Tieto Finland Oy. Lausuntopyyntö: Luonnos hallituksen esitykseksi, sivu 1/7

Transkriptio

1 Lausuntopyyntö: Luonnos hallituksen esitykseksi, laki sosiaali- ja terveystietojen tietoturvallisesta hyödyntämisestä Tieto Finland Oy sivu 1/7 Tieto Finland Oy Kotipaikka Helsinki PL 38, Aku Korhosen tie 2-6 puhelin Y-tunnus HELSINKI faksi (09)

2 Vastine lausuntopyyntöön Tieto Finland Oy PL 403 Tietotie ESPOO Sosiaali-ja terveysministeriö Meritullinkatu Valtioneuvosto Ilona raitakari ilona.raitakari@tieto.com Viite: STM011:00/2015 Viitaten lausuntopyyntöön: Luonnos hallituksen esitykseksi, laki sosiaali- ja terveystietojen tietoturvallisesta hyödyntämisestä. Tieto näkee kokonaisuudessaan valmistelutyön hyvin onnistuneena ja mahdollistavan asiakastiedon hyödyntämisen aiempaa huomattavasti tehokkaammin sekä sosiaali-ja terveydenhuollon organisaatioiden että yritysten liiketoiminnan kehittämisen näkökulmasta. Tässä lausunnossa Tieto esittää muutamia keskeisiä tarkennusehdotuksia jolla tuetaan lain toimeenpanoa ja varmistetaan esitettyjen tavoitteiden saavuttamista. Yhteyshenkilönämme toimii Data-Driven Business-liiketoiminnasta vastaava Head of Safety Matti Ristimäki sähköposti matti.ristimaki@tieto.com puhelin ja Senior Customer Manager Ilona Raitakari, sähköposti ilona.raitakari@tieto.com, puhelin Tulemme mielellämme myös henkilökohtaisesti keskustelemaan uuteen palvelumalliin ja lainvalmisteluun liittyvistä kysymyksistä ja olemme kiinnostuneita osallistumaan hankkeen tarkentaviin jatkovaiheisiin. Helsingissä, Tieto Finland Oy sivu 2/7 Tieto Finland Oy Kotipaikka Helsinki PL 38, Aku Korhosen tie 2-6 puhelin Y-tunnus HELSINKI faksi (09)

3 Sisällysluettelo 1 Kohdat 10 ja Kohta Yhdenmukaisuus julkinen vs. yksityinen rekisterinpitäjä... 6 sivu 3/7

4 1 Kohdat 10 ja 11 Lakiehdotus: 10 Rekisteritietojen hyödyntämisen edellyttämät viranomaisten palvelut Rekisteritietojen hyödyntämiseksi ylläpidetään seuraavia viranomaisten palveluita: 1. tietoaineistojen kuvaukset; 2. neuvontapalvelu; 3. sähköinen käyttölupaportaali; 4. käyttölupapalvelu; 5. käyttöluvan edellyttämä tutkimuksen eettinen ennakkoarviointi 6. tietojen yhdistämis- ja luovutuspalvelu; 7. koodiavainten säilytyspalvelu; 8. tietoturvallinen tekninen käyttöyhteys tietojen luovuttamiseksi sähköisesti; sekä 9. sähköinen tietoturvallinen käyttöympäristö hakijalle luovutettujen tietojen käsittelemiseksi. Edellä 1 momentin 2 sekä 4-9 kohdassa tarkoitetuista palveluista voidaan periä maksu siten kuin.. Lakiehdotuksessa ei ole haluttu ottaa selkeää kantaa siihen, miten 11 :n 2 momentissa tarkoitetun Lupaviranomaisen tulisi hoitaa 1 momentin 6-9 kohdassa tarkoitetut tehtävät. Sillä olisi käytännössä merkitystä paitsi toiminnan järjestämisen, myös maksujen määräytymisen kannalta. Lausunnonantajia pyydetään ottamaan kantaa asiaan Lakiehdotus : 11 Palveluista vastaavat viranomaiset ja organisaatiot Tässä laissa tarkoitettuna Lupaviranomaisena toimii Terveyden- ja hyvinvoinnin laitos. Lupaviranomaisen toiminnan ohjausta ja kehittämistä varten Sosiaali- ja terveysministeriö nime-ää ohjausryhmän, joka koostuu 1 momentissa tarkoitettujen organisaatioiden edustajista. Lupaviranomainen vastaa keskitetysti 10 :n 3-9 kohdassa tarkoitetuista palveluista siten kuin jäljempänä säädetään. Sanottuja palveluja toteutettaessa sillä on salassapitovelvoitteiden rajoittamatta oikeus saada muilta 1 momentissa tarkoitetuilta viranomaisilta tehtävän hoitami-seksi välttämättömät asiakastiedot ja muut rekisteritiedot. sivu 4/7

5 Lupaviranomainen voi, yksin taikka yhden tai useamman edellä 1 momentissa tarkoitetun viranomaisen kanssa, perustaa julkisoikeudellisen oikeushenkilön, jolle voidaan uskoa 10 :ssä tarkoitettuja tehtäviä lukuun ottamatta sen 4 kohdassa tarkoitettua käyttölupapalvelua ja siihen liittyvää, 5 kohdassa tarkoitettua eettistä ennakkoarviointia. Tiedon kommentti: Tieto näkee merkittävän haasteen lainsäädännön 10 mukaisten palveluiden tuottamisessa kokonaisuudessaan lupaviranomaisen tai 11 määritellyn julkisoikeudellisen oikeushenkilön toimesta. Ottaen huomioon palvelunantajien, tietojärjestelmien ja rekistereiden suuren lukumäärän sekä eri rekistereiden tietosisältökuvausten suuren diversiteetin tulee palvelulupapyyntöjen, poimintojen ja datan yhdisteoperaatioihin liittyvän toiminnan käynnistäminen olemaan iso haaste yksittäisen toimijan toteuttamana. Tieto ehdottaa, että lainsäädännön 10 kuvattujen palveluiden tekninen palveluosuus ml. sähköinen tietoturvallinen käyttöympäristö, tietojen yhdistämis- ja luovutuspalvelu, tietoturvallinen tekninen käyttöyhteys (mahdollisesti myös koodiavainten säilytyspalvelu) rakentuisi markkinaehtoisena toimintana. Näin saataisiin siirrettyä toimintaan liittyvää investointivastuuta useammalle yksityiselle ja/tai julkiselle toimijalle eikä palvelukokonaisuus näin ollen yksinomaan kuormittaisi verovaroin budjetoituja toimijoita. Huolimatta siitä, että tällä hetkellä on käynnissä useita tietoallaskokeiluita ja potilashallinnon tietojärjestelmien uudistamishankkeita tulee sosiaali-ja terveydenhuollon organisaatioissa olemaan erittäin moninainen järjestelmäportfolio useita vuosia. Tietolupamenettelyn toimivuuden varmistamiseksi tutkimus- ja innovaatiotoiminnan tukemiseksi ja sitä kautta lain tavoitteiden varmistamiseksi näkisimme, että operaattoritoiminnan organisoiminen pitää pystyä rakentamaan ketterästi kaupallisista ja julkisista organisaatiosta koostuvan verkoston varaan. Yksittäisen massiivisen tietojärjestelmähankkeen sijaan saataisiin näin ketterällä verkostolla lainsäädännön edellyttämät palvelut rakennettua. Verkoston toimijoihin voidaan edelleen ulottaa lakiin ja sopimuksiin perustuvia vaatimuksia, jotka rajoittaisivat tietojen käsittelyn vain lain ja luvansaajan määrittelemissä rajoissa. Lupaviranomainen voisi toimia Kanta-auditointi-tyyppisesti näiden toimijoiden akkreditoijana. Lain tulisi määrittää menettely, millä luvan saanut tiedon hyödyntäjätaho voi käyttää saamaansa tietoa käyttötarkoituksen täyttämiseksi. Tieto katsoo, että mahdollistamalla yksityisten käyttöympäristöjen tarjoaminen luotaisiin potentiaali massadata-analytiikan innovaatioiden ja markkinoiden laajamittaiselle kehittämiselle. Yksityiset toimijat pystyisivät luomaan ketterällä tavalla luomaan analyysimalleja ja -ohjelmistoja, joita taas luvansaajat voisivat hyödyntää tutkimuksissaan. Avoimesti toteutettu käyttöympäristö mahdollistaisi myös kolmansien osapuolten analyysimallien ja ohjelmistojen soveltamisen käyttöympäristössä joka voisi mahdollistaa laajempien ekosysteemien perustamisen. Lupaviranomaisen ylläpitämässä ympäristössä ei tulle olemaan mahdollista ylläpitää ajanmukaista ja kaikkien toimijoiden tarpeita täyttävää massadatan käsittelyyn tarvittavaa palveluportfoliota. Siksi Tieto katsoo, että lakia tulisi muuttaa niin, että minimissään sähköisen tietoturvallisen käyttöympäristön tarjoaminen mahdollistettaisiin selkeästi myös yksityisille tahoille ilman erillistä perusteluvelvoitetta. sivu 5/7

6 Käyttöympäristön tarjoaja katsottaisiin tällöin henkilötietojen käsittelijäksi, joka käsittelee henkilötietoja rekisterinpitäjän lukuun. 2 Kohta 7 Lakiehdotus: 7 Tietojohtaminen Sosiaali- ja terveydenhuollon palvelunantajalla on salassapitovelvoitteiden estämättä oikeus käsitellä ja yhdistellä tunnisteellisesti arkaluonteisia asiakastietoja, jotka ovat syntyneet sen omassa toiminnassa tai ovat sen omiin rekistereihin tallennettuja, jos se on välttämätöntä palvelunantajan vastuulla toteutettavan palvelutoiminnan seurantaa, arviointia, suunnittelua, kehittämistä, johtamista ja valvontaa varten. Tiedon kommentti: Palvelunantaja voi yhdistellä ja analysoida tunnisteellisesti arkaluonteisia asiakastietoja omien rekistereidensä osalta, mutta vain jos se on välttämätöntä. Tieto näkee potentiaalisen ongelman liittyen määrittelyyn siitä, mikä on välttämätöntä. Voiko palvelunantaja esim. hyödyntää ja yhdistellä yksilöiviä asiakkaidensa tietoja diabeteksen paremman hoidon kehittämiseksi? Tieto ehdottaa välttämätöntä sanan tilalle sanaa tarpeellista jotta vältytään tulkintaristiriidoilta arvioitaessa missä tilanteissa arkaluonteisia asiakastietoja voidaan hyödyntää. 3 Yhdenmukaisuus julkinen vs. yksityinen rekisterinpitäjä Lakiehdotuksen 3 :ssä määritellään termi 20. palvelunantajalla sosiaali- ja terveydenhuoltoa tai sosiaali- ja terveyspalveluja järjestävää, tuottavaa tai toteuttavaa viranomaista taikka yksityistä palvelujen tuottajaa, jota tarkoitetaan yksityisistä sosiaalipalveluista annetussa laissa (922/2011) tai laissa yksityisestä terveydenhuollosta (152/1990). 7 viitataan tähän palvelunantajaan ja sille annetaan oikeus omien rekisteriensä yhdistelyyn ja käsittelyyn. Kohdassa 11 rajataan 2 käyttötarkoituksen täyttämiseksi tarvittavien (tausta)palveluiden tuottajat ainoastaan julkisiin palvelunantajiin. Näitä palveluita (, jotka rekisterinpitäjälle kuuluvat), ovat Tietoaineistojen kuvaus ja Neuvontapalvelu. Näiden osalta ei ole määritelty, miten toimitaan yksityisen palveluntuottajan osalta. sivu 6/7

7 Mikäli lainsäätäjä on tarkoittanut, että yksityisen palvelunantajan rekistereistä voidaan hakea tietoa vastaavasti kuin julkisilta palvelunantajilta, Tieto ehdottaa, että yksityisen palveluntuottajan osalta todettaisiin vastaavasti, että se vastaisi osaltaan Tietoaineistojen kuvauksesta sekä Neuvontapalvelun järjestämisestä omien rekistereidensä osalta. sivu 7/7