Smidigare tillstånd för social- och hälsovårdsdata

Syftet med denna lag är att möjliggöra en effektiv och informationssäker behandling av personuppgifter inom social- och hälsovården för sekundära användningsändamål. Lagens syfte är dessutom att trygga individens skydd för berättigade förväntningar samt rättigheter och friheter vid behandlingen av personuppgifter.

Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan dataskyddsförordningen , när personuppgifter som avses i 2 mom. behandlas för användningsändamål som avses i det momentet.

Denna lag tillämpas på behandling av personuppgifter som registrerats i social- och hälsovårdsverksamhet hos de organisationer som avses i 6 § och hos privata serviceanordnare inom socialvården eller hälso- och sjukvårdsvården samt för styrnings-, tillsyns-, forsknings- och statistikändamål inom social- och hälsovården liksom även på samkörning av dessa personuppgifter med Folkpensionsanstaltens, Statistikcentralens, Pensionsskyddscentralens och Myndigheten för digitalisering och befolkningsdatas personuppgifter, med de begränsningar som anges i 6, 7 och 7 a §, när uppgifterna i fråga behandlas för följande användningsändamål, även om de inte ursprungligen har registrerats för de ändamålen:

1) statistikföring,

2) vetenskaplig forskning,

3) utvecklings- och innovationsverksamhet,

4) undervisning,

5) informationsledning,

6) myndighetsstyrning och myndighetstillsyn inom social- och hälsovården,

7) myndigheternas planerings- och utredningsuppgifter.

Bestämmelser om grunder för utlämnande och mottagarens rätt att behandla de utlämnade personuppgifterna för sådana ändamål som avses i 2 mom. finns i 4 och 5 kap.

Denna lag tillämpas inte på behandling av personuppgifter som sker inom ramen för sådana kliniska prövningar som avses i 1 § i lagen om klinisk prövning av läkemedel (983/2021), sådana kliniska prövningar av medicintekniska produkter eller prestandastudier av produkter för in vitro-diagnostik som avses i 3 kap. i lagen om medicintekniska produkter (719/2021) eller sådan medicinsk forskning som avses i 2 § 1 punkten i lagen om medicinsk forskning (488/1999), om försökspersonen eller dennes lagliga företrädare har gett sitt samtycke till deltagande i prövningen i enlighet med de bestämmelser om givande av samtycke som finns i Europaparlamentets och rådets förordning (EU) nr 536/2014 om kliniska prövningar av humanläkemedel och om upphävande av direktiv 2001/20/EG och i lagen om klinisk prövning av läkemedel, i Europaparlamentets och rådets förordning (EU) 2017/745 om medicintekniska produkter, om ändring av direktiv 2001/83/EG, förordning (EG) nr 178/2002 och förordning (EG) nr 1223/2009 och om upphävande av rådets direktiv 90/385/EEG och 93/42/EEG, i Europaparlamentets och rådets förordning (EU) 2017/746 om medicintekniska produkter för in vitro-diagnostik och om upphävande av direktiv 98/79/EG och kommissionens beslut 2010/227/EU och i lagen om medicintekniska produkter eller i lagen om medicinsk forskning eller om villkoren för prövning i nödsituationer uppfylls på det sätt som anges i de ovan nämnda författningarna.

I denna lag avses med

10) informationssäker överföringstjänst en informationssäker lösning via vilken parterna kan lämna ut och ta emot uppgifter som omfattas av användningsbegränsningar,

12) e-tjänst ett system via vilket den som ansöker om dataanvändningstillstånd eller den som på annat sätt begär information med stöd av denna lag lämnar in en ansökan om dataanvändningstillstånd eller en begäran om information med bilagor till myndigheten och i vilket ett beslut om dataanvändningstillstånd eller om en begäran om information delges sökanden,

13) tjänstetillhandahållare en myndighet som ordnar, producerar eller lämnar socialvård eller hälso- och sjukvård eller socialvårdstjänster eller hälso- och sjukvårdstjänster eller en sådan privat tjänsteproducent som avses i lagen om tillsynen över social- och hälsovården (741/2023),

Tillståndsmyndigheten behandlar dataanvändningstillstånd och begäranden om information samt svarar för samlande, samkörning, förbehandling och utlämnande för sekundär användning av de uppgifter som avses i ett dataanvändningstillstånd eller en begäran om information.

Tillståndsmyndigheten driver en e-tjänst för förmedling och behandling av begäranden om information och ansökningar om dataanvändningstillstånd samt en informationssäker överföringstjänst för mottagande och utlämnande av personuppgifter. Tillståndsmyndigheten ska även ordna en tjänst för en informationssäker driftmiljö där tillståndshavaren kan behandla de personuppgifter som lämnats ut med stöd av ett dataanvändningstillstånd.

Tillståndsmyndigheten kan producera anonymiserade resultat och säkerställa anonymiseringen hos producerade resultat. Bestämmelser om anonymisering av resultat finns i 52 §.

De organisationer vars personuppgifter får behandlas med stöd av denna lag för användningsändamål enligt 2 § är

11) Myndigheten för digitalisering och befolkningsdata till den del det ur befolkningsdatasystemet för ändamål enligt denna lag behövs basuppgifter om personer, uppgifter om personers familjeförhållanden och bostadsorter samt byggnadsuppgifter.

Om en ansökan om dataanvändningstillstånd gäller uppgifter som registrerats i de riksomfattande informationssystemtjänster (Kanta-tjänster ) som avses i lagen om behandling av kunduppgifter inom social- och hälsovården (703/2023), nedan kunduppgiftslagen , eller registeruppgifter hos en eller flera privata serviceanordnare inom socialvården eller hälso- och sjukvården, ska ansökan lämnas in till Tillståndsmyndigheten, som fattar beslutet om dataanvändningstillstånd.

Sökanden får lämna in en ansökan om dataanvändningstillstånd som gäller fler än en i 6 § avsedd organisations datamaterial antingen till Tillståndsmyndigheten eller separat till varje enskild organisation som är föremål för ansökan.

Om sökanden lämnar in en ansökan om dataanvändningstillstånd till Tillståndsmyndigheten, fattar myndigheten beslutet om dataanvändningstillstånd i fråga om alla personuppgiftsansvarigas datamaterial som är föremål för ansökan. Om sökanden lämnar in en ansökan separat till varje organisation som är föremål för ansökan, fattar varje organisation beslutet om dataanvändningstillstånd i fråga om sitt eget datamaterial.

Om en ansökan om dataanvändningstillstånd gäller uppgifter hos endast en av de organisationer som avses i 6 §1–8 punkten, lämnas ansökan in till den organisationen, som själv fattar beslutet om dataanvändningstillstånd.

Den organisation som svarar för ett beslut om dataanvändningstillstånd får begära utlåtande från dataombudsmannen om en ansökan om dataanvändningstillstånd, om organisationen bedömer att det behövs.

Om en begäran om information gäller uppgifter som registrerats i Kanta-tjänsterna eller registeruppgifter hos en eller flera privata serviceanordnare inom socialvården eller hälso- och sjukvården, ska begäran om information lämnas in till Tillståndsmyndigheten, som fattar beslutet om begäran om information.

Sökanden kan lämna in en begäran om information som gäller fler än en i 6 § avsedd organisations datamaterial antingen till Tillståndsmyndigheten eller separat till varje enskild organisation som är föremål för begäran.

Om sökanden lämnar in begäran om information till Tillståndsmyndigheten, fattar myndigheten beslutet om begäran om information i fråga om alla de personuppgiftsansvarigas datamaterial som är föremål för begäran. Om sökanden lämnar in en begäran om information separat till varje organisation som är föremål för begäran, fattar varje organisation beslutet om begäran om information i fråga om sitt eget datamaterial.

Om en begäran om information gäller uppgifter hos endast en av de organisationer som avses i 6 §1–8 punkten, lämnas begäran in till den organisationen, som själv fattar beslutet om begäran om information.

En organisation som avses i 6 § kan i fråga om sitt eget datamaterial överlåta behörigheten att meddela beslut om dataanvändningstillstånd och om begäranden om information till Tillståndsmyndigheten. Tillståndsmyndigheten fattar då besluten om dataanvändningstillstånd och om begäranden om information i fråga om datamaterialet hos den personuppgiftsansvariga som överlåtit behörigheten.

Om en organisation har överlåtit behörigheten till Tillståndsmyndigheten eller om det handlar om en sådan ansökan om dataanvändningstillstånd eller en sådan begäran om information som gäller uppgifter som registrerats i Kanta-tjänsterna eller registeruppgifter hos en eller flera privata serviceanordnare inom socialvården eller hälso- och sjukvården och sökanden har lämnat in ansökan om dataanvändningstillstånd eller begäran om information separat till varje organisation som är föremål för ansökan eller begäran, fattar Tillståndsmyndigheten beslutet om dataanvändningstillstånd eller om begäran om information i fråga om den organisation som överlåtit behörigheten, de uppgifter som registrerats i Kanta-tjänsterna och registeruppgifterna hos de privata serviceanordnarna inom socialvården eller hälso- och sjukvården.

Statistikcentralen och Institutet för hälsa och välfärd i egenskap av statistikmyndighet ( statistikmyndigheter ) svarar för sådana beslut om dataanvändningstillstånd och om begäranden om information för vetenskaplig forskning som gäller uppgifter som de samlat in för statistiska ändamål samt för att uppgifter som hänför sig till en och samma forskningsplan samkörs med deras egna uppgifter och för pseudonymisering eller anonymisering av uppgifterna, med iakttagande av vad som föreskrivs i statistiklagen (280/2004). En ansökan om dataanvändningstillstånd eller en begäran om information som gäller andra uppgifter som avses i denna lag och uppgifter som en statistikmyndighet samlat in för statistiska ändamål lämnas in till Statistikcentralen eller Institutet för hälsa och välfärd.

Bestämmelser om samkörning och utlämnande av uppgifter som samlats in i statistiska syften finns i 51 § 3 mom.

På en ansökan om dataanvändningstillstånd eller en begäran om information som gäller sådana uppgifter hos Pensionsskyddscentralen, Myndigheten för digitalisering och befolkningsdata och Statistikcentralen som avses i 6 § 9–11 punkten tillämpas bestämmelserna i denna lag, om dessa uppgifter samkörs med uppgifter hos en eller flera av de personuppgiftsansvariga som avses i 6 § 1–8 punkten, med uppgifter som registrerats i Kanta-tjänsterna eller med registeruppgifter hos en eller flera privata serviceanordnare inom socialvården eller hälso- och sjukvården.

Social- och hälsovårdsministeriet utser en expertgrupp på hög nivå för Tillståndsmyndigheten med uppgift att ta fram principiella riktlinjer för anonymisering, dataskydd och informationssäkerhet för Tillståndsmyndighetens verksamhet. Expertgruppen ska ha en expert på artificiell intelligens, dataanalys, informationssäkerhet, dataskydd, sektorsforskning, statistik respektive statistikväsendet och en företrädare för Tillståndsmyndigheten. Närmare bestämmelser om expertgruppens uppgifter, antalet medlemmar och behörighetsvillkoren för dem får utfärdas genom förordning av social- och hälsovårdsministeriet.

Utöver vad som föreskrivs i 1 mom. ska Tillståndsmyndigheten ordna en rådgivningstjänst som avser förutsättningarna för beviljande av dataanvändningstillstånd, förutsättningarna för godkännande av begäranden om information, innehållet i och betydelsen av Tillståndsmyndighetens tjänster samt sådant färdigt datamaterial som avses i 14 § 4 mom.

När Tillståndsmyndigheten eller en i 6 § avsedd organisation har beviljat ett dataanvändningstillstånd eller beslutat bifalla en begäran om information, ska Tillståndsmyndigheten eller den i 6 § avsedda organisationen sammanställa, vid behov samköra och förbehandla samt pseudonymisera eller anonymisera datamaterialet för behandling av tillståndshavaren eller producera de aggregerade statistiska uppgifter som avses i begäran om information.

Tillståndsmyndigheten och de organisationer som avses i 6 § ska bevara en beskrivning av hur datamaterial och aggregerade statistiska uppgifter som de lämnat ut har bildats, av de pseudonymiserings- och anonymiseringsmetoder de använt och av de utlämnade slutresultaten.

Om personuppgifter lämnas ut i pseudonymiserad form med stöd av flera olika planer för användning av uppgifter, ska uppgifterna pseudonymiseras med olika identifierare för varje utlämnande.

Tillståndsmyndigheten får skapa färdigt datamaterial av uppgifter hos de organisationer som avses i 6 §. Tillståndsmyndigheten får plocka ut de uppgifter som behövs för beviljande av dataanvändningstillstånd och som avses i ett beviljat dataanvändningstillstånd eller i ett beslut om begäran om information ur det färdiga datamaterialet.

Tillståndsmyndigheten driver ensam eller tillsammans med andra myndigheter en e-tjänst, via vilken ansökningar om dataanvändningstillstånd eller begäranden om information ska lämnas in till Tillståndsmyndigheten.

Centrala utredningar och kompletteringar som Tillståndsmyndigheten begär och de centrala utredningar och kompletteringar som sökanden gör samt ändringar i ansökan förmedlas via e-tjänsten. Tillståndsbeslutet delges sökanden via e-tjänsten.

Om en etisk förhandsgranskning av planen för användningen av uppgifterna har föreskrivits som en förutsättning för användning av uppgifterna, inleds även en etisk granskning och lämnas ett utlåtande via e-tjänsten.

Tillståndsmyndigheten driver en informationssäker överföringstjänst att användas vid utlämnande av de uppgifter som behövs vid behandlingen av en ansökan om dataanvändningstillstånd eller en begäran om information samt av uppgifter som avses i ett beviljat dataanvändningstillstånd. Via den informationssäkra överföringstjänsten får personuppgifter, under de förutsättningar som anges i denna lag, överlämnas mellan Tillståndsmyndigheten och övriga organisationer som avses i 6 §, mellan de organisationer som avses i 6 §, mellan Tillståndsmyndigheten och privata tjänstetillhandahållare inom socialvården och hälso- och sjukvården, mellan den tillståndssökande och Tillståndsmyndigheten samt mellan tillståndssökanden och de organisationer som avses i 6 §.

När personuppgifter förmedlas via den informationssäkra överföringstjänsten ska deras integritet och ursprung säkerställas med en elektronisk underskrift. Integritet och ursprung hos uppgifter som sänds av en organisation och med informationsteknisk utrustning ska säkerställas genom användning av teknik med motsvarande tillförlitlighet som vid elektronisk signering som görs av en fysisk person. Användare av den informationssäkra överföringstjänsten måste vara starkt identifierade när personuppgifter lämnas ut till dem. Bestämmelser om avancerad elektronisk underskrift och stark elektronisk identifiering finns i Europaparlamentets och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG och i lagen om stark autentisering och betrodda elektroniska tjänster (617/2009).

Tillståndsmyndigheten ska skapa de gränssnitt som behövs för den informationssäkra överföringstjänstens interoperabilitet och sörja för att dataöverföringen kan göras med hjälp av allmänt använda tekniker.

En informationssäker, tillståndsenlig behandling av uppgifter som Tillståndsmyndigheten eller någon annan organisation som avses i 6 § lämnat ut med stöd av denna lag ska genomföras i en informationssäker driftmiljö. Tillståndsmyndigheten ska ensam eller tillsammans med andra myndigheter ordna en tjänst för en informationssäker driftmiljö. Tjänster för informationssäkra driftmiljöer kan även tillhandahållas av andra organisationer.

Behandlingen ska vara tekniskt möjlig att genomföra på olika sätt och driftmiljön ska vara tillgänglig från olika platser. Tillståndsmyndigheten och organisationer som avses i 6 § ska bedöma hur känsliga de uppgifter som lämnas ut är och beakta detta i de krav som i beslutet om dataanvändningstillstånd ska ställas på användning av den informationssäkra driftmiljön.

Tillståndsmyndighetens informationssäkra driftmiljö och andra informationssäkra driftmiljöer ska uppfylla villkoren i 2 mom. och 21–29 §.

En informationssäker driftmiljö ska skyddas i enlighet med vad som föreskrivs i 4 kap. i lagen om informationshantering inom den offentliga förvaltningen (906/2019).

De uppgifter som avses i 1 mom. lämnas ut till Tillståndsmyndigheten via den informationssäkra överföringstjänsten.

Tillståndsmyndigheten kan, oberoende av sekretessplikten och andra begränsningar som gäller användningen av uppgifter, via den informationssäkra överföringstjänsten plocka ut uppgifter enligt dataanvändningstillståndet ur sådana uppgifter och datalager hos de i 1 mom. avsedda personuppgiftsansvariga ur vilka det med hänsyn till registrens och datalagrens innehåll och tekniska utförande är möjligt och ändamålsenligt.

Om en organisation som avses i 6 § 2, 3, 5, 7 eller 8 punkten på det sätt som avses i 51 § har utsetts till att sammanställa datamaterial från flera organisationer, har organisationen oberoende av sekretessplikten och andra begränsningar som gäller användningen av uppgifter rätt att av de personuppgiftsansvariga som avses i 6 § på begäran få

1) uppgifter som avses i dataanvändningstillståndet för samlande, samkörning och förbehandling av uppgifterna och för utlämnande av uppgifterna till tillståndshavaren för behandling,

2) uppgifter för att bedöma om det är möjligt att anonymisera de uppgifter som avses i ansökan om dataanvändningstillstånd eller om det är möjligt att producera aggregerade statistiska uppgifter av de uppgifter som avses i 45 §,

3) uppgifter som behövs för produktion av aggregerade statistiska uppgifter, samt

4) andra uppgifter som är nödvändiga för skötseln av organisationens uppgifter enligt denna lag än de uppgifter som avses i 1–3 punkten.

De uppgifter som avses i 1 mom. lämnas ut till den som sammanställer datamaterialet via den informationssäkra överföringstjänsten eller någon annan informationssäker tjänst.

Den som sammanställer datamaterialet kan, oberoende av sekretessplikten och andra begränsningar som gäller användningen av uppgifter, via den informationssäkra överföringstjänsten eller någon annan informationssäker tjänst plocka ut uppgifter enligt dataanvändningstillståndet ur sådana uppgifter och datalager hos de i 6 § avsedda organisationer ur vilka det med hänsyn till registrens och datalagrens innehåll och tekniska utförande är möjligt och ändamålsenligt.

Den som sammanställer datamaterialet är personuppgiftsansvarig för de uppgifter som den fått på det sätt som avses i denna paragraf.

Tillståndsmyndigheten och organisationer som avses i 6 § får trots skyldigheten att iaktta sekretess i enskilda fall med stöd av en begäran om information producera aggregerade statistiska uppgifter som bygger på kunduppgifter och andra personuppgifter från organisationer som avses i 6 § för sådan utvecklings- och innovationsverksamhet som genomförs på annat sätt än som vetenskaplig forskning.

De uppgifter som avses i 2 mom. lämnas ut till tillsynsmyndigheten via den informationssäkra överföringstjänsten.

Om Tillståndsmyndigheten eller en organisation som avses i 6 § utifrån ansökan om dataanvändningstillstånd konstaterar att ärendet i stället för ett dataanvändningstillstånd kan behandlas som en begäran om information, ska Tillståndsmyndigheten eller den i 6 § avsedda organisationen ta kontakt med den tillståndssökande och föreslå att ärendet behandlas som en begäran om information. Om den tillståndssökande kräver att ärendet behandlas som en tillståndsansökan, ska Tillståndsmyndigheten eller den i 6 § avsedda organisationen fatta beslut i ärendet.

Tillståndsmyndigheten eller en organisation som avses i 6 § beslutar huruvida en begäran om information överensstämmer med användningsändamålen enligt 2 § och övriga krav som ställs på en begäran om information.

När den fattar sådana beslut, ska Tillståndsmyndigheten och den i 6 § avsedda organisationen, med stöd av artiklarna 9.2 g och 86 i dataskyddsförordningen och med beaktande av den i 8 § avsedda expertgruppens principiella riktlinjer, bedöma om det är möjligt att av de begärda registeruppgifterna utforma aggregerade statistiska uppgifter enligt begäran.

Om uppgifterna begärs för vetenskaplig forskning och begäran gäller uppgifter som en statistikmyndighet samlat in för statistiska ändamål, ska begäran om information dock behandlas med iakttagande av 7 § och 51 § 3 mom.

Begäranden om information och ansökningar om dataanvändningstillstånd ska lämnas in till Tillståndsmyndigheten via e-tjänsten. Om sökanden kompletterar sin ansökan, ska även kompletteringen lämnas in till Tillståndsmyndigheten via e-tjänsten. Till en tillståndsansökan och till en begäran om information som gäller aggregerade statistiska uppgifter ska det fogas en plan för användning av uppgifterna.

Tillståndsmyndigheten meddelar föreskrifter om datainnehållet och datastrukturerna i ansökan om dataanvändningstillstånd, i planen för användning av uppgifterna, i begäran om information samt i beslutet om dataanvändningstillstånd och om begäran om information.

Beslut om ansökan om dataanvändningstillstånd ska meddelas utan dröjsmål, dock senast tre månader från det att tillståndsansökan har inkommit i fullständig form till organisationen.

Tillståndsmyndigheten eller en organisation som avses i 6 § kan av vägande skäl besluta att behandlingstiden för en ansökan om dataanvändningstillstånd ska förlängas med högst tre månader, om behandlingen av ansökan och av den anknytande planen för användning av uppgifterna förutsätter en exceptionellt omfattande behandling som omfattar flera olika personuppgiftsansvarigas uppgifter eller förutsätter särskilt krävande prövning. Tillståndsmyndigheten eller den i 6 § avsedda organisationen ska underrätta den som ansöker om tillstånd om förlängning av tidsfristen och om grunden för förlängningen samt om den nya tidsfrist inom vilken tillståndsbeslutet meddelas.

Om den organisation som svarar för beslutet om dataanvändningstillstånd begär ett utlåtande enligt 6 a § 5 mom. från dataombudsmannen, avbryts den ansvariga organisationens tidsfrist för behandling av ansökan tills utlåtandet har kommit in.

En personuppgiftsansvarig som avses i 6 § och en privat tjänstetillhandahållare inom socialvården eller hälso- och sjukvården ska utan dröjsmål lämna Tillståndsmyndigheten de uppgifter som behövs för behandlingen av en ansökan om dataanvändningstillstånd eller av en begäran om information, dock senast inom 15 vardagar från det att begäran inkom. Om den utredning som sökanden anför till stöd för sin ansökan eller sin begäran är otillräcklig, ska den personuppgiftsansvarige utan dröjsmål underrätta Tillståndsmyndigheten och sökanden om vilka tilläggsutredningar som krävs. De uppgifter som behövs för behandling av ansökan om dataanvändningstillstånd eller begäran om information ska då lämnas in till Tillståndsmyndigheten inom 15 vardagar från det att de tilläggsutredningar som erhållits av sökanden är tillräckliga.

En personuppgiftsansvarig som avses i 6 § och en privat tjänstetillhandahållare inom socialvården eller hälso- och sjukvården ska på begäran av Tillståndsmyndigheten utan dröjsmål lämna ut de registeruppgifter som hänför sig till ett beviljat dataanvändningstillstånd eller som behövs för behandlingen av en begäran om information, dock senast inom 30 vardagar från det att Tillståndsmyndigheten har fattat beslut om att uppgifterna får lämnas ut till sökanden.

En personuppgiftsansvarig som avses i 6 § ska på begäran av en i 51 § avsedd sammanställare av datamaterial utan dröjsmål lämna ut registeruppgifter enligt ett beviljat dataanvändningstillstånd eller uppgifter som behövs för behandlingen av en begäran om information, dock senast inom 30 vardagar från det att organisationerna har fattat beslut om att uppgifterna får lämnas ut till sökanden.

Om den utredning som sökanden anfört till stöd för utlämnande av uppgifter är otillräcklig, ska Tillståndsmyndigheten eller den som sammanställer datamaterialet utan dröjsmål underrätta sökanden om vilka tilläggsutredningar som krävs. De begärda uppgifterna ska då lämnas ut till sökanden inom 30 vardagar från det att tilläggsutredningen togs emot, om säkerhet om förutsättningarna för utlämnandet kan nås med stöd av den inlämnade tilläggsutredningen.

Om uppgifterna inte kan lämnas ut till Tillståndsmyndigheten eller den som sammanställer datamaterialet inom den tidsfrist som föreskrivs i 1 mom., ska den personuppgiftsansvarige före tidsfristens utgång informera om dröjsmålet, om orsaken till dröjsmålet och om den förlängning av tidsfristen som behövs för utlämnande av uppgifter. Tillståndsmyndigheten eller den som sammanställer datamaterialet ska av grundad anledning sätta ut en ny tidsfrist för utlämnandet.

Tillståndsmyndigheten eller den som sammanställer datamaterialet ska lämna ut de uppgifter som den med stöd av ett dataanvändningstillstånd samlat och samkört till tillståndshavaren utan dröjsmål, dock senast 60 vardagar från det att tillståndet beviljades.

Tillståndsmyndigheten eller den som sammanställer datamaterialet kan av vägande skäl förlänga tidsfristen för utlämnande av uppgifter, om utlämnandet av uppgifterna förutsätter en exceptionellt omfattande behandling som omfattar flera olika personuppgiftsansvarigas uppgifter eller förutsätter särskilt krävande samkörning av uppgifter. Tillståndsmyndigheten eller den som sammanställer datamaterialet ska informera tillståndshavaren om förlängningen av tidsfristen och om grunden för förlängningen samt om den nya tidsfrist inom vilken uppgifterna lämnas ut.

De avgifter som tas ut för dataanvändningstillstånd och för beslut om begäranden om information ska vara transparenta.

Ersättningar som hänför sig till att uppgifter med stöd av dataanvändningstillstånd eller beslut om begäranden om information plockats ut och tillhandahålls från andra datalager än Tillståndsmyndighetens egna bestäms i enlighet med vad som föreskrivs om varje personuppgiftsansvarig som tillhandahållit uppgifterna.

Bestämmelser om grunderna för bestämmande av ersättningar till Tillståndsmyndigheten finns i lagen om grunderna för avgifter till staten.

Om Tillståndsmyndigheten har beviljat ett dataanvändningstillstånd eller fattat ett beslut om begäran om information, ska den samla och vid behov samköra och förbehandla samt pseudonymisera eller anonymisera de uppgifter som specificeras i tillståndet eller producera de aggregerade statistiska uppgifter som avses i begäran om information.

Om tillståndsansökan eller begäran om information gäller flera organisationers uppgifter och varje sådan organisation som avses i 6 § har beviljat dataanvändningstillstånd eller fattat beslut om begäran om information i fråga om sitt eget datamaterial, kan organisationerna i fråga besluta att antingen Tillståndsmyndigheten eller någon av de organisationer som avses i 6 § 2, 3, 5, 7 eller 8 punkten och som är föremål för tillståndsansökan eller begäran om information ska sammanställa datamaterialet. Om organisationerna inte når samförstånd om vilken organisation som ska sammanställa datamaterialet, ska datamaterialet sammanställas av Tillståndsmyndigheten. Den som sammanställer datamaterialet ska också vid behov samköra och förbehandla samt pseudonymisera eller anonymisera de uppgifter som specificeras i dataanvändningstillståndet eller producera de aggregerade statistiska uppgifter som avses i begäran om information.

Om det för användningsändamålet även behövs uppgifter som Statistikcentralen eller Institutet för hälsa och välfärd i egenskap av statistikmyndighet samlat för statistiska ändamål, ska statistikmyndigheten samköra samt vid behov förbehandla och pseudonymisera eller anonymisera de uppgifter som ska lämnas ut eller producera de aggregerade statistiska uppgifter som avses i begäran om information. Om det för användningsändamålet behövs uppgifter av båda statistikmyndigheterna, ska myndigheterna sinsemellan komma överens om vem av dem som samkör och pseudonymiserar eller anonymiserar uppgifterna. Uppgifterna kan därefter via den informationssäkra överföringstjänsten lämnas ut till tillståndshavaren för behandling antingen i Statistikcentralens eller Tillståndsmyndighetens informationssäkra driftmiljö eller i någon annan informationssäker driftmiljö, beroende på uppgifternas art och mängd.

Om en sökande i en ansökan om dataanvändningstillstånd eller en begäran om information som gäller uppgifter hos flera organisationer som avses i 6 § anger att datamaterialet hos ett flertal av de organisationerna inte behöver samköras, ska varje organisation som avses i ansökan eller i begäran om information sammanställa, förbehandla och pseudonymisera eller anonymisera sitt eget datamaterial eller producera sådana aggregerade statistiska uppgifter som avses i begäran om information. Organisationerna kan använda sig av den pseunymiseringsnyckel som Tillståndsmyndigheten skapar.

Om en tillståndsansökan eller begäran om information gäller endast en organisations eget datamaterial, ska den i 6 § avsedda organisation som beviljat dataanvändningstillståndet eller fattat beslutet om begäran om information samla, förbehandla och pseudonymisera eller anonymisera uppgifterna eller producera de aggregerade statistiska uppgifter som avses i begäran om information.

En organisation kan i fråga om sitt eget datamaterial överlåta behörigheten att utföra den behandling av datamaterial som avses i denna paragraf till Tillståndsmyndigheten.

I andra situationer än de som avses i 51 c och 51 d § ska det datamaterial som baserar sig på ett dataanvändningstillstånd lämnas ut till tillståndshavaren för behandling i en i 20 § avsedd informationssäker driftmiljö via den informationssäkra överföringstjänsten eller någon annan informationssäker tjänst, om det inte har skapats aggregerade statistiska uppgifter av materialet.

Leverantören av en driftmiljö ska innan en anslutning till tillståndshavaren öppnas säkerställa att tillståndshavaren uppfyller kraven i dataanvändningstillståndet.

Tillståndsmyndigheten kan av särskilda skäl bevilja ett dataanvändningstillstånd där datamaterialet får lämnas ut i någon annan säker driftmiljö än en sådan informationssäker driftmiljö som avses i 20 §. Ett sådant dataanvändningstillstånd kan beviljas, om

1) riskerna för den nationella säkerheten och andra risker som hänför sig till det datamaterial som lämnas ut med stöd av dataanvändningstillståndet är små,

2) en av deltagarna i projektet är en aktör som bedriver forskningsverksamhet i en finländsk forskningsorganisation, och

3) nivån på dataskyddet och informationssäkerheten vid behandlingen av datamaterialet är tillräcklig.

Sökanden ska i sin ansökan om dataanvändningstillstånd motivera varför datamaterialet inte kan behandlas i en sådan informationssäker driftmiljö som avses i 20 § och lämna alla uppgifter som behövs för att Tillståndsmyndigheten ska kunna bedöma huruvida förutsättningarna enligt 1 mom. uppfylls. Dataanvändningstillståndet kan förenas med närmare villkor för behandlingen av uppgifter.

Om Tillståndsmyndigheten har beviljat ett dataanvändningstillstånd som avses i 1 §, ska den samla och vid behov samköra och förbehandla samt pseudonymisera eller anonymisera de uppgifter som specificeras i dataanvändningstillståndet och lämna ut det datamaterial som den producerat till tillståndshavaren för behandling i en annan säker driftmiljö än en sådan informationssäker driftmiljö som avses i 20 §.

En organisation som avses i 6 § kan av särskilda skäl bevilja dataanvändningstillstånd för erhållande av uppgifter i anonymiserad form utanför en sådan informationssäker driftmiljö som avses i 20 §, om ansökan om dataanvändningstillstånd gäller endast sådana uppgifter som innehas av organisationen i fråga. Om en ansökan om dataanvändningstillstånd gäller uppgifter hos fler än en av de organisationer som avses i 6 §, kan Tillståndsmyndigheten av särskilda skäl bevilja dataanvändningstillstånd för erhållande av uppgifter i anonymiserad form utanför en sådan informationssäker driftmiljö som avses i 20 §.

En organisation som avses i 6 § kan i fråga om sitt eget datamaterial överlåta behörigheten att meddela i denna paragraf avsedda beslut om dataanvändningstillstånd till Tillståndsmyndigheten. Tillståndsmyndigheten fattar då besluten om dataanvändningstillstånd i fråga om datamaterialet hos den personuppgiftsansvariga som överlåtit behörigheten.

En förutsättning för beviljande av tillstånd enligt 1 mom. är att riskerna som hänför sig till datamaterialet är små och att datamaterialet kan anonymiseras på ett tillförlitligt sätt.

En organisation som avses i 6 § eller Tillståndsmyndigheten ska samla och vid behov samköra och förbehandla samt anonymisera de uppgifter som specificeras i dataanvändningstillståndet och lämna ut det anonymiserade datamaterial som den producerat till tillståndshavaren.

När uppgifter med stöd av ett dataanvändningstillstånd har lämnats ut för behandling i en sådan informationssäker driftmiljö som avses i 20 § och de resultat som producerats på basis av uppgifterna exporteras ur den informationssäkra driftmiljön, ska tillståndshavaren anonymisera de resultat som exporteras ur den informationssäkra driftmiljön. På begäran av tillståndshavaren kan Tillståndsmyndigheten producera de anonymiserade resultaten och lämna ut dem till tillståndshavaren.

Om det är tillståndshavaren som har anonymiserat resultaten, ska tillståndshavaren meddela Tillståndsmyndigheten att avsikten är att exportera resultaten ur den informationssäkra driftmiljön. Tillståndsmyndigheten ska säkerställa anonymiseringen av de producerade resultaten utifrån en riskbaserad bedömning.

Tillståndsmyndigheten får meddela närmare föreskrifter om anonymisering av resultat.

I fråga om ett sådant beslut om en begäran om information och ett sådant beslut om en ansökan om dataanvändningstillstånd eller återkallelse av tillstånd som avses i denna lag och som fattats av Tillståndsmyndigheten eller av en i 6 § avsedd organisation samt i fråga om ett beslut som fattats av Tillstånds- och tillsynsverket med stöd av denna lag får omprövning begäras. Bestämmelser om begäran om omprövning finns i förvaltningslagen (434/2003).

Bestämmelser om sökande av ändring i förvaltningsdomstol finns i lagen om rättegång i förvaltningsärenden (808/2019).

Uppgifter som samlats in med den berördas samtycke före lagens ikraftträdande får användas och lämnas ut i enlighet med denna lag för användningsändamål enligt 2 § 2 mom. 1, 2 och 7 punkten trots vad som föreskrivs i 43 § 3 mom., om det är uppenbart att användningen och utlämnandet inte avviker från de syften för vilka uppgifterna har lämnats. Den organisation som fattar beslut om dataanvändningstillstånd kan förutsätta att den som ansöker om tillstånd, till grund för tillståndsbeslutet, ska be om en etisk bedömning av den etiska kommittén vid Institutet för hälsa och välfärd.

Bestämmelserna om en tjänst för sammanställning, samkörning och förbehandling av datamaterial och om pseudonymisering och anonymisering av uppgifter i 14 § 1 och 2 mom., om Tillståndsmyndighetens e-tjänst i 16 § och om en informationssäker driftmiljö i 20 § 1 mom. tillämpas från och med den 1 januari 2020.

Ansökningar om dataanvändningstillstånd och begäranden om information ska via den i 16 § avsedda e-tjänsten lämnas till Tillståndsmyndigheten från och med den 1 april 2020.

Denna lag träder i kraft den 20 . Lagens 2 § 4 mom. träder dock i kraft redan den 1 januari 2026.

Efter ikraftträdandet av lagens 2 § 4 mom. får sådana kunduppgifter samt sådana andra personuppgifter hos organisationer enligt 6 § som med stöd av de bestämmelser som gällde vid ikraftträdandet av denna lag har behandlats i en informationssäker driftmiljö för genomförande av klinisk prövning av läkemedel, medicinsk forskning eller kliniska prövningar av medicintekniska produkter eller prestandastudier av produkter för in vitro-diagnostik överföras till en annan driftmiljö, om villkoren för erhållande av uppgifter och annan behandling av uppgifter enligt 34 § i lagen om klinisk prövning av läkemedel, 21 c § i lagen om medicinsk forskning eller 20 a § i lagen om medicintekniska produkter uppfylls.

Omprövning får begäras av ett beslut som Säkerhets- och utvecklingscentret för läkemedelsområdet fattat med stöd av denna lag eller artikel 77 i prövningsförordningen samt av ett beslut som en myndighet enligt 34 § 1 mom. fattat om utlämnande av registeruppgifter. Bestämmelser om begäran om omprövning finns i förvaltningslagen (434/2003). Om det ärende som är föremål för begäran om omprövning gäller en omständighet som behandlats i ett utlåtande som avgetts av kommittén ska centret begära ett utlåtande om ärendet av kommittén, om inte detta är uppenbart onödigt.

Trots sekretessbestämmelserna har sponsorn, dennes företrädare, prövare och medlemmar i prövningsgruppen samt företrädare för den myndighet som utövar tillsyn över prövningen eller den myndighet som beviljar försäljningstillstånd på basis av prövningen, för att genomföra en i denna lag avsedd prövning och för att fullgöra en i lag angiven skyldighet som anknyter till prövningen, rätt att få och att behandla sådana personuppgifter om försökspersoner som registrerats i social- och hälsovårdsverksamhet och för styrnings-, tillsyns- och forskningsändamål inom social- och hälsovården av följande organisationer, om det är nödvändigt att få och att behandla uppgifterna för att sponsorn, dennes företrädare, prövaren eller medlemmen i prövningsgruppen ska kunna fullgöra en uppgift eller skyldighet som anknyter till prövningen eller för att företrädarna för den myndighet som utövar tillsyn över prövningen eller för den myndighet som beviljar försäljningstillstånd på basis av prövningen ska kunna fullgöra sina uppgifter:

1) Institutet för hälsa och välfärd till den del det i prövningen behövs uppgifter som avses i 5 § 1 mom. 1 punkten i lagen om Institutet för hälsa och välfärd (668/2008) eller uppgifter om mikrobfynd ur det register över smittsamma sjukdomar som avses i 32 § i lagen om smittsamma sjukdomar (1227/2016),

2) Folkpensionsanstalten till den del det i prövningen behövs personuppgifter som registrerats i en kundrelation i samband med förmånsbehandling eller uppgifter om recept och anknytande expedieringar som lagrats i det receptcenter som avses i 3 § 4 punkten i lagen om elektroniska recept (61/2007),

3) Tillstånds- och tillsynsverket till de delar verket behandlar ärenden som anknyter till social- och hälsovården,

4) Arbetshälsoinstitutet till den del det i prövningen behövs uppgifter ur registren över arbetsrelaterade sjukdomar och exponeringsmätningar och ur institutets patientregister,

5) Säkerhets- och utvecklingscentret för läkemedelsområdet,

6) offentliga och privata serviceanordnare inom socialvården eller hälso- och sjukvården.

En förutsättning för erhållande av de uppgifter som avses i 1 mom. och för annan behandling av uppgifterna är att försökspersonen har lämnat informerat samtycke till att delta i prövningen. Om försökspersonen i enlighet med 13 eller 14 § inte själv kan lämna informerat samtycke till att delta i prövningen, är ett villkor för erhållande av de uppgifter som avses i 1 mom. och för annan behandling av uppgifterna att den lagligen utsedda företrädare för försökspersonen som avses i de nämnda paragraferna har lämnat informerat samtycke till deltagandet i prövningen, och i en situation som avses i 14 § 4 mom. att också försökspersonen själv har lämnat samtycke till deltagandet.

Om prövningen är en klinisk prövning av läkemedel som utförs i en nödsituation på det sätt som avses i artikel 35 i prövningsförordningen, får uppgifter som avses i 1 mom. erhållas och behandlas vid prövningen på det sätt som föreskrivs i 1 mom., om de villkor för genomförande av prövningar som anges i artikel 35 uppfylls. Bestämmelser om rätt att motsätta sig användningen av uppgifter från en klinisk prövning av läkemedel finns i artikel 35.3 i prövningsförordningen.

Utlämnande av uppgifter till aktörer som avses i 1 mom. förutsätter att det vid utlämnandet går att försäkra sig om att dataskyddet och informationssäkerheten vid behandlingen av uppgifterna håller en tillräckligt hög nivå. Uppgifter får inte lämnas ut, om det finns grundad anledning att misstänka att utlämnandet eller mottagarens verksamhet äventyrar den nationella säkerheten.

Om en myndighet som avses i 1 mom. vägrar lämna ut uppgifter som begärts, ska myndigheten fatta ett beslut i ärendet.

Uppgifterna ska pseudonymiseras innan de lämnas ut för ändamål som avses i 1 mom., om det inte finns särskilda skäl att förfara annorlunda. Mottagaren får samköra uppgifter som mottagaren fått med stöd av 1 mom., om det är nödvändigt att uppgifterna samkörs för att de uppgifter eller skyldigheter som avses i 1 mom. ska kunna fullgöras.

Denna lag träder i kraft den 20 .

Trots sekretessbestämmelserna har sponsorn, dennes företrädare, prövaren och medlemmar i prövningsgruppen, för att genomföra en i denna lag avsedd prövning eller studie och för att fullgöra en i lag angiven skyldighet som anknyter till prövningen eller studien, rätt att få och att behandla sådana personuppgifter om försökspersoner som registrerats i social- och hälsovårdsverksamhet och för styrnings-, tillsyns- och forskningsändamål inom social- och hälsovården av följande organisationer, om det är nödvändigt att få och att behandla uppgifterna för att sponsorn, dennes företrädare, prövaren eller medlemmen i prövningsgruppen ska kunna fullgöra en uppgift eller skyldighet som anknyter till prövningen eller studien:

1) Institutet för hälsa och välfärd till den del det i prövningen eller studien behövs uppgifter som avses i 5 § 1 mom. 1 punkten i lagen om Institutet för hälsa och välfärd (668/2008) eller uppgifter om mikrobfynd ur det register över smittsamma sjukdomar som avses i 32 § i lagen om smittsamma sjukdomar (1227/2016),

2) Folkpensionsanstalten till den del det i prövningen eller studien behövs personuppgifter som registrerats i en kundrelation i samband med förmånsbehandling eller uppgifter om recept och anknytande expedieringar som lagrats i det receptcenter som avses i 3 § 4 punkten i lagen om elektroniska recept (61/2007),

3) Tillstånds- och tillsynsverket till de delar verket behandlar ärenden som ansluter sig till social- och hälsovården,

4) Arbetshälsoinstitutet till den del det i prövningen eller studien behövs uppgifter ur registren över arbetsrelaterade sjukdomar och exponeringsmätningar och ur institutets patientregister,

5) Säkerhets- och utvecklingscentret för läkemedelsområdet,

6) offentliga och privata serviceanordnare inom socialvården eller hälso- och sjukvården.

Ett villkor för erhållande av de uppgifter som avses i 1 mom. och för annan behandling av uppgifterna är att försökspersonen har lämnat informerat samtycke till att delta i prövningen eller studien. Om försökspersonen i enlighet med 25 eller 26 § inte själv kan lämna informerat samtycke till att delta i prövningen eller studien, är ett villkor för erhållande av de uppgifter som avses i 1 mom. och för annan behandling av uppgifterna att den lagligen utsedda företrädare för försökspersonen som avses i de nämnda paragraferna har lämnat informerat samtycke till deltagandet i prövningen eller studien, och i en situation som avses i 26 § 4 mom. att också försökspersonen själv har lämnat samtycke till deltagandet.

Om prövningen eller studien är en klinisk prövning som utförs i en nödsituation på det sätt som avses i artikel 68 i MD-förordningen eller en prestandastudie som utförs i en nödsituation på det sätt som avses i artikel 64 i IVD-förordningen, får uppgifter som avses i 1 mom. erhållas och behandlas i prövningen eller studien på det sätt som föreskrivs i 1 mom., om de villkor för genomförande av prövningar eller studier som anges i artikel 68 i MD-förordningen eller artikel 64 i IVD-förordningen uppfylls. Bestämmelser om rätt att motsätta sig användningen av uppgifter från en klinisk prövning eller en studie finns i artikel 68.3 i MD-förordningen och i artikel 64.3 i IVD-förordningen.

Utlämnande av uppgifter till aktörer som avses i 1 mom. förutsätter att det vid utlämnandet går att försäkra sig om att dataskyddet och informationssäkerheten vid behandlingen av uppgifterna håller en tillräckligt hög nivå. Uppgifter får inte lämnas ut, om det finns grundad anledning att misstänka att utlämnandet eller mottagarens verksamhet äventyrar den nationella säkerheten.

Om en myndighet som avses i 1 mom. vägrar lämna ut uppgifter som begärts, ska myndigheten fatta ett beslut i ärendet.

Uppgifterna ska pseudonymiseras innan de lämnas ut för ändamål som avses i 1 mom., om det inte finns särskilda skäl att förfara annorlunda. Mottagaren får samköra uppgifter som mottagaren fått med stöd av 1 mom., om det är nödvändigt att uppgifterna samkörs för att de uppgifter eller skyldigheter som avses i 1 mom. ska kunna fullgöras.

Omprövning får begäras av ett beslut som Säkerhets- och utvecklingscentret för läkemedelsområdet och det anmälda organet har fattat med stöd av MD-förordningen, IVD-förordningen eller denna lag samt av ett beslut som en myndighet enligt 20 a § 1 mom. har fattat om utlämnande av registeruppgifter. Bestämmelser om begäran om omprövning finns i förvaltningslagen.

Denna lag träder i kraft den 20 .

Trots sekretessbestämmelserna har sponsorn, dennes företrädare, forskare och medlemmar i forskningsgruppen, för att genomföra i denna lag avsedd forskning och för att fullgöra en i lag angiven skyldighet som anknyter till forskningen, rätt att få och att behandla sådana personuppgifter om försökspersoner som registrerats i social- och hälsovårdsverksamhet och för styrnings- , tillsyns- och forskningsändamål inom social- och hälsovården av följande organisationer, om det är nödvändigt att få och att behandla uppgifterna för att sponsorn, dennes företrädare, forskaren eller medlemmen i forskningsgruppen ska kunna fullgöra en uppgift eller skyldighet som anknyter till forskningen:

1) Institutet för hälsa och välfärd till den del det för forskningen behövs uppgifter som avses i 5 § 1 mom. 1 punkten i lagen om Institutet för hälsa och välfärd (668/2008) eller uppgifter om mikrobfynd ur det register över smittsamma sjukdomar som avses i 32 § i lagen om smittsamma sjukdomar (1227/2016),

2) Folkpensionsanstalten till den del det för forskningen behövs personuppgifter som registrerats i en kundrelation i samband med förmånsbehandling eller uppgifter om recept och anknytande expedieringar som lagrats i det receptcenter som avses i 3 § 4 punkten i lagen om elektroniska recept (61/2007),

3) Tillstånds- och tillsynsverket till de delar verket behandlar ärenden som ansluter sig till social- och hälsovården,

4) Arbetshälsoinstitutet till den del det för forskningen behövs uppgifter ur registren över arbetsrelaterade sjukdomar och exponeringsmätningar och ur institutets patientregister,

5) Säkerhets- och utvecklingscentret för läkemedelsområdet,

6) offentliga och privata serviceanordnare inom socialvården eller hälso- och sjukvården.

Ett villkor för erhållande av de uppgifter som avses i 1 mom. och för annan behandling av uppgifterna är att försökspersonen har lämnat informerat samtycke till att delta i forskningen. Om försökspersonen i enlighet med 7 eller 8 § inte själv kan lämna informerat samtycke till att delta i forskningen, är ett villkor för erhållande av de uppgifter som avses i 1 mom. och för annan behandling av uppgifterna att den som har rätt att ge samtycke för försökspersonens räkning har lämnat informerat samtycke till deltagande i forskningen. Om det för deltagande i forskningen enligt 8 § också ska inhämtas samtycke av en minderårig försöksperson själv när försökspersonen inte självständigt kan ge ett informerat samtycke till att delta i forskningen, behövs också försökspersonens eget samtycke.

Om det vid forskningen handlar om forskning i en nödsituation på det sätt som avses i 10 a §, får uppgifter som avses i 1 mom. erhållas och behandlas vid forskningen på det sätt som föreskrivs i 1 mom., om de villkor för forskning som anges i 10 a § uppfylls. Bestämmelser om rätten att förbjuda användningen av uppgifter från forskning finns i 10 a § 4 mom.

Om det vid forskningen handlar om forskning som genomförs i kluster på det sätt som avses i 10 b §, får uppgifter som avses i 1 mom. erhållas och behandlas vid forskningen på det sätt som föreskrivs i 1 mom., om försökspersonen har lämnat sitt samtycke till att delta i forskningen. Bestämmelser om samtycke finns i 10 b § 3 mom.

Utlämnande av uppgifter till aktörer som avses i 1 mom. förutsätter att det vid utlämnandet går att försäkra sig om att dataskyddet och informationssäkerheten vid behandlingen av uppgifterna håller en tillräckligt hög nivå. Uppgifter får inte lämnas ut, om det finns grundad anledning att misstänka att utlämnandet eller mottagarens verksamhet äventyrar den nationella säkerheten.

Om en myndighet som avses i 1 mom. vägrar lämna ut uppgifter som begärts, ska myndigheten fatta ett beslut i ärendet.

Uppgifterna ska pseudonymiseras innan de lämnas ut för ändamål som avses i 1 mom., om det inte finns särskilda skäl att förfara annorlunda. Mottagaren får samköra uppgifter som mottagaren fått med stöd av 1 mom., om det är nödvändigt att uppgifterna samkörs för att de uppgifter eller skyldigheter som avses i 1 mom. ska kunna fullgöras.

Bestämmelser om anteckningar som görs i journalhandlingar och om förvaring av journalhandlingar finns i lagen om behandling av kunduppgifter inom social- och hälsovården (703 /2023).

Omprövning får begäras av ett beslut enligt denna lag som Säkerhets- och utvecklingscentret för läkemedelsområdet har fattat samt av ett beslut som en myndighet enligt 21 c § 1 mom. har fattat om utlämnande av registeruppgifter. Bestämmelser om begäran om omprövning finns i förvaltningslagen.

Denna lag träder i kraft den 20 .

Uppgifter som samlats in med stöd av 5 § 1 mom. 1 punkten får lämnas ut med iakttagande av vad som föreskrivs i lagen om sekundär användning av personuppgifter inom social- och hälsovården (552/2019), 34 § i lagen om klinisk prövning av läkemedel (983/2021), 21 c § i lagen om medicinsk forskning (488/1999) och 20 a § i lagen om medicintekniska produkter (719/2021).

Denna lag träder i kraft den 20 .

Genom denna lag upphävs 61 § i lagen om behandling av kundtuppgifter inom social- och hälsovården (703/2023).

Denna lag träder i kraft den 20 .