7.1
Laki sosiaali- ja terveystietojen toissijaisesta käytöstä
1 §.Lain tavoite
. Pykälää ehdotetaan muutettavaksi lain soveltamisalan selkeyttämisen vuoksi. Voimassa olevan lain 1 § sisältää sääntelyä lain soveltamisalaan kuuluvista tietoaineistoista ja organisaatioista, joista olisi tarkoituksenmukaista säätää lain soveltamisalaa koskevassa 2 §:ssä. Pykälää ehdotetaan muutettavaksi niin, että pykälä sisältäisi ainoastaan lain yleiset tavoitteet.
Pykälän mukaan toisiolain tavoitteena olisi mahdollistaa sosiaali- ja terveystietojen tehokas ja tietoturvallinen käsittely toissijaisissa käyttötarkoituksissa. Lain tavoitteena olisi lisäksi turvata yksilön luottamuksensuoja sekä oikeudet ja vapaudet henkilötietoja käsiteltäessä.
2 §.Soveltamisala ja suhde muuhun lainsäädäntöön
. Pykälää ehdotetaan muutettavaksi soveltamisalaa koskevien säännösten osalta niin, että pykälään lisättäisiin voimassa olevan 1 §:n sisältöä tietoaineistoista ja organisaatioista. Muutoksen tarkoituksena olisi selkeyttää toisiolain soveltamisalaa. Pykälän otsikkoa tarkennettaisiin niin, että siinä säännellään lain soveltamisalasta ja suhteesta muuhun lainsäädäntöön. Lisäksi pykälään ehdotetaan lisättäväksi uusi 4 momentti, jossa säädettäisiin siitä, että toisiolakia ei sovelleta kliinisissä tutkimuksissa tapahtuvaan henkilötietojen käsittelyyn.
Pykälän 1 momenttia muutettaisiin niin, että sen mukaan toisiolaissa annettaisiin tietosuoja-asetusta täydentävät säännökset, kun 2 momentissa tarkoitettuja tietoja käsitellään mainitussa momentissa tarkoitettuihin käyttötarkoituksiin.
Voimassa olevan pykälän 1 momentissa säännellyt käyttötarkoitukset siirrettäisiin 2 momenttiin. Voimassa olevan pykälän 2 momentin sääntely organisaatioista ja tietojen käsittelyyn liittyvistä rajauksista sisältyisi muutettuun 2 momenttiin.
Pykälän 2 momentissa säädettäisiin, että toisiolakia sovelletaan 6 §:ssä tarkoitettujen organisaatioiden sekä yksityisten sosiaali- tai terveydenhuollon palvelunjärjestäjien sosiaali- ja terveydenhuollon toiminnassa sekä sosiaali- ja terveysalan ohjaus-, valvonta-, tutkimus- ja tilastotarkoituksessa tallennettujen henkilötietojen käsittelyyn ja niiden yhdistämiseen Kansaneläkelaitoksen, Tilastokeskuksen, Eläketurvakeskuksen ja Digi- ja väestötietoviraston henkilötietoihin 6, 7 ja 7 a §:ssä säädetyin rajauksin, kun kyseisiä tietoja käsitellään seuraaviin käyttötarkoituksiin, vaikka niitä ei olisi alun perin tallennettu mainitussa tarkoituksessa:
1) tilastointi;
2) tieteellinen tutkimus;
3) kehittämis- ja innovaatiotoiminta;
4) opetus;
5) tietojohtaminen;
6) sosiaali- ja terveydenhuollon viranomaisohjaus ja -valvonta;
7) viranomaisen suunnittelu- ja selvitystehtävä.
Pykälän 3 momentin mukaan luovutusperusteista sekä vastaanottajan oikeudesta käsitellä luovutettuja henkilötietoja 2 momentissa tarkoitettuihin käyttötarkoituksiin säädettäisiin 4 ja 5 luvussa.
Pykälään ehdotetaan lisättäväksi uusi 4 momentti, jossa säädettäisiin siitä, että toisiolakia ei sovelleta kliinisissä tutkimuksissa tapahtuvaan henkilötietojen käsittelyyn tilanteissa, joissa kliinisen tutkimuksen tutkittavalta tai hänen lailliselta edustajaltaan on saatu suostumus tutkimukseen osallistumiseksi tai jos hätätilanteessa suoritettavan kliinisen tutkimuksen suorittamisen edellytykset täyttyvät. Kliinisellä tutkimuksella tarkoitetaan tässä yhteydessä sellaista ihmiseen kohdistuvaa kajoavaa tutkimusta, joka on joko EU:n lääketutkimusasetuksessa tarkoitettu kliininen lääketutkimus, EU:n MD-asetuksessa tarkoitettu lääkinnällisen laitteen kliininen tutkimus, EU:n IVD-asetuksessa tarkoitettu in vitro -diagnostiikkaan tarkoitetun laitteen suorituskykytutkimus tai tutkimuslaissa tarkoitettu lääketieteellinen tutkimus.
Edellä jaksossa 2.6 kuvatulla tavalla toisiolain soveltumisesta kliinisiin tutkimuksiin on ollut epäselvyyttä toisiolain voimaantulosta lähtien. Toisiolakia ei ole alun perin tarkoitettu sovellettavaksi kliinisiin tutkimuksiin. Toisiolain suhdetta kliinisiin tutkimuksiin ei kuitenkaan ole riittävällä tavalla tuotu esiin toisiolaissa lain tasolla tai sen säätämiseen johtaneissa valmisteluaineistoissa. Tämä on johtanut epäselvyyteen siitä, mitä lakia ja minkälaisia menettelyjä noudattaen toisiolain tarkoittamat tietoaineistot olisi mahdollista saada kliinisten tutkimusten käyttöön. Toisiolain voimaantulon jälkeen lainsäädäntöön on lisätty yksittäisiä kliinisten tutkimusten tiedonsaantioikeuksia koskevia erityissäännöksiä, jotka koskevat potilasasiakirjoihin merkittyjen tietojen käyttämistä kliinisissä tutkimuksissa sekä THL:n Hilmo-, avoHilmo- ja tartuntatautirekisterin mikrobilöydöksiä koskevien tietojen käyttämistä kliinisissä lääketutkimuksissa. Nämä muutokset ovat kuitenkin johtaneet sääntelyn osittaiseen pirstaloitumiseen sekä tahattomiin vastakohtapäätelmiin siitä, että toisiolakia sovellettaisiin muiden henkilötietojen käsittelyyn kliinisissä tutkimuksissa. Ehdotettu säännös on siten tarpeellinen ilmentämään laintasoisesti toisiolain alkuperäisen tarkoituksen siitä, ettei toisiolakia tule soveltaa kliinisissä interventiotutkimuksissa tapahtuvaan henkilötietojen käsittelyyn.
Kliinisissä tutkimuksissa ja rekisteritutkimuksissa tapahtuvan henkilötietojen käsittelyn erilainen lainsäädännöllistä asema on perusteltu useasta eri syystä. Toisiolain perusratkaisut on alun perin säädetty rekisteritutkimusten lähtökohdista käsin. Rekisteritutkimukset ja kliiniset tutkimukset kuitenkin eroavat toisistaan merkittävillä tavoilla. Rekisteritutkimukset perustuvat olemassa olevien tietojen käyttämiseen, ja ne ovat monesti retrospektiivisiä eli tutkimuksessa tarkastellaan rekisteritietojen avulla menneitä tapahtumia. Rekisteritutkimuksissa tutkimuksen kohteena oleviin henkilöihin ei kohdisteta tutkimuksesta johtuvia interventioita. Niin sanotuissa puhtaissa rekisteritutkimuksissa tutkimusryhmä ei ole lainkaan kontaktissa tutkimuksen kohteena oleviin henkilöihin, vaan tutkittavia koskeva aineisto kerätään yksinomaan olemassa olevia rekisteritietoja hyödyntämällä. Tutkimuksen kohteena olevat henkilöt eivät siten välttämättä saa lainkaan suoraa tietoa siitä, että heitä koskevia tietoja käytetään tutkimuksessa eikä heiltä itseltään pyydetä suostumusta tutkimukseen osallistumiseen tai heitä koskevien henkilötietojen käsittelyyn tutkimuksessa. Henkilötietojen käsittelystä ja rekisteröityjen oikeuksien käyttämisestä on kuitenkin saatavilla tietoa Tietolupaviranomaisen ja 6 §:ssä tarkoitettujen organisaatioiden verkkosivuilta. Rekisteritutkimuksilla ei myöskään lähtökohtaisesti ole suoraa vaikutusta tutkimuksen kohteena olevien henkilöiden saamaan hoitoon eivätkä tutkittavat henkilöt altistu tutkimusten riskeille samaan tapaan kuin kliinisissä tutkimuksissa. Tutkittavan henkilön rooli rekisteritutkimuksessa on siten yleensä passiivinen.
Kliinisten tutkimusten suorittamista puolestaan koskee jaksossa 2.6.2 kuvattu erityislainsäädäntö. Kliiniset tutkimukset tulee suorittaa tiukan tutkimusprotokollan mukaisesti, joka on hyväksytettävä lääketieteellisessä tutkimuseettisessä toimikunnassa ennen tutkimuksen aloittamista. Lääke- ja laitetutkimusten osalta edellytetään lisäksi Fimean lupaa. Kliinisissä tutkimuksissa tutkittavien henkilöiden osallistuminen tutkimukseen on aktiivista ja tietoista. Kliiniset tutkimukset ovat prospektiivisia eli niissä tutkitaan tutkittavan lääkkeen, laitteen tai muun hoitomenetelmän tai -toimenpiteen vaikutusta tutkittavan terveydentilaan etenevästi. Kliinisissä tutkimuksissa tutkimusryhmä on suorassa kontaktissa tutkittaviin henkilöihin ja heihin kohdistetaan tutkimuksesta johtuvia kajoavia toimenpiteitä, kuten esimerkiksi tutkimuslääkkeen antaminen, näytteenotto tai kirurgisen toimenpiteen suorittaminen. Kliinisessä tutkimuksessa tuotetaan uutta tietoa, ja tutkimus on usein myös osa potilaan hoitoa. Vastaavasti tutkittava voi altistua tutkimuksesta aiheutuville potentiaalisille haittavaikutuksille tai muille riskeille.
Kliinisiä tutkimuksia koskeva lainsäädäntö edellyttää tutkittavan tietoon perustuvaa suostumusta tutkimukseen osallistumiseksi. Suostumuksen vaatimuksista ja tutkittavalle tai muulle suostumuksenantajalle annettavan informaation sisällöstä on myös tarkkaan säädetty. Tutkimustyyppikohtaisen informaation lisäksi tutkittavalle tulee antaa tietoa myös tutkimuksessa suoritettavasta henkilötietojen käsittelystä, mukaan lukien tutkimuksessa käsiteltävistä rekisteritiedoista. Tiedot saatuaan suostumuksenantaja voi harkita tutkimukseen osallistumista kaikki tutkimuksen ominaispiirteet huomioiden, ja harkintansa perusteella joko antaa suostumuksensa tutkimukseen osallistumiselle tai kieltäytyä siitä. Vaikka rekisteröidyn suostumusta ei pääsääntöisesti tule käyttää henkilötietojen käsittelyperusteena kliinisissä tutkimuksissa, vaan osallistumissuostumuksessa kyse on tutkimuseettisestä suojatoimenpiteestä, toimii suostumus samalla myös tietosuojaoikeudellisena suojatoimenpiteenä. Osallistumissuostumuksen antaessaan henkilö antaa samalla tahdonilmaisun myös siitä, että hän hyväksyy tutkimuksessa toteutettavan rekisteritietojen käsittelyn. Kliinisissä tutkimuksissa tapahtuvan rekisteritietojen käsittelyn voidaan siten katsoa kuuluvan tutkittavan tiedollisen itsemääräämisoikeuden piiriin ja, toisin kuin rekisteritutkimuksissa, kliinisissä tutkimuksissa tutkittavat käyttävät aktiivisesti tätä oikeuttaan harkitessaan tutkimukseen osallistumistaan.
Kliinisten tutkimusten suorittamista myös valvotaan tutkimuksen aikana, minkä lisäksi lainsäädännössä on asetettu tutkimuksen toimeksiantajalle ja tutkijalle erilaisia kliinisten tutkimusten tietojen käsittelyyn ja turvallisuusraportointiin liittyviä velvollisuuksia. Näitä velvoitteita ei kuitenkaan ole mahdollista täyttää, jos henkilötietojen käsittely kliinisissä tutkimuksissa tulisi toteuttaa toisiolain vaatimusten mukaisesti. Esimerkiksi EU:n lääketutkimusasetus edellyttää, että tutkimuksen toimeksiantajan tulee ilmoittaa Euroopan lääkeviraston ylläpitämään sähköiseen tietokantaan tutkimuksessa ilmenneistä epäillyistä odottamattomista vakavista haittavaikutuksista, eikä näitä ilmoituksia ole mahdollista tehdä, jos tutkimuksen henkilötietojen käsittely tulisi toteuttaa toisiolain mukaisissa tietoturvallisissa käyttöympäristöissä. EU:n lääketutkimusasetuksen sekä MD-asetuksen ja IVD-asetuksen sääntelyn valossa lisäksi epäselvää on, onko mainittujen asetusten alla toteutettavissa tutkimuksissa lainkaan sallittua soveltaa erityisiä kansallisia tietoturvavaatimuksia, sillä asetusten tarkoituksena on ollut yhdenmukaistaa kliinisten lääke- ja laitetutkimusten toteuttamisen edellytykset koko EU:n alueella eivätkä asetukset tältä osin sisällä nimenomaista kansallista liikkumavaraa.
Toisiolain sijasta kliinisissä tutkimuksissa tapahtuvaan henkilötietojen käsittelyyn sovellettaisiin muuta lainsäädäntöä. Keskeisin näistä olisi EU:n yleinen tietosuoja-asetus. Lisäksi jotta ehdotetun muutoksen myötä ei ilmenisi epäselvyyttä siitä, minkä lain nojalla rekisteritietoja on mahdollista saada kliinisten tutkimusten käyttöön, esityksen 2.–4. lakiehdotuksissa säädettäisiin eräistä kliinisten tutkimusten lakiin perustuvista tiedonsaantioikeuksista. Näiden lisäksi tutkimuksiin olisi mahdollista saada muita rekisteritietoja muun kuhunkin käsittelytilanteeseen soveltuvan lainsäädännön nojalla.
3 §.Määritelmät
. Pykälän 10 kohdan tietoturvallinen käyttöpalvelu ehdotetaan muutettavaksi tietoturvalliseksi siirtopalveluksi. Tarkoituksena on selkeyttää määritelmää, sillä tietoturvallisessa siirtopalvelussa siirretään toisiolain mukaisia tietoja ja tietoaineistoja.
Pykälän 12 kohdan tietopyyntöjen hallintajärjestelmä ehdotetaan muutettavaksi asiointipalveluksi. Tarkoituksena on selkeyttää määritelmää, sillä asiointipalvelussa käsitellään sekä tietolupahakemuksia että tietopyyntöjä.
Pykälän 13 kohdassa tehtäisiin tekninen muutos, jossa yksityisten palvelujen tuottajien osalta viitattaisiin sosiaali- ja terveydenhuollon valvonnasta annettuun lakiin (741/2023).
5 §.Tietolupaviranomaisen tehtävät
. Pykälän 1 momenttia ehdotetaan muutettavaksi niin, että Tietolupaviranomainen käsittelisi tietolupia ja tietopyyntöjä sekä vastaisi tietoluvassa tai tietopyynnössä tarkoitettujen tietojen kokoamisesta, yhdistelystä, esikäsittelystä ja luovuttamisesta toissijaiseen käyttöön.
Pykälän 2 momenttia ehdotetaan muutettavaksi niin, että tietopyyntöjen hallintajärjestelmä korvattaisiin sanalla asiointipalvelu ja tietoturvallinen käyttöpalvelu korvattaisiin sanalla tietoturvallinen siirtopalvelu. Momenttia muutettaisiin 20 §:n mukaisesti niin, että Tietolupaviranomainen järjestäisi tietoturvallista käyttöympäristöä koskevan palvelun, jossa luvansaajan on mahdollista käsitellä tietoluvan perusteella saamiaan henkilötietoja.
Pykälän 4 momenttia ehdotetaan muutettavaksi vastaamaan 52 §:ään tehtyjä muutoksia. Tietolupaviranomainen voisi tuottaa anonymisoidut tulokset ja varmistaa tuotettujen tulosten anonymisoinnin. Tulosten anonymisoinnista säädettäisiin 52 §:ssä.
6 §.Organisaatiot ja tietoaineistorajaukset
. Pykälän otsikkoa ehdotetaan muutettavaksi niin, että siinä ei viitattaisi enää palveluihin, vaan organisaatioihin ja tietoaineistorajauksiin. Lain rakennetta ehdotetaan muutettavaksi niin, että tietolupa- ja tietopyyntökäsittelyyn liittyvää toimivaltaa säänneltäisiin omissa pykälissään ja lain 10, 11 ja 44 § kumottaisiin. Tietolupaviranomaisen ja muiden 6 §:ssä tarkoitettujen organisaatioiden vastuut toisiokäytön palveluista kävisivät ilmi 3 luvun pykälistä, eikä niitä olisi tarpeen listata erillisessä pykälässä. Tietolupa- ja tietopyyntökäsittelyyn liittyvästä toimivallasta säädettäisiin erikseen.
Pykälän 1 momenttia ehdotetaan muutettavaksi niin, että siinä ei viitattaisi viranomaisten ja organisaatioiden vastuulla oleviin palveluihin, vaan organisaatioihin, joiden henkilötietoja voitaisiin käsitellä lain nojalla 2 §:n mukaisiin käyttötarkoituksiin.
Pykälän 1 momentin 11 kohdassa tehtäisiin tekninen muutos, jossa Väestörekisterikeskus muutettaisiin Digi- ja väestötietovirastoksi.
6 a §.Tietolupakäsittelyyn liittyvä toimivalta.
Lakiin ehdotetaan lisättäväksi uusi pykälä tietolupakäsittelyyn liittyvästä toimivallasta. Pykälä selkeyttäisi lain rakennetta ja mahdollistaisi nykyistä hajautetumman mallin toisiolain mukaisten tietolupien käsittelylle.
Pykälän 1 momentissa säädettäisiin, että jos tietolupahakemus koskisi Kanta-palveluihin tallennettuja tietoja tai yhden tai usean yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoja, hakemus toimitettaisiin Tietolupaviranomaiselle, joka tekisi tietolupaa koskevan päätöksen. Näiden tietojen osalta säilytettäisiin nykytila, jonka mukaisesti kyseisiä tietolupia käsittelisi ainoastaan Tietolupaviranomainen. Kanta-palvelun tietoja koskevat tietolupahakemukset on katsottu edelleen järkeväksi keskittää Tietolupaviranomaiselle.
Yksityisten sosiaali- tai terveydenhuollon palvelunjärjestäjien tietojen lupatoimivalta olisi edelleen viranomaistoimijalla, sillä tietolupien myöntämisen katsotaan sisältävän sellaista harkintavaltaa, jota ei voida antaa yksityisen toimijan vastuulle. Asiasta säädetään perustuslain 124 §:ssä, jonka mukaan julkinen hallintotehtävä voidaan antaa muulle kuin viranomaiselle vain lailla tai lain nojalla, jos se on tarpeen tehtävän tarkoituksenmukaiseksi hoitamiseksi eikä vaaranna perusoikeuksia, oikeusturvaa tai muita hyvän hallinnon vaatimuksia. Merkittävää julkisen vallan käyttöä sisältäviä tehtäviä voidaan kuitenkin antaa vain viranomaiselle. Oikeus luovuttaa arkaluonteisia ja salassa pidettäviä henkilötietoja muuhun kuin niiden ensisijaiseen käyttötarkoitukseen koskee lisäksi perustuslain 10 §:n 1 momentissa säädetty oikeus yksityiselämän suojaan. Toisiolain hallituksen esityksessä (HE 159/2017 vp) katsottiin, että henkilötietojen suojan sekä sosiaali- ja terveyspalveluiden toiminnan kannalta keskeisen asiakkaan luottamuksen suojan vuoksi vastuu tietolupien myöntämisestä on perusteltua uskoa näissä tilanteissa viranomaiselle. Tietolupakäsittelyn selkeyden ja yhdenmukaisuuden vuoksi on katsottu hyväksi säilyttää nykytila, jossa yksityisten palvelunjärjestäjien tietojen osalta tietoluvat käsittelisi Tietolupaviranomainen.
Pykälän 2 momentissa säädettäisiin, että hakija voisi toimittaa tietolupahakemuksen, joka koskee useamman kuin yhden 6 §:ssä tarkoitetun organisaation tietoaineistoja, joko Tietolupaviranomaiselle tai jokaiselle hakemuksen kohteena olevalle organisaatiolle erikseen.
Pykälän 3 momentissa säädettäisiin, että jos hakija toimittaisi tietolupahakemuksen Tietolupaviranomaiselle, se tekisi tietolupaa koskevan päätöksen kaikkien hakemuksen kohteena olevien rekisterinpitäjien tietoaineistojen osalta. Jos taas hakija toimittaisi hakemuksen jokaiselle hakemuksen kohteena olevalle organisaatiolle erikseen, jokainen organisaatio tekisi tietolupaa koskevan päätöksen omien tietoaineistojensa osalta.
Hakija voisi siis edelleen toimittaa usean organisaation tietoaineistoja koskevan tietolupahakemuksen Tietolupaviranomaiselle ja käyttää keskitetyn mallin mukaista yhden luukun palvelua, jossa hakija saisi sekä tietoluvan että tietoaineistot keskitetysti. Jos hakija toimittaisi hakemuksen Tietolupaviranomaiselle, tietolupa käsiteltäisiin kuten nykyisessä mallissa. Hakija voisi kuitenkin hajautetun mallin mukaisesti toimittaa hakemuksen erikseen jokaiselle hakemuksen kohteena olevalle organisaatiolle. Jos hakija toimittaisi tietolupahakemuksen erikseen jokaiselle organisaatiolle, hän saisi vastaukseksi usean tietolupapäätöksen. Organisaatiot arvioisivat tietolupahakemuksen omien tietoaineistojensa osalta. Organisaatioiden tulisi kuitenkin ottaa huomioon hakemuksen arvioinnissa se, millainen vaikutus eri rekisterinpitäjien tietoaineistojen yhdistämisellä olisi.
Voimassa olevan lain mukaan 6 §:ssä tarkoitetut organisaatiot käsittelevät tietolupahakemukset, jotka koskevat niiden omia tietoaineistoja. Hajautetussa mallissa rekisterinpitäjät käsittelisivät edelleen tietolupahakemuksen omien tietoaineistojensa osalta. Jos hakija on valinnut toimittaa tietolupahakemuksen, joka koskee usean 6 §:ssä tarkoitetun organisaation tietoja, jokaiselle organisaatiolle erikseen, hakijan tulee ilmoittaa hakemuksessaan, minkä kaikkien toisiolain 6 §:ssä tarkoitettujen organisaatioiden tietoja hakemus koskee. Organisaatiot voisivat tarvittaessa tehdä yhteistyötä sellaisen tietolupahakemuksen käsittelyssä, joka koskee usean organisaation tietoja.
Toisiolain 46 §:n 2 momentin mukaisesti Tietolupaviranomainen antaa määräykset tietolupahakemuksen, tiedonhyödyntämissuunnitelman, tietopyynnön sekä tietolupa- ja tietopyyntöpäätöksen tietosisällöistä ja tietorakenteista. Yhteiset vaatimukset tietolupahakemuksen, tietopyynnön sekä tietolupa- ja tietopyyntöpäätöksen tietosisällöistä ja tietorakenteista helpottavat toisiolain 6 §:ssä tarkoitettujen organisaatioiden välistä yhteistyötä ja yhdenmukaisuutta tietolupahakemusten ja tietopyyntöjen käsittelyssä.
Pykälän 4 momentissa säädettäisiin, että jos tietolupahakemus koskisi vain yhden 6 §:n 1–8 kohdassa tarkoitetun organisaation tietoja, hakemus toimitettaisiin kyseiselle organisaatiolle, joka tekisi tietolupaa koskevan päätöksen. Yksittäisen organisaation olisi siis mahdollista edelleen käsitellä omia tietoaineistojaan koskeva tietolupahakemus.
Hallintolain (434/2003) 6 §:n mukaisesti viranomaisten on kohdeltava hallinnossa asioivia tasapuolisesti sekä käytettävä toimivaltaansa yksinomaan lain mukaan hyväksyttäviin tarkoituksiin. Viranomaisen toimien on oltava puolueettomia ja oikeassa suhteessa tavoiteltuun päämäärään nähden.
Pykälän 5 momentissa säädettäisiin, että tietolupapäätöksestä vastaava organisaatio voi pyytää tietosuojavaltuutetulta lausuntoa tietolupahakemuksesta, jos arvioi sen tarpeelliseksi. Tämä oikeus on myös voimassa olevassa laissa.
6 b §.Tietopyyntökäsittelyyn liittyvä toimivalta
. Lakiin ehdotetaan lisättäväksi uusi pykälä tietopyyntökäsittelyyn liittyvästä toimivallasta. Vastaavasti kuin tietoluvissa, myös tietopyynnöissä mahdollistettaisiin aiempaa hajautetumpi malli. Pykälä vastaisi sisällöltään 6 a §:ää.
Pykälän 1 momentissa säädettäisiin, että jos tietopyyntö koskisi Kanta-palveluihin tallennettuja tietoja tai yhden tai usean yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoja, tietopyyntö toimitettaisiin Tietolupaviranomaiselle, joka tekisi tietopyyntöä koskevan päätöksen.
Pykälän 2 momentissa säädettäisiin, että hakija voisi toimittaa tietopyynnön, joka koskee useamman kuin yhden 6 §:ssä tarkoitetun organisaation tietoaineistoja, joko Tietolupaviranomaiselle, tai jokaiselle tietopyynnön kohteena olevalle organisaatiolle erikseen.
Pykälän 3 momentissa säädettäisiin, että jos hakija toimittaa tietopyynnön Tietolupaviranomaiselle, se tekisi tietopyyntöä koskevan päätöksen kaikkien tietopyynnön kohteena olevien rekisterinpitäjien tietoaineistojen osalta. Jos taas hakija toimittaisi tietopyynnön jokaiselle tietopyynnön kohteena olevalle organisaatiolle erikseen, jokainen organisaatio tekisi tietopyyntöä koskevan päätöksen omien tietoaineistojensa osalta.
Pykälän 4 momentissa säädettäisiin, että jos tietopyyntö koskisi vain yhden 6 §:n 1–8 kohdassa tarkoitetun organisaation tietoja, tietopyyntö toimitettaisiin kyseiselle organisaatiolle, joka tekisi tietopyyntöpäätöksen.
6 c §.Tietolupa- ja tietopyyntökäsittelyyn liittyväntoimivallan siirto.
Lakiin ehdotetaan lisättäväksi uusi pykälä tietolupa- ja tietopyyntökäsittelyyn liittyvän toimivallan siirrosta.
Pykälän 1 momentissa säädettäisiin, että 6 §:ssä tarkoitettu organisaatio voisi luovuttaa toimivallan antaa tietolupa- ja tietopyyntöpäätöksiä omien tietoaineistojensa osalta Tietolupaviranomaiselle. Tietolupaviranomainen tekisi tällöin toimivallan luovuttaneen rekisterinpitäjän tietoaineistoja koskevat tietolupia ja tietopyyntöjä koskevat päätökset.
Pykälän tarkoituksena on mahdollistaa yksittäisille organisaatioille mahdollisuus siirtää toisiolain mukaiseen tietolupa- ja tietopyyntökäsittelyyn liittyvä toimivalta Tietolupaviranomaiselle. Voimassa olevan toisiolain mukaan organisaatiot voivat siirtää tietolupiin liittyvän toimivallan Tietolupaviranomaiselle. Toimivallan siirto voitaisiin toteuttaa esimerkiksi tilanteessa, jossa organisaatio katsoo tarkoituksenmukaiseksi ja resurssien kannalta tehokkaaksi sen, että Tietolupaviranomainen käsittelisi sen tietoaineistoja koskevat tietoluvat ja tietopyynnöt. Organisaatio voisi luovuttaa toimivallan Tietolupaviranomaiselle määräajaksi tai toistaiseksi voimassa olevaksi ajaksi ja se voisi myös milloin tahansa päättää toimivallan siirron.
Pykälän 2 momentissa säädettäisiin, että jos organisaatio olisi luovuttanut toimivallan Tietolupaviranomaiselle tai kyseessä olisi tietolupahakemus tai tietopyyntö, joka koskee Kanta-palveluihin tallennettuja tietoja tai yhden tai usean yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoja, ja hakija on toimittanut tietolupahakemuksen tai tietopyynnön jokaiselle hakemuksen kohteena olevalle organisaatiolle erikseen, Tietolupaviranomainen tekisi tietolupaa tai tietopyyntöä koskevan päätöksen toimivallan luovuttaneen organisaation, Kanta-palveluihin tallennettujen tietojen ja yksityisten sosiaali- tai terveydenhuollon palvelunjärjestäjien rekisteritietojen osalta.
Jos kyseessä olisi hakemus, jonka hakija on toimittanut usealle rekisterinpitäjälle, Tietolupaviranomainen käsittelisi hakemuksin niiltä osin, kun hakemus koskee toimivallan siirtäneen organisaation tietoja, Kanta-palveluiden tietoja tai yksityisten sosiaali- tai terveydenhuollon palvelunjärjestäjien tietoja.
7 §.Tilastoviranomaisten tietojen käsittelyä koskevat poikkeukset
. Tilastoviranomaisten tietojen käsittelyä koskevat poikkeukset ehdotetaan säilytettäväksi, sillä tilastoviranomaisilla on tilastolain nojalla erityisasema tilastotarkoitukseen kerättyjen tietojen käsittelyssä. Pykälän 1 momenttiin ehdotetaan lisättäväksi viittaukset tietopyyntöihin, sillä hajautetun mallin mukaisesti organisaatiot voisivat käsitellä myös toisiolain mukaisia tietopyyntöjä.
Pykälän 1 momentista ehdotetaan poistettavaksi kaksi viimeistä virkettä, joiden mukaan lupahakemus tulee toimittaa tietopyyntöjen hallintajärjestelmän välityksellä. Nykyistä tietopyyntöjen hallintajärjestelmää ei ole pystytty tehokkaasti hyödyntämään välineenä välittää lupahakemuksia ja tietoja tilastoviranomaisille. Tietopyyntöjen hallintajärjestelmän sijaan tietojen luovuttamiseen on käytetty muita keinoja. Tämän vuoksi virkkeet ehdotetaan poistettavaksi vanhentuneena.
Pykälän 3 momentin viittaus 51 §:n 4 momenttiin päivitettäisiin 51 §:n 3 momenttiin.
7 a §.Eläketurvakeskuksen, Digi- ja väestötietoviraston ja Tilastokeskuksen tietojen käsittelyä koskevat poikkeukset.
Voimassa olevan lain 11 §:n 2 momentissa ja 44 §:n 2 momentissa säännelty Eläketurvakeskuksen, Digi- ja väestötietoviraston ja Tilastokeskuksen tietojen käsittelyä koskeva erityisasema ehdotetaan säilytettäväksi ja sitä koskeva sääntely siirrettäisiin uuteen 7 a pykälään. Pykälän tarkoituksena on säilyttää Eläketurvakeskuksen, Digi- ja väestötietoviraston ja Tilastokeskuksen tietojen käsittelyä koskeva poikkeus samanlaisena kuin voimassa olevassa laissa.
Pykälän mukaan Eläketurvakeskuksen, Digi- ja väestötietoviraston ja Tilastokeskuksen 6 §:n 9–11 kohdassa tarkoitettuihin tietoihin kohdistuvaan tietolupahakemukseen tai tietopyyntöön sovellettaisiin toisiolain säännöksiä silloin, jos näitä tietoja yhdistetään yhden tai usean 6 §:n 1–8 kohdassa tarkoitetun rekisterinpitäjän tietoihin, Kanta-palveluihin tallennettuihin tietoihin tai yhden tai usean yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoihin.
Eläketurvakeskuksella, Digi- ja väestötietovirastolla ja Tilastokeskuksella säilyisi näin ollen toimivalta niiden 6 §:ssä tarkoitettuihin aineistoihin silloin, kun pyydetään pelkästään yhden organisaation tietoja tai niiden aineistoja yhdistettynä keskenään.
8 §.Tietolupaviranomaisen korkean tason asiantuntijaryhmä.
Pykälää ehdotetaan muutettavaksi niin, että pykälästä kumottaisiin 1–3 momentit. Voimassa olevan 8 §:n 4 momentin sääntely Tietolupaviranomaisen korkean tason asiantuntijaryhmästä säilytettäisiin ja pykälän otsikko muutettaisiin vastaamaan muutosta.
Muutosehdotuksen tarkoituksena on selkeyttää Tietolupaviranomaisen toiminnan ohjausta. Toisiolain 4 §:n 2 momentin mukaisesti Tietolupaviranomainen toimii sosiaali- ja terveysministeriön tulosohjauksessa. Voimassa olevan toisiolain 8 §:n 1–3 momentit ovat sisältäneet sääntelyä sekä Tietolupaviranomaisen tulosohjauksesta että rekisterinpitäjien toiminnan yhteisestä kehittämisestä. Ohjausryhmässä on ollut epäselvää, keskitytäänkö ohjauksessa Tietolupaviranomaisen toimintaan vai laajempaan sote-tietojen toisiokäytön kehittämiseen. Ohjausta halutaan selkeyttää niin, että Tietolupaviranomaisen tulosohjaus olisi erillinen kokonaisuus sote-tietojen toisiokäytön kehittämisestä. Tarkemman sääntelyn kumoaminen mahdollistaisi tulosohjauksen ja sote-tietojen toisiokäytön ohjauksen järjestämisen erillisissä kokonaisuuksissa ja joustavammalla kokoonpanolla. Tietolupaviranomainen toimisi edelleen sosiaali- ja terveysministeriön tulosohjauksessa. Tämän lisäksi olisi mahdollista asettaa muita toisiokäyttöä tukevia ryhmiä, kuten laajempi sote-tietojen toisiokäytön kehittämisen ohjausryhmä sekä TKI-toiminnan kehittämisryhmä. Ohjauksen selkeyttäminen palvelisi samalla muiden esityksessä ehdotettujen muutosten toimeenpanoa.
10 §.Organisaatioiden toissijaista käyttöä varten tuottamat palvelut
. Pykälä ehdotetaan kumottavaksi. Palveluista ei olisi tarpeen säätää erikseen, sillä Tietolupaviranomaisen ja 6 §:ssä tarkoitettujen organisaatioiden vastuut palvelujen järjestämisestä käyvät ilmi 3 luvun pykälistä.
11 §.Organisaatioiden vastuut palveluista
. Pykälä ehdotetaan kumottavaksi. Tietolupa- ja tietopyyntökäsittelyyn liittyvästä toimivallasta säädettäisiin 6 a ja 6 b §:ssä.
13 §.Neuvontapalvelu
. Pykälän 2 momenttia ehdotetaan muutettavaksi niin, että siinä ei enää viitattaisi 10 §:n mukaisiin palveluihin.
14 §.Tietoaineistojen kokoamis-, yhdistämis- ja esikäsittelypalvelu.
Pykälän 1 momenttia ehdotetaan muutettavaksi niin, että siihen lisättäisiin viittaus 6 §:ssä tarkoitettuihin organisaatioihin.
Pykälän voimassa oleva 2 momentti ehdotetaan kumottavaksi, sillä se on toistoa 51 §:stä.
Pykälän 3, 4 ja 5 momentti muuttuisivat 2, 3 ja 4 momentiksi.
Pykälän uuteen 2 momenttiin lisättäisiin viittaus 6 §:ssä tarkoitettuihin organisaatioihin. Myös 6 §:ssä tarkoitettujen organisaatioiden
olisi säilytettävä kuvaus luovuttamiensa tietoaineistojen ja aggregoitujen tilastotietojen muodostamisesta, käyttämistään pseudonymisointi- ja anonymisointimenetelmistä sekä luovutetuista lopputuloksista.
16 §.Tietolupaviranomaisen asiointipalvelu.
Pykälän otsikko ehdotetaan muutettavaksi niin, että tietopyyntöjen hallintajärjestelmä muutettaisiin Tietolupaviranomaisen asiointipalveluksi.
Pykälän 1, 2 ja 3 momentissa muutettaisiin viittaus tietopyyntöjen hallintajärjestelmästä asiointipalveluksi. Lisäksi pykälän 1 momenttia ehdotetaan muutettavaksi niin, että asiointipalvelun välityksellä toimitettaisiin vain keskeiset Tietolupaviranomaisen selvitys- ja täydennyspyynnöt sekä keskeiset hakijan laatimat selvitykset ja täydennykset sekä hakemusta koskevat muutokset. Muutoksen tarkoituksena olisi mahdollistaa hakemuskäsittelyn aikana toimitettavien pienimuotoisten selvitysten ja täydennysten toimittaminen sähköpostilla.
17 §.Tietoturvallinen siirtopalvelu.
Pykälän otsikko ehdotetaan muutettavaksi niin, että tietoturvallinen käyttöpalvelu muutettaisiin tietoturvalliseksi siirtopalveluksi.
Pykälän 1, 2 ja 3 momentissa viittaukset tietoturvalliseen käyttöpalveluun muutettaisiin viittauksiksi tietoturvalliseen siirtopalveluun.
Lisäksi 1 momenttia ehdotetaan muutettavaksi niin, että siinä viitattaisiin 6 §:ssä tarkoitettuihin organisaatioihin ja mahdollistettaisiin siirtopalvelun käyttö myös 6 §:ssä tarkoitettujen organisaatioiden välillä sekä 6 §:ssä tarkoitettujen organisaatioiden ja hakijoiden välillä. Tämä antaisi hajautetussa mallissa 6 §:n organisaatioille mahdollisuuden käyttää tietojen luovuttamiseen jo olemassa olevaa tietoturvallista siirtopalvelua.
20 §.Tietoturvallinen käyttöympäristö.
Pykälää ehdotetaan muutettavaksi niin, että hakemuksessa ei tarvitsisi enää erikseen esittää syytä sille, miksi tietoaineistoja halutaan käsitellä jossain muussa tietoturvallisessa käyttöympäristössä kuin Tietolupaviranomaisen tietoturvallisessa käyttöympäristössä. Kaikkien tietoturvallisten käyttöympäristöjen tulee täyttää samat toisiolaissa ja Tietolupaviranomaisen määräyksessä säännellyt tietosuoja- ja tietoturvavaatimukset, jolloin ei olisi enää syytä tehdä erottelua Tietolupaviranomaisen tietoturvallisen käyttöympäristön ja muiden tietoturvallisten käyttöympäristöjen välillä.
Pykälän 1 momenttia ehdotetaan muutettavaksi niin, että Tietolupaviranomaisen tai muun 6 §:ssä tarkoitetun organisaation tämän lain nojalla luovuttamien tietojen tietoturvallinen, luvan mukainen käsittely toteutettaisiin tietoturvallisessa käyttöympäristössä. Tietolupaviranomainen järjestäisi yksin tai yhdessä muiden viranomaisten kanssa tietoturvallista käyttöympäristöä koskevan palvelun. Tietoturvallisia käyttöympäristöjä koskevia palveluita voisivat tarjota myös muut organisaatiot.
Pykälän 2 momenttia ehdotetaan muutettavaksi niin, että siihen lisätään viittaus 6 §:ssä tarkoitettuihin organisaatioihin.
Pykälän 3 momenttia ehdotetaan muutettavaksi niin, että sekä Tietolupaviranomaisen tietoturvallisen käyttöympäristön että muiden tietoturvallisten käyttöympäristöjen tulee täyttää 2 momentissa ja 21–29 §:ssä säädetyt edellytykset.
21 §.Tietoturvallisen käyttöympäristön käyttäjien tunnistaminen
. Pykälän 2 momentti, jonka mukaan sosiaali- ja terveysministeriön asetuksella voidaan antaa tarkempia säännöksiä tunnistamisen ja todentamisen teknisestä toteuttamisesta, ehdotetaan kumottavaksi. Sähköisen tunnistamisen ja todentamisen teknisestä toteuttamisesta säädetään muun muassa EU:n asetuksessa (910/2014) sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93/EY kumoamisesta sekä vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetussa laissa (617/2009).
23 §.Tietoturvallisen käyttöympäristön suojaaminen
. Pykälän 1 momenttia ehdotetaan muutettavaksi niin, että siinä viitattaisiin tiedonhallintalain (906/2019) 4 luvussa säädettyihin tietoturvallisuusvaatimuksiin. Aiempi viittaus julkisuuslain 36 §:ään on vanhentunut. Nykyiset valtion viranomaisten tietoturvallisuutta koskevat velvoitteet löytyvät tiedonhallintalaista. Tiedonhallintalain myötä julkisuuslain nojalla annettu asetus tietoturvallisuudesta valtionhallinnossa (681/2010) kumottiin.
36 §.Tietolupaviranomaisen oikeus saada ja käsitellä tietoja salassapitovelvoitteiden estämättä
. Pykälän 2 ja 3 momenttia ehdotetaan muutettavaksi niin, että viittaukset tietoturvalliseen käyttöpalveluun muutettaisiin viittauksiksi tietoturvalliseen siirtopalveluun.
36 a §.Tietoaineistojen kokoajanoikeus saada ja käsitellä tietoja salassapitovelvoitteiden estämättä
. Lakiin ehdotetaan lisättäväksi uusi 36 a § tietoaineistojen kokoajan oikeudesta saada ja käsitellä tietoja salassapitovelvoitteiden estämättä. Pykälä vastaisi 36 §:n sisältöä, ja antaisi 6 §:n 2, 3, 5, 7 tai 8 kohdassa tarkoitetulle organisaatiolle, joka toimisi usean organisaation tietoaineistojen kokoajana, oikeuden saada ja käsitellä tietoja.
Pykälän 1 momentissa säädettäisiin, että jos 6 §:n 2, 3, 5, 7 tai 8 kohdassa tarkoitettu organisaatio olisi 51 §:ssä tarkoitetulla tavalla valittu usean organisaation tietoaineistojen kokoajaksi, sillä on salassapitovelvoitteiden ja muiden tietojen käyttöä koskevien rajoitusten estämättä oikeus pyynnöstä saada 6 §:ssä tarkoitetuilta rekisterinpitäjiltä:
1) tietoluvassa tarkoitetut tiedot tietojen kokoamiseksi, yhdistelemiseksi ja esikäsittelemiseksi sekä luovuttamiseksi luvansaajan käsiteltäväksi;
2) tiedot sen arvioimiseksi, onko tietolupahakemuksessa tarkoitetut tiedot mahdollista anonymisoida tai onko 45 §:ssä tarkoitetuista tiedoista mahdollista tuottaa aggregoitua tilastotietoa; sekä
3) aggregoidun tilastotiedon tuottamista varten tarvittavat tiedot;
4) muut organisaation tässä laissa säädettyjen tehtävien hoitamiseksi välttämättömät tiedot kuin 1–3 kohdassa tarkoitetut tiedot.
Tietoaineistojen kokoaja voisi käsitellä ainoastaan sellaisia tietoja, jotka olisivat välttämättömiä tietoluvassa tarkoitettujen tietojen kokoamiseksi, yhdistelemiseksi ja esikäsittelemiseksi ja aggregoidun tilastotiedon tuottamiseksi. Tietoaineistojen kokoajalla ei olisi pääsyä muihin organisaatioiden rekisteritietoihin. Tietoaineistojen kokoaja pyytäisi organisaatioita luovuttamaan tietoluvassa tai tietopyynnössä tarkoitetut tiedot ja se suorittaisi niiden kokoamisen, yhdistelemisen ja esikäsittelyn kuten Tietolupaviranomainen voimassa olevan lain mukaan.
Pykälän 2 momentissa säädettäisiin, että 1 momentissa tarkoitetut tiedot luovutetaan tietoaineistojen kokoajan käyttöön tietoturvallisen siirtopalvelun tai muun tietoturvallisen palvelun välityksellä. Tietoaineistojen kokoaja voisi käyttää tietojen vastaanottamiseen joko olemassa olevaa 17 §:n mukaista tietoturvallista siirtopalvelua tai jotain muuta tietoturvallista palvelua. Tällaisen palvelun tulisi täyttää samat vaatimukset kuin 17 §:ssä tarkoitetun siirtopalvelun.
Toisiolain 17 §:n 2 momentin mukaan henkilötietojen eheys ja alkuperä on varmistettava sähköisellä allekirjoituksella, kun niitä välitetään tietoturvallisen siirtopalvelun välityksellä. Organisaation ja tietoteknisten laitteiden lähettämien tietojen eheys ja alkuperä on varmistettava käyttämällä luotettavuudeltaan vastaavaa tekniikkaa kuin luonnollisen henkilön sähköisessä allekirjoituksessa. Tietoturvallisen siirtopalvelun käyttäjät on tunnistettava vahvasti, kun heille luovutetaan henkilötietoja.
Pykälän 3 momentissa säädettäisiin, että tietoaineistojen kokoaja voisi salassapitovelvoitteiden ja muiden tietojen käyttöä koskevien rajoitusten estämättä poimia tietoluvan mukaiset tiedot tietoturvallisen siirtopalvelun tai muun tietoturvallisen palvelun välityksellä sellaisista 6 §:ssä tarkoitettujen organisaatioiden tiedoista ja tietovarannoista, joista se on rekistereiden ja tietovarantojen sisältö ja tekninen toteutus huomioon ottaen mahdollista ja tarkoituksenmukaista.
Pykälän 4 momentissa säädettäisiin, että tietoaineistojen kokoaja olisi pykälässä tarkoitetuin tavoin saamiensa tietojen rekisterinpitäjä.
37 §.Kehittämis- ja innovaatiotoiminta
. Pykälän 1 momenttia ehdotetaan muutettavaksi niin, että siihen lisätään viittaus 6 §:ssä tarkoitettuihin organisaatioihin. Tietopyyntöjen käsittelyoikeus hajautettaisiin, jolloin myös 6 §:ssä tarkoitetut organisaatiot voisivat käsitellä tietopyyntöjä kehittämis- ja innovaatiotoiminnan käyttötarkoitukseen.
42 §.Sosiaali- ja terveydenhuollon viranomaisohjaus ja –valvonta
. Pykälän 3 momenttia ehdotetaan muutettavaksi niin, että viittaus tietoturvalliseen käyttöpalveluun muutettaisiin viittaukseksi tietoturvalliseen siirtopalveluun.
43 §.Tietoluvan myöntämisen yleiset perusteet
. Pykälän 5 momenttia ehdotetaan muutettavaksi niin, että siihen lisättäisiin viittaukset 6 §:ssä tarkoitettuihin organisaatioihin.
44 §.Tietolupakäsittelyyn liittyvä toimivalta.
Pykälä ehdotetaan kumottavaksi. Tietolupakäsittelyyn liittyvästä toimivallasta säädettäisiin uudessa 6 a §:ssä.
45 §.Tietopyynnön käsittely
. Pykälän 1 ja 2 momenttia ehdotetaan muutettavaksi niin, että niihin lisättäisiin viittaus 6 §:ssä tarkoitettuihin organisaatioihin. Hajautetun mallin mukaisesti myös 6 §:ssä tarkoitetut organisaatiot voisivat käsitellä tietopyyntöjä.
46 §.Tietolupahakemuksen ja tietopyynnön toimittaminen Tietolupaviranomaiselle.
Pykälän 1 momenttia ehdotetaan muutettavaksi niin, että viittaukset tietopyyntöjen hallintajärjestelmään muutetaan viittauksiksi asiointipalveluun.
Pykälän 2 momentissa Tietolupaviranomaisen määräyksen alaa ehdotetaan laajennettavaksi niin, että määräykseen sisältyisi myös tietolupa- ja tietopyyntöpäätöksen tietosisältö ja tietorakenteet. Momentin mukaan Tietolupaviranomainen antaisi määräykset tietolupahakemuksen, tiedonhyödyntämissuunnitelman, tietopyynnön sekä tietolupa- ja tietopyyntöpäätöksen tietosisällöistä ja tietorakenteista. Hybridimallissa on tärkeää, että kaikki 6 §:ssä tarkoitetut organisaatiot noudattavat yhtenäisiä ohjeistuksia ja malleja tietolupahakemusten, tietopyyntöjen, sekä tietolupa- ja tietopyyntöpäätösten käsittelyssä.
47 §.Tietolupakäsittelyn määräajat.
Pykälän 1 momenttia ehdotetaan muutettavaksi niin, että viittaus viranomaiseen muutettaisiin viittaukseksi organisaatioon.
Pykälän 2 momenttia ehdotetaan muutettavaksi niin, että siihen lisätään viittaukset 6 §:ssä tarkoitettuun organisaatioon.
Pykälän 3 momenttiin ehdotetaan tehtäväksi tekninen muutos, jossa 44 §:n 4 momentti muutettaisiin 6 a §:n 5 momentiksi.
Pykälän 4 momenttia ehdotetaan muutettavaksi niin, että siihen lisättäisiin vastaavasti kuin 48 §:ssä aika hakijan lisäselvitykselle. Jos hakijan hakemuksensa tai pyyntönsä tueksi esittämä selvitys olisi riittämätön, rekisterinpitäjän olisi ilmoitettava viipymättä Tietolupaviranomaiselle ja hakijalle, mitä lisäselvitystä edellytetään. Tietolupahakemuksen tai tietopyynnön käsittelyssä tarvittavat tiedot olisi tällöin toimitettava Tietolupaviranomaiselle 15 arkipäivän kuluessa siitä, kun hakijalta saadut lisäselvitykset olisivat riittäviä.
48 §.Tietojen luovutuksia koskevat määräajat.
Pykälää ehdotetaan muutettavaksi niin, että 51 §:ssä tarkoitetun tietoaineistojen kokoajan tehtävä lisättäisiin pykälään.
Pykälän 1 momenttia ehdotetaan muutettavaksi niin, että sen kaksi viimeistä virkettä siirretään pykälän uudeksi 3 momentiksi.
Pykälään ehdotetaan lisättäväksi uusi 2 momentti, jonka mukaan 6 §:ssä tarkoitetun rekisterinpitäjän olisi luovutettava myönnetyn tietoluvan mukaiset rekisteritiedot tai tietopyynnön käsittelyssä tarvittavat tiedot 51 §:ssä tarkoitetun tietoaineistojen kokoajan pyynnöstä viivytyksettä, kuitenkin viimeistään 30 arkipäivän kuluessa siitä, kun organisaatiot olisivat tehneet päätöksen siitä, että tiedot saa luovuttaa hakijalle.
Pykälän 2, 3 ja 4 momentti muuttuisivat 4, 5 ja 6 momentiksi ja niihin lisättäisiin viittaus 51 §:ssä tarkoitettuun tietoaineistojen kokoajaan.
49 §.Tietolupaa ja tietopyyntöä koskevasta päätöksestä perittävät maksut.
Pykälään ehdotetaan lisättäväksi uusi 2 momentti, jonka mukaan tietoluvasta ja tietopyyntöä koskevasta päätöksestä perittävien maksujen tulisi olla läpinäkyviä.
Muutoksen tarkoituksena olisi lisätä tietoluvasta ja tietopyyntöä koskevasta päätöksestä perittävien maksujen ja niiden kustannusperusteiden läpinäkyvyyttä, jotta tietolupahakemuksen ja tietopyynnön tekijällä olisi selkeästi tiedossa, mihin tietolupa- ja tietopyyntökäsittelyyn liittyvät kustannukset perustuvat. Toisiokäytön maksujen kustannusperusteissa on ollut epäselvyyttä erityisesti rekisterinpitäjien poimintakustannusten ja yksittäisten rekisterinpitäjien myöntämien tietolupien osalta. Muutoksen tarkoituksena olisi lisätä maksujen läpinäkyvyyttä ja näin ollen myös parantaa maksujen yhtenäisyyttä eri rekisterinpitäjien välillä.
Toisiokäytön viranomaismaksuihin sovelletaan valtion maksuperustelakia (150/1992). Valtion maksuperustelain 6 §:n mukaan julkisoikeudellisesta suoritteesta valtiolle perittävän maksun suuruuden tulee vastata suoritteen tuottamisesta valtiolle aiheutuvien kokonaiskustannusten määrää. Valtion maksuperustelakia sovelletaan valtion viranomaisten maksuihin. Hyvinvointialueiden maksuista säädetään hyvinvointialueesta annetussa laissa (611/2021). Lain 22 §:n mukaan hyvinvointialueen aluevaltuusto päättää palveluista ja muista suoritteista perittävien maksujen yleisistä perusteista.
Toisiokäytön maksuissa tulee ottaa huomioon datanhallinta-asetuksen 6 artiklan säännökset julkisen sektorin elinten datan uudelleenkäytöstä perittävistä maksuista. Julkisen sektorin elimellä tarkoitetaan datanhallinta-asetuksessa valtion viranomaisia, alue- tai paikallisviranomaisia, julkisoikeudellisia laitoksia tai yhden tai useamman tällaisen viranomaisen tai julkisoikeudellisen laitoksen muodostamia yhteenliittymiä. Datanhallinta-asetusta sovelletaan toisiolain 6 §:ssä tarkoitettujen organisaatioiden toimintaan.
Datanhallinta-asetuksen 6 artiklan 2 kohdan mukaan julkisen sektorin elinten datan uudelleenkäytöstä perittävien maksujen tulee olla avoimia, syrjimättömiä, oikeasuhteisia ja objektiivisesti perusteltuja, eikä niillä saa rajoittaa kilpailua. Artiklan 4 kohdan mukaan julkisen sektorin elimet voivat asettaa datan saataville alennettuun hintaan tai maksutta, erityisesti pk-yrityksille ja startup-yrityksille, kansalaisyhteiskunnan toimijoille ja oppilaitoksille. Tätä varten julkisen sektorin elimet voivat laatia luettelon uudelleenkäyttäjien ryhmistä, joiden saataville tietoja uudelleenkäytöstä annetaan alennettuun hintaan tai maksutta. Datanhallinta-asetus sallii datan saataville asettamisen alennettuun hintaan tai maksutta, mikä mahdollistaa sen, että toisiolain mukaiset organisaatiot voivat edelleen asettaa alennettuja maksuja tai olla perimättä maksuja tietyiltä käyttäjäryhmiltä.
Datanhallinta-asetuksen 6 artiklan 5 kohdan mukaan maksujen on perustuttava kustannuksiin, joita aiheutuu datan uudelleenkäyttöä koskevien pyyntöjen käsittelystä ja rajoituttava välttämättömiin kustannuksiin, jotka muodostuvat datan jäljentämisestä, saataville asettamisesta ja jakelusta, oikeuksien selvittämisestä, anonymisoinnista tai muusta henkilötietojen ja kaupallisesti luottamuksellisten tietojen valmistelusta 5 artiklan 3 kohdan mukaisesti, turvallisen käsittely-ympäristön ylläpitämisestä, luvun mukaisen uudelleenkäytön sallimista koskevan oikeuden hankkimisesta julkisen sektorin ulkopuolisilta kolmansilta osapuolilta ja uudelleenkäyttäjien tukemisesta näiden hakiessa suostumusta rekisteröidyiltä ja lupaa datan haltijoilta, joiden oikeuksiin ja etuihin tällainen uudelleenkäyttö voi vaikuttaa. Artiklan 6 kohdan mukaan julkisen sektorin elimen on julkaistava kuvaus kustannusten pääluokista ja kustannusten jakamisessa käytetyistä säännöistä.
50 §.Palveluista perittävät korvaukset.
Pykälää ehdotetaan muutettavaksi niin, että siitä poistettaisiin Tietolupaviranomaisen läpilaskutusvelvollisuus.
Pykälän 1 momentissa säädetään Tietolupaviranomaisen palveluista perittävistä korvauksista. Muiden viranomaisten palveluista perittävistä korvauksista säädetään valtion maksuperustelaissa, viranomaista koskevassa erityislainsäädännössä tai hyvinvointialueesta annetussa laissa.
Pykälän 2 momentin viimeinen virke ja 3 momentti ehdotetaan kumottavaksi niin, että Tietolupaviranomaisella ei olisi rekisterinpitäjien poimintakustannusten läpilaskutusvelvollisuutta.
Läpilaskutusvelvoitteen poistaminen tarkoittaisi sitä, että silloin kun Tietolupaviranomainen on myöntänyt tietoluvan usean organisaation tietoaineistoja koskien, poimintakustannusten periminen tapahtuisi erikseen jokaisen rekisterinpitäjän toimesta. Rekisterinpitäjien poimintakustannukset eivät olisi enää osa Tietolupaviranomaisen luvansaajalta pyytämää korvausta. Muutoksen tarkoituksena on selkeyttää kustannusten laskuttamismenettelyä niin, että hakijalle olisi selkeää, mikä osa kustannuksista koostuu Tietolupaviranomaisen menettelystä ja mikä osa rekisterinpitäjien poimintamenettelystä. Lisäksi tarkoituksena on vähentää laskutukseen liittyvää hallinnollista taakkaa ja haasteita, joita on liittynyt ennakkolaskutusprosessiin.
Hallintolain 8 §:n 1 momentin mukaan viranomaisen on toimivaltansa rajoissa annettava asiakkailleen tarpeen mukaan hallintoasian hoitamiseen liittyvää neuvontaa sekä vastattava asiointia koskeviin kysymyksiin ja tiedusteluihin. Tietolupaviranomaisen ja muiden toisiolaissa tarkoitettujen viranomaisten tulee tarjota tätä neuvontaa. Hakijan on mahdollista tiedustella hallintolain perusteella asiointia koskevia tietoja, kuten kustannusarviota tietoluvan tai tietopyynnön toteuttamisesta.
Pykälän 4 momentin viimeinen virke ehdotetaan kumottavaksi. Sen mukaan tietoturvallisuuden arviointilaitoksen suorittamasta arvioinnista perittävistä maksuista säädetään tietoturvallisuuden arviointilaitoksista annetun lain 11 §:ssä. Tietoturvallisuuden arviointilaitoksista annetun lain (1405/2011) 11 §:ssä säädetään maksusta, jonka Liikenne- ja viestintävirasto perii tietoturvallisuuden arviointilaitoksen hyväksymistä koskevan asian käsittelystä. Tämä maksu veloitetaan arviointilaitoksen hyväksyntää hakevalta taholta. Hyväksytyt tietoturvallisuuden arviointilaitokset voivat hinnoitella markkinoilta hankittavat palvelunsa vapaasti ja sopia arvioinnista aiheutuvista kustannuksista toimeksiantajan kanssa. Arviointilaitosten suorittamiin arviointeihin liittyvistä maksuista ei ole säädetty.
51 §.Tietoaineistojen kokoaminen tietoluvan myöntämisen tai tietopyyntöpäätöksen jälkeen.
Pykälää ehdotetaan muutettavaksi niin, että tietoaineistojen käsittelyssä mahdollistetaan hajautettu malli. Usean organisaation tietoaineistoja voisivat koota ja yhdistellä Tietolupaviranomaisen lisäksi myös muut pykälässä tarkoitetut viranomaiset. Lisäksi voimassa olevan pykälän sisältöä jaettaisiin useampaan pykälään sääntelyn selkeyden vuoksi.
Pykälän otsikkoa ehdotetaan muutettavaksi niin, että siihen lisättäisiin tietopyyntöpäätökset. Hajautetun mallin mukaisesti tietopyyntöjen käsittelyoikeus annettaisiin myös 6 §:ssä tarkoitetuille organisaatioille ja pykälässä tarkoitetut viranomaiset voisivat suorittaa tietoaineistojen kokoamista myös tietopyyntöjen osalta.
Pykälän 1 momenttia muutettaisiin niin, että jos Tietolupaviranomainen olisi myöntänyt tietoluvan tai tehnyt tietopyyntöpäätöksen, se kokoaisi ja tarvittaessa yhdistelisi ja esikäsittelisi sekä pseudonymisoisi tai anonymisoisi tietoluvassa yksilöidyt tiedot tai tuottaisi tietopyynnössä tarkoitetun aggregoidun tilastotiedon.
Pykälään ehdotetaan lisättäväksi uusi 2 momentti, jonka mukaan, jos hakemus tai tietopyyntö on koskenut usean organisaation tietoja ja kukin 6 §:ssä tarkoitettu organisaatio on myöntänyt tietoluvan tai tehnyt tietopyyntöpäätöksen omien tietoaineistojensa osalta, kyseiset organisaatiot voisivat päättää, että joko Tietolupaviranomainen tai jokin hakemuksen tai pyynnön kohteena oleva 6 §:n 2, 3, 5, 7 tai 8 kohdassa tarkoitettu organisaatio kokoaisi tietoaineistot. Jos organisaatiot eivät pääsisi yhteisymmärrykseen siitä, mikä organisaatio kokoaisi tietoaineistot, tietoaineistot kokoaisi Tietolupaviranomainen. Tietoaineistojen kokoaja myös tarvittaessa yhdistelisi ja esikäsittelisi sekä pseudonymisoisi tai anonymisoisi tietoluvassa yksilöidyt tiedot tai tuottaisi tietopyynnössä tarkoitetun aggregoidun tilastotiedon.
Usean organisaation tietoaineistoja voisivat koota ja esikäsitellä Tietolupaviranomaisen lisäksi myös Terveyden ja hyvinvoinnin laitos, Kansaneläkelaitos, Lupa- ja valvontavirasto, Lääkealan turvallisuus- ja kehittämiskeskus tai jokin sosiaali- ja terveydenhuollon julkinen palvelunjärjestäjä silloin, kun ne ovat tietolupahakemuksen tai tietopyynnön kohteena. Usean organisaation tietoaineistojen kokoamis- ja yhdistämistehtävä on perustelua antaa viranomaistoimijalle, sillä kyse on arkaluonteisten ja erityisten henkilötietoryhmien käsittelystä.
Terveyden ja hyvinvoinnin laitos, Lupa- ja valvontavirasto ja Lääkealan turvallisuus- ja kehittämiskeskus ovat julkisuuslain 4 §:n 1 momentin 1 kohdassa tarkoitettuja valtion virastoja tai laitoksia. Kansaneläkelaitos on julkisuuslain 4 §:n 1 momentin 5 kohdassa tarkoitettu viranomainen. Terveyden ja hyvinvoinnin laitos, Kansaneläkelaitos, Lupa- ja valvontavirasto ja Lääkealan turvallisuus- ja kehittämiskeskus käsittelevät arkaluonteisia sosiaali- ja terveystietoja niiden lakisääteisten tehtävien puitteissa. Viranomaisilla on voimassa olevan lainsäädännön nojalla oikeus vastaanottaa ja käsitellä muiden viranomaisten ja organisaatioiden tietoja lakisääteisten tehtäviensä puitteissa. Kyseisille viranomaistoimijoille olisi perusteltua antaa oikeus koota ja yhdistellä usean organisaation tietoaineistoja silloin, kun ne ovat tietolupahakemuksen tai tietopyynnön kohteena.
Toisiolain 6 §:n 8 kohdan mukaiset sosiaali- ja terveydenhuollon julkiset palvelunjärjestäjät ovat sosiaali- tai terveydenhuollon palvelunantajia, joilla on viranomaisena velvollisuus huolehtia siitä, että asiakas saa hänelle lain tai viranomaisen päätöksen mukaan kuuluvan palvelun tai etuuden. Kohdan soveltamisalaan kuuluvat hyvinvointialueet, Helsingin kaupunki ja HUS-yhtymä. Julkisuuslain 4 §:n 1 momentin 4 kohdan mukaan viranomaisella tarkoitetaan myös hyvinvointialueen ja hyvinvointiyhtymän viranomaisia sekä kunnallisia viranomaisia.
Sosiaali- ja terveydenhuollon sekä pelastustoimen järjestämisestä Uudellamaalla annetun lain 2 §:n 3 ja 4 momentin mukaan HUS-yhtymä on hyvinvointialueesta annetun lain 58 §:ssä tarkoitettu hyvinvointiyhtymä ja siihen sovelletaan, mitä hyvinvointialueesta annetun lain 8 luvussa säädetään hyvinvointiyhtymästä. HUS-yhtymän järjestäessä järjestämislain nojalla terveydenhuoltoa siihen sovelletaan lisäksi, mitä sosiaali- ja terveydenhuollon järjestämisestä annetun lain tietyissä pykälissä säädetään hyvinvointialueesta. HUS-yhtymään sovelletaan lisäksi, mitä muualla laissa säädetään terveydenhuollon järjestämisestä.
Hyvinvointialueet, Helsingin kaupunki ja HUS-yhtymä saisivat oikeuden koota ja yhdistellä usean organisaation tietoaineistoja. Toimijat käsittelevät arkaluonteisia sosiaali- ja terveystietoja niiden lakisääteisten tehtävien puitteissa. Hyvinvointialueilla, Helsingin kaupungilla ja HUS-yhtymällä on kokemusta arkaluonteisten sosiaali- ja terveystietojen käsittelystä sekä ensiö- että toisiokäytön tarkoituksissa. Hyvinvointialueilla ja HUS-yhtymässä toteutetaan sosiaali- ja terveystietojen tutkimustoimintaa ja niillä on vakiintuneet käytännöt tutkimuksessa käytettyjen tietojen käsittelylle. Toimijoille olisi perusteltua antaa oikeus koota ja yhdistellä tietoaineistoja silloin, kun ne ovat tietolupahakemuksen tai tietopyynnön kohteena. Tehtävä tulisi helpottamaan toisiokäyttöä erityisesti hyvinvointialueiden tutkimustoiminnassa.
Jotta viranomaiset voisivat toteuttaa tietoaineistojen kokoamis- ja yhdistämistehtäviä, niiden tulisi varmistaa riittävät resurssit ja osaaminen usean organisaation tietoaineistojen käsittelyyn. Usean organisaation tietoaineistojen kokoamistehtävistä ovat olleet alustavasti kiinnostuneita Terveyden ja hyvinvoinnin laitos, HUS-yhtymä ja jotkin hyvinvointialueet. Käytännössä viranomaisten tulisi varmistaa samantyyppisen osaamisen hankkiminen kuin tällä hetkellä Tietolupaviranomaisella on tietoaineistojen yhdistelystä. Toimijoita ei kuitenkaan edellytettäisi suorittamaan kokoamis- ja yhdistämistehtäviä, vaan tehtävä voitaisiin antaa myös Tietolupaviranomaiselle.
Organisaatiot voisivat käsitellä tietoluvassa tai tietopyynnössä tarkoitettuja tietoja 36 a §:ssä tarkoitetulla tavalla. Organisaatioilla olisi oikeus saada 6 §:ssä tarkoitetuilta rekisterinpitäjiltä tehtäviensä hoitamiseksi välttämättömät tiedot, kuten tietoluvassa tarkoitetut tiedot niiden kokoamiseksi, yhdistelemiseksi ja esikäsittelemiseksi sekä aggregoidun tilastotiedon tuottamista varten tarvittavat tiedot. Organisaatiot voisivat saada ja käsitellä ainoastaan tietoluvan tai tietopyynnön käsittelemiseksi tarvittavia välttämättömiä tietoja.
Toisiolain 6 §:ssä tarkoitetuille sosiaali- ja terveysministeriölle, Työterveyslaitokselle, Eläketurvakeskukselle ja Digi- ja väestötietovirastolle ei olisi perusteltua antaa oikeutta suorittaa toisiolain alaisten organisaatioiden tietoaineistojen kokoamis- ja yhdistämistehtäviä. Kyseiset organisaatiot eivät tällä hetkellä suorita sellaisia sosiaali- ja terveystietojen käsittelytehtäviä tai eivät ole tehtäviensä perusteella sen tyyppisiä toimijoita, joka perustelisi niiden toimimista tietoaineistojen kokoamis- ja yhdistämistehtävissä.
Toisiolakia sovelletaan Digi- ja väestötietovirastoon siltä osin kuin lain mukaisiin tarkoituksiin tarvitaan väestötietojärjestelmästä henkilöiden perustietoja, henkilöiden perhesuhteita ja asuinpaikkoja koskevia tietoja sekä rakennustietoja. Sosiaali- ja terveysministeriö ja Digi- ja väestötietovirasto eivät voimassa olevan lainsäädännön mukaan suorita sellaisia sosiaali- ja terveystietojen käsittelytehtäviä, joka perustelisi niiden toimimista tietoaineistojen kokoamis- ja yhdistämistehtävissä.
Toisiolain 6 §:n 6 kohdassa tarkoitettu Työterveyslaitos on työterveyslaitoksen toiminnasta ja rahoituksesta annetun lain 1 §:n mukaan työsuojelu- ja työterveysalan tutkimus- ja palvelutoimintaa varten perustettu itsenäinen julkisoikeudellinen yhteisö. Lain 2 a §:n mukaan Työterveyslaitos voi käyttää altistumismittausten rekistereiden ja työperäisten sairauksien rekisterin tietoja alansa tutkimus- ja selvitystoimintaan ja luovuttaa niistä tietoja toimialansa yksilöityä tieteellistä tutkimusta varten siten kuin viranomaisten toiminnan julkisuudesta annetun lain 28 §:ssä säädetään. Julkisuuslain 4 §:n 1 momentin 5 kohdan mukaan viranomaisella tarkoitetaan myös itsenäisiä julkisoikeudellisia laitoksia.
Toisiolain 6 §:n 10 kohdassa tarkoitettu Eläketurvakeskus on Eläketurvakeskuksesta annetun lain (397/2006) 1 §:n mukaan työeläkelaeissa tarkoitetun työeläketurvan toimeenpanon ja kehittämisen yhteiselin. Julkisuuslain 4 §:n 1 momentin 5 kohdan mukaan Eläketurvakeskuksen asiakirjoihin lakia sovelletaan 4 §:n 2 momentin mukaisesti. Julkisuuslain 4 §:n 2 momentin mukaan mitä viranomaisesta säädetään, koskee myös lain tai asetuksen taikka lain tai asetuksen nojalla annetun säännöksen tai määräyksen perusteella julkista tehtävää hoitavia yhteisöjä, laitoksia, säätiöitä ja yksityisiä henkilöitä niiden käyttäessä julkista valtaa.
Ottaen huomioon Työterveyslaitoksen ja Eläketurvakeskuksen lainsäädännössä säädetyn aseman ja tehtävät, organisaation eivät ole sen tyyppisiä toimijoita, joille olisi perusteltua antaa oikeutta käsitellä toisiolain alaisten organisaatioiden tietoja tietoaineistojen kokoamis- ja yhdistämistehtävissä.
Hakija voisi tietolupahakemuksessa tai tietopyynnössä ehdottaa, mikä 51 §:ssä tarkoitettu organisaatio toimisi tietojen kokoajana. Hakemuksen tai pyynnön kohteena olevat organisaatiot tekisivät tätä koskevan päätöksen perustuen muun muassa käytettävissä oleviin resursseihin ja osaamiseen. Organisaatiot voisivat päättää, että tietoaineistot kokoaisi joko Tietolupaviranomainen tai jokin hakemuksen tai pyynnön kohteena oleva 6 §:n 2, 3, 5, 7 tai 8 kohdassa tarkoitettu organisaatio. Tietoaineistojen kokoajaa koskevan päätöksen tulisi olla yksimielinen. Jos organisaatiot eivät kuitenkaan pääsisi yhteisymmärrykseen siitä, mikä organisaatio kokoaa tietoaineistot, tietoaineistot kokoaisi Tietolupaviranomainen.
Tietolupahakemuksen tekijällä on oikeus valita se tietoturvallinen käyttöympäristö, johon hän haluaa tietoluvan nojalla saadut tietoaineistot käsiteltäväksi. Lähtökohtaisesti olisi perusteltua, että tietoaineistojen kokoajana toimisi se viranomainen, jonka tietoturvalliseen käyttöympäristöön hakija toivoo tietoaineistot toimitettavaksi. Tässäkin voitaisiin kuitenkin tehdä tapauskohtaista harkintaa. Tietoturvallisen käyttöympäristön palveluntarjoajana voi toimia myös yksityinen taho. Yksityisillä palveluntarjoajilla ei olisi mahdollisuutta toimia tietoaineistojen kokoajana, vaan tämän tehtävän tulisi aina olla viranomaisen vastuulla. Tietoluvassa tarkoitetut tietoaineistot sisältävät arkaluonteisia ja erityisiin henkilötietoryhmiin kuuluvia henkilötietoja, joiden käsittely on perusteltua antaa viranomaisen tehtäväksi.
Yleisen tietosuoja-asetuksen 28 artiklan mukaan rekisterinpitäjät voivat antaa henkilötietojen käsittelytehtäviä niiden lukuun toimiville henkilötietojen käsittelijöille. Tietosuoja-asetuksen 28 artiklan mukaan rekisterinpitäjä saa käyttää ainoastaan sellaisia henkilötietojen käsittelijöitä, jotka toteuttavat riittävät suojatoimet asianmukaisten teknisten ja organisatoristen toimien täytäntöönpanemiseksi niin, että käsittely täyttää tietosuoja-asetuksen vaatimukset ja sillä varmistetaan rekisteröidyn oikeuksien suojelu. Henkilötietojen käsittelijän suorittamaa käsittelyä on määritettävä sopimuksella tai muulla unionin oikeuden tai jäsenvaltion lainsäädännön mukaisella oikeudellisella asiakirjalla, joka sitoo henkilötietojen käsittelijää suhteessa rekisterinpitäjään ja jossa vahvistetaan käsittelyn kohde ja kesto, käsittelyn luonne ja tarkoitus, henkilötietojen tyyppi ja rekisteröityjen ryhmät, rekisterinpitäjän velvollisuudet ja oikeudet. Edellä tarkoitetuilla viranomaisilla olisi mahdollisuus käyttää tietojen kokoamistehtävissä niiden lukuun toimivia henkilötietojen käsittelijöitä, jos noudatetaan tietosuoja-asetuksen vaatimuksia.
Pykälän 2, 3 ja 5 momentti kumottaisiin ja 2 momentin sisältö siirrettäisiin muutettuna uuteen 51 a §:ään. Pykälän 3 ja 5 momentin sisältö siirrettäisiin muutettuna uuteen 51 b §:ään.
Pykälän entinen 4 momentti muuttuisi 3 momentiksi. Tilastokeskuksen tai Terveyden ja hyvinvoinnin laitoksen erityisasema tilastoviranomaisena säilytettäisiin ennallaan, joka tarkoittaisi sitä, että jos käyttötarkoitukseen tarvittaisiin Tilastokeskuksen tai Terveyden ja hyvinvoinnin laitoksen tilastoviranomaisena tilastotarkoitusta varten kokoamia tietoja, kyseinen tilastoviranomainen yhdistelee sekä tarvittaessa esikäsittelee ja pseudonymisoi tai anonymisoi luovutettavat tiedot. Momenttiin lisättäisiin tilastoviranomaisille oikeus tuottaa tietopyynnössä tarkoitettu aggregoitu tilastotieto.
51 a §.Tietoaineistojen käsittely yksittäisessä organisaatiossa.
Lakiin ehdotetaan lisättäväksi uusi 51 a § tietoaineistojen käsittelystä yksittäisessä organisaatiossa.
Pykälän 1 momentissa säädettäisiin, että jos hakija ilmoittaa tietolupahakemuksessa tai tietopyynnössä, joka koskee usean 6 §:ssä tarkoitetun organisaation tietoja, että usean organisaation tietoaineistoja ei ole tarpeen yhdistellä, jokainen hakemuksessa tai tietopyynnössä tarkoitettu organisaatio kokoaa, esikäsittelee ja pseudonymisoi tai anonymisoi omat tietoaineistonsa tai tuottaa niistä aggregoidun tilastotiedon. Organisaatiot voisivat käyttää pseudonymisoinnissa Tietolupaviranomaisen luomaa pseudonymisointiavainta.
Momentin tarkoituksena olisi mahdollistaa tietoaineistojen käsittely hajautetusti niin, että jokainen organisaatio käsittelisi ja toimittaisi omat tietoaineistonsa tietoturvalliseen käyttöympäristöön erikseen. Jos usean organisaation tietoaineistot olisi tarpeen pseudonymisoida yhtenäisellä pseudonymisointiavaimella, voisi Tietolupaviranomainen toimia pseudonymisointiavaimen tuottajana.
Pykälän 2 momentissa säädettäisiin, että jos hakemus tai tietopyyntö on koskenut vain organisaation omia tietoaineistoja, tietoluvan myöntänyt tai tietopyyntöpäätöksen tehnyt 6 §:ssä tarkoitettu organisaatio kokoaa, esikäsittelee ja pseudonymisoi tai anonymisoi tiedot tai tuottaa tietopyynnössä tarkoitetun aggregoidun tilastotiedon.
Pykälän 3 momentissa säädettäisiin, että organisaatio voisi luovuttaa toimivallan pykälässä tarkoitettuun tietoaineistojen käsittelyyn omien tietoaineistojensa osalta Tietolupaviranomaiselle.
Yksittäisille 6 §:ssä tarkoitetuille organisaatioille annettaisiin oikeus anonymisoida omat tietoaineistonsa. Pykälästä poistettaisiin viittaus siihen, että tietoaineistot tulisi aina toimittaa anonymisoitavaksi Tietolupaviranomaiselle. Organisaatio voisi kuitenkin luovuttaa toimivallan suorittaa tietoaineiston käsittelytehtäviä, kuten anonymisointia, Tietolupaviranomaiselle.
51 b §.Tietoaineistojen luovutus tietoturvalliseen käyttöympäristöön.
Lakiin ehdotetaan lisättäväksi uusi 51 b § tietoaineistojen luovutuksesta tietoturvalliseen käyttöympäristöön. Voimassa olevassa laissa tietoaineistojen luovutuksesta säädetään 51 §:n 3 momentissa. Sääntelyyn lisättäisiin viittaus 51 c ja 51 d §:ssä tarkoitettuihin poikkeustietolupiin.
Pykälän 1 momentissa säädettäisiin, että muissa kuin 51 c ja 51 d §:ssä tarkoitetuissa tilanteissa tietolupaan perustuva tietoaineisto luovutetaan luvansaajan käsiteltäväksi 20 §:ssä tarkoitettuun tietoturvalliseen käyttöympäristöön tietoturvallisen siirtopalvelun tai muun tietoturvallisen palvelun välityksellä, ellei siitä ole muodostettu aggregoitua tilastotietoa.
Pykälän 2 momentissa säädettäisiin, että käyttöympäristön palveluntarjoajan on varmistettava ennen yhteyden avaamista luvansaajalle, että luvansaaja täyttää tietoluvassa asetetut vaatimukset.
51 c §.Tietoaineistojen luovutus luvansaajalle muuhun turvalliseen käyttöympäristöön.
Lakiin ehdotetaan lisättäväksi uusi 51 c § tietoaineistojen luovutuksesta luvansaajalle muuhun turvalliseen käyttöympäristöön. Pykälän tarkoituksena olisi mahdollistaa kansainvälinen tutkimusyhteistyö toisiolain alaisilla tietoaineistoilla. Pykälä mahdollistaisi toisiolain mukaisten tietoaineistojen luovutuksen myös sellaisiin turvallisiin käyttöympäristöihin, jotka eivät olisi toisiolain 20 §:ssä tarkoitettuja tietoturvallisia käyttöympäristöjä. Tietoaineistoja olisi siis mahdollista luovuttaa myös tiettyihin ulkomaisiin käyttöympäristöihin, jos hakija voisi osoittaa täyttävänsä pykälän vaatimukset. Kyseessä voisi olla esimerkiksi jonkin tunnetun ja luotettavan ulkomaisen yliopiston tai yliopistosairaalan käyttöympäristö. Pykälän on tarkoitus olla väliaikainen ratkaisu kansainvälisen tutkimusyhteistyön mahdollistamiselle ennen EU:n asetuksen eurooppalaisesta terveystietoalueesta soveltamista.
Pykälän 1 momentissa säädettäisiin, että Tietolupaviranomainen voisi erityisestä syystä myöntää tietoluvan, jossa tietoaineisto voitaisiin luovuttaa muuhun turvalliseen käyttöympäristöön kuin 20 §:ssä tarkoitettuun tietoturvalliseen käyttöympäristöön. Tällainen tietolupa voitaisiin myöntää, jos:
kansalliseen turvallisuuteen kohdistuvat ja muut tietoluvan nojalla luovutettavaan tietoaineistoon kohdistuvat riskit ovat vähäiset;
yhtenä osallistujana hankkeessa on taho, joka harjoittaa tutkimustoimintaa suomalaisessa tutkimusorganisaatiossa; ja
tietosuojan ja tietoturvan taso tietoaineiston käsittelyssä on riittävä.
Pykälän 2 momentissa säädettäisiin, että hakijan tulisi perustella tietolupahakemuksessaan, miksi tietoaineistoa ei olisi mahdollista käsitellä 20 §:ssä tarkoitetussa tietoturvallisessa käyttöympäristössä ja antaa kaikki tarvittavat tiedot, jotta Tietolupaviranomainen voisi arvioida, täyttyvätkö 1 momentissa säädetyt edellytykset. Tietolupaan voitaisiin liittää tarkempia tietojen käsittelyä koskevia ehtoja.
Hakijan tulisi toimittaa Tietolupaviranomaiselle kaikki tarvittavat tiedot, jotta Tietolupaviranomainen voisi arvioida 1 momentin vaatimusten toteutumista. Hakijan tulisi toimittaa tietolupahakemuksen liitteenä tiedonhyödyntämissuunnitelma ja tietosuojalainsäädännön mukainen tietosuoja- ja tietoturvadokumentaatio. Hakijan tulisi toimittaa hakemukseen lisätietoja Tietolupaviranomaisen pyynnöstä.
Hakijan tulisi perustella hakemuksessaan, miksi poikkeustietolupa tulisi myöntää ja tietoaineistoa ei olisi mahdollista käsitellä 20 §:ssä tarkoitetussa tietoturvallisessa käyttöympäristössä. Lähtökohtaisesti poikkeustietolupaa olisi mahdollista hakea vain sellaisessa tilanteessa, jossa tietoja ei olisi hankkeen käyttötarkoituksen ja toteuttamisen kannalta mahdollista käsitellä toisiolain 20 §:n mukaisessa tietoturvallisessa käyttöympäristössä. Kyseessä voisi olla esimerkiksi tilanne, jossa tietojen luovuttaminen muuhun turvalliseen käyttöympäristöön olisi välttämätöntä kansainväliseen tutkimusyhteistyöhön osallistumiseksi ja kyseinen kansainvälinen rekisteritutkimushanke olisi tieteellisesti merkittävä. Jos hankkeessa tapahtuva tietojen käsittely olisi mahdollista toteuttaa toisiolain 20 §:n mukaisessa tietoturvallisessa käyttöympäristössä, tiedot tulisi luovuttaa kyseiseen käyttöympäristöön.
Tietolupaviranomainen arvioisi tapauskohtaisesti, voidaanko poikkeustietolupa myöntää. Harkinnan tulisi perustua kokonaisarviointiin, jossa otetaan huomioon sekä hankkeen toteutumisesta aiheutuvat potentiaaliset hyödyt että käsittelystä aiheutuvat mahdolliset riskit. Arvioidessa 1 momentissa tarkoitettuja vaatimuksia tulisi ottaa huomioon luovutettavaan tietoaineistoon kohdistuvat riskit ja erityisesti luovutettavan tietoaineiston laajuus ja laatu. Arvioinnissa voidaan ottaa huomioon sopimusjärjestelyt tietosuojaan ja tietoturvaan liittyvien riskien hallitsemiseksi. Käyttöympäristön ylläpitäjän tulisi olla tunnettu ja luotettava taho. Muihin kuin 20 §:ssä tarkoitettuihin käyttöympäristöihin ei tulisi luovuttaa tietoaineistoja, jotka voisivat aiheuttaa kansalliseen turvallisuuteen kohdistuvan riskin. Kansalliseen turvallisuuteen voisivat vaikuttaa esimerkiksi pyynnöt saada laajaa tietoaineistoa koskien suomalaisten sosiaali- tai terveystietoja tai sosioekonomisia tietoja.
Riskien tulisi olla vähäiset, jotta poikkeustietolupa olisi mahdollista myöntää. Riskin madaltamiseksi muuhun turvalliseen käyttöympäristöön tulisi luovuttaa lähtökohtaisesti ainoastaan anonymisoituja tietoaineistoja. Anonymisoidussa tiedossa jäännösriski yksittäisen henkilön tunnistamisesta on vähäinen. Tietoaineistot olisi mahdollista luovuttaa pseudonymisoidussa muodossa vain, jos se olisi käyttötarkoituksen kannalta välttämätöntä. Tällöinkin tulisi varmistaa, että tietoaineistojen laajuus ja laatu olisi arvioitu riskien ja minimointiperiaatteen kannalta ja muut tietojen käsittelyä koskevat vaatimukset täytettäisiin.
Hankkeessa tulisi olla mukana taho, joka harjoittaa tutkimustoimintaa suomalaisessa tutkimusorganisaatiossa. Kyseessä voisi olla yksittäinen suomalainen tutkija tai tutkimusorganisaatio, joka on sijoittautunut Suomeen. Vaatimus suomalaisen tutkijan tai tutkimusorganisaation osallistumisesta hankkeeseen voisi osaltaan vähentää niitä riskejä, joita tietoaineiston käsittely ja luovutus Suomen ulkopuolelle voisi aiheuttaa. Toisaalta vaatimus myös kannustaisi tutkimusyhteistyötä suomalaisten ja ulkomaisten tutkimusorganisaatioiden välillä.
Tietosuojan ja tietoturvan taso tietoaineiston käsittelyssä tulisi olla riittävä. Vaatimuksen täyttämiseksi tietoaineistojen käsittelystä ja käyttöympäristöstä, johon luovutus tapahtuisi, tulisi olla käytettävissä tietosuoja-asetuksen näkökulmasta riittävä tietosuoja- ja tietoturvadokumentaatio. Huomioon tulee ottaa muun muassa tietosuoja-asetuksen 24 artiklan rekisterinpitäjän vastuu, 25 artiklan sisäänrakennettu ja oletusarvoinen tietosuoja, 30 artiklan seloste käsittelytoimista ja 32 artiklan käsittelyn turvallisuus. Jos henkilötietojen käsittely voisi todennäköisesti aiheuttaa luonnollisen henkilön oikeuksien ja vapauksien kannalta korkean riskin, käsittelystä tulisi olla laadittuna tietosuoja-asetuksen 35 artiklan mukainen tietosuojaa koskeva vaikutustenarviointi. Joissain tilanteessa kyseeseen voisi tulla myös tietosuoja-asetuksen 36 artiklan mukainen valvontaviranomaisen ennakkokuuleminen. Jos hankkeessa luovutettaisiin henkilötietoja kolmansiin maihin, luovutuksessa tulisi huomioida yleisen tietosuoja-asetuksen V luvun vaatimukset henkilötietojen siirrosta kolmansiin maihin, kuten 45 artiklan mukainen tietosuojan riittävyyttä koskeva päätös. Rekisterinpitäjän vastuulla on laatia tietosuoja-asetuksen mukainen dokumentaatio henkilötietojen käsittelystä.
Pykälän 2 momentin mukaan tietolupaan voitaisiin liittää tarkempia tietojen käsittelyä koskevia ehtoja. Tarkemmissa ehdoissa tulisi ottaa huomioon poikkeusluvan kohteena olevan käyttöympäristön erityispiirteet, kuten käyttöympäristön valvonta ja tuotettujen tulosten anonymisointi. Suomalaisten viranomaisten mahdollisuudet valvoa Suomen ulkopuolella sijaitsevassa käyttöympäristössä tapahtuvaa tietojen käsittelyä ovat vähäiset. Poikkeustietolupa vaikuttaa myös mahdollisuuteen varmistaa käyttöympäristöstä ulos otettavien tulosten anonymisointi. Toisiolain 52 §:n sääntelyä sovelletaan ainoastaan 20 §:n mukaisiin tietoturvallisiin käyttöympäristöihin. Poikkeustietolupaan olisi mahdollista liittää tarkempia tietojen käsittelyä koskevia ehtoja, joiden tarkoituksena olisi varmistaa, että käyttöympäristöstä ulos otettavat tiedot on anonymisoitu luotettavasti. Tarpeen mukaan tulisi edellyttää, että Tietolupaviranomainen varmistaisi tuotettujen tulosten anonymisoinnin.
Pykälän 3 momentissa säädettäisiin, että jos Tietolupaviranomainen olisi myöntänyt 1 momentissa tarkoitetun tietoluvan, se kokoaa ja tarvittaessa yhdistelee ja esikäsittelee sekä pseudonymisoi tai anonymisoi tietoluvassa yksilöidyt tiedot sekä luovuttaa tuottamansa tietoaineiston luvansaajan käsiteltäväksi muussa turvallisessa käyttöympäristössä kuin 20 §:ssä tarkoitetussa tietoturvallisessa käyttöympäristössä.
51 d §.Anonymisoitujen tietoaineistojen luovutus.
Lakiin ehdotetaan lisättäväksi uusi 51 d § anonymisoitujen tietoaineistojen luovutuksesta. Pykälä mahdollistaisi anonymisoitujen tietoaineistojen luovuttamisen toisiolain 20 §:ssä tarkoitettujen tietoturvallisten käyttöympäristöjen ulkopuolelle, jos tietyt edellytykset täyttyvät.
Pykälän 1 momentissa säädettäisiin, että 6 §:ssä tarkoitettu organisaatio voisi erityisestä syystä myöntää tietoluvan tietojen saamiseen anonymisoidussa muodossa 20 §:ssä tarkoitetun tietoturvallisen käyttöympäristön ulkopuolelle, jos tietolupahakemus koskee ainoastaan kyseisen organisaation tietoja. Jos tietolupahakemus koskisi usean 6 §:ssä tarkoitetun organisaation tietoja, Tietolupaviranomainen voisi erityisestä syystä myöntää tietoluvan tietojen saamiseen anonymisoidussa muodossa 20 §:ssä tarkoitetun tietoturvallisen käyttöympäristön ulkopuolelle.
Organisaatio voisi myöntää tietoluvan tietojen saamiseen anonymisoidussa muodossa 20 §:ssä tarkoitetun tietoturvallisen käyttöympäristön ulkopuolelle, jos kyseessä olisi tietolupahakemus, joka koskisi ainoastaan sen omia tietoaineistoja. Jos taas tietolupahakemus koskisi usean 6 §:ssä tarkoitetun organisaation tietoja, Tietolupaviranomainen käsittelisi tietolupahakemuksen. Tietolupaviranomainen käsittelisi usean organisaation tietoaineistoja koskevat tietoluvat, jotta keskitetty viranomainen voisi arvioida koko tietolupahakemuksessa pyydettävään tietoaineistoon kohdistuvia riskejä ja voisi anonymisoida koko tietoaineiston yhdenmukaisella ja luotettavalla tavalla. Yksittäisillä organisaatioilla ei olisi mahdollisuutta arvioida koko tietoaineistoon kohdistuvia riskejä, jos ne käsittelisivät tietolupahakemuksen vain omien tietoaineistojensa osalta.
Poikkeuslupaa olisi mahdollista hakea sellaisissa tilanteissa, joissa anonymisoitujen tietoaineistojen käsittely olisi mahdollista toteuttaa turvallisesti muussa käyttöympäristössä kuin toisiolain 20 §:ssä tarkoitetussa tietoturvallisessa käyttöympäristössä. Hakijan tulisi hakemuksessaan perustella, miksi anonymisoidut tiedot tulisi luovuttaa 20 §:ssä tarkoitetun tietoturvallisen käyttöympäristön ulkopuolelle. Kyseessä voisi olla esimerkiksi tilanne, jossa muussa käyttöympäristössä olisi tarjolla teknisiä ominaisuuksia tai ohjelmistoja, joita ei olisi tarjolla 20 §:ssä tarkoitetuissa käyttöympäristöissä.
Pykälän 2 momentissa säädettäisiin, että 6 §:ssä tarkoitettu organisaatio voisi luovuttaa toimivallan antaa pykälässä tarkoitettuja tietolupapäätöksiä omien tietoaineistojensa osalta Tietolupaviranomaiselle. Tietolupaviranomainen tekisi tällöin toimivallan luovuttaneen rekisterinpitäjän tietoaineistoja koskevat tietolupia koskevat päätökset.
Pykälän 3 momentissa säädettäisiin, että 1 momentissa tarkoitetun luvan myöntämisen edellytyksenä olisi, että tietoaineistoon kohdistuvat riskit ovat vähäiset ja että tietoaineisto on mahdollista anonymisoida luotettavalla tavalla. Riskien arviointi tulisi toteuttaa tapauskohtaisesti ja ottaen huomioon tietoaineiston laajuus ja laatu. Tiedot tulisi voida anonymisoida tavalla, jossa anonymisoidusta tietoaineistosta ei olisi mahdollista tunnistaa yksittäistä rekisteröityä. Tällaisiin anonymisoituihin tietoihin ei enää sovelleta tietosuojalainsäädännön vaatimuksia.
Tietosuoja-asetuksen johdan-osan 26 kohdan mukaan tietosuojaperiaatteita ei sovelleta anonyymeihin tietoihin eli tietoihin, jotka eivät liity tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, tai henkilötietoihin, joiden tunnistettavuus on poistettu siten, ettei rekisteröidyn tunnistaminen ole tai ei ole enää mahdollista.
Jos kyseessä oleva tietoaineisto sisältäisi tietoja, joihin kohdistuva uudelleentunnistamisen riski lisätietoja käyttämällä olisi korkea tai tietoaineistoa ei olisi mahdollista muusta syystä anonymisoida luotettavalla tavalla, tietolupahakemus olisi mahdollista käsitellä kuten tavallinen tietolupa, jolloin tietoaineistot luovutettaisiin käsiteltäväksi 20 §:ssä tarkoitettuun tietoturvalliseen käyttöympäristöön.
Pykälän 4 momentissa säädettäisiin, että 6 §:ssä tarkoitettu organisaatio tai Tietolupaviranomainen kokoaa ja tarvittaessa yhdistelee ja esikäsittelee sekä anonymisoi tietoluvassa yksilöidyt tiedot ja luovuttaa tuottamansa anonymisoidun tietoaineiston luvansaajalle. Jos yksittäinen organisaatio olisi myöntänyt tietoluvan sen omia tietoaineistojaan koskien, se esikäsittelisi ja anonymisoisi tietoaineistot ja luovuttaisi anonymisoidut tiedot luvansaajalle. Jos taas Tietolupaviranomainen olisi myöntänyt tietoluvan, se esikäsittelisi ja anonymisoisi tietoaineistot ja luovuttaisi anonymisoidut tiedot luvansaajalle.
52 §.Tulosten tuominen ulos tietoturvallisesta käyttöympäristöstä
. Pykälän otsikko ehdotetaan muutettavaksi niin, että pykälä koskisi tulosten tuomista ulos tietoturvallisesta käyttöympäristöstä. Voimassa olevassa pykälässä säädetään tietoluvan nojalla luovutetuista tiedoista johdettujen tulosten julkaisusta. Pykälässä on kuitenkin tarkoituksena säätää siitä, minkälaisia tietoja voidaan ottaa ulos tietoturvallisesta käyttöympäristöstä, ei niinkään tulosten julkaisusta. Pykälän tarkoituksena on varmistaa, että tietoturvallisista käyttöympäristöistä ei voida ottaa ulos henkilötietoja.
Pykälän 1 momenttia ehdotetaan muutettavaksi niin, että kun tietoluvan nojalla on luovutettu tietoja käsiteltäviksi 20 §:ssä tarkoitetussa tietoturvallisessa käyttöympäristössä ja niiden pohjalta tuotettuja tuloksia halutaan tuoda ulos tietoturvallisesta käyttöympäristöstä, luvansaaja anonymisoisi tietoturvallisesta käyttöympäristöstä ulos otettavat tulokset. Tulosten anonymisointi olisi lähtökohtaisesti luvansaajan vastuulla. Tietolupaviranomainen voisi luvansaajan pyynnöstä tuottaa anonymisoidut tulokset ja luovuttaa ne luvansaajalle.
Pykälän 2 momenttia ehdotetaan muutettavaksi kokonaisuudessaan. Sen mukaan, jos tulokset olisi anonymisoinut luvansaaja, sen tulisi ilmoittaa Tietolupaviranomaiselle, että se aikoo tuoda tulokset ulos tietoturvallisesta käyttöympäristöstä. Tietolupaviranomainen varmistaisi tuotettujen tulosten anonymisoinnin riskiperusteisen arvioinnin perusteella. Tietolupaviranomainen varmistaisi anonymisoinnin sekä sellaisten tietolupien osalta, jotka se on itse myöntänyt, että muiden organisaatioiden myöntämien tietolupien osalta. Anonymisoinnin varmistamisessa olisi mahdollista käyttää teknisiä ratkaisuja, jotka helpottaisivat ja sujuvoittaisivat varmistamista. Tietolupaviranomainen varmistaisi anonymisoinnin riskiperusteisen arvioinnin perusteella. Esimerkiksi sellaisten tietoaineistojen, joihin kohdistuu matala riski rekisteröityjen tunnistamisesta tai luvansaajien, jotka ovat aiemmin tuottaneet luotettavasti anonymisoituja tuloksia osalta tulosten anonymisoinnin varmistamista olisi mahdollista toteuttaa satunnaisilla tarkastuksilla. Tietolupaviranomainen ilmoittaisi luvansaajalle luvansaajan tekemän ilmoituksen perusteella, tuleeko se varmistamaan anonymisoinnin.
Pykälään ehdotetaan lisättäväksi uusi 3 momentti, jonka mukaan Tietolupaviranomainen voisi antaa tarkempia määräyksiä tulosten anonymisoinnista. Määräyksessä olisi mahdollista tarkemmin määrittää, miten tietoturvallisesta käyttöympäristöstä ulos otettavien tulosten anonymisointi tulisi toteuttaa yhdenmukaisella ja luotettavalla tavalla.
58 §.Muutoksenhaku.
Pykälään ehdotetaan teknisiä muutoksia, jossa viittaukset toteutettaisiin nykyisten ohjeistusten mukaisesti ja viittaus hallintolainkäyttölakiin päivitettäisiin oikeudenkäynnistä hallintoasioissa annettuun lakiin (808/2019). Pykälän 2 momentin toinen lause ehdotetaan kumottavaksi, sillä jatkovalitusoikeudesta säädetään oikeudenkäynnistä hallintoasioissa annetun lain 107 §:ssä
.
60 §. Siirtymäsäännökset.
Pykälän 4, 8 ja 9 momentteihin ehdotetaan tehtäväksi muusta esityksestä johtuvia teknisiä muutoksia.