SOTE-tiedon toissijainen hyödyntäminen -

Transkriptio

1 SOTE-tiedon toissijainen hyödyntäminen - ensitietoa toisiolain soveltamiseen Erityisasiantuntija, ohjelmapäällikkö Tuija Savolainen Asiantuntijalääkäri Tuula Kock

2 Esityksen sisältö Johdanto Toisiolaki pähkinänkuoressa Nostoja keskustelun pohjaksi / jatkokeskusteluun 2

3 Mikä toisiolaki? Laki sosiaali- ja terveystietojen toissijaisesta käytöstä (552/2019) hyväksyttiin eduskunnassa vahvistettiin astui voimaan On osa lainsäädäntökokonaisuutta, joka koskee asiakastietojen sekä eräiden muiden terveyteen ja hyvinvointiin liittyvien henkilötietojen käsittelyä Täydentää osaltaan yleistä tietosuoja-asetusta (GDPR) 3

4 Mikä toissijainen käyttö (toisiokäyttö)? ALKUPERÄINEN LÄHDE: STM 2019 (KUNTALIITON MUOKKAUKSIN) Huom. Toisiolaissa ei kuitenkaan säännellä Omatietovarantoon (Kanta PHR) tallennettavien tietojen toisiokäytöstä 4

5 Tietoturva- ja tietosuojasanat toisiolaissa Tietosuoj* Tietoturv* Viranom* Rekisterinpitä* Henkilötie* Asiakastie* Yksilö* Oikeu* Vastu* Luott* 21 osumaa 58 osumaa 39 osumaa 26 osumaa 51 osumaa 14 osumaa 3 osumaa 23 osumaa 6 osumaa 3 osumaa 5

6 Toisiolaki pähkinänkuoressa (1/3) Lainsäätäjän tarkoituksena on luoda toisiolailla ajanmukaiset ja yhtenevät edellytykset sosiaali- ja terveydenhuollon palvelutoiminnassa sekä etuuskäsittelyssä syntyvien henkilötasoisten asiakastietojen sekä muiden terveyteen ja hyvinvointiin liittyvien henkilötietojen käytölle tilastointiin, tutkimukseen, kehittämis- ja innovaatiotoimintaan, opetukseen, tietojohtamiseen, viranomaisohjaukseen ja -valvontaan sekä viranomaisten suunnittelu- ja selvitystehtäviin, sekä turvata yksilön luottamuksensuoja sekä oikeudet ja vapaudet henkilötietoja käsiteltäessä STM

7 Toisiolaki pähkinänkuoressa (2/3) Sääntelyn tavoitteina on sujuvoittaa ja nopeuttaa olennaisesti tietolupiin liittyvää käsittelyä purkaa lupakäsittelyyn liittyvää päällekkäistä työtä ja rinnakkaisista lupamenettelyistä aiheutuvaa hallinnollista taakkaa sujuvoittaa tietojen yhdistelyä eri rekistereistä helpottaa ja tehostaa sosiaali ja terveydenhuollon tietoaineistojen käyttöä tutkimus- ja kehittämistoiminnassa mahdollistaa tiedon täysipainoinen hyödyntäminen palvelunantajien omassa toiminnassa, tietojohtamisessa, selkein reunaehdoin, sekä sovittaa lainsäädäntöpohja yleisen tietosuoja-asetuksen vaatimusten mukaiseksi STM

8 Toisiolaki pähkinänkuoressa (3/3) Toisiolailla säädetään Tietolupaviranomaisesta, sen tehtävistä ja sosiaali- ja terveystietojen toissijaisesta käytöstä sekä muiden viranomaisten ja organisaatioiden tehtävistä ja vastuista asiakastiedon toisiokäytössä Joustava ja joutuisa lupakäsittely ja tietojen luovutus eri rekisterinpitäjien tallentamien henkilötietojen käsittelemiseksi toteutetaan keskittämällä tiedon käyttöä koskevien lupien myöntäminen kokoamalla toisiokäyttöön liittyvistä palveluista vastaavat viranomaiset ja organisaatiot yhteen luomalla tietoturvallinen käyttöympäristö 8

9 Toisiolain rakenne (1/2) 9

10 Toisiolain rakenne (2/2) 10

11 Uusi viranomainen ja yhden luukun periaate asiakastietojen hyötykäytön edistämisessä Tietolupaviranomainen (5 ) Toimii THL:n yhteydessä itsenäisenä yksikkönä STM:n ohjauksessa Tietolupaviranomaisen tehtävät Tietolupapäätökset muiden rekisterinpitäjien aineistoista Tietojen kokoaminen, yhdistely, esikäsittely ja luovutus Tietojen yhdistely (myös) anonyymien tietojen tuottamiseksi tietopyynnön perusteella Hallintajärjestelmän ylläpito tietopyyntöjen ja lupahakemusten välittämiseksi Tietoturvallisen käyttöpalvelun ylläpito Tietoturvallinen käyttöympäristö Valvonta (lupaehtojen noudattaminen) 11

12 Toisiolaissa säädetyistä palveluista vastaavat viranomaiset/organisaatiot ja tietoaineistorajaukset - TOISIOLAKI 552/2019, 6 12

13 7 Tilastoviranomaisten tietojen käsittelyä koskevat poikkeukset Tilastokeskus ja THL tilastoviranomaisena vastaavat tilastotarkoituksiin keräämiensä tietojen tilastoluvista tieteellistä tutkimusta varten sekä samaan tutkimussuunnitelmaan liittyvien tietojen yhdistelystä, pseudonymisoinnista ja anonymisoinnista (Tilastolaki 280/2004) Ks. myös 51 4 mom 13

14 Toisiolaissa säädettyjä palveluita Palveluita, joista Tietolupaviranomainen ja muut viranomaiset ja julkiset organisaatiot vastaavat, ovat 1) tietoaineistojen kuvaukset; 2) neuvontapalvelu; 3) tietojen kokoamis-, yhdistämis- ja esikäsittelypalvelu; 4) tunnisteiden hallinnointipalvelu; 5) tietopyyntöjen hallintajärjestelmä; 6) tietoturvallinen käyttöpalvelu ja 7) tietoturvallinen käyttöympäristö Rekisterinpitäjä vastaa aina Rekisterinpitäjä itse / Tietolupaviranomainen vastaa Tietolupaviranomainen / Tietoturvallisten käyttöympäristöjen ekosysteemi vastaa - TOISIOLAKI 552/2019, 10 14

15 Toisiokäytön perusteet KUNTALIITTO 2019 (SOSIAALI- JA TERVEYSTIETOJEN TOISSIJAINEN KÄYTTÖ. ENSIVAIHEEN OHJEITA LAIN SOVELTAMISEKSI. LUONNOSVERSIO / ) 15

16 Tietojen luovutusperusteista ALKUPERÄINEN LÄHDE: STM 2019 (KUNTALIITON MUOKKAUKSIN) 16

17 Nostoja toisiolain säännöksistä tietosuojan näkökulmasta (1/5) Toisiolaissa annetaan yleistä tietosuoja-asetusta täydentävät säännökset (2 ) niiltä osin kuin lain 1 :ssä tarkoitettuja henkilötietoja käsitellään tämän lain 2 :ssä määritellyissä käyttötarkoituksissa, vaikka niitä ei olisi alun perin näissä tarkoituksessa tallennettu Lisäksi säädetään organisaatioista, joiden tietoja saa käsitellä em. nojalla ja mukaisesti sekä tietojen käsittelyyn liittyvistä rajauksista (6, 7 ) tiedon luovutusperusteista sekä vastaanottajan oikeudesta käsitellä luovutettuja henkilötietoja toisiolaissa säänneltäviin käyttötarkoituksiin (4 ja 5 luku) 17

18 Nostoja toisiolain säännöksistä tietosuojan näkökulmasta (2/5) 18 Yleiset tietoturvavaatimukset Kun henkilötietoja käsitellään tämän lain nojalla, käsittelyn riittävä tietoturvallisuus on varmistettava riskienhallinnalla pääsynhallinnalla aktiivisella valvonnalla sekä noudattamalla tietoturvallisuuden ja tietosuojan toteutuksesta ja valvonnasta vastaavan viranomaisen määräyksiä ja ohjeita Erityistä huomiota on kiinnitettävä käyttörajoitusten sekä salassapitovelvoitteen toteuttamiseen 18

19 Nostoja toisiolain säännöksistä tietosuojan näkökulmasta (3/5) Tietoluvan myöntäminen on aina viranomaistehtävä Tietolupaviranomainen myöntää tietoluvat keskitetysti* silloin, kun tietoja tarvitaan usealta eri rekisterinpitäjältä tai jos tarvitaan asiakasrekisteritietoja yksityiseltä sosiaali- ja terveydenhuollon palvelunjärjestäjältä tai tietolupahakemus koskee valtakunnallisiin tietojärjestelmäpalveluihin (Kantapalvelut) tallennettuja tietoja * Ks. Tilastoviranomaisten tietojen käsittelyä koskevat poikkeukset 7, 51 19

20 Nostoja toisiolain säännöksistä tietosuojan näkökulmasta (4/5) Asiakastietoja, jotka voisivat joko välittömästi tai välillisesti (suoraan tai epäsuoraan) johtaa henkilön tunnistamiseen, voidaan antaa käsiteltäväksi vain tietoturvallisessa käyttöympäristössä Kun käyttötarkoituksena on kehittämis- ja innovaatiotoiminta (37 ), tietoa voidaan luovuttaa vain aggregoituna tilastotietona (jota ei katsota enää henkilötiedoksi ja jossa jäännösriski minimoitu) Tietolupaviranomaisen on harkittava tietolupahakemusta käsitellessään, voidaanko asia käsitellä 45 :n mukaisena tietopyyntönä 20

21 Nostoja toisiolain säännöksistä tietosuojan näkökulmasta (5/5) Perusteilla on toisiolain ohjausryhmä, sen alatyöryhmät rekisterinpitäjien sekä tietosuojan korkean tason asiantuntijaryhmä 21

22 Vaikutukset ja haasteet tiedon hyödyntämisen näkökulmasta kunnissa ja kuntayhtymissä? Tiedonhyödyntämissuunnitelma avainasemassa Organisaatioissa suunniteltava toisiokäytön hallintamalli, käsittelyprosessit, roolit ja vastuut Huolehdittava velvoitteista siirtymäsäännösten mukaan Koulutettava henkilöstö 22

23 Lisätietoa STM:n nettisivuilla infoa toisiokäytöstä, Tietolupaviranomaisen nettisivut, Laki sosiaali- ja terveystietojen toissijaisesta käytöstä (552/2019), Valtiopäiväasiat ja asiakirjat, HE 159/2017, Hallituksen esitys eduskunnalle laiksi sosiaali- ja terveystietojen toissijaisesta käytöstä sekä eräiksi siihen liittyviksi laeiksi, Sosiaali- ja terveydenhuollon asiakas- ja potilastiedon toissijaista käyttöä koskeva lainsäädäntö (2017). Työryhmän loppuraportti, STM 2017:23, EU-tietosuoja-asetus (GDPR) luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus), 23

24 Tapaamisiin Kuntamarkkinoilla

25 Kiitokset mielenkiinnosta! Tuija Savolainen Tuula Kock kuntaliitto.fi Onnistuva Suomi tehdään lähellä PL 200, Helsinki Kuntatalo, Toinen linja Helsinki