Vanliga frågor om lagen om sekundär användning
Information för myndigheter som ansvarar för behandlingen av dataanvändningstillstånd enligt 53 § i sekundärlagen
I 53 § i lagen om sekundär användning av personuppgifter inom social- och hälsovården dvs. sekundärlagen (552/2019) föreskrivs om redogörelseskyldigheten för myndigheter som ansvarar för behandlingen av dataanvändningstillstånd.
Enligt lagen ska dessa myndigheter lämna dataombudsmannen en detaljerad redogörelse för behandlingen av uppgifter med stöd av sekundärlagen och för behandlingen av uppgifter som registrerats i loggregistret.
Redogörelseskyldigheten skyddar människors rättigheter vid behandlingen av personuppgifter. Genom skyldigheten säkerställs lagligheten i behandlingen av personuppgifter och individernas rättssäkerhet.
Lag om sekundär användning av personuppgifter inom social- och hälsovården i Finlex
I sekundärlagen anges ingen separat tidsfrist för lämnandet av redogörelsen. Den ska dock lämnas minst en gång per år. Redogörelsen kan omfatta t.ex. ett kalenderår.
Redogörelsen skickas till dataombudsmannens byrås registratorskontor per e-post (tietosuoja(at)om.fi) eller per post (PB 500, 00531 Helsingfors).
Om en i 6 § i sekundärlagen avsedd organisation som ansvarar för behandlingen av dataanvändningstillstånd har överfört sin behörighet för behandling av dataanvändningstillstånd och begäranden om information till Tillståndsmyndigheten för social- och hälsovårdsdata (Findata) på det sätt som föreskrivs i 6 c § i sekundärlagen, behöver den inte längre lämna en redogörelse enligt 53 § i sekundärlagen till dataombudsmannen.
Av redogörelsen ska åtminstone följande omständigheter framgå:
- Hur många ansökningar om dataanvändningstillstånd och begäranden om information myndigheten som ansvarar för behandlingen av dataanvändningstillstånd har godkänt och avslagit för varje ändamål enligt 2 § 2 mom. i sekundärlagen. Om en ansökan om dataanvändningstillstånd eller en begäran om information har avslagits, på vilka grunder har den avslagits?
- I fråga om hur många ansökningar om dataanvändningstillstånd och begäranden om information har den myndighet som ansvarar för behandlingen av dataanvändningstillstånd varit sammanställare, samkörare och förbehandlare av det utlämnade datamaterialet? (Sekundärlagen 36 a §, 51 § 2 mom.)
- På basis av hur många dataanvändningstillstånd har den myndighet som ansvarar för behandlingen av dataanvändningstillstånd lämnat ut anonymiserade uppgifter? (Sekundärlagen 14 § 1 mom., 51 §)
- På basis av hur många dataanvändningstillstånd har den myndighet som ansvarar för behandlingen av dataanvändningstillstånd lämnat ut anonymiserade uppgifter någon annanstans än i en sådan informationssäker driftmiljö som avses i 20 § i sekundärlagen? På vilka grunder har uppgifterna lämnats ut någon annanstans än i en informationssäker driftmiljö? (Sekundärlagen 51 d § 1 mom.)
- På basis av hur många dataanvändningstillstånd har den myndighet som ansvarar för behandlingen av dataanvändningstillstånd överfört personuppgifter till tredjeländer? Om personuppgifter har överförts, på vilka grunder enligt kapitel V i dataskyddsförordningen har uppgifterna överförts och till vilket land? Om personuppgifter har överförts med stöd av artikel 46 i dataskyddsförordningen, har behovet av eventuella kompletterande skyddsåtgärder bedömts vid överföringen? Vilka kompletterande skyddsåtgärder har eventuellt använts vid överföringen? Läs mer om kompletterande skyddsåtgärder
- På vilket sätt säkerställer den myndighet som ansvarar för behandlingen av dataanvändningstillstånd att endast personuppgifter som är nödvändiga med tanke på användningsändamålet lämnas ut med stöd av dataanvändningstillståndet (artikel 5.1.c i dataskyddsförordningen)?
- På vilket sätt försäkrar sig den myndighet som ansvarar för behandlingen av dataanvändningstillståndet om att uppgifter som samlats in med stöd av den registrerades samtycke lämnas ut endast i enlighet med villkoren i samtycket? (Lagen om sekundär användning, 43 § 3 mom.)
- Om den myndighet som ansvarar för behandlingen av dataanvändningstillstånd med stöd av dataanvändningstillståndet lämnar ut personuppgifter i en informationssäker driftmiljö som myndigheten själv upprätthåller, upprättas ett avtal eller någon annan rättsakt om behandlingen av personuppgifter? Om inget avtal eller någon annan rättsakt upprättas, på vilka grunder upprättas dessa inte? (Artikel 28.3 i dataskyddsförordningen)
- Informerar den myndighet som ansvarar för behandlingen av dataanvändningstillstånd de registrerade om behandlingen av personuppgifter med stöd av lagen om sekundär användning, den rättsliga grunden för behandlingen, eventuell överföring av personuppgifter i samband med behandlingen, tiden för bevaring av personuppgifter samt de rättigheter de registrerade har tillgång till? (Artikel 13–14 i dataskyddsförordningen)
- På vilket sätt underlättar den myndighet som ansvarar för behandlingen av dataanvändningstillstånd utövandet av den registrerades rättigheter enligt dataskyddsförordningen i fråga om behandling av personuppgifter med stöd av lagen om sekundär användning? (Artikel 12.2 i dataskyddsförordningen)
- På vilket sätt sörjer den myndighet som ansvarar för behandlingen av dataanvändningstillstånd för en tillräcklig informationssäkerhet vid behandlingen av personuppgifter med stöd av lagen om sekundär användning? (18 § i lagen om sekundär användning och artikel 32 i dataskyddsförordningen)
- På vilket sätt följer och övervakar den myndighet som ansvarar för behandlingen av dataanvändningstillstånd att villkoren i det beviljade dataanvändningstillståndet följs? Har den myndighet som ansvarar för behandlingen av dataanvändningstillstånd med stöd av det datatillstånd som myndigheten i fråga beviljat vidtagit åtgärder vid eventuell lagstridig behandling av personuppgifter och i så fall vilka åtgärder? Har den myndighet som ansvarar för behandlingen av dataanvändningstillstånd återkallat ett beviljat datatillstånd och i så fall på vilka grunder? (43 § 4 mom. och 56 § 3 mom. i lagen om sekundär användning)
- På vilket sätt sörjer den myndighet som ansvarar för behandlingen av dataanvändningstillstånd för insamlingen av logguppgifter när den behandlar personuppgifter för tillståndsprövning, beslutsfattande eller utlämnande av uppgifter enligt lagen om sekundär användning? (Lagen om sekundär användning, 19 § 1 mom.)
- På vilket sätt sörjer den myndighet som ansvarar för behandlingen av dataanvändningstillstånd insamlingen av logguppgifter när den behandlar personuppgifter och informationsledning är användningsändamålet? (Lagen om sekundär användning, 19 § 3 mom.)
- På vilket sätt sörjer den myndighet som ansvarar för behandlingen av dataanvändningstillstånd för att de logguppgifter som samlas in med stöd av lagen om sekundär användning förstörs eller arkiveras? (Lagen om sekundär användning, 19 § 4 mom.)
I redogörelsen ska Tillståndsmyndigheten för social- och hälsovårdsdata (Findata) dvs. Tillståndsmyndigheten därtill ge åtminstone följande uppgifter:
- Vilka organisationer som avses i 6 § i sekundärlagen har i fråga om sitt eget datamaterial överlåtit behörigheten att meddela beslut om dataanvändningstillstånd eller om begäranden om information till Tillståndsmyndigheten? (Sekundärlagen 6 c §)
- På basis av hur många dataanvändningstillstånd har Tillståndsmyndigheten lämnat ut datamaterial någon annanstans än i en sådan informationssäker driftmiljö som avses i 20 § i sekundärlagen? På vilka grunder har datamaterialet lämnats ut någon annanstans än i en informationssäker driftmiljö? (Sekundärlagen 51 c §, 51 d § 1 mom.)
- I fråga om hur många dataanvändningstillstånd har Tillståndsmyndigheten säkerställt anonymiseringen av de producerade resultaten utifrån en riskbaserad bedömning? (Sekundärlagen 52 §)
- Vilka färdiga datamaterial har Tillståndsmyndigheten skapat? På basis av hur många dataanvändningstillstånd eller begäranden om information har färdiga datamaterial lämnats ut? (Sekundärlagen 14 § 4 mom.)