Lainsäädäntö

Mikä toisiolaki on?

Toisiolaki on sosiaali- ja terveystietojen toissijaisesta käytöstä on säädetty erillinen laki, virallisesti nimeltään laki sosiaali- ja terveystietojen toissijaisesta käytöstä. Eduskunta hyväksyi lain täysistunnossaan 13.3.2019 ja presidentti vahvisti lain 26.4.2019.

Toisiolaki määrittelee, miten ja millä edellytyksillä sosiaali- ja terveystietoja voidaan käyttää alkuperäisen tarkoituksen ulkopuolella esimerkiksi tutkimuksessa, tilastoinnissa ja muihin kuin potilaiden hoitamiseen tai etuuksien käsittelyyn liittyvissä tarkoituksissa. Toisiolaki säätelee myös tietosuojaa ja salassapitovelvollisuutta koskevia seikkoja sekä asettaa vaatimuksia tietojen käsittelylle ja turvallisuudelle.

Toisiolain tavoitteena on mahdollistaa sosiaali- ja terveydenhuollon toiminnassa sekä sosiaali- ja terveysalan ohjaus-, valvonta-, tutkimus- ja tilastotarkoituksessa tallennettujen henkilötietojen tehokas ja tietoturvallinen käsittely. Lisäksi tavoitteena on turvata yksilön luottamuksensuoja sekä oikeudet ja vapaudet henkilötietoja käsiteltäessä.

Tutustu toisiolakiin:

• Laki sosiaali- ja terveystietojen toissijaisesta käytöstä 552/2019 (finlex.fi)
• Asian käsittelytiedot eduskunnan sivuilla (eduskunta.fi)

Perehdy muihin sosiaali- ja terveystietojen toissijaista käyttöä sääteleviin lakeihin:

• Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus, GDPR, eur-lex.europa.eu)
• Tietosuojalaki 1050/2018 (finlex.fi)
• Laki viranomaisten toiminnan julkisuudesta 621/1999 (finlex.fi)

Miten toisiolaki parantaa tietosuojaa?

Sosiaali- ja terveystietoja on hyödynnetty Suomessa toissijaisiin käyttötarkoituksiin jo vuosikymmenten ajan. Ennen toisiolakia luvan tietojen käyttöön on myöntäneet yksittäiset rekisterinpitäjät, sosiaali- ja terveysministeriö tai Terveyden ja hyvinvoinnin laitos. Lupien myöntämiseen, aineistojen siirtämiseen tai niiden käsittelemiseen ei ole ollut yhdenmukaista käytäntöä.

Aiemmin tietoja on voitu esimerkiksi lähettää suoraan luvansaajalle tunnisteellisena muistitikuilla tai CD-levyillä. Tämän jälkeen niiden jälkikäteinen kontrollointi on ollut käytännössä mahdotonta, vaikka luvansaajat varmasti ovatkin käsitelleet henkilötietoja niiden vaatimalla huolellisuudella.

Keskitetty lupamenettely ja aineiston käsittely parantavat aineistojen tietoturvaa ja kansalaisten tietosuojaa. Kun tiedot yhdistellään keskitetysti, niiden käyttö on suojatumpaa ja sitä pystytään valvomaan tehokkaammin.

Hakemuksissa vaadittavista asioista ja aineistojen analysointiin käytettävien ympäristöjen tietoturvasta on annettu määräykset. Findatan toimintaa varten on rakennettu tietoturvallinen, suljettu Kapseli-käyttöympäristö. Ympäristöön tunnistaudutaan kaksivaiheisesti, sinne ei voi itse ladata mitään tietoja eikä sieltä saa mitään ulos. Kun yhteys käyttöympäristöön katkaistaan, luvansaajilla ei ole enää keinoa päästä aineistoon käsiksi.

Toisiolaki on säädetty EU:n yleisen tietosuoja-asetuksen (GDPR) mahdollistaman kansallisen liikkumavaran perusteella. Perustuslakivaliokunta ja sosiaali- ja terveysvaliokunta ovat huolehtineet, ettei toisiolaki ole ristiriidassa EU:n tietosuoja-asetuksen kanssa. Lain valmistelutyöryhmään on osallistunut tietosuojavaltuutetun toimiston edustajia ja tietosuojavaltuutettua on kuultu myös eduskunnassa.

Toisiolaki määrittelee edellytykset tietoturvalliselle ympäristölle, jossa luvansaajat voivat käsitellä tietoja:

• Ensisijaisesti tiedot luovutetaan tietolupapäätöksessä nimettyjen henkilöiden käsiteltäväksi etäkäyttöyhteyden välityksellä siten, että tiedot säilyvät Findatan tietoturvallisessa Kapseli-käyttöympäristössä.
• Joissakin tapauksissa tiedot on välttämätöntä luovuttaa luvansaajalle. Luovuttaminen muuhun kuin Kapseliin on mahdollista vain, jos käyttöympäristö on auditoitu ja sen tietoturva osoitettu toisiolain mukaisesti.

Toisiolaki edellyttää, että tietojärjestelmät tallentavat tietojen käsittely- ja tapahtumahistoriaa eli keräävät lokia erilaisista tapahtumista. Niistä ilmenee esimerkiksi se, kuka tietoja on käsitellyt, miten tietoja on käsitelty ja milloin tietoja on käsitelty. Sekä tietoja käsittelevien viranomaisten ja rekisterinpitäjien että tietoluvan perusteella tietoja käsittelevien suorittamasta käsittelystä kerätään lokitietoa.

Miten tietosuojan toteutumista valvotaan?

Lupa tietojen käsittelyyn toisiolain mukaisissa käyttötarkoituksissa perustuu Findatan tai muun toisiolaissa tarkoitetun viranomaisen tekemään viranomaispäätökseen. Päätös on oikeudellisesti sitova ja sisältää lupaehdot sekä tiedot käsiteltävistä tiedoista, käsittelyyn oikeutetuista henkilöistä ja käsittely-ympäristöstä.

Findatan ja muiden tietolupia myöntävien viranomaisten toimintaa valvoo muun muassa oikeusasiamies ja henkilötietojen käsittelyä tietosuojavaltuutettu. Findatalla ja muilla tietolupia myöntävillä viranomaisilla on myös oikeus pyytää lausunto tietosuojavaltuutetulta ennen tietoluvan myöntämistä.

Tietolupien myöntäjien täytyy antaa tietosuojavaltuutetulle kerran vuodessa selvitys sosiaali- ja terveystietojen sekä niiden lokitietojen käsittelystä.

Sosiaali- ja terveysalan valvontavirasto Valvira valvoo tietoturvallisia käyttöympäristöjä.

Mihin henkilötietoja voidaan käyttää?

Sosiaali- ja terveystietojen toissijainen käyttö on sallittua vain tietyissä käyttötarkoituksissa.

Toisiolain mukaiset toissijaiset käyttötarkoitukset ovat

• tieteellinen tutkimus,
• tilastointi,
• kehittämis- ja innovaatiotoiminta,
• opetus,
• tietojohtaminen,
• viranomaisohjaus ja -valvonta sekä
• viranomaisten suunnittelu- ja selvitystehtävät.

Eri käyttötarkoituksia koskevat erilaiset säädökset.

Sosiaali- ja terveydenhuollon ammattihenkilöiksi opiskelevien opetukseen, tieteelliseen tutkimukseen, tilastointiin sekä viranomaisten suunnittelu- ja selvitystehtäviin on mahdollista saada pseudonymisoitua, yksilötasoista aineistoa.

Kehittämis- ja innovaatiotoimintaan, tietojohtamiseen ja sosiaali- ja terveydenhuollon viranomaisohjaukseen on mahdollista saada vain anonyymia, aggregoitua tilastotietoa, josta yksilöitä ei voi tunnistaa.

Lisäksi sosiaali- tai terveydenhuollon palvelunantajat, kuten esimerkiksi hyvinvointialueet, voivat käyttää niiden toiminnassa syntyneitä tai niiden rekistereihin tallennettuja tietoja tietojohtamiseen ilman erillistä lupaa. Tietoja voi käyttää palvelutoiminnan tuottamista, seurantaa, arviointia, suunnittelua, kehittämistä, johtamista ja valvontaa varten.

Sosiaali- ja terveystietoja ei saa käyttää markkinointiin tai yksilöllisten kaupallisten palveluiden, kuten esimerkiksi vakuutusmaksujen määrittelemiseen.

Tietolupa- ja tietopyyntöpäätökset ovat julkisia. 

Katso Findatan myöntämät tietolupa- ja tietopyyntöpäätökset.

Mistä tiedot ovat peräisin?

Findatan myöntämät luvat sisältävät erilaisista rekistereistä poimittua tietoa. Rekisteritieto on tietoa, joka on tallennettu viranomaisen, yksityisen palveluntarjoajan tai henkilötietojen käsittelijän ylläpitämään henkilötietorekisteriin.

Findatalla ei itsellään ole valmisaineistoja lukuun ottamatta henkilötietoja, vaan se kerää tietoja toisiolaissa säädetyiltä sosiaali- ja terveysalan toimijoilta ja viranomaisilta. Findata myöntää luvat sosiaali- ja terveystietojen toissijaiseen käyttöön, kun niitä tarvitaan usealta julkiselta rekisterinpitäjältä, yksityiseltä sektorilta tai Kanta-palveluista. Lisäksi osa rekisterinpitäjistä on siirtänyt lupatoimivaltansa Findatalle. Katso lista näistä rekisterinpitäjistä.

Kaikissa Findatan myöntämissä luvissa noudatetaan yleisen tietosuoja-asetuksen mukaista minimointiperiaatetta eli myönnämme lupia vain niihin tietoihin, joiden tarpeelle on perusteltu syy.

Löydät yleisen kuvauksen Findatan kautta saatavista sosiaali- ja terveysalan aineistoista Aineistot-sivulta. Lisätietoja Findatan valmisaineistoista löydät sivulta Valmisaineistot.

Keskeisiä käsitteitä

Katso myös