Smidigare forskningsanvändning av social- och hälsodata

Lagens syfte är att möjliggöra en effektiv och informationssäker behandling av personupp-gifter som har registrerats i social- och hälsovårdsverksamhet och för styrnings-, tillsyns-, forsknings- och statistikändamål inom social- och hälsovården samt en samkörning av dessa personuppgifter med Folkpensionsanstaltens, Befolkningsregistercentralens, Statistikcen-tralens och Pensionsskyddscentralens personuppgifter.

Lagens syfte är dessutom att trygga skyddet för individens tillitsskydd samt rättigheter och friheter vid behandlingen av personuppgifter.

Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan dataskyddsförordningen , när personuppgifter som avses i 1 §, trots att de inte ursprungligen har registrerats för ändamålen, behandlas för följande användningsändamål:

statistikföring,

vetenskaplig forskning,

utvecklings- och innovationsverksamhet,

undervisning,

informationsledning,

myndighetsstyrning och myndighetstillsyn inom social- och hälsovården, samt

myndigheternas planerings- och utredningsuppgifter.

Bestämmelser om organisationer vars uppgifter får behandlas i enlighet med 1 mom. samt om inskränkningar i behandlingen av uppgifter finns i 6 och 7 §.

Bestämmelser om grunder för utlämnande personuppgifter och om mottagarens rätt att behandla de utlämnade personuppgifterna för sådana ändamål som avses i 1 mom. finns i 4 och 5 kap.

I denna lag avses med

1) kunduppgifter personuppgifter enligt artikel 4.1 i dataskyddsförordningen som enligt lag är sekretessbelagda och som har registrerats i ett kundregister i en kundrelation inom social- och hälsovården eller vid förmånshandläggning eller i ett administrativt register i anknytning till en kundrelation,

2) primärt användningsändamål för personuppgifter det användningsändamål för vilket personuppgifterna ursprungligen har registrerats,

3) sekundärt användningsändamål för personuppgifter behandling av personuppgifter för något annat användningsändamål än det primära användningsändamål som avses i 2 punkten,

4) utvecklings- och innovationsverksamhet tillämpning och användning av tekniska uppgifter och affärsinformation och annan befintlig kunskap tillsammans med personuppgifter som avses i denna lag i syfte att utveckla nya eller avsevärt förbättrade produkter, processer eller tjänster,

5) informationsledning behandling av information till stöd för tjänstetillhandahållare vid styrning, ledning och beslutsfattande i fråga om verksamhet, produktion och ekonomi i kund-, service- och produktionsprocesser,

6) myndighetsstyrning inom social- och hälsovården de nationella social- och hälsovårdsmyndigheternas lagstadgade styrning av aktörer inom branschen baserad på person- och statistikuppgifter som samlats in för ändamålet eller på uppgifter som i ett enskilt fall har erhållits för styrnings- eller tillsynsuppgiften,

7) myndighetstillsyn inom social- och hälsovården de nationella social- och hälsovårdsmyndigheternas lagstadgade tillsyn över yrkesutbildade personer och verksamhetsenheter inom social- och hälsovården,

8) användningstillstånd tillstånd enligt denna lag att behandla de sekretessbelagda personuppgifter som anges i tillståndet för det användningsändamål som avses i tillståndet,

9) begäran om information en begäran om att få personuppgifter i anonymiserad form för ett användningsändamål enligt denna lag,

10) informationssäker drifttjänst en informationssäker lösning via vilken parterna kan lämna ut och ta emot uppgifter som omfattas av användningsbegränsningar,

11) informationssäker driftmiljö en teknisk, organisatorisk och fysisk driftmiljö för behandling av uppgifter där informationssäkerhet har säkerställts genom lämpliga administrativa och tekniska åtgärder,

12) hanteringssystem för begäranden om information ett system via vilket den som ansöker om användningstillstånd eller den som på annat sätt begär information med stöd av denna lag lämnar in en ansökan om användningstillstånd eller en begäran om information enligt denna lag med bilagor till myndigheten och i vilket ett beslut om användningstillstånd eller om begäran om information delges den sökande,

13) tjänstetillhandahållare en myndighet som ordnar, producerar eller lämnar social- och hälsovård eller social- och hälsovårdstjänster eller en sådan producent av privat service som avses i lagen om privat socialservice (922/2011) eller i lagen om privat hälso- och sjukvård (152/1990),

14) serviceanordnare en tillhandahållare av social- och hälsovårdstjänster soma) i egenskap av myndighet är skyldig att se till att kunden får sådana tjänster eller förmåner som kunden har rätt till enligt lag eller ett myndighetsbeslut, eller b) i egenskap av privat tjänstetillhandahållare är skyldig att se till att en kund som köper en tjänst privat får sådana tjänster som kunden har rätt till enligt konsumentskyddsbestämmelserna,

15) tjänsteproducent en tjänstetillhandahållare som enligt ett avtal med en serviceanordnare eller annars för en serviceanordnares räkning producerar social- eller hälsovårdstjänster,

16) tjänsteleverantör en aktör som tillhandahåller kunderna tjänster som syftar till en informationssäker driftmiljö,

17) plan för användning av uppgifter en forskningsplan, projektplan eller motsvarande plan av vilken framgår användningsändamålet för de uppgifter som avses i tillståndsansökan, den registeransvarige och registerförarna, den rättsliga grunden för behandlingen samt väsentliga omständigheter som gäller dataskydd och informationssäkerhet vid behandlingen av uppgifterna och som omfattar uppgifternas hela livscykel inklusive bevaring och förstöring eller arkivering av uppgifterna,

18) färdigt datamaterial en materialhelhet som Tillståndsmyndigheten för social- och hälsovårdsuppgifter som avses i 4 § har sammanställt av uppgifter från en eller flera organisationer och samkört till ett enda material eller lagrat så att det finns en enhetlig kod för identifierarna för materialet,

19) bedömningsorgan för informationssäkerhet sådana företag, sammanslutningar och myndigheter som Kommunikationsverket med stöd av lagen om bedömningsorgan för informationssäkerhet (1405/2011) har godkänt att utföra bedömningar av om informationssystem överensstämmer med kraven i fråga om informationssäkerhet.

Den i denna lag avsedda Tillståndsmyndigheten för social- och hälsovårdsuppgifter finns i anslutning till Institutet för hälsa och välfärd. För de uppgifter som föreskrivs för tillståndsmyndigheten svarar vid institutet en enhet som har avskilts från de uppgifter som anges i 2 § i lagen om Institutet för hälsa och välfärd (668/2008).

Tillståndsmyndigheten omfattas av social- och hälsovårdsministeriets resultatstyrning och har en separat styrgrupp.

Tillståndsmyndigheten för social- och hälsovårdsuppgifter fattar beslut om användningstillstånd som gäller andra registeransvarigas material samt svarar för insamling, samkörning och utlämnande av uppgifter som lämnas ut ur dessa material för sekundär användning enligt denna lag. Tillståndsmyndigheten får även för ett användningsändamål enligt denna lag på begäran om information samla in personuppgifter från olika registeransvariga och genom att samköra dem producera anonym information åt den som framställt begäran.

Tillståndsmyndigheten driver ett hanteringssystem för begäranden om information för förmedling och behandling av begäranden om information och tillståndsansökningar samt en informationssäker drifttjänst för mottagande och utlämnande av personuppgifter. Tillståndsmyndigheten förvaltar även en informationssäker driftmiljö där tillståndshavaren kan behandla de personuppgifter som lämnats ut med stöd av ett användningstillstånd.

Tillståndsmyndigheten övervakar att villkoren för det beviljade tillståndet iakttas. Den får återkalla användningstillståndet, om tillståndshavaren inte iakttar lagen eller bryter mot villkoren i tillståndet.

Bestämmelser om tjänster som behövs för behandling av kunduppgifter inom social- och hälsovården samt av andra sådana personuppgifter som avses i denna lag och som ska samköras med kunduppgifterna för ändamål enligt 2 § finns i 3 kap. Ansvaret för produktionen av dessa tjänster innehas av Tillståndsmyndigheten för social- och hälsovårdsuppgifter och av följande myndigheter och organisationer:

1) social- och hälsovårdsministeriet,

2) Institutet för hälsa och välfärd,

3) Folkpensionsanstalten till den del det för ändamål enligt denna lag behövs personuppgifter som registrerats i en kundrelation i samband med förmånsbehandling samt uppgifter om recept och anknytande receptexpedieringar vid det receptcenter som avses i 3 § 1 mom. 4 punkten i lagen om elektroniska recept (61/2007) och i det receptarkiv som avses i 3 § 1 mom. 5 punkten i den lagen,

4) Tillstånds- och tillsynsverket för social- och hälsovården,

5) regionförvaltningsverken till den del de behandlar ärenden som anknyter sig till social- och hälsovården,

6) Arbetshälsoinstitutet,

7) Säkerhets- och utvecklingscentret för läkemedelsområdet,

8) offentliga serviceanordnare inom social- och hälsovården,

9) Statistikcentralen till den del det för ändamål enligt denna lag behövs sådana uppgifter som avses i lagen om utredande av dödsorsak (459/1973),

10) Pensionsskyddscentralen till den del det för ändamål enligt denna lag behövs nödvändiga personuppgifter ur Pensionsskyddscentralens register om de försäkrades arbets- och förvärvsuppgifter samt om beviljade förmåner och grunderna för dem, inbegripet diagnoser för invalidpensioner och sjukpensioner som registrerats vid verkställigheten av arbetspensionsskyddet,

11) Befolkningsregistercentralen till den del det för ändamål enligt denna lag behövs basuppgifter om personer, uppgifter om personers familjeförhållanden och bostadsort samt byggnadsuppgifter ur befolkningsdatasystemet.

Statistikcentralen samt Institutet för hälsa och välfärd i egenskap av statistikmyndighet (statistikmyndigheter) svarar för användningstillstånd för uppgifter som de i egenskap av statistikmyndigheter samlat in för vetenskaplig forskning och för att uppgifter som hänför sig till en och samma forskningsplan samkörs med deras egna uppgifter samt för pseudonymisering eller anonymisering av uppgifterna i enlighet med statistiklagen (280/2004). En tillståndsansökan som gäller andra sådana uppgifter som avses i denna lag och uppgifter som statistikmyndigheterna samlat in för statistiska ändamål lämnas till Statistikcentralen och Institutet för hälsa och välfärd via det hanteringssystem för begäranden om information som avses i 16 §. Kontakterna till den tillståndssökande vid behandlingen av en tillståndsansökan och delgivningen av beslutet sker via hanteringssystemet.

Bestämmelser om tillgodoseendet av åtkomsträttighet till uppgifter enligt denna lag som sammanslagits i enlighet med statistiklagen föreskrivs i 51 § 2 mom.

För styrning av verksamheten vid Tillståndsmyndigheten för social- och hälsovårdsuppgifter och utvecklande av den gemensamma verksamheten mellan organisationer som svarar för tjänster tillsätter social- och hälsovårdsministeriet för en treårsperiod en styrgrupp för tillståndsmyndigheten samt utser en ordförande för styrgruppen. Till ledamöter i styrgruppen utser Social- och hälsovårdsministeriet

sex företrädare enligt förslag från de organisationer och myndigheter som anges i 6 §,

en ledamot som företräder kommunerna som anordnare av social- och hälsovårdstjänster,

utifrån Kommunförbundets förslag en ledamot som företräder kommunerna som anordnare av förebyggande social- och hälsovård,

en ledamot som företräder privata anordnare av social- och hälsovårdstjänster.

Styrgruppen har till uppgift att behandla och hos Institutet för hälsa och välfärd och social- och hälsovårdsministeriet göra en framställning om

tillståndsmyndighetens årliga verksamhetsplan och anknytande budget,

verksamhetsberättelsen och bokslutet till den del de gäller tillståndsmyndigheten,

det gemensamma utvecklandet av de registeransvarigas verksamhet och de resurser som ska anvisas för den,

resurser som ska anvisas varje aktör för utvecklande av informationssystem och samarbete.

Styrgruppen ger akt på verkan av tillståndsmyndighetens verksamhet och tjänster och på de tidsfrister i anknytning till tillståndsbehandling som avses i 47 § och de tidfrister för utlämnande av uppgifter som avses i 48 §. Styrgruppen kan dessutom

ställa målmätare för tillståndsmyndighetens verksamhetsprocesser och starta externa revisioner av dem,

vid behov lägga fram förslag till utveckling av tillståndsmyndighetens verksamhet för Institutet för hälsa och välfärd och social- och hälsovårdsministeriet,

tillsätta expertgrupper som stöder tillståndsmyndighetens verksamhet.

Social- och hälsovårdsministeriet får ensamt eller tillsammans med en eller flera organisationer som avses i 6 §, undervisnings- och kulturministeriet, arbets- och näringsministeriet eller finansministeriet bilda ett aktiebolag som lyder under Tillståndsmyndigheten för social- och hälsovårdsuppgifter. Bolaget ägs och förvaltas av staten. För ägarstyrningen av bolaget och förvaltningen av dess aktier svarar social- och hälsovårdsministeriet. Syftet med bolagets verksamhet är inte att uppnå vinst.

Bolaget kan ges uppgifter i anknytning till de tjänster som avses i 10 § 3—7 punkten. Närmare bestämmelser om bolagets uppgifter får utfärdas av statsrådet.

Institutet för hälsa och välfärd eller Tillståndsmyndigheten för social- och hälsovårdsuppgifter kan producera administrativa tjänster och andra stödtjänster för aktiebolaget mot ersättning till marknadspris.

Bolaget ska på begäran lämna social- och hälsovårdsministeriet de uppgifter som behövs för att bolaget ska kunna styras och övervakas. På bolagets handlingar tillämpas vad som i lagen om offentlighet i myndigheternas verksamhet (621/1999), nedan offentlighetslagen , föreskrivs om myndighetshandlingar.

För bolagets verksamhet kan det beviljas statsunderstöd inom ramen för de anslag som tas in i statsbudgeten. Bestämmelser om statsunderstöd finns i statsunderstödslagen (688/2001).

På personer som är anställda hos bolaget och på ledamöter i bolagets styrelse tillämpas bestämmelserna om straffrättsligt tjänsteansvar.

För sekundär användning av registeruppgifter tillhandahålls följande tjänster producerade av de organisationer som avses i 6 §:

beskrivningar av datamaterial,

rådgivningstjänst,

tjänst för insamling, samkörning och förbehandling av uppgifter,

tjänst för administrering av identifierare,

hanteringssystem för begäranden om information,

informationssäker drifttjänst,

informationssäker driftmiljö.

Tillståndsmyndigheten för social- och hälsovårdsuppgifter svarar för de tjänster som avses i 10 § 3—7 punkten om en ansökan om användningstillstånd eller en begäran om information enligt denna lag gäller personregister som förs av flera registeransvariga enligt 6 § eller uppgifter som registrerats i de riksomfattande informationssystemtjänster (Kanta-tjänster ) som avses i lagen om elektronisk behandling av klientuppgifter inom social- och hälsovården (159/2007, nedan klientuppgiftslagen ) eller om uppgifter lämnas ut ur en eller flera organisationers register för utvecklings- och innovationsverksamhet enligt 38 §. Tillståndsmyndigheten för social- och hälsovårdsuppgifter svarar dock för tjänster som gäller uppgifter hos Pensionsskyddscentralen, Befolkningsregistercentralen och Statistikcentralen endast om uppgifterna samkörs med uppgifter som innehas av de organisationer som avses i 6 § 1—8 punkten.

Om en begäran om information eller en ansökan om användningstillstånd gäller uppgifter i personregister hos endast en av de organisationer som avses i 6 §, svarar organisationen själv för alla de tjänster som avses i 10 §. Tillståndsmyndigheten för social- och hälsovårdsuppgifter kan dock avtala med de övriga organisationer som avses i 6 § att den tillhandahåller alla eller en del av de tjänster som avses i detta moment för en avtalsslutande organisations räkning.

Tillståndsmyndigheten för social- och hälsovårdsuppgifter svarar alltid för de tjänster som avses i 10 § 3—7 punkten om en ansökan om användningstillstånd eller en begäran om information enligt denna lag gäller registeruppgifter hos en eller flera privata serviceanordnare inom social- eller hälsovården.

De organisationer som avses i 6 § ska som registeransvariga göra upp materialbeskrivningar av datainnehållet i sina datalager så att det på basis av dem är möjligt att bedöma om registeruppgifterna lämpar sig för de ändamål som anges i 2 §. Tillståndsmyndigheten för social- och hälsovårdsuppgifter ska göra upp materialbeskrivningar över sina i 14 § 3 mom. avsedda färdiga datamaterial.

Tillståndsmyndigheten för social- och hälsovårdsuppgifter utfärdar närmare föreskrifter om materialbeskrivningarnas datainnehåll, begrepp och datastrukturer. Innan föreskrifterna meddelas ska tillståndsmyndigheten höra organisationerna i fråga.

Bestämmelser om när de skyldigheter som föreskrivs i 1 mom. börjar tillämpas utfärdas genom förordning av statsrådet.

En registeransvarig enligt 6 § ska ordna en rådgivningstjänst för sina egna registeruppgifter som avses i den paragrafen så att de som behöver uppgifterna för ändamål som avses i 2 § får tillräcklig information om de tillgängliga registrens datainnehåll och huruvida registeruppgifterna lämpar sig för det aktuella informationsbehovet.

Utöver vad som föreskrivs i 1 mom. ska Tillståndsmyndigheten för social- och hälsovårdsuppgifter ordna en rådgivningstjänst som avser förutsättningarna för beviljande av användningstillstånd, innehållet i och betydelsen av de tjänster som avses i 10 § samt de färdiga datamaterial som avses i 14 § 3 mom.

Om ett användningstillstånd som Tillståndsmyndigheten för social- och hälsovårdsuppgifter beviljar gäller flera registeransvarigas uppgifter, samlar tillståndsmyndigheten in och förbehandlar de uppgifter som i enlighet med användningstillståndet plockats ut eller erhållits och vid behov samkörts enligt 36 §.

Om tillståndsmyndigheten lämnar ut uppgifter med stöd av en begäran om information, samlar den in och vid behov samkör den samt anonymiserar det material som ska lämnas ut. Tillståndsmyndigheten ska bevara en beskrivning av hur materialet bildats, anonymiseringsmetoderna och slutresultatet.

Tillståndsmyndigheten får utforma färdiga datamaterial av uppgifter hos de myndigheter och organisationer som avses i 6 §. Tillståndsmyndigheten får senare plocka ut de uppgifter som behövs för beviljande av användningstillstånd och som avses i ett beviljat användningstillstånd ur de färdiga datamaterialen.

Om personuppgifter med stöd av flera olika planer för användning av uppgifter lämnas ut i pseudonymiserad form, ska uppgifterna pseudonymiseras med olika identifierare för varje utlämnande.

Den myndighet som beviljat användningstillstånd förvarar identifierarna för pseudonymiserat material på ett informationssäkert sätt så att materialet vid behov kan göras identifierbart och att detta samma material med hjälp av identifierarna kan produceras på nytt.

Myndigheten ska förvara identifierarna så länge de behövs för forskning och för säkerställande av ändamålsenliga forskningsresultat.

Tillståndsmyndigheten för social- och hälsovårdsuppgifter driver ensam eller tillsammans med andra myndigheter ett system för hantering av begäranden om information, via vilket en ansökan om användningstillstånd eller en begäran om information enligt denna lag ska lämnas till tillståndsmyndigheten.

Utredningar och kompletteringar som tillståndsmyndigheten begär för att kunna behandla ansökan samt de utredningar, kompletteringar och ändringar i ansökan som sökanden lämnar in till tillståndsmyndigheten förmedlas via hanteringssystemet. Tillståndsbeslutet delges sökanden via hanteringsystemet.

Om användningsändamålet enligt lag förutsätter en etisk förhandsgranskning av planen för användning av uppgifterna, inleds även en etisk granskning och ett utlåtande lämnas via hanteringssystemet.

Tillståndsmyndigheten för social- och hälsovårdsuppgifter driver en informationssäker drifttjänst att användas vid utlämnande av de uppgifter som behövs vid behandlingen av en ansökan om användningstillstånd eller i begäran om information samt av uppgifter som avses i ett beviljat användningstillstånd. Via drifttjänsten får personuppgifter under de förutsättningar som anges i denna lag lämnas mellan tillståndsmyndigheten och de övriga myndigheter som anges i 6 §, mellan tillståndsmyndigheten och privata tillhandahållare av social- och hälsovårdstjänster samt mellan den som ansöker om tillstånd och tillståndsmyndigheten.

När personuppgifter förmedlas via den informationssäkra drifttjänsten ska deras integritet och ursprung säkerställas med en elektronisk underskrift. Integritet och ursprung hos uppgifter som sänds av en organisation med informationsteknisk utrustning ska säkerställas genom användning av teknik med motsvarande tillförlitlighet som vid elektronisk signering som görs av en fysisk person. Användare av den informationssäkra drifttjänsten måste vara starkt identifierade när personuppgifter lämnas ut till dem. Bestämmelser om avancerad elektronisk underskrift och stark elektronisk identifiering finns i Europaparlamentets och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG och i lagen om stark autentisering och elektroniska signaturer (617/2009).

Tillståndsmyndigheten ska skapa de gränssnitt som behövs för drifttjänstens interoperabilitet och sörja för att dataöverföringen kan göras med hjälp av allmänt använda tekniker.

När personuppgifter behandlas med stöd av denna lag ska en tillräcklig informationssäkerhet för behandlingen säkerställas genom riskhantering, åtkomsthantering, aktiv övervakning och genom iakttagande av föreskrifter och anvisningar från den myndighet som svarar för förverkligandet och övervakningen av informationssäkerhet och dataskydd. Särskild uppmärksamhet ska ägnas åt vid att användningsbegränsningar och sekretessplikten iakttas.

När personuppgifter behandlas för tillståndsprövning eller utlämnande av uppgifter enligt denna lag ska logguppgifter samlas in som följer:

Tillståndsmyndigheten för social- och hälsovårdsuppgifter och en organisation som avses i 6 § ska i användningslogguppgifterna registrera uppgifter om den organisation vars uppgifter används, den som har använt uppgifterna, de uppgifter och uppgiftsgrupper som har behandlats, användningsändamålet för uppgifterna, identifierare för en ansökan om användningstillstånd eller begäran om information och användningstidpunkten.

tillståndsmyndigheten, en privat tillhandahållare av social- och hälsovårdstjänster och en organisation som avses i 6 § ska i utlämningslogguppgifterna registrera uppgifter om den utlämnande organisationen, den som lämnat ut uppgifterna, utlämningsändamålet enligt 2 §, identifierare för en ansökan om användningstillstånd eller begäran om information, mottagaren och utlämningstidpunkten.

Den som behandlar personuppgifter med stöd av ett användningstillstånd enligt denna lag ska i användningslogguppgifterna registrera information om den registeransvarige som fått användningstillstånd, användningsändamålet enligt 2 §, användningstillstånd som ger rätt till behandling, användare som är berättigad att behandla uppgifterna enligt användningstillståndet, de uppgifter och uppgiftsgrupper som har behandlats samt användningstidpunkten.

En tjänstetillhandahållare som behandlar personuppgifter för informationsledning ska i användningslogguppgifterna registrera information om vilka personuppgifter som använts, vem som har använt uppgifterna, användningsändamålet och användningstidpunkten.

Logguppgifter ska förstöras eller arkiveras när de inte längre behövs för tillsynen av om uppgifter används eller utlämnas i enlighet med lag och för bestämmandet av påföljder på grund av eventuella missbruk.

Tillståndsmyndigheten kan meddela närmare föreskrifter om de uppgifter som ska registreras i loggregistren och om deras datainnehåll.

Tillståndsmyndigheten för social- och hälsovårdsuppgifter ska ensam eller tillsammans med andra myndigheter förvalta en informationssäker driftmiljö som gör det möjligt att garantera en informationssäker, tillståndsenlig behandling av uppgifter som tillståndsmyndigheten eller någon annan myndighet som avses i denna lag lämnar ut med stöd av denna lag.

Behandlingen ska vara tekniskt möjlig att genomföra på olika sätt och driftmiljön ska vara tillgänglig från olika platser. Tillståndsmyndigheten ska bedöma hur känsliga de uppgifter som lämnas ut är och beakta detta i de krav som i beslutet om användningstillstånd ska ställas på användning av den informationssäkra driftmiljön.

Om ansökan om användningstillstånd innehåller en begäran om att andra än anonymiserade uppgifter ska behandlas i en annan miljö än den som avses i 1 mom., ska det i ansökan särskilt motiveras varför detta är nödvändigt. Tillståndsmyndigheten eller någon annan myndighet som avses i denna lag får då lämna ut uppgifter till sökanden endast om driftmiljön uppfyller villkoren i 20 § 2 mom. och 21—29 §.

Användarna i en informationssäker driftmiljö ska identifieras på ett tillförlitligt sätt och verifieras.

Närmare bestämmelser om de tekniska identifierings- och verifieringsmedlen får utfärdas genom förordning av social- och hälsovårdsministeriet.

Tjänsteleverantören ska specificera åtkomsträttigheterna till personuppgifter för tillståndshavaren och andra personer som behandlar personuppgifter i driftmiljön. Tillståndshavaren ges åtkomsträttighet till personuppgifter enligt användningstillståndet. Andra personer som behandlar personuppgifter i en driftmiljö beviljas åtkomsträttigheter till sådana nödvändiga personuppgifter som de behöver i sina arbetsuppgifter.

Tjänsteleverantören ska föra register över användarna i den informationssäkra driftmiljön och deras åtkomsträttigheter. Uppgifter om åtkomsträttigheter för användarna i driftmiljön ska förstöras när de inte längre behövs för tillsynen av om miljön används eller uppgifter lämnas ut i enlighet med lag.

Tillståndsmyndigheten för social- och hälsovårdsuppgifter meddelar föreskrifter om de grunder enligt vilka tjänsteleverantören ska specificera tillståndshavarens åtkomsträttigheter till kunduppgifterna.

En informationssäker driftmiljö ska skyddas i enlighet med statliga myndigheters skyldigheter i fråga om informationssäkerhet enligt vad som föreskrivs i 36 § i offentlighetslagen och i den statsrådsförordning som utfärdats med stöd av 1 mom. i den paragrafen.

Driftmiljön ska i enlighet med 19 § möjliggöra insamling av logguppgifter om användningen av utlämnade uppgifter för uppföljning och tillsyn.

Informationssäkra driftmiljöer ska uppfylla kraven på informationssäkerhet och interoperabel informationsöverföring som bygger på myndigheternas föreskrifter, rekommendationer och de standarder som enligt dessa lämpar sig för en informationssäker driftmiljö.

Tillståndsmyndigheten för social- och hälsovårdsuppgifter meddelar närmare föreskrifter om de krav som ska ställas på andra tjänsteleverantörers informationssäkra driftmiljöer. Kraven ska förutsätta informationssäkerhet och basfunktioner på motsvarande nivå som i tillståndsmyndighetens egen driftmiljö.

Informationssäkerheten i driftmiljön ska påvisas genom ett i 26 § avsett intyg från ett bedömningsorgan för informationssäkerhet.

Tillståndsmyndigheten för social- och hälsovårdsuppgifter får meddela närmare föreskrifter om de förfaranden som ska iakttas vid påvisande av informationssäkerhet.

Ett bedömningsorgan för informationssäkerhet bedömer i enlighet med denna lag och lagen om bedömningsorgan för informationssäkerhet på ansökan av tjänsteleverantören om driftmiljön uppfyller kraven på informationssäkerhet. Som bedömningskriterier ska användas föreskrifter om kraven på en säker driftmiljö från Tillståndsmyndigheten för social- och hälsovårdsuppgifter.

Om driftmiljön uppfyller informationssäkerhetskraven enligt denna lag, ska bedömningsorganet för informationssäkerhet ge tjänsteleverantören ett intyg över sin bedömning och en anknytande kontrollrapport. Om bedömningen eller en förnyad bedömning gäller endast en del av driftmiljön, ska det antecknas tydligt i bedömningsorganets intyg vilken del av driftmiljön som har bedömts.

Bedömningsorganets intyg är i kraft högst fem år. Bedömningsorganet för informationssäkerhet kan av tjänsteleverantören kräva alla de uppgifter som förutsätts för bedömningen och för uppgörandet och upprätthållandet av intyget. På utfärdande av intyget tillämpas i övrigt 9 § 3 mom. i lagen om bedömningsorgan för informationssäkerhet.

Om ett bedömningsorgan för informationssäkerhet konstaterar att en driftmiljö inte har uppfyllt eller inte längre uppfyller kraven i denna lag eller att ett intyg av någon annan orsak inte borde ha beviljats, ska organet uppmana tjänsteleverantören att avhjälpa bristerna. Bedömningsorganet får återkalla intyget för viss tid eller helt och hållet eller bevilja intyget med begränsningar, om inte tjänsteleverantören avhjälper bristerna inom den tid som organet satt ut. När tidsfristens längd bestäms ska det beaktas att en skälig tid behövs för att korrigera driftmiljön.

Bedömningsorgan för informationssäkerhet ska underrätta Tillstånds- och tillsynsverket för social- och hälsovården om alla intyg som har utfärdats, ändrats eller kompletterats eller som har återkallats för viss tid eller helt och hållet eller förvägrats samt om de uppmaningar och begränsningar som avses i 27 §. Dessutom ska bedömningsorgan för informationssäkerhet på begäran ge Tillstånds- och tillsynsverket för social- och hälsovården all behövlig ytterligare information i ärendet.

Tjänsteleverantören ska genom ett uppdaterat och systematiskt förfarande följa upp och utvärdera erfarenheterna av den informationssäkra driftmiljön under den tid den används för produktion. Tjänsteleverantören ska ge akt på ändringar i denna lag och justera driftmiljön i enlighet med ändringarna. Väsentliga förändringar i driftmiljön ska anmälas till bedömningsorganet för informationssäkerhet. Bedömningsorganets intyg ska förnyas, om betydande förändringar görs i driftmiljön eller om minimikraven på driftmiljön har ändrats på ett sätt som förutsätter en förnyad bedömning.

Tjänsteleverantören ska bevara uppgifterna om överensstämmelse med kraven och övriga uppgifter som tillsynen kräver i minst fem år efter det att den informationssäkra driftmiljön inte längre används för produktion.

Tillstånds- och tillsynsverket för social- och hälsovården ska övervaka och främja att informationssäkra driftmiljöer uppfyller kraven på dataskydd och informationssäkerhet. Tillstånds- och tillsynsverket för social- och hälsovården för ett offentligt register över driftmiljöer som uppfyller kraven och som anmälts till verket.

Tillstånds- och tillsynsverket för social- och hälsovården har rätt att utföra inspektioner som krävs för tillsynen. För att utföra en inspektion har en inspektör rätt att få tillträde till alla lokaler där det bedrivs verksamhet som avses i denna lag eller där det förvaras uppgifter som är viktiga för tillsynen över efterlevnaden av denna lag. Inspektioner får dock inte utföras i utrymmen som används för boende av permanent natur.

Vid en inspektion ska alla handlingar som inspektören ber om och som behövs för inspektionen läggas fram. På inspektörens begäran ska dessutom kopior av de handlingar som behövs för inspektionen överlämnas till inspektören utan avgift.

Tillstånds- och tillsynsverket för social- och hälsovården ska bevara inspektionsprotokollet i tio år efter att inspektionen utförts.

Tillstånds- och tillsynsverket för social- och hälsovården har rätt att anlita utomstående experter för bedömning av informationssäkra driftmiljöers överensstämmelse med kraven. Utomstående experter får delta i inspektioner som avses i denna lag samt undersöka och testa driftmiljöer. Utomstående sakkunniga ska ha den sakkunskap och kompetens som uppgifterna kräver.

På utomstående sakkunniga som utför uppgifter enligt denna lag tillämpas förvaltningslagens (434/2003) bestämmelser om tjänstemannajäv och bestämmelserna om straffrättsligt tjänsteansvar.

Tillstånds- och tillsynsverket för social- och hälsovården har rätt att avgiftsfritt och trots sekretessbestämmelserna för tillsynen över driftmiljöer få nödvändiga uppgifter av statliga och kommunala myndigheter samt av fysiska och juridiska personer som omfattas av denna lag eller av bestämmelser som utfärdats med stöd av den.

Tillstånds- och tillsynsverket för social- och hälsovården får med anledning av en inspektion som gjorts med stöd av 30 § ålägga tjänsteleverantören att avhjälpa brister i driftmiljöer som används för produktion.

Om en informationssäker driftmiljö kan äventyra dataskyddet, eller om systemet inte uppfyller de väsentliga krav som ställs på det i denna lag, och bristerna inte har avhjälpts inom den tidsfrist som Tillstånds- och tillsynsverket för social- och hälsovården har satt ut, får verket förbjuda användningen av driftmiljön till dess att bristerna har avhjälpts. Vidare får Tillståndsmyndigheten för social- och hälsovårdsuppgifter eller någon annan myndighet som avses i 6 § stänga av förbindelsen till sina informationssystem, om den som använder dem äventyrar eller ett utomstående system som anslutits till dem kan äventyra en ändamålsenlig användning av informationssystemet.

Tillstånds- och tillsynsverket för social- och hälsovården får ålägga tjänsteleverantören eller en befullmäktigad representant att inom den tid och på det sätt som verket bestämmer informera om beslut som gäller användningen av driftmiljön för produktion.

Tillstånds- och tillsynsverket för social- och hälsovården kan förena beslut som fattats med stöd av 1 mom. med vite eller med hot om att verksamheten helt eller delvis avbryts eller att den försummade åtgärden vidtas på den försumliges bekostnad. Tillstånds- och tillsynsverket ska underrätta Tillståndsmyndigheten för social- och hälsovårdsuppgifter om sitt beslut.

Om en tjänsteleverantör, en myndighet som avses i 6 § eller den som annars behandlar personuppgifter i enlighet med denna lag har underlåtit att fullgöra sin skyldighet enligt denna lag när det gäller informationssystem eller deras användning, får Tillstånds- och tillsynsverket för social- och hälsovården meddela ett föreläggande om att skyldigheten ska uppfyllas inom utsatt tid.

Registeruppgifter hos de registeransvariga som avses i 6 § och registeruppgifter hos en privat serviceanordnare inom social- och hälsovården får behandlas med ett tidsbundet användningstillstånd från den registeransvarige eller Tillståndsmyndigheten för social- och hälsovårdsuppgifter, direkt med stöd av lagens bestämmelser eller med stöd av en begäran om information samkörda och anonymiserade av tillståndsmyndigheten enligt vad som föreskrivs nedan.

Tillståndsmyndigheten för social- och hälsovårdsuppgifter har oberoende av sekretessplikten och andra begränsningar som gäller användningen av uppgifterna rätt att från de registeransvariga som avses i 6 § och från privata tillhandahållare av social- och hälsovårdstjänster samt från Folkpensionsanstalten av de uppgifter i Kanta-tjänsterna som avses i klientuppgiftslagen få

uppgifter som behövs för att ett användningstillstånd ska kunna beviljas,

uppgifter som avses i det beviljade användningstillståndet för insamling och samkörning och för utlämnande till tillståndshavaren för behandling i enlighet med 14 §,

uppgifter för att bedöma om de uppgifter som avses i 45 § kan anonymiseras,

uppgifter som behövs för produktion av anonyma datamaterial, samt

uppgifter som behövs för att sammanställa det färdiga datamaterial som avses i 14 § 3 mom.

De uppgifter som avses i 1 mom. kan lämnas ut till tillståndsmyndigheten via den informationssäkra drifttjänst som avses i 17 §.

Tillståndsmyndigheten kan oberoende av sekretessplikten och andra begränsningar i användningen av uppgifter via den informationssäkra drifttjänst som avses i 17 § plocka ut uppgifter enligt användningstillståndet ur uppgifter och datalager som innehas av de registeransvariga som avses i 1 mom., om det är möjligt och ändamålsenligt med hänsyn till dessa uppgifters och datalagers innehåll och tekniska utförande.

Tillståndsmyndigheten är registeransvarig på det sätt som avses i denna paragraf för de uppgifter den har erhållit.

För vetenskaplig forskning och statistikföring får trots sekretessplikten i enskilda fall ges användningstillstånd för kunduppgifter och andra personuppgifter från organisationer som avses i 6 §.

Prövningen av om användningstillstånd ska beviljas eller inte ska utgå från att den vetenskapliga forskningens frihet tryggas.

Bestämmelser om behandling av uppgifter för vetenskaplig forskning och statistikföring finns dessutom i personuppgiftslagen (523/1999).

Trots skyldigheterna att iaktta sekretess får Tillståndsmyndigheten för social- och hälsovårdsuppgifter i enskilda fall ge användningstillstånd till kunduppgifter samt andra personuppgifter från organisationer som avses i 6 §, om utvecklings- och innovationsverksamheten genomförs på annat sätt än genom metoder inom vetenskaplig forskning som avses i 37 §, och den registrerade har gett sitt samtycke till behandling av uppgifterna för ändamålet i fråga. Tillstånd får ges så att det uppfyller villkoren i den registrerades samtycke.

Dessutom förutsätts att

en utnämnd ansvarig person eller grupp svarar för verksamheten, och

uppgifterna används endast i enlighet med planen för användning av uppgifter och tillvägagångssättet är sådant att uppgifter om enskilda personer inte röjs för utomstående.

Om uppgifterna begärs i anonymiserad form, kan de lämnas ut utan den registrerades samtycke i enlighet med 45 §.

Kunduppgifter från en tillhandahållare av social- och hälsovårdstjänster får trots sekretessplikten och med stöd av artikel 9.2 g i dataskyddsförordningen behandlas för att framställa undervisningsmaterial för undervisning av personal som behandlar kunduppgifter inom social- och hälsovården och av personer som studerar till en yrkesexamen inom social- och hälsovården, om det är nödvändigt för att syftet med undervisningen ska uppnås. En förutsättning för detta är dessutom att användningstillstånd enligt denna lag har beviljats för behandlingen.

Identifierbara uppgifter får dock användas i undervisningssituationer endast om undervisningen inte kan hållas anonym på grund av att fallet i fråga är sällsynt, på grund av undervisningens natur eller av något annat motsvarande skäl. Undervisningspersonalen ska informera dem som följer undervisningen om den lagstadgade sekretessplikten och om sanktioner för brott mot den.

Den registrerade har inte i artikel 21 i dataskyddsförordningen avsedd rätt att göra invändningar mot behandling av personuppgifter om honom eller henne i undervisningssyfte, om behandlingen av uppgifter är nödvändig på grund av att fallet i fråga är sällsynt.

Tillståndshavaren ska förstöra ett separat material som samlats in för undervisningsändamål när det inte längre behövs för det ändamålet.

Kunduppgifter som är nödvändiga för en myndighets planerings- och utredningsuppgifter samt andra personuppgifter från organisationer som avses i 6 § får behandlas med stöd av artikel 9.2 g i dataskyddsförordningen, om

för behandlingen har beviljats ett i denna lag avsett användningstillstånd,

behandlingen grundar sig på en ändamålsenlig plan för användning av uppgifter,

planerings- och utredningsuppgiften eller det informationsbehov som är syftet med den kan inte förverkligas utan behandling av personuppgifter.

Tillhandahållare av social- och hälsovårdstjänster har trots sekretessplikten och med stöd av artikel 9.2 h i dataskyddsförordningen rätt att på ett identifierbart sätt behandla och samköra kunduppgifter som har uppstått i tillhandahållarens egen verksamhet eller är införda i tillhandahållarens egna register, om detta är nödvändigt för att den serviceverksamhet som tjänstetillhandahållaren är ansvarig för ska kunna produceras, följas, utvärderas, planeras, utvecklas, ledas och övervakas.

Om en tjänstetillhandahållare för utvärdering, planering eller utveckling av serviceverksamhet som denna ansvarar för eller av servicekedjor måste jämföra sin egen verksamhet med andra tjänstetillhandahållares verksamhet, kan Tillståndsmyndigheten för social- och hälsovårdsuppgifter under de förutsättningar som anges i 45 § producera behövligt jämförelsematerial i anonymiserad form.

Tillsynsmyndigheter inom social- och hälsovården kan för utförande av sina lagstadgade styrnings- och tillsynsuppgifter av Tillståndsmyndigheten för social- och hälsovårdsuppgifter få samkörda på kunduppgifter och vid behov på andra identifierbara registeruppgifter hos i 6 § avsedda registeransvariga baserade samkörda uppgifter i anonymiserad form.

Sådana uppgifter enligt 1 mom. som en tillsynsmyndighet som avses i momentet enligt någon annan lag har rätt att få trots sekretessplikten kan på motiverad begäran lämnas ut också som identifierbara.

De uppgifter som avses i 2 mom. kan lämnas ut till tillsynsmyndigheten via den informationssäkra drifttjänst som avses i 17 §.

Ett användningstillstånd för personuppgifter får beviljas, om användningsändamålet för uppgifterna enligt ansökan och planen för användning av uppgifterna

överensstämmer med den allmänna dataskyddsförordningen, personuppgiftslagen samt denna och någon annan lag som gäller uppgifterna,

förverkligas ändamålsenligast genom användning av i ansökan avsedda uppgifterna.

Om ansökan om användningstillstånd hänför sig till ett sådant användningsändamål för vilket det föreskrivs separat om tillståndsförfarande och grunder för beviljande av tillstånd, ska samtliga förutsättningar för tillståndet i fråga uppfyllas.

Om de uppgifter som lämnas ut har sammanställts med den registrerades samtycke, kan användningstillstånd för registeruppgifter som gäller den registrerade beviljas endast om det är förenligt med samtycket och med villkoren för användningen och utlämnandet av informationen. Om uppgifterna om ansökan om användningstillstånd hänför sig till ett användningsändamål som baserar sig på den registrerades samtycke, kan användningstillstånd beviljas endast för sådana uppgifter som omfattas av den registrerades samtycke.

Ett användningstillstånd kan beviljas för viss tid, om det är uppenbart att de intressen som sekretessen är avsedd att skydda inte kränks om uppgifterna lämnas ut. Tillståndet ska utifrån riskerna förenas med krav på åtgärder till skydd för behandlingen av uppgifter samt andra föreskrifter som behövs för att skydda enskilda intressen. Ett tillstånd kan återkallas om prövas föreligga skäl för återkallandet.

Om Tillståndsmyndigheten för social- och hälsovårdsuppgifter utifrån ansökan om användningstillstånd konstaterar att ärendet kan behandlas som en begäran om information enligt 45 § och inte som en tillståndsansökan, ska tillståndsmyndigheten ta kontakt med den tillståndssökande och föreslå att ärendet behandlas som en begäran om information. Om den tillståndssökande kräver att ärendet behandlas som en tillståndsansökan, ska tillståndsmyndigheten fatta beslut i ärendet.

Tillståndsmyndigheten för social- och hälsovårdsuppgifter svarar för att besluta om användningstillstånd, om ansökan om användningstillstånd gäller personregister som förs av flera registeransvariga enligt 6 § eller uppgifter som registrerats i Kanta-tjänsterna. Tillståndsmyndigheten svarar dessutom alltid för att besluta om användningstillstånd, om uppgifter ska lämnas ut för sådan utvecklings- och innovationsverksamhet som avses i 38 §. Tillståndsmyndigheten svarar dock för att besluta om användningstillstånd för Pensionsskyddscentralens, Befolkningsregistercentralens och Statistikcentralens uppgifter endast om uppgifterna samkörs med uppgifter som innehas av de organisationer som avses i 6 § 1—8 punkten.

Tillståndsmyndigheten svarar dessutom för att besluta om användningstillstånd, om tillståndsansökan gäller registeruppgifter hos en eller flera privata serviceanordnare inom social- och hälsovården.

Om en ansökan om användningstillstånd gäller uppgifter i personregister hos endast en av de organisationer som avses i 6 §, svarar organisationen själv för beslutet om användningstillstånd. Tillståndsmyndigheten kan dock avtala med de övriga organisationer som avses i 6 § att den svarar för att besluta om användningstillstånd för en avtalsslutande organisations räkning.

Den myndighet som svarar för att besluta om användningstillstånd har rätt att begära utlåtande från dataombudsmannen om en ansökan om användningstillstånd, om den beslutande myndigheten bedömer att det behövs.

Om den sökande begär kunduppgifter eller sådana andra personuppgifter som avses i 6 § för ett användningsändamål enligt 2 § endast i anonymiserad form, bedömer Tillståndsmyndigheten för social- och hälsovårdsuppgifter med stöd av artikel 9.2 g och artikel 86 i dataskyddsförordningen om de begärda uppgifterna kan anonymiseras.

På utlämnande av anonymiserade uppgifter tillämpas dessutom 41 och 42 §.

Ansökningar om användningstillstånd och begäranden om information ska lämnas till Tillståndsmyndigheten för social- och hälsovårdsuppgifter via det system för hantering av begäranden om information som avses i 16 §. Om sökanden kompletterar sin ansökan, ska även kompletteringen lämnas till tillståndsmyndigheten via hanteringssystemet för begäranden av information. Till en tillståndsansökan och en begäran om anonymiserade uppgifter ska det fogas en plan för användning av uppgifterna.

Tillståndsmyndigheten utfärdar meddelar om datainnehållet och datastrukturerna i ansökan om användningstillstånd och planen för användning av uppgifterna.

Beslut om ansökan om användningstillstånd ska meddelas utan dröjsmål, dock senast tre månader från det att tillståndsansökan har inkommit i fullständig form till myndigheten.

Tillståndsmyndigheten för social- och hälsovårdsuppgifter kan av vägande skäl besluta att behandlingstiden för ansökningar om användningstillstånd ska förlängas med högst tre månader, om behandlingen av ansökan om användningstillstånd och den anknytande planen för användning av uppgifterna förutsätter en exceptionellt omfattande behandling som även omfattar flera olika registeransvarigas uppgifter eller särskilt krävande prövning. Tillståndsmyndigheten ska underrätta den som ansöker om tillstånd om förlängning av tidsfristen och om grunden för förlängningen samt om den nya tidsfrist inom vilken tillståndsbeslutet meddelas.

Om den myndighet som svarar för beslutet om användningstillstånd begär ett utlåtande enligt 44 § 4 mom. från dataombudsmannen, avbryts den ansvariga myndighetens tidsfrist för behandling av ansökan tills utlåtandet har kommit in.

En registeransvarig som avses i 6 § och en privat tillhandahållare av social- och hälsovårdstjänster ska utan dröjsmål lämna tillståndsmyndigheten de uppgifter som behövs för behandlingen av en ansökan om användningstillstånd eller av en sådan begäran om anonymiserade uppgifter som avses i 45 §, dock senast 15 vardagar från det att begäran inkom.

En registeransvarig som avses i 6 § och en privat tillhandahållare av social- eller hälsovårdstjänster ska på begäran av tillståndsmyndigheten utan dröjsmål lämna ut registeruppgifter enligt ett beviljat användningstillstånd eller uppgifter som behövs för behandlingen av en sådan begäran om anonymiserade uppgifter som avses i 45 §, dock senast 30 dagar från det att tillståndsmyndigheten har fattat beslut om att uppgifterna får lämnas ut till sökanden. Om den utredning som den sökande anför till stöd för utlämnande av uppgifter är otillräcklig, ska tillståndsmyndigheten utan dröjsmål underrätta sökanden om vilka tilläggsutredningar som krävs. De begärda uppgifterna ska då lämnas till sökanden inom 30 dagar från det att tilläggsutredning togs emot, om säkerhet om förutsättningarna för utlämnandet kan nås med stöd av den inlämnade tilläggsutredningen.

Om uppgifterna inte kan lämnas ut till tillståndsmyndigheten inom den tid som avses i 1 mom., ska den registeransvarige före tidsfristens utgång informera om dröjsmålet, om orsaken till dröjsmålet och om den förlängning av tidsfristen som behövs för utlämnande av uppgifter. Tillståndsmyndigheten ska av grundad anledning ställa en ny tidsfrist för utlämnandet.

Tillståndsmyndigheten ska lämna ut de uppgifter som den med stöd av ett användningstillstånd samlat in och samkört till tillståndshavaren utan dröjsmål, dock senast 60 dagar från det att tillståndet beviljades.

Tillståndsmyndigheten kan av vägande skäl förlänga tidsfristen för utlämnandet, om uppgifternas användningsändamål förutsätter en exceptionellt omfattande behandling som berör uppgifter hos flera olika registeransvariga eller en särskilt krävande samkörning. Tillståndsmyndigheten ska informera tillståndshavaren om förlängningen av tidsfristen och om grunden för förlängningen samt om den nya tidsfrist inom vilken uppgifterna ska lämnas ut.

Tillståndsmyndigheten för social- och hälsovårdsuppgifter eller någon annan myndighet som beviljat tillstånd får ta ut en avgift för användningstillståndet. Bestämmelser om grunderna för fastställande av avgifter finns i lagen om grunder för avgifter till staten (150/1992).

Tillståndsmyndigheten för social- och hälsovårdsuppgifter får ta ut ersättning för urval, tillhandahållande och samkörning av uppgifter enligt ett användningstillstånd som avses i denna lag, samt för användning av en informationssäker miljö.

Ersättningar som gäller uppgifter som med stöd av användningstillstånd plockas ut och tillhandahålls från andra datalager än tillståndsmyndighetens egna bestäms i enlighet med vad som föreskrivs om varje registeransvarig som tillhandahållit uppgifterna. Den registeransvarige eller registerföraren som lämnar ut uppgifter till tillståndsmyndigheten med stöd av ett användningstillstånd enligt denna lag har rätt att av tillståndsmyndigheten som ersättning få en på föreskrivet sätt bestämd andel av de kostnadsersättningar som påförts tillståndshavaren.

Den som har rätt till ersättning i enlighet med denna paragraf ska på begäran tillhandahålla tillståndsmyndigheten en uppskattning av vilka kostnader den som har rätt till ersättning för behandlingen av uppgifter orsakas. Tillståndsmyndigheten gör utifrån de uppgifter den erhållit upp ett kostnadsförslag för tillmötesgående av en begäran om information och lämnar den till den som ansöker om tillstånd. Tillståndsmyndigheten tar ut de ersättningar som avses i 2 mom. hos tillståndshavaren och redovisar dem för de registeransvariga som lämnat uppgifter.

Tillståndsmyndigheten kan ta ut ersättning för urval av uppgifter ur sina egna datalager, för samkörning och tillhandahållande av uppgifter samt för användning av den informationssäkra miljön.

Registrering och införande av en i 30 § 1 mom. i denna lag avsedd anmälan i offentligt register hos Tillstånds- och tillsynsverket för social- och hälsovården är avgiftsbelagd.

Bestämmelser om grunderna för bestämmande av ersättningar finns i lagen om grunderna för avgifter till staten. Bestämmelser om avgifter som gäller godkännande av bedömningsorgan för informationssäkerhet finns i 11 § i lagen om bedömningsorgan för informationssäkerhet.

Om Tillståndsmyndigheten för social- och hälsovårdsuppgifter har beviljat användningstillstånd i en situation där detta förutsätts enligt 44 §, inhämtar tillståndsmyndigheten och vid behov samkör den de uppgifter som specificeras i användningstillståndet och lämnar ut datamaterialet till tillståndshavaren för behandling på följande sätt:

om de uppgifter som ska lämnas ut är identifierbara eller pseudonymiserade, lämnas de ut via en informationssäker drifttjänst som avses i 17 § för behandling i en informationssäker driftmiljö som avses i 20 § 1 mom.,

om det av skäl som framgår särskilt av planen för användning av uppgifterna och användningstillståndet är nödvändigt, lämnas uppgifterna ut pseudonymiserade eller försedda med personbeteckningar via en informationssäker drifttjänst som avses i 17 § för behandling i en informationssäker driftmiljö som avses i 20 § 3 mom.

Om användningsändamålet förutsätter behandling av uppgifter som Statistikcentralen eller Institutet för hälsa och välfärd i egenskap av statistikmyndighet samlat in för statistiska ändamål, samkör statistikmyndigheten och vid behov pseudonymiserar eller anonymiserar den de uppgifter som ska lämnas ut. Om användningsändamålet förutsätter samkörning, pseudonymisering eller anonymisering av båda statistikmyndigheternas uppgifter, kommer myndigheterna sinsemellan överens om vilken myndighet som samkör och pseudonymiserar eller anonymiserar uppgifterna. Uppgifterna kan därefter beroende på art och omfattning lämnas ut vi hanteringssystemet för begäranden om information till tillståndshavaren för behandling i en informationssäker driftmiljö som förvaltas av Statistikcentralen eller Tillståndsmyndigheten för social- och hälsovårdsuppgifter eller i någon annan driftmiljö enligt 20 §.

Leverantören av en driftmiljö ska innan en anslutning till tillståndshavaren öppnas säkerställa att tillståndshavaren uppfyller kraven i användningstillståndet.

Myndigheter som ansvarar för behandlingen av användningstillstånd ska minst en gång om året lämna dataombudsmannen en detaljerad redogörelse för behandlingen av uppgifter med stöd av denna lag och för behandlingen av uppgifter som registrerats i loggregistret.

Även på andra uppgifter som erhållits med stöd av denna lag än uppgifter från myndigheter tillämpas offentlighetslagens

1) 22 § om handlingssekretess,

2) 23 § om tystnadsplikt och förbud mot utnyttjande,

3) 24 § om sekretessbelagda uppgifter,

4) 31 § om upphörande av sekretess i fråga om en handling,

5) 32 § om undantag i fråga om och upphörande av tystnadsplikt.

Om sekretessbelagda uppgifter med stöd av denna lag lämnas ut till någon annan än en myndighet, ska mottagaren i samband med utlämnandet informeras om sekretessplikten så som föreskrivs i 25 § i offentlighetslagen.

Trots vad som någon annanstans i lag föreskrivs om rätten eller skyldigheten att lämna ut sekretessbelagda uppgifter, får uppgifter som samlats in med stöd av denna lag inte lämnas ut för administrativt beslutsfattande eller någon annan motsvarande behandling av ärenden som gäller en enskild person utan hans eller hennes uttryckliga samtycke. Tillståndsmyndigheten för social- och hälsovårdsuppgifter får dock i en tillsynsuppgift som gäller någon annan än den registrerade använda uppgifter som den erhållit med stöd av 42 §, när lagenligheten eller den professionella lämpligheten bedöms i verksamhet som bedrivs av verksamhetsenheter eller yrkesutbildade personer inom social- och hälsovården.

Trots vad som föreskrivs i 53 § 3 mom. har en innehavare av användningstillstånd rätt att till den ansvariga person som Tillståndsmyndigheten för social- och hälsovårdsuppgifter utsett anmäla betydande kliniska fynd på grundval av vilka hälsorisker för en viss patient kan förebyggas eller vårdens kvalitet betydligt förbättras.

Om de uppgifter som är grunden för den anmälan som avses i 1 mom. är pseudonymiserade, ska den ansvariga personen utreda vem eller vilka informationen gäller. När tillståndsmyndighetens ansvariga person känner till vilken eller vilka personer som en anmälan enligt 1 mom. gäller, ska den ansvariga personen utan obefogat dröjsmål lämna uppgifterna till en expert som utsetts av Institutet för hälsa och välfärd.

Den expert som avses i 2 mom. ska i samarbete med övriga experter som utsetts av institutet bedöma betydelsen av informationen och den förväntade nyttan med de åtgärder som kan vidtas med stöd av den. Om nyttan bedöms vara så uppenbar att det skulle vara viktigt att den som ska undersökas får vård, ska den expert vid Institutet för hälsa och välfärd som avses i 2 mom. anmäla fyndet till den verksamhetsenhet som med stöd av hälso- och sjukvårdslagen (1326/2010) är regionalt ansvarig för den aktuella personens hälso- och sjukvård.

Den verksamhetsenhet som avses i 3 mom. ska kontakta patienten och klarlägga om han eller hon vill ha information om det betydande kliniska fyndet och de undersöknings- och vårdåtgärder som eventuellt ska vidtas på grundval av det samt om den förväntade nyttan med åtgärderna.

Patienten har rätt att förbjuda kontakt som tas på basis av ett kliniskt betydande fynd. Förbudet antecknas i patientens informationshanteringstjänst som avses i 14 a § i klientuppgiftslagen. Patienten kan meddela förbudet skriftligt hos en valfri verksamhetsenhet som producerar offentlig hälso- och sjukvård eller elektroniskt via det medborgargränssnitt som avses i 19 § i klientuppgiftslagen.

För den allmänna planeringen, styrningen och övervakningen av behandling av kunduppgifter enligt denna lag och av anknytande informationsförvaltning svarar social- och hälsovårdsministeriet.

Dataombudsmannen, Tillstånds- och tillsynsverket för social- och hälsovården samt Tillståndsmyndigheten för social- och hälsovårdsuppgifter styr och övervakar inom sitt verksamhetsområde i enlighet med sin behörighet efterlevnaden av denna lag.

Tillståndsmyndigheten och övriga myndigheter som beviljar användningstillstånd i enlighet med denna lag samt Tillstånds- och tillsynsverket för social- och hälsovården ska för sin del följa och övervaka att det dataskydd och den datasäkerhet som hänför sig till deras tjänster förverkligas och att villkoren för tillstånd som de beviljar iakttas. Om någon har behandlat patientuppgifter i strid med lag, ska den behöriga myndigheten på eget initiativ vidta behövliga åtgärder. Om uppgifter med stöd av 20 § 3 mom. behandlas i någon annan driftmiljö än tillståndsmyndighetens informationssäkra driftmiljö ska logguppgifter enligt 19 § och uppgifter i ett användarregister enligt 22 § 2 mom. på tillståndsmyndighetens begäran lämnas till den utan obefogat dröjsmål.

Om tillståndsmyndigheten eller en myndighet som beviljar användningstillstånd i enlighet med denna lag har grundad anledning att misstänka att den som behandlar uppgifter med stöd av ett användningstillstånd från myndigheten inte behandlar personuppgifter i enlighet med lag, ska myndigheten underrätta dataombudsmannen om saken snarast möjligt.

Tillståndsmyndigheten för social- och hälsovårdsuppgifter ska rapportera till styrgruppen om avvikelser från de tidsfrister som avses i 47 och 48 § och publicera uppgifter om dem.

I ett beslut enligt denna lag som Tillståndsmyndigheten för social- och hälsovårdsuppgifter eller en registeransvarig som avses i 6 § meddelat om en ansökan om användningstillstånd och om återkallande av ett tillstånd och i ett beslut om utlämnande av anonymiserade uppgifter enligt 45 § samt i ett beslut som Tillstånds- och tillsynsverket för social- och hälsovården har fattat med stöd av denna lag får omprövning begäras på det sätt som anges i förvaltningslagen hos den myndighet som fattat beslutet.

I ett beslut som har fattats med anledning av en begäran om omprövning får ändring sökas genom besvär hos förvaltningsdomstolen på det sätt som anges i förvaltningsprocesslagen (586/1996). Förvaltningsdomstolens beslut får överklagas genom besvär bara om högsta förvaltningsdomstolen beviljar besvärstillstånd.

Denna lag träder i kraft den 20 .

Utöver vad som föreskrivs i 41 § har kommunen eller samkommunen i enlighet med den bestämmelsen rätt att på ett identifierbart sätt behandla och samköra kunduppgifter som har lagrats i det gemensamma register som avses i 9 § 1 mom. i hälso- och sjukvårdslagen till dess att lagen om ordnande av social- och hälsovården ( / ) träder i kraft.

Bestämmelserna om logguppgifter i 19 § och om kraven på informationssäkra driftmiljöer i 20 § 3 mom. och 21—29 § samt om kliniska fynd i 54 § 5 mom. tillämpas från och med den 1 januari 2020. Före denna tidpunkt får uppgifter lämnas ut för behandling till tillståndstagaren med stöd av 51 § 1 mom. 2 punkten, även om det i ansökan om användningstillstånd inte anvisas en informationssäker driftmiljö för behandlingen av uppgifter.

Tidsfristerna för utlämnande av uppgifter enligt 47 § 4 mom. och 48 § tillämpas på Folkpensionsanstalten och tjänsteanordnare inom socialvården från och med den 1 januari 2023 samt på uppgifter om recept och anknytande receptexpedieringar som registrerats i det receptcenter som avses i 3 § 1 mom. 4 punkten och i det receptarkiv som avses i 3 § 1 mom. 5 punkten i lagen om elektroniska recept från och med den 1 januari 2020.

Denna lag tillämpas på de Kanta-tjänster som avses i klientuppgiftslagen från och med den 1 januari 2020.

Uppgifter som före lagens ikraftträdande samlats in med den berördas samtycke får användas och lämnas ut för användningsändamål enligt 2 § trots vad som föreskrivs i 43 § 2 mom., om det är uppenbart att användningen och utlämnandet inte i väsentlig mån avviker från de syften för vilka uppgifterna har lämnats.

Behandlingen av en ansökan som har gjorts innan denna lag trätt i kraft slutförs i enlighet med de bestämmelser som gällde vid ikraftträdandet. På en ansökan som gäller utlämnande av personuppgifter enligt 4 § i lagen om riksomfattande personregister för hälsovården (556/1989) tillämpas dock inte skyldigheten enligt 1 mom. i den paragrafen att ge dataombudsmannen möjlighet att bli hörd, utan rätten enligt 44 § 4 mom. i denna lag att begära utlåtande från dataombudsmannen om en ansökan om användningstillstånd.

Bestämmelserna om en rådgivningstjänst i 13 § i denna lag ska tillämpas från och med den 1 januari 2018.

Bestämmelserna om behandling av begäranden om anonymiserad information i 41 § 2 mom. och 42 och 45 § i denna lag ska tillämpas från och med den 1 juni 2018.

Bestämmelserna om en tjänst för insamling, samkörning och förbehandling av uppgifter i 14 § 2 mom., ett hanteringssystem för begäranden om information i 16 § och informationssäker driftmiljö i 20 § 1 mom. tillämpas från och med den 1 juni 2018.

Behörighet för behandling av användningstillstånd bestäms i enlighet med 44 § 1 och 2 mom. i denna lag från och med den 1 september 2018. Ansökan om användningstillstånd ska via hanteringssystemet för begäranden om information lämnas till tillståndsmyndigheten från och med den 1 september 2018.

Institutet ska

3) bedriva forskning inom branschen,

3 a) främja utveckling och innovationer,

3 b) ta initiativ och göra framställningar som behövs för att utveckla social- och hälsovården och dess service och främja befolkningens hälsa och välfärd,

4) upprätthålla datafiler samt föra register inom området och sörja för kunskapsunderlaget inom sitt uppgiftsområde och för nyttiggörandet av det,

4 c) vara en statistikmyndighet som avses i 2 § 2 mom. i statistiklagen (280/2004),

4 d) föra kvalitetsregister inom branschen,

För skötseln av de uppgifter som Institutet för hälsa och välfärd har enligt 2 § 1—3 och 4 punkten samt 4 d-punkten har institutet rätt att avgiftsfritt och trots sekretessplikten och andra begränsningar i fråga om användningen av uppgifter få nödvändiga uppgifter om befolkningen tillsammans med identifieringsuppgifter enligt följande:

1) av myndigheter som ordnar social- och hälsovård enligt 4 § i lagen om offentlighet i myndigheternas verksamhet (621/1999) samt privata aktörer som ordnar och producerar social- och hälsovårdstjänster uppgifter som gäller institutionsvård och öppenvård samt prehospital akutsjukvård inom social- och hälsovården i fråga oma) kunder och patienter, b) foster, barn som fötts levande och barn som fötts döda samt uppgifter om modern och om fadern, om han är känd, c) serviceanordnare och serviceproducenter, d) tidpunkt för inledande och avslutande av servicen, e) kundens hemkommun och boendeform, f) grunden för tillhandahållande av servicen och tillgången till den, g) behovet, arten och omfattningen av servicen, h) sjukdom, skada, handikapp, social situation eller medicinskt tillstånd samt till dessa anknytande åtgärder och beslut, tjänster och vård, undersökningsresultat, medicinering och rehabilitering, i) vaccineringar samt annat förebyggande av sjukdomar och servicebehov, j) kvaliteten på åtgärder och tjänster och deras verkningsfullhet, k) produktsäkerheten i fråga om produkter och utrustning för hälso- och sjukvård, l) kund- och patientsäkerheten, m) personal och andra resurser som använts för tjänsterna och kostnaderna för dessa resurser, n) avgifter som tagits ut för tjänsterna.

2) av Folkpensionsanstalten a) uppgifter om de förmåner som Folkpensionsanstalten ålagts att verkställa och uppgifter om hur förmånerna använts samt uppgifter om recept och anknytande receptexpedieringar ur det receptarkiv och den receptdatabas som avses i lagen om elektroniska recept, b) uppgifter ur de riksomfattande informationssystemstjänster (Kanta-tjänster ) som avses i lagen om elektronisk behandling av klientuppgifter inom social- och hälsovården (159/2007),

3) av Tillstånds- och tillsynsverket för social- och hälsovårdena) uppgifter om avbrytande av havandeskap och om sterilisering enligt lagen om avbrytande av havandeskap (239/1970) och steriliseringslagen (283/1970), b) uppgifter om yrkesutbildade personer inom socialvården och hälso- och sjukvården ur det centralregister över yrkesutbildade personer inom hälso- och sjukvården som avses i 24 a § i lagen om yrkesutbildade personer inom hälso- och sjukvården (559/1994) och ur det centralregister över yrkesutbildade personer inom socialvården som avses i 16 § i lagen om yrkesutbildade personer inom socialvården (817/2015),

4) av Befolkningsregistercentralen grundläggande personuppgifter, uppgifter om personers familjeförhållanden och bostadsort samt byggnadsuppgifter ur befolkningsdatasystemet som avses i 3 § i lagen om befolkningsdatasystemet och Befolkningsregistercentralens certifikattjänster (661/2009), samt

5) av Statistikcentralen uppgifter som avses i lagen om utredande av dödsorsak (459/1973).

Som identifieringsuppgift enligt 1 mom. insamlas för en person personbeteckningen och för en annan dataenhet en identifieringskod.

De uppgifter som avses i 1 och 2 mom. får inhämtas med hjälp av en elektronisk anslutning.

Uppgifter som samlats in med stöd av 5 § 1 mom. 1 punkten i denna lag får lämnas ut med iakttagande av vad som föreskrivs i lagen om sekundär användning av personuppgifter inom social- och hälsovården ( / ).

Trots vad som föreskrivs någon annanstans i lag om rätten eller skyldigheten att lämna ut sekretessbelagda uppgifter, får uppgifter som samlats in med stöd av denna lag inte lämnas ut för att användas vid administrativt beslutsfattande som gäller enskilda personer eller familjer eller vid någon annan motsvarande behandling av ärenden.

Vad som föreskrivs i 2 mom. eller i någon annan lag utgör inget hinder för att uppgifterna lämnas tillbaka till den myndighet eller den tjänstetillhandahållare som har lämnat datamaterialet till institutet.

Institutet för hälsa och välfärd får bevara uppgifterna så länge det är nödvändigt för att fullgöra de uppdrag där uppgifterna behandlas, om det inte föreskrivs något annat om bevaring av uppgifter i någon annan lag som gäller institutet. Efter detta ska uppgifterna förstöras inom ett år, om inte Arkivverket med stöd av arkivlagen (831/1994) bestämmer att uppgifterna ska bevaras varaktigt.

Uppgifter som avses i artikel 9.1 i dataskyddsförordningen ska dock utplånas ur registret så snart den i 1 mom. avsedda grunden för behandling inte längre finns. Grunden och behovet av behandling ska bedömas minst vart femte år, om inte något annat följer av lag.

En registeransvarig, vars registeruppgifter omfattas av den rätt att få information som Institutet för hälsa och välfärd har enligt 5 § 1 mom., är skyldig att lämna institutet de uppgifter som avses i 5 § i enlighet med institutets beslut.

Institutet för hälsa och välfärd beslutar vilka nya insamlingar av uppgifter som ska genomföras på basis av den uppgiftsskyldighet som avses i 1 mom. samt om utvidgning av insamlingar av uppgifter, vilka tidsfrister och förfaranden som ska iakttas när uppgifterna lämnas samt om återrapportering till uppgiftslämnarna.

Omprövning av institutets beslut enligt 2 mom. får begäras på det sätt som anges i förvaltningslagen (434/2003). Vidare har Dataombudsmannen rätt att begära omprövning och söka ändring i ett beslut som avses i 2 mom.

I ett beslut som har fattats med anledning av en begäran om omprövning får ändring sökas genom besvär hos förvaltningsdomstolen på det sätt som anges i förvaltningsprocesslagen (568/1996). Förvaltningsdomstolens beslut får överklagas genom besvär bara om högsta förvaltningsdomstolen beviljar besvärstillstånd. Ett beslut kan verkställas omedelbart, om inte besvärsmyndigheten förbjuder verkställigheten.

Om det är fråga om en ny insamling av uppgifter, en betydande ändring av informationsinnehållet i uppgifter som redan samlas in eller en utvidgning av insamlingar av uppgifter, ska Institutet för hälsa och välfärd samråda med organisationer som företräder de uppgiftslämnare som avses i 5 c § 1 mom. samt höra Dataombudsmannen om i 5 § 2 mom. avsedd insamling av uppgifter innan institutet fattar beslut om uppgiftskyldigheten.

Vid samråd enligt 1 mom. bedöms behovet av de uppgifter som ska samlas in, innehållet och förändringar i det, bevaringstiden för uppgifterna och sättet att samla in dem samt behovet av identifieringsuppgifter.

Samråd och hörande enligt 1 mom. ska ordnas i så god tid att synpunkterna hos de instanser som företräder uppgiftslämnarna och dataombudsmannens synpunkter kan beaktas. Samråd ska ordnas också om en instans som företräder uppgiftslämnarna begär det.

För fullgörande av sina forsknings- och utredningsuppgifter enligt 2 § eller någon annan lag får Institutet för hälsa och välfärd samla in och behandla blod- och vävnadsprov om det är nödvändigt för skötseln av uppgifterna.

Institutet får i enlighet med biobankslagen (688/2012) överföra blod- och vävnadsprov som det innehar samt tillhörande uppgifter till en biobank.

På förvaring av blod- och vävnadsprov tillämpas 5 b § om bevaringstid för uppgifter.

Om forskning och material från forskning som bedrivs av universitet, andra forskningsinstitut, enskilda forskare, forskargrupper eller verksamhetsenheter inom social- och hälsovården är speciellt betydelsefulla för befolkningens välfärd eller hälsa och för forskning som gäller dem, får materialet oberoende av sekretessbestämmelserna överföras till Institutet för hälsa och välfärd genom ett avtal för att användas inom forskningsverksamhet.

För överföring av forskningsmaterial som avses i 1 mom. förutsätts det att den etiska kommittén vid Institutet för hälsa och välfärd ger ett positivt utlåtande om överlåtelsen.

Institutet för hälsa och välfärd och den som på förordnande av Institutet för hälsa och välfärd med stöd av mentalvårdslagen (1116/1990) utför sinnesundersökningar har rätt att avgiftsfritt och trots bestämmelserna om sekretess få uppgifter som behövs för utförande av sinnesundersökningar från statliga och kommunala myndigheter och andra offentligrättsliga sammanslutningar, Folkpensionsanstalten, Pensionsskyddscentralen, patientskadenämnden, pensionsstiftelser och andra pensionsanstalter, försäkringsanstalter, serviceproducenter enligt 2 § 2 mom. om privat hälso- och sjukvård (152/1990), och självständiga yrkesutövare enligt 2 § 3 mom. i den lagen, verksamhetsenheter enligt 3 § 2 mom. i lagen om privat socialservice (922/2011) samt apotek. Nämnden för rättspsykiatriska ärenden har rätt till motsvarande uppgifter för fullgörande av uppgifter enligt 3 a § 2 mom. i denna lag.

När Institutet för hälsa och välfärd verkar som statistikmyndighet som avses i 2 § 4 c punkten är kommuner, samkommuner, statliga myndigheter samt offentliga och privata tjänsteproducenter inom social- och hälsovården skyldiga att på begäran förse institutet med sådana uppgifter om social- och hälsovårdsverksamhet som är nödvändiga för att upprätta statistik och som inte innehåller identifieringsuppgifter. På motsvarande sätt är Folkpensionsanstalten skyldig att lämna forsknings- och utvecklingscentralen uppgifter om betalda förmånsbelopp och antalet förmånstagare.

Uppgifter som tagits emot med stöd av denna paragraf får behandlas endast i enlighet med statistiklagen.

Institutet för hälsa och välfärd får vidare använda uppgifter som det inhämtat med stöd av 5 § även för statistikmyndighetsuppgifter.

Med kvalitetsregister avses ett register vars uppgifter används för utvärdering av behandlingen av en viss sjukdom eller en viss behandlingsmetod eller för utvärdering av socialservice. I registret lagras nödvändiga personuppgifter i anknytning till sjukdomen och behandlingsmetoden eller tillhandahållandet av socialservice. För att behandlingens eller servicens kvalitet ska kunna utvärderas får det i registret dessutom lagras uppgifter om vilken verksamhetsenhet som svarat för behandlingen eller servicen och vilka personer som gett behandlingen eller servicen.

Ett kvalitetsregister som omfattas av Institutet för hälsa och välfärds registeransvar får användas för användningsändamål som avses i lagen om sekundär användning av personuppgifter inom social- och hälsovården.

Bestämmelser om vilka kvalitetsregister Institutet för hälsa och välfärd är registeransvarig för utfärdas genom förordning av social- och hälsovårdsministeriet. Institutet för hälsa och välfärd meddelar föreskrifter om datastrukturer och datainnehåll i sina kvalitetsregister.

Denna lag träder i kraft den 20 .

Om personuppgifter före denna lags ikraftträdande har samlats in i ett kvalitetsregister och den registeransvarige för personuppgifterna inte är en myndighet eller en verksamhetsenhet inom social- och hälsovården, ska den registeransvarige senast den 30 mars 2018 lämna uppgifter till social- och hälsovårdsministeriet om registret och dess registerbeskrivning samt andra nödvändiga uppgifter för att ärendet ska kunna bedömas.

Säkerhets- och utvecklingscentret för läkemedelsområdet meddelar närmare föreskrifter om förande av register över biverkningar och om rapportering av uppgifter till Säkerhets- och utvecklingscentret för läkemedelsområdet. Centret får vid behov meddela föreskrifter om rapporteringen av biverkningar av läkemedelspreparat till dem som har rätt att förskriva och expediera läkemedel.

Denna lag träder i kraft den 20 .

Genom denna lag upphävs i lagen om klientens ställning och rättigheter inom socialvården (812/2000) 18 § 5 mom., sådant det lyder i lag 796/2010.

Denna lag träder i kraft den 20 .

Genom denna lag upphävs i lagen om patientens ställning och rättigheter (785/1992) 13 § 5 mom., sådant det lyder i lag 795/2010.

Denna lag träder i kraft den 20 .

Tillståndsmyndigheten för social- och hälsovårdsuppgifter har rätt att behandla och lämna ut uppgifter ur receptcentret och receptarkivet i enlighet med lagen om sekundär användning av personuppgifter inom social- och hälsovården ( / ). Folkpensionsanstalten har rätt att utan tillstånd från tillståndsmyndigheten använda uppgifter i receptcentret och receptarkivet i anstaltens vetenskapliga forskning.

Folkpensionsanstalten får upprätta och överlåta sammanställningar över sådana uppgifter i receptcentret och receptarkivet som kan vara av betydelse för utredning av läkemedelssäkerheten och nyttan av och kostnaderna för läkemedelsbehandlingar samt för utvecklandet av Folkpensionsanstaltens verksamhet och tjänster.

Denna lag träder i kraft den 20 .

Genom denna lag upphävs 10 § 3 mom. i lagen om elektronisk behandling av klientuppgifter inom social- och hälsovården (159/2007).

Denna lag träder i kraft den 20 .

Genom denna lag upphävs i lagen om utredande av dödsorsak (459/1973) 15 § 3 mom., sådant det lyder i lag 684/1999.

Denna lag träder i kraft den 20 .

Genom denna lag upphävs 42 § i lagen om smittsamma sjukdomar (1227/2016).

Denna lag träder i kraft den 20 .

Genom denna lag upphävs lagen om riksomfattande personregister för hälsovården (556/1989).

Denna lag träder i kraft den 20 .

Genom denna lag upphävs lagen om statistikväsendet vid forsknings- och utvecklingscentralen för social- och hälsovården (409/2001).

Denna lag träder i kraft den 20 .