Reglering av hälsodataområdets sekundäranvändning

Genom denna lag utfärdas bestämmelser som kompletterar och preciserar Europaparlamentets och rådets förordning (EU) 2025/327 om det europeiska hälsodataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2847, nedan EHDS-förordningen, vad gäller sekundäranvändning av elektroniska hälsodata samt de sanktioner vid överträdelse av förordningen som avses i artikel 99 i EHDS-förordningen.

Denna lag tillämpas i enlighet med det tillämpningsområde som anges i artikel 1 i EHDS-förordningen. Denna lag tillämpas inte på riksdagsarbetet eller riksdagens ämbetsverk. Lagen tillämpas inte på riksdagens justitieombudsman och inte heller på justitiekanslern i statsrådet.

De förmedlingsenheter för hälsodata som avses i artikel 50.3 i EHDS-förordningen kan för vissa kategorier av hälsodatainnehavare som avses i artikel 2.2 t i EHDS-förordningen fullgöra de skyldigheter som avses i artikel 60 i EHDS-förordningen att behandla elektroniska hälsodata som hälsodatainnehavare tillhandahållit för sekundäranvändning. En förutsättning för detta är att hälsodatainnehavaren och förmedlingsenheten för hälsodata har specificerat de skyldigheter för hälsodatainnehavare som avses i artikel 60 i EHDS-förordningen och som förmedlingsenheten för hälsodata fullgör för hälsodatainnehavaren.

Den hälsodatainnehavare som överför sina uppgifter enligt EHDS-förordningen till en förmedlingsenhet för hälsodata ska informera organet för tillgång till hälsodata om överföringen.

Trots vad som föreskrivs i artikel 51 i EHDS-förordningen

1) ska en tjänstetillhandahållare som avses i 3 § 11 punkten i lagen om behandling av kunduppgifter (703/2023), nedan kunduppgiftslagen , göra sådana klientuppgifter inom socialvården som avses i 3 § 8 punkten i kunduppgiftslagen tillgängliga för sekundäranvändning enligt artikel 53 i EHDS-förordningen,

2) ska Folkpensionsanstalten göra de personuppgifter som har registrerats i en kundrelation vid förmånshandläggning tillgängliga för sekundäranvändning enligt artikel 53 i EHDS-förordningen.

Vad som föreskrivs i EHDS-förordningen och ovan i denna lag om behandling av elektroniska hälsodata för sekundäranvändning gäller också klientuppgifter inom socialvården och personuppgifter som har registrerats i en kundrelation vid förmånshandläggning.

I artikel 77 i EHDS-förordningen föreskrivs det om datasetbeskrivningar och datasetkataloger. Den i 4 § i lagen om sekundär användning av personuppgifter inom social- och hälsovården (552/2019) avsedda Tillståndsmyndigheten för användning av social- och hälsovårdsdata, nedan Tillståndsmyndigheten , har som uppgift att upprätthålla den nationella datasetkatalog som avses i artikel 77 i EHDS-förordningen.

Tillståndsmyndigheten meddelar närmare föreskrifter om beskrivningarnas datainnehåll, begrepp och datastrukturer när det gäller elektroniska hälsodata, klientuppgifter inom socialvården och personuppgifter som har registrerats i en kundrelation vid förmånshandläggning. Föreskriften ska åtminstone innehålla de minimiuppgifter som hälsodatainnehavare ska tillhandahålla för dataset och dessa uppgifters art enligt den genomförandeakt som antagits med stöd av artikel 77.4 i EHDS-förordningen. Innan föreskrifterna meddelas ska Tillståndsmyndigheten höra de berörda hälsodataanvändarna, användarna av klientuppgifter inom socialvården, användarna av förmånsuppgifter, hälsodatainnehavarna, tjänstetillhandahållarna inom socialvården, Folkpensionsanstalten och organen för tillgång till hälsodata.

Tillståndsmyndigheten meddelar närmare föreskrifter om mallar som ska iakttas i ansökningar om datatillstånd, i datatillstånd och i begäranden om hälsodata samt i beslut som gäller dem och som ska användas vid behandling av elektroniska hälsodata, klientuppgifter inom socialvården och personuppgifter som har registrerats i en kundrelation vid förmånshandläggning.

I föreskriften ska minimiuppgifterna enligt mallarna i den genomförandeakt som antagits med stöd av artikel 70 i EHDS-förordningen beaktas.

Innan föreskrifterna meddelas ska Tillståndsmyndigheten höra de berörda användarna av klientuppgifter inom socialvården och hälsodataanvändarna, hälsodatainnehavarna, tjänstetillhandahållarna inom socialvården, Folkpensionsanstalten och organen för tillgång till hälsodata.

Tillståndsmyndigheten upprätthåller en centraliserad e-tjänst för förmedling och behandling av ansökningar om datatillstånd och begäranden om hälsodata och för att kontrollera rätten att motsätta sig som avses i artikel 71 i EHDS-förordningen.

Via den centraliserade e-tjänsten kan den som ansöker om hälsodata med en enda ansökan som följer en sådan mall som avses i 5 § ansöka om datatillstånd eller lämna begäran om hälsodata och denna ansökan förmedlas genom en informationssäker överföringstjänst till det behöriga organ för tillgång till hälsodata som avses i 7 §.

Utredningar och kompletteringar som gäller ansökan om datatillstånd och begäran om hälsodata samt centrala utredningar och kompletteringar som sökanden gör samt ändringar i ansökan förmedlas via e-tjänsten. Beslut om tillstånd kan delges sökanden via e-tjänsten till behöriga organ för tillgång till hälsodata.

Vid ansökan om tillgång till elektroniska hälsodata som innehas av hälsodatainnehavare som är etablerade i mer än en medlemsstat eller från relevanta behöriga deltagare i Hälsodata@EU (HealthData@EU) som avses i artikel 75 i EHDS-förordningen, ska den som ansöker om hälsodata lämna in en enda ansökan om tillgång till hälsodata via den e-tjänst som avses i 1 mom.

Den ansökan som avses i 4 mom. ska automatiskt vidarebefordras till de relevanta behöriga deltagarna i Hälsodata@EU (HealthData@EU) och till organen för tillgång till hälsodata i de medlemsstater där de hälsodatainnehavare som identifieras i ansökan om tillgång till hälsodata är etablerade.

Sådana i artikel 55 i EHDS-förordningen avsedda organ för tillgång till hälsodata är

1) Tillståndsmyndigheten, och

2) den behöriga myndigheten i de välfärdsområden och i HUS-sammanslutningen som enligt 34 § i lagen om ordnande av social- och hälsovård (612/2021) är huvudmän för ett universitetssjukhus.

Bestämmelser om samarbete mellan välfärdsområdena finns i 5 kap. i lagen om ordnande av social- och hälsovård (612/2021).

Tillståndsmyndigheten är den samordnare som avses i artikel 55.1 i EHDS-förordningen och ansvarar för att samordna uppgifter med de andra i 1 mom. avsedda organen för tillgång till hälsodata både inom Finlands territorium och i andra medlemsstater.

Den myndighet som är organ för tillgång till hälsodata ska enligt artikel 55.2 i EHDS-förordningen ha följande:

de mänskliga, finansiella och tekniska resurser som krävs,

nödvändig expertis, och

de lokaler och den infrastruktur som krävs.

De myndigheter enligt 1 mom. som ansvarar för tillgång till hälsodata ska som organ för tillgång till hälsodata i enlighet med artikel 55.3 i EHDS-förordningen undvika intressekonflikter exempelvis genom att föreskriva om organisatoriska skyddsåtgärder såsom uppdelning mellan olika funktioner inom organet för tillgång till hälsodata, inbegripet bedömning av ansökningar, mottagande och framställning av dataset, till exempel anonymisering och pseudonymisering av dataset, samt tillhandahållande av data i säkra behandlingsmiljöer.

Den behöriga myndigheten i de välfärdsområden och i HUS-sammanslutningen som är huvudmän för ett universitetssjukhus ska

fatta beslut om sådana ansökningar om tillgång till hälsodata som avses i artikel 67 i EHDS-förordningen, om godkännande och utfärdande av datatillstånd för att få tillgång till elektroniska hälsodata som omfattas av deras ansvarsområde för sekundäranvändning och besluta om begäranden om hälsodata som lämnats in enligt artikel 69 i EHDS-förordningen, i enlighet med kapitel IV i EHDS-förordningen och kapitel II i Europaparlamentets och rådets förordning (EU) 2022/868 om europeisk dataförvaltning och om ändring av förordning (EU) 2018/1724 (dataförvaltningsförordningen ), inbegripet att ge hälsodataanvändare tillgång till elektroniska hälsodata enligt ett datatillstånd i en säker behandlingsmiljö i enlighet med artikel 73 i EHDS-förordningen och som utgörs av sådana digitala hälsodata och klientuppgifter inom socialvården som ingår i registerföringen hos det välfärdsområde som är huvudman för universitetssjukhuset i fråga, välfärdsområdets samarbetsområde, Helsingfors stad eller en sådan betrodd hälsodatainnehavare som avses i artikel 72 i EHDS-förordningen för sådan sekundäranvändning som avses i EHDS-förordningen, övervaka att hälsodataanvändare och hälsodatainnehavare uppfyller kraven i EHDS-förordningen, begära in elektroniska hälsodata som avses i artikel 51 från berörda hälsodatainnehavare enligt ett datatillstånd som utfärdats eller en begäran om hälsodata som beviljats,

behandla elektroniska hälsodata, såsom genom mottagande, kombination, förberedelse och sammanställning av sådana data som begärts från hälsodatainnehavare, och pseudonymisering eller anonymisering av dessa data,

vidta alla nödvändiga åtgärder för att bevara konfidentialiteten för immateriella rättigheter, för lagstadgat dataskydd samt för att bevara konfidentialiteten för företagshemligheter i enlighet med artikel 52 i EHDS-förordningen, med beaktande av de relevanta rättigheterna för både hälsodatainnehavaren och hälsodataanvändaren,

samarbeta med hälsodatainnehavare, hälsodataanvändare och Tillståndsmyndigheten,

töva tillsyn över hälsodatainnehavare i samarbete med Tillståndsmyndigheten för att säkerställa ett enhetligt och korrekt genomförande av bestämmelserna om datakvalitets- och funktionalitetsmärkning,

upprätthålla ett annat förvaltningssystem än det som avses i 6 § för att registrera och behandla ansökningar om tillgång till hälsodata, begäranden om hälsodata, beslut om dessa ansökningar och begäranden samt utfärdade datatillstånd och begäranden om data som handlagts, med åtminstone information om namnet på den som ansöker om hälsodata, syftet med tillgången, datum för utfärdande, datatillståndets varaktighet och en beskrivning av ansökan om tillgång till hälsodata eller begäran om hälsodata och upprätthålla ett offentligt informationssystem för att fullgöra skyldigheterna enligt artikel 58 i EHDS-förordningen,

offentliggöra uppgifter i enlighet med artikel 57.1 led j ii–iii och v–vii i EHDS-förordningen, samt

fullgöra skyldigheter gentemot fysiska personer enligt artikel 58 i EHDS-förordningen.

Till Tillståndsmyndighetens uppgifter hör att svara för uppgifterna enligt artikel 57 i EHDS-förordningen

om ansökan om datatillstånd eller begäran om hälsodata gäller elektroniska hälsodata, klientuppgifter inom socialvården eller personuppgifter som har registrerats i en kundrelation vid förmånshandläggning som ingår i registerföringen hos en eller flera sådana hälsodatainnehavare som inte ingår i den i 1 mom. avsedda behöriga myndighetens område eller kunduppgifter som lagrats i de riksomfattande informationssystemtjänsterna (Kanta-tjänsterna) som avses i kunduppgiftslagen, eller

om den som ansöker om hälsodata vill ha endast ett beslut om datatillstånd eller ett beslut om hälsodata som gäller elektroniska hälsodata, klientuppgifter inom socialvården eller personuppgifter som har registrerats i en kundrelation vid förmånshandläggning som ingår i en eller flera hälsodatainnehavares registerföring.

Utöver vad som föreskrivs i 2 mom. och om inte något annat särskilt föreskrivs i denna lag, ska Tillståndsmyndigheten svara för alla övriga uppgifter enligt artikel 57 i EHDS-förordningen och för skötseln av alla andra uppgifter som sammanhänger med möjliggörande av sekundäranvändning av elektroniska hälsodata inom ramen för kapitel IV i EHDS-förordningen samt de uppgifter som särskilt ålagts den i denna lag.

Tillståndsmyndigheten ska när den utför uppgifter enligt denna lag samarbeta med organen för tillgång till hälsodata, hälsodatainnehavarna och hälsodataanvändarna.

Sådana i artikel 72 i EHDS-förordningen avsedda betrodda hälsodatainnehavare är

Folkpensionsanstalten,

Institutet för hälsa och välfärd,

Tillstånds- och tillsynsverket,

Arbetshälsoinstitutet,

Säkerhets- och utvecklingscentret för läkemedelsområdet,

Statistikcentralen,

Pensionsskyddscentralen, samt

Myndigheten för digitalisering och befolkningsdata.

Andra än de i 1 mom. avsedda hälsodatainnehavarna kan av Tillståndsmyndigheten ansöka om att utses till betrodda hälsodatainnehavare, om de kan ge tillgång till hälsodata genom en sådan säker behandlingsmiljö som uppfyller kraven i artikel 73 i EHDS-förordningen, har den sakkunskap som krävs för att bedöma ansökningar om tillgång till hälsodata och begäranden om hälsodata samt ger de garantier som krävs för att säkerställa att EHDS-förordningen efterlevs.

Tillståndsmyndigheten ska utse en betrodd hälsodatainnehavare efter det att den gjort en bedömning av att villkoren i 2 mom. uppfylls.

Tillståndsmyndigheten ska regelbundet se över huruvida den betrodda hälsodatainnehavaren fortsätter att uppfylla villkoren i 2 mom.

Om Tillståndsmyndigheten bedömer att en betrodd hälsodatainnehavare inte längre uppfyller villkoren i 2 mom. ska Tillståndsmyndigheten uppmana den betrodda hälsodatainnehavaren att inom en skälig tid åtgärda bristerna. Om den betrodda hälsodatainnehavaren inte åtgärdar bristerna inom tidsfristen eller om den betrodda hälsodatainnehavaren ansöker om att avstå från att vara betrodd hälsodatainnehavare, kan Tillståndsmyndigheten besluta att en i 2 och 3 mom. avsedd betrodd hälsodatainnehavare inte längre är verksam som betrodd hälsodatainnehavare.

Den betrodda hälsodatainnehavaren ska överlämna den bedömning som den utför enligt 3 mom., tillsammans med ett sådant förslag till beslut som avses i 7 §, till det behöriga organet för tillgång till hälsodata inom två månader från det att ansökan om tillgång till hälsodata eller begäran om hälsodata mottogs från organet för tillgång till hälsodata. Inom två månader från mottagandet av bedömningen ska det behöriga organ för tillgång till hälsodata som avses i 7 § utfärda ett beslut om ansökan om tillgång till hälsodata eller begäran om hälsodata. Det behöriga organet för tillgång till hälsodata ska inte vara bundet av förslaget från den betrodda hälsodatainnehavaren.

Det organ för tillgång till hälsodata som avses i 7 § ska utfärda eller neka ett datatillstånd senast två månader efter att ha mottagit en fullständig ansökan om tillgång till hälsodata, om behandlingen av elektroniska hälsodata ska utföras för de ändamål som anges i artikel 53.1 a, b och c och den sökande är en offentlig myndighet och en av Europeiska unionens institutioner, organ eller byråer med rättsligt mandat på folkhälsoområdet.

Organet för tillgång till hälsodata får vid behov förlänga tidsfristen för att besvara en ansökan om tillgång till hälsodata med ytterligare en månad.

I artikel 71 i EHDS-förordningen föreskrivs det om fysiska personers rätt att motsätta sig behandlingen av elektroniska hälsodata med personuppgifter för sådan sekundäranvändning som avses i kapitel IV i EHDS-förordningen.

En fysisk person har rätt att för sekundäranvändning motsätta sig all behandling av elektroniska hälsodata med personuppgifter, klientuppgifter inom socialvården och personuppgifter som har registrerats i en kundrelation vid förmånshandläggning.

En fysisk person kan utöva den rätt som avses i artikel 71 i EHDS-förordningen att motsätta sig behandlingen i fråga om alla eller enskilda ändamål som avses i artikel 53.1 a–f i EHDS-förordningen.

En fysisk person kan utöva den rätt som avses i artikel 71 i EHDS-förordningen att motsätta sig behandlingen i fråga om alla eller enskilda kategorier av elektroniska hälsodata som avses i artikel 51.1 f, g, i och q i EHDS-förordningen.

En fysisk person kan utöva den rätt som avses i artikel 71 i EHDS-förordningen att motsätta sig behandlingen av elektroniska hälsodata genom det medborgargränssnitt som avses i 74 § i kunduppgiftslagen eller vid ett serviceställe hos hälsodatainnehavaren, tillhandahållaren av socialvårdstjänster eller Folkpensionsanstalten.

Det behöriga organet för tillgång till hälsodata ska säkerställa att efter det att fysiska personer har utövat sin rätt att motsätta sig behandlingen av elektroniska hälsodata med personuppgifter, klientuppgifter inom socialvården och personuppgifter som har registrerats i en kundrelation vid förmånshandläggning som rör dem och sådana uppgifter kan identifieras i ett dataset, får de ovan nämnda uppgifter som rör dessa fysiska personer inte göras tillgängliga eller på annat sätt behandlas på grundval av datatillstånd eller begäranden om hälsodata som beviljats efter det att den fysiska personen har utövat sin rätt att motsätta sig behandlingen.

Genom undantag från den rätt att motsätta sig behandling som föreskrivs i artikel 71.1 i EHDS-förordningen får elektroniska hälsodata, klientuppgifter inom socialvården eller personuppgifter som har registrerats i en kundrelation vid förmånshandläggning göras tillgängliga genom beslut av ett organ för tillgång till hälsodata förutsatt att samtliga följande villkor är uppfyllda:

1) ansökan om tillgång till hälsodata eller begäran om hälsodata lämnas in av en offentlig myndighet eller en av unionens institutioner, organ eller byråer med uppdrag att utföra uppgifter på folkhälsoområdet, eller av en annan enhet som anförtrotts att utföra offentliga uppgifter på folkhälsoområdet, eller som agerar för eller på uppdrag av en offentlig myndighet, och behandlingen av dessa data är nödvändig för något av följande ändamål:a) de ändamål som avses i artikel 53.1 a, b och c, b) vetenskaplig forskning av viktiga skäl som rör allmänintresset.

2) uppgifterna kan inte snabbt och effektivt erhållas på alternativa sätt på likvärdiga villkor,

3) den som ansöker om hälsodata har tillhandahållit den motivering som avses i artikel 68.1 g eller 69.2 g.

När personuppgifter behandlas i situationer som avses i 1 mom. ska en offentlig myndighet eller en av unionens institutioner, organ eller byråer med uppdrag att utföra uppgifter på folkhälsoområdet, eller av en annan enhet som anförtrotts att utföra offentliga uppgifter på folkhälsoområdet, eller som agerar för eller på uppdrag av en offentlig myndighet vidta lämpliga och särskilda åtgärder för att skydda de registrerades rättigheter.

Ett organ för tillgång till hälsodata ska meddela den fysiska personen ett skriftligt beslut genom vilket dennes rätt att motsätta sig sekundäranvändning av sina elektroniska hälsodata med personuppgifter har begränsats.

När elektroniska hälsodata, klientuppgifter inom socialvården eller personuppgifter som har registrerats i en kundrelation vid förmånshandläggning behandlas med stöd av 1 mom. ska kraven i kapitel IV i EHDS-förordningen iakttas.

Enligt bestämmelserna i artikel 62 i EHDS-förordningen får organ för tillgång till hälsodata, inbegripet unionens tjänst för tillgång till hälsodata, eller betrodda hälsodatainnehavare som avses i artikel 72 i EHDS-förordningen, ta ut avgifter för att göra elektroniska hälsodata tillgängliga för sekundäranvändning.

Nedsatta avgifter får fastställas för hälsodataanvändare i unionen med rättsligt mandat på folkhälsoområdet, samt för universitetsforskare eller mikroföretag.

Av särskilda skäl kan det bestämmas att det inte tas ut någon avgift av vissa hälsodataanvändare.

Genom förordning av statsrådet föreskrivs närmare villkor för nedsatta avgifter eller för att avgifter inte ska tas ut av vissa hälsodataanvändare som har ett rättsligt mandat på folkhälsoområdet samt av högskole- och universitetsforskare eller mikroföretag.

Tillståndsmyndigheten är den nationella kontaktpunkt för sekundäranvändning Hälsodata@EU (HealthData@EU) som avses i artikel 75 i EHDS-förordningen och upprätthåller den e-tjänst för ansökningar om datatillstånd och begäranden om hälsodata som förutsätts av den.

Hälsodataanvändaren kan meddela organet för tillgång till hälsodata om hälsodataanvändaren korrigerat, annoterat, kompletterat eller på annat sätt förbättrat exaktheten, fullständigheten eller kvaliteten hos de digitala hälsodata som behandlats.

Organet för tillgång till hälsodata ska återlämna dessa förbättrade elektroniska hälsodata till hälsodatainnehavaren.

Hälsodatainnehavaren ska göra det nya datasetet tillgängligt avgiftsfritt, såvida inte denne kan motivera för organet för tillgång till hälsodata varför detta inte kan ske, till exempel när den berikning som gjorts av dataanvändaren är av låg kvalitet.

I artikel 73 i EHDS-förordningen och i den genomförandeakt som antagits med stöd av den artikeln föreskrivs det om en säker behandlingsmiljö och om tekniska och organisatoriska krav, krav på informationssäkerhet, konfidentialitetskrav, dataskyddskrav och krav på interoperabilitet för de säkra behandlingsmiljöerna.

Organen för tillgång till hälsodata som avses i 7 § ska säkerställa att revisioner av de säkra behandlingsmiljöerna utförs regelbundet, även av tredje parter, och vidta korrigerande åtgärder vid brister, risker eller sårbarheter som identifierats i de säkra behandlingsmiljöerna genom dessa revisioner.

I lagen om bedömning av informationssäkerheten i myndigheternas informationssystem och datakommunikation (1406/2011) finns bestämmelser om bedömning av informationssäkerheten i myndigheternas informationssystem och datakommunikation.

Bestämmelser om Transport- och kommunikationsverkets uppgifter vid utarbetandet av säkerhetsutredningar av företag finns i säkerhetsutredningslagen (726/2014).

En tjänsteleverantör som erbjuder tjänster i anslutning till en säker behandlingsmiljö, nedan tjänsteleverantör , ska genom ett uppdaterat och systematiskt förfarande följa och utvärdera de erfarenheter som fås av den säkra behandlingsmiljön under den tid den används för produktion. Tjänsteleverantören ska ge akt på ändringar i denna lag och i genomförandeakter enligt artikel 73.5 i EHDS-förordningen och göra de justeringar i behandlingsmiljön som ändringen förutsätter. Väsentliga förändringar i den säkra behandlingsmiljön ska meddelas till det behöriga organet för tillgång till hälsodata som avses i 7 § samt till Tillstånds- och tillsynsverket.

Tjänsteleverantören ska bevara uppgifterna om överensstämmelse med kraven och övriga uppgifter som tillsynen kräver i minst fem år efter det att den säkra behandlingsmiljön inte längre används för produktion.

De i 7 § avsedda organen för tillgång till hälsodata och Tillstånds- och tillsynsverket ska utöva tillsyn och främja att de säkra behandlingsmiljöerna uppfyller de dataskyddskrav och krav på informationssäkerhet som avses i artikel 73 i EHDS-förordningen och i de genomförandeakter som antagits med stöd av artikel 73.5 i den förordningen. Tillstånds- och tillsynsverket för ett offentligt register över behandlingsmiljöer som uppfyller kraven och som anmälts till verket.

Tillstånds- och tillsynsverket har rätt att anlita utomstående experter för bedömning av säkra behandlingsmiljöers överensstämmelse med kraven. Utomstående experter får delta i inspektioner som avses i denna lag samt undersöka och testa behandlingsmiljöer. Utomstående experter ska ha den sakkunskap och kompetens som uppgifterna kräver.

På utomstående experter som utför uppgifter enligt denna lag tillämpas förvaltningslagens (434/2003) bestämmelser om tjänstemannajäv och bestämmelserna om straffrättsligt tjänsteansvar.

Tillstånds- och tillsynsverket har rätt att, avgiftsfritt och trots sekretessbestämmelserna, för tillsynen över behandlingsmiljöer få nödvändiga uppgifter av organ för tillgång till hälsodata, hälsodatainnehavare och tjänsteleverantörer som omfattas av EHDS-förordningen, denna lag eller av bestämmelser som utfärdats med stöd av den.

Tillstånds- och tillsynsverket får med anledning av en inspektion som gjorts med stöd av 18 § ålägga tjänsteleverantören att avhjälpa brister i behandlingsmiljöer som används för produktion.

Om en säker behandlingsmiljö kan äventyra dataskyddet, eller om systemet inte uppfyller de krav som ställs på det i EHDS-förordningen och i denna lag, och bristerna inte har avhjälpts inom den tidsfrist som Tillstånds- och tillsynsverket har satt ut, får verket förbjuda användningen av behandlingsmiljön till dess att bristerna har avhjälpts. Vidare får det behöriga organ för tillgång till hälsodata som avses i 7 § eller en betrodd hälsodatainnehavare stänga av förbindelsen till den säkra behandlingsmiljön och andra informationssystem, om den som använder dem äventyrar eller ett utomstående system som anslutits till dem kan äventyra en ändamålsenlig användning av informationssystemet.

Tillstånds- och tillsynsverket får ålägga tjänsteleverantören eller en befullmäktigad representant att inom den tid och på det sätt som verket bestämmer informera om beslut som gäller användningen av den säkra behandlingsmiljön för produktion.

Om en tjänsteleverantör, hälsodatainnehavare eller ett i 7 § avsett organ för tillgång till hälsodata har underlåtit att fullgöra sin skyldighet enligt kapitel IV i EHDS-förordningen eller denna lag när det gäller säkra behandlingsmiljöer eller deras användning, får Tillstånds- och tillsynsverket meddela ett föreläggande om att skyldigheten ska uppfyllas inom utsatt tid.

Dessutom får ett sådant behörigt organ för tillgång till hälsodata som avses i 7 § eller en betrodd hälsodatainnehavare stänga av förbindelsen till den säkra behandlingsmiljön, om tjänsteleverantören eller ett annat organ för tillgång till hälsodata eller en annan betrodd hälsodatainnehavare, trots den tid som Tillstånds- och tillsynsverket satt ut, underlåtit att fullgöra sin skyldighet enligt EHDS-förordningen och denna lag när det gäller säkra behandlingsmiljöer eller deras användning.

Utan att det påverkar något annat administrativt prövningsförfarande eller rättsmedel ska fysiska och juridiska personer ha rätt att till Tillstånds- och tillsynsverket lämna in ett klagomål med avseende på bestämmelserna i kapitel IV i EHDS-förordningen antingen enskilt eller, i förekommande fall, kollektivt, förutsatt att deras rättigheter eller intressen påverkas negativt.

Om klagomålet gäller fysiska personers rättigheter enligt artikel 71 i EHDS-förordningen ska klagomålet överföras till dataombudsmannen. Tillstånds- och tillsynsverket ska trots sekretessbestämmelserna och avgiftsfritt tillhandahålla den nödvändiga information som står till dess förfogande till dataombudsmannen för att underlätta bedömningen och utredningen av klagomålet.

Tillståndsmyndigheten svarar i samarbete med andra organ för tillgång till hälsodata för sådant säkerställande av efterlevnad som avses i artikel 63 i EHDS-förordningen.

Om hälsodataanvändare handlar i strid med kraven i kapitel IV i EHDS-förordningen ska organ för tillgång till hälsodata ha befogenhet att återkalla det datatillstånd som utfärdats enligt artikel 68 i EHDS-förordningen och utan onödigt dröjsmål stoppa den berörda behandlingen av elektroniska hälsodata som utförs av hälsodataanvändaren, och de ska vidta lämpliga och proportionella åtgärder för att säkerställa att hälsodataanvändaren behandlar dessa data på ett korrekt sätt. Som en del av sådana tillsynsåtgärder har Tillståndsmyndigheten vid behov befogenhet att inleda förfaranden för att utesluta den berörda hälsodataanvändaren från all tillgång till elektroniska hälsodata inom det europeiska hälsodataområdet i samband med sekundäranvändning under en period på upp till fem år.

Om hälsodatainnehavare handlar i strid med kraven genom att undanhålla elektroniska hälsodata från organ för tillgång till hälsodata med en uppenbar avsikt att förhindra användningen av elektroniska hälsodata eller genom att inte hålla de tidsfrister som anges i artikel 60.2 i EHDS-förordningen, har Tillståndsmyndigheten befogenhet att ålägga hälsodatainnehavaren vite för varje förseningsdag. Vite föreläggs hälsodatainnehavaren i form av löpande vite per dag. Det vite som föreläggs en hälsodatainnehavare får per förseningsdag uppgå till högst två procent av hälsodatainnehavarens genomsnittliga globala dagsomsättning eller dagsinkomst under det räkenskapsår som föregår beslutet om vitesföreläggande. Vite föreläggs med avvikelse från vad som anges i 9 § i viteslagen (1113/1990) utan fast grundbelopp och tilläggsbelopp. Med avvikelse från vad som anges i 10 § 2 mom. i viteslagen får vite på en gång dömas ut för högst 60 dagar, och för den överstigande tiden bortfaller vite för de dagar som har börjat innan beslutet om utdömande av vite fattas. I övrigt tillämpas i fråga om vite viteslagen.

Om hälsodatainnehavaren vid upprepade tillfällen bryter mot skyldigheten att samarbeta med organet för tillgång till hälsodata, får Tillståndsmyndigheten inleda förfaranden för att utesluta den berörda hälsodatainnehavaren från att lämna in ansökningar om tillgång till hälsodata med stöd av kapitel IV i EHDS-förordningen under en period på upp till fem år. Under perioden för denna uteslutning ska hälsodatainnehavaren fortfarande vara skyldig att göra data tillgängliga enligt kapitel IV i EHDS-förordningen, när så är tillämpligt.

Bestämmelser om allmänna villkor för påförande av administrativa sanktionsavgifter (administrativa påföljdsavgifter ) finns i artikel 64 i EHDS-förordningen.

Påföljdsavgift får inte påföras, om det har förflutit mer än tio år sedan överträdelsen eller försummelsen har skett. Om överträdelsen eller försummelsen har varit fortlöpande räknas den tioåriga tidsfristen från det att överträdelsen eller försummelsen har upphört.

I anslutning till Tillståndsmyndigheten finns ett påföljdskollegium vars uppgift är att påföra de påföljder som avses i artikel 64 i EHDS-förordningen med stöd av EHDS-förordningen och 25 § i denna lag.

Tillståndsmyndigheten utser en ordförande, en vice ordförande och tre medlemmar till påföljdskollegiet som finns i anslutning till Tillståndsmyndigheten. Ordföranden, vice ordföranden och medlemmarna i påföljdskollegiet ska vara sådana tjänstemän vid Tillståndsmyndigheten som är väl insatta i den reglering som tillämpas i dess uppgifter. Ordföranden och vice ordföranden för påföljdskollegiet ska dessutom ha sådan tillräcklig juridisk sakkunskap som uppgiften förutsätter. Påföljdskollegiets mandatperiod är tre år.

Ordföranden, vice ordföranden och medlemmarna i påföljdskollegiet ska agera oberoende och opartiskt i sitt uppdrag.

Påföljdskollegiet är beslutfört med tre medlemmar. Av de närvarande ska en vara ordföranden eller vice ordföranden. Som beslut gäller den mening som flertalet har understött. Vid lika röstetal gäller som beslut den mening som är lindrigare för den som påföljden riktas mot.

Tillståndsmyndigheten och påföljdskollegiet som verkar i anslutning till den har trots sekretessbestämmelserna rätt att avgiftsfritt få de uppgifter som är nödvändiga för skötseln av deras uppgifter av hälsodataanvändare, användare av klientuppgifter inom socialvården, användare av förmånsuppgifter, hälsodatainnehavare, tjänstetillhandahållare inom socialvården och Folkpensionsanstalten.

I utrymmen som används för boende av permanent natur får Tillståndsmyndigheten eller påföljdskollegiet i anslutning till den förrätta inspektion endast om det är nödvändigt för att utreda de omständigheter som inspektionen gäller och det i fallet i fråga finns grundad och specificerad anledning att misstänka att det har skett eller kommer att ske en sådan överträdelse av bestämmelserna som avses i artikel 63 och 64 i EHDS-förordningen att påföljden kan vara en administrativ påföljdsavgift eller ett straff enligt strafflagen (39/1889). På inspektioner tillämpas dessutom 39 § i förvaltningslagen (434/2003).

Tillståndsmyndigheten och det påföljdskollegium som verkar i anslutning till den får vid inspektioner som ingår i deras befogenheter anlita biträde av utomstående experter.

På en expert tillämpas bestämmelserna om straffrättsligt tjänsteansvar när personen sköter sådana uppgifter. Bestämmelser om skadeståndsansvar finns i skadeståndslagen.

Tillståndsmyndigheten och påföljdskollegiet som verkar i anslutning till den har rätt att på begäran få handräckning av polisen för att utföra de uppgifter som avses i 24 och 25 § i denna lag.

Trots vad som särskilt föreskrivs i kunduppgiftslagen kan Tillstånds- och tillsynsverket, om det konstaterar en överträdelse av skyldigheterna eller förbuden enligt EHDS-förordningen, meddela en anmärkning eller utfärda en varning samt ålägga den som bryter mot EHDS-förordningen att upphöra med överträdelsen, avhjälpa sitt fel eller sin försummelse eller förbjuda den åtgärd som står i strid med EHDS-förordningen.

Tillstånds- och tillsynsmyndigheten kan sätta ut en skälig tidsfrist inom vilken överträdelsen eller försummelsen ska upphöra.

Tillstånds- och tillsynsverket kan förena ett tillsynsbeslut enligt 30 § eller något annat föreläggande som det meddelat med stöd av denna lag med ett vitesföreläggande eller ett hot om avbrytande eller att den försummade åtgärden vidtas på den försumliges bekostnad.

Tillstånds- och tillsynsverket ska underrätta det organ för tillgång till hälsodata som avses i 7 § om ett beslut som verket meddelat med stöd av 21 och 22 §.

Bestämmelser om vite finns i viteslagen (1113/1990).

Tillstånds- och tillsynsverket får lämna ett ärende utan prövning, om ärendet trots en misstanke om fel eller försummelser endast har en ringa betydelse med tanke på fullgörandet av skyldigheterna enligt EHDS-förordningen. Tillstånds- och tillsynsverket ska genast när det är möjligt fatta beslut om att inte ta upp ett ärende till prövning.

Tillstånds- och tillsynsverket har rätt att utföra inspektioner som krävs för tillsynen.

Tillstånds- och tillsynsverket har för att utföra inspektioner och för tillsynen över misstänkta överträdelser av skyldigheterna enligt EHDS-förordningen rätt att få tillträde till lokaler som en tillhandahållare av social- och hälsovårdstjänster, en ekonomisk aktör med anknytning till elektroniska hälsodokumentationssystem, hälsodatainnehavare och hälsodataanvändare som avses i EHDS-förordningen använder för ändamål som rör deras närings- eller yrkesverksamhet och att utföra de inspektioner som behövs för tillsynsärendet. Rätten att få tillträde till och utföra inspektioner i lokaler gäller inte utrymmen som används för boende av permanent natur.

Tillstånds- och tillsynsverket har vid inspektionerna trots sekretessbestämmelserna och oberoende av lagringsmediet rätt att få för granskning, kopiera och för kopiering omhänderta alla handlingar som inspektören ber om och som behövs för inspektionen eller affärskorrespondens, bokföring, andra handlingar och information, i vilken form som helst, som behövs för en tillsynsuppgift i samband med en misstänkt överträdelse. De tjänstemän som förrättar inspektionen har rätt att av lagliga företrädare för eller anställda hos föremålet för inspektionen få redogörelser för fakta och handlingar som har samband med föremålet för och ändamålet med inspektionen och protokollföra de svar som har erhållits. Tillstånds- och tillsynsverket ska bevara inspektionsprotokollet i tio år efter det att inspektionen utfördes.

På inspektioner tillämpas dessutom 39 § i förvaltningslagen (434/2003).

Tillstånds- och tillsynsverket har rätt att på begäran få handräckning av polisen för att utföra sina tillsyns- och uppföljningsuppgifter enligt dataförordningen och denna lag.

Påföljdsavgift kan av Tillstånds- och tillsynsverket påföras en privat tillhandahållare av hälso- och sjukvårdstjänster som uppsåtligen eller av oaktsamhet bryter mot eller försummar skyldigheten att

tillgodose fysiska personers rättigheter i enlighet med artikel 3 och artiklarna 5–9 i kapitel II i EHDS-förordningen,

tillgodose rättigheter och uppfylla skyldigheter som gäller yrkesutbildade personer inom hälso- och sjukvården i enlighet med artikel 11 och 12 i kapitel II i EHDS-förordningen,

genomföra registrering av elektroniska hälsodata med personuppgifter som avses i artikel 13 i kapitel II i EHDS-förordningen,

göra prioriterade kategorier av elektroniska hälsodata med personuppgifter tillgängliga i enlighet med artikel 14 i kapitel II i EHDS-förordningen,

använda ett hälsodokumentationssystem som följer de tekniska specifikationerna enligt det europeiska formatet för utbyte av elektronisk hälsodokumentation för de prioriterade kategorierna av elektroniska hälsodata med personuppgifter i enlighet med kapitel II i EHDS-förordningen, samt

använda den interoperabla mekanismen för gränsöverskridande identifiering och autentisering för fysiska personer och hälso- och sjukvårdspersonal som uppfyller kraven i den Europeiska kommissionens genomförandeakt som antagits med stöd av artikel 16.2 i EHDS-förordningen.

Påföljdsavgift kan av Tillstånds- och tillsynsverket dessutom påföras en privat tillhandahållare av hälso- och sjukvårdstjänster för att effektivisera de åtgärder som vidtas av en myndighet för digital hälsa som avses i artikel 19 i kapitel II i EHDS-förordningen och av en myndighet som avses i artikel 21 i det kapitlet.

Påföljdsavgift kan av Tillstånds- och tillsynsverket påföras tillverkare av elektroniska hälsodokumentationssystem som uppsåtligen eller av oaktsamhet bryter mot eller försummar de skyldigheter som ålagts dem enligt artikel 30.1 a–c och i–l i EHDS-förordningen eller skyldigheter som marknadskontrollmyndigheten ålagt dem.

Påföljdsavgift kan av Tillstånds- och tillsynsverket påföras auktoriserade representanter för elektroniska hälsodokumentationssystem som uppsåtligen eller av oaktsamhet bryter mot eller försummar de skyldigheter som ålagts dem enligt artikel 31.2 b–d och f i EHDS-förordningen eller skyldigheter som marknadskontrollmyndigheten ålagt dem.

Påföljdsavgift kan av Tillstånds- och tillsynsverket påföras importörer av elektroniska hälsodokumentationssystem som uppsåtligen eller av oaktsamhet bryter mot eller försummar de skyldigheter som ålagts dem enligt artikel 32.1, 32.2, 32.4, 32.5 och 32.7–32.9 i EHDS-förordningen eller skyldigheter som marknadskontrollmyndigheten ålagt dem.

Påföljdsavgift kan av Tillstånds- och tillsynsverket påföras distributörer av elektroniska hälsodokumentationssystem som uppsåtligen eller av oaktsamhet bryter mot eller försummar de skyldigheter som ålagts dem enligt artikel 33.3 och 33.4 i EHDS-förordningen eller skyldigheter som marknadskontrollmyndigheten ålagt dem.

Påföljdsavgift kan av Tillstånds- och tillsynsverket påföras privata hälsodataanvändare som uppsåtligen eller av oaktsamhet bryter mot eller försummar de skyldigheter som ålagts dem enligt artikel 61.2–61.5 i EHDS-förordningen och för vilka påföljdskollegiet i anslutning till Tillståndsmyndigheten inte har påfört en sådan administrativ påföljdsavgift som avses i artikel 64 i EHDS-förordningen.

Påföljdsavgift kan av Tillstånds- och tillsynsverket påföras privata hälsodatainnehavare som uppsåtligen eller av oaktsamhet bryter mot eller försummar de skyldigheter som ålagts dem enligt artikel 60 i EHDS-förordningen och för vilka påföljdskollegiet i anslutning till Tillståndsmyndigheten inte har påfört en sådan administrativ påföljdsavgift som avses i artikel 64 i EHDS-förordningen.

Påföljdsavgift kan av Tillstånds- och tillsynsverket påföras privata betrodda hälsodatainnehavare som uppsåtligen eller av oaktsamhet bryter mot eller försummar de skyldigheter som ålagts dem enligt artikel 72 i EHDS-förordningen och för vilka påföljdskollegiet i anslutning till Tillståndsmyndigheten inte har påfört en sådan administrativ påföljdsavgift som avses i artikel 64 i EHDS-förordningen.

Storleken på en påföljdsavgift som gäller överträdelse av EHDS-förordningen är högst 100 000 euro.

Påföljdsavgiftens storlek ska basera sig på en helhetsbedömning. När påföljdsavgiften fastställs ska bestämmelserna i artikel 99.2 i EHDS-förordningen tillämpas.

Tillstånds- och tillsynsverket kan avstå från att påföra en sådan påföljdsavgift för överträdelse av EHDS-förordningen som avses i 35–39 §, om överträdelsen av en skyldighet ska anses vara ringa eller påförande av påföljdsavgift ska anses vara uppenbart oskäligt.

Påföljdsavgift får inte påföras den som misstänks för samma gärning i en förundersökning, en åtalsprövning eller ett brottmål som är anhängigt vid domstol. Påföljdsavgift får inte heller påföras den som genom en lagakraftvunnen dom har dömts till straff för samma gärning.

Statliga myndigheter, statliga affärsverk, kommunala myndigheter, samkommuner, välfärdsområden, välfärdssammanslutningar, självständiga offentligrättsliga inrättningar, riksdagens ämbetsverk, republikens presidents kansli, evangelisk-lutherska kyrkan i Finland, ortodoxa kyrkan i Finland och de två sistnämndas församlingar, kyrkliga samfälligheter och övriga organ får inte påföras påföljdsavgift.

Påföljdsavgift får inte påföras, om det har förflutit mer än fem år sedan överträdelsen eller försummelsen har skett. Om överträdelsen eller försummelsen har varit av fortlöpande karaktär räknas den femåriga tidsfristen från det att överträdelsen eller försummelsen har upphört.

Påföljdsavgift får påföras också en sådan näringsidkare som till följd av ett företagsförvärv eller något annat företagsarrangemang har övertagit den näringsverksamhet inom vilken försummelsen eller överträdelsen skett.

För den allmänna planeringen, styrningen och övervakningen av behandling av personuppgifter enligt kapitel IV i EHDS-förordningen och denna lag och av anknytande informationsförvaltning svarar social- och hälsovårdsministeriet.

Tillstånds- och tillsynsverket, Tillståndsmyndigheten samt dataombudsmannen styr och övervakar inom sitt verksamhetsområde i enlighet med sin behörighet efterlevnaden av denna lag.

Tillståndsmyndigheten, organen för tillgång till hälsodata samt Tillstånds- och tillsynsverket ska för sin del följa och övervaka att det dataskydd och den datasäkerhet som hänför sig till deras tjänster förverkligas och att villkoren i tillstånd och beslut som de beviljat iakttas. Om någon har behandlat personuppgifter i strid med lag, ska den behöriga myndigheten på eget initiativ vidta behövliga åtgärder.

Om organet för tillgång till hälsodata har grundad anledning att misstänka att den som behandlar personuppgifter utifrån ett datatillstånd det beviljat eller ett beslut om begäran om hälsodata som det fattat inte behandlar personuppgifterna i enlighet med EHDS-förordningen eller lagen, ska myndigheten underrätta dataombudsmannen om saken utan dröjsmål.

I fråga om beslut som meddelats av ett sådant organ för tillgång till hälsodata som avses i 7 § i denna lag får omprövning begäras.

I fråga om beslut som meddelats av Tillståndsmyndigheten och som gäller utseende av en sådan betrodd hälsodatainnehavare som avses i 7 § i denna lag och den tillsyn över efterlevnaden av EHDS-förordningen som avses i 24 § får omprövning begäras.

I fråga om andra beslut som Tillstånds- och tillsynsverket har meddelat med stöd av denna lag än beslut om påförande av påföljdsavgift får omprövning begäras.

Bestämmelser om begäran om omprövning finns i förvaltningslagen (434/2003).

Bestämmelser om sökande av ändring i förvaltningsdomstol finns i lagen om rättegång i förvaltningsärenden (808/2019).

Vid sökande av ändring i beslut som gäller föreläggande och utdömande av vite tillämpas dock viteslagen (1113/1990).

I beslut av den behöriga myndigheten, med undantag av beslut som gäller påförande av påföljdsavgift, får det bestämmas att beslutet ska iakttas trots ändringssökande, om inte besvärsmyndigheten bestämmer något annat.

Bestämmelser om verkställighet av påföljdsavgifter som påförts med stöd av denna lag finns i lagen om verkställighet av böter (672/2022).

Denna lag träder i kraft den 1 januari 2027.

Denna lag tillämpas dock från och med den 26 mars 2029.

Bestämmelserna i 35–41 § tillämpas dock inte på gärningar eller försummelser som har skett före ikraftträdandet av denna lag.

Tillståndsmyndigheten meddelar närmare föreskrifter om materialbeskrivningarnas datainnehåll, begrepp och datastrukturer. Föreskriften ska åtminstone innehålla de minimiuppgifter som Europeiska kommissionen med stöd av en genomförandeakt som antagits med stöd av artikel 77.4 i EHDS-förordningen fastställt som minimiuppgifter för de datamaterial (dataset ) som hälsodatainnehavare tillhandahåller för sekundäranvändning och uppgifternas egenskaper. Innan föreskrifterna meddelas ska Tillståndsmyndigheten höra organisationerna i fråga.

Den informationssäkra driftmiljön ska särskilt uppfylla följande säkerhetsåtgärder:

tillgången till den informationssäkra driftmiljön är begränsad till de behöriga fysiska personer som anges i det dataanvändningstillstånd som utfärdats,

risken för obehörig läsning, kopiering, ändring eller borttagning av personuppgifter inom social- och hälsovården som finns i den informationssäkra driftmiljön minimeras med hjälp av de senaste tekniska och organisatoriska åtgärderna,

inmatningen av elektroniska hälsodata och inspektion, ändring eller radering av personuppgifter inom social- och hälsovården som finns i den informationssäkra driftmiljön är begränsad till ett begränsat antal behöriga personer som kan identifieras,

säkerställandet av att användare av personuppgifter inom social- och hälsovården endast har tillgång till de personuppgifter inom social- och hälsovården som omfattas av deras dataanvändningstillstånd, med hjälp av individuella och unika användaridentiteter och konfidentiella åtkomstmetoder,

identifierbara loggar över åtkomst till och aktiviteter i den informationssäkra driftmiljön ska föras under den tidsperiod som krävs för att kontrollera och granska all behandling i den miljön; åtkomstloggar ska bevaras i minst ett år,

säkerställandet av efterlevnad och övervakning av de säkerhetsåtgärder som avses i detta moment för att minska potentiella säkerhetshot.

Tillståndsmyndigheten eller en annan organisation som avses i 6 § ska säkerställa att de personuppgiftsansvariga inom social- och hälsovården kan ladda upp sina personuppgifter inom social- och hälsovården i det format som anges i dataanvändningstillståndet och att de som använder data kan få tillgång till dem i en informationssäker driftmiljö.

Tillståndsmyndighetens informationssäkra driftmiljö och andras informationssäkra driftmiljöer ska uppfylla kraven i 2 och 3 mom. och 21–29 § samt kraven i en sådan genomförandeakt som antagits med stöd av artikel 73.5 i EHDS-förordningen.

Den säkra behandlingsmiljö som avses i artikel 73 i EHDS-förordningen uppfyller dock kravet på en informationssäker driftmiljö, om överensstämmelsen med kraven har säkerställts i enlighet med det som föreskrivs i Europeiska kommissionens genomförandeakt som antagits med stöd av artikel 73.5 i EHDS-förordningen.

Informationssäkra driftmiljöer ska uppfylla de krav på informationssäkerhet och interoperabel informationsöverföring som bygger på myndigheternas föreskrifter, rekommendationer och de standarder som enligt dessa lämpar sig för en informationssäker driftmiljö samt kraven i den genomförandeakt om en säker behandlingsmiljö som avses i artikel 73 i EHDS-förordningen.

Ett bedömningsorgan för informationssäkerhet bedömer i enlighet med denna lag och lagen om bedömningsorgan för informationssäkerhet, på ansökan av tjänsteleverantören om driftmiljön uppfyller kraven på informationssäkerhet. Som bedömningskriterier ska användas denna lag och de krav som ställs på en säker behandlingsmiljö i Europeiska kommissionens genomförandeakt.

Om driftmiljön uppfyller informationssäkerhetskraven enligt denna lag och kraven i Europeiska kommissionens genomförandeakt för en säker behandlingsmiljö, ska bedömningsorganet för informationssäkerhet ge tjänsteleverantören ett intyg över sin bedömning och en anknytande kontrollrapport. Om bedömningen eller en förnyad bedömning gäller endast en del av driftmiljön, ska det i bedömningsorganets intyg tydligt antecknas vilken del av driftmiljön som har bedömts.

Bedömningsorganets intyg är i kraft högst tre år. Bedömningsorganet för informationssäkerhet kan av tjänsteleverantören kräva alla de uppgifter som förutsätts för bedömningen och för uppgörandet och upprätthållandet av intyget. På utfärdande av intyget tillämpas i övrigt 9 § 3 mom. i lagen om bedömningsorgan för informationssäkerhet.

Om ett bedömningsorgan för informationssäkerhet konstaterar att en driftmiljö inte har uppfyllt eller inte längre uppfyller kraven i denna lag och i en genomförandeakt som antagits med stöd av artikel 73.5 i EHDS-förordningen eller att ett intyg av någon annan orsak inte borde ha beviljats, ska organet uppmana tjänsteleverantören att avhjälpa bristerna. Bedömningsorganet får återkalla intyget för viss tid eller helt och hållet eller bevilja intyget med begränsningar, om inte tjänsteleverantören avhjälper bristerna inom den tid som organet satt ut. När tidsfristens längd bestäms ska det beaktas att en skälig tid behövs för att korrigera driftmiljön.

Tjänsteleverantören ska genom ett uppdaterat och systematiskt förfarande följa upp och utvärdera erfarenheterna av en informationssäker driftmiljö under den tid den används för produktion. Tjänsteleverantören ska ge akt på ändringar i denna lag samt i genomförandeakter som antagits med stöd av artikel 73.5 i EHDS-förordningen och göra de korrigeringar i driftmiljön som ändringen förutsätter. Väsentliga förändringar i driftmiljön ska anmälas till bedömningsorganet för informationssäkerhet. Bedömningsorganets intyg ska förnyas, om betydande förändringar görs i driftmiljön eller om minimikraven på driftmiljön har ändrats på ett sätt som förutsätter en förnyad bedömning.

Om en informationssäker driftmiljö kan äventyra dataskyddet, eller om systemet inte uppfyller de krav som ställs på det i denna lag eller i artikel 73.5 i EHDS-förordningen, och bristerna inte har avhjälpts inom den tidsfrist som Tillstånds- och tillsynsverket har satt ut, får verket förbjuda användningen av driftmiljön till dess att bristerna har avhjälpts. Vidare får Tillståndsmyndigheten eller någon annan myndighet som avses i 6 § stänga av förbindelsen till sina informationssystem, om den som använder dem äventyrar eller ett utomstående system som anslutits till dem kan äventyra en ändamålsenlig användning av informationssystemet.

Tillståndsmyndigheten kan ta ut avgifter för att göra sådana personuppgifter inom hälso- och socialvården som avses i denna lag tillgängliga för sådan sekundäranvändning som avses i denna lag.

Avgifterna ska stå i proportion till kostnaden för att göra uppgifterna tillgängliga och de får inte begränsa konkurrensen. Alla avgifter som tas ut enligt denna lag och de bestämmelser som gäller för varje personuppgiftsansvarig som tillhandahåller uppgifterna ska vara transparenta och icke-diskriminerande.

Avgifterna ska täcka alla eller delar av de kostnader som är förknippade med förfarandet för att bedöma en ansökan om dataanvändningstillstånd eller en begäran om information, utfärda, neka eller ändra ett dataanvändningstillstånd eller för att ge ett svar på en begäran om information, inbegripet kostnader som är förknippade med konsolideringen, förberedelsen, pseudonymiseringen, anonymiseringen och tillhandahållandet av uppgifterna.

Avgifterna får inbegripa ersättning för de kostnader som den personuppgiftsansvarige som avses i 6 § ådrar sig för att sammanställa och förbereda de uppgifter som ska göras tillgängliga för sekundäranvändning. I sådana fall ska den personuppgiftsansvarige lämna en uppskattning av sådana kostnader till Tillståndsmyndigheten. Den del av avgifterna som är kopplad till den personuppgiftsansvariges kostnader ska betalas till den personuppgiftsansvarige.

För vissa typer av användare av personuppgifter inom hälso- och socialvården med ett rättsligt mandat på folkhälsoområdet samt högskole- och universitetsforskare eller mikroföretag, bör nedsatta avgifter eftersträvas.

Ersättningar som hänför sig till att uppgifter med stöd av dataanvändningstillstånd eller beslut om begäranden om information plockats ut och tillhandahålls från andra datalager än Tillståndsmyndighetens egna bestäms i enlighet med vad som föreskrivs om varje personuppgiftsansvarig som tillhandahållit uppgifterna.

Bestämmelser om grunderna för bestämmande av ersättningar till Tillståndsmyndigheten finns i lagen om grunderna för avgifter till staten.

Till den del de bestämmelser som fastställs enligt 4 och 5 mom. står i strid med 50 § i denna lag iakttas denna lag.

Bestämmelser om avgifter som bedömningsorgan för informationssäkerhet tar ut för bedömningar finns i 11 § i lagen om bedömningsorgan för informationssäkerhet. Registrering och införande av en i 30 § 1 mom. avsedd anmälan till Tillstånds- och tillsynsverket i det offentliga registret är avgiftsbelagt.

Denna lag träder i kraft den 1 januari 2027.

Lagens 12 § 2 mom. tillämpas dock på beskrivningar av datamaterial, datainnehåll, begrepp och datastrukturer från och med den 26 mars 2029.

Lagens 20 §, 24 § 1 mom., 26 §, 27 §, 29 § 1 mom. och 33 § 2 mom. tillämpas dock endast på sådana informationssäkra driftmiljöer som avses i 20 § och som har släppts ut på marknaden eller tagits i bruk efter den 26 mars 2029.

Lagens 50 § tillämpas inte på begäranden om information och dataanvändningstillstånd som har varit anhängiga före den 26 mars 2029.

I denna lag avses med

16) viljeyttringstjänst en riksomfattande informationssystemtjänst genom vilken handlingar som gäller information, tillstånd för, samtycke till och förbud mot utlämnande samt andra viljeyttringar med anknytning till social- och hälsovårdstjänster och Europaparlamentets och rådets förordning (EU) 2025/327 om det europeiska hälsodataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2847, nedan EHDS-förordningen , samt andra viljeyttringar med anknytning till tjänster och behandling av kunduppgifter inom social- och hälsovården förvaltas,

Andra aktörer än tjänstetillhandahållare inom social- och hälsovården, beträffande vilkas tjänster och behandling av personuppgifter viljeyttringar förs in i den viljeyttringstjänst som avses i 65 § 1 mom. 7 punkten, kan ansluta sig som användare av viljeyttringstjänsten. Den i 4 § i lagen om sekundär användning av personuppgifter inom social- och hälsovården (552/2019) avsedda Tillståndsmyndigheten för användning av social- och hälsovårdsdata ska ansluta sig som användare av viljeyttringstjänsten.

I viljeyttringstjänsten ska det föras in uppgifter om i denna lag, receptlagen och EHDS-förordningen avsedd information, tillstånd för utlämnande, begäranden, utövande av rätten att motsätta sig behandling av elektroniska hälsodata med personuppgifter för sekundäranvändning och samtycken som gäller de riksomfattande informationssystemtjänsterna.

En person kan avge viljeyttringar och sköta ärenden som gäller sitt kundförhållande och administreringen av kunduppgifterna och uppgifterna om välbefinnande via ett medborgargränssnitt. Medborgargränssnittet tillhandahåller de funktioner som gäller fysiska personers rättigheter enligt denna lag och artikel 71 i EHDS-förordningen.

Trots vad som föreskrivs i EHDS-förordningen får en fysisk person via medborgargränssnittet eller en välbefinnandeapplikation visas eller få sådana uppgifter om sig själv som finns sparade i de riksomfattande informationssystemtjänsterna, med undantag för uppgifter som kunden enligt 11 § 2 mom. i offentlighetslagen, 34 § i dataskyddslagen eller enligt annan lagstiftning inte har rätt att få. För att få uppgifterna via välbefinnandeapplikationen ska kunden ta i bruk applikationen och godkänna att uppgifterna lämnas ut. Dessutom får personen via gränssnittet visas utlämningslogguppgifter och användningslogguppgifter som gäller behandlingen av hans eller hennes kunduppgifter och uppgifter om huruvida personen motsatt sig behandling av elektroniska hälsodata med personuppgifter för sekundäranvändning som avses i artikel 71 i EHDS-förordningen.

Denna lag träder i kraft den 1 januari 2027.

Bestämmelserna i 3 § 16 punkten, 67 § 3 mom., 72 § 1 mom. och det utövande av rätt att motsätta sig behandling av elektroniska hälsodata med personuppgifter för sekundäranvändning som avses i 74 § 1 och 2 mom. tillämpas inte på sådana ansökningar om datatillstånd och begäranden om hälsodata som varit anhängiga före den 26 mars 2029.

Denna lag innehåller bestämmelser om verkställighet av följande administrativa påföljder av straffkaraktär:

66 a) påföljdsavgift enligt 25 § och 35–39 § i lagen om bestämmelser som kompletterar förordningen om det europeiska hälsodataområdet ( / ).

Denna lag träder i kraft den 1 januari 2027.

Bestämmelserna i 1 § 2 mom. 66 a punkten tillämpas dock från och med den 26 mars 2029.