1.1
Lag om sekundär användning av personuppgifter inom social- och hälsovården
1 kap. Allmänna bestämmelser
I detta lagförslag är bestämmelserna indelade i sex kapitel, varav det första gäller lagens syfte, tillämpningsområde och definitioner. I det andra kapitlet finns bestämmelser om myndigheter och organisationer som berörs av förslaget. I det tredje kapitlet föreskrivs skyldigheter för dessa myndigheter att producera tjänster med vars hjälp kunduppgifter och andra personuppgifter som ska samköras med dem kan behandlas smidigt och informationssäkert för användningsändamål enligt lag.
Bestämmelser om grunder och förutsättningar för att personuppgifter ska kunna behandlas för sekundära ändamål enligt denna lag, dvs. för andra ändamål än de ändamål för vilka personuppgifterna ursprungligen registrerades, finns i kapitel fyra. Det femte kapitlet innehåller procedurbestämmelser om behandlingen av ansökan om användningstillstånd och om allmänna förutsättningar för beviljande av tillstånd samt om förfarandet för utlämnande av uppgifter till tillståndshavaren. Särskilda förutsättningar för tillstånd för olika typer av användningsändamål finns i kapitel fyra. Kapitel sex innehåller olika andra bestämmelser, t.ex. bestämmelser om skyldigheter på basis av olika kliniska fynd, överklagande och övergångsperioder.
1 §. Lagens syfte. I 1 § föreskrivs det om lagens syften. Enligt 1 mom. i den föreslagna paragrafen är lagens syfte att möjliggöra en effektiv och informationssäker behandling av personuppgifter som har registrerats i social- och hälsovårdsverksamhet och för styrnings-, tillsyns-, forsknings- och statistikändamål inom social- och hälsovården samt en samkörning med Folkpensionsanstaltens, Befolkningsregistercentralens, Statistikcentralens och Pensionsskyddscentralens personuppgifter.
Närmare bestämmelser om Folkpensionsanstaltens, Befolkningsregistercentralens, Statistikcentralens och Pensionsskyddscentralens personuppgifter finns i 6 §. Dessa personuppgifter är
kunduppgifter som Folkpensionsanstalten registrerat i samband med förmånshandläggning,
grundläggande personuppgifter som förts in i Befolkningsregistercentralens befolkningsdatasystem, uppgifter om familjeförhållanden och bostadsort samt byggnadsuppgifter,
Statistikcentralens uppgifter som avses i lagen om utredande av dödsorsak (459/1973), och
nödvändiga personuppgifter som i samband med verkställighet av arbetspensionsskydd förts in i Pensionsskyddscentralens register om de försäkrades arbets- och förvärvsuppgifter och beviljade förmåner samt om grunderna för dem inklusive diagnoser för invalidpensioner och sjukpensioner,
Bestämmelser om tillåtna användningsändamål för uppgifterna föreslås i 2 §. Dessa är statistikföring, vetenskaplig forskning, utvecklings- och innovationsverksamhet, undervisning, informationsledning, myndighetsstyrning och myndighetstillsyn inom social- och hälsovården samt myndigheternas planerings- och utredningsuppgifter. Bestämmelser om särskilda grunder för utlämnande av uppgifter för varje enskilt ändamål föreskrivs i de föreslagna 37—42 § och bestämmelser om allmänna grunder för utlämnande av uppgifter i kap. 4 och 5.
Inom området för välfärd och hälso- och sjukvård behövs det för ovan beskrivna ändamål ofta förutom känsliga kunduppgifter på personnivå inom social- och hälsovården också andra – ofta sekretessbelagda – personuppgifter som avses i 6 § från Folkpensionsanstalten, Befolkningsregistercentralen, Pensionsskyddscentralen och Statistikcentralen.
Liksom det konstateras ovan uppstår en mängd problem och en betydande administrativ börda av alla de ansökningar om användningstillstånd till olika registeransvariga och den separata behandling av dem som behövs för genomförandet av en och samma plan för användning av uppgifter. I offentlighetslagen har målet varit att bemöta denna typ av problem så att det inom varje förvaltningsområde är ministeriet som enligt 28 § på den registeransvarigas vägnar centraliserat svarar för beviljande av användningstillstånd, om uppgifter behövs från flera registeransvariga inom samma ministeriums förvaltningsområde. Det har blivit ett problem att det inom området för välfärd och hälsa behövs personuppgifter från flera olika ministeriers förvaltningsområde och från Folkpensionsanstalten, och bestämmelsen i 28 § i offentlighetslagen om samordnad tillståndsbehandling täcker inte sådana situationer.
En smidig och snabb process för tillståndsbehandling och utlämnande av uppgifter för behandling av personuppgifter från olika registeransvariga för något annat än det ursprungliga användningsändamålet förverkligas i praktiken genom att
nedmontera parallella byråkratiska tillståndsförfaranden i anslutning till en och samma plan för användning av uppgifter och centralisera beviljandet av användningstillstånd till en enda myndighet,
förverkliga en tjänst för insamling, samkörning och förbehandling av uppgifter enligt 14 §, ett hanteringssystem för begäranden av information enligt 16 §, en informationssäker driftmiljö enligt 20 § för behandling av utlämnande uppgifter samt en anknytande informationssäker drifttjänst enligt 17 §, samt
göra det elektroniska utlämnandet av uppgifter mellan myndigheter smidigare vid behandling av tillstånd och utlämnande av uppgifter.
Redan i gällande lagstiftning är tillståndsbehörigheten centraliserad i vissa situationer. Enligt 24 § 25 punkten i offentlighetslagen är uppgifter om en klient hos socialvården samt de förmåner eller stödåtgärder eller den socialvårdsservice som denne har erhållit samt uppgifter om en persons hälsotillstånd eller handikapp, den hälsovård eller rehabilitering som denne har erhållit sekretessbelagda oberoende av i vilken myndighets handlingar de är införda. Enligt 24 § 16 punkten i offentlighetslagen är även handlingar som överlämnats till statistikmyndigheter för statistikframställning liksom handlingar som frivilligt överlämnats till en myndighet för forskning eller statistikföring sekretessbelagda.
Enligt bestämmelsen kan en myndighet enligt 28 § i offentlighetslagen i enskilda fall dock bevilja tillstånd att ta del av en sekretessbelagd handling för vetenskaplig forskning eller statistikföring eller för ett sådant planerings- eller utredningsarbete som en myndighet utför, om det är uppenbart att de intressen som sekretessplikten är avsedd att skydda inte kränks om uppgifter lämnas ut. Prövningen av om tillstånd ska beviljas eller inte ska utgå från att den vetenskapliga forskningens frihet tryggas. Om de uppgifter som ingår i en handling har lämnats ut till en myndighet med samtycke av den vars intressen sekretessplikten är avsedd att skydda, får tillstånd inte beviljas i strid med de villkor för användning och utlämnande som uppställts i samtycket. Om tillstånd behövs för handlingar som finns hos flera myndigheter som är underställda samma ministerium, fattar ministeriet beslut om beviljande av tillstånd efter att vid behov ha hört myndigheterna. Ett tillstånd kan beviljas för viss tid, och till det ska fogas bestämmelser som behövs för att skydda enskilda intressen. Ett tillstånd kan återkallas, om det anses att det finns skäl för återkallandet.
Behandling av kunduppgifter inom social- och hälsovården berörs i första hand av klientlagen och patientlagen som speciallagar. Enligt 14 § i klientlagen ska socialvårdshandlingar som innehåller uppgifter om socialvårdsklienter eller andra enskilda hållas hemliga. I fråga om utlämnande av uppgifter för vetenskaplig forskning gäller enligt 18 § 5 mom. vad som bestäms i lagen om offentlighet i myndigheternas verksamhet och i personuppgiftslagen. Dessutom kan Institutet för hälsa och välfärd under de förutsättningar som anges närmare i lag bevilja tillstånd för utlämnande av uppgifter i enskilda fall, när det för vetenskaplig forskning behövs uppgifter ur handlingar om en klient som finns hos en privat socialvårdsproducent eller hos fler än en kommun eller samkommun som producerar socialvårdstjänster.
På motsvarande sätt är uppgifterna i journalhandlingar sekretessbelagda enligt 13 § 1 mom. i patientlagen och i 2 mom. i samma paragraf föreskrivs om tystnadsplikt för personer som deltar i vården av patienten. Enligt 13 § 5 mom. gäller i fråga om utlämnande av uppgifter som ingår i journalhandlingar för vetenskaplig forskning och statistikföring vad som bestäms om det i lagen om offentlighet i myndigheternas verksamhet, lagen om riksomfattande personregister för hälsovården och personuppgiftslagen. Dessutom kan Institutet för hälsa och välfärd bevilja tillstånd att under förutsättningar som anges närmare i lag få uppgifter i enskilda fall, när det för vetenskaplig forskning behövs uppgifter ur journalhandlingar som finns hos en i lagen om privat hälso- och sjukvård avsedd enhet som tillhandahåller hälso- och sjukvårdstjänster, hos en yrkesutbildad person inom hälso- och sjukvården som utövar sitt yrke självständigt eller hos flera än en kommun eller samkommun som tillhandahåller hälso- och sjukvårdstjänster.
Bestämmelserna i patient- och klientlagen skiljer sig i någon mån från varandra. Det har gjorts olika tolkningar av om användningstillstånd för kunduppgifter inom social- och hälsovården med stöd av 28 § i offentlighetslagen fortfarande kan ges för en myndighets planerings- och utredningsuppgift, när det i speciallagar som i patientlagen hänvisas endast till vetenskaplig forskning och statistikföring och i klientlagen endast till vetenskaplig forskning. Dessutom är Institutet för hälsa och välfärds rätt att besluta om utlämnande av uppgifter hos offentliga registeransvariga för patient- och klientregister begränsad till kunduppgifter i en kommun eller samkommun. Även i vissa statliga myndigheters verksamhet samlas kunduppgifter inom social- och hälsovården samt uppgifter med en nära anknytning till med dem som behöver behandlas för sådana ändamål som avses i 28 § i offentlighetslagen. Det är oändamålsenligt att tillstånd för flera olika registeransvarigas patient- och klientuppgifter enligt gällande lagstiftning i en del fall beviljas av social- och hälsovårdsministeriet, i en del av Institutet för hälsa och välfärd.
Bestämmelser om ett särskilt tillståndsförfarande finns dessutom i lagen om medicinsk forskning (488/1999) samt i Europaparlamentets och rådets förordning (EU) nr 536/2014 om kliniska prövningar av humanläkemedel och om upphävande av direktiv 2001/20/EG (förordningen om kliniska prövningar av humanläkemedel), som sannolikt träder i kraft 2018. För verkställigheten av förordningen bereds som bäst en nationell lagstiftning som i den mån det är möjligt ska vara förenlig med de processer för användningstillstånd och utlämnande av uppgifter som införs i denna lag. Även i medicinsk forskning och i klinisk läkemedelsforskning behövs ofta andra personuppgifter än de som samlas in och uppstår i själva forskningsprocessen. I både medicinsk och klinisk forskning som berör människan förutsätts dessutom att etiska kommittén gör en positiv förhandsgranskning som också inleds via det hanteringssystem för begäranden av information som avses i den föreslagna 16 §.
Enligt det föreslagna 2 mom. är lagens syfte, utöver vad som föreskrivs i 1 mom., att trygga individens rättigheter och friheter när personuppgifter behandlas för ändamål enligt den aktuella lagen. Grundlagens 10 § tryggar skyddet för personuppgifter som en del av skyddet för privatlivet. Enligt den utfärdas bestämmelser om behandling av personuppgifter genom lag. Kravet på bestämmelser genom lag uppfylls för närvarande genom personuppgiftslagen, offentlighetslagen och specialbestämmelser om social- och hälsovård. Bestämmelserna i personuppgiftslagen är fram till den 24 maj 2018 förenliga med EU:s gällande uppgiftsskyddsdirektiv.
EU:s allmänna dataskyddsförordning ersätter uppgiftsskyddsdirektivet och är som sådan tillämplig lagstiftning i medlemsstaterna från den 25 maj 2018. Förordningens bestämmelser ska beaktas när denna lag stiftas och är primära i förhållande till nationell lag. Genom lagen preciseras och kompletteras dataskyddsförordningen till de delar det har lämnats nationellt spelrum i den. Som nationella allmänna lagar tillämpas dessutom en ny allmän lag och offentlighetslag som ska ersätta personuppgiftslagen. Ändringar i lagarna på grund följer av verkställigheten av dataskyddsförordningen är som bäst under beredning.
Enligt artikel 5 i dataskyddsförordningen får personuppgifter inte användas eller behandlas på ett sätt som är oförenligt med det ursprungliga användningsändamålet för personuppgifterna. Senare behandling av personuppgifter för historiska, statistiska eller vetenskapliga forskningsändamål ska inte anses oförenlig med de ursprungliga ändamålen för behandlingen. Om behandlingen enligt skäl 50 är nödvändig för att fullgöra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den registeransvariga har fått i uppgift att utföra, kan medlemsstaternas nationella rätt fastställa och närmare ange för vilka uppgifter och syften ytterligare behandling bör betraktas som förenlig och laglig. Även i medlemsstatens lagstiftning kan finnas en rättslig grund för ytterligare behandling, om syftet med behandlingen är förenligt med det ursprungliga användningsändamålet. Lagstiftningens tillåtlighet ska dessutom avgöras genom begränsningsförfarandet enligt artikel 23 i förordningen.
Enligt artikel 9 i dataskyddsförordningen hör uppgifter om en persons hälsa och genetiska uppgifter till s.k. särskilda kategorier av personuppgifter. I skäl 10 i ingressen till förordningen kallas de också känsliga uppgifter, vilket är ett begrepp som används även i uppgiftsskyddsdirektivet och i personuppgiftslagen och som för tydlighetens skull används i denna lag. Liksom nu är fallet i personuppgiftslagen kommer känsliga uppgifter även i fortsättningen att vara belagda med behandlingsförbud, från vilket det genom nationell lagstiftning kan göras avvikelser i synnerhet på de grunder som anges i artiklarna 6 och 9 i förordningen.
Den registrerades rättigheter och friheter tryggas i lagförslaget bland annat så att uppgifter endast i anonymiserad form får lämnas ut utan tillståndsförfarande. Om uppgifter lämnas ut på annat sätt än i anonymiserad form, krävs användningstillstånd och iakttagande av tillståndsvillkor. Endast sådana uppgifter som är nödvändiga med avseende på den plan för användning av uppgifter som utgör grunden för ansökan om tillstånd får lämnas ut. Om uppgifter lämnas ut i på annat sätt än anonymiserade, lämnas de i regel ut i pseudonymiserad form och för behandling i en verifierat informationssäker driftmiljö där användningen av dem kan kontrolleras. I vissa situationer får uppgifter dessutom för informationsledning samt myndighetsstyrning och myndighetstillsyn behandlas utan användningstillstånd under de förutsättningar som föreskrivs i lag.
För registeransvariga i fråga om vilka behandling av personuppgifter i deras verksamhet sannolikt skulle leda till en hög risk för fysiska personers rättigheter och friheter följer direkt av artikel 35 i dataskyddsförordningen en föregripande skyldighet att göra en konsekvensbedömning avseende dataskydd för registeransvariga, vars behandling sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Denna skyldighet finns redan innan uppgifter behandlas. När det bedöms om en konsekvensbedömning ska göras ska behandlingens art, omfattning, sammanhang och ändamål beaktas.
Den registrerade skulle i princip i alla de användningsändamål som föreslås i lagförslaget ha sådana rättigheter enligt dataskyddsförordningen som är direkt tillämpliga med stöd av dataskyddsförordningen. Med stöd av förordningen får dock under vissa villkor göras undantag från den registrerades rättigheter i lagstiftningen. Närmare bestämmelser om behövliga undantag utfärdas särskilt för varje användningsändamål i lagens 4 kap. Vissa undantag i dataskyddsförordning blir åter direkt tillämpliga när villkoren i förordningen uppfylls.
Ett centralt mål i den föreslagna lagen är att skapa sådana processer för användningstillstånd för personuppgifter och för behandlingen av uppgifter som lämnas ut som lämpar sig för social- och hälsovårdsområdet och som garanterar en smidig, snabb och enhetlig tillståndsbehandling. Samtidigt strävar man efter att trygga skyddet för sådana personers personuppgifter och berättigade förväntningar vars personuppgifter användningstillståndet gäller samt deras självbestämmanderätt i fråga om uppgifterna i den mån det är möjligt med hänsyn till bland annat arten och omfattningen av de uppgifter som används.
2 §. Tillämpningsområde. Enligt 1 mom. utfärdas bestämmelser som kompletterar EU:s allmänna dataskyddsförordning genom den föreslagna lagen, när de personuppgifter som avses i 1 § används för statistikföring, vetenskaplig forskning, utvecklings- och innovationsverksamhet, undervisning, informationsledning, myndighetsstyrning och myndighetstillstånd inom social- och hälsovården eller myndigheternas planerings- och utredningsuppgifter. Lagen ska också tillämpas på behandlingen av uppgifter om avlidna, trots att dataskyddsförordningen inte tillämpas på den. Dessutom tillämpas personuppgiftslagen om inte något annat föreskrivs i propositionen. På motsvarande sätt som personuppgiftslagen tillämpas den allmänna lag som bereds vid justitieministeriet vars syfte är att genomföra dataskyddsförordningen nationellt. Den ersätter personuppgiftslagen sedan den trätt i kraft.
I paragrafens 2 mom. finns en hänvisning till 6 och 7 § i lagen. I 6 § avgränsas den datamängd som kan behandlas för de användningsändamål som räknas upp i 1 mom. till denna paragraf. Enligt den föreslagna 1 § är lagens primära syfte att möjliggöra en smidig och informationssäker behandling av uppgifter som har registrerats i social- och hälsovårdsverksamhet och för styrnings-, tillsyns-, forsknings- och statistikändamål inom social- och hälsovården även för andra ändamål än det ändamål för vilket de ursprungligen samlades in. Lagen ska dock även tillämpas när det för ändamål enligt 2 § behövs sådana personuppgifter som avses i 6 § från Folkpensionsanstalten, Befolkningsregistercentralen, Statistikcentralen, Institutet för hälsa och välfärd samt Pensionsskyddscentralen. Bestämmelser om begränsningar som gäller behandlingen av uppgifter som Statistikcentralen och Institutet för hälsa och välfärd i egenskap av statistikmyndighet samlat in för statistiska ändamål tas in i 7 §.
Sådana uppgifter behövs vanligen när det bedöms hur servicesystemet inom social- och hälsovården fungerar och t.ex. effekterna av de producerade tjänsterna och de verksamhetsmodeller, vårdmetoder samt läkemedel som använts i dem. För dessa ändamål finns det vanligen ett behov av att behandla förutom de personuppgifter som registerförts i samband med social- och hälsovårdstjänsterna och förmånerna samt om kunderna och personalen även behandla uppgifter på befolkningsnivå från Befolkningsregistercentralen, Statistikcentralen och Pensionsskyddscentralen.
Behandlingen av uppgifter för de användningsändamål som anges i lag begränsas på två sätt i paragrafen. På det sätt som beskrivs ovan begränsas i 2 mom. uppgifter som kan behandlas för de användningsändamål som anges i 1 mom. För det andra innehåller 3 mom. en hänvisningsbestämmelse till kap. 4 och 5, som för varje enskilt användningsändamål och användningstillstånd innehåller bestämmelser om begränsningar för användningen av uppgifter.
3 §. Definitioner. I paragrafen ingår definitioner på begrepp som är centrala för tillämpningen av lagen.
Enligt 1 punkten avses med kunduppgifter personuppgifter enligt artikel 4.1 i dataskyddsförordningen som enligt lag är sekretessbelagda och som har registrerats i ett kundregister i en kundrelation inom social- och hälsovården eller vid förmånshandläggning eller i ett administrativt register i anknytning till en kundrelation. Begreppet omfattar inom social- och hälsovården förutom kunduppgifterna i de egentliga journalhandlingarna även sådana specificerande uppgifter i en kundrelation som finns t.ex. i fakturor eller i administrativa handlingar som gäller anmärkningar och klagomål.
Enligt 24 § 25 punkten i offentlighetslagen är handlingar som innehåller uppgifter om en klient hos socialvården eller en enskild kund hos arbetsförvaltningen samt de förmåner eller stödåtgärder eller den socialvårdsservice eller den service för arbetsförvaltningens enskilda kunder denne erhållit eller uppgifter om en persons hälsotillstånd eller handikapp, den hälsovård eller rehabilitering som denne har erhållit eller uppgifter om någons sexuella beteende eller inriktning sekretessbelagda. I 13 § i patientlagen och i 3 kap. och i 27 och 28 § i klientlagen finns dessutom separata bestämmelser om att patient- och klienthandlingar i sin helhet är sekretessbelagda samt om de särskilda grunder för när undantag kan göras från tystnadsplikten. Redan informationen om att en person är patient eller kund inom socialvården är sekretessbelagd.
Det primära användningsändamålet för personuppgifter innebär enligt 2 punkten det användningsändamål för vilket personuppgifterna ursprungligen registrerades. Till exempel inom social- och hälsovården registreras kunduppgifter ursprungligen i samband med vård, omsorg och andra tjänster för kunderna. Personuppgifter registreras ursprungligen även t.ex. inom Institutet för hälsa och välfärds forskning och statistikföring t.ex. när uppgifter samlas in direkt från de registrerade eller andra informationskällor. Behandlingen av kunduppgifter regleras av bland annat speciallagar som klientlagen, lagen om klienthandlingar inom socialvården, patientlagen och förordningen om journalhandlingar som utfärdats med stöd av den samt klientuppgiftslagen.
Med sekundärt användningsändamål för personuppgifter avses åter enligt 3 punkten behandlingen av personuppgifter för något annat användningsändamål än det primära användningsändamål som avses i 2 punkten. Användningsändamålen enligt denna lag räknas upp i 2 §. Även sådana uppgifter som ursprungligen registrerats för ett användningsändamål enligt 2 §, såsom forskning eller statistikföring, får behandlas för sekundära ändamål. Således får personuppgifter och forskningsmaterial som registrerats t.ex. i Institutet för hälsa och välfärds register behandlas för användningsändamål enligt lagförslaget (s.k. sekundär sekundär användning).
Sekundär användning av uppgifter ska uppfylla villkoren i dataskyddsförordningen. När uppgifter behandlas för ett annat användningsändamål än det primära användningsändamålet ska behandlingen av uppgifterna i enlighet med artikel 5 vara förenlig med det ursprungliga ändamålet. Ytterligare behandling av uppgifter ska enligt artikel 6.4 i dataskyddsförordningen grunda sig på medlemsstaternas lagstiftning som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23 i förordningen. De mål som föreskrivs i artikel 23 är bland annat viktiga mål i anslutning till det allmänna intresset, såsom folkhälsa och social trygghet samt skydd av den registrerade eller andras rättigheter och friheter. Vidare ska det för behandlingen finnas en grund enligt artikel 6.1 och en grund enligt artikel 9.2 för behandlingen av känsliga uppgifter, såsom hälsouppgifter. Som förenligt ändamål anses i förordningen bland annat vetenskaplig forskning och statistikföring.
Utvecklings- och innovationsverksamhet är enligt 4 punkten tillämpning och användning av tekniska uppgifter och affärsinformation och annan befintlig kunskap tillsammans med personuppgifter som avses i den föreslagna lagen i syfte att utveckla nya eller avsevärt förbättrade produkter, processer eller tjänster. Enligt definitionen förutsätter användningen av personuppgifter för utvecklings- och innovationsverksamhet enligt 4 punkten inte att verksamheten bedrivs med hjälp av vetenskapliga forskningsmetoder, eftersom bestämmelser om vetenskaplig forskning enligt dataskyddsförordningen ska tillämpas på sådan utvecklings- och innovationsverksamhet. Förutsättningen enligt 38 § är däremot den registrerades samtycke eller att personuppgifterna anonymiseras innan de lämnas ut. Den utvecklings- och innovationsverksamhet som avses i punkt 4 täcker inte ändringar som på yrkande av myndigheter rutinmässigt eller regelbundet görs i befintliga produkter, tjänster eller annan pågående verksamhet, även om ändringarna skulle innebära förbättringar.
Med informationsledning avses enligt 5 punkten behandling av information till stöd för tjänstetillhandahållare vid styrning, ledning och beslutsfattande i fråga om verksamhet, produktion och ekonomi i kund-, service- och produktionsprocesser. I denna lag används begreppet för att beskriva i synnerhet intern ledning, styrning och övervakning hos en viss organisation eller tjänstetillhandahållare utifrån uppgifter som samlats i dess egen verksamhet.
Om endast sådana personuppgifter i tjänstetillhandahållarens egna kundregister som den själv är registeransvarig för används för informationsledning, är det med stöd av dataskyddsförordningen tillåtet att behandla dem för informationsledningsändamål, om det föreskrivs nationellt om det. En stor del av tjänstetillhandahållarna inom social- och hälsovården är dock även tjänsteproducenter på uppdrag eller annars för en annan tjänstetillhandahållares räkning, vilket innebär att tjänsteproducenten inte är registeransvarig för de kunduppgifter som erhållits i verksamheten utan registerförare för dem. Vid beredningen av lagen har det också framgått att det skulle vara viktigt för tjänstetillhandahållare inom social- och hälsovården att få jämförande uppgifter om verksamhet som bedrivs av tjänstetillhandahållare som producerar och ordnar motsvarande tjänster. I den föreslagna 41 § föreskrivs om tjänstetillhandahållares möjlighet att använda andra registeransvarigas uppgifter för informationsledningsändamål.
Myndighetsstyrning inom social- och hälsovården avser enligt 6 punkten de nationella social- och hälsovårdsmyndigheternas lagstadgade externa styrning av aktörer inom branschen baserad på person- och statistikuppgifter som samlats in för ändamålet eller på uppgifter som i ett enskilt fall har erhållits för styrnings- eller tillsynsuppgiften. Sådana uppgifter har på riksnivå bland annat ålagts Valvira och regionförvaltningsverken i flera lagar som gäller social- och hälsovårdstjänster, samt Fimea.
Med myndighetstillsyn inom social- och hälsovården avses enligt 7 punkten sådan lagstadgad tillsyn över yrkesutbildade personer och verksamhetsenheter inom social- och hälsovården som utövas av de nationella social- och hälsovårdsmyndigheterna. För sådana tillsynsuppgifter svarar bland annat Valvira och regionförvaltningsverken samt Fimea.
Med användningstillstånd avses enligt 8 punkten tillstånd enligt lagen att behandla de sekretessbelagda personuppgifter som anges i tillståndet. Enligt gällande lagstiftning kan ett sådant tillstånd beviljas för vetenskaplig forskning, statistikföring eller planerings- eller utredningsarbete som myndigheten utfört bland annat med stöd av 28 § i offentlighetslagen, 13 § 5 mom. i patientlagen och 18 § 5 mom. i klientlagen. I enlighet med det som föreslås i propositionen beviljas användningstillstånd för ändamål enligt denna lag av Tillståndsmyndigheten för social- och hälsovårdsuppgifter som finns i anslutning till Institutet för hälsa och välfärd, om tillståndet gäller uppgifter från flera av de registeransvariga som avses i 6 §. Om åter en begäran om information gäller personuppgifter från endast en myndighet, beviljas tillståndet av den registeransvariga, som för närvarande. En privat tjänstetillhandahållare kan enligt propositionen aldrig bevilja tillstånd för sina egna registeruppgifter, utan tillstånd till dem beviljas alltid av Tillståndsmyndigheten för social- och hälsovårdsuppgifter. Den myndighet som beviljat tillståndet anger i tillståndet den datamängd, som kan lämnas ut till tillståndshavaren.
Enligt punkt 9 avses med begäran om information en begäran att få personuppgifter i anonymiserad form för ett användningsändamål enligt denna lag. När informationen har anonymiserats är den inte längre en personuppgift, eftersom den anonymiserats på ett sådant sätt att den registrerade inte längre är identifierbar. Sådan information berörs inte längre av normerna för behandlingen av personuppgifter. Därför krävs inte en process för användningstillstånd enligt denna lag för utlämnande av information, utan informationen kan genom ett förenklat förfarande lämnas ut för användningsändamål enligt lagen. Det är därför inte fråga om en ansökan om användningstillstånd utan om en begäran om information.
Enligt punkt 10 avses med informationssäker drifttjänst en informationssäker lösning med hjälp av vilken parterna kan lämna ut uppgifter som omfattas av en användningsbegränsning. Med parter hänvisas till Tillståndsmyndigheten för social- och hälsovårdsuppgifter och instanser som kommunicerar med den. Med hjälp av en informationssäker drifttjänst kan den som begär uppgifter för ändamål enligt denna lag och en myndighet på ett informationssäkert sätt lämna ut uppgifter sinsemellan och informationen skulle gå både från den myndighet som framställt begäran och till den som begärt information från myndigheten. Likaså kan myndigheter sinsemellan lämna ut uppgifter med hjälp av en informationssäker drifttjänst. På så vis kan till exempel en tillståndssökande via tjänsten för användningstillstånd ansöka om användningstillstånd hos en myndighet och myndigheten kan via samma drifttjänst delge sökanden beslutet och lämna ut materialet. Tjänsten kan ha flera olika funktioner, t.ex. ifyllandet av blanketter eller utlämnande av åtkomsträttigheten till uppgifter. En informationssäker drifttjänst fungerar som en sådan teknisk anslutning som avses i 29 § 3 mom. i offentlighetslagen, via vilken myndigheterna kan lämna ut sekretessbelagda uppgifter till varandra. Enligt 29 § 3 mom. i offentlighetslagen får uppgifter sökas med hjälp av en teknisk anslutning endast i fråga om sådana personer som har samtyckt till detta, om inte något annat uttryckligen föreskrivs särskilt om utlämnande av en sekretessbelagd uppgift.
Den informationssäkra driftmiljö som avses i 11 punkten är en sådan teknisk, organisatorisk och fysisk helhet för behandling av uppgifter där informationssäkerheten har säkerställts genom lämpliga administrativa och tekniska åtgärder. Med informationssäker driftmiljö hänvisas till en miljö där personuppgifter som lämnats ut av en myndighet får behandlas under de förutsättningar som anges i denna lag.
Med informationssäker driftmiljö hänvisas i denna lag däremot inte till den miljö som Tillståndsmyndigheten för social- och hälsovårdsuppgifter använder för att samla in, samköra och lämna ut uppgifter. Ansvar som gäller tillståndsmyndigheten följer i regel direkt av annan lagstiftning och de uppgifter som ålagts till den i denna lag. I gällande lagstiftning åläggs myndigheterna skyldigheter i fråga om informationssäkerhetsåtgärder bland annat i 36 § i offentlighetslagen och i statsrådets förordning om informationssäkerheten inom statsförvaltningen (681/2010), som utfärdats med stöd av lagen.
En informationssäker driftmiljö inbegriper bland annat terminalutrustning, servrar, arbetsstationer, operativsystem och systemprogramvara samt lednings- och informationssäkerhetspraxis, som inte är en del av informationssystemet eller informationssystemtjänsten. I en informationssäker driftmiljö ingår också administreringen av informationssäkerhetsprocesserna och ledningssystem inklusive säkerhet för personal, utrustning, telekommunikation, drift och programvara samt fysisk säkerhet.
Skyddsåtgärder i informationssäkra driftmiljöer är till exempel – men inte uttömmande – behörighetskontroll för utrustning och system och lokaler, förhindrande av obehörig användning av lokaler, uppgifter och system, registrering av uppgiftsbehandling, kontroll av telekommunikations ursprung och routing, definition av åtkomsträttigheter till systemen, ändamålsenliga arrangemang för underhåll och skydd av uppgifter och system för gärningar eller händelser som äventyrar informationssäkerheten, såsom virus och andra sabotageprogram. Informationssäkerhetsåtgärder är dessutom kontroll och förhindrande av störningar av telekommunikationen. Den som tar emot uppgifter ska genom sina utredningar visa att mottagarens driftmiljöer är informationssäkra.
Med hanteringssystem för begäranden om information avses enligt 12 punkten ett system via vilket den som ansöker om användningstillstånd eller framställer en begäran om information lämnar in en ansökan om användningstillstånd eller en begäran om information med bilagor till myndigheten och i vilket ett beslut om användningstillstånd eller begäran om information delges den sökande. Beredningen av tillståndsbeslutet kan också göras med hjälp av systemet.
Enligt 13 punkten används begreppet tjänstetillhandahållare som övergripande begrepp för alla som ordnar, producerar eller tillhandahåller social- och hälsovård eller social- och hälsovårdstjänster oberoende av deras roll och uppgifter eller om de verkar som myndighet eller som sådan producent av privat socialservice som avses i lagen om privat socialservice (922/2011) eller lagen om privat hälso- och sjukvård (152/1990). Tjänstetillhandahållare kan delas in i serviceanordnare och tjänsteproducenter beroende på i vilken av rollerna de sköter uppgifter.
När det gäller behandlingen av kunduppgifter är tjänstetillhandahållarens roll av central betydelse, eftersom serviceanordnaren är registeransvarig för de kunduppgifter som erhålls i samband med en kundrelation. Däremot är den som på uppdrag eller annars producerar tjänster åt en annan registerförare enligt dataskyddsförordningen för personuppgifter som registrerats i samband med en kundrelation.
Med serviceanordnare avses i enlighet med 14 punkten en sådan tjänstetillhandahållare inom social- och hälsovården som
i egenskap av myndighet är skyldig att se till att kunden får sådana tjänster eller förmåner som han eller hon har rätt till enligt lag eller ett myndighetsbeslut, eller
i egenskap av privat tjänstetillhandahållare ska svara för att en kund som köper en social- och hälsovårdstjänst privat får service enligt ett sådant avtal som avses i 6 § i klientlagen eller att en patient som betalar för privat service får lämplig undersökning, vård eller rehabilitering.
Bestämmelser om myndigheternas skyldighet att ordna social- och hälsovårdstjänster för personer som är bosatta inom dess verksamhetsområde föreskrivs i socialvårdslagen och hälso- och sjukvårdslagen samt speciallagstiftning inom området.
Tjänster och åtgärder inom socialvården ska enligt 6 § i klientlagen alltid basera sig på antingen ett myndighetsbeslut eller, när kunden själv med egna medel köper socialservice direkt från en privat tjänsteproducent, ett skriftligt avtal. Ställningen som serviceanordnare innehas då enligt lagen av den socialvårdsmyndighet som svarar för servicen och anknytande beslut eller av den privata tjänstetillhandahållare som ingått avtal med kunden.
I social- och hälsovårdslagstiftningen förutsätts inte motsvarande myndighetsbeslut eller uttryckliga avtal om tjänster för en patient som köper hälsovårdstjänster privat, utan patientens kundrelation till en yrkesutbildad person eller verksamhetsenhet inom hälso- och sjukvården uppstår både inom offentlig och privat hälso- och sjukvård oftast i praktiken genom en tidsbokning eller en remiss eller genom att patienten helt enkelt uppsöker jouren vid en självständig yrkesutövares mottagning inom hälso- och sjukvården eller registrerar sig som patient vid en viss verksamhetsenhet. Ställningen som serviceanordnare innehas då av den självständiga yrkesutövare eller verksamhetsenhet inom hälso- och sjukvården som får ansvaret för att patienten får adekvat undersökning, vård eller rehabilitering.
Enligt kommunallagen (410/2015) kan kommunen antingen själv producera de tjänster som omfattas av dess organiseringsansvar eller tillsammans med andra kommuner eller genom att köpa tjänster från en offentlig eller privat tjänsteproducent. Även tjänstetillhandahållare som privat ordnar social- och hälsovårdstjänster för kunderna köper ofta en del av de tjänster som omfattas av organiseringsansvaret från andra tjänstetillhandahållare, som då är tjänsteproducenter med avseende på behandlingen av kunduppgifterna. Ofta slår producenter av köpta tjänster ihop en del avtalsbaserade tjänster som underleverans till andra tjänstetillhandahållare. Registeransvarig för kunduppgifter i sådana underleveranssituationer är alltid serviceanordnaren, och även vid kombinerad upphandling är alla de tjänsteproducenter som deltar i en sådan sådana handläggare av kunduppgifter som avses i dataskyddsförordningen.
Tjänsteproducenten är enligt 15 punkten en sådan tjänstetillhandahållare som producerar social- eller hälsovårdstjänster med stöd av ett avtal med serviceanordnaren eller åt den som annars har organiseringsansvar för tjänsten eller med stöd av en servicesedel som finansieras av serviceanordnaren. I lagen om servicesedlar inom social- och hälsovården (569/2009) föreskrivs att kommunen i egenskap av serviceanordnare är registeransvarig även i samband med tjänster som finansieras med en servicesedel och som kunden i huvudsak finansierar själv. I alla dessa situationer är tjänsteproducenten registerförare för de kunduppgifter som den registrerat där.
Tjänsteleverantör är enligt 16 punkten en aktör som producerar tjänster i anslutning till en informationssäker driftmiljö. Tjänsterna kan består av informationstekniska komponenter och installering, underhåll och utveckling av dem eller annan verksamhet för kundens räkning. Informationstekniska komponenter kan vara applikationer, driftmiljöer, servrar, maskinhallar, dataförbindelser eller andra delar som ingår i den informationstekniska helheten. Informationssäkerheten för informationstekniska tjänster är en central egenskap vid behandlingen av de uppgifter som är föremål för denna lag, och därför ska tjänsterna uppfylla informationssäkerhet som kan verifieras av tredje part och vars nivå regleras i lag. I denna lag kan en tjänsteleverantör producera en informationssäker driftmiljö eller anknytande informationstekniska tjänster som tillsammans utgör en behövlig helhet. En eller flera tjänsteleverantörer kan delta i produktionen av en behövlig helhet.
Enligt 17 punkten är planen för användning av uppgifter en forskningsplan, en projektplan eller motsvarande plan av vilken framgår användningsändamålet för de uppgifter som avses i tillståndsansökan, registerförare, den rättsliga grunden för behandlingen samt väsentliga omständigheter som gäller dataskydd och informationssäkerhet vid behandlingen av uppgifterna. Omständigheterna i anslutning till informationssäkerhet ska omfatta uppgifternas hela livscykel. I definitionen nämns att bland annat bevaring och förstöring eller arkivering av uppgifterna ska beaktas i livscykeltänkandet. Enligt den förslagna 46 § ska det till ansökan om användningstillstånd fogas en plan för användning av uppgifter och den Tillståndsmyndighet för social- och hälsovårdsuppgifter som avses i 4 § utfärdar föreskrifter om planens datainnehåll och datastrukturer. Redan i planen för användning av uppgifter ska uppgiftsanvändningens hela livscykel planeras ända från det att uppgifterna fås från tillståndsmyndigheten fram till dess att uppgifterna förstörs eller arkiveras.
Även om användningstillstånd söks för befintliga registeruppgifter kan det hända att den som ansöker om tillstånd även samlar in ny information i anknytning till dem eller fogar annan information som den själv samlat in till dem. Även dessa uppgifter ska tas in i planen för användning av uppgifter. Planen ska vara en så heltäckande beskrivning som möjligt av all den information som ska behandlas i projektet under hela dess livscykel. Den sökande bör ha en förståelse för hur olika uppgifter hanteras som en helhet. Förteckningen i definitionen är således inte uttömmande, utan även andra omständigheter bör beaktas i olika projekt. Dessa skulle till exempel vara hantering av samtycke och uppkomsten av uppgifter.
Det färdiga datamaterial som avses i 18 punkten ska vara en materialhelhet som bildas och förvaras av Tillståndsmyndigheten för social- och hälsovårdsuppgifter och som sammanställs av uppgifter från en eller flera av de myndigheter eller organisationer som avses i denna lag. I det färdiga datamaterialet har uppgifter från olika organisationer färdigt samkörts till ett enda material eller identifikationsuppgifterna för materialen har getts en enhetlig kod så att den centraliserade tillståndsmyndigheten snabbt, informationssäkert och kostnadseffektivt kan samköra material som den innehar för en enskild undersökning som avses i ett beviljat användningstillstånd eller för någon annan behandlingsgrund.
Bestämmelser om rätten för Tillståndsmyndigheten för social- och hälsovårdsuppgifter att sammanställa och behandla färdigt datamaterial i sina lagstadgade uppgifter finns i 15 § 2 mom. I enlighet med det är färdigt datamaterial avsett för tillståndsmyndighetens eget bruk och lämnas inte som sådant ut till tillståndshavaren.
Enligt 19 punkten avses med bedömningsorgan för informationssäkerhet sådana företag, sammanslutningar och myndigheter som avses i lagen om bedömningsorgan för informationssäkerhet (1405/2011) och som Kommunikationsverket har utsett att bedöma om ett informationssystem uppfyller kraven på informationssäkerhet. De allmänna förutsättningarna för att ett bedömningsorgan för informationssäkerhet ska godkännas konstateras i 5 § i den lagen. Vidare ska bedömningsorganet ha god sakkunskap om förutsättningar enligt denna lag för informationssäkra driftmiljöer, om vilka föreskrivs i 3 kap. Bedömningsorganet för informationssäkerhet ska granska om kraven på informationssäkerhet och dataskydd uppfylls i driftmiljöer enligt 20 § i denna lag.
Bedömningsorganet för informationssäkerhet kan vara ett privat företag eller en myndighet. Ansökan om att bli ett bedömningsorgan för informationssäkerhet lämnas separat. Organet ska uppfylla kraven i lagen om bedömningsorgan för informationssäkerhet. Detta konstateras i ett förfarande enligt 5 § i lagen om bedömningsorgan för informationssäkerhet. I praktiken innebär detta att det nationella ackrediteringsorganet FINAS som verkar i anslutning till Mätteknikcentralen har konstaterat bedömningsorganets kompetens enligt vad som föreskrivs i lagen om konstaterande av tillförlitligheten hos tjänster för bedömning av överensstämmelse med kraven (920/2005). Därefter kan Kommunikationsverket utse bedömningsorganet till uppgiften i enlighet med lagen om bedömningsorganet för informationssäkerhet.
2 kap. Myndigheter och organisationer
I kapitel två finns bestämmelser om myndigheter och organisationer som svarar för de tjänster som föreskrivs i 3 kap. Centralmyndigheten är en ny Tillståndsmyndighet för social- och hälsovårdsuppgifter som ska inrättas i anslutning till Institutet för hälsa och välfärd och centraliserat svara för flera tjänster för andra myndigheters och organisationers räkning. Den ska också ha tillsynsuppgifter och en egen styrstruktur. I kapitlet föreskrivs dessutom om andra registeransvariga och om datamaterial vars sekundära användning denna lag gäller, samt om samarbete mellan organisationerna. Ett ömsesidigt samarbete mellan organisationer är nödvändigt för att en smidig process ska kunna garanteras.
4 §. Tillståndsmyndigheten för social- och hälsovårdsuppgifter. Enligt 1 mom. är en enhet vid Institutet för hälsa och välfärd som har avskilts från sådan behandling av personuppgifter vid Institutet för hälsa och välfärd som institutet utför för användningsändamål enligt 2 § i denna lag en sådan riksomfattande tillståndsmyndighet som avses i 4 § (Tillståndsmyndigheten för social- och hälsovårdsuppgifter).
Enligt 2 mom. verkar tillståndsmyndigheten under social- och hälsovårdsministeriets resultatstyrning och har en separat styrgrupp och ett separat budgetmoment. Tillståndsmyndighetens separata styrgrupp och placeringen av den vid en enhet som är fristående från Institutet för hälsa och välfärd tryggar för sin del att tillståndsmyndigheten agerar objektivt, opartiskt och oberoende även när den behandlar och utvärderar Institutet för hälsa och välfärds egna tillståndsansökningar.
Företrädda i styrgruppen är de centrala registeransvariga vars uppgifter berörs av det centraliserade riksomfattande tillståndsförfarandet. Detta garanterar för sin del att särskilda förutsättningar och aspekter i samband med behandlingen av olika registeransvarigas registeruppgifter blir beaktade vid skötseln av tillståndsmyndighetens uppdrag. Å andra sidan skulle det vara möjligt att med det centraliserade tillståndsförfarandet förenhetliga olika tillståndsförfaranden hos olika registeransvariga och olika bedömningsgrunder för en tillståndsansökan som baserar sig på en och samma plan för användning av uppgifter. Samtidigt garanteras att sådana planer för användning av uppgifter som gäller social- och hälsovård bedöms av den instans som har de bästa kunskapsmässiga och yrkesmässiga förutsättningarna för det.
5 §. Uppgifter för Tillståndsmyndigheten för social- och hälsovårdsuppgifter. Tillståndsmyndigheten för social- och hälsovårdsuppgifter fattar enligt 1 mom. beslut om användningstillstånd som gäller utlämnande av uppgifter ur andra registeransvarigas material. Den centraliserade tillståndsmyndigheten fattar beslut om användningstillstånd enligt 44 § 1 mom., om tillstånd för användningsändamål enligt 2 § söks för sådana personuppgifter som avses i 6 § hos fler än en av de registeransvariga som nämns i den paragrafen.
Tillståndsmyndigheten för social- och hälsovårdsuppgifter svarar dessutom alltid för beslut om användningstillstånd som gäller personuppgifter hos en eller flera registeransvariga som ordnar social- och hälsovårdstjänster privat. Tillståndsmyndigheten ska också enligt 45 § ha rätt att sammanställa, samköra och lämna ut uppgifter för användningsändamål enligt 2 §. Tillståndsmyndigheten ska för skötseln av sina uppgifter enligt den föreslagna bestämmelsen ha rätt att trots sekretessplikten och andra begränsningar i användningen av information sammanställa och samköra andra registeransvarigas uppgifter i enlighet med 36 §.
Tillståndsmyndigheten för social- och hälsovårdsuppgifter har enligt 2 mom. vissa tjänster som den sköter centraliserat. Närmare bestämmelser om dessa tjänster utfärdas i 10 § 3—9 punkten och 3 kap. Tjänsterna är ett hanteringssystem för begäranden om information, en tjänst för användningstillstånd, en tjänst för insamling, samkörning och förbehandling av registeruppgifter, en administreringstjänst för identifierare för pseudonymiserade uppgifter, en informationssäker drifttjänst för utlämnande av uppgifter elektroniskt samt en informationssäker driftmiljö för behandling av uppgifter som lämnats ut till den sökande.
Tillståndsmyndigheten för social- och hälsovårdsuppgifter är registeransvarig för sådana uppgifter som den själv får för skötseln av sin lagstadgade uppgift i användningstillståndsprocessen och som registreras i det hanteringssystem för begäranden om information som avses i 14 §. Den ska vara registeransvarig också för uppgifter som den med stöd av ett användningstillstånd samlar in från olika register och samkör. Den beslutar självständigt om utlämnande av dessa uppgifter och svarar för att behandlingen av dem är lagenlig. När uppgifterna har lämnats ut till tillståndshavaren, svarar tillståndshavaren för behandlingen av uppgifterna i sin egen verksamhet och är således registeransvarig för dessa uppgifter. Den centraliserade tillståndsmyndigheten är dessutom registeransvarig även för sådana identifierare som den registrerar och förvarar för uppgifter som den samlar in, samkör och pseudonymiserar. Om personuppgifter med stöd av ett användningstillstånd lämnas ut till tillståndshavaren, svarar tillståndshavaren för sin del för behandlingen av de uppgifter denna fått med stöd av tillståndet i sin egen verksamhet och är således registeransvarig för uppgifterna.
Tillståndsmyndigheten är i enlighet med 3 mom. skyldigatt övervaka att villkoren för tillstånd som den beviljar iakttas. Den får återkalla ett användningstillstånd, om tillståndshavaren inte agerar i enlighet med lag eller bryter mot tillståndsvillkoren i beslutet om användningstillstånd. Tillståndsmyndigheten kan i praktiken utföra sin övervakningsuppgift bland annat genom loggövervakning samt genom att utvärdera de rapporter som tillståndshavaren ska lämna till den. Bestämmelser om tillståndsmyndighetens rätt att få uppgifter för övervakning från en annan driftmiljö än sin egen samt om fördelningen av övervakningsansvaret mellan olika aktörer finns i 55 §.
6 §. Myndigheter och organisationer som svarar för tjänster samt begränsningar i fråga om datamaterial. I paragrafen föreskrivs om myndigheter och organisationer vars registeruppgifter och serviceuppgifter bestämmelserna i den föreslagna lagen ska gälla förutom Tillståndsmyndigheten för social- och hälsovårdsuppgifte som avses i 4 §. Bestämmelser om sådana tjänster som behövs för att kunduppgifter inom social- och hälsovården och personuppgifter ur andra registeruppgifter som gäller välfärd och hälsa ska kunna användas för användningsändamål enligt 2 § tas in i det föreslagna 3 kap. Institutet för hälsa och välfärd, Folkpensionsanstalten, regionförvaltningsverken, Pensionsskyddscentralen, Befolkningsregistercentralen och Statistikcentralen berörs endast i begränsad utsträckning av serviceskyldigheterna när det gäller uppgifterna i paragrafen. Pensionsskyddscentralens, Befolkningsregistercentralens och Statistikcentralens uppgifter kan enligt 35 § behandlas med stöd av denna lag endast om de samkörs med övriga uppgifter som avses i 6 §.
Enligt den föreslagna 1 punkten gäller de serviceuppgifter som avses i denna paragraf social- och hälsovårdsministeriet till de delar ministeriet är den registeransvariga för register som gäller social- och hälsovårdstjänster. Dessutom ska social- och hälsovårdsministeriet enligt 8 § vara högsta myndighet som styr och övervakar verksamheten vid den tillståndsmyndighet som föreslås i propositionen. Ministeriet ska bland annat utse en styrgrupp för tillståndsmyndigheten.
Institutet för hälsa och välfärd är enligt punkt 2 en betydande aktör som omfattas av serviceskyldigheterna enligt denna lag. Det är enligt lag en central registeransvarig för datalager som samlats in från social- och hälsovårdsområdet samt en nationell statistikmyndighet inom social- och hälsovårdsområdet. När det gäller uppgifter som den samlar in för statistik beviljar den dock tillstånd och lämnar ut uppgifter i enlighet med statistiklagen enligt vad som föreskrivs i den föreslagna 7 §. För användningstillstånd och för samkörning och pseudonymisering av dem svarar enligt statistiklagen alltid en statistikmyndighet.
Enligt 4 § placeras Tillståndsmyndigheten för social- och hälsovårdsuppgifter som en separat enhet i anslutning till Institutet för hälsa och välfärd för att synergifördelar ska uppnås. Institutet verkar med stöd av flera olika gällande lagar som tillståndsmyndighet inom området även när det gäller andra registeransvarigas uppgifter. Tillståndsbehörigheten gäller bland annat i enlighet med 13 § 5 mom. i patientlagen patientuppgifter och 18 § 5 mom. i klientlagen kunduppgifter inom socialvården samt Receptcentrets uppgifter, som hör till Kanta-tjänsterna. Uppgifterna överförs genom de föreslagna lagarna till den centraliserade tillståndsmyndigheten.
Med stöd av 3 punkten har Folkpensionsanstalten en stor mängd sådana personuppgifter som omfattas av bestämmelserna i denna lag. FPA är registeransvarig för sina egna kundregister i samban med förmånsbehandling samt för elektroniska recept som lagrats i Receptcentret som hör till Kanta-tjänsterna och för Receptarkivet. Användningstillstånd för Receptcentrets och Receptarkivets uppgifter beviljas av Institutet för hälsa och välfärd i enlighet med 15 § 3 mom. i gällande lag om elektroniska recept (61/2007). Bestämmelsen upphävs och då motsvarar tillståndsbehörigheten behörigheten enligt denna lag.
Folkpensionsanstalten verkar dessutom med stöd av 16 § 2 och 4 mom. i klientuppgiftslagen som sådan registerförare som avses i den allmänna dataskyddsförordningen för patientuppgifter inom hälso- och sjukvården som registrerats i Kanta-tjänsterna samt enligt den reviderade klientuppgiftslag som är under beredning i framtiden även för kunduppgifter inom socialvården. Med stöd av den föreslagna lagen ska Folkpensionsanstalten till den centraliserade tillståndsmyndigheten lämna ut uppgifter som lagrats i Kanta-tjänsterna även när Folkpensionsanstalten inte är registeransvarig utan registerförare för dem enligt dataskyddsförordningen.
I samband med reformen av klientuppgiftslagen som är under beredning föreskrivs om datalagret för kundernas egna uppgifter som ska slås ihop med Kanta-tjänsterna. Kunden kan föra in sina egna uppgifter om hälsa och välbefinnande i datalagret för egna uppgifter och själv besluta om de kan utnyttjas och i vilken mån de kan utnyttjas på det sätt som avses i denna lag. FPA ska enligt den lagreform som beretts vara registeransvarig för datalagret för egna uppgifter. Tillståndsmyndigheten för social- och hälsovårdsuppgifter kan endast med kundens samtycke bevilja tillstånd för användningen av dem samt samla in och samköra dem med andra uppgifter på det sätt som avses i denna lag. Om kunden senare återtar sitt samtycke gäller tillståndet endast uppgifter som har lämnats ut till tillståndshavaren innan denna återtog sitt samtycke.
Punkt 4 gäller Tillstånds- och tillsynsverket för social- och hälsovården (Valvira), vars uppgift enligt gällande lagstiftning är att vara högsta övervakande myndighet för social- och hälsovårdstjänster samt föra vissa riksomfattande register, bland annat
centralregistret över yrkesutbildade personer inom hälso- och sjukvården (Terhikki), om vilket föreskrivs i lagen om yrkesutbildade personer inom hälso- och sjukvården (559/1994, 24 §),
centralregistret över yrkesutbildade personer inom socialvården (Suosikki), om vilket föreskrivs i lagen om yrkesutbildade personer inom socialvården (817/2015, 16 §), samt
registren över tillhandahållare av privat service och självständiga yrkesutövare, om vilka föreskrivs i lagen om privat socialservice (922/2011, 25 §) och lagen om privat hälso- och sjukvård (152/1990, 14 a §). Dessa lagar ska ersättas med en ny lag i samband med lagstiftningsarbetet för ordnande av social- och hälsovården som behandlas i riksdagen. Regeringens proposition till riksdagen med förslag till lag om produktion av social- och hälsotjänster (RP 52/2017) behandlas i riksdagen i anknytning till detta.
När Valvira för sin del styr och övervakar den verksamhet som bedrivs av yrkesutbildade personer och vid verksamhetsenheter inom social- och hälsovården bildas även i dessa uppgifter personregister som denna lag ska tillämpas på.
Regionförvaltningsverken svarar enligt 5 punkten för de tjänster som avses i den lag som föreslås i propositionen till de delar deras personregister innehåller uppgifter inom det egna området om
verksamhetstillstånd och anmälningar i fråga om verksamhetsenheter som producerar social- och hälsovårdstjänster privat,
styr- och tillsynsuppgifter som gäller den verksamhet som bedrivs av enskilda verksamhetsenheter och yrkesutbildade personer inom social- och hälsovården.
Enligt 6 punkten svarar även Arbetshälsoinstitutet för tjänster till de delar det är registeransvarig för patientuppgifter som uppkommer i den egna serviceverksamheten samt registerförare enligt den allmänna dataskyddsförordningen för registret över yrkessjukdomar. Arbetshälsoinstitutet för registret över yrkessjukdomar på uppdrag av social- och hälsovårdsministeriet.
Punkt 7 gäller Säkerhets- och utvecklingscentret för läkemedelsområdet (Fimea) som bland annat för narkotikatillsynsregistret och registret över läkemedelsbiverkningar. Fimea kan enligt gällande lagstiftning bevilja tillstånd till utlämnande av personuppgifter för hälso- och sjukvårdsverksamhet, förebyggande av sjukdomar eller vård eller annan bestämd vetenskaplig forskning i samband därmed, om dataombudsmannen före det har getts tillfälle att bli hörd. Tillståndsbehörigheten överförs till den centraliserade tillståndsmyndigheten i situationer där dessa uppgifter från Fimea i enlighet med en och samma plan för användning av uppgifter samkörs med andra uppgifter som avses i denna lag. Den föreslagna bestämmelsen ska inte gälla den tillståndsbehörighet som avses i EU:s förordning om kliniska läkemedelsprövningar och som Fimea fortsättningsvis ska ha.
I 1 mom. 8 punkten föreskrivs dessutom om serviceskyldigheter för offentliga serviceanordnare inom social- och hälsovården, vilka enligt den gällande lagstiftningen är bland annat kommuner och samkommuner. De svarar enligt hälso- och sjukvårdslagen och socialvårdslagen samt lagen om specialiserad sjukvård för den lagstadgade servicen för invånarna inom sitt område. I och med den totalreform angående ordnande av social- och hälsovården som behandlas i riksdagen kommer denna skyldighet att ordna tjänster att överföras från kommunerna och samkommunerna till landskapen, och även de bestämmelser som gäller detta lagrum kommer efter reformen att gälla landskapen.
Kommunerna är enligt gällande lagstiftning skyldiga att även ordna företagshälsovård i enlighet lagen om företagshälsovård (1383/2001) för de anställda hos arbetsgivare inom sitt område. Institutet för hälsa och välfärd ska dessutom enligt lag på riksnivå ordna social- och hälsovårdstjänster som kräver särskilt kunnande, såsom rättspsykiatriska utlåtanden och rättsmedicinska undersökningar samt skolhems- och skyddshemsverksamhet.
Enligt 9 punkten ska serviceskyldigheten också gälla Statistikcentralens uppgifter till de delar det för ändamål enligt denna lag behövs sådana uppgifter som avses i lagen om utredande av dödsorsak (459/1973). Statistikcentralen är med stöd av den lagen registeransvarig för dessa uppgifter, men får i praktiken uppgifterna från Institutet för hälsa och välfärd. En revidering av lagen om utredande av dödsorsak pågår. I det sammanhanget är det motiverat att bedöma om Institutet för hälsa och välfärd ska föreskrivas vara registeransvarig för uppgifter som samlats in med stöd av den, eftersom de ursprungligen registrerats i institutets verksamhet.
Det föreslås att för de uppgifter enligt 19 § i statistiklagen som beskriver socioekonomisk ställning samlas in från andra än Statistikcentralens register för sådana ändamål som anges i den föreslagna lagen. En del av de uppgifter som avses i 19 § kan också fås från andra ställen, men det är svårare, och en del kan inte fås alls. Exempelvis uppgifter om en persons yrke ska begäras från det inkomstregister som planeras inom skatteförvaltningen. De kommer dock inte heller i framtiden att på ett heltäckande sätt fås från registret, eftersom utlämnande av information om en anställds yrke baserar sig på att arbetsgivaren frivilligt gör det. Information om yrke är betydande såväl i samhällspolitisk forskning inom social- och hälsovården som i medicinsk forskning i anknytning till yrkessjukdomar. Det har också föreslagits att uppgifter om utbildning samlas in ur den centraliserade integrationstjänst för nationella studierättigheter och studieprestationer som bereds vid undervisnings- och kulturministeriet (Koski), men inte heller den är ännu tillgänglig. Det ska dessutom beaktas att i ändamål enligt denna lag behövs förutom nya uppgifter även sådana tidsserier från tidigare som inte heller i framtiden sannolikt kommer att kunna fås ur uppgifterna i de nya register som är under planering.
Pensionsskyddscentralen svarar enligt 10 punkten i användningsändamål enligt denna lag för tjänster när sådana uppgifter i centralens register som gäller personuppgifter som vid verkställigheten av arbetspensionsskyddet registerats om de försäkrades anställningsförhållanden samt betalda förmåner och grunderna för dem. I grunderna ingår också diagnoser för invalidpensioner och sjukpensioner, som är sådana hälsouppgifter som avses i artikel 9.1 i dataskyddsförordningen.
Enligt 11 punkten ska Befolkningsregistercentralen svara för tjänsterna till de delar det för ändamål enligt den föreslagna lagen behövs grundläggande personuppgifter, uppgifter om personers familjeförhållanden och bostadsort samt byggnadsuppgifter ur Befolkningsdatasystemet.
7 §. Undantag som gäller behandling av statistikmyndigheters uppgifter. I paragrafen föreskrivs om tillståndsbehandling och samkörning av uppgifter samt om pseudonymisering eller anonymisering och utlämnande av uppgifterna i situationer där en ansökan om användningstillstånd eller en begäran om information till vissa delar gäller uppgifter som statistikmyndigheterna samlat in för statistiska ändamål och delvis andra uppgifter som avses i den lag som föreslås i propositionen. Enligt 1 mom. ska Tillståndsmyndigheten för social- och hälsovårdsuppgifter då behandla ärendet i fråga om andra uppgifter, men via det hanteringssystem för begäranden om information som avses i 14 § förmedla tillståndsansökan eller begäran om information för behandling vid behörig statistikmyndighet i enlighet med statistiklagen. Även statistikmyndighetens kontakter med den tillståndssökande vid behandlingen av tillståndsansökan och delgivningen av beslutet sker via hanteringsystemet.
De statistikmyndigheter som avses i den föreslagna bestämmelsen är Statistikcentralen och Institutet för hälsa och välfärd (statistikmyndigheter). Ansökningar om användningstillstånd och begäranden om information som gäller andra uppgifter än sådana som dessa myndigheter samlat in i egenskap av statistikmyndighet ska enligt 6 § 2 och 9 punkten behandlas av den centraliserade tillståndsmyndigheten i enlighet med denna lag.
Undantaget som gäller statistikmyndigheter baserar sig på att uppgifter som statistikmyndigheter samlar in för statistiska ändamål enligt statistiklagen omfattas av statistiksekretess. Sådana uppgifter kan enligt statistiklagen lämnas ut endast för vetenskaplig forskning och endast så att de statistiska objekten endast indirekt kan identifieras med stöd av dem. Statistiklagen förutsätter också att tillståndsbeslut som gäller uppgifter som samlats in för statistiska ändamål fattas av behörig statistikmyndighet och att statistikmyndigheten samkör, pseudonymiserar eller anonymiserar och lämnar ut dessa uppgifter för behandling. Statistikmyndigheterna kan i sistnämnda syfte även lämna ut identifierbara uppgifter till varandra.
Enligt 2 mom. förverkligas åtkomsträttighet till uppgifter enligt den föreslagna lagen som sammanslagits i enlighet med statistiklagen så som föreskrivs i 51 § 2 mom. Därmed avgör ändamålsenligheten i vilken driftmiljö som uppfyller kraven på informationssäkerhet tillståndshavaren ska behandla de uppgifter som lämnas ut.
När statistiklagen ändrades med stöd av en regeringsproposition som lämnades 2012 (RP 154/2012 rd), motiverades 13 § 3 mom. som följer: ”I 3 mom. preciseras och avgränsas den behörighet att lämna ut uppgifter som avses i 2 mom. på det sätt som anges i de artiklar i EU:s statistikförordning som nämns ovan (artikel 21 och 23). I bestämmelsen tas det inte ställning till det tekniska sättet för utlämnande eller tillgång, utan till denna del ska 13 b § iakttas.” Bestämmelsen lyder som följer: ’Sätt och metoder för att lämna ut uppgifter. Uppgifter som samlats in för statistiska ändamål får lämnas ut med hjälp av en teknisk anslutning, i något annat format som kan behandlas tekniskt eller elektroniskt, i skriftlig form eller på något annat för ändamålet lämpligt, tryggt och tillförlitligt sätt.
Till dessa delar kan statistikmyndigheterna och tillståndsmyndigheten samarbeta och lämna ut uppgifter samt ordna en sådan fjärranslutning som eventuellt behövs vid behandlingen av uppgifterna i den för behandlingen mest ändamålsenliga fjärråtkomstmiljö som uppfyller informationssäkerhetskraven och har den informationsbehandlingskapacitet som behövs. Det skulle vara ändamålsenligt att uppgifterna även i samhällspolitisk forskning inom social- och hälsovården behandlas i Statistikcentralens fjärråtkomstmiljö. Å andra sidan skulle det vara motiverat att stora medicinska forskningsmaterial som innehåller stora mängder med känsliga hälsouppgifter behandlas i tillståndsmyndighetens fjärråtkomstmiljö där de tekniska kraven på behandlingskapaciteten för uppgifter och informationssäkerhetskraven ställs i enlighet med detta användningsändamål. Fjärråtkomstmiljöer är då inte varandras konkurrenter utan kompletterar varandra som nätverk. Till exempel vid störningar kan de i tillämpliga delar användas som helt utbytbara. Särskilt goda möjligheter till ett sådant smidigt samarbete uppstår om fjärråtkomstmiljöerna har en gemensam teknisk aktör.
Genomuppgifter är ännu betydligt känsligare än vanliga hälsouppgifter om enskilda personer, eftersom man med stöd av dem med viss sannolikhet kan dra slutsatser även om nära släktingars mycket bestående och ärftliga genetiska egenskaper. Genomforskningen väntas bli ett särskilt betydande utvecklings- och innovationsområde som använder metoder inom medicinsk och vetenskaplig forskning. Behandlingen av genomuppgifter förutsätter att informationssystemen har en mycket stor behandlingskapacitet och högsta möjliga informationssäkerhetsnivå. Samma krav gäller behandlingen av genomuppgifter för vårdbehov och därför ska ovan föreslagna krav i varje fall genomföras i Genomcentrets informationsbehandlingsmiljö. Inom en snar framtid när ett nationellt Genomcenter inrättas i enlighet med regeringens beslut, måste en samkörning av dessa genomuppgifter med andra uppgifter göras i det blivande Genomcentrets driftmiljö och kan i praktiken inte lämnas ut för samkörning och pseudonymisering i Statistikcentralens, Institutet för hälsa och välfärds eller Tillståndsmyndigheten för social- och hälsovårdsuppgifters informationsbehandlingsmiljö, eller för annan behandling vid dem. Lagstiftning om Genomcentret är under beredning vid social- och hälsovårdsministeriet, och denna fråga ska lösas i samband med den.
8 §. Styrning av verksamheten vid Tillståndsmyndigheten för social- och hälsovårdsuppgifter och utvecklande av samarbete mellan registeransvariga. Enligt 1 mom. ska social- och hälsovårdsministeriet utse en styrgrupp för styrning och utvecklande av den centraliserade tillståndsmyndighetens verksamhet, och en ordförande för den. Styrgruppens mandatperiod är tre år.
Social- och hälsovårdsministeriet utser ledamöter i styrgruppen som enligt den föreslagna bestämmelsen företräder olika instanser som följer:
Sex ledamöter utses enligt förslag från de organisationer och myndigheter som anges i 6 §. I bestämmelsen anges följande organisationer: social- och hälsovårdsministeriet, Institutet för hälsa och välfärd, Folkpensionsanstalten, Tillstånds- och tillsynsverket för social- och hälsovården, Regionförvaltningsverken, Arbetshälsoinstitutet, Säkerhets- och utvecklingscentret för läkemedelsområdet (Fimea) och offentliga serviceanordnare inom social- och hälsovården, Statistikcentralen, Pensionsskyddscentralen och Befolkningsregistercentralen.
En ledamot företräder kommunerna som anordnare av social- och hälsovårdstjänster. När organiseringsansvaret efter den strukturreform inom social- och hälsovården som är under behandling i riksdagen överförs på landskapen, ska de på motsvarande sätt företrädas av en ledamot.
Efter servicestrukturreformen inom social- och hälsovården som är under behandling i riksdagen kommer kommunerna fortfarande att ha ansvaret för den förebyggande social- och hälsovården. Som företrädare för kommunerna i denna egenskap utses en ledamot enligt förslag från Kommunförbundet.
Dessutom utser ministeriet en ledamot som företrädare för privata anordnare av social- och hälsovårdstjänster.
I paragrafens 2 mom. föreslås bestämmelser om styrgruppens uppgifter. Enligt bestämmelsen ska styrgruppen behandla centrala handlingar som styr och beskriver tillståndsmyndighetens verksamhet och utifrån dem göra upp en egen framställning om saken till Institutet för hälsa och välfärd och social- och hälsovårdsministeriet. Handlingar som ska behandlas på det här sättet är
tillståndsmyndighetens årliga verksamhetsplan och anknytande budget,
Institutet för hälsa och välfärds verksamhetsberättelse och bokslut till de delar de gäller tillståndsmyndigheten,
det gemensamma utvecklandet av Tillståndsmyndighetens och de i 6 § avsedda registeransvarigas verksamhet samt de resurser som ska inriktas på utvecklande, och
resurser som ska riktas till varje aktör för utvecklande av interoperativa informationssystem och samarbete.
Styrgruppen ska enligt 3 mom. dessutom ge akt på hur tillståndsmyndighetens verksamhet och tjänster fungerar, såsom om tidsfristerna för tillståndsbehandling enligt 47 § och tidsfristerna för utlämnande av uppgifter enligt 48 § uppnås. Styrgruppen kan ställa målmätare för tillståndsmyndighetens verksamhetsprocesser och inleda externa revisioner av tillståndsmyndighetens verksamhet. Styrgruppen kan vid behov även lägga fram förslag till utvecklande av tillståndsmyndighetens verksamhet för Institutet för hälsa och välfärd och social- och hälsovårdsministeriet samt tillsätta expertgrupper som stöder tillståndsmyndighetens verksamhet. Med hjälp av expertgrupper kan man sätta sig in i olika enskilda frågor som gäller tillståndsmyndighetens verksamhet genom en mångsidigare och närmare avgränsad expertgrupp.
9 §. Möjlighet att bilda aktiebolag. Social- och hälsovårdsministeriet kan enligt 1 mom. antingen ensamt eller tillsammans med flera av de organisationer som anges i 6 §, undervisnings- och kulturministeriet, arbets- och näringsministeriet eller finansministeriet bilda ett aktiebolag som lyder under Tillståndsmyndigheten för social- och hälsovårdsuppgifter. Bestämmelsen är inte förpliktande utan möjliggörande. På aktiebolagets verksamhet tillämpas aktiebolagslagen.
Bildandet av en juridisk person hänför sig åter till serviceavgifterna i 50 § och möjligheten att med hjälp av intäkterna av servicen smidigt bemöta servicevolymens väntade ökning. Om servicen sköts som ren myndighetsverksamhet, ska tillståndsmyndighetens avgifter bygga på lagen om grunderna för avgifter till staten. Om en del av verksamheten däremot ska skötas i ett bolag, kan intäktslogiken vara en annan och finansieringsmöjligheterna flexiblare. Då kan man i större utsträckning uppmärksammafästa även aktörernas olika servicebehov samt en rättvis fördelning av kostnaderna.
Det väsentliga är att alla de som behöver information får de uppgifter de behöver inom tidsfristerna enligt 47 och 48 §, om de lagstadgade villkoren uppfylls. En prissättning som beaktar olika intressentgruppers behov är i viss mån möjlig redan med stöd av lagen om grunderna för avgifter till staten. En prissättning som beaktar olika tjänster och prestationer är i viss mån möjlig redan med stöd av lagen om grunderna för avgifter till staten. Ett aktiebolag skulle bättre kunna beakta de varierande servicebehoven även i sin prissättning. Prissättningen måste dock bygga på jämlika och samhälleligt rättvisa grunder och stå i proportion till kostnaderna för verksamheten. Vid prissättningen av aktiebolagets tjänster måste givetvis tas hänsyn till bland annat Europaparlamentets och rådets direktiv 2003/98/EG om vidareutnyttjande av information från den offentliga sektorn, i den mån det är tillämpligt på aktiebolagets tjänster.
Till skillnad från tillståndsmyndigheten, skulle ett aktiebolags serviceverksamhet inte vara beroende av statsbudgeten, och därför skulle finansieringen av tjänster vara långsiktigare och mer kostnadsneutral, och utvecklandet av den skulle inte belasta statsfinanserna med undantag för investeringarna och verksamheten i det inledande skedet. Ett aktiebolag kan reagera flexiblare på behoven av mer personal samt utvecklandet av effektivare informationssystem och verksamhet. Det kan också göra investeringar med lånefinansiering. För en progressiv och ökande verksamhet är det mycket centralt att uppgifterna kan fås snabbt och förutsägbart. Samtidigt är det med tanke på privatlivet och skyddet för personuppgifter när det gäller patienter och kunder inom socialvården samt dem som använder informationen väsentligt att man i en snabbt växande verksamhet kan tillhandahålla absolut säkra informationssystem och förfaranden för behandlingen av känsliga personuppgifter. Ett mycket stort behov av tilläggskapacitet är snart att vänta, då de datalager för centraliserad biobanksverksamhet, cancerforskningscentret och genomcentret som är under beredning tas med.
En juridisk person ska enligt paragrafen bildas som statligt bolag, och då ska regleringen om statliga bolag beaktas. Enligt 92 § i grundlagen utfärdas bestämmelser om behörigheten och förfarandet när statens delägarrätt utövas i bolag där staten har bestämmande inflytande genom lag. Kravet på bestämmelser i lag har delvis uppfyllts genom lagen om statens bolagsinnehav och ägarstyrning (1368/2007). Den kompletteras av statsrådets principbeslut om statens ägarpolitik (3.11.2011).
Ministeriet svarar i enlighet med 5 § i lagen om statens bolagsinnehav och ägarstyrning enligt huvudregeln för bolagets ägarstyrning. Administreringen av aktier kan dock enligt 6 § genom ett beslut av riksdagen eller statsrådet anförtros ett visst ämbetsverk eller en viss inrättning eller ett visst statligt ämbetsverk. Bland annat ekonomiutskottet har i sitt betänkande (EkUB 9/2015 rd) ansett att aktieägande och aktieförvaltning inte kan delas. Aktieförvaltning och ägarstyrning borde skötas av samma myndighet, dvs. antingen av ministeriet eller ett visst ämbetsverk, en viss inrättning eller ett visst affärsverk. Om en myndighet svarar för ägarstyrning och aktieförvaltning ska den dessutom säkerställa att den i praktiken är oberoende och opartisk samt ordna dess verksamhet så att den framstår som rättvis, oberoende och opartisk även för utomstående.
Med stöd av det ovanstående föreslås i propositionen att social- och hälsovårdsministeriet får inrätta ett aktiebolag som lyder under tillståndsmyndigeten och sköter sådan service som verksamheten förutsätter till den del den inte inbegriper betydande utövning av offentlig makt. Ministeriet svarar för ägandet och administreringen av bolagets aktier. Statsinnehav är motiverat även ur den synvinkeln att bolagets verksamhet till stor del skulle omfatta behandling av känsliga personuppgifter med stöd av lag.
Även om bolaget kan sköta företagsekonomisk verksamhet är avsikten inte att det ska ge vinst. Intäkter som bolaget får för de tjänster som det tillhandahåller ska styras till produktionen av tjänsterna. Bolagets vinst ska alltså i sin helhet användas så att bolagets egen verksamhet och egna tjänster enligt bolagets uppgifter kan produceras och utvecklas med hjälp av den.
Bestämmelser om ett aktiebolags uppgifter finns i 2 mom. Bolaget kan ges uppgifter i anslutning till de tjänster som avses i 10 § 3—7 punkten, dvs. ett hanteringssystem för begäranden om information, en tjänst för insamling, samkörning och förbehandling av uppgifter, en tjänst för administrering av identifierare, en informationssäker drifttjänst och utvecklande och drift av tillståndsmyndighetens informationssäkra driftmiljö.
I de uppgifter som kan överföras till bolaget är det till stor del fråga om uppgifter av teknisk karaktär som kan stödja myndigheternas verksamhet. Aktiebolaget kan för tillståndsmyndighetens räkning sköta tjänsten för insamling, samkörning och förbehandling av personuppgifter så att den med stöd av ett beslut från tillståndsmyndigheten tekniskt samlar in, samkör och lämnar ut material från olika registeransvariga, samkör och förbehandlar dem samt i enlighet med beslutet lämnar ut materialen till tillståndshavaren eller den som begärt uppgifter. Aktiebolaget kan för tillståndsmyndighetens räkning även förvalta och utveckla informationssystem där den bevarar pseudonymiserade material. På motsvarande sätt kan den svara för den tekniska driften och det tekniska utvecklandet av ett hanteringssystem för begäranden om information, en informationssäker drifttjänst och tillståndsmyndighetens informationssäkra driftmiljö.
Närmare bestämmelser om bolagets uppgifter får enligt förslaget vid behov utfärdas genom förordning av statsrådet. Med stöd av bemyndigandet att utfärda förordning kan bolagets uppgifter preciseras.
I 3 mom. föreskrivs om Institutet för hälsa och välfärds och tillståndsmyndighetens rätt att producera administrativa tjänster och andra stödtjänster för aktiebolaget mot ersättning till marknadspris.
Enligt 4 mom. ska bolaget på begäran lämna social- och hälsovårdsministeriet de uppgifter som behövs för att bolaget ska kunna styras och övervakas. Ministeriets ägarstyrning förutsätter uppgifter i synnerhet om bolagets ekonomiska situation, förvaltning och risker som ministeriet ger akt på. På aktiebolagets handlingar tillämpas bestämmelserna om myndighetshandlingar i offentlighetslagen. Syftet med bestämmelsen är att öka öppenheten och insynen i bolagets verksamhet och möjligheterna att få information om bolagets verksamhet.
I 5 mom. föreskrivs om statsunderstöd som kan beviljas för ett aktiebolags verksamhet inom ramen för de anslag som tas in i statsbudgeten. Bestämmelser om understödet finns i statsunderstödslagen (688/2001). Syftet med bolaget är inte att konkurrera med andra aktörer, utan att det som ett stöd för tillståndsmyndigheten ska ge olika aktörer möjligheten att använda de datamaterial som avses i den föreslagna lagen i enlighet med lagen och tillståndsmyndighetens beslut. Detta betonas också av att avsikten inte är att bolaget ska ge vinst, utan täcka sina egna kostnader. Bolaget kan alltså inte verka på en s.k. konkurrensutsatt marknad och kan därför inte heller orsaka marknadsstörningar för enskilda aktörer.
I 6 mom. föreskrivs om tjänsteansvar för den som är anställd hos bolaget och för ledamöter i bolagets styrelse. Med tjänsteansvar avses strafflagens (39/1889) bestämmelser om tjänsteansvar för tjänstemän. På straffrättsligt tjänsteansvar tillämpas 40 kap. i strafflagen. Grundlagsutskottet har förutsatt att straffrättsligt ansvar åläggs även en privaträttslig aktör bland annat i ett utlåtande som gällde överföring av myndigheternas säkerhetsnätsverksamhet till ett statsägt bolag (GrUU 8/2014 rd). Genom bestämmelsen förverkligas grundlagsutskottets förutsättning.
3 kap. Tjänster som möjliggör sekundär användning
I kap. 3 föreskrivs om tjänster som krävs för sekundär användning. Målen för den förslagna lagen kan uppnås endast om behandlingen av användningstillstånd för personuppgifter och urvalet, samkörningen och utlämnandet av uppgifter ur olika register till den som behöver dem kan fås betydligt smidigare och snabbare än nu. Det föreslås att dessa uppgifter centraliseras till Tillståndsmyndigheten för social- och hälsovårdsuppgifter i situationer där uppgifter behövs ur personregister hos flera registeransvariga som avses i den föreslagna lagen.
Snabbheten förutsätter i praktiken att tillståndsbehandling samt samkörning och utlämnande av uppgifter som nu sker vid olika myndigheter centraliseras och administreras så effektivt som möjligt. Förutsättningen för en snabb behandling är också att ansökan om användningstillstånd och planen för användning av uppgifter som ansluter sig till ansökan skapar verkliga förutsättningar för att bedöma om grunderna för beviljande av tillstånd och, om lagen så kräver, kraven på ett etiskt forskningsprojekt uppfylls. I propositionen föreslås att tillståndsansökningar och begäranden om information sänds via hanteringssystemet för begäranden om information som drivs av tillståndsmyndigheten. I praktiken förutsätter det att tillståndsmyndigheten gör upp en formbunden blankett för ansökan om användningstillstånd och begäran om information samt planen för användning av uppgifter. Formbundna blanketter styr den som behöver information att lämna nödvändiga och tillräckliga uppgifter och motiveringar för att ärendet ska kunna avgöras samt tillståndsmyndigheten att genast notera eventuella bristfälliga uppgifter och lägga fram en begäran om komplettering eller begäran om utredning.
I den föreslagna lagen föreskrivs också om sådana myndighetstjänster med vars hjälp den som behöver uppgifter i fråga om välfärd och hälsa kan bedöma vilka ändamålsenliga datamaterial som finns tillgängliga och hur de kan behandlas vid sekundär användning. Dessutom föreskrivs om tjänster med vars hjälp man kan säkerställa att även känsliga personuppgifter i alla skeden – också sedan de lämnats ut – behandlas på det sätt som förutsätts i de lagstadgade kraven på dataskydd och informationssäkerhet. Bestämmelser om informationssystemtjänster och säkerställande av deras säkerhet tas in i 16—34 §.
Genom krav på informationssäkerheten ställs ytterligare villkor i enlighet med artikel 9.4 i dataskyddsförordningen för behandlingen av uppgifter om hälsa. Dessa ytterligare villkor får enligt förordningen ställas för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. De kompletterar informationssäkerhetskraven i förordningen, men varken åsidosätter eller undanröjer skyldigheterna i förordningen. Informationssäkerhetskraven skyddar samtidigt den registrerade. De är således sådana skyddsåtgärder enligt dataskyddsförordningen genom vilka den registrerades grundläggande rättigheter och friheter samt intressen skyddas.
Informationstjänster
10 §. Tjänster som organisationer producerar för sekundär användning. I paragrafen föreskrivs om tjänster som de myndigheter och organisationer som avses i 6 § ska ordna effektivare, snabbare och informationssäkrare för att förbättra den sekundära användningen av sådana personuppgifter som avses i denna lag. Enligt 1 mom. är dessa tjänster följande:
Beskrivningar av datamaterial, med stöd av vilka den som behöver uppgifter får en uppfattning om vilka datamaterial som finns tillgängliga hos den registeransvariga och om deras datainnehåll. Varje registeransvarig är skyldig att göra upp beskrivningar av sådana datamaterial som bestämmelserna i den föreslagna lagen ska tillämpas på med stöd av lagen.
Rådgivningstjänst som den registeransvariga ordnar för dem som planerar en sekundär användning av den registeransvarigas uppgifter enligt 1 punkten. Avsikten är att rådgivningstjänsten ska komplettera den uppfattning man utifrån datamaterialbeskrivningarna får om huruvida den registeransvarigas material lämpar sig för det ändamål som den som begär information behöver dem till för att ansökningar om användningstillstånd eller begäranden om information och anknytande planer för användning av information ska bygga på datamaterial som är realistiska och i praktiken användbara med avseende på ändamålet. Dessutom ska Tillståndsmyndigheten för social- och hälsovårdsuppgifter ordna en rådgivningstjänst för sina egna färdiga datamaterial.
Hanteringssystem för begäranden om information som Tillståndsmyndigheten för social- och hälsovårdsuppgifter ska förverkliga för mottagning och behandling av ansökningar om användningstillstånd och begäranden om information.
Tjänst för insamling, samkörning och förbehandling av uppgifter som Tillståndsmyndigheten för social- och hälsovårdsuppgifter förverkligar utifrån användningstillstånd eller en begäran om information om den godkänt.
Tjänst för administrering av identifierare som den myndighet som beviljat användningstillstånd driver över identifierare för pseudonymiserade uppgifter.
Informationssäker drifttjänst som Tillståndsmyndigheten för social- och hälsovårdsuppgifter förverkligar och driver för att ta emot och lämna ut känsliga uppgifter på elektronisk väg.
Informationssäker driftmiljö för behandling av personuppgifter som lämnats ut till den sökande.
Närmare bestämmelser om innehållet i de tjänster som avses i 1—7 punkten utfärdas i 12—20 § i den föreslagna lagen.
11 §.Organisationernas ansvar för tjänsterna. I enlighet med 1 mom. ska Tillståndsmyndigheten för social- och hälsovårdsuppgifter svara för de tjänster som avses i 10 § 3—7 punkten alltid om en ansökan om användningstillstånd gäller uppgifter enligt nämnda paragraf från flera av de myndigheter eller organisationer som avses i 6 § eller uppgifter som avses i klientuppgiftslagen och har registrerats i Kanta-tjänsterna, eller om uppgifter enligt 38 § lämnas ut för utvecklings- och innovationsverksamhet.
Det är motiverat att centralisera behandlingen av begäranden om information samt tjänsten för insamling, samkörning och förbehandling av uppgifter i utvecklings- och innovationsverksamhetssyfte till Tillståndsmyndigheten för social- och hälsovårdsuppgifter, eftersom det är fråga om ett nytt användningsändamål som känsliga personuppgifter inte tidigare har lämnats ut för. För ändamål inom utvecklings- och innovationsverksamhet ska personuppgifter lämnas ut i mycket begränsad utsträckning, endast med den registrerades samtycke eller i anonymiserad form.
Tillståndsmyndigheten för social- och hälsovårdsuppgifter svarar dock för tjänster som gäller uppgifter hos Pensionsskyddscentralen, Befolkningsregistercentralen och Statistikcentralen endast när uppgifterna samkörs med uppgifter som innehas av de organisationer som avses i 6 § 1—8 punkten. I 1—8 punkten i den aktuella paragrafen förskrivs om personuppgifter i organisationer med anknytning till social- och hälsovårdstjänster samt social trygghet. Således ska Pensionsskyddscentralen, Befolkningsregistercentralen och Statistikcentralen fortfarande ha behörighet för sådana material som avses i 6 § när det begärs uppgifter från endast en organisation eller deras material i samkörd form. Om t.ex. Statistikcentralens och Befolkningsregistercentralens material samkörs, svarar inte den centraliserade tillståndsmyndigheten för tjänsterna. Tillståndsmyndigheten tillhandahåller inte i dessa situationer heller tjänster i anslutning till utveckling och innovationsverksamhet.
När det är fråga om en offentlig registeransvarigs egna sekretessbelagda uppgifter, kan den registeransvariga i enlighet med 28 § i offentlighetslagen besluta om att de ska lämnas ut för vetenskaplig eller historisk forskning eller för en myndighets utredningsuppgift. I 2 mom. i den föreslagna paragrafen föreskrivs om en motsvarande situation som i 28 § i offentlighetslagen där en begäran om information eller ansökan om användningstillstånd gäller uppgifter som finns endast i personregister hos en av de organisationer som avses i 6 §. Enligt förslaget ska den offentliga registeransvariga då själv svara för alla de tjänster som avses i 10 §. Behörigheten och skyldigheterna bygger dock i fortsättningen på den lag som föreslås i propositionen och 28 § i offentlighetslagen lämpar sig inte längre för behandlingen av personuppgifter som gäller tjänster och förmåner inom social- och hälsovården. Om den registeransvariga vid behandlingen av ett ärende noterar att en tillståndsansökan gäller uppgifter från flera registeransvariga, ska denna i enlighet med 21 § i förvaltningslagen överföra ärendet till Tillståndsmyndigheten för social- och hälsovårdsuppgifter.
Tillståndsmyndigheten för social- och hälsovårdsuppgifter kan dock avtala med de övriga myndigheter och organisationer som avses i 6 § att den sköter alla eller en del av de föreskrivna uppgifterna för en avtalsslutande myndighets räkning.
Enligt 3 mom. svarar Tillståndsmyndigheten för social- och hälsovårdsuppgifter alltid för en privat tjänsteproducents räkning för de tjänster som avses i 10 § 3—7 punkten. Ansvaret beror inte på om begäran om information gäller uppgifter hos en eller flera privata serviceanordnare inom social- och hälsovården. En centralisering av tjänsterna är motiverad av den anledningen att tillståndsmyndigheten i enlighet med 44 § svarar för prövningen av användningstillstånd för en privat serviceanordnares räkning och att tjänsterna har en nära anknytning till processen för användningstillstånd. Bestämmelsen baserar sig även på 124 § i grundlagen, enligt vilken offentliga förvaltningsuppgifter kan anförtros andra än myndigheter endast genom lag eller med stöd av lag, om det behövs för en ändamålsenlig skötsel av uppgifterna och det inte äventyrar de grundläggande fri- och rättigheterna, rättssäkerheten eller andra krav på god förvaltning. Rätt att lämna ut känsliga och sekretessbelagda personuppgifter för något annat än deras primära användningsändamål gäller dessutom rätten till skydd för privatlivet enligt 10 § 1 mom. i grundlagen. På grund av skyddet för personuppgifter och skyddet för kundens berättigade förväntningar som är centralt med avseende på social- och vårdsverksamhet är det motiverat att ansvaret i dessa situationer anförtros en myndighet. Momentet hindrar dock inte en privat tjänsteproducent att behandla uppgifter i en annan driftmiljö än Tillståndsmyndigheten för social- och hälsovårdsuppgifters informationssäkra driftmiljö om denna uppfyller kriterierna i denna lag.
12 §. Beskrivningar av datamaterial. Enligt 1 mom. åläggs de myndigheter och andra organisationer som avses i 6 § att göra upp materialbeskrivningar över datainnehållet i sina register. Tillståndsmyndigheten för social- och hälsovårdsuppgifter ska dessutom göra upp materialbeskrivningar över sina färdiga datamaterial som avses i 14 § 3 mom. Materialbeskrivningarna görs upp så att de som behöver registeruppgifter för ändamål enligt 2 § med stöd av dem kan bedöma hur registeruppgifterna lämpar sig för det aktuella användningsändamålet. Beskrivningarna av datamaterialen förverkligar kravet på skydd för den registrerades intressen i artikel 14.5 i dataskyddsförordningen. Om den registeransvariga enligt artikel 14.4 avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, ska den registeransvariga före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information. Undantag från detta kan enligt 5 punkten göras bland annat om tillhandahållandet av sådan information skulle medföra en oproportionell ansträngning, särskilt för behandling för vetenskapliga forskningsändamål eller statistiska ändamål. Den registeransvariga ska i sådana fall vidta lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen, inbegripet göra uppgifterna tillgängliga för allmänheten. Beskrivningarna av datamaterialen är offentligt tillgängliga så att även de registrerade kan bekanta sig med innehållet i materialen.
Tillståndsmyndigheten för social- och hälsovårdsuppgifter ska enligt 2 mom. ge närmare föreskrifter om materialbeskrivningarnas datainnehåll, begrepp och datastrukturer för att de ska vara enhetliga i hela landet. Innan tillståndsmyndigheten utfärdar föreskrifter kan den till exempel fastställa vilka omständigheter som krävs för semantisk interoperabilitet så att olika aktörer förstår datainnehållet så lika som möjligt. Tillståndsmyndigheten ska dock höra de berörda organisationerna. I det Isaacus-projekt som Sitra inledde 2016 har i detta syfte utvecklats materialbeskrivningar i samarbete mellan flera registeransvariga.
I 3 mom. föreskrivs ett bemyndigande att utfärda förordning om från och med när organisationer ska göra upp sådana materialbeskrivningar som avses i 1 mom. Materialbeskrivningarna ska göras upp i enlighet med tillståndsmyndighetens föreskrifter. Materialbeskrivningarna utvecklas stegvis, med början från de mest använda materialen.
13 §. Rådgivningstjänster. I 1 mom. föreskrivs om skyldigheten för en registeransvarig som avses i 6 § att ordna en rådgivningstjänst för sina registeruppgifter för sådana som behandlar uppgifterna i användningsändamål enligt 2 §. Enligt bestämmelsen ska tjänsten ordnas så att den som planerar en sekundär användning av registeruppgifter med stöd av den får en tillräcklig uppfattning om datainnehållet i tillgängliga register och hur registeruppgifterna lämpar sig för de egna informationsbehoven. Detta är en förutsättning för en effektivare användning av datalagren än för närvarande och för att ansökningar om användningstillstånd och de anknytande planerna för användning av uppgifter ska ge en klar grund för tillståndsbeslutet och den eventuella anknytande lagstadgade etiska förhandsgranskningen samt för utlämnande och samkörning av uppgifterna i enlighet med användningstillståndet. Rådgivningen kan dock inte ges i ärenden där en registrerads personuppgifter skulle röjas. I samband med rådgivningen får således inte lämnas ut identifierbara uppgifter, utan då ska kunden hänvisas att göra en ansökan om användningstillstånd.
Tillståndsmyndigheten för social- och hälsovårdsuppgifter ska enligt 2 mom. dessutom organisera en rådgivningstjänst som avser förutsättningarna för beviljande av användningstillstånd samt innehållet i och betydelsen av de tjänster som avses i 10 §. Rådgivning kan i ändamål enligt både 1 och 2 mom. ges allmänt till exempel via en webbplats. Dessutom är det dock nödvändigt att även tillhandahålla personlig rådgivning om hur registeruppgifterna lämpar sig för den aktuella användarens individuella informationsbehov. Tillståndsmyndigheten ska ge motsvarande rådgivning för dem som behöver sådana färdiga datamaterial som avses i 14 § 3 mom.
14 §. Tjänst för insamling, samkörning och förbehandling av uppgifter. I paragrafen föreskrivs om en tjänst för insamling, samkörning och förbehandling av uppgifter som avses i en begäran om information eller ett beviljat användningstillstånd. Enligt 1 mom. ska Tillståndsmyndigheten för social- och hälsovårdsuppgifter i enlighet med användningstillståndet till den sökande välja ut eller ta emot uppgifter från olika registeransvariga och vid behov samköra dem.
Tillståndsmyndigheten ska lämna ut samkörda personuppgifter enligt användningstillståndet till tillståndshavaren för behandling i en informationssäker driftmiljö så som föreskrivs i den föreslagna lagen. Detta förutsätter oftast att uppgifterna efter samkörningen pseudonymiseras innan de lämnas ut till tillståndshavaren. I processen bildas individuella identifierare med vars hjälp de registrerade personerna i efterskott kan kopplas ihop med de uppgifter som lämnats ut till tillståndshavaren. Endast i undantagsfall beviljas tillstånd för identifierbara uppgifter, med stöd av vilka tillståndshavaren direkt kan identifiera de registrerade personerna. Detta skulle till exempel vara nödvändigt när uppgifter i elektroniska personregister i en undersökning i enskilda fallmåste samköras särskilt med uppgifter ur gamla journalhandlingar eller klienthandlingar inom socialvården.
Om uppgifter begärs endast i anonymiserad form för ett användningsändamål enligt 2 §, förutsätter utlämnande enligt 45 § i den föreslagna lagen ingen tillståndsbehandling alls. Tillståndsmyndigheten för social- och hälsovårdsuppgifter har då rätt att med stöd av 36 § få de uppgifter som behövs från de registeransvariga som avses i begäran om information, samköra dem i identifierbar form och under myndighetsansvar göra dem till sådan anonymiserad information som det begärda resultatet förutsätter. Eftersom uppgifterna lämnas ut i en sådan form till den som begärt dem där även möjligheten till indirekt identifiering har uteslutits, kränker utlämnandet inte skyddet för de registrerades personuppgifter.
I 2 mom. föreskrivs om förfarandet när uppgifter lämnas ut med stöd av en begäran om information. När tillståndsmyndigheten lämnar ut personuppgifter med stöd av en begäran om information, ska den anonymisera det material som ska lämnas ut. Den ska bevara en beskrivning av hur materialet bildats, anonymiseringsmetoderna och slutresultatet för att det vid behov ska gå att t.ex. spåra ett fel i anonymiseringsmetoderna.
Enligt 3 mom. får Tillståndsmyndigheten för social- och hälsovårdsuppgifter för att göra sin uppgift enligt 1 mom. smidigare utforma färdiga datamaterial av uppgifter som den erhållit från de myndigheter och organisationer som avses i 6 § och som den även annars har rätt att få för sina uppgifter enligt denna lag. Tillståndsmyndigheten kan plocka ut de uppgifter som användningstillståndet förutsätter eller som behövs för produktion av sådan anonymiserad information som avses i 45 § ur de nämnda färdiga datamaterialen.
Med avseende på effektiviteten och informationssäkerheten i verksamheten vid Tillståndsmyndigheten för social- och hälsovårdsuppgifter skulle det vara ändamålsenligast med en lagstadgad rätt för tillståndsmyndigheten att behandla och samköra färdiga datamaterial av myndigheternas material redan innan det beviljas användningstillstånd. Tillståndsmyndigheten förvaltar ett datalager över de mest använda kombinerade materialen och utformar färdiga datamaterial som enligt erfarenhet gör det betydligt snabbare och lättare att bilda material. Tillståndsmyndighetens rätt att få och behandla uppgifter för färdiga datamaterial ska basera sig på den lag som nu stiftas, inte på separata tillstånd. Det bör förhandlas om sammanställningen av nya färdiga datamaterial med de registeransvariga vars material det färdiga datamaterialet gäller.
Det tillvägagångssätt som föreslås i bestämmelsen är viktigt för att de uppgifter som avses i lag ska kunna göras smidigare. Annars det centraliserade tillvägagångssätt som avses i lagen höjer inte till alla delar effektiviteten eller informationssäkerheten vid urvalet av material. Utan stora satsningar på infrastrukturen för informationssystem är risken att det enligt den nuvarande modellen uppstår ett nytt verksamhetslager ovanpå de separata urvalen och att behandlingstiderna förlängs. Modellen för separata urval kan inte heller motiveras ur informationssäkerhetssynvinkel, eftersom upprepade urval och utlämnanden av samma uppgifter orsakar behov av extra behandling.
Samma tillståndshavare kan vid olika tidpunkter begära uppgifter för olika ändamål och projekten kan börja samtidigt eller vid olika tidpunkter. Till exempel en forskare eller en forskningsgrupp kan samtidigt ha flera undersökningar på gång. I det fallet är det fråga om separata forskningsändamål. En tillståndshavare kan också samtidigt bedriva till exempel utvecklings- och innovationsverksamhet och forskning. Det är då fråga om ett separat forskningsändamål samt utvecklings- och innovationsprojekt. Eftersom personuppgifterna i sådana situationer används för olika användningsändamål, får inte de inbördes uppgifterna samköras. Tillståndsmyndigheten ska betona i tillståndsvillkoren att uppgifter som lämnats ut för olika användningsändamål inte får samköras.
När uppgifter lämnas ut pseudonymiserade med stöd av flera olika planer för användning av uppgifter, ska uppgifterna enligt 4 mom. pseudonymiseras med olika identifierare för varje enskilt utlämnande. Om det är möjligt kan också information som består av olika personer väljas ut eller materialen förenklas på lite olika sätt för utlämnanden för olika användningsändamål. Sättet för pseudonymisering beror dock på ändamålet för utlämnandet och på materialet, eftersom till exempel en förenkling kan försämra möjligheterna att använda informationen. Genom detta strävar man efter att säkerställa att tillståndshavaren inte ska få material som lätt kan samköras om samma registrerade. Byte av identifierare är en av de skyddsåtgärder som i enlighet med dataskyddsförordningen tas in i denna lag för att trygga den registrerades rättigheter och friheter. Andra metoder är till exempel tillståndshavarens sekretessplikt och en avgränsning av behandlingen av uppgifter till informationssäkra driftmiljöer.
15 §. Tjänst för administrering av identifierare. I det föreslagna 1 mom. föreskrivs en skyldighet för den myndighet som beviljat tillståndet att förvara identifierarna för material som lämnats ut i pseudonymiserad form så att materialet vid behov kan återskapas. Detta är viktigt för att man i efterhand ska kunna bedöma till exempel en undersöknings vetenskapliga giltighet och riktigheten i de erhållna resultaten. Vidare ska man med hjälp av administreringstjänsten för identifierare kunna spåra riktigheten i de material som lämnats ut till den sökande. På så vis kan man utreda eventuella fel som begåtts i produktionen av informationen.
Syftet med förvaringen av identifierare är också att samma material ska kunna återskapas med hjälp av dem. Detta möjliggör en uppföljningsundersökning och fortsatta undersökningar med hjälp av de uppgifter som tidigare pseudonymiserats utan att själva forskningsmaterialet bevaras och dessutom att undersökningen senare kan upprepas med samma utformning.
Registeransvarig för identifierare är den myndighet som beviljat användningstillståndet, och den ska svara för att de förvaras och förstörs på ett informationssäkert sätt. Myndigheten ska enligt 2 mom. förvara identifierarna så länge de behövs för forskning och för säkerställande av ändamålsenliga forskningsresultat.
Informationssystemtjänster som verksamheten förutsätter och garanterande av deras säkerhet
16 §. Hanteringssystem för begäranden om information. Enligt 1 mom. ska Tillståndsmyndigheten för social- och hälsovårdsuppgifter driva ett hanteringssystem för begäranden om information, via vilket en ansökan om användningstillstånd eller en begäran om information enligt denna lag lämnas till tillståndsmyndigheten. I lagen har det särskilt och under vissa villkor gjorts möjligt att utan tillståndsförfarande lämna ut uppgifter till sökanden i anonymiserad form. Om sökanden begär uppgifter för ett användningsändamål enligt 2 § i anonymiserad form har tillståndsmyndigheten enligt 45 § rätt att trots sekretessplikten utan tillståndsförfarande få och samköra de uppgifter som behövs för att begäran ska kunna tillmötesgås samt lämna ut dem till den som begärt uppgifterna. För informationsledning är det i enlighet med 41 § möjligt att få samkörda uppgifter för utvärdering, planering eller utveckling av serviceverksamhet som tjänstetillhandahållaren ansvarar för eller av servicekedjor. En tillsynsmyndighet inom social- och hälsovården kan, om inte något annat föreskrivs genom lag, enligt 42 § för utförande av en lagstadgad styrnings- och tillsynsuppgift av tillståndsmyndigheten få samkörda uppgifter som baserar sig på kunduppgifter inom social- och hälsovården och vid behov samkörda uppgifter som baserar sig på andra identifierbara registeruppgifter hos de registeransvariga som avses i 6 § i anonymiserad form.
Tillståndsmyndigheten för social- och hälsovårdsuppgifter kan ensam eller tillsammans med andra myndigheter driva ett hanteringssystem för begäranden om information. Andra myndigheter kan vara de myndigheter som avses i 6 § och som fortfarande ska själva besluta om användningstillstånd när tillståndet endast gäller deras egna registeruppgifter. Andra myndigheter som avses i momentet kan också vara till exempel andra myndigheter som beviljar användningstillstånd.
Enligt 2 mom. lämnas till sökanden via hanteringssystemet sådana begäranden om utredning och komplettering från tillståndsmyndigheten som krävs för behandlingen av en ansökan om användningstillstånd eller av begäranden om information samt till tillståndsmyndigheten den sökandes utredningar, kompletteringar och ändringar i ansökan. Tillståndsbesluten delges sökanden via systemet. Besluten kan bevaras i hanteringssystemet och kan fungera som ärendehanteringssystem vid behandlingen av användningstillstånd. Ärendehanteringen och bevaringen av tillståndsbeslut kan dock förverkligas även utanför hanteringssystemet.
Om användningsändamålet enligt lag förutsätter en etisk förhandsgranskning av planen för användning av uppgifterna, inleds den etiska granskningen enligt det föreslagna 3 mom. centraliserat via hanteringssystemet och även den etiska kommitténs utlåtande ges via det.
17 §. Informationssäker drifttjänst. Med stöd av 1 mom. har den Tillståndsmyndighet för social- och hälsovårdsuppgifter som avses i 4 § skyldighet att driva en informationssäker drifttjänst för utlämnande av uppgifter som behövs vid behandlingen av en tillståndsansökan eller begäranden av information och av uppgifter enligt ett beviljat användningstillstånd. I lagen har särskilt gjorts möjligt att uppgifter i vissa situationer lämnas till den sökande utan tillståndsförfarande. Om sökanden begär uppgifter för ett användningsändamål enligt 2 § i anonymiserad form har tillståndsmyndigheten enligt 45 § rätt att trots sekretessplikten utan tillståndsförfarande få och samköra de uppgifter som behövs för att begäran ska kunna tillmötesgås samt lämna ut dem till den som begärt uppgifterna i anonymiserad form.
Den informationssäkra drifttjänsten fungerar som gränssnitt och användargränssnitt mellan olika aktörer och möjliggör på så vis en informationssäker informationsöverföring i användningsändamål enligt den föreslagna lagen. Den möjliggör för det första informationsöverföring mellan registeransvariga och tillståndsmyndigheten samt för det andra vidareförmedling av uppgifter till tillståndshavaren.
Den informationssäkra drifttjänsten är ett tekniskt medel för att trygga skyddet för personuppgifter, när kunduppgifter och andra personuppgifter används på det sätt som avses i den föreslagna lagen. Den fungerar samtidigt som en sådan teknisk anslutning som förutsätts i 29 § 3 mom. i offentlighetslagen, via vilken myndigheterna kan lämna ut sekretessbelagda uppgifter till varandra.
I 2 mom. föreskrivs att när personuppgifter förmedlas via en informationssäker drifttjänst ska deras integritet och ursprung säkerställas med en elektronisk underskrift. Integritet och ursprung hos uppgifter som sänds av en organisation och informationsteknisk utrustning ska också säkerställas genom användning av teknik med motsvarande tillförlitlighet som vid elektronisk signering som görs av en fysisk person. Till exempel en elektronisk stämpel som används i Europaparlamentets och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG (eIDAS-förordningen) kan fungera som en sådan motsvarande teknik. Med elektronisk stämpel avses i förordningen information i elektronisk form som har fogats till eller logiskt anknyter till någon annan information i elektronisk form för att säkerställa ursprunget och integriteten hos den sistnämnda informationen.
Användare av den informationssäkra drifttjänsten måste dessutom vara starkt identifierade när personuppgifter lämnas ut till dem. När anonymiserade uppgifter lämnas ut är det inte fråga om samma dataskyddsrisk, eftersom den registrerade inte längre kan identifieras i dem. Därför krävs stark identifiering endast när personuppgifter förmedlas.
Bestämmelser om avancerad elektronisk underskrift finns i eIDAS-förordningen, som nationellt kompletteras av lagen om stark autentisering och elektroniska signaturer (617/2009). Enligt förordningen avses med stark autentisering identifiering av en person, av en juridisk person eller av en fysisk person som företräder en juridisk person och verifiering av identifikatorns autenticitet och riktighet genom tillämpning av en elektronisk metod som motsvarar tillitsnivån väsentlig eller tillitsnivån hög enligt eIDAS-förordningen. Genom förordningen upprättades ett system för interoperabilitet i elektronisk identifiering i syfte att i framtiden göra det möjligt att med elektroniska identifieringsverktyg som beviljats i en medlemsstat identifiera sig i en annan medlemsstat i offentliga eller privata tjänster som kräver elektronisk identifiering.
Med elektronisk underskrift avses enligt förordningen uppgifter i elektronisk form som är fogade till eller logiskt knutna till andra uppgifter i elektronisk form och som används av undertecknaren för att skriva under. En elektronisk underskrift uppstår genom att elektroniska data fogas till varandra på ett sådant sätt att de bildar en unik kombination som gör det möjligt att verifiera undertecknaren. Enkel elektronisk underskrift är ett vitt begrepp. Syftet med enkla elektroniska underskrifter är att identifiera den person som skriver under och att verifiera uppgifter. Det kan röra sig om något så enkelt som att underteckna ett e-postmeddelande med en persons namn, men de egentliga kraven hänför sig till elektroniska underskrifter som görs med godkända anordningar för underskrift baserade på avancerade eller kvalificerade certifikat.
Med avancerad elektronisk underskrift avses en elektronisk underskrift som uppfyller kraven enligt artikel 26 i eIDAS-förordningen. En elektronisk underskrift ska vara unikt knuten till undertecknaren och undertecknaren ska kunna identifieras genom den. Den ska vara skapad på grundval av uppgifter för skapande av elektroniska underskrifter som undertecknaren med hög grad av tillförlitlighet kan använda uteslutande under sin egen kontroll. Den ska dessutom vara kopplad till de uppgifter som den används för att underteckna på ett sådant sätt att alla efterföljande ändringar av uppgifterna kan upptäckas.
Tillståndsmyndigheten för social- och hälsovårdsuppgifter ska enligt 3 mom. skapa de gränssnitt som behövs för drifttjänstens interoperabilitet och sörja för att dataöverföringen kan göras med hjälp av allmänt använda tekniker. Syftet med momentet är att göra det möjligt för aktörer att ansluta till tillståndsmyndighetens drifttjänst och underlätta interoperabiliteten mellan dem.
18 §.Allmänna informationssäkerhetskrav. Syftet med paragrafen är att säkerställa att personuppgifter skyddas på lämpligt sätt när uppgifter behandlas i enlighet med denna lag och att användningen av uppgifter kan övervakas. Genom paragrafen ställs ytterligare villkor i enlighet med artikel 9.4 i dataskyddsförordningen för behandlingen av uppgifter om hälsa. De fungerar samtidigt som skyddsåtgärder enligt dataskyddsförordningen för den registrerades grundläggande rättigheter och friheter. Paragrafen gäller all behandling av uppgifter som görs med stöd av denna lag. Genom riskhantering bör det redan på förhand gå att kartlägga eventuella risker och hur man ska reagera på dem. Detta kompletterar även det riskbaserade tillvägagångssättet i dataskyddsförordningen. Tillträdet till uppgifterna måste kontrolleras och användningen av uppgifterna övervakas aktivt och inte enbart när myndigheten får kännedom om en anmälan om en förseelse. Särskild uppmärksamhet ska fästas vid att användningsbegränsningar och sekretessplikten iakttas.
De som med stöd av denna lag behandlar personuppgifter ska iaktta föreskrifter och anvisningar från den myndighet som svarar för förverkligandet och övervakningen av informationssäkerhet och dataskydd. Nationellt har ansvaret för informationssäkerhetsskyldigheterna delats upp mellan olika myndigheter. Utöver vad som föreskrivs i denna lag, Kommunikationsverket är utsedd säkerhetsmyndighet och nationell informationssäkerhetsmyndighet, som svarar för säkerhetsärenden i anslutning till elektronisk informationsöverföring och informationsbehandling av säkerhetsklassificerat material. Helhetsansvaret för de internationella förpliktelserna som gäller informationssäkerhet vilar åter på utrikesministeriet, som är nationell säkerhetsmyndighet. Dataombudsmannen övervakar åter behandlingen av personuppgifter. Dataskyddsförordningen ökar den fullmäktiges befogenheter. Till polisens behörighet hör åter informations- och kommunikationsbrott och brott som hänger samman med missbruk av personuppgifter, såsom sekretessbrott och störande av post- och teletrafik.
19 §. Logguppgifter. En tillräcklig uppföljning av användningen och utlämnandet av personuppgifter är en central förutsättning för den registrerades integritetsskydd och för att användningen av uppgifter ska kunna övervakas. Med användning av uppgifter avses användning av uppgifter i den registeransvarigas egen verksamhet. Användningen av uppgifter gäller uppgifterna i den registeransvarigas egna register. Med utlämnande av uppgifter avses utlämnande av information till en annan registeransvarig eller någon annan utomstående aktör som har rätt till information. Med utlämnande avses alla former av röjande av information för en utomstående. Även rätten att se på uppgifter är utlämnande av uppgifter.
I 1 mom. föreskrivs om logguppgifter hos Tillståndsmyndigheten för social- och hälsovårdsuppgifter och de organisationer som avses i 6 § samt privata tillhandahållare av social- och hälsovårdstjänster när de behandlar personuppgifter för tillståndsprövning eller utlämnande av uppgifter. I 1 punkten åläggs tillståndsmyndigheten och de organisationer som avses i 6 § en skyldighet att följa behandlingen av personuppgifter inom sin egen organisation. I användningslogguppgifterna ska registreras uppgifter om den organisation, vars uppgifter används, den som har använt uppgifterna, de uppgifter och uppgiftsgrupper som har behandlats, deras användningsändamål, identifieraren för en ansökan om användningstillstånd eller begäran om information samt användningstidpunkten. I fråga om de uppgifter som använts ska således uppges informationens källa och vilken typ av uppgifter den täcker, vilket kan göra det möjligt att härleda vilka uppgifter som har erhållits. Med identifieraren för en ansökan om användningstillstånd eller begäran om information kan utredas för vilket ändamål uppgifter lämnats ut.
I 2 punkten föreskrivs åter om sådana uppgifter som tillståndsmyndigheten, privata tillhandahållare av social- och hälsovårdstjänster och en organisation som avses i 6 § ska registrera om utlämnande av personuppgifter. Dessa logguppgifter om utlämnande bildas om den utlämnande organisationen, den som lämnat ut uppgifter, utlämningsändamålet enligt 2 §, identifierare för en ansökan om användningstillstånd eller begäran om information, mottagaren och utlämningstidpunkten. Mottagaren kan i praktiken vara antingen tillståndsmyndigheten eller tillståndshavaren.
I 2 mom. föreskrivs om vilka uppgifter som den som behandlar personuppgifter med stöd av användningstillstånd ska registrera. Dessa är den registeransvariga som beviljats användningstillstånd, som till exempel kan vara en forskningsgrupp, användningsändamålet enligt 2 §, identifieraren för ett användningstillstånd som ger behandlingsrätt, uppgifter om den som behandlar uppgifter, de uppgifter och uppgiftsgrupper som har behandlats och användningstidpunkten. I praktiken registreras dessa uppgifter automatiskt i den informationssäkra driftsmiljö där uppgifter ska behandlas enligt denna lag. Samma automatiska registrering av uppgifter ska också i fråga om informationsledning gälla användningslogguppgifter om vilka personuppgifter som använts, den som använt uppgifterna, användningsändamålet och användningstidpunkten för uppgifterna.
Logguppgifter ska enligt 4 mom. förstöras eller arkiveras när de inte längre behövs för tillsynen av om uppgifter används eller utlämnas i enlighet med lag och för bestämmandet av påföljder på grund av eventuella missbruk. Logguppgifter ska givetvis bevaras så länge som användningstillståndet för dem är i kraft. I praktiken ska de dock alltid bevaras längre än så, eftersom bestämmandet av påföljder för missbruk i praktiken är bundet vid preskriptionstiden för eventuell åtalsrätt eller skadeståndsanspråk. Till exempel åtalsrätten för ett sekretessbrott preskriberas om åtal inte har väckts inom fem år. Preskriptionstiden för åtalsrätt räknas enligt 2 § i strafflagen från den dag då brottet begicks eller, om den brottsliga gärningen omfattar upprätthållande av ett lagstridigt tillstånd, börjar preskriptionstiden löpa först från den dag då denna verkan inträdde. I lagen om preskription av skulder (728/2003) föreskrivs om ersättningar. Enligt den är den allmänna preskriptionstiden tre år, men som längst kan preskriptionstiden löpa tio år efter det att den rättsliga grunden uppkommit. Preskriptionstiden fortsätter alltså ofta flera år efter det att användningstillståndet preskriberades. I synnerhet vid utredningar av missbruk kan logguppgifterna ha stor betydelse. Därför är det motiverat att bevara dem för bestämmandet av påföljder för missbruk.
Tillståndsmyndigheten kan enligt 5 mom. meddela närmare föreskrifter om de uppgifter som ska registreras i loggregistren och om deras datainnehåll. Detta kan vara nödvändigt till exempel för att säkerställa enhetliga logguppgifter.
20 §. Informationssäker driftmiljö. Paragrafens 1 mom. ålägger den Tillståndsmyndighet för social- och hälsovårdsuppgifter som avses i 4 § att förvalta en informationssäker driftmiljö, där det är möjligt att säkerställa en informationssäker, tillståndsenlig behandling enligt dataskyddsprinciper av uppgifter som lämnats ut med stöd av ett användningstillstånd. Tillståndsmyndigheten kan förvalta driftmiljön ensam eller tillsammans med de övriga myndigheter som avses i 6 § eller andra myndigheter. Tillståndshavaren är registeransvarig för uppgifter den erhållit med stöd av ett användningstillstånd, och tillståndsmyndigheten som förvaltar driftmiljön är registerförare. Driftmiljön ska fungera som en skyddsåtgärd enligt dataskyddsförordningen. De lagstadgade kraven på driftmiljöer ska inte gälla anonyma uppgifter, eftersom anonyma uppgifter inte är personuppgifter och därmed inte behöver särskilt skydd.
När känsliga personuppgifter samkörs, ökar de uppgifter som beskriver en enskild person. Då växer behovet av att skydda det datamaterial som är slutresultatet av samkörningen. När flera olika myndigheters personuppgifter samkörs med känsliga uppgifter, ökar såväl kraven på en informationssäker driftmiljö som på behandlingen av slutanvändarens uppgifter. Till exempel i England kan forskare granska datamaterial endast i särskilda övervakade lokaler, om personuppgifter som i forskningssyfte erhållits inom hälso- och sjukvården samkörs med personuppgifter som erhållits inom andra förvaltningsområden, såsom i skattemyndigheternas eller polisens verksamhet. Till lokalerna får inte föras och ur lokalerna får inte föras ut datateknisk utrustning eller ens pappersanteckningsmaterial. Till exempel i kliniska undersökningar där ett forskningsregister består av hälsovårdsuppgifter från flera registeransvariga och om olika personer får personuppgifter däremot behandlas antingen i laboratorier avsedda för forskare eller till och med på den egna datorn via en informationssäker fjärranslutning, dock så att datamaterialen inte kan överföras till den egna datorn.
En informationssäker driftmiljö ska enligt 2 mom. möjliggöra behandling av datamaterial på olika sätt och vara tillgänglig från olika platser. I det inledande skedet ska det åtminstone finnas två sätt: 1) Ett fysiskt rum endast för behandling av utlämnat material där tjänsteleverantörens utrustning och programvara ska användas eller 2) en informationssäker fjärranslutning som används med forskarens egen utrustning. I takt med att datatekniken och de tillhandahållna tjänsterna utvecklas måste tillståndsmyndigheten i framtiden utöver de två ovan nämnda alternativen tillhandahålla flera alternativa fysiska och tekniska sätt att behandla utlämnade material.
Tillståndsmyndigheten ska vid behandlingen av användningstillståndet enligt principerna för riskhantering bedöma nivån av känslighet för uppgifter som lämnas ut. Tillståndsmyndigheten ska i ett beslut om användningstillstånd från fall till fall bestämma den servicenivå som åtminstone ska krävas av en informationssäker driftmiljö. För att öka öppenheten i verksamheten och säkerställa en jämlik behandling av alla parter ska tillståndsmyndigheten offentliggöra de principer som den iakttar vid bedömningen av nivån av känslighet för uppgifterna.
Om en ansökan om användningstillstånd innehåller en begäran om att andra än anonymiserade uppgifter ska lämnas ut för behandling i en annan miljö än den som avses i 1 mom., ska den sökande enligt 2 mom. särskilt motivera varför detta är nödvändigt. Den sökande ska då också visa att behandlingen av utlämnade uppgifter uppfyller informationssäkerhetskraven i 21—29 §. Den sökande ska alltid motivera en sådan begäran, om uppgifter inte begärs i anonym form. Sålunda måste även utlämnande av pseudonymiserade uppgifter utanför driftmiljön motiveras. Syftet med momentet är att också göra det möjligt att behandlas uppgifter i en annan än tillståndsmyndighetens driftmiljö, utan att pruta på informationssäkerhetskraven. Tillståndsmyndighetens driftmiljö möter nämligen inte alltid de behov som den som begär uppgifter har när uppgifterna analyseras. En driftmiljö måste ändå alltid uppfylla kraven i 21—29 §. Information om driftmiljöer som uppfyller kraven finns i det offentliga register som Tillstånds- och tillsynsverket för social- och hälsovården för med stöd av 30 § 1 mom. Både tillståndsmyndigheten och sökanden får via registret information om vilka driftmiljöer som uppfyller kraven. Till exempel Statistikcentralens fjärråtkomstmiljö kan vara den informationssäkra driftmiljön till exempel när den sökande så önskar och det är motiverat med tanke på materialen och behandlingen.
21 §.Identifiering av användare i informationssäkra driftmiljöer. I paragrafen föreskrivs om identifiering av användare i sådana informationssäkra driftmiljöer till vilka det med stöd av denna lag kan lämnas ut personuppgifter. Målet är att försäkra sig om att en driftmiljö bara används av sådana som har rätt till det. I 1 mom. föreskrivs att användarna i en driftmiljö och datateknisk utrustning ska identifieras på ett tillförlitligt sätt. Identifiering kan till exempel ske med personbeteckningen eller med hjälp av namnet i den handling som använts vid verifieringen av identiteten eller någon annan identifieringsuppgift.
Identifieringen förutsätter dessutom verifiering. Identiteten kan vid behov verifieras genom en handling från en tillförlitlig och oberoende källa. I elektroniska tjänster kan verifieringen ske till exempel med hjälp av elektroniska verktyg för stark autentisering, såsom nätbankkoder eller mobilcertifikat.
Närmare bestämmelser om de tekniska identifierings- och verifieringsmedlen får enligt 2 mom. utfärdas genom förordning av social- och hälsovårdsministeriet.
22 §.Åtkomsträttigheter för användare i informationssäkra driftmiljöer. Syftet med paragrafen är att skydda personuppgifter och sekretessbelagda uppgifter mot obehörig behandling och bekräfta den registrerades rättsskydd vid eventuella missbruk. I 1 mom. ställs en skyldighet att definiera åtkomsträttigheter för personer som behandlar personuppgifter i en informationssäker driftmiljö. Med stöd av definitionen av åtkomsträttigheter för tillståndshavare får tillståndshavaren endast tillgång till personuppgifter enligt användningstillståndet i den omfattning som tillståndet förutsätter. Tillståndshavaren har alltså inte tillgång till sådana uppgifter som tillståndshavaren inte behöver för det användningsändamål som uppgifterna har begärts för. När åtkomsträttigheter definieras för en tillståndshavare, ska därmed bland annat beaktas de villkor som ställts på behandlingen av personuppgifter i beslutet om användningstillstånd samt möjliggöras sådan loggövervakning som avses i 19 §.
För personer som arbetar med hantering av personuppgifter, övervakning av användningen och i uppgifter inom det tekniska underhållet definieras åtkomsträttigheter för personuppgifter i den omfattning som behövs. Åtkomsträttighet får inte möjliggöra tillgång till uppgifter som det inte hör till arbetstagarens uppgifter att förvalta eller övervaka.
Över användarna i en driftmiljö och deras åtkomsträttigheter ska enligt 2 mom. föras ett register. Detta är en skyldighet för driftmiljöns leverantör. Registret ska täcka både aktuella uppgifter och tidigare användaruppgifter. Av uppgifterna i användarregistret ska framgå vem som har beviljats åtkomsträttigheter, för vilket ändamål och vilka datainnehåll rättigheterna har beviljats, åtkomsträttighetens omfattning (visning, förvaltning) samt tidpunkten för när åtkomsträttigheten börjar och upphör.
Tillståndsmyndigheten ska med stöd av 3 mom. utfärda föreskrifter om grunderna för fastställandet av åtkomsträttigheter. Genom en föreskrift om grunderna för fastställandet av åtkomsträttigheter skyddas personuppgifter från obehörig och oberättigad användning.
23 §.Skydd för informationssäkra driftmiljöer. Den informationssäkra driftmiljön ska enligt 1 mom. skyddas i enlighet med statliga myndigheters skyldigheter i fråga om informationssäkerhet på det sätt som föreskrivs i 36 § i offentlighetslagen och i statsrådets förordning om informationssäkerheten inom statsförvaltningen (681/2010). I 36 § i offentlighetslagen föreskrivs om statsrådets bemyndigande att utfärda förordning, som bland annat gäller den säkerhetsklassificering som ska göras i handlingarna. Finansministeriet har utfärdat en anvisning om verkställighet av förordningen om informationssäkerheten inom statsförvaltningen (Ledningsgruppen för datasäkerheten inom statsförvaltningen 2/2010, s.k. VAHTI-anvisning), där det ges riktlinjer för verkställigheten av förordningen. Vid finansministeriet pågår för tillfället ett projekt för utvecklande av lagstiftningen inom den offentliga informationshanteringen. När det är färdigt måste sannolikt kraven även för andra driftmiljöer än Tillståndsmyndigheten för social- och hälsovårdsuppgifters driftmiljö ses över för att de bättre ska motsvara de allmänna kraven på tillståndsmyndighetens driftmiljö.
Paragrafens 2 mom. förpliktar leverantören av driftmiljön att förverkliga den så att det ska vara möjligt att samla in logguppgifter om användningen av uppgifter som lämnats ut till driftmiljön för uppföljning och övervakning. Bestämmelser om logguppgifter finns i 19 §. Den som behandlar personuppgifter med stöd av ett användningstillstånd ska enligt 2 mom. i användningslogguppgifterna registrera information om den registeransvariga som fått användningstillstånd, användningsändamålet enligt 2 §, användningstillstånd som ger rätt till behandling, användare som är berättigad att behandla uppgifterna enligt användningstillståndet, de uppgifter och uppgiftsgrupper som har behandlats samt användningstidpunkten. I praktiken ska insamlingen av logguppgifter vara automatiserad och därför ska tjänsteleverantören möjliggöra insamling av logguppgifter i sitt system.
24 §.Minimikrav på informationssäkra driftmiljöer. Om Tillståndsmyndigheten för social- och hälsovårdsuppgifter lämnar ut personuppgifter för användning enligt användningstillståndet ska den säkerställa att mottagaren behandlar uppgifterna på ett informationssäkert sätt. Tillståndsmyndigheten ska också säkerställa att driftmiljön kan ta emot de uppgifter som lämnas ut på ett informationssäkert sätt. I praktiken görs säkerställandet genom att det definieras sådana minimikrav på driftmiljöer som ska uppfyllas av alla tjänsteproducenter som tillhandahåller driftmiljöer. Kraven ska täcka de krav som ställs på driftmiljöns tekniska utförande samt tjänsteleverantörens fysiska lokaler, de administrativa processerna och ledningssystemet.
Metoderna för att förverkliga informationssäkerhet och interoperabilitet mellan olika tjänster och kraven på dem utvecklas kontinuerligt i takt med teknikens och tjänsternas utveckling. Minimikraven måste kunna ändras och skärpas, om det krävs ändringar i förverkligandet av tjänsterna för att den eftersträvade informationssäkerhetsnivån ska kunna upprätthållas. På så vis säkerställs att informationssäkerheten hålls på den eftersträvade nivån.
Enligt 1 mom. ska den informationssäkra driftmiljön uppfylla kraven på informationssäkerhet och interoperabel informationsöverföring. Kraven ska bygga på myndigheternas föreskrifter, rekommendationer och lämpliga standarder enligt dessa.
Tillståndsmyndigheten ska med stöd av normgivningsbemyndigandet i 2 mom. utfärda närmare föreskrifter om de krav som ska ställas på andra tjänsteleverantörers informationssäkra driftmiljöer. Tillståndsmyndighetens föreskrift ska enligt 1 mom. bygga på myndigheternas föreskrifter, rekommendationer och lämpliga standarder för en driftmiljö. Tillståndsmyndigheten är i sak den rätta myndigheten att definiera kraven på driftmiljöer, eftersom den själv under myndighetsansvar förvaltar en egen informationssäker driftmiljö och ska säkerställa informationssäkerhet i sin egen verksamhet. Därför känner den bäst till informationssäkerhetsriskerna och de krav som ställs på informationssäkra driftmiljöer. Den ska således kräva samma nivå på informationssäkerheten och basfunktionerna i andra tjänsteleverantörers driftmiljöer som i sin egen miljö.
25 §. Påvisande av informationssäkerhet i en informationssäker driftmiljö. Informationssäkerheten i en informationssäker driftmiljö påvisas på det sätt som anges i 1 mom. genom ett intyg från bedömningsorganet för informationssäkerhet enligt 26 §. Bedömning av informationssäkerheten görs i överensstämmelse med lagen om bedömningsorgan för informationssäkerhet och de nya bestämmelser som nu föreslås.
Enligt 2 mom. får Tillståndsmyndigheten för social- och hälsovårdsuppgifter meddela närmare föreskrifter om de förfaranden som ska iakttas vid påvisande av informationssäkerhet. I det förfarande som ska iakttas ingår exempelvis hur de som använder driftmiljön och myndigheterna ska få tillgång till redogörelsen.
26 §. Bedömning av informationssäkerhet. Enligt 1 mom. i den föreslagna bestämmelsen bedömer bedömningsorganet för informationssäkerhet om den informationssäkra driftmiljön uppfyller minimikraven på informationssäkerhet. Till bedömningen hör även bedömning av lokaliteternas ändamålsenlighet. Bedömning av driftmiljön görs på ansökan av tjänsteleverantören.
I paragrafens 2 mom. finns bestämmelser om det intyg som bedömningsorganet ger tjänsteleverantören, om driftmiljön uppfyller informationssäkerhetskraven. Till intyget fogas även en kontrollrapport. Driftmiljön kan bestå av flera olika system och till den kan höra t.ex. analysprogram med hjälp av vilka tillståndshavare kan analysera den information de får. Driftmiljöer måste å andra sidan bedömas på nytt med minst fem års intervall, eftersom ett bedömningsintyg är i kraft högst fem år. I detta fall är det inte alltid nödvändigtvis ändamålsenligt att bedöma hela driftmiljön på nytt, om kraven har ändrats endast till vissa delar. Det kan således vara nödvändigt att analysera endast en del av driftmiljön, och då måste det av bedömningsorganets intyg tydligt framgå vilken del som har bedömts. Alla delar i driftmiljön ska dock alltid uppfylla minimikraven på informationssäkerhet.
I paragrafens 3 mom. föreskrivs att bedömningsorganets intyg är i kraft högst fem år. Bedömningsorganet kan besluta att intyget är i kraft en kortare tid, om det på basis av en viss utvecklingsfas i driftmiljön eller en sådan ändring av minimikraven som varit känd eller andra motsvarande omständigheter är uppenbart att driftmiljön inte uppfyller minimikraven utan betydande ändringar i fem år. Bedömningsorgan för informationssäkerhet kan förlänga intygets giltighet. Detta kan göras för högst fem år i sänder. När det bedöms huruvida intygets giltighet ska förlängas kan bedömningsorganet för informationssäkerhet av tjänsteleverantören kräva alla de uppgifter som förutsätts för bedömningen för att intyget ska kunna uppgöras och hållas uppdaterat.
Bedömningsorganet för informationssäkerhet ska vid behov bedöma driftmiljön och den som levererar driftmiljön. Utgångspunkten kan vara att bedömningarna grundar sig på tjänsteleverantörens meddelanden om ändringar som har gjorts i driftmiljön. Dessutom är det nödvändigt att bedöma på vilket sätt ändringar i de bestämmelser, föreskrifter och anvisningar som gäller minimikraven inverkar på driftmiljön. Vid behov kan bedömningsorganet även göra bedömningar av driftmiljön och den som levererar driftmiljön för att säkerställa att tjänsteleverantören i sitt utvecklingsarbete tillämpar sådana förfaranden som garanterar att de minimikrav som gäller informationssäkerheten kontinuerligt uppfylls. På basis av bedömningarna ska en utvärderingsrapport överlämnas till tjänsteleverantören.
Till övriga delar än de som anges ovan tillämpas på utfärdande av intyg bestämmelserna och förfarandena i 9 § 3 mom. i lagen om bedömningsorgan för informationssäkerhet.
27 §.Återkallande av bedömningsorganets intyg. I paragrafen föreskrivs om de förutsättningar enligt vilka bedömningsorganet ska återkalla ett intyg som det har beviljat för driftmiljön. Om bedömningsorganet för informationssäkerhet konstaterar att en driftmiljö inte har uppfyllt eller inte längre uppfyller de krav som föreskrivs i denna lag eller att ett intyg av någon annan orsak inte borde ha beviljats, ska organet uppmana tjänsteleverantören att avhjälpa bristerna. En tidsfrist ska ställas för korrigering av bristerna. När tidsfristens längd bestäms ska bedömningsorganet beakta bristens betydelse och omfattning samt den tid som normalt behövs för att avhjälpa sådana brister. Om observerade brister inte avhjälps inom den angivna tidsfristen, ska bedömningsorganet för informationssäkerhet återkalla intyget för viss tid eller helt och hållet eller bevilja intyget med begränsningar. Begränsningen kan gälla t.ex. intygets giltighetstid eller sådan behandling av uppgifterna som medger att driftmiljön används.
28 §. Anmälningsskyldighet för bedömningsorgan för informationssäkerhet. I paragrafen föreskrivs att bedömningsorganet för informationssäkerhet ska underrätta Tillstånds- och tillsynsverket för social- och hälsovården om alla sådana intyg som har utfärdats, ändrats eller kompletterats eller som har återkallats för viss tid eller helt och hållet eller förvägrats och som gäller driftmiljöns informationssäkerhet. Bedömningsorganet ska dessutom på begäran av Tillstånds- och tillsynsverket för social- och hälsovården lämna verket all ytterligare information som behövs för tillsynen om de driftmiljöer som bedömningsorganet har beviljat intyg för.
29 §.Uppföljning efter ibruktagande av informationssäker driftmiljö. Det är nödvändigt att även efter det att driftmiljön har tagits i bruk följa upp att dess funktionsduglighet och användbarhet är ändamålsenlig. Bestämmelser om detta finns i det föreslagna 1 mom. Enligt bestämmelsen ska tjänsteleverantören genom ett uppdaterat och systematiskt förfarande aktivt följa upp och utvärdera de erfarenheter som fås av den informationssäkra driftmiljön under den tid den används för produktion. Tjänsteleverantören ska även följa upp eventuella ändringar av de krav som ställs på driftmiljön och vid behov göra de justeringar och korrigeringar i driftmiljön som dessa ändringar kräver. Dessutom krävs det att sådana förändringar som tjänsteleverantören gör i driftmiljön ska anmälas till bedömningsorganet för informationssäkerhet. Utifrån dessa anmälningar kan bedömningsorganet utvärdera och vid behov utreda om de genomförda förändringarna inverkar på informationssäkerheten. I anknytning till detta konstateras det i bestämmelsen även att bedömningsorganets intyg vid behov ska uppdateras, om förändringarna är betydande eller om de minimikrav som gäller informationssäkerheten har förändrats på ett sådant sätt att det förutsätts att intyget godkänns på nytt. Bedömningsorganet för informationssäkerhet ska även följa upp att informationssystemet överensstämmer med kraven.
På basis av paragrafens 2 mom. ska tjänsteleverantören bevara uppgifter om överensstämmelse med kraven och övriga uppgifter som tillsynen kräver i minst fem år efter det att den informationssäkra driftmiljön inte längre används för produktion. Syftet med bevaringsskyldigheten är att säkerställa att det t.ex. i situationer där dataskyddet eventuellt måste utredas i efterhand finns tillräcklig information om driftmiljöns överensstämmelse med kraven och om de förändringar som gjorts.
30 §.Övervakning och inspektioner av informationssystem. I paragrafens 1 mom. finns bestämmelser om att Tillstånds- och tillsynsverket för social- och hälsovården ska övervaka och främja att driftmiljöerna uppfyller kraven på dataskydd och informationssäkerhet. I klientuppgiftslagen finns motsvarande övervakningsskyldigheter för Tillstånds- och tillsynsverket för social- och hälsovården. Verket har således erfarenhet av övervakning av informationssystem, och därför lämpar sig uppgiften för verket.
Tillstånds- och tillsynsverket för social- och hälsovården för dessutom ett offentligt register över driftmiljöer som uppfyller kraven och som anmälts till verket. Registret bildas utifrån bedömningsorganets anmälningar till Tillstånds- och tillsynsverket. I registret kan de som ansöker om tillstånd kontrollera vilka driftmiljöer som har fått ett intyg beviljat av bedömningsorganet för informationssäkerhet. De som ansöker om tillstånd kan använda informationen i registret när de för Tillståndsmyndigheten för social- och hälsovårdsuppgifter motiverar informationssäkerheten hos en informationssäker driftmiljö som någon annan i 20 § 2 mom. avsedd myndighet än tillståndsmyndigheten förvaltar.
Bestämmelser om de förfaringssätt som behövs vid genomförandet av tillsynen finns i 2 mom. Tillstånds- och tillsynsverket för social- och hälsovården har rätt att utföra inspektioner som krävs för tillsynen. För att utföra en inspektion har en inspektör rätt att få tillträde till tjänstetillhandahållarnas alla lokaler där det kan finnas uppgifter som är viktiga för bedömning av driftmiljöns informationssäkerhet. Lokaler av detta slag kan t.ex. vara tjänsteleverantörernas lokaler, arkiv och andra motsvarande utrymmen. Utrymmen som används för permanent boende omfattas dock inte av inspektionsrätten. Vid en inspektion ska dessutom iakttas vad som i förvaltningslagen föreskrivs om förrättande av inspektion.
I 3 mom. föreskrivs om förrättande av inspektion. För att syftet med en inspektion ska förverkligas kan den i enlighet med de villkor som anges i 39 § i förvaltningslagen förrättas utan förhandsanmälan, om syftet med inspektionen äventyras av en sådan underrättelse. Den som förrättar inspektionen har rätt att få alla handlingar som behövs för inspektionen till påseende. Den som förrättar inspektionen har dessutom rätt att få kopior av de handlingar som han eller hon anser vara nödvändiga. De lokaler som ska inspekteras kan även fotograferas.
Enligt 39 § i förvaltningslagen ska den som förrättar inspektion utan dröjsmål avfatta en skriftlig inspektionsberättelse över inspektionen. Av inspektionsberättelsen ska inspektionens förlopp och inspektionsförrättarens viktigaste iakttagelser framgå. Utifrån paragrafens 4 mom. ska inspektionsprotokollet bevaras i tio år efter att inspektionen utförts.
31 §.Rätt för Tillstånds- och tillsynsverket för social- och hälsovården att anlita utomstående experter. Informationssäkra driftmiljöer är förknippade med olika egenskaper. Den övervakande myndigheten kan inte i sin tjänst ha sådana experter som behärskar alla egenskaper hos de olika informationssystemen. Övervakningen förutsätter dock ofta en experts bedömning, och därför föreslås det i paragrafens 1 mom. att Tillstånds- och tillsynsverket för social- och hälsovården från fall till fall ska ha rätt att använda utomstående experter som hjälp när det gäller att bedöma informationssäkra driftmiljöer.
I paragrafens 2 mom. föreskrivs att det på utomstående experter som utför uppgifter enligt denna lag tillämpas förvaltningslagens bestämmelser om tjänstemannajäv och bestämmelserna om straffrättsligt tjänsteansvar när de utför uppgifter enligt denna lag. Sekretessplikt för utomstående experter följer av 53 §, enligt vilken det på sekretess för uppgifter som erhållits med stöd av denna lag tillämpas vad som föreskrivs i 24 § i offentlighetslagen om sekretessbelagda uppgifter och i 22, 23, 31 och 32 § i offentlighetslagen om handlingssekretess, tystnadsplikt och förbud mot utnyttjande samt upphörande av dem.
32 §.Rätt för Tillstånds- och tillsynsverket för social- och hälsovården att få information. På basis av bestämmelsen har Tillstånds- och tillsynsverket för social- och hälsovården rätt att för tillsynen över social- och hälsovårdens informationssystem få alla nödvändiga uppgifter av statliga och kommunala myndigheter samt av fysiska och juridiska personer som omfattas av denna lag eller de bestämmelser som utfärdats med stöd av lagen. Uppgifterna ska lämnas till Tillstånds- och tillsynsverket för social- och hälsovården trots sekretessbestämmelserna.
33 §. Tillstånds- och tillsynsverket för social- och hälsovårdens åläggande att avhjälpa brister samt vite. Om en informationssäker driftmiljö inte uppfyller de krav som ställs på den i denna lag, ska tjänsteleverantören i regel på eget initiativ vidta korrigerande åtgärder. Utöver detta får Tillstånds- och tillsynsverket för social- och hälsovården med stöd av 1 mom. i den bestämmelse som föreslås utifrån en inspektion enligt 30 § ålägga tjänsteleverantören att avhjälpa bristerna, om det finns skäl att misstänka att tjänsteleverantören inte annars vidtar de åtgärder som behövs för att korrigera driftmiljön.
Utifrån paragrafens 2 mom. får Tillstånds- och tillsynsverket för social- och hälsovården förbjuda användningen av informationssäker driftmiljö, om bristerna i driftmiljön inte har avhjälpts inom den tidsfrist som Tillstånds- och tillsynsverket har satt ut och driftmiljön bristfälligt uppfyller de krav som ställs i lagen. Rätten att förbjuda användningen av informationssäker driftmiljö gäller också sådana situationer där dataskyddet för de registrerade har äventyrats. Förbudet kan vara i kraft tills den egenskap som äventyrar säkerheten eller dataskyddet har korrigerats. Vidare får Tillståndsmyndigheten för social- och hälsovårdsuppgifter eller någon annan myndighet som avses i 6 § stänga av förbindelsen till sina informationssystem, om den som använder dem äventyrar en ändamålsenlig användning av dem. Samma möjlighet att stänga av förbindelsen existerar, om det finns en risk att ett externt system eller dess användarorganisation kan äventyra informationssystemen så att de inte fungerar ändamålsenligt.
På basis av paragrafens 3 mom. kan Tillstånds- och tillsynsverket för social- och hälsovården ålägga tjänsteleverantören eller en befullmäktigad representant att informera om förbud eller förelägganden som gäller användningen av en informationssäker driftmiljö för produktion. Tillstånds- och tillsynsverket för social- och hälsovården kan även bestämma på vilket sätt och inom vilken tid det ska informeras om saken. Syftet med förpliktelsen är att säkerställa att de som använder en informationssäker driftmiljö är medvetna om bristerna i driftmiljön och begränsningen av användningen.
Tillstånds- och tillsynsverket för social- och hälsovården kan enligt 4 mom. förena sitt beslut med vite eller med hot om att verksamheten helt eller delvis avbryts. Närmare bestämmelser om vite och hot om tvångsutförande och avbrytande finns i viteslagen (113/1990).
I momentet förutsätts vidare att Tillstånds- och tillsynsverket underrättar tillståndsmyndigheten om sitt beslut om en informationssäker driftmiljö. När Tillstånds- och tillsynsverket har förbjudit användning av driftmiljön får tillståndsmyndigheten inte lämna ut nya uppgifter i driftmiljön. Därför är det viktigt att tillståndsmyndigheten underrättas om Tillstånds- och tillsynsverkets beslut.
34 §.Föreläggande att fullgöra skyldigheter. I paragrafen föreslås att Tillstånds- och tillsynsverket för social- och hälsovården ska ha rätt att förelägga en tjänsteleverantör, en myndighet som avses i 6 §, inklusive Tillståndsmyndigheten för social- och hälsovårdsuppgifter eller den som annars behandlar personuppgifter i enlighet med denna lag att uppfylla sin skyldighet, om den har underlåtit att fullgöra sin skyldighet enligt denna lag i anknytning till informationssystem eller deras användning. Bestämmelsen behövs, eftersom tillsynsmyndigheten ska ha tillräckligt effektiva metoder för att kunna försäkra sig om att lagen efterlevs. Till tillsynsmyndighetens grundläggande uppgifter hör att ingripa, om kraven i lagen inte iakttas. Om myndighetens uppmaning dock inte iakttas, får Tillstånds- och tillsynsverket för social- och hälsovården utfärda ett föreläggande om att lagen ska iakttas inom utsatt tid. Bestämmelsen täcker alla förpliktelser som uppställts i lagen för informationssystem eller användningen av dem.
4 kap. Grunder och förutsättningar för sekundär användning av personuppgifter
Allmänna grunder för sekundär användning
I 4 kap. föreskrivs om de grunder med stöd av vilka användningstillstånd för kunduppgifter och andra i den föreslagna lagen avsedda registeruppgifter kan ges samt om de särskilda villkor som gäller det. I 35 § föreskrivs om de allmänna grunderna för behandling av personuppgifter, i 36 § föreskrivs om rätten för Tillståndsmyndigheten för social- och hälsovårdsuppgifter att få uppgifter och i 37—42 § finns mera detaljerade bestämmelser än i 2 § om de användningsändamål för vilka användningstillstånd får beviljas och uppgifter lämnas ut samt om de särskilda villkor som gäller dessa och som ska vara uppfyllda för att användningstillstånd ska beviljas.
35 §.Grunder för behandling av personuppgifter. I paragrafen föreskrivs allmänt om på vilket sätt uppgifter som registrerats i social- och hälsovårdsverksamhet eller för styrnings-, tillsyns-, forsknings- och statistikändamål inom social- och hälsovården kan behandlas samt samköras med de i 6 § avsedda personuppgifterna vid Befolkningsregistercentralen, Statistikcentralen och Pensionsskyddscentralen. Samkörning kan ske även med uppgifterna från en privat serviceanordnare inom social- och hälsovården. Bestämmelser om helt egna förfaranden finns i lagens 7 och 51 § när det gäller behandling och samkörning av uppgifter som Institutet för hälsa och välfärd och Statistikcentralen i egenskap av statistikmyndighet har samlat in för statistiska ändamål.
Behandling av personuppgifter förutsätter användningstillstånd från Tillståndsmyndigheten för social- och hälsovårdsuppgifter eller den registeransvariga som avses i 6 § eller anonymisering av uppgifterna. Vidare kan personuppgifter på de villkor som föreskrivs i 41—42 § utan användningstillstånd direkt med stöd av lag behandlas i informationsledningssyfte samt i myndighetsstyrning och myndighetstillsyn inom social- och hälsovården. Bestämmelsen innebär i praktiken att användningstillstånd för sekundär användning av patient- och kunduppgifter kan beviljas för flera ändamål än vad som är möjligt enligt gällande lagstiftning.
Grunden för behandling följer av artikel 6 i dataskyddsförordningen och när det gäller särskilda kategorier av personuppgifter, t.ex. hälsouppgifter och genetiska uppgifter, dessutom av artikel 9. När tillståndsmyndigheten och andra registeransvariga som lämnar ut uppgifter med stöd av denna lag behandlar personuppgifter har de rätt att behandla uppgifterna med stöd av artikel 6 e i dataskyddsförordningen. Enligt den artikeln är behandlingen av personuppgifter lagenlig om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den registeransvarigas myndighetsutövning. Av samma artikel följer att den som tar emot uppgifterna har rätt att behandla dem för undervisningsuppgifter enligt 39 §, för myndigheters planerings- och utredningsuppgifter enligt 40 §, för informationsledning enligt 41 § och för myndighetsstyrning och myndighetstillsyn enligt 42 §.
Det ovan anförda innebär inte att uppgifter inte i dessa syften kan behandlas i vissa situationer även på andra grunder som följer direkt av dataskyddsförordningen. Bland annat sådana privata tillhandahållare av social- och hälsovård som inte är myndigheter kan följaktligen grunda sin rätt att behandla uppgifter t.ex. i informationsledningssyfte på artikel 6.1 f, dvs. på den registeransvarigas berättigade intressen.
Till den del grunden för behandling av personuppgifter inte följer direkt av artikel 6 i dataskyddsförordningen finns det närmare bestämmelser om de exakta grunderna enligt artikel 6 och 9 för de användningsändamål som anges i lagen för vart och ett användningsändamål i motiveringen till 37—42 §.
Förutom lagförslaget tillämpas personuppgiftslagen i enlighet med det tillämpningsområde som anges i 2 § i den lagen till den del som man i förslaget inte avviker från bestämmelserna i personuppgiftslagen. Exempelvis rätten att behandla en personbeteckning följer således direkt av 13 § i personuppgiftslagen. Justitieministeriet bereder för närvarande en lag som ska ersätta personuppgiftslagen. När personuppgiftslagen har upphävts ska den nya lagen tillämpas vid sidan av detta förslag på motsvarande sätt som personuppgiftslagen.
36 §. Rätt för Tillståndsmyndigheten för social- och hälsovårdsuppgifter att få och behandla uppgifter trots sekretessplikten. I paragrafens 1 mom. föreskrivs om tillståndsmyndighetens rätt att trots sekretessplikten få uppgifter av dem som nämns i tillståndsansökan, av de registeransvariga som avses i 6 §, av privata tillhandahållare av social- och hälsovårdstjänster samt av de uppgifter i Kanta-tjänsterna som avses i klientuppgiftslagen. Rätten att få uppgifter gäller sådana uppgifter som tillståndsmyndigheten behöver för att fatta beslut om användningstillstånd. Tillståndsmyndigheten är således registeransvarig för de personuppgifter som myndigheten fått. Tillståndsmyndighetens rätt att få information gäller även sådana uppgifter som avses i ett redan beviljat användningstillstånd och som tillståndsmyndigheten behöver för att samköra och vid behov pseudonymisera i enlighet med tillståndet, samt för att slutligen lämna ut dem till tillståndshavaren för behandling.
Om uppgifter begärs endast i anonymiserad form för ett användningsändamål enligt 2 §, förutsätter utlämnande enligt 45 § i den föreslagna lagen ingen tillståndsbehandling alls. Tillståndsmyndigheten har då rätt att med stöd av 36 § få de uppgifter som behövs från de registeransvariga som avses i begäran om information, samköra dem i identifierbar form och under myndighetsansvar göra dem till sådant anonymiserat material som det begärda resultatet förutsätter. Tillståndsmyndighetens rätt att behandla personuppgifter i detta syfte följer av artikel 6 och 9 i dataskyddsförordningen samt av artikel 86 på det sätt som föreslås i motiveringen till 45 §. Myndigheternas personuppgifter kan även i detta syfte samköras med de personuppgifter som den part som begärt uppgifter lagligen innehar.
Eftersom uppgifterna lämnas ut i en sådan form till den som begärt dem där även möjligheten till indirekt identifiering har uteslutits, kränker förfarandet inte skyddet för de registrerades personuppgifter. Vidare ska tillståndsmyndigheten ha motsvarande rätt att få sådana uppgifter som den behöver för att sätta ihop de färdiga datamaterial som avses i 14 § 3 mom.
Enligt paragrafens 2 mom. kan de uppgifter som avses i användningstillståndet lämnas ut via den informationssäkra drifttjänst som avses i 17 §. Enligt grundlagsutskottets etablerade utlåtandepraxis ska det i lag särskilt föreskrivas om rätten att lämna ut sekretessbelagda uppgifter eller personuppgifter med hjälp av en teknisk anslutning. En informationssäker driftmiljö motsvarar en teknisk anslutning.
När villkoren i paragrafens 1 och 2 mom. uppfylls kan tillståndsmyndigheten med stöd av paragrafens 3 mom. med den registeransvarigas medgivande oberoende av sekretessplikten via den informationssäkra drifttjänst som avses i 17 § plocka ut uppgifter enligt användningstillståndet ur de myndighets register som avses i 6 §, om det med beaktande av registrens innehåll och tekniska utförande är möjligt och ändamålsenligt. Tillståndsmyndigheten ska dessutom ha rätt att plocka ut de sagda uppgifterna ur Kanta-tjänsterna. Tekniskt sett kan detta genomföras när det gäller t.ex. uppgifterna i befolkningsdatasystemet, medan de uppgifter som finns i Folkpensionsanstaltens förmånsregister på grund av nuvarande informationssystem måste plockas ut ur besluten separat.
Målet är att det datamaterial som oftast behövs för de ändamål som avses i denna lag med hjälp av utveckling av informationssystemen ska kunna produceras så automatiskt som möjligt, vilket väsentligt förbättrar möjligheterna att använda existerande uppgifter och dataskyddet samt minskar de utgifter som beror på den sekundära användningen av dem.
Enligt paragrafens 4 mom. är tillståndsmyndigheten registeransvarig för de uppgifter som den har fått på de sätt som avses i paragrafen. Tillståndsmyndigheten svarar således i egenskap av registeransvarig för de uppgifter som myndigheten fått och behandlat för att utföra sina lagstadgade uppgifter från den stunden då den har fått uppgifterna, samt för att förstöra eller bevara och eventuellt arkivera dem efter detta. Tillståndshavaren är för sin del registeransvarig för de uppgifter som tillståndshavaren fått med stöd av tillståndet.
Uppgifter som lämnas ut med stöd av användningstillstånd
37 §. Användningstillstånd för vetenskaplig forskning och statistikföring. I paragrafen föreskrivs om rätten att lämna ut sekretessbelagda uppgifter för att användas för vetenskaplig forskning och statistikföring. Enligt skäl 159 i ingressen till den europeiska dataskyddsförordningen bör begreppet vetenskaplig forskning ges en vid tolkning och även omfatta till exempel teknisk utveckling och demonstration, grundforskning, tillämpad forskning och privatfinansierad forskning. I paragrafen ska dessutom beaktas unionens mål enligt artikel 179.1 i EUF-fördraget angående åstadkommandet av ett europeiskt forskningsområde. Vetenskapliga forskningsändamål bör också omfatta studier som utförs av ett allmänt intresse inom folkhälsoområdet. För att tillgodose de särskilda kraven i samband med behandling av personuppgifter för vetenskapliga forskningsändamål bör särskilda villkor gälla, särskilt vad avser offentliggörande eller annat utlämnande av personuppgifter inom ramen för vetenskapliga forskningsändamål. Om resultatet av vetenskaplig forskning, särskilt för hälso- och sjukvårdsändamål, ger anledning till ytterligare åtgärder i den registrerades intresse, bör de allmänna reglerna i dataskyddsförordningen tillämpas på dessa åtgärder. Även i Finland ska man i fortsättningen iaktta denna ingressen till förordningen när det ska bedömas huruvida forskning uppfyller kriterierna för vetenskaplig forskning.
I skäl 157 i ingressen till dataskyddsförordningen erkänns betydelsen hos forskningsresultat som erhållits på grundval av register. Enligt förordningen kan forskare genom att koppla samman information från olika register erhålla ny kunskap av stort värde med avseende på medicinska tillstånd som exempelvis hjärt-kärlsjukdomar, cancer och depression. På grundval av registren kan forskningsresultaten förbättras, eftersom de bygger på en större befolkningsgrupp. Forskningsresultat som erhållits på grundval av register utgör en stabil, högkvalitativ kunskap, som kan ligga till grund för utformningen och genomförandet av kunskapsbaserad politik, förbättra livskvaliteten för ett antal personer och förbättra de sociala tjänsternas effektivitet. Som villkor för registerforskning uppställs att lämpliga villkor och skyddsåtgärder i medlemsstaternas nationella rätt iakttas.
Registerforskning har betydande effekter när det gäller att främja social- och hälsovården, vården, hälsan och välbefinnandet. Registerforskning är ett kostnadseffektivt sätt att producera tillförlitlig information för t.ex. utvärderingen, utvecklingen och planeringen av verksamheten. Vid registerforskning intresserar man sig inte för en enskild människas uppgifter som sådana, utan för den information som kan produceras med hjälp av personuppgifter som gäller en stor grupp människor.
Med statistiska ändamål avses enligt skäl 162 i ingressen till dataskyddsförordningen varje åtgärd som vidtas för den insamling och behandling av personuppgifter som är nödvändig för statistiska undersökningar eller för framställning av statistiska resultat. Dessa statistiska resultat kan vidare användas för olika ändamål, inbegripet vetenskapliga forskningsändamål. Ett statistiskt ändamål innebär att resultatet av behandlingen för statistiska ändamål inte består av personuppgifter, utan av aggregerade personuppgifter, och att resultatet eller uppgifterna inte används till stöd för åtgärder eller beslut som avser en särskild fysisk person.
Enligt artikel 5.1 b i dataskyddsförordningen ska vetenskaplig forskning eller statistiska ändamål inte anses vara oförenlig med de ursprungliga ändamålen. Vetenskaplig forskning eller statistikföring har dock inte nämnts som uttrycklig grund för behandling i artikel 6.1 i dataskyddsförordningen som gäller laglig behandling. Grunden för behandling ska trots detta följa direkt av förordningen och den kan från fall till fall grunda sig på artikel 6.1 led a (samtycke), led c (behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvariga), led e (en uppgift av allmänt intresse) eller led f (berättigade intressen).
Behandling av sådana uppgifter som hör till särskilda kategorier, dvs. känsliga uppgifter, är i regel förbjuden enligt förordningen. Känsliga uppgifter är uppgifter om bl.a. hälsan. Vad dessa uppgifter beträffar ska det i lagen föreskrivas om en egen grund för behandling för vetenskaplig forskning och statistikföring. I artikel 9.2 j som gäller behandling av känsliga uppgifter bestäms det nämligen uttryckligen att behandlingsförbudet inte tillämpas, om behandlingen är nödvändig för vetenskapliga forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. För känsliga uppgifter gäller dessutom med stöd av artikel 9.4 att medlemsstaterna får behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa.
Bestämmelser om behandling som hänför sig till vetenskaplig forskning och statistikföring finns i 14 och 15 § i gällande personuppgiftslag. I bestämmelserna i 27 § i personuppgiftslagen finns likaså ett undantag som gäller den registrerades rätt till insyn. Avsikten är att motsvarande bestämmelser ska tas in även i den allmänna lag som ersätter personuppgiftslagen så att bestämmelserna är förenliga med dataskyddsförordningen. Därför tas motsvarande bestämmelser inte in i denna proposition, utan de följer direkt av personuppgiftslagen så länge den är i kraft och senare av den nya, nationella allmänna lag som ersätter personuppgiftslagen och som är förenlig med dataskyddsförordningen.
Enligt paragrafens 1 mom. får det för vetenskaplig forskning och statistikföring trots sekretessplikten ges användningstillstånd för kunduppgifter inom social- och hälsovården och för andra personuppgifter som avses i 6 §. Tillståndsmyndigheten för social- och hälsovårdsuppgifter kan i enlighet med 44 § ge ett användningstillstånd för kunduppgifter inom social- och hälsovården samt för andra sådana personuppgifter hos myndigheter och organisationer som avses i 6 § under de begränsningar som anges i den paragrafen efter att från fall till fall ha bedömt förutsättningarna för tillstånd utifrån den plan för användning av uppgifter som fogas till tillståndsansökan.
Tillstånden beviljas enligt 44 § 2 mom. av den registeransvariga själv, om begäran om information eller ansökan om användningstillstånd gäller uppgifter i personregister hos endast en myndighet som avses i 6 §. Den registeransvariga kan dock med Tillståndsmyndigheten för social- och hälsovårdsuppgifter avtala om att tillståndsmyndigheten sköter uppgiften i dess ställe. Om en ansökan om användningstillstånd däremot gäller kunduppgifter hos en privat serviceanordnare inom social- och hälsovården eller personregister hos flera registeransvariga som avses i 6 § eller uppgifter som registrerats i de Kanta-tjänster som avses i lagen om elektronisk behandling av klientuppgifter inom social- och hälsovården (159/2007, klientuppgiftslagen), svarar tillståndsmyndigheten för tillståndsbeslutet. En privat tjänstetillhandahållare kan således aldrig besluta om användningstillstånd för kunduppgifter ens i de egna registren.
I 2 mom. åläggs en skyldighet att se till att prövningen av om användningstillstånd ska beviljas eller inte ska utgå från att den vetenskapliga forskningens frihet tryggas. Den vetenskapliga forskningens frihet är en grundläggande fri- och rättighet som avses i 16 § 3 mom. i grundlagen.
Enligt 3 mom. tillämpas dessutom personuppgiftslagen när uppgifter med stöd av denna lag behandlas för vetenskaplig forskning och statistikföring. I personuppgiftslagen föreskrivs bl.a. om närmare förutsättningar för behandling av uppgifter i forskningssyfte (14 §) och i statistikföring (15 §) samt om inskränkningar i rätten till insyn när uppgifterna behandlas för vetenskaplig forskning eller statistikföring (27 §). När den allmänna lag som ska ersätta personuppgiftslagen blir färdig tillämpas istället för personuppgiftslagen den nya lagen, varav följer bl.a. noggrannare förutsättningar för behandlingen och möjligheter att avvika från registrerades rättigheter som anges i dataskyddsförordningen till den del som de inte följer direkt av själva förordningen.
38 §. Utvecklings- och innovationsverksamhet. Syftet med paragrafen är att möjliggöra användning av registeruppgifter för utvecklings- och innovationsverksamhet på ett mer omfattande sätt än för vetenskaplig forskning. För sådan användning av uppgifter finns det inte någon direkt grund för behandlingen i dataskyddsförordningen. Behandling enligt paragrafen grundar sig antingen på samtycke enligt artikel 6.1 a och vid behov enligt artikel 9.2 a i dataskyddsförordningen eller på behandling enligt 45 § av anonymiserade uppgifter. I det senare fallet behöver den som tar emot uppgifterna inte någon grund för behandlingen enligt dataskyddsförordningen, eftersom dataskyddsförordningen inte tillämpas på anonyma uppgifter.
Innovation är en ny produkt, tjänst eller verksamhetsform som genererar ekonomisk eller samhällelig nytta. Innovationsverksamhet är ett mer omfattande begrepp än forsknings- och utvecklingsverksamhet som förutom produkt- och processinnovationer kan innefatta införande av marknadsförings- och organisationsinnovationer i en organisation. Framgångsrika företag förmår producera nya innovativa lösningar och öka sin omsättning med produkter och tjänster med högt mervärde. I Finland har den offentliga sektorn en viktig roll inom sektorer med omfattande samhälleliga externa verkningar, t.ex. i fråga om social- och hälsotjänster samt utnyttjande av digitaliseringen. Särskilt inom dessa sektorer kan den offentliga sektorns åtgärder ha synnerligen betydande effekter på den ekonomiska tillväxten och möjligheterna för att nya investeringar med högt mervärde, såsom forsknings-, utvecklings- och innovationsverksamhet, etableras i Finland.
Med utvecklingsverksamhet avses experimentell utvecklingsverksamhet som genomförs i forskningsorganisationer, företag och offentliga organisationer med hjälp av olika systematiska metoder. Med experimentell utvecklingsverksamhet avses inhämtande och användning av befintlig vetenskaplig eller teknisk information och färdighet eller information och färdighet som gäller affärsverksamhet och andra frågor i syfte att utarbeta planer eller modeller för nya, ändrade eller förbättrade produkter, processer och tjänster.
Särskilt i den utvecklingsverksamhet som utförs i företag eller som företag beställt av forskningsorganisationer påverkas möjligheterna att utnyttja resultaten i affärsverksamheten väsentligt av skyddet av resultaten genom industriellt rättsskydd, sekretess eller andra åtgärder. Dessa åtgärder begränsar vanligen möjligheterna att använda den information som uppkommer i andra organisationer och inverkar även på bl.a. i vilket skede man rapporterar om resultaten från forskningen och offentliggör dem på öppna forum. I olika samarbetsstrukturer och projekt där företag, forskningsorganisationer och t.ex. offentliga social- och hälsoserviceorganisationer ingår, ingås genom ett samarbetsavtal en överenskommelse om rättigheter samt om skydds- och publikationspraxis när det gäller resultaten. Om ett projekt får finansiering från offentliga forsknings- och innovationsfinansiärer eller från t.ex. Europeiska unionen, bestämmer finansieringsvillkoren de yttre ramarna för i vilken utsträckning det är möjligt för parterna att avtala om dessa frågor.
Syftet i 1 mom. är att möjliggöra användningen av samtycke och särskilt dynamiskt samtycke, när registeruppgifterna behandlas för ändamål inom utvecklings- och innovationsverksamhet. Med dynamiskt samtycke avses en digital plattform, där registrerade interaktivt kan delta och påverka sitt eget samtycke och se vad de har gett samtycke till. Registrerade kan även ändra sitt samtycke med hjälp av plattformen. Plattformen kan ha funktioner som registrerade kan ändra enligt sina personliga preferenser. Även de som använder informationen kan via plattformen kontakta registrerade, vilket möjliggör interaktion i båda riktningarna.
I paragrafen bestäms inte någon noggrannare form för samtycket, eftersom den följer direkt av bestämmelserna i dataskyddsförordningen, särskilt artikel 7. När dataskyddsförordningen medger det kan formen på samtycket variera beroende på vilka uppgifter som i varje enskilt fall används. När det gäller givande av samtycke ska även skäl 33 i ingressen till dataskyddsförordningen beaktas, enligt vilket registrerade bör kunna ge sitt samtycke till vissa områden för vetenskaplig forskning, när vedertagna etiska standarder för vetenskaplig forskning iakttas. Registrerade bör dock ha möjlighet att endast lämna sitt samtycke till vissa forskningsområden eller delar av forskningsprojekt i den utsträckning det avsedda syftet medger detta.
När samtycke begärs av en registrerad bör man beakta att samtycket även ska täcka möjligheten att behandla sådana uppgifter om den registrerade som finns i registren. Tillståndsmyndigheten för social- och hälsovårdsuppgifter kan behandla uppgifter endast i enlighet med de villkor som ställs i den registrerades samtycke. Det måste således beaktas att samtycket bör täcka inte bara tillståndshavarens utan även tillståndsmyndighetens rätt att behandla uppgifter. Detta skyddar den registrerades grundläggande fri- och rättigheter och intressen, när uppgifter behandlas för utvecklings- och innovationsverksamhetens ändamål.
I 2 mom. uppställs fler skyddsåtgärder som syftar till att säkerställa att uppgifter behandlas proportionerligt samt skyddet för personuppgifter. Enligt 1 punkten i momentet ska en utnämnd ansvarig eller grupp svara för verksamheten. I 2 punkten konstateras vidare att uppgifterna får användas endast i enlighet med planen för användning av uppgifter och att tillvägagångssättet är sådant att uppgifter om en viss person inte röjs för utomstående. Kriterier motsvarar dessa förutsättningar som har i personuppgiftslagen och det utkast till allmän lag som bereds vid justitieministeriet och som ska ersätta personuppgiftslagen uppställts som förutsättningar för vetenskaplig forskning. Alla förutsättningar måste uppfyllas för att tillståndsmyndigheten ska kunna ge tillstånd för behandling av uppgifter.
I 3 mom. finns en preciserande hänvisning till 45 §, där det finns bestämmelser om utlämnande av anonymiserade uppgifter. Enligt den om den sökande begär personuppgifter för ett användningsändamål enligt 2 § endast i anonymiserad form, bedömer Tillståndsmyndigheten för social- och hälsovårdsuppgifter om de begärda uppgifterna kan anonymiseras. Förutom utvecklings- och innovationsverksamhet är tillåtna ändamål statistikföring, vetenskaplig forskning, undervisning, informationsledning, myndighetsstyrning och myndighetstillsyn inom social- och hälsovården samt myndigheternas planerings- och utredningsuppgifter. Eftersom uppgifterna är helt anonyma kräver skyddet av dem inte några särskilda åtgärder, utan de kan överlåtas direkt till den som begär dem. Tillståndsmyndighets rätt att få, samköra och överlåta uppgifter för anonymisering följer av lagens 36 §, där det föreskrivs om tillståndsmyndighetens rätt att få och behandla uppgifter trots sekretessplikten.
39 §. Undervisning. I paragrafen föreskrivs det om de förutsättningar utifrån vilka personuppgifter kan användas i undervisning och framställning av undervisningsmaterial. När det gäller att lära sig arbetet för kunduppgifter inom socialvården samt för vårdarbete och läkaryrket inom hälso- och sjukvården förutsätts det utöver teoretiska studier även praktik i verkliga situationer. De sekretesskyldigheter som anges i 13 § 2 mom. i patientlagen och i 14 och 15 § i klientlagen gäller dem som under sin praktikperiod i anknytning till studierna får sekretessbelagda uppgifter om de kunder som de vårdar. I 3—3 e § i förordningen om yrkesutbildade personer inom hälso- och sjukvården (564/1994) föreskrivs det om rätten för medicine studerande eller odontologie studerande, personer som studerar till provisor eller farmaceut eller andra studerande att vara verksamma i legitimerade yrkesutbildade personers uppgifter. I 4 § i lagen om yrkesutbildade personer inom hälso- och sjukvården (559/1994) föreskrivs om specialistläkar- och specialisttandläkarutbildningen. I 12 § i lagen om yrkesutbildade personer inom socialvården (817/2015) föreskrivs om rätten att tillfälligt vara verksam inom socialvården i en legitimerad yrkesutbildad persons yrke. Däremot finns det inte några bestämmelser om på vilket sätt uppgifter i kundhandlingar får behandlas vid framställandet av undervisningsmaterial och läggas fram i undervisningen.
I praktiken är t.ex. var och en som bekantar sig med en viss specialitet eller håller på att specialisera sig redan färdig läkare, och för honom eller henne gäller läkares tystnadsplikt. En medicinestuderande får endast ansvara för vården av vissa enskilda undervisningspatienter, och i den uppgiften är han eller hon berättigad att behandla de kunduppgifter som behövs i vården. Utöver detta deltar läkarstudenterna i läkarronder på avdelningarna, och då behandlas även sådana patienters situation som är på andra studerandes vårdansvar, och alla dessa fall analyseras ännu mer detaljerat för flera studerande vid gemensam klinik undervisning av föreläsningstyp.
Undervisning av detta slag är nödvändig för att studerandena under klinik undervisningen ska hinna få erfarenhet av så många olika aspekter som möjligt som ska beaktas i konkreta forsknings- och vårdsituationer och av de lösningar som är tillgängliga samt av deras funktion och verkliga effekter. I situationer som dessa är det i praktiken nödvändigt att vid klinik undervisningen i undervisningssyfte behandla sådana kunduppgifter för patienter på vårdenheten som har haft betydelse som förhandsuppgifter samt när den valda vårdlinjen och dess effekt utvärderas. Eftersom studerandena under undervisningen har deltagit i vården av patienterna förmår de även identifiera patienterna, och undervisningen kan inte i dessa situationer genomföras på ett sådant sätt att patienterna inte kan identifieras av studerandena.
Kundernas livssituation är ofta sådan att det finns behov av både social- och hälsovårdstjänster och därför motsvarar de undervisningssituationer som gäller användning av kunduppgifter till innehållet ofta varandra i vårdarbete och socialvård, och det är möjligt att tillämpa överensstämmande bestämmelser på dem. Yrkesutbildade personer inom socialvården möter i sitt arbete ytterst utmanande kundsituationer och utvecklingen av både socialvårdstjänster och de yrkesutbildades kompetens förutsätter allt bättre kunskaper om kundernas situation. Även inom utbildningen i socialvård har klinik undervisningen utvecklats. Redan under klinik undervisningen är det bra att beakta de krav som kommer med integrationen av social- och hälsovårdstjänster och därför är det viktigt att överensstämmande bestämmelser tillämpas i fråga om kunduppgifterna.
Förutom för klinik undervisning är det viktigt att för undervisning i form av föreläsningar kunna framställa undervisningsmaterial som grundar sig på verkliga kundsituationer och kundhandlingar. Det är möjligt att lära sig att bedöma och göra utlåtanden om t.ex. röntgenbilder endast genom att se ett tillräckligt antal och genom att sätta sig in i tolkningar och utlåtanden som getts om röntgenbilderna. I detta fall har det dock inte någon betydelse om exempelfallen och exempelmaterialet utgörs av vissa autentiska fall, utan det att man med hjälp av dem kan simulera autentiska kundsituationer. För att kunna välja ut undervisningsmaterialet och bedöma patientens vårdkedja är det dock viktigt för den som utarbetar materialet att han eller hon kan gå tillbaka till kundhandlingarna för bekanta patienter och ur handlingarna välja att behandla de kunduppgifter som hänför sig till vårdkedjan och som är väsentliga för undervisningen.
Undervisning är en i 16 § i grundlagen tryggad grundläggande fri- och rättighet. För att yrkesutbildade personer inom social- och hälsovården ska kunna vårda och hjälpa sina kunder på bästa möjliga sätt, ska de ges undervisning som motsvarar autentiska kundsituationer. Då är det möjligt att garantera dem en högkvalitativ utbildning som motsvarar uppgifterna. Samtidigt tryggas den i 19 § i grundlagen föreskrivna rätten till social trygghet, som yrkesutbildade personer i praktiken tillgodoser i sitt arbete.
På ovan angivna grunder kan undervisningen anses vara utförande av en uppgift av allmänt intresse. Grunden för behandling för andra än känsliga personuppgifter följer i undervisningssyfte artikel 6.1 e i dataskyddsförordningen, enligt vilken behandlingen av personuppgifter är lagenlig om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den registeransvarigas myndighetsutövning. Eftersom uppgifterna i undervisningen behandlas för något annat ändamål än det för vilket de har samlats in, ska lagstiftningen dessutom i ett demokratiskt samhälle utgöra en nödvändig och proportionerlig åtgärd för att trygga de mål som avses i artikel 23.1 i dataskyddsförordningen. Dessa mål är bl.a. den i led e avsedda folkhälsan och sociala tryggheten och det i led i avsedda skyddet av den registrerade eller andras rättigheter och friheter.
Ett viktigt mål med undervisningen är att trygga en högklassig social- och hälsovård som uppfyller säkerhetsnormerna. En förutsättning för patient- och kundsäkerheten är att de yrkesutbildade personerna kan agera så effektivt som möjligt och på ett högklassigt sätt i olika kundsituationer. Därför måste det gå att använda personuppgifter i undervisningssyfte i enlighet med artikel 23.1 i i dataskyddsförordningen i syfte att trygga rättigheter och friheter som tillkommer andra. De ”andra” som avses i led i är de kunder inom social- och hälsovården som i fortsättningen kommer att vårdas och stödjas av de yrkesutbildade personer som genomgår utbildningen. Om de yrkesutbildade personerna inte får ändamålsenlig utbildning förmår de inte reagera på kundernas behov, och detta kan rentav leda till att kundens liv och hälsa äventyras.
På grund av branschens karaktär är det i undervisningen för personalen inom social- och hälsovården och studerande ofta nödvändigt att behandla även sådana uppgifter som har klassificerats som känsliga i artikel 9.1 i dataskyddsförordningen. För behandling av dessa uppgifter lämpar sig artikel 9.2 g: ”Behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.”
Bland annat rättigheterna för en registrerad och begränsning av rättigheterna enligt dataskyddsförordningen beror på vilka grunder enligt artikel 6 och 9 som har valts som grund för behandlingen. Exempelvis i artikel 22 avsett automatiserat individuellt beslutsfattande, inbegripet profilering, som gäller känsliga personuppgifter, är möjligt endast utifrån artikel 9.2 g eller 9.2 a, dvs. utifrån ett uttryckligt samtycke. I och med att verksamheten inom hälsovården och därtill hörande lösningar med artificiell intelligens utvecklas, kommer det automatiserade individuella beslutsfattandet sannolikt att framhävas även när undervisningsmaterial framställs. Den i förslaget valda grunden för behandling möjliggör det automatiserade individuella beslutsfattande som gjorts i detta syfte.
Enligt 1 mom. får kunduppgifter inom social- och hälsovården trots sekretessplikten användas med stöd av artikel 9.2 g i dataskyddsförordningen vid framställningen av undervisningsmaterial för personal som behandlar kunduppgifter samt för yrkesutbildade personer inom social- och hälsovården. Om personuppgifter används för annat än ursprungligt syfte med stöd av en medlemsstats lagstiftning, kräver detta att proportionalitetsprincipen iakttas och att kriterierna att uppgifterna ska vara behövliga uppfylls. Därför föreslås det i propositionen att det föreskrivs att kunduppgifter får behandlas i identifierbar form i undervisningen och framställningen av undervisningsmaterial endast om det är nödvändigt för att förverkliga syftet med undervisningen. Uppgifterna får behandlas antingen med ett användningstillstånd utfärdat av en tillhandahållare av social- och hälsovårdstjänster (dess egna uppgifter) eller med ett användningstillstånd utfärdat av tillståndsmyndigheten (uppgifter från fler än en tjänstetillhandahållare). Det är alltid tillståndsmyndigheten som beviljar tillstånd för privata tjänstetillhandahållares räkning inom social- och hälsovården.
Tillståndsmyndigheten kan dessutom för framställande av undervisningsmaterial i enlighet med 45 § överlåta anonymiserade uppgifter, om de begärda uppgifterna kan anonymiseras. För överlåtelse av detta slag behövs inte användningstillstånd.
Sådant undervisningsmaterial får och ska vid undervisning i form av föreläsningar presenteras anonymt på det sätt som föreskrivs i 2 mom. Identifierbara uppgifter får användas i undervisningssituationer endast om undervisningen inte kan hållas anonym på grund av att fallet i fråga är sällsynt, på grund av undervisningens natur eller av något annat motsvarande skäl. Det är inte exceptionellt att studerande åtminstone indirekt kan identifiera en person utifrån uppgifterna t.ex. för att de själva har vårdat patienten eller behandlat kundens ärende. Därför är det för att skydda de registrerades rättigheter nödvändigt att de som deltar i undervisningen ska föreläggas lagstadgad sekretessplikt. Sekretessplikten följer direkt av lagens 53 §. Med hjälp av sekretessplikten försöker man säkerställa att uppgifterna behandlas av endast de personer som måste behandla dem. Eftersom de som studerar till yrkesutbildade personer inte nödvändigtvis ännu i början av sina studier är insatta i all lagstiftning som gäller dem, ska den som ger utbildningen vara skyldig att informera studerandena om att sekretessplikt gäller i fråga om uppgifterna. Dessutom ska den som ger utbildning informera studerandena om de sanktioner som följer för brott mot sekretessplikten bl.a. med stöd av 38 kap. i strafflagen.
I 3 mom. föreskrivs att en registrerad inte har rätt att göra invändningar mot behandlingen av personuppgifter om honom eller henne i undervisningssyfte. När behandlingen av uppgifter grundar sig på artikel 6.1 e i dataskyddsförordningen har den registrerade enligt artikel 21 i regel rätt att göra invändningar mot behandlingen av sina personuppgifter. Enligt artikel 21.1 i förordningen får en registeransvarig, om den registrerade har gjort invändningar mot behandlingen av uppgifter, inte längre behandla personuppgifterna såvida denne inte kan påvisa sådana tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk.
En medlemsstat kan enligt artikel 23.1 i dataskyddsförordningen begränsa tillämpningsområdet för rätten att göra invändningar enligt artikel 21, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa skyddet av den registrerade eller andras rättigheter och friheter. I artikel 23.2 i förordningen har närmare beskrivits vilka särskilda bestämmelser som vid behov ska tas in i lagstiftningsåtgärderna. Dessa är ändamålen med behandlingen eller kategorierna av behandling, kategorierna av personuppgifter, omfattningen av de införda begränsningarna, skyddsåtgärder, specificeringen av den registeransvariga, lagringstiden, riskerna för de registrerades rättigheter och friheter samt de registrerades rätt att bli informerade om begränsningen.
Rätten att göra invändningar måste i undervisningssyfte kunna begränsas särskilt om det är fråga om ett sällsynt fall. För att dessa fall ska kunna skötas på ett högklassigt och korrekt sätt ska de behandlas redan i samband med undervisningssituationer. Om en person i dessa fall har rätt att invända, blir det i praktiken omöjligt att genomföra undervisningen, eftersom det är svårt eller rentav omöjligt att hitta motsvarande exempel. Detta leder till att de som deltar i undervisningen inte kan undervisas i hur dessa fall ska skötas, och då får den kund som lider av samma sjukdom eller som har hamnat i en liknande situation inte den vård eller annan hjälp som han eller hon behöver. Det är därför fråga om en nödvändig begränsande åtgärd när det gäller rätten att göra invändningar. Uppgifterna kan i allmänhet inte på grund av fallens karaktär presenteras som exempel eller anonyma. Det är nämligen i praktiken möjligt att identifiera personen, om det bara finns ett fåtal fall i hela landet eller inom ett visst område. Sekretessplikten avser även i detta fall att förhindra att den registrerades identitet avslöjas för utomstående.
I 4 mom. föreskrivs vidare för att skydda den registrerade att tillståndshavaren ska förstöra ett separat material som samlats in för undervisningsändamål när det inte längre behövs för det ändamålet.
40 §. Myndighetens planerings- och utredningsuppgifter. Enligt paragrafen kan det för myndighetens planerings- och utredningsuppgifter trots sekretessplikten i enskilda fall ges sådana i 6 § avsedda myndigheters registeruppgifter, som har registrerats i social- och hälsovårdens verksamhet och som är nödvändiga för uppgifterna i fråga. Tillståndsmyndigheten för social- och hälsovårdsuppgifter kan ge tillstånd till Folkpensionsanstaltens, Pensionsskyddscentralens och Befolkningsregistercentralens uppgifter som är begränsade i 6 § och som är nödvändiga för planerings- och utredningsuppgifter.
Bestämmelsen är enhetlig med bestämmelsen i 16 § i personuppgiftslagen och motsvarar de i 28 § i offentlighetslagen avsedda planering- och utredningsuppgifterna. Skillnaden är i praktiken den att nu kan tillståndsmyndigheten centraliserat ge tillstånd till myndigheternas uppgifter inom flera förvaltningsområden samt samköra och lämna ut dem centraliserat. Enligt 28 § i gällande offentlighetslag fattar ministeriet beslut om beviljande av tillstånd, om uppgifter behövs ur register som finns hos flera myndigheter som är underställda samma ministerium.
I kommunerna är det nödvändigt att samköra uppgifter om välbefinnande även med bl.a. uppgifter som samlas in inom idrotts-, bildnings- och kulturväsendet samt tekniska sektorn. Detta är viktigt även i social- och hälsovårdstjänsternas föränderliga strukturer för att främja välbefinnandet på ett bredare plan. Även i den planerade modellen för ordnande av landskapens social- och hälsovårdstjänster behöver både den som anordnar social- och hälsovårdstjänster och kommunen information, utifrån vilken de kan svara för en ändamålsenlig skötsel av de uppgifter och skyldigheter som föreskrivs i hälso- och sjukvårdslagen, socialvårdslagen och i annan speciallagstiftning eller som grundar sig på avtal eller för andra uppgifter som en kommun enligt kommunallagen (410/2015) har åtagit sig.
Enligt gällande kommunallag producerar kommunerna och samkommunerna en betydande del av social- och hälsovårdstjänsterna. Kommunen ska främja sina invånares välfärd och ordna tjänsterna för sina invånare på ett ekonomiskt, socialt och miljömässigt hållbart sätt. Kommunen ska ta hänsyn till främjandet av kommuninvånarnas välfärd samt till ordnandet och produktionen av tjänster i kommunstrategin. Kommunstrategin ska grunda sig på en bedömning av nuläget i kommunen samt av framtida förändringar i omvärlden och deras inverkan på fullgörandet av kommunens uppgifter.
De kommunala myndigheterna ska i samarbete ge akt på och främja välfärden hos personer som behöver särskilt stöd samt avhjälpa missförhållanden och förebygga uppkomsten av dem. De myndigheter som ansvarar för det särskilda stödet ska enligt socialvårdslagen förmedla information om de sociala problem som klienterna ställs inför samt ge sakkunnighjälp till andra myndigheter och till kommuninvånarna och till organisationer som är verksamma i kommunen. För de syften som nämns behöver de kommunala myndigheterna och de framtida landskapsmyndigheterna få uppgifter som överskrider förvaltningsområdesgränserna för skötseln av sina lagstadgade uppgifter, samt ett administrativt förfarande med hjälp av vilket uppgifterna smidigt och skyndsamt fås i tjänstebruk.
Behandlingen av andra än känsliga uppgifter grundar sig på artikel 6.1 e i dataskyddsförordningen. Enligt den är behandlingen av personuppgifter laglig om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den registeransvarigas myndighetsutövning.
Eftersom uppgifterna vid planerings- och utredningsuppgifter behandlas för något annat ändamål än det för vilket de har samlats in, ska lagstiftningen dessutom i ett demokratiskt samhälle utgöra en nödvändig och proportionerlig åtgärd för att trygga de mål som avses i artikel 23.1 i dataskyddsförordningen. Dessa mål är bl.a. den i led e avsedda folkhälsan och sociala tryggheten och det i led i avsedda skyddet av den registrerade eller andras rättigheter och friheter. På grund av detta ska det föreskrivas att det för planerings- och utredningsuppgifter får användas endast sådana personuppgifter som är nödvändiga för ändamålet.
Om myndighetens planerings- och utredningsuppgifter gäller känsliga uppgifter, ska det för behandlingen finns en grund i artikel 9.2 i dataskyddsförordningen. Som grund för behandlingen föreslås artikel 9.2 g som tillåter behandling om den är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.
I paragrafen finns bestämmelser om de förutsättningar i enlighet med vilka uppgifter kan lämnas ut för myndighetens planerings- och utredningsuppgift. Myndighetens planerings- och utredningsuppgifter är sådana uppgifter som är viktiga för det allmänna intresset, eftersom syftet med dessa uppgifter är att genomföra offentlighetsprincipen och producera uppgifter för ett allmänt samhälleligt behov. Inom social- och hälsovårdssektorn förverkligar myndighetens planerings- och utredningsuppgifter särskilt mål som hänför sig till folkhälsan och den sociala tryggheten. Därför kan detta när det gäller känsliga uppgifter motiveras med artikel 9.2 e och artikel 23 e.
För att skydda registrerade och begränsa behandlingen av personuppgifter föreslås motsvarande skyddsåtgärder som i gällande personuppgiftslag. För det första måste det finnas ett av myndigheten beviljat användningstillstånd för planerings- och utredningsuppgifter. Bestämmelser om den behörighet som gäller användningstillstånd finns i lagens 44 §. Behandlingen kräver en ändamålsenlig plan för användning av uppgifter och förutsättningen är att informationsbehovet eller själva uppgiften inte kan genomföras utan behandling av kunduppgifter. Skyddsåtgärder är bl.a. informationssäkerhetskraven enligt 3 kap. och sekretessplikten enligt 53 §. Vidare följer gränserna för myndighetens planerings- och utredningsuppgifter av de bestämmelser som gäller den egna behörigheten för den myndighet som utför planerings- och utredningsuppgifter. Dess behörighet bestämmer nämligen även vilka planerings- och utredningsuppgifter som hör till myndigheten i fråga.
Behandling av uppgifter med stöd av lag utan användningstillstånd
41 §. Informationsledning. Ordnandet av tjänster är en sådan uppgift för tjänstetillhandahållare inom social- och hälsovården som grundar sig på lag. Syftet med den föreslagna paragrafen är att förbättra tjänstetillhandahållarens faktiska förutsättningar för att sköta sin uppgift.
Grunden för behandling för informationsledning följer av artikel 6.1 e i dataskyddsförordningen, enligt vilken uppgifter får behandlas, om det är nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den registeransvarigas myndighetsutövning. Eftersom uppgifterna i informationsledning behandlas för något annat ändamål än det för vilket de har samlats in, ska lagstiftningen dessutom i ett demokratiskt samhälle utgöra en nödvändig och proportionerlig åtgärd för att trygga de mål som avses i artikel 23.1 i dataskyddsförordningen. Dessa mål är bl.a. den i led e avsedda folkhälsan och sociala tryggheten och det i led i avsedda skyddet av den registrerade samt andras rättigheter och friheter.
Kraven på uppgifter som hör till särskilda kategorier av personuppgifter, t.ex. hälsouppgifter, är strängare enligt artikel 9 i dataskyddsförordningen. Sådan behandling som sker i informationsledningssyfte lyder dock under artikel 9.2 h i förordningen. Enligt den artikeln kan uppgifter behandlas bland annat för förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av medlemsstaternas nationella rätt och under förutsättning att de villkor och skyddsåtgärder som avses i punkt 3 är uppfyllda. Enligt punkt 3 förutsätts att uppgifterna behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ eller av en annan person som också omfattas av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ.
För att servicesystemet ska kunna utvecklas i en mera verkningsfull riktning och för att resultatet av de tjänster som kunderna får ska kunna följas effektivt ska det vara möjligt för tjänstetillhandahållarna att behandla och samköra identifierbara uppgifter som stöd för den operativa och strategiska ledningen samt beslutsfattandet. På detta sätt kan verksamheten, produktionen och ekonomin styras bättre. De identifierbara uppgifter som behövs för utveckling av produktionsprocesser, samordning av den samlade vården av en patient, kundsegmentering och andra motsvarande användningsändamål som förbättrar produktiviteten och verkningsfullheten ska kunna användas som grund för ledningsinformationen i realtid, kontinuerligt och kumulerande, som ett led i organisationernas dagliga verksamhet och utan inledande av separata forskningsprojekt. Tjänstetillhandahållaren ska kunna använda sådan information utifrån vilken den kan svara för en ändamålsenlig skötsel av sina uppgifter och skyldigheter som grundar sig på avtal eller som anges i hälso- och sjukvårdslagen (1326/2010) och socialvårdslagen (1301/2014) samt i annan speciallagstiftning på området.
Enligt t.ex. hälso- och sjukvårdslagen ansvarar en kommun eller samkommun för ordnandet och genomförandet av hälso- och sjukvårdstjänster, lika tillgång till de ordnade tjänsterna och vidtagna andra åtgärderna samt fastställandet av behovet av, mängden av och kvaliteten på tjänster, sättet att producera tjänster och tillsynen över tjänsteproduktionen. En kommun eller en samkommun för ett sjukvårdsdistrikt ska ordna hälso- och sjukvårdens innehåll och omfattning enligt vad som krävs för kommuninvånarnas eller invånarnas i samkommunen välbefinnande, patientsäkerhet, sociala trygghet och hälsotillstånd och för det medicinskt, odontologiskt och hälsovetenskapligt bedömda behov som kan motiveras utifrån observation av faktorer som påverkar dessa hälsoaspekter. En kommun och en samkommun för ett sjukvårdsdistrikt ska även se till att servicen för de invånare som den ansvarar för ordnas och är tillgänglig på lika villkor inom hela kommunen eller samkommunen. Kommunen ska också anvisa tillräckligt med resurser för det främjande av hälsa och välfärd som ligger till grund för statsandelen för kommunal basservice samt för hälso- och sjukvårdstjänsterna. Vidare hälso- och sjukvårdslagen ålägger samkommunen för ett sjukvårdsdistrikt att planera och utveckla den specialiserade sjukvården så att primärvården och den specialiserade sjukvården bildar en funktionell helhet.
På motsvarande sätt är en kommun enligt socialvårdslagen skyldig att se till att kommuninvånarna ska ha tillgång till rådgivning och handledning inom socialvården, och när socialvården ordnar rådgivning och handledning ska den vid behov samarbeta med den primärvård som ger hälsorådgivning som avses i 13 § i hälso- och sjukvårdslagen samt med andra sektorer. Genom strukturellt socialt arbete ska kommunen se till att information om social välfärd och sociala problem förmedlas och sakkunskapen inom socialvården utnyttjas för att främja välfärd och hälsa.
De kommunala myndigheterna ska enligt socialvårdslagen i samarbete ge akt på och främja välfärden hos personer som behöver särskilt stöd samt avhjälpa missförhållanden och förebygga uppkomsten av dem. De kommunala myndigheterna ska enligt socialvårdslagen även i samarbete ge akt på och främja barns och unga personers välfärd samt avhjälpa missförhållanden i uppväxtförhållandena och förebygga uppkomsten av missförhållanden. De myndigheter som ansvarar för socialvården ska bl.a. förmedla information om barns och unga personers uppväxtförhållanden och sociala problem samt ge sakkunnighjälp till andra myndigheter och till kommuninvånarna och till organisationer som är verksamma i kommunen.
I gällande bestämmelser tas dock inte entydigt ställning till samkörning av identifierbara uppgifter i den registeransvarigas olika register när tjänstetillhandahållarens verksamhet planeras, utvärderas, leds, övervakas eller i fråga om andra motsvarande behov. Klientuppgiftssystemet ska enligt 7 § i klientuppgiftslagen kunna producera de uppgifter som behövs för den planering, ledning och statistikföring som tillhandahållaren av socialvårdstjänster och hälso- och sjukvårdstjänster själv sköter och de uppgifter som behövs för den riksomfattande forsknings- och statistikverksamheten samt uppgifter om bedömning av vårdbehovet och om tidpunkten för intagning för vård. Enligt 21 § i lagen om klienthandlingar inom socialvården (254/2015) ska klientuppgifter kunna användas inom klientprocessen samt vid planeringen, utvärderingen, ledningen och övervakningen av verksamheten.
Informationsledningens betydelse framhävs, om den reform av ordnandet av social- och hälsovårdstjänster som är aktuell för närvarande förverkligas. I och med reformen kommer avsevärt större områden, dvs. landskapen, att svara för ordnandet av social- och hälsovårdstjänster. Syftet med förslaget är även att förbättra tillgången till social- och hälsovårdstjänster och att integrera tjänsterna till en mer komprimerad helhet. För att målen ska fullföljas krävs nya verktyg för att tolka helhetsbilden ordentligt och för att kundernas servicehelhet ska kunna kontrolleras.
Det är således nödvändigt att möjliggöra informationsledning för att trygga både folkhälsan och den sociala tryggheten och de grundläggande fri- och rättigheterna för enskilda registrerade, dvs. den i 19 § i grundlagen föreskrivna sociala tryggheten. Dessa två grunder enligt artikel 23 i dataskyddsförordningen går hand i hand: effektiv och verkningsfull informationsledning resulterar i att kunderna får bättre service och på detta sätt tryggas den registrerades rätt till hälsa och social välfärd samt patientsäkerhet.
Den registrerades rättigheter skyddas framför allt genom att ett i lagen föreskrivet användningsändamål är begränsat. Den som behandlar uppgifterna har lagstadgad tystnadsplikt, som följer av 53 §. Den registrerades rättigheter skyddas dessutom av de informationssäkerhetskrav som bl.a. anges i 3 kap.
Förädling av information och egentlig behandling av information vid ledning och beslutsfattande kan ofta ske på en förenklad nivå, eller på patient- eller kundgruppsnivå eller på något annat sätt anonymt eller pseudonymt så att en enskild person inte direkt kan identifieras, fastän processen med att producera information förutsätter behandling av identifierbar information. Tjänstetillhandahållaren ska vid planering av elektronisk behandling av uppgifter dessutom redan i princip reda ut och beakta i vilken utsträckning och på vilket sätt användningen av uppgifterna för eget behov kan genomföras utan identifierbara uppgifter.
I paragrafens 1 mom. finns bestämmelser om rätt för tillhandahållare av social- och hälsovård att på ett identifierbart sätt behandla sekretessbelagda och känsliga kunduppgifter som identifierbara, om detta är nödvändigt för att den serviceverksamhet som tillhandahållaren är ansvarig för ska kunna produceras, följas, utvärderas, planeras, utvecklas, ledas och övervakas. Tjänstetillhandahållaren behöver inte tillstånd för att samköra uppgifterna eller för annan behandling i det syfte som anges i paragrafen, om uppgifterna har uppstått i tillhandahållarens egen verksamhet eller tjänstetillhandahållaren är en registeransvarig enligt artikel 4 led 7 i dataskyddsförordningen. Uppgifterna har enligt 1 mom. uppstått i tillhandahållarens egen verksamhet oberoende av om tillhandahållaren har producerat tjänsterna för någon annans räkning i egenskap av registerförare eller om tillhandahållaren är en i dataskyddsförordningen avsedd registeransvarig för dessa uppgifter. Informationsledning ska bl.a. ur patientsäkerhetens synvinkel vara möjlig även för en registerförare för att den på ett effektivare sätt ska kunna utvärdera och följa sin verksamhet.
Förutsättningarna för att en registerförare i informationsledningssyfte får behandla personuppgifter följer av artikel 28 och 29 i dataskyddsförordningen. Enligt artikel 29 i förordningen får registerföraren och personer som utför arbete under registerförarens överinseende endast behandla personuppgifter på instruktion från den registeransvariga, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt. I det föreslagna momentet krävs i överensstämmelse med artikel 29 att registerföraren har rätt att behandla uppgifter i informationsledningssyfte.
I övrigt ska bestämmelserna i artikel 28 i förordningen iakttas när det gäller registerföraren. Artikeln i fråga ska iakttas när registerföraren genomför behandlingen av personuppgifterna för den registeransvarigas räkning. En registeransvarig får enligt artikel 28.1 endast anlita sådana registerförare som ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i förordningen och säkerställer att den registrerades rättigheter skyddas. En registerförare får enligt artikel 28.2 inte anlita en annan registerförare utan att ett särskilt eller allmänt skriftligt förhandstillstånd har erhållits av den registeransvarige.
I artikel 28.3 i förordningen föreskrivs det att när uppgifter behandlas av en registerförare ska hanteringen regleras genom ett avtal eller en annan rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt som är bindande för registerföraren med avseende på den registeransvariga och i vilken föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade, samt den registeransvarigas skyldigheter och rättigheter anges. I punkt 3 föreskrivs vidare närmare om vilka omständigheter som ska anges i det avtalet eller den rättsakten. En del av dessa har lyfts fram i följande stycken, eftersom de är särskilt betydande med tanke på den föreslagna paragrafen om informationsledning. Det är skäl att framhäva att även de andra bestämmelserna i artikel 28 i förordningen ska iakttas, fastän de inte granskas särskilt här.
I artikel 28.3 a i förordningen konstateras att registerföraren endast får behandla personuppgifter på dokumenterade instruktioner från den registeransvarige, såvida inte denna behandling krävs enligt unionsrätten eller enligt en medlemsstats nationella rätt som registerföraren omfattas av, och i så fall ska registerföraren informera den registervarige om det rättsliga kravet innan uppgifterna behandlas, såvida sådan information inte är förbjuden med hänvisning till ett viktigt allmänintresse enligt denna rätt: Registerföraren ska således informera den registeransvarige om att uppgifterna behandlas för informationsledning på det sätt som anges i förordningen. Den registeransvarige behöver inte informeras separat för varje behandling. Det räcker med att registerföraren informerar om sin lagstadgade rätt att behandla personuppgifter i informationsledningssyfte en gång, t.ex. när avtalet eller rättsakten mellan registerföraren och den registeransvarige utarbetas. Detta kan även nämnas i avtalet eller rättsakten.
Enligt artikel 28.3 b i förordningen ska registerförare omfattas av en lagstadgad tystnadsplikt. Sekretessplikt i informationsledningssyfte följer direkt av den föreslagna 53 §. Enligt artikel 28.3 e ska registerföraren hjälpa den registeransvarige, i den mån detta är möjligt, så att den registeransvarige kan fullgöra sin skyldighet att svara på begäran om utövande av den registrerades rättigheter. I informationsledningssyfte kommer denna skyldighet att hjälpa på fråga särskilt när en tjänstetillhandahållare som arbetar för den registeransvariges räkning behandlar personuppgifter för informationsledning. Den registeransvarige och registerföraren kan med ömsesidiga arrangemang avtala om att t.ex. registerföraren till den registeransvarige sänder de uppgifter som behövs för att tillgodose den registrerades rättigheter eller att den registeransvarige kan be den registrerade att vända sig direkt till registerföraren.
Vidare ska det enligt artikel 28.3 g i avtalet eller rättsakten mellan den registeransvarige och registerföraren tas in en punkt om hur uppgifter behandlas efter det att tillhandahållandet av behandlingstjänster har avslutats. Enligt förordningen är alternativen att radera eller återlämna alla personuppgifter till den registeransvarige och radera befintliga kopior såvida inte lagring av personuppgifterna krävs enligt unionsrätten eller medlemsstaternas nationella rätt. Nationella bestämmelser om lagring av personuppgifterna och om lagringstiden efter det att tillhandahållandet av behandlingstjänster har avslutats finns bl.a. i offentlighetslagen som allmän lag och i speciallagstiftningen i patientlagen och förordningen om journalhandlingar samt i lagen om klienthandlingar inom socialvården. Vidare föreskrivs det om arkivering av handlingar i arkivlagen. Lagstiftningen förbjuder en registerförare att använda uppgifterna för sina egna syften efter det att avtalet har löpt ut. De måste dock bevaras för bl.a. tillsyn.
Fastän serviceanordnaren i egenskap av registeransvarig i sista hand svarar för att behandlingen av personuppgifter i tjänster som genomförs för serviceanordnarens räkning är förenlig med dataskyddsförordningen och den nationella lagstiftningen, svarar även en tjänsteproducent som agerar för serviceanordnarens räkning för planeringen av databehandlingen samt för ändamålsenlig behandling av uppgifter, för anvisningar och för egenkontroll i sin egen verksamhet.
I 2 mom. föreskrivs om situationer där tjänstetillhandahållaren kan jämföra sin egen verksamhet med andra tjänstetillhandahållares verksamhet. Dessa situationer är begränsade till sådan serviceverksamhet som genomförs på tjänstetillhandahållarens ansvar eller till utvärdering, planering och utveckling av servicekedjor. Ett användningsändamål som är mera begränsat än det som avses i 1 mom. är motiverat, eftersom den produktion, uppföljning, ledning och övervakning av tjänster som avses i 1 mom. uttryckligen gäller tjänstetillhandahållarens egen verksamhet. Tjänstetillhandahållaren ska i enlighet med 45 § lämna in planen för användning av uppgifter till Tillståndsmyndigheten för social- och hälsovårdsuppgifter, som utifrån planen bedömer om de begärda uppgifterna kan anonymiseras. Tillståndsmyndigheten producerar alltid jämförelsematerialet i fråga och lämnar ut det anonymiserat till tjänstetillhandahållaren. På detta sätt behöver tjänstetillhandahållaren inte ha en grund enligt dataskyddsförordningen för behandlingen av uppgifter, eftersom det inte längre är fråga om behandling av personuppgifter.
42 §. Myndighetsstyrning och myndighetstillsyn inom social- och hälsovården. I lagstiftningen om social- och hälsovård finns ett betydande antal myndigheter till vars uppgifter det hör att styra och övervaka både privata och offentliga aktörer på området - både verksamhetsenheter och yrkesutbildade personer. Exempel på dylika myndigheter är Tillstånds- och tillsynsverket för social- och hälsovården (Valvira), regionförvaltningsverken och Säkerhets- och utvecklingscentret för läkemedelsområdet (Fimea). De övervakande myndigheterna har i enskilda fall fått rätt att få även sekretessbelagda uppgifter för skötseln av sina lagstadgade uppgifter.
Digitaliseringen innebär nya möjligheter att utifrån patient- och kunduppgifter bedöma den verksamhet som bedrivs av dem som övervakas även på ett allmännare plan, om övervakningen genomförs regelrätt och upprepas tillräckligt ofta med hjälp av indikatorer som tagits fram för ändamålet.
Enligt 1 mom. kan en tillsynsmyndighet inom social- och hälsovården för utförande av en lagstadgad styrnings- och tillsynsuppgift av Tillståndsmyndigheten för social- och hälsovårdsuppgifter få samkörda uppgifter som baserar sig på kunduppgifter inom social- och hälsovården och vid behov samkörda uppgifter som baserar sig på andra registeruppgifter hos de registeransvariga som avses i 6 § i anonymiserad form. Bestämmelsen motsvarar den i 45 § avsedda rätten som tillståndsmyndigheten har att i enskilda fall behandla identifierbara uppgifter hos de myndigheter som avses i 6 § utan tillståndsförfarande, om de samkörda uppgifterna begärs och lämnas ut i anonymiserad form. För tillsynsmyndigheterna är det ofta viktigt att uppföljningen av uppgifterna upprepas oförändrad, vilket gör det möjligt att upptäcka eventuella snabba negativa förändringar i den verksamhet som bedrivs av dem som övervakas och att börja utreda orsakerna till dessa.
Om den myndighet som övervakar den registeransvariges verksamhet enligt lagen har rätt att få de uppgifter som är nödvändiga för sin uppgift oberoende av sekretessplikten, kan uppgifter som erhållits på detta sätt lämnas ut till den enligt 2 mom. även i identifierbar form, om myndigheten särskilt och välmotiverat begär detta.
Myndighetsstyrning och myndighetstillsyn kan inte genomföras om det inte finns rätt därtill enligt lag. Tillsynsmyndigheternas uppgift som sådan grundar sig således direkt på lag. Närmare bestämmelser om rätt till information som gäller dessa uppgifter finns i lag. Den rättsliga grunden i situationer som beskrivs i 2 mom. grundar sig således i första hand på bestämmelser i någon annan lag, och i denna lag upprättas endast rätt att få desamma uppgifterna även av tillståndsmyndigheten.
Genom paragrafen tillgodoses det allmänna intresset på folkhälsoområdet enligt artikel 9.2 i i dataskyddsförordningen, eftersom detta skyddar de höga kvalitets- och säkerhetsnormerna inom hälso- och sjukvården. Även i denna paragraf efterstävas funktionell differentiering, dvs. uppgifterna ska i regel inte kunna användas i beslut eller andra åtgärder som gäller personer. Paragrafens rättsverkningar riktas inte direkt till registrerade, utan uppgifterna används för att bedöma verksamhet som bedrivs av tjänstetillhandahållare och yrkesutbildade personer inom social- och hälsovården. Bestämmelser om detta finns uttryckligen i lagens 31 §, enligt vilken uppgifter som samlats in med stöd av denna lag inte får lämnas ut för administrativt beslutsfattande eller någon annan motsvarande behandling av ärenden som gäller en enskild person utan hans eller hennes uttryckliga samtycke. De uppgifter som avses i 9 § 2 mom. får dock användas i en tillsynsuppgift som gäller någon annan än en patient eller en kund inom socialvården, när lagenligheten i verksamhet som bedrivs av verksamhetsenheter inom social- och hälsovården eller den professionella lämpligheten hos yrkesutbildade personer inom social- och hälsovården bedöms.
I 3 mom. föreskrivs att identifierbara personuppgifter kan lämnas ut till tillsynsmyndigheten via den informationssäkra drifttjänsten. Genom bestämmelsen möjliggörs tillsynsmyndighetens rätt att få information via en teknisk anslutning. På basis av 29 § 3 mom. i offentlighetslagen och grundlagsutskottets tolkning i anknytning till det ska det alltid separat föreskrivas om utlämnande av uppgifter med hjälp av en teknisk anslutning.
5 kap. Behandling av ansökan om användningstillstånd, begäran om anonymiserade uppgifter och utlämnade uppgifter
43 §. Allmänna grunder för beviljande av användningstillstånd. Genom den föreslagna lagen utfärdas närmare bestämmelser än tidigare om grunderna för att bevilja användningstillstånd och om de förutsättningar som måste gälla för att användningstillstånd ska kunna beviljas för kunduppgifter inom social- och hälsovården och förmånshandläggningen samt för andra registeruppgifter som gäller välfärd och hälsa.
De registeruppgifter som behandlas i enlighet med den allmänna dataskyddsförordningen och deras omfattning ska följa den princip om uppgiftsminimering som förutsätts i artikel 5.1 c i dataskyddsförordningen. De uppgifter som avses i användningstillståndet ska således stå i rätt proportion till det eftersträvade målet och de personuppgifter som används ska vara lämpliga och väsentliga samt begränsade i förhållande till vad som är nödvändigt i relation till de ändamål som de behandlas för.
Ett användningstillstånd får enligt 1 mom. beviljas, om det användningsändamål för uppgifterna som framgår av ansökan och av planen för användning av uppgifterna
överensstämmer med den allmänna dataskyddsförordningen, personuppgiftslagen samt denna och någon annan lag som gäller uppgifter,
förverkligas ändamålsenligast genom användning av de uppgifter som avses i ansökan.
I 2 mom. framhävs för säkerhets skull förutsättningarna för beviljande av tillstånd, vilka även i övrigt är uppenbara. Enligt momentet ska alla förutsättningar för tillståndet uppfyllas, om ansökan om användningstillstånd hänför sig till ett sådant användningsändamål för vilken det föreskrivs separat om tillståndsförfarande och grunder för beviljande av tillstånd. Som exempel på ett sådant tillstånd kan nämnas tillståndsförutsättningarna för interventionsprövning, som avses i lagen om medicinsk forskning (488/1999). En central förutsättning för tillstånd är samtycke av den som ska undersökas. Om man vid forskning av detta slag i fråga om dem som undersöks vill behandla registeruppgifter hos flera olika registeransvariga eller registeruppgifter hos en privat tjänstetillhandahållare inom social- och hälsovården, ska samtycket gälla alla uppgifter som behövs i den sagda forskningen.
När användningstillstånd beviljas ska det beaktas på vilka grunder uppgifterna från första början har samlats in och för vilket ändamål. I 3 mom. föreskrivs om situationer där sammanställning av uppgifter i ett personregister grundar sig på den registrerades samtycke. Om uppgifterna ursprungligen har sammanställts med samtycke av den registrerade, kan användningstillstånd beviljas endast om det är förenligt med samtycket och villkoren för utlämnande och användning av informationen. En motsvarande bestämmelse finns i 28 § 1 mom. i den gällande offentlighetslagen. Syftet med bestämmelsen är att trygga individens självbestämmanderätt. I regeringens proposition med förslag till offentlighetslag (RP 30/1998 rd) sägs ”När en myndighet samlar in uppgifter om individer och sammanslutningar med deras samtycke, kan det med tanke på självbestämmanderätten inte anses acceptabelt att uppgifterna senare används i strid med villkoren för användning och utlämnande. Därför föreslås att tillstånd inte får utfärdas i strid med de villkor för användning och utlämnande som uppställts i samtycket.” Syftet med momentet är att bevara denna princip som överensstämmer med offentlighetslagen när uppgifter lämnas ut för ändamål som är förenliga med den föreslagna lagen.
I momentet föreskrivs dessutom om situationer där det användningsändamål för vilket uppgifterna behövs åtminstone till vissa delar grundar sig på den registrerades samtycke. Enskilda undersökningar eller andra projekt genomförs ofta med samtycke av den registrerade. För att ett projekt ska genomföras kan det dessutom vara nödvändigt att använda registermaterial. Enligt förslaget ska den registrerade i dessa fall ge sitt samtycke både till själva projektet och till användning av registermaterialet. När det gäller dessa registrerade som har gett sitt samtycke till ett projekt kan användningstillstånd således beviljas endast om det genom tillståndsvillkoren är möjligt att garantera att uppgifterna används och lämnas ut endast i enlighet med de villkor som ingår i det nämnda samtycket. Däremot kan uppgifter om eventuella kontrollgrupper plockas ur registret utan samtycke, förutom i sådana fall där det är fråga om i 38 § 1 mom. avsedd utvecklings- och innovationsverksamhet, som alltid grundar sig på den registrerades samtycke.
Paragrafens 4 mom. motsvarar i huvudsak bestämmelserna i 28 § i offentlighetslagen. Tillstånd att få sekretessbelagda uppgifter kan beviljas för viss tid, om det är uppenbart att de intressen som sekretessen är avsedd att skydda inte kränks om uppgifterna lämnas ut. Till tillståndet ska fogas föreskrifter som behövs för att skydda enskilda intressen. Tillståndets tidsbundenhet utgör inget hinder för att tiden kan förlängas genom ett separat beslut.
Sekretessplikten för tillståndshavaren bestäms i enlighet med 53 § i förslaget. Med stöd av den paragrafen tillämpas bestämmelserna om sekretess i offentlighetslagen på sekretessen oberoende av om det är fråga om myndighetsuppgifter.
Vid tillståndsprövning är det i enlighet med regeringens proposition med förslag till offentlighetslag (RP 30/1998 rd) i regel fråga om rättslig prövning. Den myndighet som ansvarar för tillståndsprövningen ska för det första avgöra huruvida de rättsliga förutsättningarna för användningsändamålet uppfylls. Juridiska förutsättningar saknas t.ex. när det finns grundad anledning att misstänka att den som begär en handling inte kan skydda den. Myndigheten ska även kontrollera att användningen av uppgifterna stämmer överens med gällande lagstiftning. En mer omfattande juridisk ram måste beaktas och det ska särskilt säkerställas att behandlingen av uppgifterna följer bestämmelserna i dataskyddsförordningen. Även tillståndsvillkorens och föreskrifternas betydelse ska iakttas vid tillståndsprövningen. Ibland måste stränga villkor uppställas för att de juridiska förutsättningarna ska kunna anses bli uppfyllda.
Tillståndsprövningen består också av ändamålsenlighetsprövning. Avslag kommer på denna grund att bli något tämligen ovanligt. Om tillstånd på basis av ändamålsenlighetsprövning avslås, ska det likväl kunna motiveras objektivt.
Ett tillstånd kan återkallas, om det anses att det finns skäl för återkallandet. Om tillstånd inte beviljas eller om det återkallas, ska beslut fattas om detta, så att ändring kan sökas i beslutet i enlighet med 57 §. Motsvarande villkor som gäller prövning och återkallande av tillstånd ingår i 18 § 5 mom. i klientlagen och i 13 § 5 mom. i patientlagen, som föreslås bli upphävda.
I paragrafens 5 mom. finns bestämmelser om det förfarande som ska iakttas när Tillståndsmyndigheten för social- och hälsovårdsuppgifter anser att ett ärende som inletts som ansökan om användningstillstånd ska behandlas som en sådan begäran om information enligt 45 § som gäller anonymiserade uppgifter. Tillståndsmyndigheten ska i dessa situationer ta kontakt med den tillståndssökande och föreslå att ärendet behandlas som en begäran om information. Om den tillståndssökande i denna situation vill ha ett tillståndsbeslut i ärendet, ska tillståndsmyndigheten i detta fall fatta beslut i ärendet. Om den tillståndssökande däremot går med på att ärendet behandlas som begäran om information eller inte reagerar inom den tid som tillståndsmyndigheten fastställt, kan tillståndsmyndigheten behandla ärendet som begäran om information.
44 §. Behörighet för behandling av användningstillstånd. I paragrafen föreskrivs om vem som ska ansvara för de beslut som gäller tillstånd. Enligt 28 § i den gällande offentlighetslagen kan en enskild registeransvarig, om inte något annat föreskrivs genom lag, i enskilda fall bevilja tillstånd att ta del av en sekretessbelagd handling för vetenskaplig forskning eller statistikföring eller för ett sådant planerings- eller utredningsarbete som en myndighet utför. Enligt denna bestämmelse förutsätter ett tillstånd att det är uppenbart att de intressen som sekretessen är avsedd att skydda inte kränks om uppgifterna lämnas ut.
Om tillstånd behövs för en handling som finns hos flera myndigheter som är underställda samma ministerium, fattar ministeriet i fråga beslut enligt 28 § i offentlighetslagen efter att först vid behov ha hört behöriga myndigheter. Med avvikelse från nämnda bestämmelse kan Institutet för hälsa och välfärd bevilja tillstånd att få uppgifter i enskilda fall, när det för vetenskaplig forskning behövs uppgifter ur journalhandlingar som finns hos flera än en kommun eller samkommun som tillhandahåller hälso- och sjukvårdstjänster, hos en i lagen om privat hälso- och sjukvård avsedd enhet som tillhandahåller hälso- och sjukvårdstjänster eller hos en yrkesutbildad person inom hälso- och sjukvården som utövar sitt yrke självständigt. På motsvarande sätt kan Institutet för hälsa och välfärd utöver det som föreskrivs i 28 § i offentlighetslagen med stöd av 18 § 5 mom. i klientlagen bevilja tillstånd till uppgifter i enskilda fall, när det för vetenskaplig forskning behövs uppgifter ur handlingar om en klient som finns hos flera än en kommun eller samkommun som tillhandahåller socialvårdstjänster eller hos en serviceproducent som privat ordnar socialvård.
Den föreslagna bestämmelsen täcker i fråga om kunduppgifter inom social- och hälsovården alla de situationer om vilka det föreskrivs i 28 § i offentlighetslagen, i 13 § 5 mom. i patientlagen och i 18 § 5 mom. i klientlagen. Det föreslås därför att 13 § 5 mom. i patientlagen och 18 § 5 mom. i klientlagen upphävs. Bestämmelserna i 28 § i offentlighetslagen tillämpas inte längre på utlämnande av uppgifter ur kundregister inom social- och hälsovården eller ur andra register som innehåller personuppgifter. Bestämmelserna i den föreslagna lagen åsidosätter till dessa delar 28 § i offentlighetslagen. I den föreslagna lagen föreskrivs det om fler användningsändamål än de som avses i den gällande lagstiftningen, för vilka registeruppgifter inom social- och hälsovården kan utlämnas.
I enlighet med 1 mom. i paragrafen ska Tillståndsmyndigheten för social- och hälsovårdsuppgifter alltid svara för besluten om användningstillstånd om en ansökan om användningstillstånd gäller personregister som förs av flera registeransvariga enligt 6 § eller uppgifter som avses i klientuppgiftslagen och som har registrerats i Kanta-tjänsterna. Som uppgifter som ingår i Kanta-tjänsterna betraktas även bl.a. de logguppgifter om utlämnande som avses i 5 § i klientuppgiftslagen.
I momentet preciseras det att Tillståndsmyndigheten för social- och hälsovårdsuppgifter dock alltid svarar för beviljandet av tillstånd om uppgifter lämnas ut för utvecklings- och innovationsverksamhet enligt 38 §. Det är i dessa fall motiverat att koncentrera den kompetens som gäller tillståndsbehörigheten hos tillståndsmyndigheten, eftersom det är fråga om ett sådant nytt användningsändamål som tillstånd inte tidigare har beviljats för och eftersom förutsättningarna för att tillstånd ska beviljas avviker från andra användningsändamål. Tillämpningsområdet för den utvecklings- och innovationsverksamhet som avses i 38 § är begränsad, eftersom det kan förverkligas endast med samtycke av den registrerade eller med anonymiserade uppgifter.
Till den del enbart Pensionsskyddscentralens, Befolkningsregistercentralens och Statistikcentralens uppgifter begärs svarar Tillståndsmyndigheten för social- och hälsovårdsuppgifter för de beslut om användningstillstånd som gäller dem endast om uppgifterna samkörs med uppgifter som innehas av de organisationer som avses i 6 § 1—8 punkten. Således ska Pensionsskyddscentralen, Befolkningsregistercentralen och Statistikcentralen fortfarande ha behörighet för sitt material när det begärs uppgifter från endast deras eget material eller när deras material har samkörts med varandra. Tillståndsmyndigheten kan inte i dessa situationer heller bevilja användningstillstånd för utvecklings- och innovationsverksamhet.
Enligt 2 mom. svarar tillståndsmyndigheten alltid för beslutet om användningstillstånd när det gäller uppgifter hos en privat serviceanordnare. Ansvaret beror inte på om ansökan om användningstillstånd gäller uppgifter hos en eller flera privata serviceanordnare inom social- och hälsovården. Enligt den gällande patientlagen och klientlagen beviljas tillstånd alltid av Institutet för hälsa och välfärd när uppgifter hos en privat tjänsteproducent behövs för vetenskaplig forskning och statistikföring. Syftet med lagarna har varit att Institutet för hälsa och välfärd beslutar om tillstånd alltid när den registeransvarige för de uppgifter som behövs är en privat tjänstetillhandahållare oberoende av om begäran om information gäller en eller flera serviceanordnares uppgifter. På grund av formuleringarna i lagarna har det dock i viss mån varit oklart om en privat registeransvarig själv kan ge tillstånden. Syftet med förslaget är att förtydliga situationen på ett sådant sätt att tillståndsmyndigheten alltid beviljar tillstånd för en privat aktörs räkning. Tillståndsbehörigheten anses innefatta sådan prövning att den inte kan överlåtas på en privat serviceproducents ansvar. Användningstillstånd ska alltid beviljas av den myndighet som beslutar om tillståndet enligt 44 §, eftersom en uppgift med betydande offentlig makt enligt 124 § i grundlagen endast kan skötas av en myndighet. Detta framhävs särskilt, eftersom användningsändamålen utvidgas från det nuvarande i förslaget.
I 3 mom. i paragrafen föreskrivs om en situation där en ansökan om användningstillstånd gäller uppgifter som finns endast i ett eget personregister hos en av de myndigheter eller organisationer som avses i 6 § 1 mom. När det är fråga om en offentlig registeransvarigs egna registeruppgifter, kan den registeransvarige i enlighet med 28 § i offentlighetslagen besluta om att de sekretessbelagda uppgifterna ska lämnas ut för vetenskaplig eller historisk forskning eller för en myndighets utredningsuppgift. I förslaget föreslås inte heller att tillståndsbehörigheten i dessa situationer ska koncentreras hos Tillståndsmyndigheten för social- och hälsovårdsuppgifter. Däremot agerar en offentlig registeransvarig med stöd av den föreslagna lagen när den beviljar användningstillstånd, och 28 § i offentlighetslagen tillämpas inte längre på behandlingen av personuppgifter som gäller tjänster och förmåner inom social- och hälsovården. Om den registeransvarige vid behandlingen av ett ärende noterar att en tillståndsansökan gäller uppgifter från flera registeransvariga, ska denna i enlighet med 21 § i förvaltningslagen överföra ärendet till Tillståndsmyndigheten för social- och hälsovårdsuppgifter. Tillståndsmyndigheten kan avtala med de övriga organisationer som avses i 6 § att den svarar för beslut om användningstillstånd för organisationens räkning.
Enligt 4 mom. har den myndighet som svarar för beslut om användningstillstånd rätt att begära utlåtande om en ansökan om användningstillstånd från Dataombudsmannen, om den anser att det behövs. Dataombudsmannen hörs således inte regelbundet för tillståndsprövningen, men det ges en möjlighet till detta. Det kan vara nödvändigt att begära utlåtande t.ex. när det är fråga om en ny eller invecklad begäran om information och det är oklart huruvida den uppfyller de krav som ställs på behandling av personuppgifter i lagstiftningen. Rätten att begära utlåtande fungerar som en skyddsåtgärd för den registrerade, eftersom det med hjälp av den är möjligt att överlämna ansökan till den myndighet som övervakar behandlingen av personuppgifter för bedömning.
45 §.Utlämnande av anonymiserade uppgifter. I paragrafen finns bestämmelser om situationer där uppgifter begärs för ett användningsändamål enligt 2 § endast i anonymiserad form. Användningsändamål är statistikföring, vetenskaplig forskning, utvecklings- och innovationsverksamhet, undervisning, informationsledning, myndighetsstyrning och myndighetstillsyn inom social- och hälsovården samt myndigheternas planerings- och utredningsuppgifter. Genom paragrafen skapas möjligheter för Tillståndsmyndigheten för social- och hälsovårdsuppgifter att behandla personuppgifter för anonymisering. Därför har det varit nödvändigt att begränsa tillståndsmyndighetens rätt att behandla uppgifter för de användningsändamål som anges i lagen. När det material som ska utlämnas har anonymiserats gäller inte längre bestämmelserna om behandling av personuppgifter för det, t.ex. dataskyddsbegränsningarna, utan materialet kan utlämnas fritt.
Personuppgifter kan även samköras med de personuppgifter som den part som begärt uppgifter lagligen innehar. Särskilt i dessa situationer ska tillståndsmyndigheten planera anonymiseringen verkligt omsorgsfullt och vid behov i samarbete med den som begär uppgifter, för att slutresultatet ska vara genuint anonymt.
Rätten för Tillståndsmyndigheten för social- och hälsovårdsuppgifter enligt 1 mom. att lämna ut uppgifter i anonymiserad form främjar iakttagandet av offentlighetsprincipen. Enligt offentlighetslagen är en myndighets handlingar offentliga om inte något annat föreskrivs i lag. Enligt 24 § 1 mom. 25 punkten i offentlighetslagen är handlingar som innehåller uppgifter om en klient hos socialvården samt de förmåner eller stödåtgärder eller den socialvårdsservice denne erhållit eller uppgifter om en persons hälsotillstånd eller handikapp, den hälsovård eller rehabilitering som denne har erhållit sekretessbelagda. Grunden för sekretess för handlingar som innehåller personuppgifter är skydd för privatlivet, och den avser uppgifter som gäller individen. Sekretessgrunden elimineras, om en individ inte längre ens indirekt kan identifieras på basis av uppgifterna, dvs. uppgifterna har anonymiserats. Anonymiserade uppgifter hör inte heller längre till den definition för personuppgifter som anges i dataskyddsförordningen.
I artikel 86 i dataskyddsförordningen föreskrivs om förhållandet mellan skyddet för personuppgifter och offentlighetsprincipen som följer: ”Personuppgifter i allmänna handlingar som förvaras av en myndighet eller ett offentligt organ eller ett privat organ för utförande av en uppgift av allmänt intresse får lämnas ut av myndigheten eller organet i enlighet med den unionsrätt eller den medlemsstats nationella rätt som myndigheten eller det offentliga organet omfattas av, för att jämka samman allmänhetens rätt att få tillgång till allmänna handlingar med rätten till skydd av personuppgifter i enlighet med denna förordning.”
Tillståndsmyndigheten för social- och hälsovårdsuppgifter ska ha en i dataskyddsförordningen avsedd grund att behandla uppgifter. Bestämmelser om Tillståndsmyndighetens rätt att få uppgifter för ändamål som avses i denna paragraf finns i 36 § som gäller tillståndsmyndighetens rätt att behandla uppgifter. Den som lägger fram en begäran om information behöver inte en dylik grund, eftersom de anonymiserade uppgifter som överlåts till den som begär information inte längre är personuppgifter, och dataskyddsförordningen därför inte tillämpas på dem.
Enligt skäl 154 i ingressen till dataskyddsförordningen kan allmänhetens rätt att få tillgång till allmänna handlingar betraktas som ett allmänt intresse. Tillståndsmyndighetens grund för att behandla uppgifter för att den ska kunna omvandla dem i anonymiserad form för den som begär information kan således härledas från den bestämmelse i artikel 6.1 e i dataskyddsförordningen som gäller utförande av en uppgift av allmänt intresse. Dessutom kan den betraktas som en medlemsstats viktiga mål av generellt allmänt intresse enligt artikel 23.1 e.
När det gäller känsliga uppgifter kan grunden för behandling härledas från en orsak som gäller ett viktigt allmänt intresse enligt artikel 9.2 g. I artikel 9 i förordningen förutsätts ytterligare att det föreskrivs om frågan genom lag, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Vid behandling enligt denna paragraf är skyddsåtgärden den att tillståndsmyndigheten inte får lämna ut uppgifter annat än i anonymiserad form och för användningsändamål som avses i denna lag.
I sak kan tillståndsmyndigheten med uppgifter från flera registeransvariga utföra samma uppgift, som enligt 21 § i offentlighetslagen hör till en myndighet som är registeransvarig som dess lagstadgade uppgift och som med tillstånd av behöriga myndigheter kan produceras även ur informationssystem som upprätthålls av andra myndigheter. Bestämmelsen ger dessutom tillståndsmyndigheten en möjlighet att samköra sådana registeruppgifter på personnivå som tillhör den som begär information med andra i den föreslagna lagen avsedda registeruppgifter, så att det av de uppgifter som tillståndsmyndigheten har samkört identifierade och därefter anonymiserat inte ens indirekt går att identifiera den registrerade.
Utlämnande av uppgifter innefattar inte någon egentlig tillståndsprocess, utan förfarandet är lätt. Tillståndsmyndigheten iakttar dock i egenskap av myndighet allmänna förvaltningslagar, t.ex. förvaltningslagen (434/2003). Beslut enligt förvaltningslagen ska således fattas om utlämnande av uppgifter. Rätten att överklaga bestäms i enlighet med 57 § i denna lag.
För att få uppgifter krävs det att planen för användning av uppgifter lämnas in till tillståndsmyndigheten. Bestämmelser om skyldigheten att lämna in planen för användning av uppgifter till tillståndsmyndigheten finns i 46 § i lagen. Det är nödvändigt att lämna in planen för att tillståndsmyndigheten ska kunna bedöma huruvida de uppgifter som begärs kan anonymiseras. Fastän utlämnandet av anonymiserade uppgifter inte innefattar någon egentlig tillståndsprövning, ska tillståndsmyndigheten dock ha en grund för behandlingen av personuppgifter. Om det av planen för användning av uppgifter framgår att det är möjligt att anonymisera uppgifterna, ska de i princip utlämnas till den som har begärt dem. Det kommer således endast sällan på fråga att uppgifter inte utlämnas.
I paragrafens 2 mom. finns en hänvisning till 41 och 42 § i lagen. I 41 § om informationsledning och i 42 § om myndighetsstyrning och myndighetstillsyn finns bestämmelser om särskilda förutsättningar för att anonymiserade uppgifter ska lämnas ut. Dessa förutsättningar ska iakttas i detta syfte. I 38 §, som gäller utvecklings- och innovationsverksamhet, finns en förtydligande hänvisning till 45 §.
46 §. Lämnande av ansökan om användningstillstånd och begäran om information till Tillståndsmyndigheten för social- och hälsovårdsuppgifter. Det centrala målet med den föreslagna lagen är att få till stånd snabba och smidiga förfaranden för informationssäker behandling av kunduppgifter inom social- och hälsovården samt av andra personuppgifter som gäller välfärd och hälsa. Digitaliseringen innebär att det finns allt bättre förutsättningar för att nå detta mål. För att målen ska nås är det även nödvändigt att utnyttja de möjligheter som digitaliseringen för med sig. Den föreslagna lagen grundar sig på tanken om digital behandling och digitala tillståndsbeslut i fråga om tillståndsansökningar i standardformat, på tillstånd grundad samkörning av uppgifter i digitalt format samt utlämnande av dessa uppgifter för behandling i informationssäker driftmiljö.
En ansökan om användningstillstånd, som gäller uppgifter hos flera registeransvariga enligt 6 §, ska enligt paragrafens 1 mom. lämnas till Tillståndsmyndigheten för social- och hälsovårdsuppgifter via det hanteringssystem för begäranden om information som avses i 14 §. En begäran om information och eventuella kompletteringar av ansökan ska likaså skickas via hanteringssystemet. Till en ansökan om tillstånd ska enligt bestämmelsen fogas en plan för användning av uppgifter. Till övriga delar tillämpas på behandlingen av ansökan bestämmelserna i förvaltningslagen.
Tillståndsmyndigheten för social- och hälsovårdsuppgifter utfärdar på basis av 2 mom. närmare föreskrifter om datainnehållet och datastrukturerna i ansökan om användningstillstånd och planen för användning av uppgifterna. I praktiken har Institutet för hälsa och välfärd redan när det beviljar användningstillstånd utifrån den gällande lagstiftningen förutsatt att tillståndsansökningarna ska uppgöras på den elektroniska ansökningsblankett som finns tillgänglig.
47 §. Tidsfrister för behandling av användningstillstånd. Med tanke på möjligheterna att behandla uppgifter är det utomordentligt viktigt att beslutet om användningstillstånd och uppgifterna utifrån det fås inom en skälig och förutsebar tidsfrist från det att tillståndsansökan lämnades in. Den rådande decentraliserade praxisen för tillstånd och utlämnande av uppgifter gör det ytterst svårt för den som ansöker om tillstånd att bedöma den tid det tar för ett tillstånd att behandlas och den tid utlämnandet av uppgifter tar i olika myndigheter. Detta har ofta tagit oskäligt lång tid.
Det ovan anförda har gett upphov till problem av två slag: Exempelvis en stipendieforskare har inte alltid ens hunnit börja med sin undersökning när stipendieperioden redan har löpt ut. Företag som i sin verksamhet kan dra nytta av Finlands heltäckande datalager söker sig till länder där förutsebarheten för ett användningstillstånd och inhämtande av information inom en skälig tid är avsevärt större.
I 1 mom. föreslås en bestämmelse om att beslut om ansökan om användningstillstånd ska utfärdas utan dröjsmål. Om detta inte är möjligt ska användningstillstånd enligt huvudregeln utfärdas senast inom 3 månader från det att tillståndsansökan har anlänt i fullständig form till myndigheten. Uttrycket ”utan dröjsmål” innebär att tillståndsansökan ska behandlas utan dröjsmål efter det att de uppgifter som behövs för att utfärda beslutet finns tillgängliga. Tidsfristen börjar således inte löpa förrän sökanden har lämnat in alla uppgifter som behövs för behandlingen av ansökan. Vid tillståndsbehandlingen kan det nämligen finnas ett behov av att begära tilläggsutredning av den sökande, för att det ska vara möjligt att avgöra ansökan.
I praktiken finns det dessutom situationer där det till grund för tillståndsbehandlingen måste inhämtas uppgifter som kräver ett exceptionellt stort eller ett exceptionellt krävande urval från olika registeransvariga eller en exceptionellt krävande prövning. Av dessa orsaker kan Tillståndsmyndigheten för social- och hälsovårdsuppgifter enligt 2 mom. besluta att behandlingstiden för en ansökan om användningstillstånd förlängs med högst 3 månader. Tillståndsmyndigheten ska ge den som ansöker om tillstånd information om förlängning av tidsfristen och om grunden för förlängningen samt om den nya tidsfrist inom vilken tillståndsbeslutet ska utfärdas. Detta tryggar förutsebarheten för verksamheten hos den som ansöker om tillstånd.
Den myndighet som ansvarar för beslutet om användningstillstånd har enligt 44 § 4 mom. rätt att vid behov begära utlåtande av Dataombudsmannen. Om utlåtande begärs förlänger det i allmänhet oundvikligen tiden för behandling av ansökan om användningstillstånd. Utlåtande begärs i allmänhet främst i svåra och oklara situationer, där behandlingen av ansökan om användningstillstånd även i övrigt kan ta längre tid i anspråk än vanligt. I detta fall är det ofta omöjligt att utfärda ett beslut om en ansökan om användningstillstånd inom den tid som föreskrivs i 1 mom. För dylika situationer föreskrivs det i 3 mom. att den tidsfrist för behandlingen av ansökan som gäller för den ansvariga myndigheten avbryts tills ärendet behandlas av Dataombudsmannen. Tidsfristen för behandlingen av beslutet fortsätter när Dataombudsmannens utlåtande har kommit in till myndigheten.
Tillståndsmyndigheten för social- och hälsovårdsuppgifter kan behöva uppgifter inte bara av sökanden utan även av de registeransvariga vars uppgifter sökanden begär att ska utlämnas. Uppgifter kan behövas t.ex. för att avgöra om den användning som sökanden lägger fram för uppgifterna eller projektet i fråga i praktiken är möjliga att genomföra med hjälp av de registeruppgifter som begärs eller vad det kommer att kosta att plocka ut de begärda uppgifterna. På grund av detta föreskrivs det i 4 mom. att en registeransvarig som avses i 6 § och en privat tillhandahållare av social- och hälsovård till tillståndsmyndigheten ska lämna ut de uppgifter som krävs för behandlingen av en ansökan om användningstillstånd eller av en begäran om anonymiserade uppgifter. Uppgifterna ska lämnas ut inom 15 vardagar från det att tillståndsmyndigheten har begärt dem.
48 §. Tidsfrister för utlämnande av uppgifter. I den gällande offentlighetslagen föreskrivs det om en tidsgräns på 30 dagar för utlämnande av uppgifter. I 1 mom. föreslås samma tidsfrist för utlämnande av uppgifter. Avsikten är dock att information som bör utlämnas snabbt ska utlämnas utan dröjsmål.
Tidsfristen räknas från det att den behöriga myndigheten har fattat beslut om att uppgifterna får lämnas ut till sökanden. Om uppgifterna lämnas ut med stöd av ett användningstillstånd, bestäms behörigheten i enlighet med 44 §. Enligt den paragrafen svarar Tillståndsmyndigheten för social- och hälsovårdsuppgifter för beslutet om användningstillstånd, om ansökan om användningstillstånd gäller personregister hos flera av de registeransvariga som avses i 6 § eller uppgifter som registrerats i Kanta-tjänsterna eller om tillståndsansökan gäller registeruppgifter hos en eller flera privata serviceanordnare inom social- och hälsovården. Tillståndsmyndigheten svarar dessutom alltid för ett beslut om användningstillstånd när uppgifter lämnas ut för utvecklings- och innovationsverksamhet och endast tillståndsmyndigheten har rätt att besluta om utlämnande av anonymiserade uppgifter i enlighet med 45 §. I dessa fall ska också de registeransvariga lämna ut uppgifter till tillståndsmyndigheten.
Om en begäran om information eller en ansökan om användningstillstånd däremot gäller uppgifter i personregister som finns hos endast en sådan organisation som avses i 6 §, svarar organisationen själv för beslutet om användningstillstånd, om den inte avtalat om något annat med Tillståndsmyndigheten för social- och hälsovårdsuppgifter. I detta fall kan uppgifterna också lämnas ut direkt till sökanden.
För utlämnande av uppgifter till sökanden kan det behövas ännu noggrannare tilläggsuppgifter för att uppgifterna ska kunna lämnas ut. Till exempel för att bestämma en exakt målgrupp för urvalet kan det behövas ytterligare uppgifter. Därför ska det enligt förslaget föreskrivas att man vid behov kan be sökanden om ytterligare uppgifter till stöd för utlämnande av uppgifter. I detta fall börjar tidsfristen löpa först då den behövliga tilläggsutredningen har erhållits.
Det kan emellertid inkomma flera begäran om uppgifter från tillståndsmyndigheten inom en kort tid samtidigt som den registeransvarige också har andra nödvändiga och brådskande lagstadgade uppdrag. Det kan också i vissa fall vara särskilt krävande att plocka ut uppgifter. Om uppgifterna inte kan lämnas ut till tillståndsmyndigheten inom den tid som avses i 1 mom., ska den registeransvarige enligt 2 mom. före tidsfristens utgång informera tillståndsmyndigheten om dröjsmålet, orsaken till dröjsmålet och den förlängning av tidsfristen som behövs för utlämnande av uppgifterna. Tillståndsmyndigheten kan då av grundad anledning ställa upp en ny tidsfrist för utlämnandet.
Paragrafens 3 mom. gäller den tidsfrist inom vilken tillståndsmyndigheten till tillståndshavaren ska lämna ut de uppgifter som den med stöd av ett användningstillstånd samlat in och, om tillståndet så förutsätter, samkört. Huvudregeln är att uppgifterna ska lämnas ut utan dröjsmål. Uppgifterna ska dock lämnas ut senast inom 60 dagar från det att tillståndet beviljades.
Enligt 4 mom. kan tillståndsmyndigheten dock av vägande skäl förlänga tidsfristen för utlämnandet. Ett villkor för detta är att uppgifternas användningsändamål förutsätter en exceptionellt omfattande behandling som berör uppgifter från flera olika registeransvariga eller en särskilt krävande samkörning. Tillståndsmyndigheten ska i sådana fall informera tillståndshavaren om förlängningen av tidsfristen och om grunden för förlängningen samt om den nya tidsfrist inom vilken uppgifterna ska lämnas ut. Det är inte fråga om ett överklagbart beslut, utan ett avgörande i sak som det inte kan sökas ändring i.
49 §. Avgift för användningstillstånd. I paragrafen föreskrivs det om hur det kan tas ut en avgift för sådana användningstillståndstjänster som avses i denna lag. Tillståndsmyndigheten för social- och hälsovårdsuppgifter eller någon annan myndighet som beviljat tillstånd får ta ut en avgift för beslutet om användningstillstånd enligt vad som föreskrivs i lagen om grunderna för avgifter till staten. På motsvarande sätt bestäms avgiften för användningstillstånd enligt det som föreskrivs om avgifter för kommunala tjänster i sådana fall där ansökan om användningstillstånd gäller endast en enda kommunal myndighets registeruppgifter.
50 §. Ersättningar för tjänster. Enligt 1 mom. får Tillståndsmyndigheten för social- och hälsovårdsuppgifter ta ut ersättning för urval, tillhandahållande och samkörning av uppgifter enligt ett användningstillstånd som avses i den föreslagna lagen, samt för användning av en informationssäker miljö. Eftersom det med stöd av ett användningstillstånd oftast lämnas ut uppgifter från flera registeransvariga, ska de ersättningar som gäller uppgifter som med stöd av användningstillstånd plockas ut och tillhandahålls från andra datalager än datalagren vid Tillståndsmyndigheten för social- och hälsovårdsuppgifter enligt 2 mom. bestämmas i enlighet med bestämmelserna om varje registeransvarig som tillhandahållit uppgifterna.
Den registeransvarige som lämnar ut uppgifter till tillståndsmyndigheten med stöd av ett användningstillstånd enligt denna lag har rätt att från tillståndsmyndigheten som ersättning få en andel som fastställs på detta sätt av alla kostnadsersättningar som påförts tillståndshavaren. I fråga om Kanta-tjänsterna innehas motsvarande rätt av Folkpensionsanstalten, som är registerförare för de registeruppgifter som ingår i Kanta-tjänsterna.
Enligt 3 mom. ska den som har rätt till ersättning på begäran tillhandahålla tillståndsmyndigheten en uppskattning av vilka kostnader den orsakas. Dessa uppgifter behövs så att tillståndsmyndigheten kan göra upp ett kostnadsförslag för inlämnande av en begäran om information. Den som ansöker om tillstånd får på detta sätt information om hur mycket den måste betala för att få uppgifterna.Tillståndsmyndigheten tar ut alla de ersättningar som avses i 2 mom. hos tillståndshavaren och redovisar dem för de registeransvariga som lämnat uppgifter.
Enligt 4 mom. kan tillståndsmyndigheten ta ut ersättning för att plocka ut uppgifter ur sina egna datalager, samköra dem och tillhandahålla dem till tillståndshavaren. Dessutom kan tillståndsmyndigheten ta ut ersättning för användning av den informationssäkra miljön. Dessa ersättningar bestäms enligt vad som föreskrivs i lagen om grunderna för avgifter till staten.
Registrering och anteckning i ett offentligt register av en anmälan till Tillstånds- och tillsynsverket för social- och hälsovården enligt 30 § 1 mom. är enligt 5 mom. avgiftsbelagd.
I 6 mom. konstateras att bestämmelser om grunderna för bestämmande av ersättningar finns i lagen om grunderna för avgifter till staten. Bestämmelser om avgifter för bedömning som utförs av bedömningsorgan för informationssäkerhet finns i 11 § i lagen om bedömningsorgan för informationssäkerhet.
51 §. Utlämnande av uppgifter till tillståndshavaren sedan användningstillstånd beviljats. I paragrafen föreskrivs det om de förfaranden och villkor i enlighet med vilka Tillståndsmyndigheten för social- och hälsovårdsuppgifter ska lämna ut uppgifter då den i de situationer som förutsätts i 44 § har beviljat ett användningstillstånd. Däremot föreslås det inga bestämmelser om utlämnande av anonyma uppgifter, eftersom de inte längre omfattas av kraven för behandling av personuppgifter och utlämnandet av dem därför inte kräver särskilda skyddsåtgärder eller bestämmelser. Till tillståndsmyndighetens uppgifter hör att inhämta och samköra de registeruppgifter som individualiserats i användningstillståndet och lämna ut datamaterialet till tillståndshavaren för att behandlas på följande sätt:
Om de uppgifter som ska lämnas ut är identifierbara eller pseudonymiserade, ska de enligt huvudregeln med stöd av 1 mom. 1 punkten via en informationssäker drifttjänst som avses i 17 § lämnas ut till tillståndshavaren för behandling. Behandlingen ska då ske i tillståndsmyndighetens informationssäkra driftmiljö enligt 20 § 1 mom. Också pseudonymiserade uppgifter är till sin natur personuppgifter, eftersom de med hjälp av en identifierare kan kopplas ihop med registrerade personer.
Enligt 1 mom. 2 punkten kan samkörda uppgifter i undantagsfall lämnas ut till sökanden i pseudonymiserad eller identifierbar form för behandling i en annan driftmiljö enligt 20 § 3 mom. än tillståndsmyndighetens informationssäkra driftmiljö. En förutsättning är att utlämnandet ska vara nödvändigt av skäl som framgår särskilt av planen för användning av uppgifterna och användningstillståndet och att uppgifterna lämnas ut via en informationssäker drifttjänst som avses i 17 §.
Enligt 2 mom. ska Statistikcentralen eller Institutet för hälsa och välfärd, om användningsändamålet förutsätter behandling av uppgifter som Statistikcentralen eller Institutet för hälsa och välfärd i egenskap av statistikmyndighet samlat in för statistiska ändamål, samköra de uppgifter som ska lämnas ut samt om situationen så kräver pseudonymisera eller anonymisera uppgifterna. Uppgifterna kan därefter beroende på art och omfattning lämnas ut till tillståndshavaren för behandling i en informationssäker driftmiljö som förvaltas av Statistikcentralen eller Tillståndsmyndigheten för social- och hälsovårdsuppgifter eller i någon annan driftmiljö enligt 20 §.
I 3 mom. föreskrivs det att leverantören av en driftmiljö ska säkerställa att tillståndshavaren uppfyller kraven i användningstillståndet. En anslutning till tillståndshavaren får inte öppnas i driftmiljön förrän leverantören har säkerställt att kraven är uppfyllda. Syftet med bestämmelsen är att säkerställa att tillståndsvillkoren följs.
52 §.Redogörelseskyldighet för myndigheter som ansvarar för behandlingen av användningstillstånd. I paragrafen föreskrivs det att myndigheter som ansvarar för behandlingen av användningstillstånd till Dataombudsmannen ska lämna en redogörelse för behandlingen av uppgifter som registrerats i loggregistret samt för annan behandling av uppgifter med stöd av denna lag. Syftet med redogörelsen är att säkerställa att behandlingen är laglig och trygga de registrerades rättsskydd. Bestämmelsen är alltså en skyddsåtgärd för den registrerades rättigheter och friheter enligt dataskyddsförordningen.
En redogörelse ska lämnas minst en gång om året. Dataombudsmannen och den för behandlingen av användningstillståndet ansvariga myndigheten kan gemensamt komma överens om praktiska detaljer och arrangemang i fråga om omfattningen av och innehållet i redogörelsen och om när redogörelsen ska lämnas in.
53 §. Sekretessplikt. I paragrafens 1 mom. föreskrivs det att uppgifter som erhållits med stöd av den föreslagna lagen är sekretessbelagda i huvudsak med stöd av offentlighetslagen. Enligt den förslagna 53 § ska det som föreskrivs om sekretessbelagda uppgifter i 24 § i offentlighetslagen tillämpas på uppgifter som erhållits med stöd av denna lag. Dessutom ska offentlighetslagens 22 § om handlingssekretess, 23 § om tystnadsplikt och förbud mot utnyttjande samt 31 § om upphörande av sekretess i fråga om en myndighetshandling tillämpas.
I offentlighetslagen föreskrivs det om flera undantag i fråga om handlingssekretess, och i enlighet med 32 § i den lagen gäller undantagen i fråga om tystnadsplikt och grunderna för upphörande av tystnadsplikt också handlingssekretess. Med tanke på tillämpningen av denna lag är det viktigt att inte de nämnda grunderna för undantag tillämpas på uppgifter som erhållits med stöd av denna lag, men tystnadsplikten upphör samtidigt som handlingssekretessen i enlighet med 31 och 32 § i offentlighetslagen.
Sekretessbelagda enligt 24 § 25 punkten i offentlighetslagen är bl.a. handlingar som innehåller uppgifter om en klient hos socialvården samt de förmåner eller stödåtgärder eller den socialvårdsservice denne erhållit eller uppgifter om en persons hälsotillstånd eller handikapp, den hälsovård eller rehabilitering som denne har erhållit eller uppgifter om någons sexuella beteende eller inriktning. Sekretessbelagda med stöd av 24 § 32 punkten i offentlighetslagen är likaså handlingar som innehåller uppgifter om en persons politiska övertygelse eller uppgifter om åsikter som personen har uttalat privat eller uppgifter om någons levnadssätt, deltagande i föreningsverksamhet eller fritidssysselsättningar, familjeliv eller andra med dem jämförbara personliga förhållanden.
Enligt den föreslagna 53 § ska bestämmelserna om sekretessplikt i offentlighetslagen tillämpas på alla uppgifter som uppgifter som lämnas ut med stöd av denna lag oberoende av om det har varit en privat aktörs eller en myndighets uppgifter och oberoende av om den som behandlar uppgifterna är en privatperson, en juridisk person eller en myndighet.
När uppgifter lämnas ut till någon annan än en myndighet ska mottagaren enligt 2 mom. informeras om sekretessplikten. På lämnandet av information tillämpas 25 § i offentlighetslagen.
Paragrafens 3 mom. innehåller ett förbud att använda uppgifter om en enskild person som erhållits med stöd av denna lag för administrativt beslutsfattande eller någon annan motsvarande behandling av ärenden som gäller en enskild person. Då sekretessbelagda uppgifter behandlas med stöd av denna lag är syftet med behandlingen inte att fatta beslut som gäller en individ, utan att behandla uppgifterna för att förstå större helheter och t.ex. få nya forskningsresultat. Därför får uppgifterna enligt huvudregeln inte användas som grund för administrativ verksamhet eller juridiska beslut som gäller den registrerade utan hans eller hennes uttryckliga samtycke.
Det föreskrivs dock om ett undantag för tillsynsmyndigheter i fråga om det förbud som avses i 3 mom. I propositionen föreskrivs det i 42 § 1 mom. att en tillsynsmyndighet ska ha rätt att få anonymiserade uppgifter för utförande av en styrnings- och tillsynsuppgift. I 42 § 2 mom. föreskrivs det att sådana uppgifter som en tillsynsmyndighet enligt någon annan lag har rätt att få trots sekretessplikten kan på motiverad begäran lämnas ut också som identifierbara. Enligt 53 § 3 mom. får uppgifterna användas när tillsynsmyndigheten bedömer lagenligheten i verksamhet som bedrivs av verksamhetsenheter inom social- och hälsovården eller den professionella lämpligheten hos yrkesutbildade personer inom social- och hälsovården. Uppgifterna får inte heller i detta fall användas i beslutsfattande som gäller den registrerade själv.
6 kap. Särskilda bestämmelser
54 §. Rättigheter, skyldigheter och åtgärder på grund av betydande kliniska fynd. I paragrafen förskrivs det om rättigheter och skyldigheter som uppkommer för olika aktörer, om det vid användning enligt denna lag av klientuppgifter inom hälso- och sjukvården eller av registeruppgifter som innehåller klientuppgifter kommer fram ett kliniskt betydande fynd. Enligt 1 mom. har en innehavare av användningstillstånd som enligt den föreslagna lagen använder klientuppgifter inom hälso- och sjukvården eller registeruppgifter som innehåller klientuppgifter rätt att anmäla betydande kliniska fynd. En förutsättning är att det enligt anmälarens yrkesmässiga uppfattning på grundval av fyndet är möjligt att förebygga hälsorisker för en viss patient eller betydligt förbättra vårdens kvalitet. Anmälan görs till en ansvarig person som utsetts av Tillståndsmyndigheten för social- och hälsovårdsuppgifter.
Efter att ha fått anmälan ska den ansvariga personen vid tillståndsmyndigheten enligt 2 mom. avkoda eventuella pseudonymiserade uppgifter och utreda vem eller vilka informationen gäller samt utan obefogat dröjsmål lämna uppgifterna till en expert som utsetts av Institutet för hälsa och välfärd.
Enligt 3 mom. ska den expert vid Institutet för hälsa och välfärd som avses i 2 mom. i samarbete med övriga experter som utsetts av institutet bedöma betydelsen av informationen och den förväntade nyttan med de åtgärder som kan vidtas med stöd av den. Om nyttan bedöms vara så uppenbar att det skulle vara viktigt att den som ska undersökas får vård, ska den expert som avses i 2 mom. anmäla fyndet till den verksamhetsenhet som med stöd av hälso- och sjukvårdslagen är regionalt ansvarig för den aktuella personens hälso- och sjukvård.
Den verksamhetsenhet för hälso- och sjukvård som avses i 3 mom. ska enligt 4 mom. kontakta patienten och klarlägga om han eller hon vill ha information om det betydande kliniska fyndet och de undersöknings- och vårdåtgärder som fyndet eventuellt kräver samt om den förväntade nyttan med åtgärderna.
I 5 mom. föreskrivs det om patientens rätt att förbjuda kontakt enligt 4 mom. som tas på basis av ett kliniskt betydande fynd. Patienten kan utfärda förbudet redan på förhand antingen elektroniskt via tjänsten Mina Kanta-sidor som avses i klientuppgiftslagen eller skriftligt i valfri verksamhetsenhet som producerar offentlig hälso- och sjukvård, varvid förbudet antecknas i patientens informationshanteringstjänst som avses i 14 a § i klientuppgiftslagen. Å andra sidan kan patienten förbjuda uppgifter, undersökningar och vård som föreslagits vid individuell kontakt.
55 §.Styrning, övervakning och uppföljning. I 1 mom. föreskrivs det att social- och hälsovårdsministeriet ska ansvara för den allmänna planeringen, styrningen och övervakningen av behandling av kunduppgifter enligt denna lag och av anknytande informationsförvaltning. I och med detta är ministeriets ansvar samma som dess ansvar i övrigt när det gäller rikstäckande planering och styrning av social- och hälsovården.
Enligt 2 mom. ska Dataombudsmannen, Tillstånds- och tillsynsverket för social- och hälsovården samt Tillståndsmyndigheten för social- och hälsovårdsuppgifter i enlighet med sin behörighet styra och övervaka efterlevnaden av denna lag inom sitt verksamhetsområde. Till Dataombudsmannens ansvarsområde hör övervakning av behandlingen av personuppgifter med stöd av annan lagstiftning. Tillstånds- och tillsynsverkets och tillståndsmyndighetens behörighet bestäms däremot särskilt i denna lag.
I 3 mom. föreskrivs det att tillståndsmyndigheten och övriga myndigheter som beviljar användningstillstånd i enlighet med denna lag samt Tillstånds- och tillsynsverket för social- och hälsovården för sin del ska följa och övervaka att det dataskydd och den datasäkerhet som hänför sig till deras tjänster förverkligas. Dessutom ska de myndigheter som beviljar tillstånd på eget initiativ följa och övervaka att villkoren för tillstånd som de beviljat iakttas. Därför föreslås det att det i lagen föreskrivs om en skyldighet att på eget initiativ vidta nödvändiga åtgärder om någon har behandlat personuppgifter i strid med lagen. Åtgärder som kan komma i fråga är t.ex. en anmärkning, återkallande av användarrättigheterna och vid behov också brottsanmälan. För att förverkliga uppföljningen och övervakningen har tillståndsmyndigheten rätt att få logguppgifter från andra än sin egen informationssäkra driftmiljö samt användarregistrets uppgifter utan obefogat dröjsmål.
Dataombudsmannen övervakar behandlingen av personuppgifter. Då dataskyddsförordningen börjar tillämpas den 25 maj 2018 har den nya myndighet som fortsätter Dataombudsmannens byrås arbete bl.a. befogenhet att förelägga administrativa böter för överträdelser som gäller behandling av personuppgifter och dess befogenhet utvidgas också i övrigt jämfört med nuläget. För att effektivt förverkliga övervakningen av behandlingen av personuppgifter ska tillståndsmyndigheten och andra myndigheter som beviljar användningstillstånd enligt 4 mom. ha skyldighet att ofördröjligen underrätta Dataombudsmannen, om myndigheten har grundad anledning att misstänka att den som behandlar uppgifter med stöd av ett användningstillstånd från myndigheten inte behandlar personuppgifter i enlighet med lag. Enligt dataskyddsförordningen har den registeransvarige och den som behandlar personuppgifter motsvarande skyldighet. Eftersom de myndigheter som beviljar tillstånd i allmänhet inte alltid kommer att vara den som behandlar eller för register över de uppgifter myndigheterna övervakar, har det ansetts ändamålsenligt att i lagen ta in bestämmelser om en anmälningsskyldighet som kompletterar bestämmelserna i dataskyddsförordningen.
56 §.Skyldighet för Tillståndsmyndigheten för social- och hälsovårdsuppgifter att rapportera till styrgruppen. I paragrafen föreskrivs om skyldigheten för Tillståndsmyndigheten för social- och hälsovårdsuppgifter att rapportera till sin styrgrupp om avvikelser från de tidsfrister som avses i 47 och 48 §. Tillståndsmyndigheten ska publicera uppgifter om avvikelserna. Skyldigheten ökar insynen i verksamheten.
57 §. Överklagande. I 1 mom. föreskrivs det om begäran om omprövning i ett beslut om ansökan om användningstillstånd enligt denna lag. Enligt 43 § i förslaget kan ett tillstånd återkallas, om det anses att det finns skäl för återkallandet. För tydlighetsskull har det i 58 § preciserats att det också får begäras omprövning i ett beslut om återkallande av ett tillstånd. Dessutom får omprövning begäras i ett beslut om utlämnande av anonymiserade uppgifter enligt 45 § samt i ett beslut som Tillstånds- och tillsynsverket för social- och hälsovården har fattat med stöd av denna lag. Omprövning ska begäras hos den myndighet som fattat beslutet. I bestämmelsen om omprövning hänvisas det till förvaltningslagen. Allmänna bestämmelser om förfarandet för begäran om omprövning finns i 7 a kap. i förvaltningslagen.
Enligt det föreslagna 2 mom. får ändring i ett beslut som har fattats om en begäran om omprövning sökas genom besvär hos förvaltningsdomstolen. Vid överklagandet ska bestämmelserna i förvaltningsprocesslagen tillämpas. Förvaltningsdomstolens beslut får överklagas genom besvär bara om högsta förvaltningsdomstolen beviljar besvärstillstånd
58 §.Ikraftträdande. Enligt paragrafen är avsikten att lagen ska träda i kraft den 1 januari 2018. En del av bestämmelserna ska dock börja tillämpas först senare. Avsikten är att även om lagen träder i kraft så snart som möjligt, ska den börja tillämpas stegvis då när det är mest ändamålsenligt med tanke på utvecklingen av datasystemen, andra författningar som är under beredning och de organisationsförändringar som är på kommande.
59 §. Övergångsbestämmelser. I paragrafens 1 mom. föreskrivs det att kommunen och samkommunen, till dess att lagen om ordnande av social- och hälsovården har trätt i kraft, har rätt att i enlighet med 41 § i denna lag behandla uppgifter avsedda för deras egna register och för det gemensamma register som avses i 9 § i hälso- och sjukvårdslagen.
Enligt 41 § i den föreslagna lagen har tillhandahållare av social- och hälsovård trots sekretessplikten rätt att på ett identifierbart sätt behandla och samköra känsliga klientuppgifter som har uppstått i tillhandahållarens egen verksamhet eller är införda i tillhandahållarens egna register, om detta är nödvändigt för att den serviceverksamhet som tillhandahållaren är ansvarig för ska kunna idkas, följas, utvärderas, planeras, utvecklas, ledas och övervakas. Paragrafen har utarbetats med beaktande av reformen av lagstiftningen om ordnandet av social- och hälsovården. Efter att lagen om ordnande av social- och hälsovård trätt i kraft är landskapen de offentliga tillhandahållare av tjänster som avses i bestämmelsen, men till dess är det kommunerna och samkommunerna som avses. Med stöd av en övergångsbestämmelse har kommunen eller samkommunen efter att lagen trätt i kraft rätt att under en övergångsperiod behandla uppgifter som har lagrats i de egna registren samt i det gemensamma register som avses i 9 § i hälso- och sjukvårdslagen för det ändamål som avses i 8 §.
I paragrafens 2 mom. föreslås bestämmelser om en övergångsperiod efter vilken Tillståndsmyndigheten för social- och hälsovårdsuppgifter får lämna ut identifierbara uppgifter till en tillståndshavare för att behandlas endast i en sådan informationssäker driftmiljö som avses i 20 § 3 mom. Enligt det föreslagna 20 § 1 mom. ska tillståndsmyndigheten ensam eller tillsammans med andra myndigheter förvalta en informationssäker driftmiljö som gör det möjligt att garantera en informationssäker, tillståndsenlig behandling av uppgifter som lämnats ut med stöd av ett användningstillstånd. Enligt 20 § 3 mom. är det emellertid möjligt att lämna ut också andra än anonymiserade uppgifter för att behandlas i en annan driftmiljö än den som avses i 1 mom. Ett villkor för detta är att det i ansökan särskilt motiveras varför detta är nödvändigt. Driftmiljön måste dessutom uppfylla villkoren i 21—29 § i den föreslagna lagen.
Identifierbara personuppgifter utlämnas vanligen i forskningssyften för vilka de kan sammanföras med uppgifter i journalhandlingar inom hälso- och sjukvården. Då behandlas de ofta i verksamhetsenhetens egna informationssystem avsedda för forskare, i vilka det tillsvidare inte genomförts alla dataskydds- och säkerhetskrav som förutsätts. Syftet med övergångsperioden är att säkerställa att forskningen inom hälso- och sjukvården inte hämmas då lagen träder ikraft. De berörda verksamhetsenheterna har dock skyldighet att se till att de datasystem som forskarna använder motsvarar kraven i 20 § 3 mom. senast då övergångsperioden gått ut.
Kraven ska börja tillämpas från och med den 1 januari 2020. Till dess får uppgifter utlämnas i enlighet med den lagstiftning som gäller för närvarande. I praktiken uppskattas det ta omkring två år att skapa informationssäkra driftmiljöer efter det att lagen godkänts. Dessutom är avsikten att social- och hälsovårdsreformen och landskapsreformen ska träda i kraft den 1 januari 2020. Landskapen skapar sina egna informationssystem där uppgifterna ska behandlas. Vid skapandet av landskapens system kan man sålunda beakta också de krav som ställs i denna lag. Därför är det motiverat att de krav som hänför sig till systemen kopplas till tidsplanen för social- och hälsovårdsreformen och landskapsreformen. De som tar emot information omfattas av tystnadsplikt redan enligt den gällande lagstiftningen. Dessutom ska behandling av personuppgifter från och med den 25 maj 2018 uppfylla kraven i EU:s dataskyddsförordning.
I 2 mom. föreskrivs dessutom om en lika lång övergångsperiod som ska gälla 54 § om kliniska fynd. Övergångsperioden behövs för att man ska hinna uppdatera informationssystemen så att det är tekniskt möjligt att genomföra förbudsrätten enligt 54 § 5 mom. Paragrafen kan inte tillämpas förrän förbudsrätten blir gällande, eftersom rätten med avseende på skyddet för personuppgifter är en betydande skyddsåtgärd som är nödvändig för att anmälningar om kliniska fynd ska kunna göras.
Paragrafens 3 mom. gäller den rätt som föreskrivs för Folkpensionsanstalten att under en övergångsperiod avvika från tidsfristerna för utlämnande av uppgifter enligt 47 § 4 mom. och 48 §. De uppgifter som utlämnas av Folkpensionsanstalten gäller ofta uppgifter ur flera förmånsregister från en lång tid och de finns i skilda informationssystem som skapats under olika perioder. Av detta följer att det för närvarande tar i medeltal 42 timmar effektiv arbetstid, dvs. ungefär 7 arbetsdagar, att plocka ut uppgifter för en begäran om information. Ungefär vart femte urval av uppgifter tar över 60 timmar att göra och vart tionde över 100 timmar. Vartefter Folkpensionsanstaltens informationssystem förnyas kan möjligheten att utnyttja dem förbättras och behövliga uppgifter kan plockas ut snabbare och enklare. Inte heller ur receptcentret och receptarkivet kan uppgifter ännu plockas ut inom de föreskrivna tidsfristerna.
Ett alternativ för att underlätta behandlingen av uppgifter är att skapa ett förgrundssystem, till vilket de uppgifter som behövs oftast kan överföras och där de kan uppdateras. Då skulle den behövliga arbetsvolymen och kostnaderna för Folkpensionsanstalten minska betydligt. Detta möjliggör också att tillståndsmyndigheten kan ges rätt att plocka ut uppgifterna direkt ur förgrundssystemet.
I 4 mom. ingår en övergångsbestämmelse för Kanta-tjänsterna. För närvarande lämnas inte uppgifter ur Kanta-tjänsterna ut för sekundära användningsändamål. Utlämnanden kan enligt 10 § 3 mom. i klientuppgiftslagen endast göras till riksomfattande personregister för hälsovården. Möjligheter att välja uppgifter ur Kanta-tjänsterna utvecklas som bäst. Urval kan redan delvis göras manuellt. Det realistiska är att alla uppgifter som registrerats i Kanta-tjänsterna kan fås för sekundära användningsändamål senast den 1 januari 2020.
Paragrafens 5 mom. innehåller en särskild bestämmelse som gäller behandlingen av uppgifter som frivilligt lämnats till myndigheterna och utlämnande av dem för användningsändamål enligt 2 §. Vid insamlingen av gamla uppgifter har man inte nödvändigtvis använt skriftliga blanketter för samtycke eller också kan det av andra skäl vara svårt att tolka samtyckena. Därför föreslås det att material som samlats in före lagens ikraftträdande får användas och lämnas ut för användningsändamål enligt 2 § oavsett vad som föreskrivs i 43 § 2 mom., om det är uppenbart att användningen och utlämnandet inte i väsentlig mån avviker från de syften för vilka uppgifterna har lämnats.
I paragrafens 6 mom. föreskrivs det om en övergångsperiod för sådana ansökningar som har gjorts före lagens ikraftträdande. Dessa ansökningar ska behandlas i enlighet med de bestämmelser som gällde före lagens ikraftträdande.
Ett undantag utgör ansökningar som gäller utlämnande av personuppgifter i enlighet med 4 § i lagen om riksomfattande personregister för hälsovården. På dem tillämpas inte skyldigheten enligt 1 mom. i nämnda paragraf att ge Dataombudsmannen möjlighet att bli hörd, utan rätten enligt 44 § 4 mom. i den föreslagna lagen om sekundär användning av personuppgifter inom social- och hälsovården att begära utlåtande av Dataombudsmannen om ansökan om användningstillstånd. Enligt 4 § i lagen om riksomfattande personregister ska uppgifter som införs i personregister som avses i denna lag hållas hemliga. Social- och hälsostyrelsen och läkemedelsverket kan dock ge tillstånd till utlämnande av personuppgifter, om utlämnandet sker för hälso- och sjukvårdsverksamhet, förebyggande eller behandling av sjukdomar eller för anknytande specifik vetenskaplig forskning och utlämnandet uppfyller kraven i 19 § 1 mom. 3 punkten i personregisterlagen (471/1987). Innan ett tillståndsbeslut utfärdas ska Dataombudsmannen ges möjlighet att bli hörd. Eftersom Institutet för hälsa och välfärd har lång erfarenhet av att bevilja användningstillstånd, är hörande inte motiverat i andra situationer än sådana där institutet behöver tolkningshjälp av Dataombudsmannen. Syftet med momentet är samtidigt att stegvis övergå till det föreslagna nya förfarandet för användningstillstånd samt att lätta den extra administrativa börda som orsakas av det lagstadgade hörandet av Dataombudsmannen.
I 7 mom. föreskrivsom en övergångsperiod för sådana rådgivningstjänster som avses i 13 §. Den startar i maj en månad innan Tillståndsmyndigheten för social- och hälsovårdsuppgifter inleder behandlingen av begäranden om information som gäller anonymiserade uppgifter. Att dela in tillståndsmyndighetens verksamhet i faser behövs eftersom tillståndsmyndighetens verksamhet inte kan inledas omedelbart när lagen träder i kraft.
Tillståndsmyndigheten börjar enligt 8 mom. behandla begäranden om information som gäller anonymiserad information den 1 juni 2018.
I 9 mom. föreskrivs om en övergångsperiod för ibruktagandet av tjänsten för insamling, samkörning och förbehandling av uppgifter, hanteringssystemet för begäranden om information samt i tillståndsmyndighetens informationssäkra driftmiljö. De tas i bruk samma dag som behandlingen av begäranden som gäller anonymiserade uppgifter inleds.
Enligt 10 mom. inleds tillståndsmyndighetens tillståndsbehandling den 1 september 2018. Därför föreslås att även lagarna om upphävande av 13 § 5 mom. i patientlagen och 18 § 5 mom. i klientlagen samt lagen om ändring av 15 § 4 mom. i lagen om elektroniska recept träder i kraft samma dag som tillståndsmyndigheten inleder sin verksamhet. Därmed är Institutet för hälsa och välfärd fortfarande under övergångsperioden den myndighet som beviljar användningstillstånd i de situationer som avses i nämnda moment. Däremot kan enskilda registeransvariga redan bevilja användningstillstånd för sina egna material i enlighet med denna lag.
1.2
Lagen om Institutet för hälsa och välfärd
I detta lagförslag överförs bestämmelser som gäller Institutet för hälsa och välfärds statistikmyndighetsuppgifter och register till lagen om Institutet för hälsa och välfärd. Samtidigt upphävs lagen om statistikväsendet vid forsknings- och utvecklingscentralen för social- och hälsovården och lagen om riksomfattande personregister för hälsovården, vilka hittills innehållit bestämmelser om institutets statistikmyndighets- och registeruppgifter. På så vis ändras regleringen om Institutet för hälsa och välfärds personregister så att den överensstämmer med grundlagen.
Samtidigt skapas förutsättningar för att Institutet för hälsa och välfärd bättre ska kunna utföra de uppgifter institutet får i social- och hälsovårdsreformen. Utvärderingen av institutets uppgifter och roll i relation till social- och hälsovårdsreformen pågår dock fortfarande delvis när denna proposition färdigställs. Lagen som gäller institutet behandlas därför sannolikt på nytt av riksdagen när institutets ställning har klarnat. Samtidigt kan vid behov preciseras vilka uppgifter som omfattas av Institutet för hälsa och välfärds rätt att få information.
Likaså bedöms lagstiftningen inom social- och hälsovårdsministeriets förvaltningsområde som en helhet i förhållande till EU:s dataskyddsförordning under hösten 2017 och våren 2018. Då kommer även lagen om Institutet för hälsa och välfärd att granskas ännu noggrannare i förhållande till dataskyddsförordningen.
2 §. Uppgifter. Enligt 2 § 1 mom. 3 punkten i den gällande lagen om Institutet för hälsa och välfärd ska institutet bedriva forskning och utveckling inom branschen och främja innovationer samt ta initiativ och göra framställningar som behövs för att utveckla social- och hälsovården och dess service och främja befolkningens hälsa och välfärd. I punkten görs en teknisk ändring så att den förutom 3 punkten får 3 a- och b-punkter. Syftet med ändringen är att skilja åt uppgifter med olika behandlingsgrunder vid institutet. Forskning, utveckling och innovationer samt att ta initiativ och göra framställningar är tre mycket olika behandlingsändamål. I den föreslagna 5 § föreskrivs om institutets rätt att få information om dessa tre uppgifter endast för forskningssyfte.
Enligt 1 mom. 4 punkten ska institutet föra register inom branschen samt sörja för kunskapsunderlaget för sitt uppgiftsområde och för användningen av det. Vidare har Institutet för hälsa och välfärd till uppgift att vara sådan statistikmyndighet inom branschen som avses i 2 § 2 mom. i statistiklagen (280/2004). En bestämmelse om den senare uppgiften tas in i 2 § 1 mom. 4 c-punkten och i den nya 5 i §.
Institutet för hälsa och välfärd kan samla in datamaterial (bl.a. forsknings- och registermaterial). Ur dessa material kan härledas statistiska uppgifter, men de har inte primärt samlats in för statistiska ändamål och utgör således inte i första hand material som samlats in för statistiska ändamål. Sådana forsknings-, register- och andra material kan användas för skötseln av Institutet för hälsa och välfärds uppgifter i enlighet med lagstiftningen. Institutet för hälsa och välfärd kan dessutom samla in uppgifter uttryckligen för statistiska ändamål och då namnges uppgiftsinsamlingen enligt det syftet och behandlas som statistiskt material.
En förutsättning för att Institutet för hälsa och välfärd ska kunna sörja för kunskapsunderlaget för uppgiftsområdet och för en effektivare användning av materialet är att det får smidigare och självständiga än förut definiera och upprätthålla datafiler och föra register. Därför definieras datainnehållet i register som samlas in och förs inte längre enligt variabel utan enligt datatyp i 5 §. Institutet kan förutom att upprätthålla datafiler och föra register behandla de uppgifter som avses i 5 § när det
undersöker och följer befolkningens välfärd och hälsa, faktorer som påverkar dem och problem i anslutning till dem, hur utbredda problemen är och möjligheterna att förebygga dem, samt utveckla och främja åtgärder för att främja välfärd och hälsa och minska problem i anslutning till dem,
undersöker, följer, utvärderar, utvecklar och styr verksamheten inom social- och hälsovården och ger den experthjälp som behövs för att genomföra sådan politik och tillämpa sådana tillvägagångssätt och förfaranden som främjar välfärd och hälsa,
bedriver forskning inom branschen, samt
för kvalitetsregister inom branschen.
För Institutet för hälsa och välfärd föreskrivs totalt flera dataintensiva uppgifter, och ett effektivt och tillförlitligt utförande av dem förutsätter behandling av personuppgifter och andra sekretessbelagda uppgifter. För att uppgifterna ska kunna utföras är det i praktiken nödvändigt att behandla personuppgifter. Bestämmelser om institutets lagstadgade uppgifter finns i 2 § i lagen om Institutet för hälsa och välfärd och i ett flertal speciallagar, såsom lagen om smittsamma sjukdomar (1227/2016). När Institutet för hälsa och välfärd behandlar personuppgifter kan också den lagstadgade grunden för behandlingen av uppgifter därför i olika situationer följa av olika punkter i artiklarna 6 och 9.
Enligt artikel 6.1 c i den allmänna dataskyddsförordningen får personuppgifter behandlas om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse för den registeransvarige. När arten av och syftet för Institutet för hälsa och välfärds behandling av personuppgifter är noga definierade, kan behandlingen av uppgifter bygga på artikel 6.1 c.
En del av Institutet för hälsa och välfärds uppgifter behövs för att utföra den uppgift av allmänt intresse som avses i artikel 6.1 e i dataskyddsförordningen eller utöva sådan offentlig makt som hör till den registeransvarige. Institutet för hälsa och välfärd har många uppgifter som betjänar folkhälsan och ordnandet av social- och hälsovårdstjänster och är av allmänt intresse. I vissa situationer, t.ex. i vissa av institutets undersökningar, kan behandlingen av personuppgifter också bygga på den registrerades samtycke enligt artikel 6.1 a, förutsatt att samtycket uppfyller förutsättningarna i dataskyddsförordningen.
Kraven på behandlingen av uppgifter som hör till särskilda kategorier av personuppgifter, dvs. känsliga uppgifter, som hälsovårdsuppgifter, är strängare enligt artikel 9 i dataskyddsförordningen. Behandlingen av dem är i princip förbjuden. De kan dock för det första enligt artikel 9.2 b i förordningen behandlas för att den registeransvarige ska kunna fullgöra sina särskilda rättigheter, om behandlingen är nödvändig för att den registeransvarige ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbetsrätten och på områdena social trygghet och socialt skydd. I lagen ska då även tas in bestämmelser om lämpliga skyddsåtgärder. I synnerhet Institutet för hälsa och välfärds uppgifter i anslutning till social trygghet kan bygga på denna underpunkt.
Behandlingen av känsliga uppgifter vid Institutet för hälsa och välfärd kan också basera sig på artikel 9.2 g, enligt vilken känsliga uppgifter kan behandlas, om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av medlemsstatens lagstiftning. Lagstiftningen ska då stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.
Enligt artikel 9.2 h i förordningen kan känsliga uppgifter behandlas bland annat för medicinska diagnoser och förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av medlemsstaternas nationella rätt och under förutsättning att de villkor och skyddsåtgärder som avses i punkt 3 i artikeln är uppfyllda. Enligt punkt 3 förutsätts att uppgifterna behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ eller av en annan person som också omfattas av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ. Till exempel Institutet för hälsa och välfärds uppgifter i anslutning till rättsmedicin kan skötas på denna grund.
Enligt artikel 9.2 i får känsliga uppgifter också behandlas om det är nödvändigt av skäl av allmänt intresse på folkhälsoområdet, såsom behovet av att säkerställa ett skydd mot allvarliga gränsöverskridande hot mot hälsan eller säkerställa höga kvalitets- och säkerhetsnormer för vård och läkemedel eller medicintekniska produkter, på grundval av unionsrätten eller medlemsstaternas nationella rätt, där lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter fastställs, särskilt tystnadsplikt. Till exempel i lagen om smittsamma sjukdomar har Institutet för hälsa och välfärd ålagts sådana uppgifter som kan motiveras med denna underpunkt.
När Institutet för hälsa och välfärd i egenskap av myndighet sköter sina lagstadgade uppgifter, behöver det inte användningstillstånd från Tillståndsmyndigheten för social- och hälsovårdsuppgifter som avses i den föreslagna lagen om sekundär användning av personuppgifter inom social- och hälsovården. Om Institutet för hälsa och välfärd tillsammans med en annan myndighet eller andra organisationer sköter lagstadgade uppgifter, får de inte lämna ut uppgifter till varandra för en annans lagstadgade uppgift, om det inte finns en grund för detta i lag. Till exempel i 24 § 2 mom. i lagen om smittsamma sjukdomar föreskrivs att Institutet för hälsa och välfärd och den läkare som i samkommunen för sjukvårdsdistriktet ansvarar för smittsamma sjukdomar har oberoende av sekretessbestämmelserna rätt att kostnadsfritt av de kommunala och de statliga hälsovårds-, hälsoskydds- och veterinärmyndigheterna och myndigheterna för livsmedelstillsyn, av de laboratorier som avses i 18 §, från verksamhetsenheter inom den privata socialvården och hälso- och sjukvården samt självständiga yrkesutövare inom hälso- och sjukvården få de uppgifter som behövs för att upptäcka epidemier som avses i 23 §, utreda orsaken till dem och spåra smittan och att i detta syfte behandla uppgifter som de som insjuknat i en smittsam sjukdom och andra har lämnat till dem.
Institutet för hälsa och välfärd ska ansöka om användningstillstånd hos den tillståndsmyndighet som avses i den föreslagna lagen om sekundär användning av personuppgifter inom social- och hälsovården när det behöver uppgifter från andra registeransvariga i situationer när
Institutet för hälsa och välfärd inte sköter sin myndighetsuppgift.
Institutet för hälsa och välfärd verkar på en konkurrensutsatt marknad och dess myndighetsställning skulle kunna snedvrida konkurrensen.
Institutet för hälsa och välfärd verkar i ett forsknings- eller motsvarande gemensamt projekt tillsammans med offentliga eller privata aktörer och det behövs uppgifter från andra registeransvariga i projektet.
Till uppgifterna för Institutet för hälsa och välfärd fogas dessutom en ny 1 mom. 4 d-punkt om förandet av kvalitetsregister. Med kvalitetsregister avses enligt 5 i § ett register vars uppgifter används för utvärdering av behandlingen av en viss sjukdom eller en viss behandlingsmetod. I registret lagras på ett strukturerat sätt nödvändiga personuppgifter i anknytning till sjukdomen och behandlingsmetoden eller tillhandahållandet av socialservice. I registret får dessutom lagras uppgifter om vilken verksamhetsenhet som svarat för behandlingen eller servicen och vilka personer som gett behandlingen eller servicen för att dess kvalitet ska kunna utvärderas.
I ett kvalitetsregister ska behandling av personuppgifter bygga på lag. Behandlingsgrunden följer av artikel 6.1 e i dataskyddsförordningen, enligt vilken personuppgifter får behandlas, om det är nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den registeransvariges myndighetsutövning.
Personuppgifter i kvalitetsregister behandlas för andra ändamål än det som de ursprungligen samlades in för. Därför ska det i ett demokratiskt samhälle dessutom vara en nödvändig och proportionerlig åtgärd för att trygga de mål som avses i artikel 23 i dataskyddsförordningen, såsom den registrerades rättigheter eller folkhälsa och social trygghet. Behandling av personuppgifter i anknytning till kvalitetsregister är i ett demokratiskt samhälle nödvändigt i syfte att säkerställa folkhälsa och social trygghet i enlighet med artikel 23 i förordningen.
Enligt 8 § i hälso- och sjukvårdslagen ska verksamheten inom hälso- och sjukvården baseras på evidens, god vårdpraxis och goda rutiner. Verksamheten inom hälso- och sjukvården ska vara av god kvalitet och säker och bedrivas på behörigt sätt. Detta mål kan uppnås med hjälp av kvalitetsregister. Genom dem fås empirisk kunskap om och bevis för hur bra en viss behandling eller behandlingsmetod fungerar.
Därmed ska artikel 9.2 i vara grunden för behandlingen till de delar känsliga uppgifter enligt artikel 9 behöver samlas in i registret, såsom uppgifter om hälsa. Enligt artikel 9 i i dataskyddsförordningen får känsliga personuppgifter behandlas om behandlingen är nödvändig av skäl av allmänt intresse på folkhälsoområdet, såsom behovet av att säkerställa ett skydd mot allvarliga gränsöverskridande hot mot hälsan eller säkerställa höga kvalitets- och säkerhetsnormer för vård, på grundval av medlemsstaternas nationella rätt, där lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter fastställs, särskilt tystnadsplikt. Syftet med kvalitetsregister ska uttryckligen vara att säkerställa höga kvalitets- och säkerhetsnormer för hälso- och sjukvården. Den som behandlar personuppgifter i kvalitetsregister omfattas av lagstadgad tystnadsplikt. I registren får lagras endast personuppgifter som är nödvändiga med avseende på kvalitetsregistrets syfte.
5 §. Rätt att få och att behandla uppgifter. Det föreslås att gällande 5 § ändras. I den ändrade paragrafen föreskrivs om vilka aktörer som är skyldiga att lämna uppgifter till Institutet för hälsa och välfärd för vissa lagstadgade uppgifter och vilken typ av uppgifter informationsskyldigheten gäller. Bestämmelser om Institutet för hälsa och välfärds uppgifter finns förutom i lagen som gäller institutet i ett flertal andra lagar som också innehåller bestämmelser om institutets rätt att få information för de aktuella uppgifterna. Däremot ska den rätt att få information som föreslås i 5 § 1 mom. endast gälla de lagstadgade uppgifter som avses i 2 § 1—3 och 4 punkten i denna lag. Institutet ska enligt 2 § 1—3, 4 och 4 d punkten
1) undersöka och följa befolkningens välfärd och hälsa, faktorer som påverkar dem och problem i anslutning till dem, hur utbredda problemen är och möjligheterna att förebygga dem, samt utveckla och främja åtgärder för att främja välfärd och hälsa och minska problem i anslutning till dem,
2) undersöka, följa, utvärdera, utveckla och styra verksamheten inom social- och hälsovården och ge experthjälp för att genomföra sådan politik och tillämpa sådana tillvägagångssätt och sådan praxis som främjar välfärd och hälsa,
3) bedriva forskning inom branschen,
4) upprätthålla datafiler och föra register inom området och sörja för kunskapsunderlaget inom sitt uppgiftsområde och för nyttiggörandet av det, och
föra kvalitetsregister inom branschen.
Till de delar det i sådana uppgifter som ålagts Institutet för hälsa och välfärd behandlas personuppgifter enligt denna paragraf ska det finnas en behandlingsgrund enligt artikel 6 i dataskyddsförordningen för behandlingen. I alla de uppgifter som räknas upp behövs behandling i enlighet med artikel 6.1 e för att Institutet för hälsa och välfärd ska kunna utföra en uppgift av allmänt intresse som tilldelats institutet. De uppgifter för Institutet för hälsa och välfärd som räknas upp här är mycket betydande ur samhällssynvinkel, eftersom målet för dem bland annat är att minska ojämlikhet och marginalisering, utveckla och bedöma social- och hälsovårdstjänster samt säkerställa ett hållbart välfärdssamhälle. Därför är de helt klart förenliga med det allmänna intresset.
Eftersom Institutet för hälsa och välfärd för skötseln av dessa uppgifter ska ha rätt att även behandla känsliga uppgifter enligt artikel 9 i dataskyddsförordningen, ska behandlingsgrunden dessutom härledas ur artikel 9.2. Till de delar det är fråga om ren vetenskaplig forskningsverksamhet som bedrivs av Institutet för hälsa och välfärd, följer grunden för behandlingen av artikel 9.2 j i dataskyddsförordningen. Enligt den kan känsliga uppgifter behandlas, om behandlingen är nödvändig för vetenskapliga forskningsändamål i enlighet med artikel 89, på grundval av medlemsstatens lagstiftning, vilken ska stå i proportion till syftet, är förenlig med rätten till dataskydd och innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.
Det är fråga om behandling för ett vetenskapligt forskningsändamål, när institutet enligt punkt 3 i det som räknas upp ovan behandlar personuppgifter i forskning inom området. Det är likaså fråga om detta när uppgifter för ändamål enligt punkt 1) och 2) behandlas för vetenskaplig forskning. Om det i ett material som baserar sig på vetenskaplig forskning dras slutsatser utifrån anonyma uppgifter till exempel för ändamål enligt punkt 1) och 2), förutsätter behandlingen av uppgifter inte längre en grund enligt artikel 9 i dataskyddsförordningen, eftersom det inte längre är fråga om behandling av personuppgifter.
Om personuppgifter i enlighet med punkterna 1) och 2) behandlas för andra än vetenskapliga forskningsändamål, måste det hittas en annan grund för behandlingen av uppgifter i förordningen. En sådan grund skulle vara artikel 9.2 g enligt vilken känsliga uppgifter får behandlas om det är nödvändigt av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, förutsatt att den står i proportion till det eftersträvade syftet, är förenlig med det väsentliga innehållet i rätten till dataskydd och innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.
Institutet för hälsa och välfärds uppgifter enligt 2 § 1—2 och 4 punkten tryggar mål av generellt allmänt intresse i anknytning till folkhälsa och social trygghet enligt artikel 23.1 e i dataskyddsförordningen. I artikel 6.4 förutsätts att sekundär användning av uppgifter enligt medlemsstatens lagstiftning utgör en nödvändig och proportionell åtgärd för att uppnå målen enligt artikel 23. Målet för Institutet för hälsa och välfärds lagstadgade uppgifter är utöver forskning bl.a. att producera information till stöd för beslutsfattande som möjliggör skydd mot hot mot hälsan, förbättra kvaliteten på social- och hälsovårdstjänster och systemets sätt att fungera, främja förverkligandet av social trygghet och öka befolkningens välfärd samt förebygga problem i anknytning till dessa. En del av uppgifterna fullgör delvis även behandlingsändamålen enligt artikel 9.2 h och i i dataskyddsförordningen, men som helhet betraktat fullgör de uppgifter i samband med tryggandet av ett viktigt allmänt intresse, dvs. folkhälsa och social trygghet. När det gäller kvalitetsregister följer grunden för behandling av känsliga uppgifter av artikel 9.2 h i enlighet med vad som beskrivs i motiveringen till 2 § 4 d.
Både artikel 9.2 j och g i dataskyddsförordningen förutsätter dessutom lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Inom vetenskaplig forskning följer dessa skyddsåtgärder av den gällande personuppgiftslagen och i fortsättningen av den allmänna lag som ska ersätta personuppgiftslagen och är under beredning vid justitieministeriet. Dessutom har Institutet för hälsa och välfärds experter till följd av offentlighetslagen tystnadsplikt i alla användningsändamål. En skyddsåtgärd är också att uppgifter inte ska användas till beslutsfattande som gäller en individ och att Institutet för hälsa och välfärd endast ska ha rätt att få uppgifter som är nödvändiga för skötseln av sina uppgifter. Dataombudsmannen har rätt att begära omprövning av Institutet för hälsa och välfärds beslut om uppgiftsinsamling. Institutet ska dessutom samråda med registeransvariga om nya uppgiftsinsamlingar eller betydande förändringar i dem.
I den gällande 5 § i lagen om Institutet för hälsa och välfärd föreskrivs redan om institutets rätt att samla in och behandla personuppgifter samt blod- och vävnadsprov. Nu utfärdas noggrannare bestämmelser om institutets rätt att samla in uppgifter. Utgångspunkten är att alla de uppgifter som lämnas ska vara nödvändiga för skötseln av institutets ovan beskrivna uppgifter, eftersom uppgifterna inom målområdet för hälsa och välfärd i regel är sekretessbelagda och även känsliga personuppgifter. För behandlingen av blod- och vävnadsprov gäller i fortsättningen 5 e §.
För att Institutet för hälsa och välfärd ska kunna utföra sina uppgifter förutsätts i praktiken att det samlas in uppgifter om bland annat relevanta levnadsförhållanden och levnadssätt, andra miljöfaktorer, sjukdomar och deras riskfaktorer samt användningen av hälso- och socialvårdstjänster. Institutet samlar in uppgifter antingen från den registrerade med stöd av ett skriftligt samtycke eller ur register eller databaser hos olika myndigheter eller privata och offentliga anordnare och producenter inom social- och hälsovården eller i enlighet med behörighet som föreskrivs i en annan lag. Med stöd av de insamlade uppgifterna framställer Institutet för hälsa och välfärd bland annat statistik, indikatorer, uppföljningsrapporter och undersökningar om befolkningens hälsa och välfärd, användningen av social- och hälsovårdstjänster, kostnader, produktivitet, effektivitet, kostnadsnyttoeffekt och patientsäkerhet.
Sekretessplikten i fråga om uppgifter följer direkt av offentlighetslagen, vars 24 § innehåller bestämmelser om sekretessbelagda uppgifter. Sekretessbelagda enligt offentlighetslagen är handlingar som innehåller uppgifter om en klient hos socialvården eller en enskild kund hos arbetsförvaltningen samt de förmåner eller stödåtgärder eller den socialvårdsservice eller den service för arbetsförvaltningens enskilda kunder denne erhållit eller uppgifter om en persons hälsotillstånd eller handikapp, den hälsovård eller rehabilitering som denne har erhållit eller uppgifter om någons sexuella beteende eller inriktning. Sekretessbelagda är likaså handlingar som innehåller uppgifter om en persons politiska övertygelse eller uppgifter om åsikter som personen har uttalat privat eller uppgifter om någons levnadssätt, deltagande i föreningsverksamhet eller fritidssysselsättningar, familjeliv eller andra med dem jämförbara personliga förhållanden. Offentlighetslagen är direkt bindande för Institutet för hälsa och välfärd, eftersom den är en myndighet.
Paragrafens 1 mom. ska gälla institutets rätt att få uppgifter från uppgiftsskyldiga för sina lagstadgade uppgifter. Registeransvarig för de uppgifter som ska samlas in och behandlas är Institutet för hälsa och välfärd. Skyldiga att lämna uppgifter är myndigheter som ordnar social- och hälsovård, privata aktörer som ordnar och producerar social- och hälsovårdstjänster, Folkpensionsanstalten som lyder under riksdagen, Valvira, Befolkningsregistercentralen och Statistikcentralen.Syftet med uppgiftsskyldigheten är att effektivisera insamlingen av uppgifter och undvika överlappande uppgiftginsamlingar som belastar både dem som producerar och dem som samlar in information. I mån av möjlighet används uppgifter som en gång registrerats elektroniskt smidigt förutom för deras primära användningsändamål även för skötseln av Institutet för hälsa och välfärds uppgifter.
Med stöd av bestämmelsen har Institutet för hälsa och välfärd rätt att avgiftsfritt och trots sekretessplikten och andra begränsningar för erhållandet av information få de uppgifter som anges i paragrafen tillsammans med identifieringsuppgifter för hela befolkningen. Samråd om utlämnande av nya uppgifter och det praktiska genomförandet av dataurval förs med de uppgiftsskyldiga på det sätt som föreskrivs i 5 d § i lagen. I form av sådan identifieringsuppgift som nämns i momentet samlas i personmaterial alltid in en persons personbeteckning och i organisationsmaterial en identifierare som gör det möjligt att identifiera en organisation och i fråga om byggnader en byggnadskod. I nationella personregister inom hälso- och sjukvården har sedan 1970-talet samlats in de registrerades personbeteckningar som identifieringsuppgift. Personbeteckningen som identifieringsuppgift är nödvändig för att uppgifternas kvalitet och omfattning ska kunna bedömas. Genom insamlingen av personbeteckningar kan den totala svarsbördan för uppgiftslämnare minskas, eftersom uppgifter kan samköras och kontrolleras i andra informationskällor. En entydig identifierare är också en nödvändig förutsättning för vetenskaplig forskning samt framställandet av statistik som beskriver servicekedjor och den totala användningen av tjänster. I praktiken har användningen av direkta identifieringsuppgifter minimerats och pseudoidentifierare tagits i bruk vid behandlingen av uppgifter.
I 1 mom. 1 punkten föreskrivs huvudsakligen om uppgifter som privata och offentliga anordnare och producenter av social- och hälsovårdstjänster lämnar till Institutet för hälsa och välfärd. Syftet med bestämmelsen är att möjliggöra kontinuitet i uppgiftsinsamlingar som för närvarande regleras i lagen och förordningen om riksomfattande personregister för hälsovården samt lagen om statistikväsendet vid Forsknings- och utvecklingscentralen för social- och hälsovården och utveckling av dem så att de överensstämmer med dagens informationsbehov i fråga om tjänster både inom socialvården och inom hälso- och sjukvården. De nuvarande och framtida informationsbehoven vid skötseln av Institutet för hälsa och välfärds uppgifter förutsätter förvärv av en bred kunskapsbas som förutom tidigare uppgiftsinsamlingar även omfattar bland annat nya uppgifter om verksamheten i branschen. De äldsta registren som förs av Institutet för hälsa och välfärd startades av medicinalstyrelsen på 1950- och 1960-talet och de används alltmer inom forskning, statistikföring samt hälso- och välfärdsuppföljning. Institutet för hälsa och välfärds nuvarande nationella register är vårdanmälningsregistren inom primärvården, den specialiserade sjukvården och socialvården, klientinventering inom hemvården, cancerregistret, massundersökningsregistret, missbildningsregistret, registret över födelser, registret över aborter och sterilisering, implantatregistret, synskaderegistret, barnskyddsregistret och utkomststödsregistret.
Sekretessbelagda och känsliga personuppgifter som ska samlas in med stöd av skyldigheten att lämna uppgifter är uppgifter om institutionsvård och öppenvårdstjänster samt prehospital akutsjukvård av en kund eller patient, foster eller barn som fötts levande eller fötts döda samt uppgifter om modern och fadern, om han är känd, uppgifter om serviceanordnare och producent, tidpunkt för inledande och avslutande av servicen, kundens hemort och boendeform, grunden för tillhandahållande av servicen och tillgången till den, behovet, arten och omfattningen i fråga om servicen, sjukdom, skada, handikapp, social situation eller medicinskt tillstånd samt anknytande åtgärder och beslut, tjänster och vård, undersökningsresultat, medicinering och rehabilitering, vaccineringar samt annat förebyggande av sjukdomar och servicebehov, kvaliteten på åtgärder och tjänster och deras verkningsfullhet, produktsäkerheten i fråga om produkter och utrustning för hälso- och sjukvård, kund- och patientsäkerhet, personal och andra resurser som använts för tjänsterna samt kostnaderna för dem och avgifter som tagits ut för tjänsterna. Uppgifter om avbrytande av havandeskap och om sterilisering enligt vad som föreskrivs om dem i lagen om avbrytande av havandeskap (239/1970) och i steriliseringslagen (283/1970) samt i författningar som utfärdats med stöd av dem.
I 1 mom. 2 punkten föreskrivs om rätten för Institutet för hälsa och välfärd att från Folkpensionsanstalten få uppgifter tillsammans med identifieringsuppgifter trots sekretessplikten och andra begränsningar i fråga om användningen av uppgifter. Bestämmelser om erhållande av uppgifter om förmåner som enligt bestämmelserna ska verkställas av Folkpensionsanstalten och om användningen av dem finns för närvarande i 5 § 2 mom. i lagen om Institutet för hälsa och välfärd. Enligt gällande bestämmelse har Institutet för hälsa och välfärd rätt att avgiftsfritt och trots sekretessbestämmelserna och andra begränsningar i fråga om erhållande av information av Folkpensionsanstalten för statistikförings-, forsknings-, planerings- och utredningsuppgifter inom sitt verksamhetsområde få uppgifter om förmåner som Folkpensionsanstalten enligt bestämmelserna ska verkställa och uppgifter om hur förmånerna använts. Institutet för hälsa och välfärd svarar också för planeringen och styrningen av användningen och realiseringen av elektroniska recept och av de nationella informationssystemtjänster som avses i lagen om elektroniska recept.
Folkpensionsanstalten är med stöd av bestämmelsen skyldig att till Institutet för hälsa och välfärd lämna ut de uppgifter som nämns i bestämmelsen om förmåner som enligt bestämmelserna ska verkställas av Folkpensionsanstalten och om användningen av dem samt sådana uppgifter om recept och anknytande receptexpedieringar ur receptarkivet och receptdatabasen som avses i lagen om elektroniska recept. Avsikten är att bestämmelsen ska främja en informationssäker och administrativt ändamålsenlig behandling av uppgifterna så att begäranden om information som görs för lagstadgade uppgifter inte ska behöva skötas genom separata begäranden om information, användningstillstånd och leveranser. För att underlätta urvalet av uppgifter kan också inrättas en särskild teknisk anslutning mellan Folkpensionsanstalten och Institutet för hälsa och välfärd.
Institutet för hälsa och välfärd har med stöd av 2 punkten även rätt till uppgifter som lagrats i de Kanta-tjänster som avses i klientuppgiftslagen. Tjänsterna omfattar bland annat uppgifterna i det nationella patientdataarkivet, logguppgifterna för tjänsterna och uppgifterna i medborgargränssnittet (Mina Kanta-sidor). I fortsättningen kommer också klienthandlingar som gäller socialvårdsklienter att föras in i Kanta-tjänster i hela landet.
Bestämmelser om rätten för Institutet för hälsa och välfärd att behandla uppgifter i det nationella patientuppgiftsarkivet finns i 10 § 3 mom. i lagen om elektronisk behandling av klientuppgifter inom social- och hälsovården, enligt vilket utlämnandet av uppgifter till riksomfattande personregister för hälsovården enligt lagen om riksomfattande personregister för hälsovården och de bestämmelser som utfärdats med stöd av den med hjälp av de riksomfattande informationssystemtjänsterna kan utföras åt de tillhandahållare av hälso- och sjukvårdstjänster som anslutit sig till arkiveringstjänsten.
Institutet för hälsa och välfärd ska ha rätt att plocka ut uppgifter direkt ur Kanta-tjänsterna. Detta förutsätter att informationssystemen vid Institutet för hälsa och välfärd utvecklas så att de blir interoperabla med Kanta-tjänsterna. Enligt klientuppgiftslagen sköter Folkpensionsanstalten den tekniska driften av dessa tjänster för de registeransvarigas räkning. Detta innebär att Folkpensionsanstalten verkar som sådan registerförare som avses i dataskyddsförordningen för dessa uppgifter.
I 1 mom. 3 punkten föreskrivs om sådana uppgifter som kan fås från Tillstånds- och tillsynsverket för social- och hälsovården och som Institutet för hälsa och välfärd behandlar för sina forsknings- och uppföljningsuppgifter. Uppgifter om avbrytande av havandeskap och om sterilisering enligt vad som föreskrivs om dem i lagen om avbrytande av havandeskap och i steriliseringslagen samt i förordningar som har utfärdats med stöd av dem. Uppgifter från nämnden för abort- och steriliseringsärenden vid Tillstånds- och tillsynsverket för social- och hälsovården är nödvändiga för att komplettera de medicinska registren för reproduktiv hälsa vid Institutet för hälsa och välfärd. Dessutom behövs uppgifter ur det centralregister över yrkesutbildade personer inom hälso- och sjukvården som avses i 24 a § i lagen om yrkesutbildade personer inom hälso- och sjukvården (559/1994) och ur det centralregister över yrkesutbildade personer inom socialvården som avses i 16 § i lagen om yrkesutbildade personer inom socialvården (817/2015). Personaluppgifter behövs när statistik ska upprättas över personalen och kostnaderna inom social- och hälsovården. Avsikten är att bestämmelsen ska främja en informationssäker och administrativt ändamålsenlig behandling av uppgifterna så att begäranden om information som görs för lagstadgade uppgifter inte ska behöva skötas genom separata användningstillstånd.
I 1 mom. 4 punkten föreskrivs om institutets rätt att få uppgifter ur befolkningsdatasystemet vid Befolkningsregistercentralen. Bestämmelser om befolkningsdatasystemet finns i lagen om befolkningsdatasystemet och Befolkningsregistercentralens certifikattjänster (661/2009). De uppgifter som ska plockas ut gäller hela befolkningen och de byggnads- och koordinatuppgifter som ingår i befolkningsdatasystemet. Genom de uppgifter som plockas ut kompletteras institutets lagstadgade register och andra uppgiftsinsamlingar samt utförs urval som gäller hela bakgrundspopulationen för t.ex. uppföljning av vaccintäckningen samt sådana sampelurval och urval av kontrollgrupp som förutsätts för uppföljningar och undersökningar. Avsikten är att bestämmelsen ska främja en informationssäker och administrativt ändamålsenlig behandling av uppgifter så att begäranden om information för lagstadgade uppgifter inte behöver skötas med separata begäranden om information, användningstillstånd och dyra leveranser. Institutet för hälsa och välfärd gör egna urval ur befolkningsdatasystemet, eftersom institutet har kvalificerad expertis när det gäller urvalsmetoder.
I 1 mom. 5 punkten föreskrivs att institutet kan få uppgifter från Statistikcentralen om dödsorsaker i den form som Statistikcentralen elektroniskt registrerar dem i registret över dödsfall. Bestämmelser om uppgifterna finns i lagen om utredande av dödsorsak (459/1973). Enligt lagen om utredande av dödsorsak ska en verksamhetsenhet för hälso- och sjukvården eller läkaren anmäla dödsfall till befolkningsdatasystemet och till Institutet för hälsa och välfärd och Institutet för hälsa och välfärd vidare till Statistikcentralen. Statistikcentralen ska förvara handlingar och uppgifter som lämnats till centralen. Med de uppgifter som nämns i detta moment avses dödsfallsuppgifter som vidareförädlats av Statistikcentralen och som centralen har i elektronisk form. Med stöd av förordningen om riksomfattande personregister för hälsovården (774/1989) har institutet kunna registrera dödsattestuppgifter som en del av cancerregistret och synskaderegistret. I praktiken behöver uppgifter om dödsfall också samköras med institutets andra register för att uppföljningen av befolkningens hälsa och välfärd samt kvaliteten på patientsäkerheten och vården ska kunna stärkas. Avsikten är att bestämmelsen ska främja en informationssäker och administrativt ändamålsenlig behandling av uppgifterna så att begäranden om information som görs för lagstadgade uppgifter inte ska behöva skötas genom separata begäranden om information, användningstillstånd och leveranser, utan uppgifterna kan levereras som en helhet t.ex. en gång om året.
I 2 mom. föreskrivs att som sådan identifieringsuppgift som avses i 1 mom. samlas för en person in personbeteckningen och för andra dataenheter en identifieringskod. Institutet för hälsa och välfärd ska enligt 3 mom. ha rätt att få de uppgifter som avses i 1 och 2 mom. via en teknisk anslutning. Institutet kan vid behov även själv göra dataurval via en teknisk anslutning som öppnas av den uppgiftsskyldiga, eftersom institutet har kvalificerad expertis när det gäller urvalsmetoder.
5 a §.Utlämnande av uppgifter. I 1 mom. konstateras att uppgifter som samlats in med stöd av 5 § 1 mom. 1 punkten i lagen får lämnas ut på det sätt som föreskrivs i lagen om sekundär användning av personuppgifter inom social- och hälsovården. Uppgifterna samlas in från myndigheter som ordnar social- och hälsovård och aktörer som ordnar de aktuella tjänsterna privat. Av dessa uppgifter består bland annat uppgifterna i Institutet för hälsa och välfärd vårdanmälningsregister (Hilmo, Avohilmo).
I 2 mom. föreskrivs att trots vad som någon annanstans i lag föreskrivs om rätten eller skyldigheten att lämna ut sekretessbelagda uppgifter får uppgifter som samlats in med stöd av denna lag inte lämnas ut för att användas vid administrativt beslutsfattande som gäller enskilda personer eller familjer eller vid annan motsvarande behandling av ärenden. Motsvarande bestämmelse har funnits i lagen om riksomfattande personregister för hälsovården och lagen om statistikväsendet vid forsknings- och utvecklingscentralen för social- och hälsovården. Bestämmelsen utgör dock inte ett hinder för behandling av uppgifter som gäller den registrerade med stöd av 54 § i lagen om sekundär användning av personuppgifter inom social- och hälsovården, när det är fråga om ett kliniskt betydande fynd, om inte den registrerade har förbjudit kontakt på basis av ett kliniskt betydande fynd. Bestämmelsen är en skyddsåtgärd för den registrerades rättigheter och friheter enligt dataskyddsförordningen.
I 3 mom. föreskrivs om identifierbar återrapportering till informationsproducenter. Uppgifter som en sådan informationsproducent som anges i 5 § har tillhandahållit till Institutet för hälsa och välfärd kan lämnas tillbaka till den myndighet eller tjänstetillhandahållare som har lämnat datamaterialet till institutet. Att få tillbaka uppgifter som lämnats till institutet på radnivå är en ny tjänst som skulle bidra till att förbättra kvaliteten på de uppgifter som samlas in och användningen av uppgifterna på lokal nivå i beslutsfattande och i informationsledning.
5 b §. Bevaringstid för uppgifter. Institutet för hälsa och välfärd får i princip bevara material som innehåller identifieringsuppgifter så länge som det är nödvändigt för skötseln av institutets lagstadgade uppgifter. Därefter ska uppgifterna i regel förstöras inom ett år. Bestämmelsen är förenlig med 6 § i lagen om upphävande av lagen om statistikväsendet vid forsknings- och utvecklingscentralen för social- och hälsovården. I paragrafen ingår en hänvisning till arkivlagen. Enligt 8 § 2 mom. i arkivlagen (831/1994) ska arkivbildaren, dvs. i detta fall Institutet för hälsa och välfärd, bestämma bevaringstiderna och förvaringssätten för handlingar som inkommer och uppstår till följd av skötseln av uppgifterna och ha en arkivbildningsplan över dem.
I 2 mom. konstateras att de olika känsliga uppgifter som avses i artikel 9.1 i dataskyddsförordningen, såsom uppgifter om hälsa, dock ska utplånas ur registret så snart det inte längre finns någon grund enligt 1 mom. för behandling. Grunden och behovet av behandling ska bedömas minst vart femte år, om inte något annat följer av lag. Genom bestämmelsen skyddas i synnerhet uppgifter som enligt dataskyddsförordningen är känsliga och det skulle för behandlingen av dem vara en särskild skyddsåtgärd som skyddar den registrerades rättigheter och friheter.
5 c §. Uppgiftsskyldighet och beslut om uppgiftsinsamling. I 6 § i statistiklagen föreskrivs om en statistikmyndighets skyldighet att samråda med uppgiftslämnarna eller företrädarna för uppgiftslämnarna om vilka uppgifter som ska samlas in med stöd av uppgiftsskyldigheten, vilka tidsfrister och förfaringssätt som ska tillämpas vid insamlingen samt om återrapportering. I 7 § föreskrivs om en statistikmyndighets rätt att besluta vilka uppgifter som ska samlas in samt vilka förfaringssätt och tidsfrister som ska iakttas vid insamlingen. I fråga om sakinnehållet tas bestämmelser som huvudsakligen motsvarar 6 och 7 § i statistiklagen in i 5 c och 5 d § i lagen om Institutet för hälsa och välfärd och de ska gälla uppgiftsinsamlingar enligt 5 §.
Enligt 1 mom. är en registeransvarig vars registeruppgifter omfattas av den rätt till uppgifter som Institutet för hälsa och välfärd har enligt 5 § 1 mom. skyldig att ge institutet de uppgifter som avses i 5 § i enlighet med institutets beslut. De uppgifter som ska lämnas, leveranstiden och leveransformen preciseras i ett beslut från institutet.
I 2 mom. föreskrivs att Institutet för hälsa och välfärd beslutar vilka nya uppgiftsinsamlingar som ska genomföras på basis av den skyldighet att lämna uppgifter som avses i 1 mom. samt om utvidgning av uppgiftsinsamlingar, vilka tidsfrister och förfaranden som ska iakttas när uppgifterna lämnas samt om återrapportering till uppgiftslämnarna. När institutet med stöd av denna lag inleder en uppgiftsinsamling som är ny till datainnehåll och omfattning ska det fatta beslut om vilka uppgifter som ska samlas in, vilka tidsfrister som iakttas vid utlämnandet, på vilket sätt uppgifterna ska lämnas samt om återrapporteringen. I fortsättningen skulle det vara ändamålsenligt att uppgiftsinsamlingar utvidgas i synnerhet inom socialvården, och då fattas ett separat beslut om en ny skyldighet att lämna uppgifter. Uppgiftsinsamlingen kan givetvis inte utvidgas utanför rätten till information enligt 5 §.
Enligt 3 mom. begärs omprövning av institutets beslut enligt 2 mom. hos Institutet för hälsa och välfärd i den ordning som anges i förvaltningslagen (434/2003). Vidare ska dataombudsmannen ha rätt att begära omprövning och söka ändring i beslutet. Dataombudsmannens rätt att söka ändring skyddar den registrerades rättigheter och friheter och fungerar således som en skyddsåtgärd enligt dataskyddsförordningen.
Ändring i ett beslut om begäran om omprövning söks i enlighet med förvaltningsprocesslagen (568/1996) hos förvaltningsdomstolen och i förvaltningsdomstolens beslut med besvärstillstånd hos högsta förvaltningsdomstolen. Beslutet kan verkställas omedelbart, om inte besvärsmyndigheten förbjuder verkställigheten. Överklagande hindrar inte att beslutet verkställs, om inte besvärsmyndigheten uttryckligen förbjuder det. Institutets beslut om uppgiftsinsamling ska gälla tills vidare.
5 d §.Samrådsskyldighet och bedömning av behovet av information. I paragrafen föreskrivs om samråd som ska föras innan en ny uppgiftsinsamling görs. Innan Institutet för hälsa och välfärd fattar ett beslut enligt 5 c § 2 mom. om skyldighet att lämna uppgifter, ska det samråda med organisationer eller sammanslutningar som företräder de uppgiftslämnare som avses i 5 § 1 mom. samt vid behov höra Dataombudsmannen om insamlingen av uppgifter. Den part som företräder uppgiftslämnare vid samråd kan t.ex. vara Kommunförbundet eller någon annan motsvarande organisation som företräder uppgiftslämnarna.
Av 2 mom. framgår vilka frågor som åtminstone ska tas upp vid samrådet. Vid samråd bedöms behovet av de uppgifter som ska samlas in, innehållet och förändringar i dem samt bevaringstiden för uppgifterna och sättet att samla in dem samt behovet av identifieringsuppgifter.
I 3 mom. föreskrivs att samråd och hörande enligt 1 mom. ska ordnas i så god tid att synpunkterna hos de instanser som företräder uppgiftslämnarna och dataombudsmannen kan beaktas. Samråd ska ordnas också om en aktör som företräder uppgiftslämnarna begär det.
5 e §.Rätt att få och att hantera prover. I 5 § 3 mom. i den gällande lagen om Institutet för hälsa och välfärd föreskrivs att Institutet för fullgörande av forsknings- och utredningsuppgifter enligt 2 § eller någon annan lag får samla in och behandla personuppgifter och blod- och vävnadsprov. Den gällande bestämmelsen blir ny 5 e § och preciseras.
I motiveringen till regeringens proposition med förslag till lagen om Institutet för hälsa och välfärd (RP 124/2008 rd) konstateras i fråga om insamling av blod- och vävnadsprov att enligt 10 § i grundlagen utfärdas bestämmelser om skydd för personuppgifter genom lag. Bestämmelser om behandling eller utlämnande av personuppgifter och prov som tagits på människor finns förutom i personuppgiftslagen och lagen om offentlighet i myndigheternas verksamhet också i lagen om medicinsk forskning (488/1999) och i lagen om användning av mänskliga organ, vävnader och celler för medicinska ändamål (101/2001). Dessutom gäller att vid behandlingen av uppgifter och prov ska hänsyn tas till speciallagstiftningen om de berörda instanserna, arkiveringslagstiftningen och ibland också statistiklagen.
Av ovan nämnda motivering till regeringens proposition framgår också att det föreskrivs om grunden för behandlingen av biologiska prov delvis därför att det inte har funnits någon biobankslag som skulle reglera behandlingen av prov. Dessa blod- och vävnadsprov överfördes till Institutet för hälsa och välfärd från Folkhälsoinstitutet, när Stakes och Folkhälsoinstitutet slogs ihop och blev Institutet för hälsa och välfärd. Enligt den 1 a § som upphävdes i folkhälsolagen (327/1981) i och med lagen om Institutet för hälsa och välfärd fick Folkhälsoinstitutet samla in och behandla blod- och vävnadsprov för vetenskaplig forskning som gällde befolkningens hälsa och för att följa upp och övervaka befolkningens hälsa. Likaså hade Folkhälsoinstitutet rätt att förvara och använda prov som samlats in i samband med screeningundersökningar under graviditet för forskning.
En del av Institutet för hälsa och välfärds prov har överförts till en biobank sedan biobankslagen trädde i kraft. Alla prov har dock inte varit lämpade att överföra till en biobank, men de måste fortfarande behandlas i Institutets andra uppgifter. Dessutom överfördes rättsmedicinska uppgifter till Institutet för hälsa och välfärd och på grund av dem samlar Institutet för hälsa och välfärd fortfarande in blodprov. Till institutet för hälsa och välfärd har överförts gamla prov bland annat från Folkpensionsanstalten. De äldsta proven samlades in på 1960-talet.
En del av proven har med den registrerades samtycke samlats in för Institutet för hälsa och välfärds forskningsverksamhet. Bland annat därför att ett samtycke som getts i tiden inte längre uppfyller villkoren för samtycke i lagstiftning som gäller behandling av personuppgifter, har bestämmelser om grunden för behandlingen av prov utfärdats genom lag.
Därför har det ansetts motiverat att förvara den gällande bestämmelsen i lag. Institutet för hälsa och välfärds rätt att behandla uppgifter har dock begränsats till vad som är nödvändigt för att institutet ska kunna sköta sina uppgifter.
I och med den lagstadgade verksamheten får Institutet för hälsa och välfärd in forskningsprov i anknytning till befolkningens hälsa för analys, bl.a. för fastställande av faderskap, dödsorsak och rattfylleri etc. samt vid uppföljningen av pandemier. I dessa fall innehåller andra lagar bestämmelser om användningen och förvaringen av prov (såsom faderskapslagen, lagen om smittsamma sjukdomar).
En del av provsamlingarna vid Institutet för hälsa och välfärd har överförts till en biobank i enlighet med biobankslagen. I anknytning till detta förtydligas i 2 mom. Institutet för hälsa och välfärds behörighet vid överföringen av prov så att det uttryckligen föreskrivs om att prov som institutet innehar kan överföras till en biobank.
I 3 mom. ingår bestämmelser om bevaringstiden för prov. På förvaring av prov tillämpas 5 b §. I enlighet med 5 b § får Institutet för hälsa och välfärd bevara proven så länge det är nödvändigt för fullgörandet av sådana uppgifter där de behandlas, om det inte föreskrivs något annat om bevaring av uppgifter i någon annan lag som gäller institutet. Efter detta ska uppgifterna förstöras inom ett år, om inte Arkivverket med stöd av arkivlagen (831/1994) bestämmer att uppgifterna ska förvaras varaktigt.
De känsliga uppgifter som avses i artikel 9.1 i dataskyddsförordningen ska dock utplånas ur registret så snart det inte längre finns någon grund enligt 1 mom. för behandling. Grunden och behovet av behandling ska bedömas minst vart femte år, om inte något annat följer av lag. Detta gäller även prov.
5 f §. Överföring av betydelsefullt forskningsmaterial till Institutet för hälsa och välfärd. I den gällande lagen om Institutet för hälsa och välfärd flyttas 5 § 4 mom. och blir en ny 5 f §. Det föreslås att 1 mom. ändras så att material kan användas även i annan än Institutet för hälsa och välfärds egen forskningsverksamhet. Enligt den gällande bestämmelsen kan materialet nämligen användas endast i Institutet för hälsa och välfärds forskningsverksamhet. I övrigt föreslås inga ändringar i paragrafens innehåll.
Förutsättningen för överföring av material är att den etiska kommittéen har gett ett positivt utlåtande om det. Bestämmelsen i 2 mom. är en skyddsåtgärd enligt dataskyddsförordningen som tryggar den registrerades rättigheter.
5 g §.Rätt för Institutet för hälsa och välfärd att få uppgifter för att utföra sinnesundersökningar. I den gällande lagen om Institutet för hälsa och välfärd flyttas 5 § 5 och 6 mom. och blir en ny 5 g §. Bestämmelsen gäller rätten till information för Institutet för hälsa och välfärd och den rättspsykiatriska nämnd som verkar i anslutning till institutet. Enligt bestämmelsen har Institutet för hälsa och välfärd och den som på förordnande av Institutet för hälsa och välfärd med stöd av mentalvårdslagen (1116/1990) utför sinnesundersökningar rätt att få nödvändiga uppgifter för utförandet av sinnesundersökning av de instanser som räknas upp i paragrafen. Enligt den tidigare ordalydelsen hade Institutet för hälsa och välfärd rätt att få uppgifter som behövs för uppgiften och kunde bevilja anstalter tillstånd att avgiftsfritt få motsvarande uppgifter som institutet hade rätt till. Paragrafen preciseras så att den uppfyller kraven i grundlagen och dataskyddsförordningen. Bestämmelser om uppgifter i anknytning till sinnesundersökningar som görs av Institutet för hälsa och välfärd finns förutom i lagen om Institutet för hälsa och välfärd dessutom i synnerhet i 16 § i mentalvårdslagen.
I paragrafen föreskrivs dessutom att nämnden för rättspsykiatriska ärenden har rätt att få motsvarande information för fullgörande av uppgifter enligt 3 a § 2 mom. Nämnden för rättspsykiatriska ärenden behandlar och avgör utlåtandeärenden som avses i 17 kap. 37 § i rättegångsbalken och som gäller en persons sinnestillstånd eller farlighet, ärenden som gäller bestämmande om vård på psykiatriskt sjukhus eller på anstalt för specialomsorger för en åtalad eller misstänkt eller en person som på grund av sitt sinnestillstånd inte har dömts till straff samt ärenden som gäller avslutande av denna vård. Rätten att få information är nödvändig för att dessa utlåtandeärenden ska kunna behandlas och avgöras.
5 h §. Behandling av uppgifter som statistikmyndighet. Institutet för hälsa och välfärd är enligt den föreslagna 2 § 4 c punkten sådan statistikmyndighet som avses i 2 § 2 mom. i statistiklagen. I paragrafen skapas samma möjlighet för Institutet för hälsa och välfärd som i Stakes statistiklag att samla in uppgifter i rollen som statistikmyndighet.
Paragrafens 1 mom. motsvarar i stor utsträckning skyldigheten att lämna uppgifter enligt 2 § 1 mom. i lagen om statistikväsendet vid forsknings- och utvecklingscentralen för social- och hälsovården (Stakes statistiklag), som föreslås bli upphävd. De uppgifter som avses i momentet ska kunna fås utan identifieringsuppgifter uttryckligen för Institutet för hälsa och välfärds uppgifter som statistikmyndighet.
Som ett exempel på uppgiftsinsamlingar uteslutande för statistikmyndighetsuppgifter som Institutet för hälsa och välfärd nu gör kan nämnas uppgiftsinsamlingar för fertilitetsbehandlingar, missbrukarvård, rådgivning i uppfostrings- och familjefrågor, underhåll för barn eller vårdnad om barn, medling i brott- och tvistemål, skyddshemstjänster samt uppgiftsinsamlingar som gäller privata social- och hälsovårdstjänster. Statistik har under årens lopp även kommit in för produktion till Institutet för hälsa och välfärd från andra organisationer, såsom Statistikcentralen, Fimea, undervisnings- och kulturministeriet och Alko Ab. Beslut om statistik som ingår i Institutet för hälsa och välfärds statistikserie uppkommer i samarbete mellan den statistikproducerande enheten, enheten för statistik och register samt publikationskommittén för statistikprodukter vid Institutet för hälsa och välfärd. Statistik samlas in både på grund av skyldigheten att lämna ut uppgifter och baserat på frivillighet.
I 2 mom. föreskrivs att statistiklagen tillämpas på sekretess för uppgifter som samlats in för skötseln av statistikmyndighetsuppgifter. Uppgifter som samlats in enbart för skötseln av statistikmyndighetsuppgifter lämnas ut på det sätt som föreskrivs i 13 § i statistiklagen. Vid uppgiftsinsamling iakttas dessutom statistiklagen och därmed t.ex. bestämmelserna om uppgiftsinsamling i 2 kap. i lagen.
Enligt 2 § 2 och 3 mom. i Stakes statistiklag har Institutet för hälsa och välfärd dessutom rätt att få vissa datamaterial tillsammans med personbeteckningar för framställande av statistik. Uppgifterna har samlats in tillsammans med personbeteckningar när det har varit nödvändigt för framställandet av statistik. Det kommer inte längre att finnas behov av sådana uppgiftsinsamlingar, eftersom Institutet för hälsa och välfärd med stöd av 3 mom. och 4 § i statistiklagen även på andra grunder kan producera statistik utifrån insamlade material, bland annat sådana som avses i 5 §. De uppgifter som anges i 5 § samlas in för Institutet för hälsa och välfärds andra lagstadgade uppgifter, i synnerhet uppgifter med anknytning till forskning och uppföljning av befolkningens hälsa och välfärd och av social- och hälsovården.
Institutet för hälsa och välfärd kan vid behov utifrån de uppgifter som avses i 5 § framställa statistik, eftersom man enligt 4 § i statistiklagen när uppgifter samlas in för framställning av statistik i första hand ska utnyttja uppgifter som inkommit vid skötseln av åligganden inom den offentliga förvaltningen samt uppgifter som uppkommit till följd av näringsidkares, yrkesutövares, sammanslutningars och stiftelsers sedvanliga verksamhet. Uppgifterna ska samlas in på ett ekonomiskt sätt och så att uppgiftslämnarna orsakas så liten olägenhet och så små kostnader som möjligt. Användningen av dessa informationskällor stöds också av artikel 24 i EU:s statistikförordning, enligt vilken nationella statistikbyråer och andra nationella myndigheter för att minska bördan för de svarande har rätt att få använda administrativa informationskällor inom sin offentliga förvaltning i den utsträckning som detta är nödvändigt för att utveckla, framställa och sprida europeisk statistik. Separata uppgiftsinsamlingar ur material som Institutet för hälsa och välfärd redan förfogar över bör därför inte göras. När Institutet för hälsa och välfärd producerar statistiskt material utifrån dessa, omfattas det material som sammanställts för ett statistiskt ändamål av statistiklagen.
5 i §.Kvalitetsregister. Med kvalitetsregister avses enligt 1 mom. ett register vars uppgifter används för utvärdering av behandlingen av en viss sjukdom eller en viss behandlingsmetod eller för utvärdering av socialservice. I registret lagras nödvändiga personuppgifter i anknytning till sjukdomen och behandlingsmetoden eller tillhandahållandet av socialservice. I registret får dessutom lagras uppgifter om vilken verksamhetsenhet som svarat för behandlingen eller servicen och vilka personer som gett behandlingen eller servicen för att dess kvalitet ska kunna utvärderas.
Kvalitetsregister överförs på Institutet för hälsa och välfärds registeransvar genom den föreslagna övergångsbestämmelsen. Bestämmelsen ska gälla kvalitetsregister som redan finns när lagen stiftas och vars registeransvariga för närvarande är till exempel privata organisationer. Karakteristiskt för kvalitetsregister som förs av organisationer är att en instans sammanställer personuppgifter som samlats in i flera registeransvarigas verksamhet. Vanligtvis är det de verksamhetsenheter inom den offentliga hälso- och sjukvården som producerar specialiserad sjukvård som lämnar uppgifter till kvalitetsregistren. På så sätt kommer en myndighets uppgifter i dessa fall in i privata register, och användningstillstånd för dem har också i vissa fall beviljats av privata registeransvariga.
I dessa kvalitetsregister har uppgifter i allmänhet samlats in med patienternas samtycke. Detta samtycke uppfyller antagligen åtminstone inte till alla delar kriterierna i dataskyddsförordningen för samtycke i fråga om känsliga personuppgifter. Kriterier finns bland annat i artiklarna 6, 7 och 9 och i skälen 32—33 och 42—43 i ingressen.
I dataskyddsförordningen konstateras bland annat att samtycke bör vara en den registrerades frivilliga, specifika, medvetna och entydiga viljeförklaring om att han eller hon godkänner behandling av personuppgifter som rör honom eller henne. Samtycket bör gälla all behandling som utförs för samma ändamål. Om behandlingen tjänar flera olika syften, bör samtycke ges för samtliga syften. För att samtycket ska vara medvetet bör den registrerade känna till åtminstone den registeransvariges identitet och syftet med den behandling för vilken personuppgifterna är avsedda. Samtycket bör inte utgöra en giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den registeransvarige. Detta gäller särskilt om den registeransvarige är en myndighet och det därför är osannolikt att samtyckte har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar.
De äldsta kvalitetsregistren började sammanställas redan på 1950-talet. Åtminstone då man började föra de register som har förts under en längre tid kände man inte ens till de möjligheter som automatisk databehandling och artificiell intelligens för med sig. De registrerade har därför inte kunnat informeras om alla de användningsändamål för vilka registren i dag kan användas. Sannolikt har inte samtliga registrerade heller informerats om sin rätt enligt personuppgiftslagen att granska sina uppgifter och kräva att felaktiga uppgifter korrigeras eller stryks. Dataskyddsförordningen, liksom också den gällande personuppgiftslagen, kräver att användningsändamålen definieras redan innan personuppgifterna sparas och att den registrerade informeras om användningsändamålen och om sina rättigheter.
I 2 mom. föreskrivs att Institutet för hälsa och välfärd får använda kvalitetsregister som överförts till institutet för användningsändamål enligt lagen om sekundär användning av personuppgifter inom social- och hälsovården. Om utomstående vill använda dessa uppgifter för motsvarande ändamål, beviljas tillstånd för det, liksom för andra registeruppgifter vid Institutet för hälsa och välfärd, av Tillståndsmyndigheten för social- och hälsovårdsuppgifter.
Genom förordning av social- och hälsovårdsministeriet föreskrivs enligt 3 mom. vilka kvalitetsregister som Institutet för hälsa och välfärd är registeransvarig för. Institutet för hälsa och välfärd meddelar föreskrifter om deras datastrukturer och datainnehåll.