Samuli Saarni johtajaylilääkäri Varsinais-Suomen sairaanhoitopiiri

Sosiaali- ja terveysministeriö PL 33 00023 VALTIONEUVOSTO kirjaamo@stm.fi Dnro 550/2016 1 (8) Viite: LAUSUNTOPYYNTÖ STM011:00/2015 Varsinais-Suomen sairaanhoitopiirin lausunto luonnoksesta Hallituksen esitykseksi laiksi sosiaali- ja terveystietojen tietoturvallisesta hyödyntämisestä sekä eräiksi siihen liittyviksi laeiksi Varsinais-Suomen sairaanhoitopiiri toteaa lainsäädännön, jota koskeva luonnos hallituksen esitykseksi on lausuttavana, olevan tärkeä saada voimaan ja luovan edellytyksiä tiedon toissijaiselle käytölle nykyistä kustannustehokkaammin. Luonnoksessa on kuitenkin kohtia, joita toivomme vielä kehitettävän ennen sen vientiä jatkokäsittelyyn. Asiantuntijoidemme huomiot on koottu ohjeistuksen kysymyksiin kohdennettuna oheisessa liitteessä. Turussa 30.9.2016 Samuli Saarni johtajaylilääkäri Varsinais-Suomen sairaanhoitopiiri

2 (8) Liite Varsinais-Suomen sairaanhoitopiirin asiantuntijoiden yksityiskohtaiset huomiot luonnoksesta Hallituksen esitykseksi laiksi sosiaali- ja terveystietojen tietoturvallisesta hyödyntämisestä sekä eräiksi siihen liittyviksi laeiksi [1. Mitä kansalliseen tai kansainväliseen lainsäädäntöön liittyviä ongelmia katsotte liittyvän ehdotettuihin lakeihin ja miten ne käsityksenne mukaan voitaisiin ratkaista ehdotetun hallituksen esitysluonnoksen tavoitteet turvaten?] Lakiehdotus koskee vain toissijaista käyttöä ja ensisijaisesta säädetään muualla. Ehkä tästä johtuen muutama ensi- ja toissijaisen käytön rajoilla oleva tiedon olennainen käyttötarve jäisi ilman lain suojaa: tiedon käsittely personalized medicine tarpeisiin, asiakkaan ja ammattihenkilön palveluohjauksen tietotarpeet sekä ammattihenkilön itseohjautuva oppiminen. - Tämän lakiesityksen perusteella henkilötiedoksi luettavia aineistoja ei ilmeisesti voisi käsitellä ns. personalized medicine tarkoituksiin edes tässä laissa tarkoitetun lupaviranomaisen luvalla, koska tämä käyttötarkoitus ei sisälly ehdotukseen. Kyse on yhden yksilön hoidon takia tehtävästä laajasta hausta ns. referenssihenkilöiden tiedoista, jotta saadaan tietoa targetyksilön hoidon valintojen tueksi. Target-yksilön tilanteessa kyse on tietojen ensisijaisesta hyödyntämisestä, mutta näiden referenssihenkilöiden tietojen kannalta toissijaisesta käytöstä. Vaikka tieto annetaan target-yksilön hoidon käyttöön aggregoituna tietona, on tietojen kerääjällä ja aggregoijalla oltava oikeus käsitellä henkilötietoja. - Palveluohjaus-/asiakkuuden hallinnassa tarvitaan tietoja kansalaisen tai ammattihenkilön ohjaukseen. Tässä laissa on rajattu hyödyntäminen johtamiseen. Vaikka potilasrekisterin käyttötarkoituksessa olisi mukana potilaan/asiakkaan ohjaus, tulisi haasteita siitä, että ammattihenkilön yksilöohjauksessa pitäisi rekisterinpitäjäkohtaisesti aina joka tilanteessa tutkia, onko tarvittavaan tietoon (esim. monen toimijan, joista yhden henkilö on kieltänyt, suunnitelmasta koostettu suunnitelma) käyttöoikeus (suostumus + ja ei kieltoja per rekisterinpitäjä) taikka olisiko kyseessä jonkin muu laki, jonka perusteella ohjaustiedon saantiin on lainmukainen oikeus. Seurauksena olisi melko raskas tietotekninen ja myös käyttäjältä kannanottoja joissain tapauksessa vaativa toteutus. Viittaamme tässä myös TSV päätökseen Dnro 1044/41/2012 05.04.2013-6 Kannanotto opetuskäyttöön. Olisi hyvä selventää, missä vaiheessa hoitamiseen liittyvä oppiminen (velvollisuus seurata omien hoitoratkaisujen seuraamuksia) muuttuu tässä laissa tarkoitetuksi oppimiseksi. Luvussa Nykytila, ei ole mainittu julkisuuslakia. Se on erikoista, kun julkisuuslakiin on viitattu Lain yksityiskohtaisissa perusteluissa useissa kohdissa, mm. 1 :n 3. ja 9.kappaleessa. 4 Asiakastietojen ja muiden rekisteritietojen hyödyntämisen yleiset perusteet ja edellytykset todetaan, ettei julkisuuslain 28 tarvitse enää soveltaa sosiaali- ja terveydenhuollon asiakasrekistereistä tai muista henkilötietoja sisältävistä rekistereistä. Missään kohtaa perusteluissa ei ole viitattu asiaan, jonka on sanottu olevan yksi merkittävin nykyesteistä saada hoidossaan olleiden potilaiden kuolinsyytietoa tai potilaan lääketietoja toimintayksikön oman laatumittareiden tietoaineistoihin taikka biopankkitutkimukseen. Esteenä on pidetty 28 ilmaisua tutkimukseen, jonka on tulkittu tarkoittavan yhtä tiettyä yksilöityä tutkimusta, eikä esim. biopankkitutkimuskäsitettä taikka kattavan viranomaisen systeemilaadun seurantatarkoitusta. On tuotu esiin, että säännöksen vakiintunutta tulkintaa ei voida muuttaa muuttamatta säännöksen sanamuotoa. Kumoaako tämän lakiesityksen 4 aiemman laintulkinnan vai tarkoittaako tämä, että hoidontuottajan pitää toteuttaa oman laatunsa seuranta edelleen ikään kuin tutkimushankkeina ja tehdä toistuvia lupapyyntöjä? Määritelmissä ja perusteluissa on viitattu julkisuuslain 28 :n mukaiseen käyttölupaan. Julkisuuslaissa ei kuitenkaan säädetä käyttöluvasta vaan viranomaisen mahdollisuudesta myöntää lupia salassa pidettävän tiedon saamiseen. 28 :n mukainen lupa ei perusta oikeutta käsitellä henkilötietoja,

3 (8) vaan tämä oikeus on luvanhakijalla oltava muulla perusteella esimerkkinä käyttö tieteelliseen tutkimukseen henkilötietolain 14 :n edellytyksin. Viranomaisen tulee lupaa harkitessaan selvittää, että hakijalla on tämä oikeus (HE 30/1998: Viranomaisen on tietojen luovutusta harkitessaan otettava huomioon myös muu lainsäädäntö. Viranomaisen on siten erityisesti varmistettava, ettei tietojen antaminen johda henkilörekisterilain vastaiseen rekisterinpitoon tai tietojen käyttöön. ) Tästä on käytännössä syntynyt epätietoisuutta sekä viranomaisten että tutkijoiden keskuudessa. Lupa on tosiaan mielletty luvaksi käyttää tietoja. Julkisuuslakia tulisikin nyt selkiyttää niin, että 28 :n nojalla viranomainen voi myöntää paitsi oikeuden saada salassapidettäviä tietoja, myös oikeuden käsitellä henkilötietoja, jolloin nimenomainen lain säännös ja viranomaislupa toimivat laillisena käsittelyperusteena. Julkisuuslakia säädettäessä hylättiin vaihtoehto, jossa tietosuojalautakunta olisi toiminut lupaviranomaisena eräissä tapauksissa, mutta toisaalta ei annettu rekisteriviranomaisille valtuuksia myöntää lupia henkilötietojen käsittelyyn. Näin luotiin monen luukun järjestelmä, jossa tietojen hakija voi joutua hakemaan tietosuojalautakunnalta luvan henkilötietojen tallettamiseen ja muuhun käsittelyyn ja vasta sen jälkeen rekisteriviranomaisten luvat salassa pidettävien (henkilö)tietojen saamiseen. Tämä kompleksisuus tulisi nyt purkaa myös niissä tapauksissa, joissa rekistereitä pyydetään vain yhdeltä viranomaiselta, eikä lupaa haeta Lupaviranomaiselta. Yleisestikin tulisi käyttää tilaisuutta hyväksi ja säätää paremmista mahdollisuuksista käyttää tietoja myös silloin, kun tarvitaan vain yhden rekisterinpitäjän tietoja. Toisaalta olisi myös hyvä säilyttää rinnakkainen hajautettu päätöksenteko ainakin tietyillä alueilla, esimerkiksi potilasasiakirjatietojen luovuttaminen tutkimukseen potilaslain nykyisen 13 :n mukaisesti (erillisluvat eri rekisterinpitäjiltä tai vaihtoehtoisesti yhteislupa THL:ltä). Lakiesitys ei nykyisellään ratkaisse kansallisia ja kansainvälisiä repository tyyppisiin rekistereihin liittyviä haasteita, jotka kuitenkin tulisi ratkaista. Asia liittyy myös open data haasteisiin, joista alempana. Suomalaisten on välttämätöntä olla mukana esimerkiksi hoidon laatua seuraavissa kansainvälisissä rekistereissä, joissa tieto ei ole pysyvästi anonymisoitua, esimerkiksi tietojen päivitystarpeen tai seurannan vuoksi. Rekisterit voivat toimia ulkomailla, myös EU:n ulkopuolella, niiden ensisijainen tarkoitus on esimerkiksi laatutilastojen tuottaminen ja niistä voidaan tehdä tietoluovutuksia edelleen esimerkiksi tutkimukseen. Rekisterit ovat usein pysyviä, eivät määräaikaisia. Rekisterien ylläpitäjät eivät hae lupia tai valtuuta muita hakemaan, vaan tietoja lähettäviltä edellytetään oikeutta luovuttaa tiedot. Tietosuojalautakunta on katsonut, ettei sillä ole toimivaltaa asiassa. Julkisuuslaki ei anna viranomaiselle oikeutta luovuttaa salassapidettäviä tietoja, jos ne ovat myös henkilötietoja, ellei vastaanottajalla ole muulla perusteella oikeutta käsitellä henkilötietoja. Tässä laissa voitaisiin säätää esimerkiksi, että riittävästi (kansainvälisten standardien yms. mukaan) pseudonymisoituna tietoja voidaan luovuttaa tai julkaista rekisteriviranomaisten päätöksellä. Kaikkien lupapyyntöjen ohjaaminen Lupaviranomaiselle tuskin toimisi käytännössä. Lakiesitys ei nykyisellään ratkaisse Open Data vaatimuksia. Mm. EU, Suomen Akatemia, tieteelliset lehdet ja monet muut tahot vaativat, että tutkimusaineistot avataan muille tutkijoille. Vaatimukset voivat koskea myös esimerkiksi genomitiedon tallentamista keskitettyihin rekistereihin. Tietojen käyttöä rajoittavat kuitenkin henkilötietolaki, julkisuuslain 28, suostumukset sekä muiden viranomaisten lupapäätökset, jos aineistoa on kerätty niiltä. Laissa voitaisiin säätää, että riittävästi (määriteltävä) pseudonymisoituna tietoja voidaan luovuttaa tai julkaista. Edellä mainituissa tapauksissa aito anonymisointi on teknisesti haastavaa, ehkä jopa mahdotonta tekemättä aineistoa käyttökelvottomaksi. Kaikkien lupapyyntöjen ohjaaminen Lupaviranomaiselle tuskin toimisi käytännössä. Ks. esim. BMJ 2013. Open data. http://www.bmj.com/open-data; Boulton, G., M. Rawlins, P. Vallance, and M. Walport. 2011. Science as a public enterprise: The case for open data. Lancet 377(9778):1633-1635; Doshi, P., S. N. Goodman, and J. P. A. Ioannidis. 2013. Raw data from clinical trials: Within reach? Trends in Pharmacological Sciences 34(12):645-647; Drazen, J. M. 2014. Open data. New England Journal of Medicine 370(7):662. 25 :ssä säädettäisiin tutkijan velvollisuudesta ilmoittaa kliinisesti merkittävistä löydöksistä ja toisaalta terveydenhuollon organisaation velvollisuuksista reagoida sille toimitettuihin tietoihin. Tässä on hyvä ajatus taustalla, mutta pykälä on erittäin ongelmallinen eettiseltä, oikeudelliselta ja käytännön kannalta ja se voitaisiin poistaa tai korvata esim. Lupaviranomaisen mahdollisuudella harkintansa mukaan edellyttää tietyn tyyppisten tulosten palauttamista sellaisissa tutkimuksissa, joissa

4 (8) tutkimussuunnitelman perusteella voidaan odottaa syntyvän kliinisesti merkittäviä tuloksia ja joissa niiden tunnistamista ja palauttamista voidaan kohtuudella edellyttää tutkijoilta. Tietojen tullee kulkea Lupaviranomaisen kautta, jo tunnistamisen mahdollistamiseksi. Haasteita ovat esimerkiksi: o suurin osa tutkimuksista tehtäneen tunnisteettomalla tiedolla, jolloin tulokset pitäisi toimittaa Lupaviranomaiselle, joka tekee ne tunnistettaviksi, sitten tarkistaa, onko potilas elossa, etsiä potilaan nykyiset osoite- tai asiakkuustiedot oikean terveydenhuollon yksikön tunnistamiseksi (ehkä haastava tehtävä valinnanvapauden maailmassa), saada se oikean asiantuntijan tietoon ko. organisaatiossa jne. o ei ole selvää, mihin terveydenhuollon yksikköön tiedot pitäisi palauttaa, eikä henkilö välttämättä ole sillä hetkellä potilassuhteessa minnekään o rekisteritutkimuksissa erittäin harvoin syntyy tietoa, jota voitaisiin hyödyntää hoidossa, eikä tutkija yleensä tällaista tietoa etsi eikä pyri tunnistamaan vastuu tietojen raportoinnista tarkoittanee, että tutkijoiden tulee alkaa seuloa tuloksiaan ja heillä tulee olla asiantuntijoita tunnistamaan kliinisesti merkittävät asiat o tutkija ei välttämättä ole lääkäri tai vaaditun erikoisalan asiantuntija, eikä osaa arvioida, mihin tulisi kiinnittää huomiota, mikä tieto on merkittävä tai mihin voitaisiin esim. hoidossa reagoida o ei ole selvää, mikä on kliinisesti merkittävä löydös asiantuntijatkin kiistelevät asiasta - jos velvollisuuksia säädetään, pitäisi olla selvää, mitä tietoja ne koskevat o sekä tutkijat että terveydenhuollon yksiköt ja niiden työntekijät altistuvat aivan uudentyyppisille korvausvaatimuksille, jos tietoa ei ole tunnistettu, sitä ei ole kommunikoitu oikein, se on väärää, jne. o tutkimuksia ei tehdä vastaavin menetelmin, kuin diagnooseja ja tietojen sekaantumisen ja väärien tulosten mahdollisuus on merkittävästi suurempi ja niiden luotettavuus siis lähtökohtaisesti huono, tulokset tulisi aina varmentaa asianmukaisin menetelmin (kuka tekee, kuka maksaa?) o hoidossa saavutetut hyödyt jäävät helposti pieniksi verrattuna menettelyn aiheuttamaan lisääntyneeseen hallinnointiin (sekä tutkijoilla, Lupaviranomaisella että terveydenhuollon yksiköillä), riskeihin ja kustannuksiin o myös potilaalle ajateltu mahdollisuus kategorisesti kieltää yhteydenotot on ongelmallinen jos jotain hoidon kannalta merkittävää haluttaisiin kertoa, olisi asianmukaista kussakin yksittäisessä tilanteessa selittää potilaalle, millaisesta tiedosta on kysymys, mikä sen merkitys on ja mitä vaihtoehtoja hänellä sen perusteella olisi, jos hän ottaa tiedon vastaan, jotta hän voi tehdä informoidun päätöksen asiassa vrt. peilikuvana vaatimukset, joita asetetaan tietoiselle (siis informoidulle) suostumukselle o haasteita aiheutuu myös siitä, että jos kliinisesti merkittävä tieto on määritelty, tunnistettu, varmennettu jne. tieto ei välttämättä koske vain yksittäistä potilasta vaan esimerkiksi koko sukua. 22 :ssä säädettäisiin, että jos käyttölupahakemus liittyy sellaiseen tutkimukseen, jonka lupamenettelystä ja luvan myöntämisen perusteista säädetään erikseen, on sanotun luvan kaikkien edellytysten täytyttävä. Tämä tarkoittanee myös esimerkiksi biopankkilaissa määriteltyä menettelyä, jossa vaaditaan biopankin päätös ja sopimus tietojen luovuttamisesta? Biopankkilailla luotiin näytteiden ja tietojen tutkimuskäyttöön luottamusta turvaava ja itsemääräämisoikeutta korostava kokonaisuus, jossa biopankki toimii luotettuna välittäjänä, jonka menettelyt, tutkimustulokset yms. ovat valvottuja ja läpinäkyviä, näytteenantajilla on laajat tiedonsaantioikeudet jne. Tätä mallia ei tule rikkoa. [2. Olisiko ehdotetuilla lailla vaikutuksia organisaationne tai sen edustamiin henkilöihin?]

5 (8) Ehdotuksella olisi sekä toiminnallisia että taloudellisia seuraamuksia. Tiedon tuotto yhdelle ainoalle eri aineistojen yhdistäjätaholle edellyttää huomattavaa kyvykkyyden nostoa lähellä hoidon tuotantoa. Resursseja tarvitaan yhteentoimivien tiedonkäsittelynprosessien jalkauttamiseen, tiedon esituotannon toteuttamiseen, kansallisten mittaritietojen jalostamiseen (jos viranomainen sitä edellyttää) sekä merkittävästi teknologian ja tiedonsiirron toteutukseen ja ylläpitoon. Vaikka tietoa yhdistetään ja jalostetaan keskitetysti, palveluoperaattorin toimesta, sekä hoidon tuottaja, maakunta että ytatason hoitoketjut tarvitsevat mahdollisuuden yhdistää itse aineistoja omaan ensisijaiseen ja palveluohjauksen käyttötarkoitukseen sekä ajantasaista tietoa tarvitseviin toissijaisiin käyttötarkoituksiin. Onko 2 15 kohdan määritelmässä tietoturvasta tarkoitus muuttaa terveydenhuollossa noudatettuja käsitteitä tietoturva ja tietosuoja aiemminhan tietosuoja oli terveydenhuollossa tietoturvaan sisältyvä käsite esim. STM oppaan tietoturvasuunnitelman mukaisesti. Jos näin on, seurauksena on tarve muokata monia tietoturvaan liittyviä dokumentteja sinänsä käsitteiden yhtenäisyys muun julkisen sektorin kanssa on hyvä asia. [3. Mitä mahdollisia vaikutuksia - hyötyjä tai ongelmia - arvioitte ehdotukseen sisältyvillä säännöksillä olevan kansalaisten - asemaan ja oikeuksiin? - sosiaaliseen hyvinvointiin - terveyteen?] Säädön tällaisenaan jättäisi mahdollistamatta vaikutuksia kansalaisen sosiaaliseen hyvinvointiin tai terveyteen muuten kuin epäsuorasti, tutkimustoiminnan ja innovaatioiden kautta. Johtamisen tehostuminen ei riitä, jos palveluohjauksen ja personoidun hoitoratkaisun tietotarpeisiin ei saada uusia edellytyksiä. 1 :n mukaan laissa säädettävällä toimintamallilla pyritään erityisesti turvaamaan rekisteröidyn luottamuksensuojaa ja yksityiselämän suojaa. Laki kuitenkin merkittävästi laajentaa tietojen käyttömahdollisuuksia ilman, että rekisteröidylle ilmoitetaan tietojenkäsittelystä tai pyydetään suostumusta siihen. Vaikka tavoitteet ovat kannatettavia, tätä voidaan pitää kyseenalaisena yksilön itsemääräämisoikeuden kannalta. Laissa on tietoturvaa koskevia pykäliä, mutta olisi syytä säätää myös menettelyjen läpinäkyvyydestä, sekä rekisteröityjen tiedonsaanti- ja tarvittaessa kielto-oikeuksista. Suostumuksella saatujen tietojen käyttöön tulisi ottaa kantaa esimerkiksi, voidaanko hyödyntää, vaikka suostumusasiakirjassa nimenomaan kiellettäisiin jatkokäyttö? Miten esimerkiksi biopankkien suostumuksella saatujen tietojen hyödyntäminen? Edellä on otettu kantaa myös ehdotettuun 25 :ään, jolla voisi olla vaikutuksia kansalaisten oikeuksiin. 25 :llä ei oletettavasti juuri vaikutettaisi kansalaisten hyvinvointiin tai terveyteen, toisin kuin sillä, että oikeutettaisiin monien potilaiden tietojen käyttö yhden potilaan hoidossa. [4. Miten arvioisitte - ehdotetun keskitetyn käyttölupamenettelyn toimivuutta ja vaikutuksia? - ehdotetun tietoturvallisen käsittely-ympäristön toimivuutta ja vaikutuksia.] Keskitetty käyttölupamenettely on mielestämme iso riski toiminnan jumiutumiselle. Lupaprosessien pitäisi olla kerroksellisia ja hajautettuja, jotta se mahdollistaa joustavan tiedon hyödyntämisen. Luonnoksen perusteella jää epäselväksi, mahdollistaako lupamenettely jatkuvan tiedon siirron luvan saaneelle julkiselle palvelutuottajalle jos näin on tarkoitus, ainakin alkuvaiheen luparuuhka on taattu, jos menettely on keskitetty. Miten lakiluonnos suhtautuu kliinisen tutkimus- ja kehittämistyön kansainvälisiin rekistereihin liittymiseen? Nämä rekisterit ovat usein määräaikaisia, perustuvat yhden palveluntoteuttajan yksittäisten henkilöiden aktiviteettiin eivätkä ota vastaan tietoa suomalaisissa standardeissa. Aggregoitu tieto ei näissä tilanteissa yleensä riitä, kun samasta yksilöstä eri aikoina kootun aineiston yhdistäminen on vastuutettu ko. yhteistyötahoilla. Tietyistä säännöksiin liittyvistä haasteistaan huolimatta, ovat tämänkaltaiset kansainväliset verkostot olleet ja tulevat vielä pitkään olemaan merkittäviä keinoja

6 (8) edistää lääketieteellistä tietämystä. Olisi traagista, jos suomalaiset sulkisivat itsensä näiden verkostojen ulkopuolelle. Kysymyksiä herättää myös TSV rooli jatkossa suhteessa sote:n tietojen toissijaisen käytön arvioinnissa lain perusteluissa asiaa ei käsitelty. Tietoturvaympäristö vaikuttaa asianmukaiselta. On huomattavasti yksinkertaisempaa lähteä siitä, että tietojen käsittely tehdään salassa pidettävien henkilötietojen suojaustasosta kuin lähteä erottelemaan tilanteita, joissa käsitellään varmasti anonyymejä tietoja. [5. Miten lainsäädännön edellyttämä käyttölupahakemusten eettinen arviointi olisi käsityksenne mukaan järjestettävä, jotta toiminta täyttäisi hallintolain edellyttämät vaatimukset mm. käsittelyn joutuisuudesta, esteellisyydestä ja puolueettomuudesta sekä luvanhakijoiden yhdenvertaisesta kohtelusta?] Samoin kuin lupien osalta, myös muualla tehdyn arvioinnin tulisi kelvata lupaviranomaiselle, mikäli arviointi on tehty saman kriteeristön pohjalta. Asiakohdassa ei mitenkään ole viitattu tilanteeseen, jossa kyseessä on biopankkitutkimus ja biopankkiprosessien mukaisesti arvioitu tutkimus. Yksittäisiin biopankkitutkimuksiin tarvitaan usein tietoja ulkopuolisista rekistereistä. Tarvittaisiinko niissäkin erillinen eettinen arviointi? Ehdotamme, että biopankkilain mukainen eettinen käsittely voisi olla vaihtoehto. Emme pysty arvioimaan, estäisikö esitetty laki edelleen muusta rekisteristä tiettyä biopankkitutkimusta varten haetun tiedon tallentamista muun aineiston joukossa biopankkiin? Jos näin on, toivomme tilanteeseen muutosta. [6. Miten pitkä säilytysaika arvokkaille tutkimusaineistoille tulisi säätää?] Tärkeintä olisi, että säilytysajasta säädetään minimi. Lääketutkimuksien 15v olisi kaikkien tutkimusaineistojen yleisaikana kohtuuton. Yksittäisen väitöskirjan aineiston säilytysajaksi riittäisi hyvin 5 vuotta julkaisusta, kunhan säätäminen ei sisällä määräyksiä siitä, mitä erillinen aineisto tarkoittaa, Mitä säädetäänkin, tulee huomioida, aiheuttako se seuraamuksia biopankkeihin, esim. pakkoa ilmaista määräaikaisella metatiedolla, missä tutkimuksessa ko. tietoa on käytetty. Arvokkaiden aineistojen pitkäaikaissäilytys tai helppo uudelleen luominen tulisi mahdollistaa. Aineiston säilytysaikaa ei tulisi kohdistaa pääsääntöisesti aineistoon vaan poimintaan. Kaikissa vakiintuneista tietovarannoista peräisin olevissa aineistoissa riittäisi, että säästettäisiin poimintaalgoritmi tai lokitieto. Jälkimmäisessä viitataan tilanteeseen, jossa on kyse biopankkitutkimuksesta, jossa tutkimuksen tuottamat lisätiedotkin jäävät aineiston luovuttaneeseen biopankkiin. [7. Millaisista lupaehdoista olisi oikeusturvasyistä perusteltua säätää lailla?] Emme tunnista ehdotuksen perusteella, voisiko kuka tahansa yksityinen henkilö saada aggregoitua tietoa tai esim. haun omista tiedoistaan palveluoperaattorilta. Emme löytäneet esityksessä kohtaa, jolla rekisteröidyn tarkastusoikeuden käyttö olisi rajattu pois kysehän on muustakin kuin tutkimustai tilastokäytöstä. Esim. yksityinen henkilö hakisi aggregoitua tietoa valinnanvapautensa tueksi tai harvinaisen sairauden ennustetta tutkiakseen. Tällaisten kyselyiden tuoma rasitus (myös mahdollinen tarve saada selityksiä aineistoon) palvelurajapintaan tulisi tunnistaa tai rajata tällainen henkilökohtainen käyttö jotain muuta kautta toteutettavaksi. [8. Mitä käyttölupaehtoja käyttölupaviranomaisen tulisi tapauskohtaisesti asettaa?] Käyttölupaehtona ei saa säätää kieltoa yhdistää aineistoja, jos aineistot sisältävät henkilötunnisteen. Ajantasaisen tiedon toisiokäyttö palveluohjaukseen, tilannekuviin, laadun jatkuvaan seurantaa ja johtamiseen edellyttävät alueellista ja organisaatiokohtaista yhdistämismahdollisuutta.

7 (8) [9. Miten käyttöluvan ehtojen valvonta voitaisiin käsityksenne mukaan toteuttaa ottaen huomioon ehdotetut henkilötietojen tietoturvallisen käsittelyn edellytyksiä koskevat säännökset?] Valvontaa ei käytännössä voitaisi toteuttaa ennakoivasti. Valvontatarkastuksien sijasta voisi säätää oikeushenkilöitä koskevasta raportointivelvollisuudesta, mutta vaatimuksen sisältö tulisi tarkkaan miettiä yhdessä toimijoiden kanssa ei lainsäädännön tasolla. Väärinkäytöksien sanktiot tulisi olla säädetty valmiiksi, mikäli syystä tai toisesta käy ilmi käyttöluvan vastaista toimintaa olipa toimija yksittäinen kansalainen tai organisaatio. [10. Minkä tahon tehtäväksi käyttöluvan ehtojen valvonta tulisi uskoa, jottei siitä aiheutuisi kohtuutonta hallinnollista taakkaa ja kustannuksia? - Millaisista sanktioista lupaehtojen rikkomistilanteissa olisi perusteltua säätää ja kuka ne määräisi? (Voimassa olevien viranomaisten toiminnan julkisuudesta annetun lain ( / ) 28 :n, sekä potilaan asemasta ja oikeuksista annetun lain ( / ) 13 :n 5 momentin sekä sosiaalihuollon asiakkaan asemasta ja oikeuksista annetun lain 18 :n 5 momentin mukaan käyttölupa voidaan peruuttaa, jos siihen katsotaan olevan syytä.) Valvonta tulisi toteuttaa raportointikyvykkyyden vaatimisena, kunhan raportti koostuu tiedoista, joista alueellinen toimija joka tapauksessa haluaa ja joutuu pitämään lokia/kirjaa. Se, kenellä on oikeus pyytää raportteja joko epäilyn takia vireille pannun selvityksen takia tai jollain muulla tarkastussyklillä ei ole niin keskeistä raportoijan kannalta. Käyttöluvan peruutus on hyvä uhka viranomaistyyppisille toimijoille, mutta lisäksi sanktioiden tulisi koskea kaikkia mahdollisia tiedon hyödyntäjiä. Mainittujen lakien perusteella ei päästäne kiinni aggregoidun tiedon luvan vastaiseen käyttöön esim. lian vähäiselle ymmärryksellä levitettyyn sairauden riskien tai ennusteen taikka jonkun palveluntoteuttajan maineen aiheetta likaavien tietojen levittämiseen. [11. Mitä asioita olisi otattava huomioon, kun määritetään maksuja - lupapäätöksestä? lakiin perustuvasta lupaan liittyvästä eettisestä arvioinnista? - lupaan perustuvien tietojen luovuttamisesta?] Tieteellisen tutkimuksen lupapäätöksestä ja arvioinnista, tiedon tuottajan omassa toiminnassaan ja kehittämisessä tarvitsemien aineistojen lupapäätöksestä ja eettisestä arvioinnista ei tule määritellä maksua. Tieteellisen tutkimuksen tietojen luovuttamisesta voisi periä kustannukset nimenomaan ko. aineiston neuvonnan, haun ja luovuttamisen työstä (ei vyörytyksiä operaattorin perustamis- ja ylläpitokustannuksista). Neuvonta voi olla erittäin haastavaa, ja maksu toimisi insentiivinä huolehtia tutkimustoiminnan alueellisista toimintakulttuurista ja ohjaustoiminnasta, sen sijaan, että tutkijat pyytäisivät kaikki neuvot yhteiseltä operaattorilta. Tahon, joka tuottaa aineistoja operaattorin käyttöön ja joka tarvitsee niitä omassa toiminnassaan, ei pitäisi joutua maksamaan työperusteista maksua, jos taho on itse määritellyt tarvittavan datan ja niiden yhdistämistarpeen. Aineiston alkuperäisen tuottajalle tulee korvata aineiston luovutuksista, mikäli hyödyntäjä on kaupallinen taho. Lisäksi aineiston tuottajalle tulisi korvata kustannukset työstä, jota sille koituu palveluoperaattorin kautta luovuttamisesta esim. siksi, että uusi tietotarve aiheuttaa tarpeen kehittää esituotantoa. [12. Miten esittäisitte toteutettavaksi käyttölupaan perustuvien tutkimusaineistojen säilyttämisen ja niiden arvon määrittämisen niin, että - tutkimusaineisto, siinä käytetyt menetelmät ja niiden pohjalta saadut tutkimustulokset voidaan jälkikäteen verifioida? - arvokkaiksi arvioidut tutkimusaineistot voitaisiin hyödyntää pohjana jatkotutkimuksille ottaen huomioon, että koodiavainten säilytyspalvelu takaisi sinällään mahdollisuuden tuottaa henkilötietoihin pohjautuvan perusaineiston uuden tutkimuksen pohjaksi koko aineistoa säilyttämättäkin?]

8 (8) Tutkimusaineistojen säilyttämisen tarvetta ei käsittääksemme ole ulkopuolella sen, että biopankkitutkimuksien aineistoista tutkitut lisätiedot tulee edelleen antaa biopankkiin korkona. Muissa aineistossa, joiden lähdetiedot ovat eri rekistereissä, riittää aineistojen poimintasäännöstöjen tallentaminen 5 15 v. [13. Minkä tahon/tahojen tehtäväksi tulisi uskoa - henkilötietoja sisältävien tutkimusaineistojen säilytys? - säilytysarvon määrittäminen?] Soten rekisterinpitäjien vastuulle näiden omien aineistojen osalta ja opetusministeriön vastuulle tieteellisen tutkimuksen osalta.