Pidämme tärkeänä, että toisiolain käytännön soveltamisessa havaittuihin haasteisiin etsitään ratkaisuja. Sosiaali- ja terveystietojen toissijaisen käytön lainsäädännön tulee tukea tutkimusta, innovaatiota ja tietosuojan toteutumista.
Lausunnossamme luonnoksesta hallituksen esitykseksi nostimme esiin erityisesti hajautetun lupamallin toimivuuteen liittyviä haasteita. Lakiehdotuksen mukaan useamman rekisterinpitäjän tietoja sisältävän tietoluvan voisi hakea Findatan lisäksi myös erikseen yksittäisiltä rekisterinpitäjiltä, kun nykyisin tällaisten hakemusten käsittely on keskitetty Findataan.
Tietosuojan varmistaminen vaatii keskitettyä otetta
Tietosuojan toteutuminen vaatii kokonaiskuvaa koostettavasta aineistosta. Keskitetyllä lupatoiminnalla varmistetaan, että aineistot ovat kooltaan ja tiedoiltaan tarkoituksenmukaisia, ja että aineistonkäsittelyyn oikeutetut henkilöt on määritelty yhdenmukaisesti. Kaikkiin aineistoihin sovelletaan samoja lupaehtoja, mikä takaa lupakäsittelyn oikeudenmukaisuuden ja läpinäkyvyyden.
Ehdotetussa hajautetussa mallissa herättää huolta se, ettei yhdelläkään lupaa myöntävällä taholla olisi kokonaiskuvaa lopullisesta aineistosta. Tämä lisää riskiä siitä, ettei henkilötietojen käsittely ole tietosuojavaatimusten mukaista.
Hajautettu lupamalli heikentäisi myös kansalaisten oikeuksia. Jo nykyisin yksittäisen henkilön on vaikeaa selvittää, missä tutkimuksissa hänen tietojansa käytetään. Ehdotettu malli tekisi tästä entistä haastavampaa. Kansalaisille tulisi tarjota keskitetty palvelu, jonka kautta he voivat hallinnoida oikeuksiaan ja seurata tietojensa käyttöä.
Suhtaudumme varauksella myös ehdotukseen, jonka mukaan sote-aineistoja voitaisiin poikkeusluvalla luovuttaa muihin kuin toisiolain mukaisiin tietoturvallisiin käyttöympäristöihin. Tällainen poikkeustietolupa olisi hakijoille hallinnollisesti hyvin raskas ja mahdollistaisi tietojen siirtymisen pois Suomen lainsäädännön ja valvonnan piiristä.
Näin Findata lausui toisiolain uudistuksesta
- Hajautettu malli heikentäisi kokonaiskuvaa aineistoista ja lisäisi tietosuojariskejä.
- Ilman keskitettyä palvelua kansalaisilla olisi entistä vaikeampaa seurata ja hallinnoida tietojensa käyttöä.
- Valinnanvapaus heikentäisi mahdollisuuksia ennakoida hakemusmääriä ja resursoida palveluita.
- Lupaprosessin hajautus saattaa tuoda lisää hallinnollista työtä, epäselvyyttä ja kustannuksia tutkimuksille.
- Lakiluonnoksessa ei ole huomioitu esimerkiksi tekoälyn kehittämisen mahdollistamista tai EU:n EHDS-asetuksen vaikutuksia.
- Positiivisia uudistuksia olisivat maksujen läpinäkyvyys, anonymiteetin riskiperustaisuus ja yksilötasoisten tietojen laajempi käyttö.
Lue Findatan lausunto:
Valinnanvapaus voi kääntyä tavoitteita vastaan
Esitysluonnoksen mukaan luvanhakijalla olisi mahdollisuus valita, hakeeko lupaa keskitetysti Findatalta vai yksittäisiltä rekisterinpitäjiltä erikseen. Käytännössä tutkija voi siis itse arvioida, kumpi menettely olisi hänelle edullisempi. Muutoksella tavoitellaan joustavampia ja tehokkaampia lupaprosesseja.
Lupia myöntäville viranomaisille valinnanvapaus voi kuitenkin heikentää mahdollisuuksia ennakoida hakemusmääriä ja resursoida palveluita. Lisäksi se voi pidentää käsittelyaikoja myös Findatalta haetuissa luvissa, kun rekisterinpitäjien resursseja joudutaan venyttämään useampiin lupaprosesseihin.
Arvioiden mukaan hajautettu malli vaatisi noin 2–3 lisähenkilötyövuotta per hyvinvointialue. Uusien tehtävien kustannuksia on esitetty katettavaksi lupamaksuilla, mikä kasvattaisi tutkimuskustannuksia entisestään. Jo nyt valtaosa (noin 75 prosenttia) luvanhakijoiden kustannuksista koostuu rekisterinpitäjien poimintakustannuksista.
Lupatoiminnan hajautus lisäisi rekisterinpitäjille uusia tehtäviä ilman selkeää rahoitusmallia tai osaamisen vahvistamista. Tämä johtaa helposti hajanaisiin toimintatapoihin, mikä lisää tietosuojariskejä ja vaikeuttaa aineistojen yhdistämistä. On myös riski, että lupia myöntävä taho toimii samalla tiedon hyödyntäjänä. Tämä voi aiheuttaa eturistiriitoja ja vaarantaa luvanhakijoiden yhdenvertaisen kohtelun.
Hajautettu lupamalli voi siis tavoitteiden vastaisesti lisätä tutkijoiden työmäärää ja vaikeuttaa tutkimuksen suunnittelua. Kun lupia ja tietopyyntöjä tehdään useille eri rekisterinpitäjille, ja prosessit sekä maksut vaihtelevat, kokonaiskuvan hahmottaminen hankaloituu.
Puutteita käyttötarkoitusten ja EU-sääntelyn osalta
Lakiehdotuksesta puuttuu joitakin tärkeitä elementtejä, kuten saatavuuspalveluiden määrittäminen sekä mahdollisuus käyttää tietoja tekoälyalgoritmien kehittämiseen. Lausunnossamme ehdotettujen käyttötarkoitusten lisääminen parantaisi lain vaikuttavuutta ja vastaisi paremmin tulevaisuuden tarpeisiin.
Lisäksi lakiehdotuksessa ei ole huomioitu juuri voimaan tullutta EU:n EHDS-asetusta, joka tulee vaikuttamaan merkittävästi terveystietojen sääntelyyn. Näkemyksemme mukaan kansallista lakia ei tulisi nyt muuttaa merkittävästi eri suuntaan. Toteutuessaan esitys lisäisi epäselvyyttä ja neuvontatarvetta sekä rekisterinpitäjille että tutkijoille, ja kasvattaisi riskiä päällekkäisestä tai ristiriitaisesta sääntelystä.
Ehdotuksessa myös toimivia uudistuksia
Lausunnossamme toimme esiin myös lakiehdotuksen myönteisiä muutoksia. Näitä olivat esimerkiksi maksujen läpinäkyvyyden ja yhdenvertaisuuden parantaminen, läpilaskutuksen poistaminen, anonymiteetin varmistuksen muuttaminen riskiperustaiseksi, yksilötasoisten tietojen käyttö kehitys- ja innovaatiotoimintaan sekä tietopyyntökäsittelyn yhdenmukaistaminen tietolupien kanssa.
Lausuntokierros alkoi maaliskuun alussa ja päättyy 14.4.2025. Viimeistelty esitys on suunniteltu vietäväksi eduskuntaan ensi syksynä. Uudistetun toisiolain on tarkoitus tulla suurimmalta osin voimaan 30.4.2026.
Lue tai lataa Findatan lausunto kokonaisuudessaan: