tietoja muulle kuin viranomaiselle, niiden saajaa on luovutuksen yhteydessä informoitava salassapitovelvoitteista noudattaen julkisuuslain 25 §:ää.

Sen estämättä, mitä muualla laissa säädetään oikeudesta tai velvollisuudesta luovuttaa salassa pidettäviä tietoja, tämän lain nojalla kerättyjä tietoja ei saa luovuttaa käytettäväksi yksityishenkilöä koskevassa hallinnollisessa päätöksenteossa eikä muussa vastaavassa asioiden käsittelyssä ilman hänen nimenomaista suostumustaan. Sosiaali- ja terveysalan valvontaviranomainen voi kuitenkin käyttää 42 §:n nojalla saamiaan tietoja muuta henkilöä kuin rekisteröityä koskevassa valvontatehtävässä, kun arvioidaan sosiaali- ja terveydenhuollon toimintayksiköiden tai ammattihenkilöiden toiminnan lainmukaisuutta taikka ammatillista asianmukaisuutta.

Sen estämättä, mitä 53 §:n 3 momentissa säädetään, käyttöluvansaajalla on oikeus ilmoittaa Sosiaali- ja terveysalan käyttölupaviranomaisen nimeämälle vastuuhenkilölle kliinisesti merkittävästä löydöksestä, jonka perusteella olisi mahdollista ehkäistä tietyn potilaan terveyteen liittyvää riskiä tai parantaa merkittävästi hoidon laatua.

Jos 1 momentissa tarkoitetun ilmoituksen perusteena olevat tiedot ovat pseudonymisoituja, sanotun vastuuhenkilön on selvitettävä, ketä tai keitä tieto koskee. Kun käyttölupaviranomaisen vastuuhenkilöllä on tiedossaan henkilö tai henkilöt, joita 1 momentissa tarkoitettu ilmoitus koskee, vastuuhenkilön on toimitettava ilman aiheetonta viivytystä tiedot Terveyden ja hyvinvoinnin laitoksen nimeämälle asiantuntijalle.

Edellä 2 momentissa tarkoitetun asiantuntijan on yhteistyössä laitoksen nimeämien muiden asiantuntijoiden kanssa arvioitava tiedon merkittävyys ja sen pohjalta toteutettavissa olevien toimenpiteiden odotettavissa oleva hyöty. Jos hyöty arvioidaan niin ilmeiseksi, että tutkittava olisi tärkeää saada hoidon piiriin, Terveyden ja hyvinvoinnin laitoksen 2 momentissa tarkoitetun asiantuntijan on ilmoitettava löydöksestä kunkin henkilön terveydenhuollosta alueellisesti terveydenhuoltolain (1326/2010) nojalla vastuussa olevalle toimintayksikölle.

Edellä 3 momentissa tarkoitetun toimintayksikön on otettava yhteys potilaaseen ja selvitettävä, haluaako tämä tiedon kliinisesti merkittävästä löydöksestä ja sen perusteella mahdollisesti tehtävistä tutkimus- ja hoitotoimenpiteistä sekä niistä odotettavissa olevasta hyödystä.

Potilaalla on oikeus kieltää kliinisesti merkittävän löydöksen perusteella tehtävät yhteydenotot. Kielto kirjataan asiakastietolain 14 a §:ssä tarkoitettuun potilaan tiedonhallintapalveluun. Potilas voi tehdä kiellon kirjallisesti missä tahansa julkista terveydenhuoltoa tuottavassa toimintayksikössä taikka sähköisesti asiakastietolain 19 §:ssä tarkoitetun kansalaisen käyttöliittymän välityksellä.

Tämän lain mukaisen henkilötietojen käsittelyn ja siihen liittyvän tietohallinnon yleinen suunnittelu, ohjaus ja valvonta kuuluvat sosiaali- ja terveysministeriölle.

Tietosuojavaltuutettu, Sosiaali- ja terveysalan lupa- ja valvontavirasto sekä Sosiaali- ja terveysalan käyttölupaviranomainen ohjaavat ja valvovat toimialueellaan niille säädetyn toimivallan mukaisesti osaltaan tämän lain noudattamista.

Käyttölupaviranomaisen ja muiden tämän lain mukaisesti käyttölupia myöntävien viranomaisten sekä Sosiaali- ja terveysalan lupa- ja valvontaviraston on omalta osaltaan seurattava ja valvottava, että kunkin antamaan palveluun liittyvä tietosuoja ja tietoturva toteutuvat ja että niiden myöntämien lupien ehtoja noudatetaan. Jos joku on lainvastaisesti käsitellyt henkilötietoja, asianomaisen viranomaisen on oma-aloitteisesti ryhdyttävä tarvittaviin toimenpiteisiin. Jos tietoja käsitellään 20 §:n 3 momentin nojalla muussa kuin käyttölupaviranomaisen tietoturvallisessa käyttöympäristössä, 19 §:ssä tarkoitetut lokitiedot sekä 22 §:n 2 momentissa tarkoitetun käyttäjärekisterin tiedot on toimitettava käyttölupaviranomaiselle seurannan ja valvonnan toteuttamiseksi sen pyynnöstä ilman aiheetonta viivytystä.

Jos käyttölupaviranomaisella tai tämän lain mukaisesti käyttölupia myöntävällä viranomaisella on perusteltua syytä epäillä, että sen myöntämän käyttöluvan perusteella tietoja käsittelevä ei käsittele henkilötietoja lain mukaisesti, sen on viipymättä tehtävä ilmoitus tietosuojavaltuutetulle.

Sosiaali- ja terveysalan käyttölupaviranomaisen on raportoitava ohjausryhmälle tapauksista, joissa poiketaan 47 ja 48 §:ssä tarkoitetuista määräajoista, sekä julkaistava tiedot niistä.

Tässä laissa tarkoitettuun käyttölupahakemusta ja luvan peruuttamista koskevaan päätökseen sekä 45 §:n mukaiseen anonymisoitujen tietojen luovuttamista koskevaan päätökseen, jonka antaa Sosiaali- ja terveysalan käyttölupaviranomainen taikka 6 §:ssä tarkoitettu rekisterinpitäjä, sekä Sosiaali- ja terveysalan lupa- ja valvontaviranomaisen tämän lain nojalla tekemään päätökseen saa vaatia oikaisua päätöksen tehneeltä viranomaiselta siten kuin hallintolaissa säädetään.

Oikaisuvaatimukseen annettuun päätökseen saa hakea muutosta valittamalla hallinto-oikeuteen siten kuin hallintolainkäyttölaissa (586/1996) säädetään. Hallinto-oikeuden päätökseen saa hakea muutosta valittamalla vain, jos korkein hallinto-oikeus myöntää valitusluvan.

Tämä laki tulee voimaan päivänä kuuta 20 .

Sen lisäksi mitä 41 §:ssä säädetään, kunnalla tai kuntayhtymällä on mainitun säännöksen mukaisesti oikeus käsitellä ja yhdistellä tunnisteellisesti myös asiakastietoja, jotka on tallennettu terveydenhuoltolain 9 §:n 1 momentissa tarkoitettuun yhteisrekisteriin siihen asti, kun laki sosiaali- ja terveydenhuollon järjestämisestä ( / ) tulee voimaan.

Tämän lain 19 §:ää lokitiedoista, 20 §:n 3 momenttia ja 21—34 §:ää tietoturvallisen käyttöympäristöltä edellytettävistä vaatimuksista sekä 54 §:ää kliinisistä löydöksistä sovelletaan 1 päivästä tammikuuta 2020. Ennen mainittua ajankohtaa tietoja voidaan luovuttaa luvansaajan käsiteltäväksi 51 §:n 1 momentin 2 kohdan nojalla, vaikka käyttölupahakemuksessa ei osoitettaisi tietoturvallista käyttöympäristöä tietojen käsittelylle.

Edellä 47 §:n 4 momentissa ja 48 §:ssä säädettyjä tietojen luovutusta koskevia määräaikoja sovelletaan Kansaneläkelaitokseen ja sosiaalihuollon palvelunjärjestäjiin 1 päivästä tammikuuta 2023 sekä sähköisestä lääkemääräyksestä annetun lain 3 §:n 1 momentin 4 kohdassa tarkoitettuun reseptikeskukseen ja 5 kohdassa tarkoitettuun reseptiarkistoon tallennettuihin tietoihin lääkemääräyksistä ja niihin liittyvistä toimitustiedoista 1 päivästä tammikuuta 2020.

Tätä lakia sovelletaan asiakastietolaissa tarkoitettuihin Kanta-palveluihin 1 päivästä tammikuuta 2020.

Ennen lain voimaantuloa asianomaisen suostumuksella kerättyjä tietoja saa käyttää ja luovuttaa 2 §:n mukaisiin käyttötarkoituksiin sen estämättä, mitä 43 §:n 2 momentissa säädetään, jos on ilmeistä, että tietojen tällainen käyttö ja luovutus ei olennaisesti poikkea niistä tarkoituksista, joita varten tiedot on annettu.

Hakemus, joka on tehty ennen tämän lain voimaantuloa, käsitellään loppuun noudattaen tämän lain voimaan tullessa voimassa olleita säännöksiä. Hakemukseen, joka koskee henkilötietojen luovuttamista terveydenhuollon valtakunnallisista henkilörekistereistä annetun lain (556/1989) 4 §:n mukaisesti, ei kuitenkaan sovelleta mainitun pykälän 1 momentin mukaista velvollisuutta varata tietosuojavaltuutetulle tilaisuus tulla kuulluksi, vaan tämän lain 44 §:n 4 momentin mukaista oikeutta pyytää tietosuojavaltuutetulta lausunto käyttölupahakemuksesta.

Tämän lain 13 §:ää neuvontapalvelusta sovelletaan 1 päivästä toukokuuta 2018.

Tämän lain 41 §:n 2 momenttia sekä 42 ja 45 §:ää anonymisoitua tietoa koskevan tietopyynnön käsittelystä sovelletaan 1 päivästä kesäkuuta 2018.

Tämän lain 14 §:n 2 momenttia tietojen kokoamis-, yhdistämis- ja esikäsittelypalvelusta, 16 §:ää tietopyyntöjen hallintajärjestelmästä sekä 20 §:n 1 momenttia tietoturvallisesta käyttöympäristöstä sovelletaan 1 päivästä kesäkuuta 2018.

Käyttölupakäsittelyyn liittyvä toimivalta määräytyy tämän lain 44 §:n 1 ja 2 momentin mukaisesti 1 päivästä syyskuuta 2018. Käyttölupahakemus on toimitettava tietopyyntöjen hallintajärjestelmän välityksellä käyttölupaviranomaiselle 1 päivästä syyskuuta 2018.

Laitoksen tehtävänä on:

3) harjoittaa alan tutkimusta;

3 a) edistää kehittämis- ja innovaatiotoimintaa;

3 b) tehdä aloitteita ja esityksiä sosiaali- ja terveydenhuollon ja sen palvelujen kehittämiseksi ja väestön terveyden ja hyvinvoinnin edistämiseksi;

4) ylläpitää alan tiedostoja ja rekistereitä sekä huolehtia tehtäväalueensa tietoperustasta ja sen hyödyntämisestä;

4 c) toimia tilastolain (280/2004) 2 §:n 2 momentissa tarkoitettuna tilastoviranomaisena;

4 d) ylläpitää alan laaturekistereitä;

Edellä lain 2 §:n 1—3, 4 ja 4 d kohdassa Terveyden ja hyvinvoinnin laitokselle säädettyjen tehtävien hoitamista varten laitoksella on oikeus saada maksutta sekä salassapitovelvoitteiden ja muiden tietojen käyttöä koskevien rajoitusten rajoittamatta tunnistetietoineen väestöä koskevat välttämättömät tiedot seuraavasti:

1) viranomaisten toiminnan julkisuudesta annetun lain (621/1999) 4 §:n mukaisilta sosiaali- ja terveydenhuoltoa järjestäviltä viranomaisilta sekä yksityisesti sosiaali- ja terveysalan palveluja järjestäviltä ja tuottavilta sosiaali- ja terveydenhuollon laitoshoitoa ja avopalveluita sekä ensihoitoa koskevat tiedot: a) asiakkaasta ja potilaasta; b) sikiöstä ja elävänä tai kuolleena syntyneestä lapsesta sekä näiden äidistä ja tiedossa olevasta isästä; c) palvelun järjestäjästä ja tuottajasta; d) palvelun antamisen aloittamis- ja päättymisajankohdasta; e) asiakkaan kotikunnasta ja asumismuodosta; f) palvelun antamisen perusteesta ja saatavuudesta; g) palvelun tarpeesta, lajista ja määrästä; h) sairaudesta, vammasta, vammaisuudesta, sosiaalisesta tilanteesta ja lääketieteellisestä tilasta sekä niihin liittyvistä toimenpiteistä ja päätöksistä, palveluista ja hoidosta, tutkimustuloksista, lääkityksestä ja kuntoutuksesta; i) rokotuksista sekä muusta sairauksien ja palvelun tarpeen ennalta ehkäisystä; j) toimenpiteiden ja palvelujen laadusta ja vaikuttavuudesta; k) terveydenhuollon laitteiden ja tarvikkeiden tuoteturvallisuudesta; l) asiakas- ja potilasturvallisuudesta; m) palveluihin käytetystä henkilöstöstä ja muista voimavaroista sekä niistä aiheutuneista kustannuksista; n) palveluista perityistä maksuista.

2) Kansaneläkelaitokselta: a) Kansaneläkelaitoksen toimeenpantavaksi säädetyistä etuuksista ja niiden käytöstä sekä sähköisestä lääkemääräyksestä annetussa laissa tarkoitetut reseptiarkistoon ja reseptitietokantaan tallennetut tiedot lääkemääräyksistä ja niihin liittyvistä toimitustiedoista; b) sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetussa laissa (159/2007) tarkoitettuihin valtakunnallisiin tietojärjestelmäpalveluihin (Kanta-palvelut ) tallennetut tiedot;

3) Sosiaali- ja terveydenhuollon lupa- ja valvontavirastolta:a) raskauden keskeyttämistä ja steriloimista koskevat tiedot noudattaen raskauden keskeyttämisestä annettua lakia (239/1970) ja steriloimislakia (283/1970); b) tiedot sosiaali- ja terveydenhuollon ammattihenkilöistä terveydenhuollon ammattihenkilöistä annetun lain (559/1994) 24 a §:ssä tarkoitetusta terveydenhuollon ammattihenkilöiden keskusrekisteristä ja sosiaalihuollon ammattihenkilöistä annetun lain (817/2015) 16 §:ssä tarkoitetusta sosiaalihuollon ammattihenkilöiden keskusrekisteristä;

4) Väestörekisterikeskukselta henkilöiden perustietoja, henkilöiden perhesuhteita ja asuinpaikkoja koskevia tietoja sekä rakennustietoja Väestörekisterikeskuksen varmennepalveluista annetun lain (661/2009) 3 §:ssä tarkoitetusta väestötietojärjestelmästä; sekä

5) Tilastokeskukselta kuolemansyyn selvittämisestä annetussa laissa (459/1973) tarkoitetut tiedot.

Edellä 1 momentissa tarkoitettuna tunnistetietona kerätään henkilöstä henkilötunnus ja muusta tietoyksiköstä sen yksilöivä tunnus.

Edellä 1 ja 2 momentissa tarkoitetut tiedot on oikeus saada teknisen käyttöyhteyden avulla.

Tämän lain 5 §:n 1 momentin 1 kohdan nojalla kerättyjä tietoja voidaan luovuttaa noudattaen, mitä sosiaali- ja terveystietojen toissijaisesta käytöstä annetussa laissa ( / ) säädetään.

Sen estämättä, mitä muualla laissa säädetään oikeudesta tai velvollisuudesta luovuttaa salassa pidettäviä tietoja, tämän lain nojalla kerättyjä tietoja ei saa luovuttaa käytettäväksi yksittäistä henkilöä tai perhettä koskevassa hallinnollisessa päätöksenteossa eikä muussa vastaavassa asioiden käsittelyssä.

Mitä 2 momentissa tai muussa laissa säädetään, ei estä tietojen antamista takaisin sille viranomaiselle tai palvelunantajalle, joka on toimittanut tietoaineiston laitokselle.

Terveyden ja hyvinvoinnin laitos voi säilyttää tiedot niin kauan kuin se on välttämätöntä niiden tehtävien toteuttamiseksi, joissa tietoja käsitellään, jollei tietojen säilyttämisestä säädetä toisin laitosta koskevassa muussa laissa. Tämän jälkeen tiedot on hävitettävä yhden vuoden kuluessa, jollei Arkistolaitos arkistolain (831/1994) nojalla määrää tietoja säilytettäviksi pysyvästi.

Tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitetut tiedot on kuitenkin poistettava rekisteristä välittömästi sen jälkeen, kun käsittelylle ei ole 1 momentissa mainittua perustetta. Perustetta ja käsittelyn tarvetta on arvioitava vähintään viiden vuoden välein, jollei laista muuta johdu.

Rekisterinpitäjällä, jonka rekisteritietoja 5 §:n 1 momentissa tarkoitettu Terveyden ja hyvinvoinnin laitoksen tiedonsaantioikeus koskee, on velvollisuus luovuttaa laitokselle 5 §:ssä tarkoitetut tiedot laitoksen päätöksen mukaisesti.

Terveyden ja hyvinvoinnin laitos päättää 1 momentissa tarkoitetun tiedonantovelvollisuuden perusteella toteutettavista uusista tiedonkeruista sekä tiedonkeruiden laajentamisesta, niiden antamisessa noudatettavista määräajoista ja menettelytavoista sekä tiedonantajille toimitettavista palautetiedoista.

Laitoksen 2 momentissa tarkoitettuun päätökseen saa vaatia oikaisua siten kuin hallintolaissa (434/2003) säädetään. Lisäksi tietosuojavaltuutetulla on oikeus vaatia oikaisua ja hakea muutosta 2 momentissa tarkoitettuun päätökseen.

Oikaisuvaatimukseen annettuun päätökseen saa hakea muutosta valittamalla hallinto-oikeuteen siten kuin hallintolainkäyttölaissa (568/1996) säädetään. Hallinto-oikeuden päätökseen saa hakea muutosta valittamalla vain, jos korkein hallinto-oikeus myöntää valitusluvan. Päätös voidaan panna täytäntöön heti, jollei valitusviranomainen kiellä täytäntöönpanoa.

Jos kysymyksessä on uusi tiedonkeruu, jo kerättävien tietojen tietosisältöjen merkittävä muutos tai tiedonkeruiden laajentaminen, Terveyden ja hyvinvoinnin laitoksen on neuvoteltava 5 c §:n 1 momentissa tarkoitettuja tiedonantajia edustavien järjestöjen tai organisaatioiden kanssa sekä kuultava tietosuojavaltuutettua mainitun pykälän 2 momentissa tarkoitetusta tietojen keräämisestä ennen kuin se tekee päätöksen tiedonantovelvollisuudesta.

Edellä 1 momentissa tarkoitetussa neuvottelussa arvioidaan kerättävien tietojen tarpeellisuutta, tietosisältöjä ja niiden muutoksia sekä tietojen säilytysaikaa ja käytettävää tietojen keräämistapaa sekä tunnistetietojen tarpeellisuutta.

Edellä 1 momentissa tarkoitettu neuvottelu ja kuuleminen on järjestettävä niin varhaisessa vaiheessa, että tiedonantajia edustavien tahojen ja tietosuojavaltuutetun näkemykset voidaan ottaa huomioon. Neuvottelu on järjestettävä myös, jos tiedonantajia edustava taho sitä pyytää.

Terveyden ja hyvinvoinnin laitos voi 2 §:ssä tai muussa laissa sille säädettyjen tutkimus- ja selvitystehtävien suorittamiseksi kerätä ja käsitellä veri- ja kudosnäytteitä, jos se on välttämätöntä laitokselle säädettyjen tehtävien hoitamiseksi.

Laitos voi siirtää hallussaan olevia veri- ja kudosnäytteitä sekä niihin liittyviä tietoja biopankkilain (688/2012) mukaisesti biopankkiin.

Veri- ja kudosnäytteiden säilyttämiseen sovelletaan 5 b §:ää tietojen säilytysajasta.

Jos yliopiston, muun tutkimuslaitoksen, yksityisen tutkijan tai tutkijaryhmän taikka sosiaali- tai terveydenhuollon toimintayksikön tekemä tutkimus ja sen aineisto on väestön hyvinvoinnin tai terveyden ja niiden tutkimuksen kannalta erityisen merkityksellinen, aineisto voidaan salassapitosäännösten estämättä siirtää sopimuksella Terveyden ja hyvinvoinnin laitokselle tutkimustoiminnassa käytettäväksi.

Edellytyksenä 1 momentissa tarkoitetun tutkimusaineiston siirrolle on, että Terveyden ja hyvinvoinnin laitoksen eettinen toimikunta antaa myönteisen lausunnon tutkimusaineiston luovutuksesta.

Terveyden ja hyvinvoinnin laitoksella ja mielentilatutkimusta Terveyden ja hyvinvoinnin laitoksen määräyksestä mielenterveyslain (1116/1990) nojalla suorittavalla on oikeus saada maksutta sekä salassapitovelvollisuutta koskevien säännösten estämättä mielentilatutkimusten suorittamiseksi välttämättömät tiedot valtion ja kunnan viranomaiselta sekä muulta julkisoikeudelliselta yhteisöltä, Kansaneläkelaitokselta, Eläketurvakeskukselta, potilasvahinkolautakunnalta, eläkesäätiöltä ja muulta eläkelaitokselta, vakuutuslaitokselta, yksityisestä terveydenhuollosta annetun lain (152/1990) 2 §:n 2 momentissa tarkoitetulta palvelujen tuottajalta ja 3 momentissa tarkoitetulta itsenäiseltä ammatinharjoittajalta, yksityisistä sosiaalipalveluista annetun lain (922/2011) 3 §:n 2 kohdassa tarkoitetulta toimintayksiköltä sekä apteekilta. Oikeuspsykiatristen asioiden lautakunnalla on oikeus saada vastaavat tiedot sille tämän lain 3 a §:n 2 momentissa säädettyjen tehtävien suorittamiseksi.

Kun Terveyden ja hyvinvoinnin laitos toimii 2 §:n 4 c kohdassa tarkoitettuna tilastoviranomaisena, kunnat, kuntayhtymät, valtion viranomaiset sekä julkiset ja yksityiset sosiaali- ja terveydenhuollon palveluntuottajat ovat velvollisia antamaan laitokselle sen pyynnöstä sellaiset sosiaali- ja terveydenhuoltoon kuuluvaa toimintaansa koskevat tiedot, jotka ovat välttämättömiä tilastojen laatimisen kannalta ja jotka eivät sisällä tunnistetietoja. Vastaavasti Kansaneläkelaitos on velvollinen antamaan tutkimus- ja kehittämiskeskukselle tiedot maksamiensa etuuksien sekä niiden saajien määristä.

Tämän pykälän nojalla saatuja tietoja on oikeus käsitellä vain tilastolain mukaisesti.

Lisäksi Terveyden ja hyvinvoinnin laitos saa käyttää 5 §:n nojalla saamiaan tietoja myös tilastoviranomaistehtäviin.

Laaturekisterillä tarkoitetaan rekisteriä, jonka tietoja käytetään tietyn sairauden hoidon tai tietyn hoitomenetelmän taikka sosiaalipalvelun arvioimiseen. Rekisteriin tallennetaan sairauteen ja hoitomenetelmään tai sosiaalipalvelun toteuttamiseen liittyviä välttämättömiä henkilötietoja. Lisäksi rekisteriin saa tallentaa tiedot hoidosta tai palvelusta vastanneesta toimintayksiköstä ja sen toteuttaneista henkilöistä hoidon tai palvelun laadun arvioimiseksi.

Terveyden ja hyvinvoinnin laitoksen rekisterinpidollisessa vastuussa olevaa laaturekisteriä saa käyttää sosiaali- ja terveystietojen toissijaisesta käytöstä annetun lain mukaisissa käyttötarkoituksissa.

Sosiaali- ja terveysministeriön asetuksella säädetään, mitkä laaturekisterit ovat Terveyden ja hyvinvoinnin laitoksen rekisterinpidollisessa vastuussa. Terveyden ja hyvinvoinnin laitos antaa määräykset ylläpitämiensä laaturekistereiden tietorakenteista ja tietosisällöistä.

Tämä laki tulee voimaan päivänä kuuta 20 .

Jos henkilötietoja on ennen tämän lain voimaantuloa kerätty laaturekisteriin ja laaturekisterin rekisterinpitäjä ei ole viranomainen eikä sosiaali- tai terveydenhuollon toimintayksikkö, rekisterinpitäjän on viimeistään 30 päivänä maaliskuuta 2018 annettava sosiaali- ja terveysministeriölle tiedot ylläpitämästään rekisteristä ja sen rekisteriselosteesta sekä muut asian arvioimiseksi välttämättömät tiedot.

Lääkealan turvallisuus- ja kehittämiskeskus antaa tarkempia määräyksiä haittavaikutusrekisterin ylläpidosta ja tietojen ilmoittamisesta Lääkealan turvallisuus- ja kehittämiskeskukselle. Lääkealan turvallisuus- ja kehittämiskeskus voi tarvittaessa antaa lääkkeen määräämiseen ja toimittamiseen oikeutetuille lääkevalmisteiden haittavaikutusten ilmoittamista koskevia määräyksiä.

Tämä laki tulee voimaan päivänä kuuta 20 .

Tällä lailla kumotaan sosiaalihuollon asiakkaan asemasta ja oikeuksista annetun lain (812/2000) 18 §:n 5 momentti, sellaisena kuin se on laissa 796/2010.

Tämä laki tulee voimaan päivänä kuuta 20 .

Tällä lailla kumotaan potilaan asemasta ja oikeuksista annetun lain (785/1992) 13 §:n 5 momentti, sellaisena kuin se on laissa 795/2010.

Tämä laki tulee voimaan päivänä kuuta 20 .

Sosiaali- ja terveysalan käyttölupaviranomaisella on oikeus käsitellä ja luovuttaa reseptikeskuksessa ja reseptiarkistossa olevia tietoja sosiaali- ja terveystietojen toissijaisesta käytöstä annetun lain ( / ) mukaisesti. Kansaneläkelaitoksella on oikeus käyttää reseptikeskuksessa ja reseptiarkistossa olevia tietoja Kansaneläkelaitoksen tieteellisessä tutkimuksessa ilman mainitun käyttölupaviranomaisen käyttölupaa.

Kansaneläkelaitos saa laatia ja luovuttaa yhteenvetoja reseptikeskuksessa ja reseptiarkistossa olevista tiedoista, joilla voi olla merkitystä lääketurvallisuuden ja lääkehoidon hyötyjen ja kustannusten selvittämisessä sekä Kansaneläkelaitoksen toiminnan ja palvelujen kehittämisessä.

Tämä laki tulee voimaan päivänä kuuta 20 .

Tällä lailla kumotaan sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetun lain (159/2007) 10 §:n 3 momentti.

Tämä laki tulee voimaan päivänä kuuta 20 .

Tällä lailla kumotaan kuolemansyyn selvittämisestä annetun lain (459/1973) 15 §:n 3 momentti, sellaisena kuin se on laissa 684/1999.

Tämä laki tulee voimaan päivänä kuuta 20 .

Tällä lailla kumotaan tartuntatautilain (1227/2016) 42 §.

Tämä laki tulee voimaan päivänä kuuta 20 .

Tällä lailla kumotaan terveydenhuollon valtakunnallisista henkilörekistereistä annettu laki (556/1989).

Tämä laki tulee voimaan päivänä kuuta 20 .

Tällä lailla kumotaan sosiaali- ja terveysalan tutkimus- ja kehittämiskeskuksen tilastotoimesta annettu laki (409/2001).

Tämä laki tulee voimaan päivänä kuuta 20 .