Toisiolaki - Pykälämuutosten perustelut StV:lle

Transkriptio

1 Toisiolaki - Pykälämuutosten perustelut StV:lle Vastineessa ehdotetut muutokset toisiolain pykäliin perustuvat suurimmalta osin perustuslakivaliokunnan ja asiantuntijalausuntojen sekä sosiaali- ja terveysministeriön kuulemien asiantuntijoiden huoliin ja ehdotuksiin siitä, miten ehdotetun toisiolain nojalla käsiteltävien henkilötietojen tietoturva ja tietosuoja voidaan varmistaa. Erityisesti varmistuksen tarve koskee anonymisoitujen tietoaineistojen muodostamista ja käsittelyä koskevia säännöksiä, sekä vapaasti luovutettavia tietoja ja julkaistavia tuloksia. Keskeisenä syynä varmistusten tarpeeseen on nopeasti kehittyvä, oppiva tekoäly sekä tietojenkäsittelylaitteiden voimakkaasti kasvavat laskentatehot. Ne muodostavat merkittävän uhkan sille, että aiemmin luotettavana pidetyin menetelmin anonymisoituja tietoaineistoja yhdistelemällä voidaan re-identifioida aineistoon sisältyneitä henkilöitä ja heitä koskevia tietoja. 3 Pykälään lisätään määritelmä aggrekoidulle tilastolle uudeksi 18 kohdaksi. Hallituksen esityksen mukaiset 18 ja 19 kohdat siirtyvät siten 19 ja 20 kohdiksi. Aggrekoitu tilasto muodostetaan sellaiseksi, ettei sen perusteella voi muihin anonyymeihin tietoihin yhdistelemälläkään tunnistaa niitä henkilöitä, joita koskevista tiedoista tilasto on muodostettu. Määritelmä on tarpeen 45 :än ehdotetun muutoksen vuoksi. Muutoksella tiukennetaan erityisesti edellytyksiä, joilla anonymisoituja tietoja voidaan luovuttaa tietoja pyytäneen käsiteltäväksi tai julkaistavaksi. Erityisen huolellista anonymisointia tarvitaan tilanteissa, joissa henkilötietoihin pohjautuvia tietoja luovutetaan niitä pyytäneen vapaasti käytettäväksi tai julkaistavaksi - riippumatta siitä, missä käyttötarkoituksessa luovutus tapahtuu. Sosiaali- ja terveysministeriö esittää asiantuntijalausuntojen ja - kuulemisten pohjalta, että tietoturvallisessa käyttöympäristössä käsiteltyihin tietoihin perustuvia tuloksia saa julkaista vain erilliseen lupaprosessiin pohjautuvalla julkaisuluvalla. Lupa edellyttäisi erillistä lupaprosessia. Julkaisuluvasta päättäisi aina Tietolupaviranomainen, joka myös aina tuottaisi ja luovuttaisi tietoluvan saaneelle vapaasti käytettävän ja julkaistavan tuloksen. 4 Pykälän 1 momentin mukaan Sosiaali- ja terveysalan tietolupaviranomainen toimii Terveyden ja hyvinvoinnin laitoksen yhteydessä. Sille säädetyistä tehtävistä vastaa laitoksessa yksikkö, joka on eriytetty Terveyden ja hyvinvoinnin laitoksesta annetun lain (668/2008) 2 :ssä säädetyistä tehtävistä. Tietolupaviranomainen toimii 2 momentin mukaan sosiaali- ja terveysministeriön tulosohjauksessa, ja sillä on erillinen sosiaali- ja terveysministeriön asettama ohjausryhmä. Vaikka vastaavaa organisointi- ja säätämistapaa on noudatettu muissakin yhteyksissä (muun muassa Sosiaali- ja terveysjärjestöjen avustuskeskuksen asema sosiaali- ja terveysministeriön yhteydessä on säädetty vastaavaan tapaan), on eduskuntakuulemisissa ja muutamissa asiantuntijalausunnoissa epäilty, että sääntely johtaisi Tietolupaviranomaisen epämääräiseen hallinnolliseen asemaan THL:n yhteydessä. Lain hallinnollista täytäntöönpanoa valmisteltaessa on todettu, että tilannetta selkiyttäisi, jos laissa säädettäisiin, että Tietolupaviranomaisen johtajan nimittää Sosiaali- ja terveysministeriö. 4 :n 2 momenttia ehdotetaan edellä esitetyin perustein muutettavaksi siten, että Tietolupaviranomaisella on sosiaali- ja terveysministeriön asettaman erillisen ohjausryhmän lisäksi ministeriön nimittämä johtaja. Muutos selkiyttäisi Tietolupaviranomaisen hallinnollista asemaa ja olisi linjassa muiden ministeriön tulosohjauksessa toimivien yksiköiden nimittämiskäytännön kanssa. 8 Pykälään ehdotetaan lisättäväksi uusi 4 momentti, jonka mukaan Sosiaali- ja terveysministeriö nimittää Sosiaali- ja terveysalan tietolupaviranomaiselle korkean tason asiantuntijaryhmän. Asiantuntijaryhmän tarkoituksena on turvata Tietolupaviranomaiselle paras ja ajantasaisin mahdollinen asiantuntijatuki tietosuojan ja tietoturvan takaamiseksi Tietolupaviranomaisen toiminnassa ja päätöksenteossa.

2 Asiantuntijaryhmän tehtävänä olisi laatia periaatelinjaukset ja kriteerit sille, miten Tietolupaviranomaisen on varmistettava käsittelemiensä sekä käsiteltäviksi luovutettavien tietoaineistojen tietosuoja ja tietoturva; millaisia rajoituksia anonymisoitujen tietoaineistojen käsittelylle on asetettava, sekä miten julkaistavien tulosten taikka vapaasti käytettäväksi luovutettavien tietojen anonymiteetti turvataan. Asiantuntijaryhmä on yksi mutta keskeinen niistä useista keinoista, joilla yhdessä voidaan turvata henkilötietojen suojaa pysyvästi silloinkin, kun niitä käsitellään lain sallimissa toissijaisissa käyttötarkoituksissa, ja kun niistä johdettuja tuloksia julkaistaan. Asiantuntijaryhmää esittivät eduskunnan kuulemat asiantuntijat, ja ministeriön kutsumat tekoälyn, data-analytiikan ja tietoturvan asiantuntijat pitivät sitä erittäin tarpeellisena. 9 Pykälässä säädetään mahdollisuudesta perustaa osakeyhtiö Sosiaali- ja terveysalan tietolupaviranomaisen alaisuuteen. 4 momentin mukaan yhtiön asiakirjoihin sovelletaan, mitä julkisuuslaissa säädetään viranomaisen asiakirjasta. Eduskunnan oikeusasiamiestä edustanut Stoor esitti lausunnossaan säädettäväksi siitä, mikä taho vastaa julkisuuslain 4 luvun mukaisesti päätöksestä, ettei Tietolupaviranomaisen asiakirjaa luovuteta sitä pyytäneelle. Ministeriö ehdottaa, että päätöksestä vastaisi Tietolupaviranomainen. 10 Pykälässä on luettelo 6 :ssä mainittujen organisaatioiden vastuulle kuuluvista palveluista tiedon tarvitsijoille. Luetteloon on lisätty teknisesti numerointi, johon jäljempänä olevissa pykälissä viitataan. Numerointi on tarkoittamatta hävinnyt, kun hallituksen esitys siirrettiin teknisesti valtioneuvoston päätöksentekojärjestelmään. Vastaava ongelma toistui luettelomerkkien ja muiden numerointien kohdalla. 11 Pykälässä säädetään 6 :ssä mainittujen organisaatioiden velvollisuudesta vastata 10 :ssä tarkoitetuista palveluista. Hallituksen esityksen 2 momentin mukaan kaikki lain 6 :ssä tarkoitetut julkiset sosiaali- ja terveydenhuollon rekisterinpitäjät (kuten kunnan terveyskeskus ja sosiaalitoimi) vastaavat itse kaikista 10 :ssä tarkoitetuista palveluista tilanteissa, joissa tietolupaa haetaan vain yhden rekisterinpitäjän henkilötietoihin. Säännöksen mukaan Tietolupaviranomainen voisi kuitenkin sopia mainittujen viranomaisten kanssa, että se hoitaa kaikki tai osan momentissa tarkoitetuista palveluista sopimuksen tehneen organisaation kanssa. Eläketurvakeskus esitti lausunnossaan valiokunnalle huolen siitä, ettei sillä ole osaltaan resursseja toteuttaa kaikkia 10 :n 1-7 kohdassa tarkoitettuja palveluja. Myös valiokuntakuulemisten aikana on esitetty huolta siitä, miten pienet kunnat ja kuntayhtymät selviäisivät velvoitteista. Hallituksen esityksellä ei ole tarkoitettu velvoittaa kaikkia 6 :ssä tarkoitettuja organisaatiota tuottamaan itse 10 :n 5-7 kohdassa tarkoitettuja palveluita - tietopyyntöjen hallintajärjestelmää, tietoturvallista käyttöpalvelua ja tietoturvallista käyttöympäristöä. Tarkoitus on ollut, että yksittäisten rekisterinpitäjienkin tietolupiin perustuvat tietoluovutukset ja luovutettujen tietoaineistojen käsittely toteutettaisiin ensisijaisesti Tietolupaviranomaisen ylläpitämiä tietoturvallisia järjestelmiä hyödyntäen. Sosiaali- ja terveysministeriö esittää tilanteen selkiyttämiseksi 11 :n 2 momenttia muutettavaksi siten, että 6 :ssä tarkoitetut organisaatiot vastaisivat omiin tietolupiinsa liittyen vain 10 :n 1-4 kohdassa tarkoitetuista palveluista. Lisäksi sanotut organisaatiot voisivat ilmoittaa Tietolupaviranomaiselle luopuvansa muista kuin 10 :n 1 ja 2 kohdassa tarkoitettujen palvelujen tuottamisesta. Tällöin Tietolupaviranomaiselle siirtyisi vastuu ilmoituksen tehneen organisaation osalta kaikista 10 :n 3-7 kohdissa tarkoitetuista palveluista. Tietolupaviranomainen vastaisi tällöin myös sanotun organisaation henkilötietoja koskevista tietolupapäätöksistä. 34 Pykälässä säädetään Sosiaali- ja terveysalan lupa- ja valvontaviraston oikeudesta määrätä henkilötietoja toisiolain mukaisesti käsittelevälle velvoite täyttää määräajassa laiminlyömänsä toisiolaissa säädetty velvoitteensa, joka liittyy tietojärjestelmiin tai niiden käyttöön. Eduskunnan oikeusasiamiestä edustanut Stoor esitti sosiaali- ja terveysvaliokunnalle asiantuntijalausunnossaan, että määräyksen tueksi

3 olisi tarpeen säätää mahdollisuus päättää sanktiosta, ellei määräystä noudateta. Tässä tarkoituksessa pykälään ehdotetaan lisättäväksi uusi 2 ja 3 momentti. Uudessa 34 :n 2 momentissa säädettäisiin Sosiaali- ja terveysalan tietolupaviranomaiselle tai muulle 6 :ssä tarkoitetulle viranomaiselle oikeus sulkea yhteys ylläpitämiinsä tietojärjestelmiin, jos henkilötietoja toisiolain mukaisesti käsittelevä taho on Sosiaali- ja terveysalan lupa- ja valvontaviraston asettamasta määräajasta huolimatta laiminlyönyt toisiolaissa säädetyn velvollisuutensa, joka liittyy tietojärjestelmiin tai niiden käyttöön. Uudessa 34 :n 3 momentissa säädettäisiin Sosiaali- ja terveysalan lupa- ja valvontaviraston oikeudesta asettaa 1 momentin nojalla tekemänsä määräyksen tehosteeksi uhkasakon taikka uhan, että toiminta keskeytetään osaksi tai kokonaan, tai että tekemättä jätetty toimenpide teetetään asianomaisen kustannuksella. Lupa- ja valvontaviraston on ilmoitettava tällaisesta päätöksestään Sosiaali- ja terveysalan tietolupaviranomaiselle. 38 sekä 45 Pykälillä on keskinäinen yhteys. 38 :n 3 momentissa säädettäisiin siitä, millä perusteilla ja rajoituksilla sosiaali- ja terveystiedoista voitaisiin tuottaa kehittämis- ja innovaatiotoiminnan käyttötarkoitukseen ilman rekisteröityjen suostumusta. 45 :ssä puolestaan säädettäisiin tällaisten tietopyyntöjen käsittelystä riippumatta käyttötarkoituksesta. Sanottuja pykäliä esitetään muutettavaksi kahdessa eri tarkoituksessa: 1) 38 :n loppuun lisättäisiin uusi 3 momentti. Se rajaisi pykälän soveltamisalaa silloin, kun henkilötietoja halutaan käyttää kehittämis- ja innovaatiotoimintaan ilman rekisteröidyn suostumusta. Rajaukset vastaavat sellaisia tietosuoja-asetuksessa säädettyjä käyttötarkoituksia, joissa asetus sallii käytettäväksi kansallista liikkumavaraa, mikä on tarpeen erityisesti, kun sosiaalija terveystietoja käytetään ilman nimenomaista suostumusta. Tietosuoja-asetukseen tai tietosuojalakiin ei sisälly säännöksiä pykälässä tarkoitetun kaltaisesta kehittämis- ja innovaatiotoiminnasta. Koska suostumus on tietosuoja-asetuksen mukaan itsessään sallittu käsittelyperuste, 3 momenttia koskevat rajaukset voidaan kohdentaa vain ilman suostumusta käytettäviin tietoihin. Säännöksen nojalla tietoja käsittelisi vain Tietolupaviranomainen, koska tietopyynnön esittäjälle luovutettaisiin vain aggrekoitua tilastotietoa. 2) Hallituksen esityksen 45 :n mukaan anonymisoitujen tietoaineistojen luovutuksia ei rajoitettaisi lainkaan. Sosiaali- ja terveysvaliokunnan saamien lausuntojen sekä sosiaali- ja terveysministeriön vastinevalmistelun aikana kuulemien asiantuntijoiden mukaan anonyymeistäkin tietoaineistoista voi olla mahdollista selvittää yksittäisten rekisteröityjen henkilöllisyys ja heitä koskevia tietoja. Nopeasti kehittyvät laskentatehot ja oppiva tekoäly tekevät sen mahdolliseksi, jos useita eri anonyymejä tietoaineistoja yhdistellään keskenään. Mainituista syistä anonymisoidunkin tietoaineiston käsittelylle on luvassa tarpeen asettaa tarvittavat käsittelyn rajoitukset, mukaan lukien vaatimus niiden käsittelemisestä vain toisiolaissa tarkoitetussa tietototurvallisessa käyttöympäristössä. Jotta kulloistakin tietoaineistoa anonymisoitaessa olisi selvillä, mitä muita tietosuojaan vaikuttavia anonymisoituja tietoaineistoja on saatavilla ja miten ne on anonymisoitu, on tärkeää keskittää luovutettavien tietojen anonymisointitehtävä Tietolupaviranomaiselle. Tämä turvaa myös sen, että anonymisoinnit toteutetaan yhdenmukaisesti ja 8 :n 4 momentissa tarkoitetun asiantuntijaryhmän periaatelinjausten mukaisesti.

4 Tästä syystä 45 :ä ehdotetaan muutettavaksi siten, että myös anonymisoitavat tietoaineistot luovutetaan saajalle käsiteltäväksi tietoturvallisessa käyttöympäristössä. Tietolupaviranomainen voisi luovuttaa pyytäjälle vapaasti käytettäväksi ja julkaistavaksi vain myöntämään julkaisulupaan perustuvat, itse luotettavasti anonymisoimansa tulokset, taikka itse 38 :n perusteella kokoamastaan aineistosta tuottamansa tulokset aggrekoidussa tilastomuodossa. Tietolupaviranomaista ohjaisi anonymisointitehtävässään sekä julkaisulupia harkitessaan ja niiden pohjalta julkaistavia tuloksia tuottaessaan edellä ehdotettu korkean tason asiantuntijaryhmä. Sen on tarkoitus tuottaa anonymisoinnissa noudatettavat, jatkuvasti päivitettävät periaatelinjaukset (uusi 8 4 momentti). Näin voidaan turvata se, että Tietolupaviranomainen käyttää aina kehittyvän tekniikan ja tekoälyn edellyttämiä ajanmukaisia anonymisointimenetelmiä. Koska 45 :ä ehdotetaan tietosuojasyistä muutettavaksi siten, ettei anonymisoitujakaan tietoaineistoja luovutettaisi saajan vapaasti käytettäviksi, vaan käsiteltäviksi tietoturvallisessa käyttöympäristössä tietoluvan ehtojen mukaisesti, on muutettava kaikki ne säännökset, jotka koskevat anonyymisoitujen tietojen luovuttamista ja niiden käsittelyä. 35 :ssä säädetään henkilötietojen käsittelyn perusteista. Pykälää täsmennettäisiin seuraavasti: Sanat rekisteritietoja muutettaisiin sanoiksi henkilörekisteritietoja. Pykälästä poistettaisiin sanat tietopyynnön perusteella sekä (Tietolupaviranomaisen) anonymisoimana, koska 38 :n 3 momentin ja 45 :n nojalla sille, joka pyytää tietoja kehittämis- ja innovaatiotoimintaan ilman rekisteröidyn suostumusta, saisi luovuttaa vain aggrekoitua tilastotietoa. Siten tietoa 38 :n 3 momentin nojalla saava ei saisi lainkaan käsiteltäväkseen henkilötietoja, vaan vain tilastomuotoisen tuloksen, jossa rekisteröityjen anonymiteetti on varmistettu. Aggrekoidun tilastotiedon tuottamiseksi tarvittavia henkilötietoja käsittelisi vain Tietolupaviranomainen. 36 :ssä säädetään Tietolupaviranomaisen oikeudesta saada ja käsitellä tietoja salassapitovelvoitteiden estämättä. Sen 3 kohtaa täsmennettäisiin kuulumaan seuraavasti: - tiedot sen arvioimiseksi, onko 45 :ssä tarkoitetut tiedot mahdollista anonymisoida tai tuottaa niistä aggrekoitua tilastotietoa ; 41 ja 42 :ssä säädetään tietojen käsittelystä lain nojalla, ilman tietolupaa. 41 koskee tietojohtamista ja 42 sosiaali- ja terveydenhuollon viranomaisohjausta ja -valvontaa. Hallituksen esityksen 41 :n 1 momentin ja 42 :n 2 momentin mukaan Tietolupaviranomainen saisi tuottaa ja luovuttaa näissä tarkoituksissa anonymisoituja tietoaineistoja. Edellä esitetyn re-identifikaatiomahdollisuuden vuoksi pelkkä tietoaineistojen anonymisointi ei takaa luovuttamisen kannalta riittävää tietosuojaa. Siksi säännöksiä ehdotetaan muutettavaksi siten, että tietolupaviranomainen toimittaisi sanotuissa käyttötarkoituksissa tiedot aggrekoituna tilastotietona. 5 luvun väliotsikko Luvun väliotsikkoa esitetään muutettavaksi vastaamaan paremmin muutettaviksi esitettyjen pykälien periaatteita. Otsikko kuuluisi muutettuna seuraavasti: Tietolupahakemuksen ja tietopyynnön sekä niiden nojalla luovutettavien tietojen käsittely. 43 Pykälä koskee tietoluvan myöntämisen yleisiä perusteita. Sen 1 momenttia esitetään muutettavaksi teknisesti viittauksella tietosuojalakiin ja muuttamalla lauserakenteita sisältöä muuttamatta. 44 Pykälässä säädetään tietolupakäsittelyyn liittyvästä toimivallasta. Sen 1 ja 2 momenttia ehdotetaan muutettavaksi siten, että Tietolupaviranomaiselle keskitettäisiin hallituksen esityksessä ehdotettua laajemmin oikeus päättää tietoluvista, kun päätöksen tekijältä edellytetään erityisen merkittävää

5 arviointikykyä. Tietojen luovutus anonymisoituna edellyttää edellä esitetyin perustein, että luvan myöntäjällä on tieto myös muista anonyyminä luovutettavista tietoaineistoista ja niiden anonymisointitavoista. Lisäksi luotettava anonymisointi edellyttää, että päätöstä tehtäessä ja anonymisointia toteutettaessa noudatetaan 8 :n 4 momentissa tarkoitetun Tietolupaviranomaisen asiantuntijaryhmän ajanmukaisia periaatelinjauksia. Siksi tietoluvat, jotka koskevat anonymisoitujen tietojen luovuttamista, on tärkeää keskittää Tietolupaviranomaiselle. Pykälän rakennetta on selkeyden vuoksi muutettu siten, että uudessa 2 momentissa säädettäisiin niistä tapauksista, joissa lupatoimivalta on keskitetty yksinomaan Tietolupaviranomaiselle. Momentin mukaan Tietolupaviranomainen vastaisi aina tietolupapäätöksestä, jos lupahakemus koskee -yhden tai usean yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoja; taikka -tietojen luovuttamista 38 :ssä tarkoitettuun kehittämis- ja innovaatiotoimintaan; tai -tietojen luovuttamista anonymisoituna. On huomion arvoista, että myös 45 :ssä tarkoitetut tietopyynnöt, joiden perusteella pyytäjälle luovutetaan vain halutuista tiedoista muodostettua aggregoitua tilastotietoa, käsittelee ja ratkaisee aina Tietolupaviranomainen. 45 Pykälän otsikko on hallituksen esityksessä Tietojen luovuttaminen anonymisoituna. Koska anonymisoidun tiedon käsittelyä koskevia säännöksiä ehdotetaan nyt edellä esitetyin perustein ja tavoin olennaisesti muutettaviksi, ehdotetaan myös pykälän otsikkoa muutettavaksi uudistetun sisällön mukaiseksi. Pykälän uudeksi otsikoksi esitetään Tietopyyntöjen käsittely. Se kuvastaa logiikkaa, jolla tietopyyntö ja tietolupahakemus nyt eroavat toisistaan. Tietolupahakemuksessa lähtökohta on, että luvan hakijan on tarkoitus käsitellä itse tietoluvan perusteella saamaansa tietoaineistoa. Re-ientifikaation mahdollisuuden estämiseksi käsittely tapahtuisi aina tietoturvallisessa käyttöympäristössä riippumatta siitä, saako luvanhakija aineiston tunnisteellisena, pseudonymisoituna vai anonymisoituna. Sen sijaan tietopyynnön perusteella pyytäjälle toimitetaan valmiiksi analysoitu tieto aggrekoituna tilastotietona. Sen laatisi aina Tietolupaviranomainen 8 :n 4 momentissa tarkoitetun asiantuntijaryhmän ajanmukaisia periaatelinjauksia noudattaen. Siten tietopyynnön perusteella luovutettava tilastotieto voidaan luovuttaa tietosuoja turvaten saajansa vapaasti käytettäväksi, luovutettavaksi ja julkaistavaksi. 45 :n 1 momentissa säädettäisiin, että päätöksen 3 :n 8 kohdassa tarkoitetusta tietopyynnöstä tekee aina Tietolupaviranomainen. 2 momentissa edellytettäisiin, että Tietolupaviranomainen arvioi tietosuojaasetuksen sekä 8 :n 4 momentissa tarkoitetun asiantuntijaryhmän edellyttämin tavoin, onko pyytäjän esittämistä rekisteritiedoista mahdollista muodostaa aggrekoitu tilastotieto. Ehdotetussa 3 momentissa säädettäisiin käsittelyyn poikkeus tilanteissa, joissa tietoja pyydetään tieteelliseen tutkimukseen, ja pyyntö koskee joiltain osin Tilastoviranomaisen tilastotarkoituksiin keräämiä tietoja. Tällöin noudatettaisiin samaa 51 :n 5 momentissa säädettyä erityismenettelyä kuin tietolupahakemuksissakin. Lisäksi 4 momentin mukaan pykälää voidaan soveltaa myös 41 :n 2 momentissa tarkoitetun tietojohtamisen sekä 42 :n 1 momentissa tarkoitetun Sosiaali- ja terveydenhuollon viranomaisohjauksen ja -valvonnan käyttötarkoituksiin, mikä vastaa sisällöllisesti hallituksen esityksen 45 :n 2 momenttia.

6 46 Pykälä koskee tietolupahakemuksen ja tietopyynnön toimittamista Tietolupaviranomaiselle. Säännöstä tarkistettaisiin siten, että sen 1 momenttissa korvattaisiin edeltä ilmenevin perustein sanat anonymisoitu tieto sanoilla aggrekoitu tilastotieto. Lisäksi 2 momentissa säädettäisiin Tietolupaviranomaiselle oikeus antaa määräykset paitsi tietolupahakemuksen ja tiedonhyödyntämissuunnitelman, myös tietopyynnön tietosisällöistä ja tietorakenteista. 51 Pykälä koskee Tietoaineistojen käsittelyä ja luovutusta luvansaajalle tietoluvan myöntämisen jälkeen. Pykälää ehdotetaan muutettavaksi merkittävästi niiden periaatteiden mukaisesti, joiden avulla edellä on esitetty parannettavaksi anonyymisoitujen tietoaineistojen muodostamisessa käytettyjen henkilötietojen suojaa. Pykälän otsikkoon on lisätty sana käsittely. Pykälän 1 momenttia on muutettu ja siihen on lisätty uusi 2 momentti, joka koskee rekisterinpitäjän itsensä myöntämän tietoluvan nojalla luovutettavien tietojen käsittelyä. Uudessa 3 momentissa korostetaan, että luovutettavat tietoaineistot, myös anonymisoidut tietoaineistot, luovutetaan käsiteltäväksi tietoturvallisessa käyttöympäristössä. 51 :n 1 momentin mukaan Tietolupaviranomainen kokoaa ja tarvittaessa esikäsittelee ja yhdistelee myöntämässään tietoluvassa yksilöidyt tiedot, ja luovuttaa tuottamansa tietoaineiston luvansaajan käsiteltäväksi 3 momentin mukaisesti siten, kuin edellä on kuvattu. Vastaavasti 2 momentissa säädetään, että jos 44 :n 3 momentissa tarkoitettu yksittäinen viranomainen on rekisterinpitäjänä tehnyt omiin rekistereihinsä sisältyviä tietoja koskevan tietolupapäätöksen, se kokoaa omista rekistereistään tiedot, tarvittaessa esikäsittelee ja yhdistelee ne, sekä luovuttaa tietoaineiston luvansaajan käsiteltäväksi 3 momentin mukaisesti. Jos kuitenkin tietoaineisto luovutetaan luvansaajalle anonymisoituna, rekisterinpitäjän on 2 momentin mukaan toimitettava luvan mukaiset tiedot Tietolupaviranomaiselle sen tarvittaessa esikäsiteltäväksi, yhdisteltäväksi ja anonymisoitavaksi. 2 momentin mukaan Tietolupaviranomainen vastaa aina käsiteltäviksi luovutettavien tietojen anonymisoinnista ja niiden luovuttamisesta luvansaajan käyttöön. Perusteet tälle on jo edellä esitetty: Näin varmistetaan, että anonymisointia tekevälle kertyy tieto siitä, mitä muita anonymisoituja tietoaineistoja samoista tiedoista on muodostettu. Tällöin myös eri tietoaineistojen anonymisointi voidaan toteuttaa samoilla tavoin. Ja tällöin luvan myöntäjän on mahdollista arvioida, onko anonymisoidun tietoaineiston käsittelylle asetettava henkilötietojen suojaamiseksi liaärajoituksia, kuten esimerkiksi rajoittaa aineistoon tehtävien kyselyiden määrää. Olennaista on, että säännös toisi tarvittaessa mahdollisuuden kontrolloida myös anonyymien tietoaineistojen käsittelyä arkaluonteisten henkilötietojen turvaamiseksi. Pykälän 3 momentin mukaan tietolupaan perustuva tietoaineisto luovutetaan luvansaajan käsiteltäväksi aina 20 :ssä tarkoitettuun tietoturvalliseen käyttöympäristöön 17 :ssä tarkoitetun tietoturvallisen käyttöpalvelun välityksellä. Poikkeuksena on tilanne, jossa tiedot annetaan aggrekoituna tilastoaineistona. Tällöin lähdeaineistoon sisältyvien henkilötietojen suoja ei vaarannu, vaikka tulos luovutetaan saajan vapaasti käytettäväksi ja edelleen luovutettavaksi tai julkaistavaksi. 3 momentin mukaan 1 ja 2 momentissa tarkoitettu tietoaineisto luovutetaan ensisijaisesti käsiteltäväksi 20 :n 1 momentissa tarkoitetussa, Tietolupaviranomaisen ylläpitämässä tietoturvallisessa käyttöympäristössä 17 :ssä tarkoitetun tietoturvallisen käyttöpalvelun välityksellä. Rekisterinpitäjillä ei ole velvollisuutta ylläpitää tietoturvallista käyttöympäristöä tai käyttöpalvelua tässä tarkoituksessa. Jos tiedonhyödyntämissuunnitelmasta ja tietoluvasta kuitenkin ilmenee tärkeä syy, voidaan tietoaineisto luovuttaa käsiteltäväksi vastaavasti 20 :n 3 momentissa tarkoitetussa muussa tietoturvallisessa käyttöympäristössä.

7 Tilastoviranomaisten tilastotarkoituksessa kokoamien tietojen käsittelyä koskee erityissääntely. Sitä koskeva 4 momentti vastaa sisällöltään hallituksen esityksen 2 momenttia. Säännöksen sanamuotoa on kuitenkin muutettu luettavampaan muotoon. Uusi 5 momentti on identtinen HE:n 3 momentin kanssa. 51a Uusi vastineen valmistelun yhteydessä lisätty pykälä koskee sitä, miten tietoluvan nojalla luovutetuista tiedoista johdettuja tuloksia saa julkaista. Säännöksellä ehdotetaan tietosuojasyistä muutettavaksi merkittävästi julkaisuprosessia. Edellä on todettu, että tietojen anonymisointi ja henkilötietojen suojan vaatimukset täyttävän aggregaattitasoisen tilaston laatiminen edellyttää erityisiä taitoja, joita ehdotetuin säädöksen muutoksin pyritään turvaamaan erityisesti Tietolupaviranomaiselle. Siksi ministeriö esittää, että tietoluvan nojalla tuotettujen tulosten julkaisemiselle luodaan erillinen julkaisulupaprosessi. Tätä esitettiin sekä eduskunnan hankkimissa asiantutijalausunnoissa että niiden pohjalta ministeriön järjestämissä tietoturva-asiantuntijoiden kokouksissa. Ehdotetun uuden pykälän 1 momentin mukaan Sosiaali- ja terveysalan tietolupaviranomaiselta on saatava julkaisulupa, jos tietoluvan nojalla on luovutettu tietoja käsiteltäväksi 20 :ssä tarkoitetussa tietoturvallisessa käyttöympäristössä, ja luvansaaja haluaa julkaista niiden pohjalta tuotettuja tuloksia. 2 momentin mukaan Tietolupaviranomainen vastaa myös julkaistavien tietojen anonymisoinnista ja toimittaa julkaistavissa olevat tiedot luvansaajalle, ellei tietoluvassa ole toisin määrätty.