Laki sosiaali- ja terveystietojen toissijaisesta käytöstä (552 / 2019, muutoksineen)

Tämän lain tavoitteena on mahdollistaa sosiaali- ja terveystietojen tehokas ja tietoturvallinen käsittely toissijaisissa käyttötarkoituksissa. Lain tavoitteena on lisäksi turvata yksilön luottamuksensuoja sekä oikeudet ja vapaudet henkilötietoja käsiteltäessä.

Tässä laissa annetaan luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta annettua Euroopan parlamentin ja neuvoston asetusta (EU) 2016/679 (yleinen tietosuoja-asetus), jäljempänä tietosuoja-asetus , täydentävät säännökset, kun 2 momentissa tarkoitettuja tietoja käsitellään mainitussa momentissa tarkoitettuihin käyttötarkoituksiin.

Tätä lakia sovelletaan 6 §:ssä tarkoitettujen organisaatioiden sekä yksityisten sosiaali- tai terveydenhuollon palvelunjärjestäjien sosiaali- ja terveydenhuollon toiminnassa sekä sosiaali- ja terveysalan ohjaus-, valvonta-, tutkimus- ja tilastotarkoituksessa tallennettujen henkilötietojen käsittelyyn ja niiden yhdistämiseen Kansaneläkelaitoksen, Tilastokeskuksen, Eläketurvakeskuksen ja Digi- ja väestötietoviraston henkilötietoihin 6, 7 ja 7 a §:ssä säädetyin rajauksin, kun kyseisiä tietoja käsitellään seuraaviin käyttötarkoituksiin, vaikka niitä ei olisi alun perin tallennettu mainitussa tarkoituksessa:

Luovutusperusteista sekä vastaanottajan oikeudesta käsitellä luovutettuja henkilötietoja 2 momentissa tarkoitettuihin käyttötarkoituksiin säädetään 4 ja 5 luvussa.

Tätä lakia ei sovelleta kliinisestä lääketutkimuksesta annetun lain (983/2021) , jäljempänä lääketutkimuslaki , 1 §:ssä tarkoitetussa kliinisessä lääketutkimuksessa, lääkinnällisistä laitteista annetun lain (719/2021) 3 luvussa tarkoitetussa lääkinnällisen laitteen kliinisessä tutkimuksessa tai in vitro -diagnostiikkaan tarkoitetun laitteen suorituskykytutkimuksessa ja lääketieteellisestä tutkimuksesta annetun lain (488/1999) , jäljempänä tutkimuslaki , 2 §:n 1 kohdassa tarkoitetussa lääketieteellisessä tutkimuksessa tapahtuvaan henkilötietojen käsittelyyn, jos tutkittava tai hänen laillinen edustajansa on antanut suostumuksensa osallistua tutkimukseen noudattaen, mitä ihmisille tarkoitettujen lääkkeiden kliinisistä lääketutkimuksista ja direktiivin 2001/20/EY kumoamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) N:o 536/2014 ja lääketutkimuslaissa, lääkinnällisistä laitteista, direktiivin 2001/83/EY, asetuksen (EY) N:o 178/2002 ja asetuksen (EY) N:o 1223/2009 muuttamisesta sekä neuvoston direktiivien 90/385/ETY ja 93/42/ETY kumoamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) 2017/745, in vitro -diagnostiikkaan tarkoitetuista lääkinnällisistä laitteista sekä direktiivin 98/79/EY ja komission päätöksen 2010/227/EU kumoamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) 2017/746 ja lääkinnällisistä laitteista annetussa laissa taikka tutkimuslaissa säädetään suostumuksen antamisesta tai jos mainituissa säädöksissä säädetyt hätätilanteessa suoritettavan tutkimuksen suorittamisen edellytykset täyttyvät.

Tässä laissa tarkoitetaan:

Tässä laissa tarkoitettu Sosiaali- ja terveysalan tietolupaviranomainen (Tietolupaviranomainen) toimii Terveyden ja hyvinvoinnin laitoksen yhteydessä. Tietolupaviranomaiselle säädetyistä tehtävistä vastaa laitoksessa itsenäinen yksikkö, joka on eriytetty Terveyden ja hyvinvoinnin laitoksesta annetun lain (668/2008) 2 §:ssä säädetyistä tehtävistä.

Tietolupaviranomainen toimii sosiaali- ja terveysministeriön tulosohjauksessa, ja sillä on erillinen sosiaali- ja terveysministeriön nimittämä johtaja sekä ministeriön asettama ohjausryhmä.

Tietolupaviranomainen käsittelee tietolupia ja tietopyyntöjä sekä vastaa tietoluvassa tai tietopyynnössä tarkoitettujen tietojen kokoamisesta, yhdistelystä, esikäsittelystä ja luovuttamisesta toissijaiseen käyttöön. (5.12.2025/1159)

Tietolupaviranomainen ylläpitää asiointipalvelua tietopyyntöjen ja tietolupahakemusten välittämiseksi ja käsittelemiseksi sekä tietoturvallista siirtopalvelua henkilötietojen vastaanottamiseksi ja luovuttamiseksi. Lisäksi Tietolupaviranomainen järjestää tietoturvallista käyttöympäristöä koskevan palvelun, jossa luvansaajan on mahdollista käsitellä tietoluvan perusteella saamiaan henkilötietoja. (5.12.2025/1159)

Tietolupaviranomainen valvoo myöntämänsä luvan ehtojen noudattamista. Se saa peruttaa tietoluvan, jos luvansaaja ei noudata lakia tai rikkoo luvan ehtoja.

Tietolupaviranomainen voi tuottaa anonymisoidut tulokset ja varmistaa tuotettujen tulosten anonymisoinnin. Tulosten anonymisoinnista säädetään 52 §:ssä. (5.12.2025/1159)

Organisaatiot, joiden henkilötietoja voidaan käsitellä tämän lain nojalla 2 §:n mukaisiin käyttötarkoituksiin, ovat: (5.12.2025/1159)

Jos tietolupahakemus koskee sosiaali- ja terveydenhuollon asiakastietojen käsittelystä annetussa laissa (703/2023) , jäljempänä asiakastietolaki , tarkoitettuihin valtakunnallisiin tietojärjestelmäpalveluihin ( Kanta-palvelut ) tallennettuja tietoja tai yhden tai usean yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoja, hakemus toimitetaan Tietolupaviranomaiselle, joka tekee tietolupaa koskevan päätöksen.

Hakija voi toimittaa tietolupahakemuksen, joka koskee useamman kuin yhden 6 §:ssä tarkoitetun organisaation tietoaineistoja, joko Tietolupaviranomaiselle tai jokaiselle hakemuksen kohteena olevalle organisaatiolle erikseen.

Jos hakija toimittaa tietolupahakemuksen Tietolupaviranomaiselle, se tekee tietolupaa koskevan päätöksen kaikkien hakemuksen kohteena olevien rekisterinpitäjien tietoaineistojen osalta. Jos hakija toimittaa hakemuksen jokaiselle hakemuksen kohteena olevalle organisaatiolle erikseen, jokainen organisaatio tekee tietolupaa koskevan päätöksen omien tietoaineistojensa osalta.

Jos tietolupahakemus koskee vain yhden 6 §:n 1–8 kohdassa tarkoitetun organisaation tietoja, hakemus toimitetaan kyseiselle organisaatiolle, joka tekee tietolupaa koskevan päätöksen.

Tietolupapäätöksestä vastaava organisaatio voi pyytää tietosuojavaltuutetulta lausuntoa tietolupahakemuksesta, jos arvioi sen tarpeelliseksi.

Jos tietopyyntö koskee Kanta-palveluihin tallennettuja tietoja tai yhden tai usean yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoja, tietopyyntö toimitetaan Tietolupaviranomaiselle, joka tekee tietopyyntöä koskevan päätöksen.

Hakija voi toimittaa tietopyynnön, joka koskee useamman kuin yhden 6 §:ssä tarkoitetun organisaation tietoaineistoja, joko Tietolupaviranomaiselle tai jokaiselle pyynnön kohteena olevalle organisaatiolle erikseen.

Jos hakija toimittaa tietopyynnön Tietolupaviranomaiselle, se tekee tietopyyntöä koskevan päätöksen kaikkien tietopyynnön kohteena olevien rekisterinpitäjien tietoaineistojen osalta. Jos hakija toimittaa tietopyynnön jokaiselle tietopyynnön kohteena olevalle organisaatiolle erikseen, jokainen organisaatio tekee tietopyyntöä koskevan päätöksen omien tietoaineistojensa osalta.

Jos tietopyyntö koskee vain yhden 6 §:n 1–8 kohdassa tarkoitetun organisaation tietoja, tietopyyntö toimitetaan kyseiselle organisaatiolle, joka tekee tietopyyntöä koskevan päätöksen.

Edellä 6 §:ssä tarkoitettu organisaatio voi luovuttaa toimivallan antaa tietolupa- tai tietopyyntöpäätöksiä omien tietoaineistojensa osalta Tietolupaviranomaiselle toistaiseksi tai määräajaksi. Tietolupaviranomainen tekee tällöin toimivallan luovuttaneen rekisterinpitäjän tietoaineistoja koskevat tietolupia tai tietopyyntöjä koskevat päätökset. Toimivalta voidaan luovuttaa, jos se on organisaation resurssit ja käytettävissä oleva asiantuntemus huomioiden perusteltua. Jos organisaatio katsoo, että toimivallan siirrolle ei ole enää perusteita, se voi palauttaa toimivallan itselleen ilmoittamalla asiasta Tietolupaviranomaiselle.

Jos organisaatio on luovuttanut toimivallan Tietolupaviranomaiselle tai kyseessä on tietolupahakemus tai tietopyyntö, joka koskee Kanta-palveluihin tallennettuja tietoja tai yhden tai usean yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoja, ja hakija on toimittanut tietolupahakemuksen tai tietopyynnön jokaiselle hakemuksen tai pyynnön kohteena olevalle organisaatiolle erikseen, Tietolupaviranomainen tekee tietolupaa tai tietopyyntöä koskevan päätöksen toimivallan luovuttaneen organisaation, Kanta-palveluihin tallennettujen tietojen ja yksityisten sosiaali- tai terveydenhuollon palvelunjärjestäjien rekisteritietojen osalta.

Tilastokeskus ja Terveyden ja hyvinvoinnin laitos tilastoviranomaisena ( tilastoviranomaiset ) vastaavat tilastotarkoituksiin keräämiensä tietojen tietolupa- ja tietopyyntöpäätöksistä tieteellistä tutkimusta varten sekä samaan tutkimussuunnitelmaan liittyvien tietojen yhdistelystä omiin tietoihinsa ja niiden pseudonymisoinnista tai anonymisoinnista noudattaen, mitä tilastolaissa (280/2004) säädetään. Tietolupahakemus tai tietopyyntö, joka koskee muita tässä laissa tarkoitettuja tietoja sekä tilastoviranomaisen tilastotarkoituksissa keräämiä tietoja, toimitetaan Tilastokeskukselle tai Terveyden ja hyvinvoinnin laitokselle.

Tilastotarkoituksessa kerättyjen tietojen yhdistelemisestä ja luovuttamisesta säädetään 51 §:n 3 momentissa.

Eläketurvakeskuksen, Digi- ja väestötietoviraston ja Tilastokeskuksen 6 §:n 9–11 kohdassa tarkoitettuihin tietoihin kohdistuvaan tietolupahakemukseen tai tietopyyntöön sovelletaan tämän lain säännöksiä silloin, jos näitä tietoja yhdistetään yhden tai usean 6 §:n 1–8 kohdassa tarkoitetun rekisterinpitäjän tietoihin, Kanta-palveluihin tallennettuihin tietoihin tai yhden tai usean yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoihin.

Sosiaali- ja terveysministeriö asettaa Tietolupaviranomaiselle korkean tason asiantuntijaryhmän, jonka tehtävänä on laatia anonymisointia, tietosuojaa ja tietoturvaa koskevat Tietolupaviranomaisen toiminnan periaatelinjaukset. Asiantuntijaryhmässä on oltava tekoälyn, data-analytiikan, tietoturvan, tietosuojan, alan tutkimuksen, tilastotieteen ja tilastotoimen asiantuntija sekä Tietolupaviranomaisen edustaja. Sosiaali- ja terveysministe-riön asetuksella voidaan säätää tarkemmin asiantuntijaryhmän tehtävistä sekä sen jäsenten määrästä ja kelpoisuusehdoista.

Sosiaali- ja terveysministeriö saa perustaa Tietolupaviranomaisen alaisuudessa toimivan osakeyhtiön yksin taikka yhden tai useamman 6 §:ssä tarkoitetun organisaation, opetus- ja kulttuuriministeriön, työ- ja elinkeinoministeriön tai valtiovarainministeriön kanssa. Yhtiö on valtion omistuksessa ja hallinnassa. Yhtiön omistajaohjauksesta ja sen osakkeiden hallinnoinnista vastaa sosiaali- ja terveysministeriö. Yhtiön tarkoituksena ei ole tuottaa voittoa.

Yhtiölle voidaan antaa 10 §:n 3–7 kohdassa tarkoitettuihin palveluihin liittyviä tehtäviä. Valtioneuvoston asetuksella voidaan antaa tarkempia säännöksiä yhtiön tehtävistä.

Terveyden ja hyvinvoinnin laitos tai Tietolupaviranomainen voi tuottaa osakeyhtiölle hallinnollisia palveluja ja muita tukipalveluja markkinahintaista korvausta vastaan.

Yhtiön on annettava sosiaali- ja terveysministeriölle sen pyynnöstä tiedot, jotka ovat tarpeen yhtiön ohjaamiseksi ja valvomiseksi. Yhtiön asiakirjoihin sovelletaan, mitä viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999) , jäljempänä julkisuuslaki , säädetään viranomaisen asiakirjasta. Päätöksen siitä, ettei yhtiön asiakirjaa luovuteta sitä pyytäneelle, tekee Tietolupaviranomainen julkisuuslain 4 luvun mukaisesti.

Yhtiön toimintaan voidaan myöntää valtionavustusta valtion talousarvioon otettavien määrärahojen rajoissa. Valtionavustuksesta säädetään valtionavustuslaissa (688/2001) .

Yhtiön palveluksessa olevaan henkilöön ja yhtiön hallituksen jäseniin sovelletaan rikosoikeudellista virkavastuuta koskevia säännöksiä.

Edellä 6 §:ssä tarkoitettujen organisaatioiden on rekisterinpitäjänä laadittava aineistokuvaukset tietovarantojensa tietosisällöistä siten, että niiden perusteella on mahdollista arvioida rekisteritietojen soveltuvuutta 2 §:ssä mainittuihin tarkoituksiin. Tietolupaviranomaisen on laadittava aineistokuvaukset 14 §:n 5 momentissa tarkoitetuista valmisaineistoistaan.

Tietolupaviranomainen antaa tarkemmat määräykset aineistokuvausten tietosisällöistä, käsitteistä ja tietorakenteista. Ennen määräysten antamista Tietolupaviranomaisen tulee kuulla asianomaisia organisaatioita.

Sosiaali- ja terveysministeriön asetuksella säädetään, mistä lähtien 1 momentissa säädettyjä velvoitteita sovelletaan.

Edellä 6 §:ssä tarkoitetun rekisterinpitäjän on järjestettävä mainitussa pykälässä tarkoitettuja rekisteritietojaan koskeva neuvontapalvelu siten, että niitä 2 §:ssä mainitussa tarkoituksessa tarvitseva saa riittävät tiedot käytettävissä olevien rekistereiden tietosisällöistä ja rekisteritietojen soveltuvuudesta tiedon tarpeisiinsa.

Sen lisäksi, mitä 1 momentissa säädetään, Tietolupaviranomaisen on järjestettävä neuvontapalvelu, joka koskee tietoluvan myöntämisedellytyksiä, tietopyyntöjen hyväksymisedellytyksiä, Tietolupaviranomaisen palvelujen sisältöä ja merkitystä sekä 14 §:n 4 momentissa tarkoitettuja valmisaineistoja. (5.12.2025/1159)

Kun Tietolupaviranomainen tai 6 §:ssä tarkoitettu organisaatio on myöntänyt tietoluvan tai tehnyt tietopyyntöä koskevan myönteisen päätöksen, Tietolupaviranomainen tai 6 §:ssä tarkoitettu organisaatio kokoaa, tarvittaessa yhdistelee ja esikäsittelee sekä pseudonymisoi tai anonymisoi tietoaineiston luvansaajan käsiteltäväksi taikka tuottaa tietopyynnössä tarkoitetun aggregoidun tilastotiedon.

Tietolupaviranomaisen ja 6 §:ssä tarkoitettujen organisaatioiden on säilytettävä kuvaus luovuttamiensa tietoaineistojen ja aggregoitujen tilastotietojen muodostamisesta, käyttämistään pseudonymisointi- ja anonymisointimenetelmistä sekä luovutetuista lopputuloksista.

Jos henkilötietoja luovutetaan usean eri tiedonhyödyntämissuunnitelman perusteella pseudonymisoituna, tiedot on pseudonymisoitava jokaista luovutusta varten eri tunnisteella.

Tietolupaviranomainen saa muodostaa valmisaineistoja 6 §:ssä tarkoitettujen organisaatioiden tiedoista. Tietolupaviranomainen saa poimia tietoluvan myöntämiseksi tarvittavat ja myönnetyn tietoluvan tai tietopyyntöä koskevan päätöksen mukaiset tiedot valmisaineistoista.

Tietoluvan antanut viranomainen säilyttää pseudonymisoitujen aineistojen tunnisteet tietoturvallisesti ja siten, että aineisto on mahdollista tarvittaessa muuttaa tunnisteelliseksi ja että sama aineisto on niiden avulla mahdollista tuottaa uudelleen.

Viranomaisen on säilytettävä tunnisteet niin kauan kuin ne ovat tarpeen tutkimuksen tekemiseksi ja sen tulosten asianmukaisuuden varmistamiseksi.

Tietolupaviranomainen ylläpitää yksin tai yhdessä muiden viranomaisten kanssa asiointipalvelua, jonka välityksellä tietolupahakemus tai tietopyyntö on toimitettava sille.

Keskeiset Tietolupaviranomaisen selvitys- ja täydennyspyynnöt sekä keskeiset hakijan laatimat selvitykset ja täydennykset sekä hakemusta koskevat muutokset toimitetaan asiointipalvelun välityksellä. Lupapäätös annetaan hakijalle tiedoksi asiointipalvelun välityksellä.

Jos tietojen käytön edellytykseksi on säädetty tiedonhyödyntämissuunnitelman eettinen ennakkoarviointi, myös eettinen arviointi saatetaan vireille ja lausunto toimitetaan asiointipalvelun välityksellä.

Tietolupaviranomainen ylläpitää tietoturvallista siirtopalvelua tietolupahakemuksen ja tietopyynnön käsittelyssä tarvittavien tietojen sekä myönnetyn tietoluvan mukaisten tietojen luovuttamiseksi. Tietoturvallisen siirtopalvelun välityksellä saa tässä laissa säädetyin edellytyksin luovuttaa henkilötietoja Tietolupaviranomaisen ja muiden 6 §:ssä tarkoitettujen organisaatioiden välillä, 6 §:ssä tarkoitettujen organisaatioiden välillä, Tietolupaviranomaisen ja yksityisten sosiaali- ja terveydenhuollon palvelunantajien välillä, luvanhakijan ja Tietolupaviranomaisen sekä luvanhakijan ja 6 §:ssä tarkoitettujen organisaatioiden välillä.

Kun henkilötietoja välitetään tietoturvallisen siirtopalvelun välityksellä, niiden eheys ja alkuperä on varmistettava sähköisellä allekirjoituksella. Organisaation ja tietoteknisten laitteiden lähettämien tietojen eheys ja alkuperä on varmistettava käyttämällä luotettavuudeltaan vastaavaa tekniikkaa kuin luonnollisen henkilön sähköisessä allekirjoituksessa. Tietoturvallisen siirtopalvelun käyttäjät on tunnistettava vahvasti, kun heille luovutetaan henkilötietoja. Kehittyneestä sähköisestä allekirjoituksesta ja vahvasta sähköisestä tunnistamisesta säädetään sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93/EY kumoamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) N:o 910/2014 sekä vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetussa laissa (617/2009) .

Tietolupaviranomaisen on luotava tarvittavat rajapinnat tietoturvallisen siirtopalvelun yhteentoimivuutta varten ja huolehdittava siitä, että tiedonsiirto voidaan tehdä yleisesti käytössä olevien teknologioiden avulla.

Kun henkilötietoja käsitellään tämän lain nojalla, käsittelyn riittävä tietoturvallisuus on varmistettava riskienhallinnalla, pääsynhallinnalla, aktiivisella valvonnalla sekä noudattamalla tietoturvallisuuden ja tietosuojan toteutuksesta ja valvonnasta vastaavan viranomaisen määräyksiä ja ohjeita. Erityistä huomiota on kiinnitettävä käyttörajoitusten sekä salassapitovelvoitteen toteuttamiseen.

Kun henkilötietoja käsitellään tämän lain mukaista lupaharkintaa, päätöksentekoa tai tietojen luovuttamista varten, lokitiedot on kerättävä seuraavasti:

Henkilötietoja tämän lain mukaisen tietoluvan perusteella käsittelevän on tallennettava käyttölokitietoihin tieto tietoluvan saaneesta rekisterinpitäjästä, 2 §:n mukaisesta käyttötarkoituksesta, käsittelyyn oikeuttavasta tietoluvasta, tietojen käsittelyyn tietoluvan mukaan oikeutetusta käyttäjästä, käsitellyistä tiedoista ja tietoryhmistä sekä käyttöajankohdasta.

Kun palvelunantaja käsittelee omissa henkilörekistereissään olevia henkilötietoja tietojohtamisen käyttötarkoituksessa, sen on tallennettava käyttölokitietoihin tieto käytetyistä henkilötiedoista, tietojen käyttäjästä, tietojen käyttötarkoituksesta ja käyttöajankohdasta.

Lokitiedot on hävitettävä tai arkistoitava 12 vuoden kuluttua tietoluvan päättymisestä tai 3 momentissa tarkoitetun käsittelyn päättymisestä.

Tietolupaviranomainen voi antaa tarkempia määräyksiä lokirekistereihin tallennettavista tiedoista ja tietosisällöistä.

Tietolupaviranomaisen tai muun 6 §:ssä tarkoitetun organisaation tämän lain nojalla luovuttamien tietojen tietoturvallinen, luvan mukainen käsittely toteutetaan tietoturvallisessa käyttöympäristössä. Tietolupaviranomainen järjestää yksin tai yhdessä muiden viranomaisten kanssa tietoturvallista käyttöympäristöä koskevan palvelun. Tietoturvallisia käyttöympäristöjä koskevia palveluita voivat tarjota myös muut organisaatiot.

Käsittelyn on oltava mahdollista teknisesti erilaisin tavoin ja käyttöympäristöön on oltava pääsy eri paikoista. Tietolupaviranomaisen ja 6 §:ssä tarkoitetun organisaation on arvioitava luovutettavien tietojen arkaluontoisuuden tasoa ja huomioitava tämä tietolupapäätöksessä tietoturvallisen käyttöympäristön käytölle asetettavissa vaatimuksissa.

Tietolupaviranomaisen tietoturvallisen käyttöympäristön ja muiden tietoturvallisten käyttöympäristöjen tulee täyttää 2 momentissa ja 21–29 §:ssä säädetyt edellytykset.

Tietoturvallisen käyttöympäristön käyttäjät on tunnistettava luotettavasti sekä todennettava.

2 momentti on kumottu L:lla 5.12.2025/1159 .

Palveluntarjoajan on määriteltävä luvansaajan ja muun henkilötietoja käyttöympäristössä käsittelevän henkilön käyttöoikeus henkilötietoihin. Luvansaajalle annetaan käyttöoikeus tietoluvan mukaisiin henkilötietoihin. Muille henkilötietoja käyttöympäristössä käsitteleville annetaan käyttöoikeudet heidän työtehtävissään tarvitsemiinsa välttämättömiin henkilötietoihin.

Palveluntarjoajan on pidettävä rekisteriä tietoturvallisen käyttöympäristön käyttäjistä sekä näiden käyttöoikeuksista. Käyttöympäristön käyttäjien käyttöoikeustiedot on hävitettävä tai arkistoitava 12 vuoden kuluttua käyttöoikeuden päättymisestä.

Tietolupaviranomainen antaa määräykset niistä perusteista, joiden mukaisesti palveluntarjoajan on määriteltävä luvansaajan käyttöoikeudet asiakastietoihin.

Tietoturvallinen käyttöympäristö on suojattava noudattaen, mitä julkisen hallinnon tiedonhallinnasta annetun lain (906/2019) 4 luvussa säädetään. (5.12.2025/1159)

Käyttöympäristön on mahdollistettava lokitietojen kerääminen luovutettujen tietojen käytöstä seurantaa ja valvontaa varten 19 §:n mukaisesti.

Tietoturvallisen käyttöympäristön on täytettävä tietoturvaa ja tiedonsiirron yhteentoimivuutta koskevat vaatimukset, jotka perustuvat viranomaisten antamiin määräyksiin, suosituksiin ja näiden osoittamiin, tietoturvalliseen käyttöympäristöön soveltuviin standardeihin.

Tietolupaviranomainen antaa tarkemmat määräykset muiden palveluntarjoajien tietoturvallisille käyttöympäristöille asetettavista vaatimuksista. Vaatimuksissa on edellytettävä vastaavaa tietoturvan tasoa kuin Tietolupaviranomaisen omassa käyttöympäristössä vaaditaan.

Käyttöympäristön tietoturvallisuus on osoitettava 26 §:n mukaisella tietoturvallisuuden arviointilaitoksen antamalla todistuksella.

Tietolupaviranomainen voi antaa tarkempia määräyksiä tietoturvallisuuden osoittamisessa noudatettavista menettelyistä.

Tietoturvallisuuden arviointilaitos arvioi tämän lain ja tietoturvallisuuden arviointilaitoksista annetun lain mukaisesti palveluntarjoajan hakemuksesta, täyttääkö käyttöympäristö tietoturvallisuutta koskevat vaatimukset. Arviointiperusteina on käytettävä Tietolupaviranomaisen määräyksiä turvalliselle käyttöympäristölle asetettavista vaatimuksista.

Jos käyttöympäristö täyttää tämän lain mukaiset tietoturvallisuusvaatimukset, tietoturvallisuuden arviointilaitoksen on annettava suorittamastaan arvioinnista palveluntarjoajalle todistus sekä siihen liittyvä tarkastusraportti. Jos arviointi tai uudelleenarviointi koskee vain käyttöympäristön osaa, arviointilaitoksen antamaan todistukseen on selkeästi merkittävä, mikä osa käyttöympäristöstä on arvioitu.

Arviointilaitoksen myöntämä todistus on voimassa enintään viisi vuotta. Tietoturvallisuuden arviointilaitos voi vaatia palveluntarjoajalta kaikki arvioinnin sekä todistuksen laatimisen ja ylläpitämisen edellytyksenä olevat tiedot. Todistuksen antamiseen sovelletaan muutoin tietoturvallisuuden arviointilaitoksista annetun lain 9 §:n 3 momenttia.

Jos tietoturvallisuuden arviointilaitos toteaa, että käyttöympäristö ei ole täyttänyt tai ei enää täytä tässä laissa säädettyjä vaatimuksia tai että todistusta ei muutoin olisi tullut myöntää, laitoksen on kehotettava palveluntarjoajaa korjaamaan puutteet. Arviointilaitos voi peruuttaa todistuksen määräajaksi tai kokonaan taikka myöntää sen rajoitettuna, jollei palveluntarjoaja korjaa puutteellisuuksia arviointilaitoksen asettamassa määräajassa. Määräajan pituutta määritettäessä on otettava huomioon käyttöympäristön korjaamiseksi tarvittava kohtuullinen aika.

Tietoturvallisuuden arviointilaitoksen on ilmoitettava Lupa- ja valvontavirastolle tiedot kaikista myönnetyistä, muutetuista, täydennetyistä, määräajaksi tai kokonaan peruutetuista tai evätyistä todistuksista sekä 27 §:n mukaisista kehotuksista ja rajoituksista. Lisäksi tietoturvallisuuden arviointilaitoksen on pyydettäessä annettava Lupa- ja valvontavirastolle kaikki tarvittavat lisätiedot.

Palveluntarjoajan on seurattava ja arvioitava ajantasaisella järjestelmällisellä menettelyllä tietoturvallisesta käyttöympäristöstä sen tuotantokäytön aikana saatavia kokemuksia. Palveluntarjoajan on seurattava tämän lain muutoksia ja tehtävä käyttöympäristöön muutosten edellytyksenä olevat korjaukset. Käyttöympäristön olennaisista muutoksista on ilmoitettava tietoturvallisuuden arviointilaitokselle. Arviointilaitoksen myöntämä todistus on uudistettava, jos käyttöympäristöön tehdään merkittäviä muutoksia tai jos käyttöympäristöä koskevia vähimmäisvaatimuksia on muutettu tavalla, jonka edellytyksenä on uusi arviointi.

Palveluntarjoajan on säilytettävä vaatimustenmukaisuutta koskevat ja muut valvonnan edellytyksenä olevat tiedot vähintään viisi vuotta tietoturvallisen käyttöympäristön tuotantokäytön päättymisestä.

Lupa- ja valvontaviraston tehtävänä on valvoa ja edistää sitä, että tietoturvalliset käyttöympäristöt täyttävät tietosuojaa ja tietoturvaa koskevat vaatimukset. Lupa- ja valvontavirasto ylläpitää julkista rekisteriä sille ilmoitetuista, vaatimukset täyttävistä käyttöympäristöistä. (27.6.2025/767)

Lupa- ja valvontavirastolla on oikeus tehdä valvonnan edellytyksenä olevia tarkastuksia. Tarkastuksen suorittamiseksi tarkastajalla on oikeus päästä kaikkiin tiloihin, joissa harjoitetaan tässä laissa tarkoitettua toimintaa tai säilytetään tämän lain noudattamisen valvonnan kannalta merkityksellisiä tietoja. Tarkastusta ei kuitenkaan saa tehdä pysyväisluonteiseen asumiseen käytettävissä tiloissa. (27.6.2025/767)

Tarkastuksessa on esitettävä kaikki tarkastajan pyytämät asiakirjat, jotka ovat tarpeellisia tarkastuksen toimittamiseksi. Lisäksi tarkastajalle on annettava maksutta hänen pyytämänsä jäljennökset tarkastuksen toimittamiseksi tarpeellisista asiakirjoista.

Lupa- ja valvontaviraston on säilytettävä tarkastuksesta laadittava tarkastuskertomus kymmenen vuoden ajan tarkastuksen suorittamisesta. (27.6.2025/767)

Lupa- ja valvontavirastolla on oikeus käyttää ulkopuolisia asiantuntijoita arvioimaan tietoturvallisen käyttöympäristön vaatimustenmukaisuutta. Ulkopuoliset asiantuntijat voivat osallistua tämän lain mukaisiin tarkastuksiin sekä tutkia ja testata käyttöympäristöjä. Ulkopuolisella asiantuntijalla tulee olla tehtävien edellytyksenä oleva asiantuntemus ja pätevyys. (27.6.2025/767)

Ulkopuoliseen asiantuntijaan sovelletaan virkamiehen esteellisyyttä koskevia hallintolain (434/2003) säännöksiä sekä rikosoikeudellista virkavastuuta hänen suorittaessaan tässä laissa tarkoitettuja tehtäviä.

Lupa- ja valvontavirastolla on oikeus saada maksutta ja salassapitosäännösten estämättä käyttöympäristöjen valvontaa varten välttämättömät tiedot valtion ja hyvinvointialueen viranomaisilta sekä luonnollisilta ja oikeushenkilöiltä, joita tämän lain tai sen nojalla annetut säännökset koskevat.

Lupa- ja valvontavirasto saa 30 §:n nojalla tehdyn tarkastuksen perusteella määrätä palveluntarjoajan korjaamaan tuotantokäytössä olevaa käyttöympäristöä koskevat puutteet.

Jos tietoturvallinen käyttöympäristö voi vaarantaa tietosuojan tai toteuttaa puutteellisesti tässä laissa sille asetetut vaatimukset eikä puutteita ole korjattu Lupa- ja valvontaviraston asettamassa määräajassa, Lupa- ja valvontavirasto saa kieltää käyttöympäristön käytön, kunnes puutteet on korjattu. Lisäksi Tietolupaviranomainen tai muu 6 §:ssä tarkoitettu viranomainen voi sulkea yhteyden ylläpitämiinsä tietojärjestelmiin, jos niitä käyttävä vaarantaa tai niihin liitetty ulkopuolinen järjestelmä voi vaarantaa niiden asianmukaisen toiminnan.

Lupa- ja valvontavirasto voi velvoittaa palveluntarjoajan tai valtuutetun edustajan tiedottamaan käyttöympäristön tuotantokäyttöä koskevasta päätöksestä Lupa- ja valvontaviraston asettamassa määräajassa ja määräämällä tavalla.

Lupa- ja valvontavirasto voi asettaa 1 momentin nojalla tekemänsä päätöksen tehosteeksi uhkasakon tai uhan, että toiminta keskeytetään osaksi tai kokonaan taikka että tekemättä jätetty toimenpide teetetään asianomaisen kustannuksella. Lupa- ja valvontaviraston on ilmoitettava päätöksestään Tietolupaviranomaiselle.

Jos palveluntarjoaja, 6 §:ssä tarkoitettu viranomainen tai henkilötietoja muutoin tämän lain mukaisesti käsittelevä on laiminlyönyt tässä laissa säädetyn tietojärjestelmiin tai niiden käyttöön liittyvän velvollisuutensa, Lupa- ja valvontavirasto voi määrätä velvollisuuden täytettäväksi määräajassa.

Lisäksi Tietolupaviranomainen tai muu 6 §:ssä tarkoitettu viranomainen voi sulkea yhteyden ylläpitämiinsä tietojärjestelmiin, jos palveluntarjoaja, 6 §:ssä tarkoitettu viranomainen tai henkilötietoja muutoin tämän lain mukaisesti käsittelevä on Lupa- ja valvontaviraston asettamasta määräajasta huolimatta laiminlyönyt tässä laissa säädetyn tietojärjestelmiin tai niiden käyttöön liittyvän velvollisuutensa.

Lupa- ja valvontavirasto voi asettaa 1 momentin nojalla tekemänsä määräyksen tehosteeksi uhkasakon tai uhan, että toiminta keskeytetään osaksi tai kokonaan taikka että tekemättä jätetty toimenpide teetetään asianomaisen kustannuksella. Lupa- ja valvontaviraston on ilmoitettava päätöksestään Tietolupaviranomaiselle.

Edellä 6 §:ssä tarkoitettujen rekisterinpitäjien rekisteritietoja ja yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoja saa käsitellä toissijaisessa käyttötarkoituksessa rekisterinpitäjän tai Tietolupaviranomaisen myöntämällä määräaikaisella tietoluvalla taikka suoraan lain säännösten perusteella siten kuin jäljempänä säädetään.

Tietolupaviranomaisella on salassapitovelvoitteista ja muista tietojen käyttöä koskevista rajoituksista riippumatta oikeus saada 6 §:ssä tarkoitetuilta rekisterinpitäjiltä, yksityisiltä sosiaali- ja terveydenhuollon palvelunantajilta sekä Kanta-palveluihin sisältyvistä, asiakastietolaissa tarkoitetuista tiedoista Kansaneläkelaitokselta tässä laissa säädettyjen tehtäviensä hoitamiseksi välttämättömät tiedot, kuten:

Edellä 1 momentissa tarkoitetut tiedot luovutetaan Tietolupaviranomaisen käyttöön tietoturvallisen siirtopalvelun välityksellä. (5.12.2025/1159)

Tietolupaviranomainen voi salassapitovelvoitteiden ja muiden tietojen käyttöä koskevien rajoitusten estämättä poimia tietoluvan mukaiset tiedot tietoturvallisen siirtopalvelun välityksellä sellaisista 1 momentissa tarkoitettujen rekisterinpitäjien tiedoista ja tietovarannoista, joista se on rekistereiden ja tietovarantojen sisältö ja tekninen toteutus huomioon ottaen mahdollista ja tarkoituksenmukaista. (5.12.2025/1159)

Tietolupaviranomainen on tässä pykälässä tarkoitetuin tavoin saamiensa tietojen rekisterinpitäjä.

Jos 6 §:n 2, 3, 5, 7 tai 8 kohdassa tarkoitettu organisaatio on 51 §:ssä tarkoitetulla tavalla valittu usean organisaation tietoaineistojen kokoajaksi, sillä on salassapitovelvoitteiden ja muiden tietojen käyttöä koskevien rajoitusten estämättä oikeus pyynnöstä saada 6 §:ssä tarkoitetuilta rekisterinpitäjiltä seuraavat tässä laissa säädettyjen tehtävien hoitamiseksi välttämättömät tiedot:

Edellä 1 momentissa tarkoitetut tiedot luovutetaan tietoaineistojen kokoajan käyttöön tietoturvallisen siirtopalvelun tai muun tietoturvallisen palvelun välityksellä.

Tietoaineistojen kokoaja on tässä pykälässä tarkoitetuin tavoin saamiensa tietojen rekisterinpitäjä.

Tietolupaviranomainen ja 6 §:ssä tarkoitettu organisaatio saa salassapitovelvoitteiden estämättä tuottaa tietopyynnön perusteella yksittäistapauksessa asiakastietoihin sekä muihin 6 §:ssä tarkoitettujen organisaatioiden henkilötietoihin perustuvat aggregoidut tilastotiedot kehittämis- ja innovaatiotoimintaan, jota toteutetaan muutoin kuin tieteellisenä tutkimuksena. (5.12.2025/1159)

Edellä 1 momentissa tarkoitetut tiedot voidaan antaa 45 §:n mukaisesti edellyttäen, että tietopyynnön ja siihen liitetyn tiedonhyödyntämissuunnitelman mukaan toiminnan tarkoituksena on:

Tieteelliseen tutkimukseen ja tilastointiin saa salassapitovelvoitteiden estämättä antaa yksittäistapauksessa tietoluvan asiakastietoihin sekä muihin 6 §:ssä tarkoitettujen organisaatioiden henkilötietoihin.

Tietolupaa harkittaessa on huolehdittava siitä, että tieteellisen tutkimuksen vapaus turvataan.

Tietojen käsittelystä tieteellistä tutkimusta ja tilastointia varten säädetään lisäksi tietosuojalaissa (1050/2018) .

Sosiaali- tai terveydenhuollon palvelunantajan asiakastietoja saa käsitellä salassapitovelvoitteiden estämättä sekä tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan nojalla opetusaineistojen valmistamiseksi sosiaali- ja terveydenhuollon asiakastietoja käsittelevän henkilöstön ja sosiaali- ja terveydenhuollon ammattihenkilöiksi opiskelevien opetukseen, jos se on välttämätöntä opetuksen tarkoituksen toteuttamiseksi. Edellytyksenä on lisäksi, että käsittelylle on myönnetty tässä laissa tarkoitettu tietolupa.

Tunnisteellisina tietoja saa käyttää opetustilanteissa kuitenkin vain, jos opetusta ei voida toteuttaa anonyyminä käsiteltävän tapauksen harvinaislaatuisuuden, opetuksen luonteen tai muun vastaavan syyn vuoksi. Opetusta antavan henkilön on informoitava opetusta seuraavia laissa säädetystä salassapitovelvollisuudesta ja sen rikkomisesta seuraavista sanktioista.

Rekisteröidyllä ei ole tietosuoja-asetuksen 21 artiklan mukaista oikeutta vastustaa henkilötietojensa käsittelyä opetustarkoituksessa, jos tietojen käsittely on välttämätöntä tapauksen harvinaislaatuisuuden vuoksi.

Luvansaajan on hävitettävä opetustarkoitusta varten koottu erillinen aineisto, kun se ei enää ole välttämätön kyseistä tarkoitusta varten.

Viranomaisen suunnittelu- ja selvitystehtävää varten välttämättömiä asiakastietoja sekä muita 6 §:ssä tarkoitettujen organisaatioiden henkilötietoja saa käsitellä tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan nojalla seuraavin edellytyksin:

Sosiaali- tai terveydenhuollon palvelunantajalla on oikeus salassapitovelvoitteiden estämättä sekä tietosuoja-asetuksen 9 artiklan 2 kohdan h alakohdan nojalla käsitellä ja yhdistellä tunnisteellisesti asiakastietoja, jotka ovat syntyneet sen omassa toiminnassa tai ovat sen omiin rekistereihin tallennettuja, jos se on välttämätöntä palvelunantajan vastuulla toteutettavan palvelutoiminnan tuottamista, seurantaa, arviointia, suunnittelua, kehittämistä, johtamista ja valvontaa varten.

Jos palvelunantajalle on tarpeen vastuullaan toteutettavan palvelutoiminnan taikka palveluketjujen arviointia, suunnittelua tai kehittämistä varten verrata omaa toimintaansa muiden palvelunantajien toimintaan, Tietolupaviranomainen voi tuottaa tarvittavan vertailuaineiston aggregoituna tilastotietona 45 §:n mukaisesti 3 §:n 9 kohdassa tarkoitetun tietopyynnön perusteella.

Sen lisäksi, mitä 1 ja 2 momentissa säädetään, sosiaali- ja terveydenhuollon sekä pelastustoimen järjestämisestä Uudellamaalla annetussa laissa (615/2021) tarkoitetuilla Uudenmaan hyvinvointialueilla ja Helsingin kaupungilla on oikeus salassapitovelvoitteiden estämättä sekä tietosuoja-asetuksen 9 artiklan 2 kohdan h alakohdan nojalla käsitellä ja yhdistellä tunnisteellisesti potilastietoja, jotka ovat syntyneet kunkin omassa toiminnassa tai ovat sen omiin rekistereihin tallennettuja sekä potilastietoja, joita HUS-yhtymä tuottaa rahoitusvastuun perusteella hyvinvointialueen lukuun. Käsittelyn tulee olla välttämätöntä hyvinvointialueen tai Helsingin kaupungin vastuulla toteutettavan palvelutoiminnan tuottamista, seurantaa, arviointia, suunnittelua, kehittämistä, johtamista tai valvontaa varten. (8.7.2022/544)

Jos sosiaali- ja terveysalan ohjaus- tai valvontaviranomainen tarvitsee laissa säädetyn ohjaus- tai valvontatehtävänsä toteuttamiseksi sosiaali- tai terveydenhuollon rekistereihin tallennettuihin henkilötietoihin tai muihin tunnisteellisiin 6 §:ssä tarkoitettujen rekisterinpitäjien rekisteritietoihin perustuvia yhdisteltyjä tietoja, Tietolupaviranomainen voi tuottaa tarvittavat aggregoidut tilastotiedot 45 §:n mukaisesti 3 §:n 9 kohdassa tarkoitetun tietopyynnön perusteella.

Sellaiset 1 momentissa tarkoitetut tiedot, jotka sanotussa momentissa tarkoitetulla valvontaviranomaisella on muun lain mukaan oikeus saada salassapitovelvoitteista riippumatta, voidaan perustellusta pyynnöstä luovuttaa myös tunnisteellisina.

Edellä 2 momentissa tarkoitetut tiedot luovutetaan valvontaviranomaiselle tietoturvallisen siirtopalvelun välityksellä. (5.12.2025/1159)

Tietolupa henkilötietoihin voidaan myöntää, jos hakemuksesta ja tiedonhyödyntämissuunnitelmasta ilmenevä tiedon käyttötarkoitus on tietosuoja-asetuksen, tietosuojalain sekä tämän ja muun kyseessä olevia tietoja koskevan lain mukainen ja jos käyttötarkoitus on tarkoituksenmukaisimmin toteutettavissa hakemuksessa tarkoitettuja tietoja käyttäen.

Jos tietolupahakemus liittyy sellaiseen käyttötarkoitukseen, jota koskevasta lupamenettelystä ja luvan myöntämisen perusteista säädetään erikseen, sanotun luvan kaikkien edellytysten on täytyttävä.

Jos luovutettavat tiedot on koottu rekisteröidyn suostumuksella, tietolupa häntä koskeviin rekisteritietoihin voidaan myöntää vain, jos se on suostumuksen ja tiedon käytölle ja luovutukselle annettujen ehtojen mukaista. Jos tietolupahakemusta koskevat tiedot liittyvät käyttötarkoitukseen, joka perustuu rekisteröidyn suostumukseen, tietolupa voidaan myöntää vain sellaisiin tietoihin, jotka rekisteröidyn suostumus kattaa.

Tietolupa voidaan antaa määräajaksi, jos on ilmeistä, ettei tiedon antaminen loukkaa niitä etuja, joiden suojaksi salassapitovelvollisuus on säädetty. Lupaan on liitettävä tietojen käsittelyn suojaustoimenpiteitä koskevat riskien mukaiset vaatimukset ja muut yksityisen edun suojaamiseksi tarpeelliset määräykset. Lupa voidaan peruuttaa, jos siihen harkitaan olevan syytä.

Jos Tietolupaviranomainen tai 6 §:ssä tarkoitettu organisaatio toteaa tietolupahakemuksen perusteella, että tietoluvan sijaan asia voidaan käsitellä tietopyyntönä, Tietolupaviranomaisen tai 6 §:ssä tarkoitetun organisaation on otettava yhteys luvanhakijaan ja esitettävä, että asia käsitellään tietopyyntönä. Jos luvanhakija vaatii asian käsittelyä tietolupahakemuksena, Tietolupaviranomaisen tai 6 §:ssä tarkoitetun organisaation on tehtävä asiaa koskeva päätös. (5.12.2025/1159)

Tietolupaviranomainen tai 6 §:ssä tarkoitettu organisaatio päättää, onko tietopyyntö 2 §:ssä säädettyjen käyttötarkoitusten ja tietopyynnölle säädettyjen vaatimusten mukainen.

Päätöstä tehdessään Tietolupaviranomaisen ja 6 §:ssä tarkoitetun organisaation on arvioitava tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan ja 86 artiklan nojalla sekä ottaen huomioon 8 §:ssä tarkoitetun asiantuntijaryhmän periaatelinjaukset, onko pyytäjän esittämistä rekisteritiedoista mahdollista muodostaa tietopyynnössä tarkoitettu aggregoitu tilastotieto.

Jos tietoja pyydetään tieteellistä tutkimusta varten ja pyyntö koskee tilastoviranomaisen tilastotarkoituksiin keräämiä tietoja, käsitellään tietopyyntö kuitenkin noudattaen, mitä 7 §:ssä ja 51 §:n 3 momentissa säädetään.

Tietopyyntö sekä tietolupahakemus on toimitettava Tietolupaviranomaiselle asiointipalvelun välityksellä. Jos hakija täydentää hakemustaan, myös täydennys on toimitettava Tietolupaviranomaiselle asiointipalvelun välityksellä. Lupahakemukseen ja aggregoituja tilastotietoja koskevaan tietopyyntöön on liitettävä tiedonhyödyntämissuunnitelma.

Tietolupaviranomainen antaa määräykset tietolupahakemuksen, tiedonhyödyntämissuunnitelman, tietopyynnön sekä tietolupa- ja tietopyyntöpäätöksen tietosisällöistä ja tietorakenteista.

Päätös tietolupahakemukseen on annettava viipymättä, kuitenkin viimeistään 3 kuukauden kuluessa siitä, kun lupahakemus on saapunut täydellisenä organisaatiolle.

Tietolupaviranomainen tai 6 §:ssä tarkoitettu organisaatio voi painavasta syystä päättää, että tietolupahakemuksen käsittelyaikaa jatketaan enintään 3 kuukautta, jos hakemuksen ja siihen liittyvän tiedonhyödyntämissuunnitelman käsittely edellyttää poikkeuksellisen laajaa ja usean eri rekisterinpitäjän tietojen käsittelyä taikka erityisen vaativaa harkintaa. Tietolupaviranomaisen tai 6 §:ssä tarkoitetun organisaation on annettava luvan hakijalle tieto määräajan pidentämisestä ja sen perusteesta sekä uudesta määräajasta, jonka kuluessa lupapäätös annetaan.

Jos tietolupapäätöksestä vastaava organisaatio pyytää 6 a §:n 5 momentissa tarkoitettua lausuntoa tietosuojavaltuutetulta, tietolupapäätöksestä vastaavan organisaation määräaika hakemuksen käsittelylle keskeytyy, kunnes lausunto on saapunut.

Edellä 6 §:ssä tarkoitetun rekisterinpitäjän sekä yksityisen sosiaali- tai terveydenhuollon palvelunantajan on luovutettava Tietolupaviranomaiselle tietolupahakemuksen tai tietopyynnön käsittelyssä tarvittavat tiedot Tietolupaviranomaisen pyynnöstä viivytyksettä, kuitenkin viimeistään 15 arkipäivän kuluessa pyynnön saapumisesta. Jos hakijan hakemuksensa tai pyyntönsä tueksi esittämä selvitys on riittämätön, rekisterinpitäjän on ilmoitettava viipymättä Tietolupaviranomaiselle ja hakijalle, mitä lisäselvitystä edellytetään. Tietolupahakemuksen tai tietopyynnön käsittelyssä tarvittavat tiedot on tällöin toimitettava Tietolupaviranomaiselle 15 arkipäivän kuluessa siitä, kun hakijalta saadut lisäselvitykset ovat riittäviä.

Edellä 6 §:ssä tarkoitetun rekisterinpitäjän sekä yksityisen sosiaali- tai terveydenhuollon palvelunantajan on luovutettava myönnetyn tietoluvan mukaiset rekisteritiedot tai tietopyynnön käsittelyssä tarvittavat tiedot Tietolupaviranomaisen pyynnöstä viivytyksettä, kuitenkin viimeistään 30 arkipäivän kuluessa siitä, kun Tietolupaviranomainen on tehnyt päätöksen siitä, että tiedot saa luovuttaa hakijalle.

Edellä 6 §:ssä tarkoitetun rekisterinpitäjän on luovutettava myönnetyn tietoluvan mukaiset rekisteritiedot tai tietopyynnön käsittelyssä tarvittavat tiedot 51 §:ssä tarkoitetun tietoaineistojen kokoajan pyynnöstä viivytyksettä, kuitenkin viimeistään 30 arkipäivän kuluessa siitä, kun organisaatiot ovat tehneet päätöksen siitä, että tiedot saa luovuttaa hakijalle.

Jos hakijan tietojen luovuttamisen tueksi esittämä selvitys on riittämätön, Tietolupaviranomaisen tai tietoaineistojen kokoajan on ilmoitettava viipymättä hakijalle, mitä lisäselvitystä edellytetään. Pyydetyt tiedot on tällöin toimitettava hakijalle 30 arkipäivän kuluessa lisäselvityksen vastaanottamisesta, jos luovutuksen edellytyksistä voidaan varmistua toimitetun lisäselvityksen perusteella.

Jos tietojen luovuttaminen Tietolupaviranomaiselle tai tietoaineistojen kokoajalle ei ole mahdollista 1 momentissa säädetyssä määräajassa, rekisterinpitäjän on ilmoitettava viivästyksestä, sen syystä ja tietojen luovutukseen tarvittavasta määräajan pidennyksestä ennen määräajan päättymistä. Tietolupaviranomaisen tai tietoaineistojen kokoajan on asetettava perustellusta syystä luovutukselle uusi määräaika.

Tietolupaviranomaisen tai tietoaineistojen kokoajan on luovutettava luvansaajalle tietoluvan perusteella kokoamansa ja yhdistelemänsä tiedot viipymättä, kuitenkin viimeistään 60 arkipäivän kuluessa luvan myöntämisestä.

Tietolupaviranomainen tai tietoaineistojen kokoaja voi painavasta syystä pidentää luovutuksen määräaikaa, jos tietojen luovuttaminen edellyttää poikkeuksellisen laajaa ja usean eri rekisterinpitäjän tietojen käsittelyä tai erityisen vaativaa tietojen yhdistelyä. Tietolupaviranomaisen tai tietoaineistojen kokoajan on annettava luvan saajalle tieto määräajan pidentämisestä ja sen perusteesta sekä uudesta määräajasta, jonka kuluessa tiedot luovutetaan.

Tietolupaviranomainen tai muu luvan myöntänyt viranomainen saa periä maksun tietoluvasta ja tietopyyntöä koskevasta päätöksestä. Maksun määräytymisen perusteista säädetään valtion maksuperustelaissa (150/1992) .

Tietoluvasta ja tietopyyntöä koskevasta päätöksestä perittävien maksujen tulee olla läpinäkyviä. (5.12.2025/1159)

Tietolupaviranomainen saa periä korvauksen tässä laissa tarkoitetun tietoluvan ja tietopyyntöä koskevan päätöksen mukaisten tietojen poimimisesta, toimittamisesta ja yhdistelystä, esikäsittelystä, pseudonymisoinnista ja anonymisoinnista sekä tietoturvallisen käyttöympäristön käytöstä. (30.12.2019/1491)

Korvaukset, jotka koskevat tietolupaan ja tietopyyntöä koskevaan päätökseen perustuvien tietojen poimintaa ja toimittamista muista kuin Tietolupaviranomaisen omista tietovarannoista, määräytyvät kutakin tiedot toimittanutta rekisterinpitäjää koskevien säännösten mukaisesti. (5.12.2025/1159)

3 momentti on kumottu L:lla 5.12.2025/1159 .

Tietolupaviranomaisen korvausten määräytymisen perusteista säädetään valtion maksuperustelaissa. (5.12.2025/1159)

Lupa- ja valvontavirastolle 30 §:n 1 momentin mukaan tehtävän ilmoituksen rekisteröinti ja merkintä julkiseen rekisteriin on maksullinen. (27.6.2025/767)

Jos Tietolupaviranomainen on myöntänyt tietoluvan tai tehnyt tietopyyntöä koskevan päätöksen, se kokoaa ja tarvittaessa yhdistelee ja esikäsittelee sekä pseudonymisoi tai anonymisoi tietoluvassa yksilöidyt tiedot tai tuottaa tietopyynnössä tarkoitetun aggregoidun tilastotiedon.

Jos kukin 6 §:ssä tarkoitettu organisaatio on myöntänyt tietoluvan tai tehnyt tietopyyntöä koskevan päätöksen omien tietoaineistojensa osalta tietolupahakemuksessa tai tietopyynnössä, joka koskee usean organisaation tietoja, usean organisaation tietoaineistot kokoaa joko Tietolupaviranomainen tai jokin hakemuksen tai pyynnön kohteena oleva 6 §:n 2, 3, 5, 7 tai 8 kohdassa tarkoitettu organisaatio. Päätöksen siitä, mikä edellä tarkoitettu organisaatio kokoaa tietoaineistot, tekevät tietolupahakemuksen tai tietopyynnön kohteena olevat organisaatiot yhteistyössä perustuen organisaatioiden resursseihin ja käytettävissä olevaan asiantuntemukseen. Edellä 6 §:n 2, 3, 5, 7 tai 8 kohdassa tarkoitettu organisaatio voi ilmoittaa, että se ei ole käytettävissä kyseiseen tehtävään. Jos organisaatiot eivät pääse yhteisymmärrykseen siitä, mikä organisaatio kokoaa tietoaineistot, tietoaineistot kokoaa Tietolupaviranomainen. Tietoaineistojen kokoaja myös tarvittaessa yhdistelee ja esikäsittelee sekä pseudonymisoi tai anonymisoi tietoluvassa yksilöidyt tiedot tai tuottaa tietopyynnössä tarkoitetun aggregoidun tilastotiedon.

Jos käyttötarkoitukseen tarvitaan myös Tilastokeskuksen tai Terveyden ja hyvinvoinnin laitoksen tilastoviranomaisena tilastotarkoitusta varten kokoamia tietoja, tilastoviranomainen yhdistelee sekä tarvittaessa esikäsittelee ja pseudonymisoi tai anonymisoi luovutettavat tiedot tai tuottaa tietopyynnössä tarkoitetun aggregoidun tilastotiedon. Jos käyttötarkoitukseen tarvitaan molempien tilastoviranomaisten tietoja, viranomaiset sopivat keskenään, kumpi yhdistelee ja pseudonymisoi tai anonymisoi tiedot. Tiedot voidaan tämän jälkeen luovuttaa tietoturvallisen siirtopalvelun välityksellä saajan käsiteltäväksi tietojen luonteesta ja määrästä riippuen joko Tilastokeskuksen tai Tietolupaviranomaisen tietoturvalliseen käyttöympäristöön tai muuhun tietoturvalliseen käyttöympäristöön.

Jos hakija ilmoittaa tietolupahakemuksessa tai tietopyynnössä, joka koskee usean 6 §:ssä tarkoitetun organisaation tietoja, että usean organisaation tietoaineistoja ei ole tarpeen yhdistellä, jokainen hakemuksessa tai tietopyynnössä tarkoitettu organisaatio kokoaa, esikäsittelee ja pseudonymisoi tai anonymisoi omat tietoaineistonsa tai tuottaa tietopyynnössä tarkoitetun aggregoidun tilastotiedon. Organisaatiot voivat käyttää pseudonymisoinnissa Tietolupaviranomaisen luomaa pseudonymisointiavainta.

Jos hakemus tai tietopyyntö on koskenut vain organisaation omia tietoaineistoja, tietoluvan myöntänyt tai tietopyyntöpäätöksen tehnyt 6 §:ssä tarkoitettu organisaatio kokoaa, esikäsittelee ja pseudonymisoi tai anonymisoi tiedot tai tuottaa tietopyynnössä tarkoitetun aggregoidun tilastotiedon.

Organisaatio voi luovuttaa toimivallan tässä pykälässä tarkoitettuun tietoaineistojen käsittelyyn omien tietoaineistojensa osalta Tietolupaviranomaiselle toistaiseksi tai määräajaksi. Toimivalta voidaan luovuttaa, jos se on organisaation resurssit ja käytettävissä oleva asiantuntemus huomioiden perusteltua. Jos organisaatio katsoo, että toimivallan siirrolle ei ole enää perusteita, se voi palauttaa toimivallan itselleen ilmoittamalla asiasta Tietolupaviranomaiselle.

Muissa kuin 51 c ja 51 d §:ssä tarkoitetuissa tilanteissa tietolupaan perustuva tietoaineisto luovutetaan luvansaajan käsiteltäväksi 20 §:ssä tarkoitettuun tietoturvalliseen käyttöympäristöön tietoturvallisen siirtopalvelun tai muun tietoturvallisen palvelun välityksellä, ellei siitä ole muodostettu aggregoitua tilastotietoa.

Käyttöympäristön palveluntarjoajan on varmistettava ennen yhteyden avaamista luvansaajalle, että luvansaaja täyttää tietoluvassa asetetut vaatimukset.

Tietolupaviranomainen voi erityisestä syystä myöntää tietoluvan, jossa tietoaineisto voidaan luovuttaa muuhun turvalliseen käyttöympäristöön kuin 20 §:ssä tarkoitettuun tietoturvalliseen käyttöympäristöön. Tällainen tietolupa voidaan myöntää, jos:

Hakijan tulee perustella tietolupahakemuksessaan, miksi tietoaineistoa ei ole mahdollista käsitellä 20 §:ssä tarkoitetussa tietoturvallisessa käyttöympäristössä ja antaa kaikki tarvittavat tiedot, jotta Tietolupaviranomainen voi arvioida, täyttyvätkö 1 momentissa säädetyt edellytykset. Tietolupaan voidaan liittää tarkempia tietojen käsittelyä koskevia ehtoja.

Jos Tietolupaviranomainen on myöntänyt 1 momentissa tarkoitetun tietoluvan, se kokoaa ja tarvittaessa yhdistelee ja esikäsittelee sekä pseudonymisoi tai anonymisoi tietoluvassa yksilöidyt tiedot sekä luovuttaa tuottamansa tietoaineiston luvansaajan käsiteltäväksi muussa turvallisessa käyttöympäristössä kuin 20 §:ssä tarkoitetussa tietoturvallisessa käyttöympäristössä.

Edellä 6 §:ssä tarkoitettu organisaatio voi erityisestä syystä myöntää tietoluvan tietojen saamiseen anonymisoidussa muodossa 20 §:ssä tarkoitetun tietoturvallisen käyttöympäristön ulkopuolelle, jos tietolupahakemus koskee ainoastaan kyseisen organisaation tietoja. Jos tietolupahakemus koskee useamman kuin yhden 6 §:ssä tarkoitetun organisaation tietoja, Tietolupaviranomainen voi erityisestä syystä myöntää tietoluvan tietojen saamiseen anonymisoidussa muodossa 20 §:ssä tarkoitetun tietoturvallisen käyttöympäristön ulkopuolelle.

Edellä 6 §:ssä tarkoitettu organisaatio voi luovuttaa toimivallan antaa tässä pykälässä tarkoitettuja tietolupapäätöksiä omien tietoaineistojensa osalta Tietolupaviranomaiselle toistaiseksi tai määräajaksi. Tietolupaviranomainen tekee tällöin toimivallan luovuttaneen rekisterinpitäjän tietoaineistoja koskevat tietolupia koskevat päätökset. Toimivalta voidaan luovuttaa, jos se on organisaation resurssit ja käytettävissä oleva asiantuntemus huomioiden perusteltua. Jos organisaatio katsoo, että toimivallan siirrolle ei ole enää perusteita, se voi palauttaa toimivallan itselleen ilmoittamalla asiasta Tietolupaviranomaiselle.

Edellä 1 momentissa tarkoitetun luvan myöntämisen edellytyksenä on, että tietoaineistoon kohdistuvat riskit ovat vähäiset ja että tietoaineisto on mahdollista anonymisoida luotettavalla tavalla.

Edellä 6 §:ssä tarkoitettu organisaatio tai Tietolupaviranomainen kokoaa ja tarvittaessa yhdistelee ja esikäsittelee sekä anonymisoi tietoluvassa yksilöidyt tiedot ja luovuttaa tuottamansa anonymisoidun tietoaineiston luvansaajalle.

Kun tietoluvan nojalla on luovutettu tietoja käsiteltäviksi 20 §:ssä tarkoitetussa tietoturvallisessa käyttöympäristössä ja niiden pohjalta tuotettuja tuloksia halutaan tuoda ulos tietoturvallisesta käyttöympäristöstä, luvansaaja anonymisoi tietoturvallisesta käyttöympäristöstä ulos otettavat tulokset. Tietolupaviranomainen voi luvansaajan pyynnöstä tuottaa anonymisoidut tulokset ja luovuttaa ne luvansaajalle.

Jos tulokset on anonymisoinut luvansaaja, sen tulee ilmoittaa Tietolupaviranomaiselle, että se aikoo tuoda tulokset ulos tietoturvallisesta käyttöympäristöstä. Tietolupaviranomainen varmistaa tuotettujen tulosten anonymisoinnin riskiperusteisen arvioinnin perusteella.

Tietolupaviranomainen voi antaa tarkempia määräyksiä tulosten anonymisoinnista.

Tietolupakäsittelystä vastaavien viranomaisten on toimitettava vähintään kerran vuodessa tämän lain nojalla suorittamastaan tietojen käsittelystä ja lokirekisteriin tallennettujen tietojen käsittelystä yksityiskohtainen selvitys tietosuojavaltuutetulle.

Myös muihin tämän lain nojalla saatuihin tietoihin kuin viranomaisen tietoihin sovelletaan julkisuuslain:

Jos tämän lain nojalla luovutetaan salassa pidettäviä tietoja muulle kuin viranomaiselle, niiden saajaa on luovutuksen yhteydessä informoitava salassapitovelvoitteista noudattaen julkisuuslain 25 §:ää.

Sen estämättä, mitä muualla laissa säädetään oikeudesta tai velvollisuudesta luovuttaa salassa pidettäviä tietoja, tämän lain nojalla kerättyjä tietoja ei saa luovuttaa käytettäväksi yksityishenkilöä koskevassa hallinnollisessa päätöksenteossa eikä muussa vastaavassa asioiden käsittelyssä ilman hänen nimenomaista suostumustaan. Sosiaali- ja terveysalan valvontaviranomainen voi kuitenkin käyttää 42 §:n nojalla saamiaan tietoja muuta henkilöä kuin rekisteröityä koskevassa valvontatehtävässä, kun arvioidaan sosiaali- ja terveydenhuollon toimintayksiköiden tai ammattihenkilöiden toiminnan lainmukaisuutta taikka ammatillista asianmukaisuutta.

Sen estämättä, mitä 54 §:n 3 momentissa säädetään, tietoluvan saajalla on oikeus ilmoittaa Tietolupaviranomaisen nimeämälle vastuuhenkilölle kliinisesti merkittävästä löydöksestä, jonka perusteella olisi mahdollista ehkäistä tietyn potilaan terveyteen liittyvää riskiä tai parantaa merkittävästi hoidon laatua.

Jos 1 momentissa tarkoitetun ilmoituksen perusteena olevat tiedot ovat pseudonymisoituja, sanotun vastuuhenkilön on selvitettävä, ketä tai keitä tieto koskee. Kun Tietolupaviranomaisen vastuuhenkilöllä on tiedossaan henkilö tai henkilöt, joita 1 momentissa tarkoitettu ilmoitus koskee, vastuuhenkilön on toimitettava ilman aiheetonta viivytystä tiedot Terveyden ja hyvinvoinnin laitoksen nimeämälle asiantuntijalle.

Edellä 2 momentissa tarkoitetun asiantuntijan on yhteistyössä laitoksen nimeämien muiden asiantuntijoiden kanssa arvioitava tiedon merkittävyys ja sen pohjalta toteutettavissa olevien toimenpiteiden odotettavissa oleva hyöty. Jos hyöty arvioidaan niin ilmeiseksi, että tutkittava olisi tärkeää saada hoidon piiriin, Terveyden ja hyvinvoinnin laitoksen 2 momentissa tarkoitetun asiantuntijan on ilmoitettava löydöksestä kunkin henkilön terveydenhuollosta alueellisesti terveydenhuoltolain nojalla vastuussa olevalle toimintayksikölle.

Edellä 3 momentissa tarkoitetun toimintayksikön on otettava yhteys potilaaseen ja selvitettävä, haluaako tämä tiedon kliinisesti merkittävästä löydöksestä ja sen perusteella mahdollisesti tehtävistä tutkimus- ja hoitotoimenpiteistä sekä niistä odotettavissa olevasta hyödystä.

Potilaalla on oikeus kieltää kliinisesti merkittävän löydöksen perusteella tehtävät yhteydenotot. Kielto kirjataan asiakastietolain 72 §:ssä tarkoitettuun tahdonilmaisupalveluun. Potilas voi tehdä kiellon kirjallisesti missä tahansa julkista terveydenhuoltoa tuottavassa toimintayksikössä taikka sähköisesti asiakastietolain 74 §:ssä tarkoitetun kansalaisen käyttöliittymän välityksellä. (14.4.2023/707)

Tämän lain mukaisen henkilötietojen käsittelyn ja siihen liittyvän tietohallinnon yleinen suunnittelu, ohjaus ja valvonta kuuluvat sosiaali- ja terveysministeriölle.

Tietosuojavaltuutettu, Lupa- ja valvontavirasto sekä Tietolupaviranomainen ohjaavat ja valvovat toimialueellaan niille säädetyn toimivallan mukaisesti osaltaan tämän lain noudattamista. (27.6.2025/767)

Tietolupaviranomaisen ja muiden tämän lain mukaisesti tietolupia myöntävien viranomaisten sekä Lupa- ja valvontaviraston on omalta osaltaan seurattava ja valvottava, että kunkin antamaan palveluun liittyvä tietosuoja ja tietoturva toteutuvat ja että niiden myöntämien lupien ehtoja noudatetaan. Jos joku on lainvastaisesti käsitellyt henkilötietoja, asianomaisen viranomaisen on oma-aloitteisesti ryhdyttävä tarvittaviin toimenpiteisiin. Jos tietoja käsitellään 20 §:n 3 momentin nojalla muussa kuin Tietolupaviranomaisen tietoturvallisessa käyttöympäristössä, 19 §:ssä tarkoitetut lokitiedot sekä 22 §:n 2 momentissa tarkoitetun käyttäjärekisterin tiedot on toimitettava Tietolupaviranomaiselle seurannan ja valvonnan toteuttamiseksi sen pyynnöstä ilman aiheetonta viivytystä. (27.6.2025/767)

Jos Tietolupaviranomaisella tai tämän lain mukaisesti tietolupia myöntävällä viranomaisella on perusteltua syytä epäillä, että sen myöntämän tietoluvan perusteella tietoja käsittelevä ei käsittele henkilötietoja lain mukaisesti, sen on viipymättä tehtävä ilmoitus tietosuojavaltuutetulle.

Tietolupaviranomaisen on raportoitava ohjausryhmälle tapauksista, joissa poiketaan 47 ja 48 §:ssä tarkoitetuista määräajoista, sekä julkaistava tiedot niistä.

Tässä laissa tarkoitettuun tietopyyntöä koskevaan päätökseen sekä tietolupahakemusta ja luvan peruuttamista koskevaan päätökseen, jonka antaa Tietolupaviranomainen tai 6 §:ssä tarkoitettu organisaatio, sekä Lupa- ja valvontaviraston tämän lain nojalla tekemään päätökseen saa vaatia oikaisua. Oikaisuvaatimuksesta säädetään hallintolaissa (434/2003) .

Muutoksenhausta hallintotuomioistuimeen säädetään oikeudenkäynnistä hallintoasioissa annetussa laissa (808/2019) .

Tämä laki tulee voimaan 1 päivänä toukokuuta 2019.

Tämän lain 19 §:ää lokitiedoista sovelletaan 1 päivästä toukokuuta 2021. Tämän lain 20 §:n 3 momenttia ja 21–34 §:ää tietoturvalliselta käyttöympäristöltä edellytettävistä vaatimuksista sovelletaan 1 päivästä toukokuuta 2022. Ennen mainittua ajankohtaa tietoja voidaan luovuttaa luvansaajan käsiteltäväksi 51 §:n 1 ja 2 momentin nojalla, vaikka tietolupahakemuksessa ei osoitettaisi 51 §:n 3 momentissa tarkoitettua tietoturvallista käyttöympäristöä tietojen käsittelylle. Tietojen luovuttaminen edellyttää tällöin 43 §:n 4 momentin nojalla määräajaksi annettua tietolupaa, joka on voimassa enintään 30 päivään huhtikuuta 2022. Tämän lain 55 §:ää kliinisistä löydöksistä sovelletaan 1 päivästä tammikuuta 2024. (27.8.2021/793)

Edellä 47 §:n 4 momentissa ja 48 §:ssä säädettyjä tietojen luovutusta koskevia määräaikoja sovelletaan Kansaneläkelaitokseen ja sosiaalihuollon palvelunjärjestäjiin 1 päivästä tammikuuta 2024 sekä sähköisestä lääkemääräyksestä annetun lain 3 §:n 4 kohdassa tarkoitettuun reseptikeskukseen ja 5 kohdassa tarkoitettuun reseptiarkistoon tallennettuihin tietoihin lääkemääräyksistä ja niihin liittyvistä toimitustiedoista 1 päivästä tammikuuta 2021.

Tätä lakia sovelletaan asiakastietolaissa tarkoitettuihin Kanta-palveluihin 1 päivästä tammikuuta 2021.

Ennen lain voimaantuloa asianomaisen suostumuksella kerättyjä tietoja saa käyttää ja luovuttaa tämän lain mukaisesti lain 2 §:n 2 momentin 1, 2 ja 7 kohdan mukaisiin käyttötarkoituksiin sen estämättä, mitä 43 §:n 3 momentissa säädetään, jos on ilmeistä, että tietojen tällainen käyttö ja luovutus ei poikkea niistä tarkoituksista, joita varten tiedot on annettu. Tietoluvasta päättävä organisaatio voi edellyttää, että luvanhakija pyytää eettisen arvion lupapäätöksen perusteeksi Terveyden ja hyvinvoinnin laitoksen eettiseltä toimikunnalta. (5.12.2025/1159)

Hakemus, joka on tehty ennen tämän lain voimaantuloa, käsitellään loppuun noudattaen tämän lain voimaan tullessa voimassa olleita säännöksiä. Hakemukseen, joka koskee henkilötietojen luovuttamista terveydenhuollon valtakunnallisista henkilörekistereistä annetun lain (556/1989) 4 §:n mukaisesti, ei kuitenkaan sovelleta mainitun pykälän 1 momentin mukaista velvollisuutta varata tietosuojavaltuutetulle tilaisuus tulla kuulluksi, vaan tämän lain 44 §:n 4 momentin mukaista oikeutta pyytää tietosuojavaltuutetulta lausunto tietolupahakemuksesta.

Tämän lain 13 §:ää neuvontapalvelusta sovelletaan 1 päivästä marraskuuta 2019.

Tämän lain 41 §:n 2 momenttia ja 42 §:n 1 momenttia sekä 45 §:ää aggregoitua tilastotietoa koskevan tietopyynnön käsittelystä sovelletaan 1 päivästä tammikuuta 2020.

Tämän lain 14 §:n 1 ja 2 momenttia tietoaineistojen kokoamis-, yhdistämis- ja esikäsittelypalvelusta, pseudonymisoinnista ja anonymisoinnista, 16 §:ää Tietolupaviranomaisen asiointipalvelusta sekä 20 §:n 1 momenttia tietoturvallisesta käyttöympäristöstä sovelletaan 1 päivästä tammikuuta 2020. (5.12.2025/1159)

Tietolupahakemus ja tietopyyntö on toimitettava 16 §:ssä tarkoitetun asiointipalvelun välityksellä Tietolupaviranomaiselle 1 päivästä huhtikuuta 2020. (5.12.2025/1159)