Senast publicerat 06-11-2025 18:06

2025 rd Social- och hälsovårdsutskottet Regeringens proposition till riksdagen med förslag till lag om ändring av lagen om sekundär användning av personuppgifter inom social- och hälsovården och till lagar som har samband med den

INLEDNING

Remiss

Regeringens proposition till riksdagen med förslag till lag om ändring av lagen om sekundär användning av personuppgifter inom social- och hälsovården och till lagar som har samband med den (RP 87/2025 rd): Ärendet har remitterats till social- och hälsovårdsutskottet för betänkande och till grundlagsutskottet för utlåtande.

Utlåtande

Utlåtande har lämnats av

grundlagsutskottet
GrUU 36/2025 rd

Sakkunniga

Utskottet har hört

specialsakkunnig Essi Suonvieri
social- och hälsovårdsministeriet
direktör Tuula Helander
social- och hälsovårdsministeriet
specialsakkunnig Eerika Majamaa
justitieministeriet
överinspektör Tiina Pasanen
dataombudsmannens byrå
dekanus vid medicinska fakulteten Johanna Arola
Helsingfors universitet
tenure track -professor Toni Seppälä
Tammerfors universitet
professor Olli Raitakari
Åbo universitet, medicinska fakulteten
tf. direktör Mervi Siltanen
Tillståndsmyndigheten för användning av social- och hälsovårdsdata Findata
jurist Katja Toikka
Tillståndsmyndigheten för användning av social- och hälsovårdsdata Findata
enhetschef Juuso Rahkola
Folkpensionsanstalten
dataskyddsansvarig Jarkko Reittu
Institutet för hälsa och välfärd (THL)
direktör för forskning och forskningsinnovationer Taneli Raivio
HUS-sammanslutningen
sakkunnigläkare Kirsti Kähärä
Välfärdsområdesbolaget Hyvil Ab
jurist Johanna Leimola
Birkalands välfärdsområde.

Skriftligt yttrande har lämnats av

undervisnings- och kulturministeriet
kommunikationsministeriet
Myndigheten för digitalisering och befolkningsdata
Regionförvaltningsverket i Södra Finland
Statistikcentralen
professor Tomi Voutilainen
Östra Finlands universitet
Strålsäkerhetscentralen
Pensionsskyddscentralen
Säkerhets- och utvecklingscentret för läkemedelsområdet Fimea
Tillstånds- och tillsynsverket för social- och hälsovården (Valvira)
Arbetshälsoinstitutet
professor, forskningsdirektör Aarno Palotie
Institutet för molekylärmedicin i Finland (FIMM)
Lääketeollisuus ry
Finska Läkarföreningen Duodecim
Finlands Läkarförbund
Föreningen för Specialistläkare i Medicinsk Genetik i Finland rf
Västra Nylands välfärdsområde
Norra Savolax välfärdsområde.

Inget yttrande av

Konsumentförbundet rf.

PROPOSITIONEN

Regeringen föreslår att lagen om sekundär användning av personuppgifter inom social- och hälsovården ändras. Dessutom föreslås det att det i lagen om klinisk prövning av läkemedel, lagen om medicintekniska produkter, lagen om medicinsk forskning och lagen om Institutet för hälsa och välfärd görs ändringar som föranleds av de föreslagna ändringarna i lagen om sekundär användning av personuppgifter inom social- och hälsovården. I propositionen ingår också ett förslag om att upphäva en paragraf i lagen om behandling av kunduppgifter inom social- och hälsovården.

Propositionen hänför sig till en skrivning i regeringsprogrammet för statsminister Petteri Orpos regering enligt vilken utmaningarna med lagen om sekundär användning av personuppgifter inom social och hälsovården ska lösas i syfte att främja forskning som bedrivs i Finland och möjligheterna att utnyttja data.

Propositionen innehåller ett flertal nyckelförslag till ändringar i lagen om sekundär användning av personuppgifter inom social- och hälsovården. Syftet med propositionen är att möjliggöra en attraktiv verksamhetsmiljö för både inhemska och internationella aktörer inom forsknings-, utvecklings- och innovationsbranschen, likväl så att medborgarnas rättigheter och integritet respekteras och den nationella säkerheten tryggas.

Avsikten är att den föreslagna lagen om ändring av lagen om sekundär användning av personuppgifter inom social- och hälsovården ska träda i kraft den 1 maj 2026. Preciseringen av tillämpningsområdet för kliniska prövningar avses dock träda i kraft redan den 1 januari 2026. De övriga föreslagna lagarna avses träda i kraft den 1 januari 2026.

UTSKOTTETS ÖVERVÄGANDEN

Lagen om sekundär användning av personuppgifter inom social- och hälsovården (552/2019, nedan lagen om sekundär användning) trädde i kraft den 1 maj 2019. Den syftar till att möjliggöra en effektiv och informationssäker behandling av personuppgifter som har registrerats i social- och hälsovårdsverksamhet och för styrnings-, tillsyns-, forsknings- och statistikändamål inom social- och hälsovården samt en samkörning av dessa personuppgifter med vissa ämbetsverks personuppgifter. Sekundära användningsändamål är bland annat vetenskaplig forskning, statistikföring samt utvecklings- och innovationsverksamhet. Ett av lagens viktigaste syften är att skydda personuppgifterna i all sekundär behandling av personuppgifter inom social- och hälsovården så att medborgarnas förtroende kan stärkas i förhållande till behandlingen av deras uppgifter i sekundärt syfte. Genom lagen inrättades också Tillståndsmyndigheten för användning av social- och hälsovårdsdata (Findata). Myndigheten beviljar dataanvändningstillstånd för användning av data som föreskrivs i lagen om sekundär användning.

Vid tillämpningen av lagen har det framkommit flera utmaningar som bland annat forskare, aktörer inom hälso- och sjukvården, myndigheter och medborgare har påtalat. Också social- och hälsovårdsutskottet har vid flera tillfällen lyft fram dessa problem och påskyndat lagberedning för att lösa dem (bl.a. ShUB 22/2021 rd, s. 13, ShUB 17/2021 rd, s. 3, ShUB 11/2021 rd, s. 17).

Regeringen föreslår flera ändringar i lagen om sekundär användning och i vissa lagar som har samband med den. Ändringsförslagen gäller behandlingen av dataanvändningstillstånd, begäran om information och datamaterial, det internationella forskningssamarbetet, avgifterna för sekundär användning, anonymiseringen av datamaterial och resultat samt förhållandet mellan lagen om sekundär användning och kliniska prövningar. Syftet med ändringsförslagen är att skapa flexibilitet i den nuvarande och delvis centraliserade modellen för behandling av dataanvändningstillstånd och begäran om information och att möjliggöra en effektiv behandling av dessa. Målet är enligt propositionsmotiven (s. 31) att lösa de centrala utmaningarna i anknytning till lagen om sekundär användning och att främja registerforskning och klinisk prövning så att man samtidigt sörjer för medborgarnas integritetsskydd och skyddet av personuppgifter. Med hjälp av lagreformen vill man undanröja de störningar och hinder som lagstiftningen orsakar vid sekundär användning.

Med hänvisning till de ovannämnda problemen vid tillämpningen av lagen om sekundär användning anser utskottet att propositionens syften och förslag är viktiga. Utskottet tillstyrker lagförslagen med ändringarna nedan.

Decentraliserad modell

Genom propositionen möjliggörs en decentraliserad modell för behandlingen av dataanvändningstillstånd och begäran om information enligt lagen om sekundär användning. Sökanden kan då använda både behandling av dataanvändningstillstånd och begäran om information enligt en centraliserad modell och behandling enligt en decentraliserad modell (den så kallade hybridmodellen). Enligt den gällande lagen behandlar Tillståndsmyndigheten alla ansökningar om dataanvändningstillstånd som gäller datamaterial från flera organisationer enligt 6 § i lagen om sekundär användning och all begäran om information enligt lagen om sekundär användning. I och med ändringsförslagen ska även andra organisationer som avses i 6 § i lagen om sekundär användning kunna behandla dataanvändningstillstånd då ansökan gäller datamaterial från flera organisationer samt begäran om information enligt lagen om sekundär användning. Utöver Findata kan också Institutet för hälsa och välfärd, Folkpensionsanstalten, Tillstånds- och tillsynsverket, Säkerhets- och utvecklingscentret för läkemedelsområdet och de offentliga serviceanordnarna inom social- och hälsovården sammanställa, samköra och förbehandla flera personuppgiftsansvarigas datamaterial.

Sökanden ska få lämna in en ansökan om dataanvändningstillstånd eller en begäran om information som gäller fler än en i 6 § i lagen om sekundär användning avsedd organisations datamaterial antingen till Findata eller separat till varje enskild organisation som är föremål för ansökan. Om sökanden lämnar in ansökan eller begäran till Findata, genomförs behandlingsprocessen på samma sätt som i den nuvarande modellen, varvid Findata behandlar ansökan eller begäran och fattar beslut om flera organisationers datamaterial. Om sökanden däremot lämnar in ansökan eller begäran separat till organisationerna, behandlar och fattar varje organisation beslut i fråga om sitt eget datamaterial.

Den föreslagna modellen har vid utskottets sakkunnigutfrågning välkomnats på bred front och setts som ett steg i rätt riktning. Utifrån sakkunnigutfrågningen kan det vid behandlingen av tillståndsansökningar vara svårt att bedöma vilken effekt sammanslagningen av olika personuppgiftsansvarigas datamaterial skulle ha. Även om den föreslagna decentraliserade modellen å ena sidan har bedömts medföra kostnadsfördelar, innehåller yttrandena också kritik mot de här kostnadsfördelarna.

Utskottet konstaterar att den gällande lagens centraliserade modell för behandling av tillstånd, begäranden och datamaterial utifrån sakkunnigutfrågningen har upplevts som stel och problematisk. Syftet med den föreslagna decentraliserade modellen är enligt uppgift att ha kvar fördelarna med den gällande modellen, varvid det fortfarande är möjligt att få dataanvändningstillstånd och datamaterial via den centraliserade tillståndsmyndigheten. Behovet av centraliserade tjänster har identifierats särskilt inom företagssektorn, där det centraliserade tillståndsförfarandet och sammanställning av datamaterial har ansetts vara effektivare än separata tillståndsförfaranden. Den mer decentraliserade modellen har förespråkats bland annat av välfärdsområdena, där möjligheten att behandla dataanvändningstillstånd som gäller uppgifter från flera välfärdsområden samt möjligheten att sammanställa och samköra välfärdsområdenas datamaterial har ansetts vara behövlig. Således kan den föreslagna regleringen enligt utskottet öka flexibiliteten i förfarandena och göra det möjligt att behandla ansökningar, begäranden och data på det sätt som är mest ändamålsenligt med tanke på olika aktörer i olika situationer. Utskottet välkomnar att den föreslagna modellen bedöms främja och öka forsknings- och innovationsverksamheten och sänka kostnaderna för den. Utskottet betonar att den decentraliserade modellen förutsätter samarbete och samordning mellan organisationerna i fråga för att säkerställa en smidig och enhetlig tillämpning av lagen samt för att bedöma konsekvenserna av samkörningen av de olika personuppgiftsansvarigas data.

Utskottet välkomnar de personuppgiftsansvarigas mer omfattande möjlighet att behandla och producera datamaterial, men betonar att det samtidigt är viktigt att garantera de registrerades integritetsskydd. Utifrån utskottets sakkunnigutfrågning möjliggör propositionen i tämligen stor utsträckning att uppgifter som hör till kärnan i skyddet för privatlivet används för sekundära ändamål. Den föreslagna regleringen innebär att förhandskontroller måste göras när det gäller åtkomsten till och användningen av uppgifter. Sakkunniga har dock också betonat att de behöriga myndigheterna för att möjliggöra tillsyn i efterhand också i tillräcklig grad måste dokumentera hur nödvändighetskravet har tillämpats i varje beslut om dataanvändningstillstånd eller begäran om information. Detta har betydelse med tanke på rättsskyddet för såväl den som beslutet gäller som de registrerade som är föremål för behandlingen.

Sakkunniga påpekade också att situationen kan bli oskälig för registrerade som har anlitat flera olika serviceanordnares tjänster och blir tvungna att hos varje personuppgiftsansvarig göra en separat begäran om utövning av sina rättigheter. Vid utfrågningen lyftes det fram ett behov av att inrätta en nationell centraliserad tjänst för utövandet av de registrerades rättigheter, såsom rätten att göra invändningar, eftersom det kan vara osäkert om begäran om de registrerades rättigheter förmedlas mellan olika personuppgiftsansvariga om det inte finns någon centraliserad tjänst.

Utskottet konstaterar att en nationell centraliserad tjänst för att utöva de registrerades rättigheter skulle stärka tillgodoseendet av de registrerades rättigheter. Enligt uppgift utreds kostnaderna för inrättandet av en centraliserad tjänst för närvarande vid social- och hälsovårdsministeriet. Utskottet betonar att genomförandet av tjänsten behöver bedömas vid den fortsatta beredningen.

Fastställande av behörig myndighet

I propositionen föreslås att det till lagen om sekundär användning fogas en ny 6 a § om behörighet för behandling av dataanvändningstillstånd, en ny 6 b § om behörighet för behandling av begäranden om information och en ny 6 c § om överföring av behörighet för behandling av dataanvändningstillstånd och begäranden om information. Till 51 § i lagen om sekundär användning fogas enligt propositionen ett nytt 2 mom. där det föreskrivs att om tillståndsansökan eller begäran om information gäller flera organisationers uppgifter och varje organisation som avses i 6 § har beviljat dataanvändningstillstånd eller fattat beslut om begäran om information i fråga om sitt eget datamaterial, kan organisationerna i fråga besluta att antingen Tillståndsmyndigheten eller någon av de organisationer som avses i 6 § 2, 3, 5, 7 eller 8 punkten och som är föremål för tillståndsansökan eller begäran om information ska sammanställa datamaterialet. Om organisationerna inte når samförstånd om vilken organisation som ska sammanställa datamaterialet, ska datamaterialet sammanställas av Tillståndsmyndigheten.

Sakkunniga har påpekat att utgångspunkterna för myndigheternas behörighetsförhållanden och delegeringsvillkoren inte framgår tillräckligt exakt av lagen och att de föreslagna bestämmelserna i praktiken utan begränsningar gör det möjligt att överföra behörighet till en annan myndighet. Grundlagsutskottet anser att den föreslagna regleringen i sig uppfyller de minimikrav som utskottet ställt upp i sin praxis. Grundlagsutskottet noterar dock att de föreslagna bestämmelserna om behörighet och överföring av behörighet är tämligen svårbegripliga. Enligt utlåtandet har social- och hälsovårdsutskottet behov att precisera den föreslagna regleringen.

Social- och hälsovårdsutskottet föreslår att 6 c, 51, 51 a och 51 d § i lagförslag 1 förtydligas och preciseras på det sätt som anges nedan i detaljmotiveringen.

Kliniska prövningar

Det föreslås att det till 2 § i lagen om sekundär användning fogas ett nytt 4 mom. med bestämmelser om att lagen inte ska tillämpas på behandling av personuppgifter i kliniska prövningar. Lagen om klinisk prövning av läkemedel (983/2021), lagen om medicintekniska produkter (719/2021) och lagen om medicinsk forskning (488/1999) ska få preciserande bestämmelser om under vilka förutsättningar registeruppgifter om försökspersoner kan fås för kliniska prövningar.

Utskottet anser att de föreslagna bestämmelserna är välkomna och behövliga. Social- och hälsovårdsutskottet och grundlagsutskottet har tidigare betonat behovet av att utreda hur lagen om sekundär användning förhåller sig till lagstiftningen om klinisk prövning av läkemedel och andra bestämmelser om forskning inom social- och hälsovården (bl.a. ShUB 22/2021 rd, s. 13, GrUU 23/2020 rd, s. 7). Lagens förhållande till den övriga forskningslagstiftningen har varit oklar sedan lagen trädde i kraft. Oklarheten har väsentligt försvårat förutsättningarna för att utföra kliniska prövningar i Finland, och enligt propositionsmotiven (s. 21) har exempelvis materialinsamlingen för många stora kohortstudier som följer befolkningen under en lång tid stått stilla länge.

Också sakkunniga har i princip understött den föreslagna regleringen om kliniska prövningar. Men i yttrandena lyfts fortfarande fram ett behov av att förtydliga lagstiftningen. Det finns behov av att förtydliga bland annat användningen av Kanta-tjänsterna i kliniska prövningar.

Enligt utredning från social- och hälsovårdsministeriet omfattas Folkpensionsanstaltens data enligt lagförslag 2–4 av rätten att få information för kliniska prövningar endast till den del det vid prövningen behövs personuppgifter som lagrats i samband med kundförhållandet vid förmånsbehandlingen eller uppgifter om recept och anknytande expedieringsuppgifter som lagrats i Receptcentret som avses i 3 § 4 punkten i lagen om elektroniska recept. Uppgifterna i Kanta-tjänsterna omfattas däremot enligt propositionsmotiven (s. 97) inte av den föreslagna rätten att få information för kliniska prövningar. Ministeriet anser att frågan kräver fortsatt beredning.

Enligt utredning från social- och hälsovårdsministeriet pågår för närvarande ett projekt för att förtydliga forskningslagstiftningen. Avsikten är att fortsätta att samordna och förtydliga bestämmelserna om forskning inom social- och hälsovården. Utskottet anser att projektet är nödvändigt. Trots den nu aktuella propositionen anser utskottet att det fortfarande finns ett behov av att fortsätta samordna och förtydliga lagstiftningen om forskning inom social- och hälsovården för att förfarandena för forskningsverksamhet ska vara så smidiga som möjligt med tanke på skyddet för personuppgifter.

Internationellt forskningssamarbete

För att främja internationellt forskningssamarbete föreslås det i propositionen att lagen om sekundär användning kompletteras med en ny 51 c §, där det föreskrivs om möjligheten att lämna ut pseudonymiserade personuppgifter och anonymiserade uppgifter till en annan säker driftmiljö än den informationssäkra driftmiljö som avses i 20 § (undantagstillstånd). En sådan överlåtelse är dock möjlig endast om behandlingen av datamaterialet uppfyller kraven i 51 c §, såsom tillräckliga krav på dataskydd och datasäkerhet. Det kan till exempel handla om ett forskningsprojekt där datamaterial behandlas i en säker driftmiljö vid ett känt och tillförlitligt utländskt universitet eller universitetssjukhus, står det i propositionsmotiven (s. 34).

Sakkunniga har understött den föreslagna regleringen, eftersom det för närvarande inte finns sådana informationssäkra driftmiljöer utanför Finland som avses i 20 § i lagen om sekundär användning, vilket försvårar finländska forskares deltagande i internationellt forskningssamarbete. Lagen om sekundär användning hindrar inte att också driftsmiljöer utanför Finland revideras i enlighet med lagen och Tillståndsmyndighetens föreskrifter. I praktiken har dock inga sådana driftmiljöer som avses i 20 § kommit till utanför Finland och det ses som osannolikt att utländska aktörer vill revidera sin driftmiljö i enlighet med Finlands nationella kriterier. Utländska forskare har möjlighet att via distansförbindelse få tillgång till informationssäkra driftmiljöer enligt lagen om sekundär användning och att behandla finländskt datamaterial i dem. Dessutom kan aggregerade statistiska uppgifter enligt lagen om sekundär användning lämnas ut till forskare. Dessa har dock i praktiken inte ansetts vara tillräckliga metoder för att främja forskningssamarbetet.

Sakkunniga har å andra sidan ansett att den föreslagna regleringen är problematisk med tanke på skyddet för personuppgifter, eftersom det inte ställs några exakta krav på dataskydd och informationssäkerhet för en trygg driftmiljö utomlands på samma sätt som för informationssäkra driftmiljöer i Finland.

Utskottet ser det som viktigt att den föreslagna regleringen syftar till att förbättra finländska forskares möjligheter att delta i internationellt forskningssamarbete. Behandlingen av personuppgifter i internationellt forskningssamarbete behövs enligt propositionsmotiven (s. 39 och 47) också för att man ska kunna främja utvecklingen av nya behandlingsformer och behandlingsmetoder för finländska patienter.

För undantagstillstånd görs det enligt utredning från social- och hälsovårdsministeriet en riskbaserad bedömning enligt dataskyddslagstiftningen. I bedömningen beaktas bland annat riskerna med datamaterialet och nivån på dataskyddet och datasäkerheten vid behandlingen av detta. Bedömningen motsvarar alltså inte den bedömning som avses i 26 § i lagen om sekundär användning och som går ut på att ta reda på om en informationssäker driftmiljö uppfyller kraven på informationssäkerhet. Däremot gäller bedömningen om tillstånd till undantag kan beviljas utifrån de uppgifter som sökanden lämnat. Det är alltså en övergripande bedömning som beaktar den potentiella nytta som genomförandet av projektet medför och de risker som behandlingen medför. Utskottet konstaterar att bestämmelserna och kraven på behandling av personuppgifter i EU:s allmänna dataskyddsförordning är direkt tillämpliga i alla EU- och EES-länder. Om personuppgifter lämnas ut till tredjeländer, ska kraven i kapitel V i den allmänna dataskyddsförordningen på överföring av personuppgifter till tredjeländer, såsom beslut om adekvat skyddsnivå enligt artikel 45, beaktas vid utlämnandet. Utskottet betonar också att informationen enligt propositionen ska anonymiseras eller pseudonymiseras innan den lämnas ut till någon annan säker driftmiljö. Tillståndsmyndigheten kan dessutom förena ett dataanvändningstillstånd med närmare villkor som gäller behandlingen av uppgifter.

Europaparlamentets och rådets förordning (EU) 2025/327 om det europeiska hälsodataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2847 (European Health Data Space, nedan EHDS-förordningen) kommer enligt uppgift att underlätta det europeiska forskningssamarbetet, eftersom den föreskriver gemensamma europeiska krav för driftmiljöer för sekundär användning. Kraven ska tillämpas från och med den 27 mars 2029. Enligt utredning kommer kommissionen senast den 27 mars 2027 genom genomförandeakter föreskriva om kraven på driftmiljöer. Den föreslagna 51 c § i propositionen är en temporär lösning för att möjliggöra internationellt forskningssamarbete innan EHDS-förordningen börjar tillämpas.

Utskottet konstaterar att tillämpningen av bestämmelserna om internationellt forskningssamarbete behöver utvärderas i samarbete med de relevanta myndigheterna för att det internationella forskningssamarbetet ska främjas vid den fortsatta beredningen samtidigt som skyddet för personuppgifter tryggas.

Ekonomiska konsekvenser

Enligt utredning från social- och hälsovårdsministeriet har propositionen på grund av brister i informationen lämnats felaktigt till riksdagen utan att det nämns att propositionen har samband med budgetpropositionen för 2026. I propositionsmotiven står det i avsnittet om ekonomiska konsekvenser (s. 37) bland annat att eftersom de ekonomiska konsekvenserna för välfärdsområdena och andra organisationer ännu är ovissa, föreslås i detta läge inte någon tilläggsfinansiering till aktörerna, utan uppgifterna ska utföras med nuvarande resurser.

Vid utskottsbehandlingen har ministeriet preciserat att propositionen hör samman med statsbudgeten för 2026 och avses bli behandlad i samband med den. De ändringar som föreslås i propositionen innebär enligt uppgift från ministeriet nya uppgifter för de organisationer som avses i 6 § i lagen om sekundär användning. Uppgifterna kommer enligt utredning att innebära behov av tilläggsresurser och ny kompetens särskilt i mindre välfärdsområden. För att möjliggöra genomförandet av de nya uppgifterna föreslås det i budgetpropositionen för 2026 tilläggsfinansiering på 1 000 000 euro för välfärdsområdena.

Utskottet ser det som angeläget att tillräckliga finansiella resurser allokeras för ändringarna enligt lagförslaget. Utskottet välkomnar att det i budgetpropositionen föreslås tilläggsfinansiering för välfärdsområdena för att genomföra ändringarna i lagen om sekundär användning och utvidga behandlingen av datamaterial. Syftet med tilläggsfinansieringen är enligt utredning från social- och hälsovårdsministeriet att underlätta välfärdsområdenas förberedelser inför de föreslagna nya uppgifterna. Enligt 9 § i lagen om välfärdsområdenas finansiering (617/2021) ska lagstadgade förändringar i omfattningen eller arten av välfärdsområdenas uppgifter beaktas till fullo när nivån på den statliga finansieringen bestäms. Utskottet anser därför att det är nödvändigt att följa upp och utvärdera hur den finansiering som reserverats för ändamålet räcker till och hur den fördelas samt att vid behov ändra finansieringen. Utskottet betonar att kostnadseffekterna också för andra aktörer som avses i regleringen bör följas upp och bedömas för att trygga en tillräcklig finansiering.

Förhållande till EHDS-förordningen

EHDS-förordningen trädde i kraft den 26 mars 2025. Den allmänna tillämpningen av förordningen börjar den 26 mars 2027, och dessutom innehåller förordningen flera övergångsperioder. Syftet med förordningen är att främja åtkomsten till elektroniska hälsodata för primär och sekundär användning. Förordningen innehåller bestämmelser om kraven på och styrningen av primär och sekundär användning av hälsodata samt om kraven på hälsodokumentationssystem och hälsoapplikationer. Genom förordningen inrättas en gränsöverskridande infrastruktur för primär och sekundär användning av elektroniska hälsodata samt en styrelse för det europeiska hälsodataområdet som samordnar primär och sekundär användning.

Vid utskottets sakkunnigutfrågning fästes uppmärksamhet vid den nu föreslagna propositionens förhållande till EHDS-förordningen. Vid utfrågningen konstaterades det bland annat att förordningen kan inverka på ändamålsenligheten i de ändringar som föreslås i lagen om sekundär användning, om lagen måste ändras på nytt relativt snart efter det att de föreslagna ändringarna trätt i kraft.

Enligt utredning från social- och hälsovårdsministeriet liknar den nationella lagen till största delen förordningsbestämmelserna om sekundär användning. Finland har bättre förberett sig på tillämpningen av förordningen än de flesta andra medlemsländer. Ministeriet konstaterar dessutom att förordningen tillåter ovanligt mycket nationellt handlingsutrymme. Det nationella handlingsutrymmet i fråga om sekundär användning ingår i flera bestämmelser i förordningen.

Enligt uppgift pågår vid social- och hälsovårdsministeriet ett lagstiftningsprojekt i syfte att genomföra förordningens avsnitt om sekundär användning. Avsikten med projektet är att bedöma hur skyldigheterna enligt förordningen kommer att fullgöras nationellt och vilken nationell lagstiftning som bör finnas kvar vid sidan av förordningen. Avsikten är att regeringens proposition om bestämmelser som kompletterar förordningen om det europeiska hälsodataområdet (EHDS) i lagen om sekundär användning av personuppgifter inom social- och hälsovården och i vissa lagar som har samband med den ska lämnas till riksdagen hösten 2026.

Social- och hälsovårdsministeriet uppger att åtskilliga berörda grupper har framfört att lagen om sekundär användning bör ses över snabbt trots att EHDS-förordningen redan har trätt i kraft och kapitlet om sekundär användning börjar tillämpas 2029. Reformen av lagen om sekundär användning kommer enligt ministeriet att fortsätta i samband med genomförandet av EHDS-förordningen.

Utskottet anser utifrån inkommen utredning att det för att främja forskningssamarbetet är viktigt att syftet med den nu föreslagna ändringen av lagen om sekundär användning är att tackla de viktigaste utmaningarna med lagen om sekundär användning redan innan EHDS-förordningen börjar tillämpas. Samtidigt understryker utskottet att tillämpningspraxisen för de nu föreslagna bestämmelserna bör följas upp och utvärderas samt att man vid det nationella genomförandet av EHDS-förordningen bör se till att det nationella handlingsutrymme som förordningen möjliggör beaktas så att genomförandet av förordningen till lämpliga delar tillgodoser de nationella behoven.

Utskottet konstaterar slutligen att utöver de ändringar som nu föreslås finns det enligt uppgift också andra ändringsbehov i lagen om sekundär användning. Utskottet ser det som viktigt att beredningsarbetet med anknytning till andra utmaningar och ändringsbehov som uppstått vid tillämpningen av lagen fortsätter både i samband med genomförandet av EHDS-förordningen och i det projekt för att förtydliga forskningslagstiftningen som nämns i propositionen (s. 7). Forskningsarbetet ska underlättas samtidigt som integritetsskyddet vid behandlingen av personuppgifter garanteras.

DETALJMOTIVERING

1. Lagen om ändring av lagen om sekundär användning av personuppgifter inom social- och hälsovården

6 c §. Överföring av behörighet för behandling av dataanvändningstillstånd och begäranden om information.

Utskottet föreslår att bestämmelserna om behandling av dataanvändningstillstånd och begäranden om information i 1 mom. förtydligas och preciseras. För det första föreslår utskottet att bestämmelsen preciseras så att behörigheten kan överlåtas separat i fråga om beslut om dataanvändningstillstånd och beslut om begäranden om information.

Utskottet föreslår att 1 mom. preciseras i fråga om giltighetstid så att överföringen av behörighet kan göras tills vidare eller för viss tid.

Det föreslås också att 1 mom. preciseras så att överföringen av behörigheten ska vara motiverad med beaktande av organisationens resurser och tillgänglig sakkunskap. Överföringen ska således grunda sig på prövning av om organisationen har de resurser och den sakkunskap som behövs för att behandla dataanvändningstillstånd och begäranden om information som gäller organisationens datamaterial eller om det är ändamålsenligt att ge Tillståndsmyndigheten behörighet i fråga om tillstånden och begärandena.

Dessutom föreslås 1 mom. bli kompletterad med en bestämmelse enligt vilken en organisation kan återta behörigheten genom att anmäla detta till Tillståndsmyndigheten, om den anser att det inte längre finns grunder för överföring av behörigheten. Om organisationen alltså har överfört behörigheten till Tillståndsmyndigheten men senare själv har de resurser och den sakkunskap som behövs för att behandla beslut om dataanvändningstillstånd och begäranden om information som gäller organisationens datamaterial, kan organisationen genom anmälan återta behörigheten. Efter det fattar organisationen beslut om dataanvändningstillstånd och begäranden om information som gäller det egna datamaterialet.

Motsvarande preciseringar om överföring av behörighet föreslås i 51 a och 51 d § i lagförslaget.

36 a §. Överföring av behörighet för behandling av dataanvändningstillstånd och begäranden om information.

Utskottet föreslår att paragrafen preciseras, eftersom regleringen med tanke på nödvändighetskravet är alltför vag. Dessutom har den vid utskottets sakkunnigutfrågning ansetts göra det möjligt för den som sammanställer datamaterial att själv ur den personuppgiftsansvariges informationsresurser ta ut data i enlighet med dataanvändningstillståndet.

Paragrafens 1 mom. ändras så att den som sammanställer datamaterial har rätt att av de personuppgiftsansvariga få den information som är nödvändig för skötseln av de lagstadgade uppgifterna och som anges i 1 mom. 1–3 punkten. Momentets 4 punkt stryks, eftersom den information som anges i 1–3 punkten enligt utredning från social- och hälsovårdsministeriet är tillräcklig för skötseln av de uppgifter som föreskrivs i 51 §.

Dessutom stryks det föreslagna 3 mom., eftersom det i 2 mom. föreskrivs att de uppgifter som avses i 1 mom. från de personuppgiftsansvariga avsedda i 6 § lämnas ut till den som sammanställer datamaterialet via den informationssäkra överföringstjänsten eller någon annan informationssäker tjänst. Den föreslagna bestämmelsen i 3 mom. är således onödig. Den som sammanställer datamaterialet har inte rätt att själv plocka ut data ur den personuppgiftsansvariges datalager. Eftersom 3 mom. stryks blir 4 mom. 3 mom.

51 §. Sammanställande av datamaterial efter beviljande av dataanvändningstillstånd eller efter ett beslut om begäran om information.

Det föreslås att 2 mom. preciseras så att beslutet om vilken organisation som ska sammanställa datamaterialet ska fattas i samarbete mellan de organisationer som ansökan eller begäran gäller utifrån organisationernas resurser och tillgänglig sakkunskap. Uppgiften att sammanställa datamaterial kan anförtros antingen Tillståndsmyndigheten eller en organisation som avses i 6 § 2, 3, 5, 7 eller 8 punkten. Med stöd av bestämmelsen ska organisationerna i samarbete bedöma vilken organisation som i fråga om den aktuella informationen har de resurser och den sakkunskap som behövs för att sammanställa, samköra, förbehandla, pseudonymisera eller anonymisera ett flertal organisationers datamaterial. I princip är det ändamålsenligt att uppgiften att sammanställa datamaterialet anförtros antingen Tillståndsmyndigheten, som sedan tidigare har erfarenhet av att sammanställa datamaterial från olika personuppgiftsansvariga, eller alternativt en sådan i momentet avsedd myndighetsaktör vars datamaterial utgör största delen av den information som avses i ansökan om dataanvändningstillstånd eller begäran om information.

Momentet kompletteras dessutom så att en organisation som avses i 6 § 2, 3, 5, 7 eller 8 punkten kan meddela att organisationen inte står till förfogande för uppgiften i fråga. Om en organisation anser att den inte har de resurser och den sakkunskap som krävs för att sammanställa flera personuppgiftsansvarigas datamaterial, kan organisationen meddela att den inte är tillgänglig för denna uppgift. Då sammanställs datamaterialet antingen av Tillståndsmyndigheten eller av någon annan organisation som avses i momentet.

Beslut om den sammanställande myndigheten ska fattas i samförstånd mellan organisationerna. Om organisationerna inte når samförstånd om vilken organisation som ska sammanställa datamaterialet, ska datamaterialet enligt lagförslaget sammanställas av Tillståndsmyndigheten.

51 a §. Behandling av datamaterial i en enskild organisation.

I 3 mom. föreslås motsvarande ändringar i bestämmelserna om överföring av behörighet som i 6 c § 1 mom. ovan.

51 d §. Utlämnande av anonymiserat datamaterial.

I 2 mom. föreslås motsvarande ändringar i bestämmelserna om överföring av behörighet som i 6 c § 1 mom. ovan.

FÖRSLAG TILL BESLUT

Social- och hälsovårdsutskottets förslag till beslut:

Riksdagen godkänner lagförslag 2—6 i proposition RP 87/2025 rd utan ändringar. Riksdagen godkänner lagförslag 1 i proposition RP 87/2025 rd med ändringar. (Utskottets ändringsförslag)

Utskottets ändringsförslag

1. Lag om ändring av lagen om sekundär användning av personuppgifter inom social- och hälsovården

I enlighet med riksdagens beslut

upphävs i lagen om sekundär användning av personuppgifter inom social- och hälsovården (552/2019) 10 och 11 §, 21 § 2 mom., 44 § och 50 § 3 mom.,

av dem 11 § sådan den lyder delvis ändrad i lag 707/2023 och 50 § 3 mom. sådant det lyder i lag 1491/2019,

ändras 1 och 2 §, 3 § 10, 12 och 13 punkten, 5 § 1, 2 och 4 mom., rubriken för och det inledande stycket i 6 § samt 6 § 11 punkten, 7 och 8 §, 13 § 2 mom., 14, 16, 17 och 20 §, 23 § 1 mom., 36 § 2 och 3 mom., 37 § 1 mom., 42 § 3 mom., 43 § 5 mom., 45–48 §, 50 § 2 och 4 mom. och 51, 52 och 58 § samt 60 § 4, 8 och 9 mom.,

av dem 8 § sådan den lyder delvis ändrad i lag 544/2022, 50 § 2 mom. sådant det lyder i lag 1491/2019 och 58 § sådan den lyder delvis ändrad i lag 767/2025 samt

fogas till 2 § ett nytt 4 mom., till lagen nya 6 a–6 c, 7 a och 36 a §, till 49 § ett nytt 2 mom. och till lagen nya 51 a–51 d § som följer:

1 §
Lagens syfte

Syftet med denna lag är att möjliggöra en effektiv och informationssäker behandling av personuppgifter inom social- och hälsovården för sekundära användningsändamål. Lagens syfte är dessutom att trygga individens skydd för berättigade förväntningar samt rättigheter och friheter vid behandlingen av personuppgifter.

2 §
Tillämpningsområde och förhållande till annan lagstiftning

Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan dataskyddsförordningen , när personuppgifter som avses i 2 mom. behandlas för användningsändamål som avses i det momentet.

Denna lag tillämpas på behandling av personuppgifter som registrerats i social- och hälsovårdsverksamhet hos de organisationer som avses i 6 § och hos privata serviceanordnare inom socialvården eller hälso- och sjukvårdsvården samt för styrnings-, tillsyns-, forsknings- och statistikändamål inom social- och hälsovården liksom även på samkörning av dessa personuppgifter med Folkpensionsanstaltens, Statistikcentralens, Pensionsskyddscentralens och Myndigheten för digitalisering och befolkningsdatas personuppgifter, med de begränsningar som anges i 6, 7 och 7 a §, när uppgifterna i fråga behandlas för följande användningsändamål, även om de inte ursprungligen har registrerats för de ändamålen:

1) statistikföring,

2) vetenskaplig forskning,

3) utvecklings- och innovationsverksamhet,

4) undervisning,

5) informationsledning,

6) myndighetsstyrning och myndighetstillsyn inom social- och hälsovården,

7) myndigheternas planerings- och utredningsuppgifter.

Bestämmelser om grunder för utlämnande och mottagarens rätt att behandla de utlämnade personuppgifterna för sådana ändamål som avses i 2 mom. finns i 4 och 5 kap.

Denna lag tillämpas inte på behandling av personuppgifter som sker inom ramen för sådana kliniska prövningar som avses i 1 § i lagen om klinisk prövning av läkemedel (983/2021), sådana kliniska prövningar av medicintekniska produkter eller prestandastudier av produkter för in vitro-diagnostik som avses i 3 kap. i lagen om medicintekniska produkter (719/2021) eller sådan medicinsk forskning som avses i 2 § 1 punkten i lagen om medicinsk forskning (488/1999), om försökspersonen eller dennes lagliga företrädare har gett sitt samtycke till deltagande i prövningen i enlighet med de bestämmelser om givande av samtycke som finns i Europaparlamentets och rådets förordning (EU) nr 536/2014 om kliniska prövningar av humanläkemedel och om upphävande av direktiv 2001/20/EG och i lagen om klinisk prövning av läkemedel, i Europaparlamentets och rådets förordning (EU) 2017/745 om medicintekniska produkter, om ändring av direktiv 2001/83/EG, förordning (EG) nr 178/2002 och förordning (EG) nr 1223/2009 och om upphävande av rådets direktiv 90/385/EEG och 93/42/EEG, i Europaparlamentets och rådets förordning (EU) 2017/746 om medicintekniska produkter för in vitro-diagnostik och om upphävande av direktiv 98/79/EG och kommissionens beslut 2010/227/EU och i lagen om medicintekniska produkter eller i lagen om medicinsk forskning eller om villkoren för prövning i nödsituationer uppfylls på det sätt som anges i de ovan nämnda författningarna.

3 §
Definitioner

I denna lag avses med

10) informationssäker överföringstjänst en informationssäker lösning via vilken parterna kan lämna ut och ta emot uppgifter som omfattas av användningsbegränsningar,

12) e-tjänst ett system via vilket den som ansöker om dataanvändningstillstånd eller den som på annat sätt begär information med stöd av denna lag lämnar in en ansökan om dataanvändningstillstånd eller en begäran om information med bilagor till myndigheten och i vilket ett beslut om dataanvändningstillstånd eller om en begäran om information delges sökanden,

13) tjänstetillhandahållare en myndighet som ordnar, producerar eller lämnar socialvård eller hälso- och sjukvård eller socialvårdstjänster eller hälso- och sjukvårdstjänster eller en sådan privat tjänsteproducent som avses i lagen om tillsynen över social- och hälsovården (741/2023),

5 §
Tillståndsmyndighetens uppgifter

Tillståndsmyndigheten behandlar dataanvändningstillstånd och begäranden om information samt svarar för samlande, samkörning, förbehandling och utlämnande för sekundär användning av de uppgifter som avses i ett dataanvändningstillstånd eller en begäran om information.

Tillståndsmyndigheten driver en e-tjänst för förmedling och behandling av begäranden om information och ansökningar om dataanvändningstillstånd samt en informationssäker överföringstjänst för mottagande och utlämnande av personuppgifter. Tillståndsmyndigheten ska även ordna en tjänst för en informationssäker driftmiljö där tillståndshavaren kan behandla de personuppgifter som lämnats ut med stöd av ett dataanvändningstillstånd.

Tillståndsmyndigheten kan producera anonymiserade resultat och säkerställa anonymiseringen hos producerade resultat. Bestämmelser om anonymisering av resultat finns i 52 §.

6 §
Organisationer samt begränsningar i fråga om datamaterial

De organisationer vars personuppgifter får behandlas med stöd av denna lag för användningsändamål enligt 2 § är

11) Myndigheten för digitalisering och befolkningsdata till den del det ur befolkningsdatasystemet för ändamål enligt denna lag behövs basuppgifter om personer, uppgifter om personers familjeförhållanden och bostadsorter samt byggnadsuppgifter.

6 a §
Behörighet för behandling av dataanvändningstillstånd

Om en ansökan om dataanvändningstillstånd gäller uppgifter som registrerats i de riksomfattande informationssystemtjänster (Kanta-tjänster ) som avses i lagen om behandling av kunduppgifter inom social- och hälsovården (703/2023), nedan kunduppgiftslagen , eller registeruppgifter hos en eller flera privata serviceanordnare inom socialvården eller hälso- och sjukvården, ska ansökan lämnas in till Tillståndsmyndigheten, som fattar beslutet om dataanvändningstillstånd.

Sökanden får lämna in en ansökan om dataanvändningstillstånd som gäller fler än en i 6 § avsedd organisations datamaterial antingen till Tillståndsmyndigheten eller separat till varje enskild organisation som är föremål för ansökan.

Om sökanden lämnar in en ansökan om dataanvändningstillstånd till Tillståndsmyndigheten, fattar myndigheten beslutet om dataanvändningstillstånd i fråga om alla personuppgiftsansvarigas datamaterial som är föremål för ansökan. Om sökanden lämnar in en ansökan separat till varje organisation som är föremål för ansökan, fattar varje organisation beslutet om dataanvändningstillstånd i fråga om sitt eget datamaterial.

Om en ansökan om dataanvändningstillstånd gäller uppgifter hos endast en av de organisationer som avses i 6 §1–8 punkten, lämnas ansökan in till den organisationen, som själv fattar beslutet om dataanvändningstillstånd.

Den organisation som svarar för ett beslut om dataanvändningstillstånd får begära utlåtande från dataombudsmannen om en ansökan om dataanvändningstillstånd, om organisationen bedömer att det behövs.

6 b §
Behörighet för behandling av begäranden om information

Om en begäran om information gäller uppgifter som registrerats i Kanta-tjänsterna eller registeruppgifter hos en eller flera privata serviceanordnare inom socialvården eller hälso- och sjukvården, ska begäran om information lämnas in till Tillståndsmyndigheten, som fattar beslutet om begäran om information.

Sökanden kan lämna in en begäran om information som gäller fler än en i 6 § avsedd organisations datamaterial antingen till Tillståndsmyndigheten eller separat till varje enskild organisation som är föremål för begäran.

Om sökanden lämnar in begäran om information till Tillståndsmyndigheten, fattar myndigheten beslutet om begäran om information i fråga om alla de personuppgiftsansvarigas datamaterial som är föremål för begäran. Om sökanden lämnar in en begäran om information separat till varje organisation som är föremål för begäran, fattar varje organisation beslutet om begäran om information i fråga om sitt eget datamaterial.

Om en begäran om information gäller uppgifter hos endast en av de organisationer som avses i 6 §1–8 punkten, lämnas begäran in till den organisationen, som själv fattar beslutet om begäran om information.

6 c §
Överföring av behörighet för behandling av dataanvändningstillstånd och begäranden om information

En organisation som avses i 6 § kan i fråga om sitt eget datamaterial överlåta behörigheten att meddela beslut om dataanvändningstillstånd eller om begäranden om information till Tillståndsmyndigheten tills vidare eller för viss tid. Tillståndsmyndigheten fattar då besluten om dataanvändningstillstånd eller om begäranden om information i fråga om datamaterialet hos den personuppgiftsansvariga som överlåtit behörigheten. Behörigheten kan överföras om det är motiverat med beaktande av organisationens resurser och tillgänglig sakkunskap. Om organisationen anser att det inte längre finns grunder för överföring av behörigheten kan den återta behörigheten genom att anmäla detta till Tillståndsmyndigheten.

Om en organisation har överlåtit behörigheten till Tillståndsmyndigheten eller om det handlar om en sådan ansökan om dataanvändningstillstånd eller en sådan begäran om information som gäller uppgifter som registrerats i Kanta-tjänsterna eller registeruppgifter hos en eller flera privata serviceanordnare inom socialvården eller hälso- och sjukvården och sökanden har lämnat in ansökan om dataanvändningstillstånd eller begäran om information separat till varje organisation som är föremål för ansökan eller begäran, fattar Tillståndsmyndigheten beslutet om dataanvändningstillstånd eller om begäran om information i fråga om den organisation som överlåtit behörigheten, de uppgifter som registrerats i Kanta-tjänsterna och registeruppgifterna hos de privata serviceanordnarna inom socialvården eller hälso- och sjukvården.

7 §
Undantag som gäller behandling av statistikmyndigheters uppgifter

Statistikcentralen och Institutet för hälsa och välfärd i egenskap av statistikmyndighet ( statistikmyndigheter ) svarar för sådana beslut om dataanvändningstillstånd och om begäranden om information för vetenskaplig forskning som gäller uppgifter som de samlat in för statistiska ändamål samt för att uppgifter som hänför sig till en och samma forskningsplan samkörs med deras egna uppgifter och för pseudonymisering eller anonymisering av uppgifterna, med iakttagande av vad som föreskrivs i statistiklagen (280/2004). En ansökan om dataanvändningstillstånd eller en begäran om information som gäller andra uppgifter som avses i denna lag och uppgifter som en statistikmyndighet samlat in för statistiska ändamål lämnas in till Statistikcentralen eller Institutet för hälsa och välfärd.

Bestämmelser om samkörning och utlämnande av uppgifter som samlats in i statistiska syften finns i 51 § 3 mom.

7 a §
Undantag som gäller behandlingen av Pensionsskyddscentralens, Myndigheten för digitalisering och befolkningsdatas och Statistikcentralens uppgifter

På en ansökan om dataanvändningstillstånd eller en begäran om information som gäller sådana uppgifter hos Pensionsskyddscentralen, Myndigheten för digitalisering och befolkningsdata och Statistikcentralen som avses i 6 § 9–11 punkten tillämpas bestämmelserna i denna lag, om dessa uppgifter samkörs med uppgifter hos en eller flera av de personuppgiftsansvariga som avses i 6 § 1–8 punkten, med uppgifter som registrerats i Kanta-tjänsterna eller med registeruppgifter hos en eller flera privata serviceanordnare inom socialvården eller hälso- och sjukvården.

8 §
Expertgrupp på hög nivå för Tillståndsmyndigheten

Social- och hälsovårdsministeriet utser en expertgrupp på hög nivå för Tillståndsmyndigheten med uppgift att ta fram principiella riktlinjer för anonymisering, dataskydd och informationssäkerhet för Tillståndsmyndighetens verksamhet. Expertgruppen ska ha en expert på artificiell intelligens, dataanalys, informationssäkerhet, dataskydd, sektorsforskning, statistik respektive statistikväsendet och en företrädare för Tillståndsmyndigheten. Närmare bestämmelser om expertgruppens uppgifter, antalet medlemmar och behörighetsvillkoren för dem får utfärdas genom förordning av social- och hälsovårdsministeriet.

13 §
Rådgivningstjänster

Utöver vad som föreskrivs i 1 mom. ska Tillståndsmyndigheten ordna en rådgivningstjänst som avser förutsättningarna för beviljande av dataanvändningstillstånd, förutsättningarna för godkännande av begäranden om information, innehållet i och betydelsen av Tillståndsmyndighetens tjänster samt sådant färdigt datamaterial som avses i 14 § 4 mom.

14 §
Tjänst för sammanställning, samkörning och förbehandling av datamaterial

När Tillståndsmyndigheten eller en i 6 § avsedd organisation har beviljat ett dataanvändningstillstånd eller beslutat bifalla en begäran om information, ska Tillståndsmyndigheten eller den i 6 § avsedda organisationen sammanställa, vid behov samköra och förbehandla samt pseudonymisera eller anonymisera datamaterialet för behandling av tillståndshavaren eller producera de aggregerade statistiska uppgifter som avses i begäran om information.

Tillståndsmyndigheten och de organisationer som avses i 6 § ska bevara en beskrivning av hur datamaterial och aggregerade statistiska uppgifter som de lämnat ut har bildats, av de pseudonymiserings- och anonymiseringsmetoder de använt och av de utlämnade slutresultaten.

Om personuppgifter lämnas ut i pseudonymiserad form med stöd av flera olika planer för användning av uppgifter, ska uppgifterna pseudonymiseras med olika identifierare för varje utlämnande.

Tillståndsmyndigheten får skapa färdigt datamaterial av uppgifter hos de organisationer som avses i 6 §. Tillståndsmyndigheten får plocka ut de uppgifter som behövs för beviljande av dataanvändningstillstånd och som avses i ett beviljat dataanvändningstillstånd eller i ett beslut om begäran om information ur det färdiga datamaterialet.

16 §
Tillståndsmyndighetens e-tjänst

Tillståndsmyndigheten driver ensam eller tillsammans med andra myndigheter en e-tjänst, via vilken ansökningar om dataanvändningstillstånd eller begäranden om information ska lämnas in till Tillståndsmyndigheten.

Centrala utredningar och kompletteringar som Tillståndsmyndigheten begär och de centrala utredningar och kompletteringar som sökanden gör samt ändringar i ansökan förmedlas via e-tjänsten. Tillståndsbeslutet delges sökanden via e-tjänsten.

Om en etisk förhandsgranskning av planen för användningen av uppgifterna har föreskrivits som en förutsättning för användning av uppgifterna, inleds även en etisk granskning och lämnas ett utlåtande via e-tjänsten.

17 §
Informationssäker överföringstjänst

Tillståndsmyndigheten driver en informationssäker överföringstjänst att användas vid utlämnande av de uppgifter som behövs vid behandlingen av en ansökan om dataanvändningstillstånd eller en begäran om information samt av uppgifter som avses i ett beviljat dataanvändningstillstånd. Via den informationssäkra överföringstjänsten får personuppgifter, under de förutsättningar som anges i denna lag, överlämnas mellan Tillståndsmyndigheten och övriga organisationer som avses i 6 §, mellan de organisationer som avses i 6 §, mellan Tillståndsmyndigheten och privata tjänstetillhandahållare inom socialvården och hälso- och sjukvården, mellan den tillståndssökande och Tillståndsmyndigheten samt mellan tillståndssökanden och de organisationer som avses i 6 §.

När personuppgifter förmedlas via den informationssäkra överföringstjänsten ska deras integritet och ursprung säkerställas med en elektronisk underskrift. Integritet och ursprung hos uppgifter som sänds av en organisation och med informationsteknisk utrustning ska säkerställas genom användning av teknik med motsvarande tillförlitlighet som vid elektronisk signering som görs av en fysisk person. Användare av den informationssäkra överföringstjänsten måste vara starkt identifierade när personuppgifter lämnas ut till dem. Bestämmelser om avancerad elektronisk underskrift och stark elektronisk identifiering finns i Europaparlamentets och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG och i lagen om stark autentisering och betrodda elektroniska tjänster (617/2009).

Tillståndsmyndigheten ska skapa de gränssnitt som behövs för den informationssäkra överföringstjänstens interoperabilitet och sörja för att dataöverföringen kan göras med hjälp av allmänt använda tekniker.

20 §
Informationssäker driftmiljö

En informationssäker, tillståndsenlig behandling av uppgifter som Tillståndsmyndigheten eller någon annan organisation som avses i 6 § lämnat ut med stöd av denna lag ska genomföras i en informationssäker driftmiljö. Tillståndsmyndigheten ska ensam eller tillsammans med andra myndigheter ordna en tjänst för en informationssäker driftmiljö. Tjänster för informationssäkra driftmiljöer kan även tillhandahållas av andra organisationer.

Behandlingen ska vara tekniskt möjlig att genomföra på olika sätt och driftmiljön ska vara tillgänglig från olika platser. Tillståndsmyndigheten och organisationer som avses i 6 § ska bedöma hur känsliga de uppgifter som lämnas ut är och beakta detta i de krav som i beslutet om dataanvändningstillstånd ska ställas på användning av den informationssäkra driftmiljön.

Tillståndsmyndighetens informationssäkra driftmiljö och andra informationssäkra driftmiljöer ska uppfylla villkoren i 2 mom. och 21–29 §.

23 §
Skydd för informationssäkra driftmiljöer

En informationssäker driftmiljö ska skyddas i enlighet med vad som föreskrivs i 4 kap. i lagen om informationshantering inom den offentliga förvaltningen (906/2019).

4 kap.
Grunder och förutsättningar för sekundär användning av personuppgifter

Allmänna grunder för sekundär användning

36 §
Tillståndsmyndighetens rätt att få och behandla uppgifter trots sekretessplikten

De uppgifter som avses i 1 mom. lämnas ut till Tillståndsmyndigheten via den informationssäkra överföringstjänsten.

Tillståndsmyndigheten kan, oberoende av sekretessplikten och andra begränsningar som gäller användningen av uppgifter, via den informationssäkra överföringstjänsten plocka ut uppgifter enligt dataanvändningstillståndet ur sådana uppgifter och datalager hos de i 1 mom. avsedda personuppgiftsansvariga ur vilka det med hänsyn till registrens och datalagrens innehåll och tekniska utförande är möjligt och ändamålsenligt.

36 a §
Rätt för den som sammanställer datamaterial att få och behandla uppgifter trots sekretessplikten

Om en organisation som avses i 6 § 2, 3, 5, 7 eller 8 punkten på det sätt som avses i 51 § har utsetts till att sammanställa datamaterial från flera organisationer, har organisationen oberoende av sekretessplikten och andra begränsningar som gäller användningen av uppgifter rätt att av de personuppgiftsansvariga som avses i 6 § på begäran få följande information som är nödvändig för att sköta uppgifterna enligt denna lag:

1) uppgifter som avses i dataanvändningstillståndet för samlande, samkörning och förbehandling av uppgifterna och för utlämnande av uppgifterna till tillståndshavaren för behandling,

2) uppgifter för att bedöma om det är möjligt att anonymisera de uppgifter som avses i ansökan om dataanvändningstillstånd eller om det är möjligt att producera aggregerade statistiska uppgifter av de uppgifter som avses i 45 §,

3) uppgifter som behövs för produktion av aggregerade statistiska uppgifter, samt

4) andra uppgifter som är nödvändiga för skötseln av organisationens uppgifter enligt denna lag än de uppgifter som avses i 1–3 punkten.

De uppgifter som avses i 1 mom. lämnas ut till den som sammanställer datamaterialet via den informationssäkra överföringstjänsten eller någon annan informationssäker tjänst.

Den som sammanställer datamaterialet kan, oberoende av sekretessplikten och andra begränsningar som gäller användningen av uppgifter, via den informationssäkra överföringstjänsten eller någon annan informationssäker tjänst plocka ut uppgifter enligt dataanvändningstillståndet ur sådana uppgifter och datalager hos de i 6 § avsedda organisationer ur vilka det med hänsyn till registrens och datalagrens innehåll och tekniska utförande är möjligt och ändamålsenligt.

Den som sammanställer datamaterialet är personuppgiftsansvarig för de uppgifter som den fått på det sätt som avses i denna paragraf.

37 §
Utvecklings- och innovationsverksamhet

Tillståndsmyndigheten och organisationer som avses i 6 § får trots skyldigheten att iaktta sekretess i enskilda fall med stöd av en begäran om information producera aggregerade statistiska uppgifter som bygger på kunduppgifter och andra personuppgifter från organisationer som avses i 6 § för sådan utvecklings- och innovationsverksamhet som genomförs på annat sätt än som vetenskaplig forskning.

42 §
Myndighetsstyrning och myndighetstillsyn inom social- och hälsovården

De uppgifter som avses i 2 mom. lämnas ut till tillsynsmyndigheten via den informationssäkra överföringstjänsten.

43 §
Allmänna grunder för beviljande av dataanvändningstillstånd

Om Tillståndsmyndigheten eller en organisation som avses i 6 § utifrån ansökan om dataanvändningstillstånd konstaterar att ärendet i stället för ett dataanvändningstillstånd kan behandlas som en begäran om information, ska Tillståndsmyndigheten eller den i 6 § avsedda organisationen ta kontakt med den tillståndssökande och föreslå att ärendet behandlas som en begäran om information. Om den tillståndssökande kräver att ärendet behandlas som en tillståndsansökan, ska Tillståndsmyndigheten eller den i 6 § avsedda organisationen fatta beslut i ärendet.

45 §
Behandling av en begäran om information

Tillståndsmyndigheten eller en organisation som avses i 6 § beslutar huruvida en begäran om information överensstämmer med användningsändamålen enligt 2 § och övriga krav som ställs på en begäran om information.

När den fattar sådana beslut, ska Tillståndsmyndigheten och den i 6 § avsedda organisationen, med stöd av artiklarna 9.2 g och 86 i dataskyddsförordningen och med beaktande av den i 8 § avsedda expertgruppens principiella riktlinjer, bedöma om det är möjligt att av de begärda registeruppgifterna utforma aggregerade statistiska uppgifter enligt begäran.

Om uppgifterna begärs för vetenskaplig forskning och begäran gäller uppgifter som en statistikmyndighet samlat in för statistiska ändamål, ska begäran om information dock behandlas med iakttagande av 7 § och 51 § 3 mom.

46 §
Lämnande av ansökan om dataanvändningstillstånd och begäran om information till Tillståndsmyndigheten

Begäranden om information och ansökningar om dataanvändningstillstånd ska lämnas in till Tillståndsmyndigheten via e-tjänsten. Om sökanden kompletterar sin ansökan, ska även kompletteringen lämnas in till Tillståndsmyndigheten via e-tjänsten. Till en tillståndsansökan och till en begäran om information som gäller aggregerade statistiska uppgifter ska det fogas en plan för användning av uppgifterna.

Tillståndsmyndigheten meddelar föreskrifter om datainnehållet och datastrukturerna i ansökan om dataanvändningstillstånd, i planen för användning av uppgifterna, i begäran om information samt i beslutet om dataanvändningstillstånd och om begäran om information.

47 §
Tidsfrister för behandling av dataanvändningstillstånd

Beslut om ansökan om dataanvändningstillstånd ska meddelas utan dröjsmål, dock senast tre månader från det att tillståndsansökan har inkommit i fullständig form till organisationen.

Tillståndsmyndigheten eller en organisation som avses i 6 § kan av vägande skäl besluta att behandlingstiden för en ansökan om dataanvändningstillstånd ska förlängas med högst tre månader, om behandlingen av ansökan och av den anknytande planen för användning av uppgifterna förutsätter en exceptionellt omfattande behandling som omfattar flera olika personuppgiftsansvarigas uppgifter eller förutsätter särskilt krävande prövning. Tillståndsmyndigheten eller den i 6 § avsedda organisationen ska underrätta den som ansöker om tillstånd om förlängning av tidsfristen och om grunden för förlängningen samt om den nya tidsfrist inom vilken tillståndsbeslutet meddelas.

Om den organisation som svarar för beslutet om dataanvändningstillstånd begär ett utlåtande enligt 6 a § 5 mom. från dataombudsmannen, avbryts den ansvariga organisationens tidsfrist för behandling av ansökan tills utlåtandet har kommit in.

En personuppgiftsansvarig som avses i 6 § och en privat tjänstetillhandahållare inom socialvården eller hälso- och sjukvården ska utan dröjsmål lämna Tillståndsmyndigheten de uppgifter som behövs för behandlingen av en ansökan om dataanvändningstillstånd eller av en begäran om information, dock senast inom 15 vardagar från det att begäran inkom. Om den utredning som sökanden anför till stöd för sin ansökan eller sin begäran är otillräcklig, ska den personuppgiftsansvarige utan dröjsmål underrätta Tillståndsmyndigheten och sökanden om vilka tilläggsutredningar som krävs. De uppgifter som behövs för behandling av ansökan om dataanvändningstillstånd eller begäran om information ska då lämnas in till Tillståndsmyndigheten inom 15 vardagar från det att de tilläggsutredningar som erhållits av sökanden är tillräckliga.

48 §
Tidsfrister för utlämnande av uppgifter

En personuppgiftsansvarig som avses i 6 § och en privat tjänstetillhandahållare inom socialvården eller hälso- och sjukvården ska på begäran av Tillståndsmyndigheten utan dröjsmål lämna ut de registeruppgifter som hänför sig till ett beviljat dataanvändningstillstånd eller som behövs för behandlingen av en begäran om information, dock senast inom 30 vardagar från det att Tillståndsmyndigheten har fattat beslut om att uppgifterna får lämnas ut till sökanden.

En personuppgiftsansvarig som avses i 6 § ska på begäran av en i 51 § avsedd sammanställare av datamaterial utan dröjsmål lämna ut registeruppgifter enligt ett beviljat dataanvändningstillstånd eller uppgifter som behövs för behandlingen av en begäran om information, dock senast inom 30 vardagar från det att organisationerna har fattat beslut om att uppgifterna får lämnas ut till sökanden.

Om den utredning som sökanden anfört till stöd för utlämnande av uppgifter är otillräcklig, ska Tillståndsmyndigheten eller den som sammanställer datamaterialet utan dröjsmål underrätta sökanden om vilka tilläggsutredningar som krävs. De begärda uppgifterna ska då lämnas ut till sökanden inom 30 vardagar från det att tilläggsutredningen togs emot, om säkerhet om förutsättningarna för utlämnandet kan nås med stöd av den inlämnade tilläggsutredningen.

Om uppgifterna inte kan lämnas ut till Tillståndsmyndigheten eller den som sammanställer datamaterialet inom den tidsfrist som föreskrivs i 1 mom., ska den personuppgiftsansvarige före tidsfristens utgång informera om dröjsmålet, om orsaken till dröjsmålet och om den förlängning av tidsfristen som behövs för utlämnande av uppgifter. Tillståndsmyndigheten eller den som sammanställer datamaterialet ska av grundad anledning sätta ut en ny tidsfrist för utlämnandet.

Tillståndsmyndigheten eller den som sammanställer datamaterialet ska lämna ut de uppgifter som den med stöd av ett dataanvändningstillstånd samlat och samkört till tillståndshavaren utan dröjsmål, dock senast 60 vardagar från det att tillståndet beviljades.

Tillståndsmyndigheten eller den som sammanställer datamaterialet kan av vägande skäl förlänga tidsfristen för utlämnande av uppgifter, om utlämnandet av uppgifterna förutsätter en exceptionellt omfattande behandling som omfattar flera olika personuppgiftsansvarigas uppgifter eller förutsätter särskilt krävande samkörning av uppgifter. Tillståndsmyndigheten eller den som sammanställer datamaterialet ska informera tillståndshavaren om förlängningen av tidsfristen och om grunden för förlängningen samt om den nya tidsfrist inom vilken uppgifterna lämnas ut.

49 §
Avgift för dataanvändningstillstånd och för beslut om begäran om information

De avgifter som tas ut för dataanvändningstillstånd och för beslut om begäranden om information ska vara transparenta.

50 §
Ersättningar för tjänster

Ersättningar som hänför sig till att uppgifter med stöd av dataanvändningstillstånd eller beslut om begäranden om information plockats ut och tillhandahålls från andra datalager än Tillståndsmyndighetens egna bestäms i enlighet med vad som föreskrivs om varje personuppgiftsansvarig som tillhandahållit uppgifterna.

Bestämmelser om grunderna för bestämmande av ersättningar till Tillståndsmyndigheten finns i lagen om grunderna för avgifter till staten.

51 §
Sammanställande av datamaterial efter beviljande av dataanvändningstillstånd eller efter ett beslut om begäran om information

Om Tillståndsmyndigheten har beviljat ett dataanvändningstillstånd eller fattat ett beslut om begäran om information, ska den samla och vid behov samköra och förbehandla samt pseudonymisera eller anonymisera de uppgifter som specificeras i tillståndet eller producera de aggregerade statistiska uppgifter som avses i begäran om information.

Om tillståndsansökan eller begäran om information gäller flera organisationers uppgifter och varje sådan organisation som avses i 6 § har beviljat dataanvändningstillstånd eller fattat beslut om begäran om information i fråga om sitt eget datamaterial beträffande en ansökan om dataanvändningstillstånd eller en begäran om information som gäller flera organisationers data, sammanställs organisationernas datamaterial antingen av Tillståndsmyndigheten eller någon av de organisationer som avses i 6 § 2, 3, 5, 7 eller 8 punkten och som är föremål för tillståndsansökan eller begäran om information ska sammanställa datamaterialet. Beslutet om vilken av de ovan avsedda organisationerna som ska sammanställa datamaterialet ska fattas i samarbete mellan de organisationer som ansökan om dataanvändningstillstånd eller begäran om information gäller utifrån organisationernas resurser och tillgänglig sakkunskap. En organisation som avses i 6 § 2, 3, 5, 7 eller 8 punkten kan meddela att organisationen inte står till förfogande för uppgiften. Om organisationerna inte når samförstånd om vilken organisation som ska sammanställa datamaterialet, ska datamaterialet sammanställas av Tillståndsmyndigheten. Den som sammanställer datamaterialet ska också vid behov samköra och förbehandla samt pseudonymisera eller anonymisera de uppgifter som specificeras i dataanvändningstillståndet eller producera de aggregerade statistiska uppgifter som avses i begäran om information.

Om det för användningsändamålet även behövs uppgifter som Statistikcentralen eller Institutet för hälsa och välfärd i egenskap av statistikmyndighet samlat för statistiska ändamål, ska statistikmyndigheten samköra samt vid behov förbehandla och pseudonymisera eller anonymisera de uppgifter som ska lämnas ut eller producera de aggregerade statistiska uppgifter som avses i begäran om information. Om det för användningsändamålet behövs uppgifter av båda statistikmyndigheterna, ska myndigheterna sinsemellan komma överens om vem av dem som samkör och pseudonymiserar eller anonymiserar uppgifterna. Uppgifterna kan därefter via den informationssäkra överföringstjänsten lämnas ut till tillståndshavaren för behandling antingen i Statistikcentralens eller Tillståndsmyndighetens informationssäkra driftmiljö eller i någon annan informationssäker driftmiljö, beroende på uppgifternas art och mängd.

51 a §
Behandling av datamaterial i en enskild organisation

Om en sökande i en ansökan om dataanvändningstillstånd eller en begäran om information som gäller uppgifter hos flera organisationer som avses i 6 § anger att datamaterialet hos ett flertal av de organisationerna inte behöver samköras, ska varje organisation som avses i ansökan eller i begäran om information sammanställa, förbehandla och pseudonymisera eller anonymisera sitt eget datamaterial eller producera sådana aggregerade statistiska uppgifter som avses i begäran om information. Organisationerna kan använda sig av den pseunymiseringsnyckel som Tillståndsmyndigheten skapar.

Om en tillståndsansökan eller begäran om information gäller endast en organisations eget datamaterial, ska den i 6 § avsedda organisation som beviljat dataanvändningstillståndet eller fattat beslutet om begäran om information samla, förbehandla och pseudonymisera eller anonymisera uppgifterna eller producera de aggregerade statistiska uppgifter som avses i begäran om information.

En organisation kan i fråga om sitt eget datamaterial överlåta behörigheten att utföra den behandling av datamaterial som avses i denna paragraf till Tillståndsmyndigheten tills vidare eller för viss tid. Behörigheten kan överföras om det är motiverat med beaktande av organisationens resurser och tillgänglig sakkunskap. Om organisationen anser att det inte längre finns grunder för överföring av behörigheten kan den återta behörigheten genom att anmäla detta till Tillståndsmyndigheten.

51 b §
Utlämnande av datamaterial till en informationssäker driftmiljö

I andra situationer än de som avses i 51 c och 51 d § ska det datamaterial som baserar sig på ett dataanvändningstillstånd lämnas ut till tillståndshavaren för behandling i en i 20 § avsedd informationssäker driftmiljö via den informationssäkra överföringstjänsten eller någon annan informationssäker tjänst, om det inte har skapats aggregerade statistiska uppgifter av materialet.

Leverantören av en driftmiljö ska innan en anslutning till tillståndshavaren öppnas säkerställa att tillståndshavaren uppfyller kraven i dataanvändningstillståndet.

51 c §
Utlämnande av datamaterial i någon annan säker driftmiljö

Tillståndsmyndigheten kan av särskilda skäl bevilja ett dataanvändningstillstånd där datamaterialet får lämnas ut i någon annan säker driftmiljö än en sådan informationssäker driftmiljö som avses i 20 §. Ett sådant dataanvändningstillstånd kan beviljas, om

1) riskerna för den nationella säkerheten och andra risker som hänför sig till det datamaterial som lämnas ut med stöd av dataanvändningstillståndet är små,

2) en av deltagarna i projektet är en aktör som bedriver forskningsverksamhet i en finländsk forskningsorganisation, och

3) nivån på dataskyddet och informationssäkerheten vid behandlingen av datamaterialet är tillräcklig.

Sökanden ska i sin ansökan om dataanvändningstillstånd motivera varför datamaterialet inte kan behandlas i en sådan informationssäker driftmiljö som avses i 20 § och lämna alla uppgifter som behövs för att Tillståndsmyndigheten ska kunna bedöma huruvida förutsättningarna enligt 1 mom. uppfylls. Dataanvändningstillståndet kan förenas med närmare villkor för behandlingen av uppgifter.

Om Tillståndsmyndigheten har beviljat ett dataanvändningstillstånd som avses i 1 §, ska den samla och vid behov samköra och förbehandla samt pseudonymisera eller anonymisera de uppgifter som specificeras i dataanvändningstillståndet och lämna ut det datamaterial som den producerat till tillståndshavaren för behandling i en annan säker driftmiljö än en sådan informationssäker driftmiljö som avses i 20 §.

51 d §
Utlämnande av anonymiserat datamaterial

En organisation som avses i 6 § kan av särskilda skäl bevilja dataanvändningstillstånd för erhållande av uppgifter i anonymiserad form utanför en sådan informationssäker driftmiljö som avses i 20 §, om ansökan om dataanvändningstillstånd gäller endast sådana uppgifter som innehas av organisationen i fråga. Om en ansökan om dataanvändningstillstånd gäller uppgifter hos fler än en av de organisationer som avses i 6 §, kan Tillståndsmyndigheten av särskilda skäl bevilja dataanvändningstillstånd för erhållande av uppgifter i anonymiserad form utanför en sådan informationssäker driftmiljö som avses i 20 §.

En organisation som avses i 6 § kan i fråga om sitt eget datamaterial överlåta behörigheten att meddela i denna paragraf avsedda beslut om dataanvändningstillstånd till Tillståndsmyndigheten tills vidare eller för viss tid. Tillståndsmyndigheten fattar då besluten om dataanvändningstillstånd i fråga om datamaterialet hos den personuppgiftsansvariga som överlåtit behörigheten. Behörigheten kan överföras om det är motiverat med beaktande av organisationens resurser och tillgänglig sakkunskap. Om organisationen anser att det inte längre finns grunder för överföring av behörigheten kan den återta behörigheten genom att anmäla detta till Tillståndsmyndigheten.

En förutsättning för beviljande av tillstånd enligt 1 mom. är att riskerna som hänför sig till datamaterialet är små och att datamaterialet kan anonymiseras på ett tillförlitligt sätt.

En organisation som avses i 6 § eller Tillståndsmyndigheten ska samla och vid behov samköra och förbehandla samt anonymisera de uppgifter som specificeras i dataanvändningstillståndet och lämna ut det anonymiserade datamaterial som den producerat till tillståndshavaren.

52 §
Exportering av resultat ur en informationssäker driftmiljö

När uppgifter med stöd av ett dataanvändningstillstånd har lämnats ut för behandling i en sådan informationssäker driftmiljö som avses i 20 § och de resultat som producerats på basis av uppgifterna exporteras ur den informationssäkra driftmiljön, ska tillståndshavaren anonymisera de resultat som exporteras ur den informationssäkra driftmiljön. På begäran av tillståndshavaren kan Tillståndsmyndigheten producera de anonymiserade resultaten och lämna ut dem till tillståndshavaren.

Om det är tillståndshavaren som har anonymiserat resultaten, ska tillståndshavaren meddela Tillståndsmyndigheten att avsikten är att exportera resultaten ur den informationssäkra driftmiljön. Tillståndsmyndigheten ska säkerställa anonymiseringen av de producerade resultaten utifrån en riskbaserad bedömning.

Tillståndsmyndigheten får meddela närmare föreskrifter om anonymisering av resultat.

58 §
Överklagande

I fråga om ett sådant beslut om en begäran om information och ett sådant beslut om en ansökan om dataanvändningstillstånd eller återkallelse av tillstånd som avses i denna lag och som fattats av Tillståndsmyndigheten eller av en i 6 § avsedd organisation samt i fråga om ett beslut som fattats av Tillstånds- och tillsynsverket med stöd av denna lag får omprövning begäras. Bestämmelser om begäran om omprövning finns i förvaltningslagen (434/2003).

Bestämmelser om sökande av ändring i förvaltningsdomstol finns i lagen om rättegång i förvaltningsärenden (808/2019).

60 §
Övergångsbestämmelser

Uppgifter som samlats in med den berördas samtycke före lagens ikraftträdande får användas och lämnas ut i enlighet med denna lag för användningsändamål enligt 2 § 2 mom. 1, 2 och 7 punkten trots vad som föreskrivs i 43 § 3 mom., om det är uppenbart att användningen och utlämnandet inte avviker från de syften för vilka uppgifterna har lämnats. Den organisation som fattar beslut om dataanvändningstillstånd kan förutsätta att den som ansöker om tillstånd, till grund för tillståndsbeslutet, ska be om en etisk bedömning av den etiska kommittén vid Institutet för hälsa och välfärd.

Bestämmelserna om en tjänst för sammanställning, samkörning och förbehandling av datamaterial och om pseudonymisering och anonymisering av uppgifter i 14 § 1 och 2 mom., om Tillståndsmyndighetens e-tjänst i 16 § och om en informationssäker driftmiljö i 20 § 1 mom. tillämpas från och med den 1 januari 2020.

Ansökningar om dataanvändningstillstånd och begäranden om information ska via den i 16 § avsedda e-tjänsten lämnas till Tillståndsmyndigheten från och med den 1 april 2020.

Denna lag träder i kraft den 20 . Lagens 2 § 4 mom. träder dock i kraft redan den 1 januari 2026.

Efter ikraftträdandet av lagens 2 § 4 mom. får sådana kunduppgifter samt sådana andra personuppgifter hos organisationer enligt 6 § som med stöd av de bestämmelser som gällde vid ikraftträdandet av denna lag har behandlats i en informationssäker driftmiljö för genomförande av klinisk prövning av läkemedel, medicinsk forskning eller kliniska prövningar av medicintekniska produkter eller prestandastudier av produkter för in vitro-diagnostik överföras till en annan driftmiljö, om villkoren för erhållande av uppgifter och annan behandling av uppgifter enligt 34 § i lagen om klinisk prövning av läkemedel, 21 c § i lagen om medicinsk forskning eller 20 a § i lagen om medicintekniska produkter uppfylls.

2. Lag om ändring av 30 och 34 § i lagen om klinisk prövning av läkemedel

I enlighet med riksdagens beslut

ändras i lagen om klinisk prövning av läkemedel (983/2021) 30 § 1 mom. och 34 §, av dem 34 § sådan den lyder delvis ändrad i lag 708/2023, som följer:

30 §
Ändringssökande

Omprövning får begäras av ett beslut som Säkerhets- och utvecklingscentret för läkemedelsområdet fattat med stöd av denna lag eller artikel 77 i prövningsförordningen samt av ett beslut som en myndighet enligt 34 § 1 mom. fattat om utlämnande av registeruppgifter. Bestämmelser om begäran om omprövning finns i förvaltningslagen (434/2003). Om det ärende som är föremål för begäran om omprövning gäller en omständighet som behandlats i ett utlåtande som avgetts av kommittén ska centret begära ett utlåtande om ärendet av kommittén, om inte detta är uppenbart onödigt.

34 §
Användning av vissa registeruppgifter som gäller försökspersoner vid prövningar

Trots sekretessbestämmelserna har sponsorn, dennes företrädare, prövare och medlemmar i prövningsgruppen samt företrädare för den myndighet som utövar tillsyn över prövningen eller den myndighet som beviljar försäljningstillstånd på basis av prövningen, för att genomföra en i denna lag avsedd prövning och för att fullgöra en i lag angiven skyldighet som anknyter till prövningen, rätt att få och att behandla sådana personuppgifter om försökspersoner som registrerats i social- och hälsovårdsverksamhet och för styrnings-, tillsyns- och forskningsändamål inom social- och hälsovården av följande organisationer, om det är nödvändigt att få och att behandla uppgifterna för att sponsorn, dennes företrädare, prövaren eller medlemmen i prövningsgruppen ska kunna fullgöra en uppgift eller skyldighet som anknyter till prövningen eller för att företrädarna för den myndighet som utövar tillsyn över prövningen eller för den myndighet som beviljar försäljningstillstånd på basis av prövningen ska kunna fullgöra sina uppgifter:

1) Institutet för hälsa och välfärd till den del det i prövningen behövs uppgifter som avses i 5 § 1 mom. 1 punkten i lagen om Institutet för hälsa och välfärd (668/2008) eller uppgifter om mikrobfynd ur det register över smittsamma sjukdomar som avses i 32 § i lagen om smittsamma sjukdomar (1227/2016),

2) Folkpensionsanstalten till den del det i prövningen behövs personuppgifter som registrerats i en kundrelation i samband med förmånsbehandling eller uppgifter om recept och anknytande expedieringar som lagrats i det receptcenter som avses i 3 § 4 punkten i lagen om elektroniska recept (61/2007),

3) Tillstånds- och tillsynsverket till de delar verket behandlar ärenden som anknyter till social- och hälsovården,

4) Arbetshälsoinstitutet till den del det i prövningen behövs uppgifter ur registren över arbetsrelaterade sjukdomar och exponeringsmätningar och ur institutets patientregister,

5) Säkerhets- och utvecklingscentret för läkemedelsområdet,

6) offentliga och privata serviceanordnare inom socialvården eller hälso- och sjukvården.

En förutsättning för erhållande av de uppgifter som avses i 1 mom. och för annan behandling av uppgifterna är att försökspersonen har lämnat informerat samtycke till att delta i prövningen. Om försökspersonen i enlighet med 13 eller 14 § inte själv kan lämna informerat samtycke till att delta i prövningen, är ett villkor för erhållande av de uppgifter som avses i 1 mom. och för annan behandling av uppgifterna att den lagligen utsedda företrädare för försökspersonen som avses i de nämnda paragraferna har lämnat informerat samtycke till deltagandet i prövningen, och i en situation som avses i 14 § 4 mom. att också försökspersonen själv har lämnat samtycke till deltagandet.

Om prövningen är en klinisk prövning av läkemedel som utförs i en nödsituation på det sätt som avses i artikel 35 i prövningsförordningen, får uppgifter som avses i 1 mom. erhållas och behandlas vid prövningen på det sätt som föreskrivs i 1 mom., om de villkor för genomförande av prövningar som anges i artikel 35 uppfylls. Bestämmelser om rätt att motsätta sig användningen av uppgifter från en klinisk prövning av läkemedel finns i artikel 35.3 i prövningsförordningen.

Utlämnande av uppgifter till aktörer som avses i 1 mom. förutsätter att det vid utlämnandet går att försäkra sig om att dataskyddet och informationssäkerheten vid behandlingen av uppgifterna håller en tillräckligt hög nivå. Uppgifter får inte lämnas ut, om det finns grundad anledning att misstänka att utlämnandet eller mottagarens verksamhet äventyrar den nationella säkerheten.

Om en myndighet som avses i 1 mom. vägrar lämna ut uppgifter som begärts, ska myndigheten fatta ett beslut i ärendet.

Uppgifterna ska pseudonymiseras innan de lämnas ut för ändamål som avses i 1 mom., om det inte finns särskilda skäl att förfara annorlunda. Mottagaren får samköra uppgifter som mottagaren fått med stöd av 1 mom., om det är nödvändigt att uppgifterna samkörs för att de uppgifter eller skyldigheter som avses i 1 mom. ska kunna fullgöras.

Denna lag träder i kraft den 20 .

3. Lag om ändring av lagen om medicintekniska produkter

I enlighet med riksdagens beslut

ändras i lagen om medicintekniska produkter (719/2021) 56 § 1 mom. och

fogas till lagen en ny 20 a § som följer:

20 a §
Användning av vissa registeruppgifter som gäller försökspersoner vid prövningar

Trots sekretessbestämmelserna har sponsorn, dennes företrädare, prövaren och medlemmar i prövningsgruppen, för att genomföra en i denna lag avsedd prövning eller studie och för att fullgöra en i lag angiven skyldighet som anknyter till prövningen eller studien, rätt att få och att behandla sådana personuppgifter om försökspersoner som registrerats i social- och hälsovårdsverksamhet och för styrnings-, tillsyns- och forskningsändamål inom social- och hälsovården av följande organisationer, om det är nödvändigt att få och att behandla uppgifterna för att sponsorn, dennes företrädare, prövaren eller medlemmen i prövningsgruppen ska kunna fullgöra en uppgift eller skyldighet som anknyter till prövningen eller studien:

1) Institutet för hälsa och välfärd till den del det i prövningen eller studien behövs uppgifter som avses i 5 § 1 mom. 1 punkten i lagen om Institutet för hälsa och välfärd (668/2008) eller uppgifter om mikrobfynd ur det register över smittsamma sjukdomar som avses i 32 § i lagen om smittsamma sjukdomar (1227/2016),

2) Folkpensionsanstalten till den del det i prövningen eller studien behövs personuppgifter som registrerats i en kundrelation i samband med förmånsbehandling eller uppgifter om recept och anknytande expedieringar som lagrats i det receptcenter som avses i 3 § 4 punkten i lagen om elektroniska recept (61/2007),

3) Tillstånds- och tillsynsverket till de delar verket behandlar ärenden som ansluter sig till social- och hälsovården,

4) Arbetshälsoinstitutet till den del det i prövningen eller studien behövs uppgifter ur registren över arbetsrelaterade sjukdomar och exponeringsmätningar och ur institutets patientregister,

5) Säkerhets- och utvecklingscentret för läkemedelsområdet,

6) offentliga och privata serviceanordnare inom socialvården eller hälso- och sjukvården.

Ett villkor för erhållande av de uppgifter som avses i 1 mom. och för annan behandling av uppgifterna är att försökspersonen har lämnat informerat samtycke till att delta i prövningen eller studien. Om försökspersonen i enlighet med 25 eller 26 § inte själv kan lämna informerat samtycke till att delta i prövningen eller studien, är ett villkor för erhållande av de uppgifter som avses i 1 mom. och för annan behandling av uppgifterna att den lagligen utsedda företrädare för försökspersonen som avses i de nämnda paragraferna har lämnat informerat samtycke till deltagandet i prövningen eller studien, och i en situation som avses i 26 § 4 mom. att också försökspersonen själv har lämnat samtycke till deltagandet.

Om prövningen eller studien är en klinisk prövning som utförs i en nödsituation på det sätt som avses i artikel 68 i MD-förordningen eller en prestandastudie som utförs i en nödsituation på det sätt som avses i artikel 64 i IVD-förordningen, får uppgifter som avses i 1 mom. erhållas och behandlas i prövningen eller studien på det sätt som föreskrivs i 1 mom., om de villkor för genomförande av prövningar eller studier som anges i artikel 68 i MD-förordningen eller artikel 64 i IVD-förordningen uppfylls. Bestämmelser om rätt att motsätta sig användningen av uppgifter från en klinisk prövning eller en studie finns i artikel 68.3 i MD-förordningen och i artikel 64.3 i IVD-förordningen.

Om en myndighet som avses i 1 mom. vägrar lämna ut uppgifter som begärts, ska myndigheten fatta ett beslut i ärendet.

56 §
Ändringssökande

Omprövning får begäras av ett beslut som Säkerhets- och utvecklingscentret för läkemedelsområdet och det anmälda organet har fattat med stöd av MD-förordningen, IVD-förordningen eller denna lag samt av ett beslut som en myndighet enligt 20 a § 1 mom. har fattat om utlämnande av registeruppgifter. Bestämmelser om begäran om omprövning finns i förvaltningslagen.

Denna lag träder i kraft den 20 .

4. Lag om ändring av 21 c och 22 a § i lagen om medicinsk forskning

I enlighet med riksdagens beslut

ändras i lagen om medicinsk forskning (488/1999) 21 c § samt rubriken för 22 a § och 22 a § 1 mom.,

sådana de lyder, 21 c § i lagarna 984/2021 och 709/2023 samt rubriken för 22 a § och 22 a § 1 mom. i lag 1486/2019, som följer:

21 c §
Användning av vissa registeruppgifter som gäller försökspersoner vid forskning

Trots sekretessbestämmelserna har sponsorn, dennes företrädare, forskare och medlemmar i forskningsgruppen, för att genomföra i denna lag avsedd forskning och för att fullgöra en i lag angiven skyldighet som anknyter till forskningen, rätt att få och att behandla sådana personuppgifter om försökspersoner som registrerats i social- och hälsovårdsverksamhet och för styrnings- , tillsyns- och forskningsändamål inom social- och hälsovården av följande organisationer, om det är nödvändigt att få och att behandla uppgifterna för att sponsorn, dennes företrädare, forskaren eller medlemmen i forskningsgruppen ska kunna fullgöra en uppgift eller skyldighet som anknyter till forskningen:

1) Institutet för hälsa och välfärd till den del det för forskningen behövs uppgifter som avses i 5 § 1 mom. 1 punkten i lagen om Institutet för hälsa och välfärd (668/2008) eller uppgifter om mikrobfynd ur det register över smittsamma sjukdomar som avses i 32 § i lagen om smittsamma sjukdomar (1227/2016),

2) Folkpensionsanstalten till den del det för forskningen behövs personuppgifter som registrerats i en kundrelation i samband med förmånsbehandling eller uppgifter om recept och anknytande expedieringar som lagrats i det receptcenter som avses i 3 § 4 punkten i lagen om elektroniska recept (61/2007),

3) Tillstånds- och tillsynsverket till de delar verket behandlar ärenden som ansluter sig till social- och hälsovården,

4) Arbetshälsoinstitutet till den del det för forskningen behövs uppgifter ur registren över arbetsrelaterade sjukdomar och exponeringsmätningar och ur institutets patientregister,

5) Säkerhets- och utvecklingscentret för läkemedelsområdet,

6) offentliga och privata serviceanordnare inom socialvården eller hälso- och sjukvården.

Ett villkor för erhållande av de uppgifter som avses i 1 mom. och för annan behandling av uppgifterna är att försökspersonen har lämnat informerat samtycke till att delta i forskningen. Om försökspersonen i enlighet med 7 eller 8 § inte själv kan lämna informerat samtycke till att delta i forskningen, är ett villkor för erhållande av de uppgifter som avses i 1 mom. och för annan behandling av uppgifterna att den som har rätt att ge samtycke för försökspersonens räkning har lämnat informerat samtycke till deltagande i forskningen. Om det för deltagande i forskningen enligt 8 § också ska inhämtas samtycke av en minderårig försöksperson själv när försökspersonen inte självständigt kan ge ett informerat samtycke till att delta i forskningen, behövs också försökspersonens eget samtycke.

Om det vid forskningen handlar om forskning i en nödsituation på det sätt som avses i 10 a §, får uppgifter som avses i 1 mom. erhållas och behandlas vid forskningen på det sätt som föreskrivs i 1 mom., om de villkor för forskning som anges i 10 a § uppfylls. Bestämmelser om rätten att förbjuda användningen av uppgifter från forskning finns i 10 a § 4 mom.

Om det vid forskningen handlar om forskning som genomförs i kluster på det sätt som avses i 10 b §, får uppgifter som avses i 1 mom. erhållas och behandlas vid forskningen på det sätt som föreskrivs i 1 mom., om försökspersonen har lämnat sitt samtycke till att delta i forskningen. Bestämmelser om samtycke finns i 10 b § 3 mom.

Om en myndighet som avses i 1 mom. vägrar lämna ut uppgifter som begärts, ska myndigheten fatta ett beslut i ärendet.

Bestämmelser om anteckningar som görs i journalhandlingar och om förvaring av journalhandlingar finns i lagen om behandling av kunduppgifter inom social- och hälsovården (703 /2023).

22 a §
Sökande av ändring i myndighetsbeslut

Omprövning får begäras av ett beslut enligt denna lag som Säkerhets- och utvecklingscentret för läkemedelsområdet har fattat samt av ett beslut som en myndighet enligt 21 c § 1 mom. har fattat om utlämnande av registeruppgifter. Bestämmelser om begäran om omprövning finns i förvaltningslagen.

Denna lag träder i kraft den 20 .

5. Lag om ändring av 5 a § i lagen om Institutet för hälsa och välfärd

I enlighet med riksdagens beslut

upphävs i lagen om Institutet för hälsa och välfärd (668/2008) 5 a § 2 mom., sådant det lyder i lag 710/2023, och

ändras 5 a § 1 mom., sådant det lyder i lag 710/2023, som följer:

5 a §
Utlämnande av uppgifter

Uppgifter som samlats in med stöd av 5 § 1 mom. 1 punkten får lämnas ut med iakttagande av vad som föreskrivs i lagen om sekundär användning av personuppgifter inom social- och hälsovården (552/2019), 34 § i lagen om klinisk prövning av läkemedel (983/2021), 21 c § i lagen om medicinsk forskning (488/1999) och 20 a § i lagen om medicintekniska produkter (719/2021).

Denna lag träder i kraft den 20 .

6. Lag om upphävande av 61 § i lagen om behandling av kunduppgifter inom social- och hälsovården

I enlighet med riksdagens beslut föreskrivs:

1 §

Genom denna lag upphävs 61 § i lagen om behandling av kundtuppgifter inom social- och hälsovården (703/2023).

2 §

Denna lag träder i kraft den 20 .

Helsingfors 5.11.2025

I den avgörande behandlingen deltog

ordförande

Krista Kiuru sd

vice ordförande

Mia Laiho saml

medlem

Kim Berg sd

medlem

Bella Forsgrén gröna

medlem

Hilkka Kemppi cent

medlem

Aki Lindén sd

medlem

Hanna-Leena Mattila cent

medlem

Ville Merinen sd (delvis)

medlem

Anne Rintamäki saf

medlem

Päivi Räsänen kd

medlem

Pia Sillanpää saf

medlem

Oskari Valtola saml

medlem

Henrik Wickström sv

ersättare

Mari Kaunistola saml

ersättare

Hanna Laine-Nousimaa sd.

Sekreterare var

utskottsråd

Päivi Salo.

Kakinställningar

ShUB 15/2025 rd // <![CDATA[ _spBodyOnLoadFunctionNames.push("setupPageDescriptionCallout"); // ]]>

Betänkande ShUB 15/2025 rd RP 87/2025 rd Social- och hälsovårdsutskottet Regeringens proposition till riksdagen med förslag till lag om ändring av lagen om sekundär användning av personuppgifter inom social- och hälsovården och till lagar som har samband med den

INLEDNING

Remiss

Utlåtande

Sakkunniga

PROPOSITIONEN

UTSKOTTETS ÖVERVÄGANDEN

Decentraliserad modell

Fastställande av behörig myndighet

Kliniska prövningar

Internationellt forskningssamarbete

Ekonomiska konsekvenser

Förhållande till EHDS-förordningen

DETALJMOTIVERING

1. Lagen om ändring av lagen om sekundär användning av personuppgifter inom social- och hälsovården

FÖRSLAG TILL BESLUT

Utskottets ändringsförslag

1. Lag om ändring av lagen om sekundär användning av personuppgifter inom social- och hälsovården

1 § Lagens syfte

2 § Tillämpningsområde och förhållande till annan lagstiftning

3 § Definitioner

5 § Tillståndsmyndighetens uppgifter

6 § Organisationer samt begränsningar i fråga om datamaterial

6 a § Behörighet för behandling av dataanvändningstillstånd

6 b § Behörighet för behandling av begäranden om information

6 c § Överföring av behörighet för behandling av dataanvändningstillstånd och begäranden om information

7 § Undantag som gäller behandling av statistikmyndigheters uppgifter

7 a § Undantag som gäller behandlingen av Pensionsskyddscentralens, Myndigheten för digitalisering och befolkningsdatas och Statistikcentralens uppgifter

8 § Expertgrupp på hög nivå för Tillståndsmyndigheten

13 § Rådgivningstjänster

14 § Tjänst för sammanställning, samkörning och förbehandling av datamaterial

16 § Tillståndsmyndighetens e-tjänst

17 § Informationssäker överföringstjänst

20 § Informationssäker driftmiljö

23 § Skydd för informationssäkra driftmiljöer

4 kap. Grunder och förutsättningar för sekundär användning av personuppgifter

36 § Tillståndsmyndighetens rätt att få och behandla uppgifter trots sekretessplikten

36 a § Rätt för den som sammanställer datamaterial att få och behandla uppgifter trots sekretessplikten

37 § Utvecklings- och innovationsverksamhet

42 § Myndighetsstyrning och myndighetstillsyn inom social- och hälsovården

43 § Allmänna grunder för beviljande av dataanvändningstillstånd

45 § Behandling av en begäran om information

46 § Lämnande av ansökan om dataanvändningstillstånd och begäran om information till Tillståndsmyndigheten

47 § Tidsfrister för behandling av dataanvändningstillstånd

48 § Tidsfrister för utlämnande av uppgifter

49 § Avgift för dataanvändningstillstånd och för beslut om begäran om information

50 § Ersättningar för tjänster

51 § Sammanställande av datamaterial efter beviljande av dataanvändningstillstånd eller efter ett beslut om begäran om information

51 a § Behandling av datamaterial i en enskild organisation

51 b § Utlämnande av datamaterial till en informationssäker driftmiljö

51 c § Utlämnande av datamaterial i någon annan säker driftmiljö

51 d § Utlämnande av anonymiserat datamaterial

52 § Exportering av resultat ur en informationssäker driftmiljö

58 § Överklagande

60 § Övergångsbestämmelser

2. Lag om ändring av 30 och 34 § i lagen om klinisk prövning av läkemedel

30 § Ändringssökande

34 § Användning av vissa registeruppgifter som gäller försökspersoner vid prövningar

3. Lag om ändring av lagen om medicintekniska produkter

20 a § Användning av vissa registeruppgifter som gäller försökspersoner vid prövningar

56 § Ändringssökande

4. Lag om ändring av 21 c och 22 a § i lagen om medicinsk forskning

21 c § Användning av vissa registeruppgifter som gäller försökspersoner vid forskning

22 a § Sökande av ändring i myndighetsbeslut

5. Lag om ändring av 5 a § i lagen om Institutet för hälsa och välfärd

5 a § Utlämnande av uppgifter

6. Lag om upphävande av 61 § i lagen om behandling av kunduppgifter inom social- och hälsovården

1 §

2 §

ShUB 15/2025 rd

1 §
Lagens syfte

2 §
Tillämpningsområde och förhållande till annan lagstiftning

3 §
Definitioner

5 §
Tillståndsmyndighetens uppgifter

6 §
Organisationer samt begränsningar i fråga om datamaterial

6 a §
Behörighet för behandling av dataanvändningstillstånd

6 b §
Behörighet för behandling av begäranden om information

6 c §
Överföring av behörighet för behandling av dataanvändningstillstånd och begäranden om information

7 §
Undantag som gäller behandling av statistikmyndigheters uppgifter

7 a §
Undantag som gäller behandlingen av Pensionsskyddscentralens, Myndigheten för digitalisering och befolkningsdatas och Statistikcentralens uppgifter

8 §
Expertgrupp på hög nivå för Tillståndsmyndigheten

13 §
Rådgivningstjänster

14 §
Tjänst för sammanställning, samkörning och förbehandling av datamaterial

16 §
Tillståndsmyndighetens e-tjänst

17 §
Informationssäker överföringstjänst

20 §
Informationssäker driftmiljö

23 §
Skydd för informationssäkra driftmiljöer

4 kap.
Grunder och förutsättningar för sekundär användning av personuppgifter

36 §
Tillståndsmyndighetens rätt att få och behandla uppgifter trots sekretessplikten

36 a §
Rätt för den som sammanställer datamaterial att få och behandla uppgifter trots sekretessplikten

37 §
Utvecklings- och innovationsverksamhet

42 §
Myndighetsstyrning och myndighetstillsyn inom social- och hälsovården

43 §
Allmänna grunder för beviljande av dataanvändningstillstånd

45 §
Behandling av en begäran om information

46 §
Lämnande av ansökan om dataanvändningstillstånd och begäran om information till Tillståndsmyndigheten

47 §
Tidsfrister för behandling av dataanvändningstillstånd

48 §
Tidsfrister för utlämnande av uppgifter

49 §
Avgift för dataanvändningstillstånd och för beslut om begäran om information

50 §
Ersättningar för tjänster

51 §
Sammanställande av datamaterial efter beviljande av dataanvändningstillstånd eller efter ett beslut om begäran om information

51 a §
Behandling av datamaterial i en enskild organisation

51 b §
Utlämnande av datamaterial till en informationssäker driftmiljö

51 c §
Utlämnande av datamaterial i någon annan säker driftmiljö

51 d §
Utlämnande av anonymiserat datamaterial

52 §
Exportering av resultat ur en informationssäker driftmiljö

58 §
Överklagande

60 §
Övergångsbestämmelser

30 §
Ändringssökande

34 §
Användning av vissa registeruppgifter som gäller försökspersoner vid prövningar

20 a §
Användning av vissa registeruppgifter som gäller försökspersoner vid prövningar

56 §
Ändringssökande

21 c §
Användning av vissa registeruppgifter som gäller försökspersoner vid forskning

22 a §
Sökande av ändring i myndighetsbeslut

5 a §
Utlämnande av uppgifter