Hallituksen esitys eduskunnalle laiksi  sosiaali-  ja   terveystietojen  toissijaisesta käytöstä sekä eräiksi siihen liittyviksi laeiksi

Arvoisa rouva puhemies! Tämä on merkittävä tapahtuma. Meillä on toisessa käsittelyssä laki, jota on hyvin kauan odotettu. Edellisessä käsittelyssä puhuin jo asiasta, joten nyt tässä vain hyvin lyhyesti: kysymys on siitä, että meillä on erittäin arvokkaat terveys- ja sosiaalipuolen rekisteriaineistot, ja on tärkeää, että niitä kansallisesti voitaisiin hyödyntää.

On hyvin monenlaisia intressejä näitten hyödyntämiselle, ja se on osittain hidastanut tämän lain valmistelua ja myöskin käsittelyä täällä. Tätä aineistojen käsittelyä tarvitaan terveysalan tutkimukseen, sosiaali- ja terveyspalvelujen ohjaukseen ja sitten erilaiseen innovaatiokehittelyyn. Tätä valmistelua on todella monimutkaistanut se, että tässä on useampi ministeriö myöskin mukana. Valiokuntahan käsitteli tätä puolitoista vuotta, ja on sanottava, että tämän käsittelyn kuluessa tämä tavattomasti parani.

Eräs hidastava kysymys on ollut se, että tässähän on kysymys ihmisten hyvin arkaluontoisista henkilötiedoista ja terveystiedoista, sosiaalitiedoista, ja sen vuoksi tämä tietoturvallisuus pitää ehdottomasti varmistaa. Tällä hetkellähän meillä tilanne on, ja se tulee myöskin pysymään niin, että näitä rekisteriaineistoja on eri tahoilla: THL:ssä, Kelassa, Väestörekisterikeskuksessa, Tilastokeskuksessa. Näin tulee pysymään.

Mutta nykyongelma on ollut se, että tutkijat joutuvat pyytämään eri tahoilta näitä tietoja ja sitten yhdistelemään ja käsittelemään niitä. Tämä on ollut tavattoman hidasta, käsittely on kestänyt kovin kauan, ja nyt sitten, kun tämä uusi systeemi merkitsee sitä, että tulee THL:n yhteyteen yksi käyttölupaviranomainen, joka sitten tutkijoiden toiveiden mukaan hankkii ne tiedot ja ammattitaitoisesti yhdistelee ja anonymisoi, niin tietoturvallisuuden kannalta tämä on tavattoman paljon parempi. Eli hienoa, että ollaan näin pitkällä ja tämän eduskunnan aikana tämä laki saadaan hyväksyttyä.

Arvoisa puhemies! Tämä toisiolaki on kyllä vaikea juttu, valiokunnan käsittelyn pohjalta se on nyt heti tähän alkuun todettava. Nimittäin toisiolaki on ollut tässä talossa käsittelyssä jo viime vuodesta lähtien, anteeksi, toissa vuodesta lähtien, ja se silloin budjettilakina eduskuntaan tullut esitys on näiden vuosien aikana kovasti muuttunut. Valiokunnassa on tehty hyvää työtä tämän toisiolain sisällön saattamiseksi sille tasolle, että nämä arkaluontoiset potilastiedot olisivat jatkossakin turvassa. Tarkoituksena on siis käyttää näitä tietoja toissijaisiin tarkoituksiin, ja tältä osin valiokunta on kyllä jumpannut tätä esitystä monelta osin kuntoon. Näistä alkuperäisistä pykälistä voi jo näppituntumalla sanoa, että kaksi kolmasosaa on tainnut mennä tämän prosessin aikana uusiksi.

Arvoisa puhemies! Nyt omana henkilökohtaisena mielipiteenäni esitän ilon siitä, että me pystymme jatkossa tämän toisiolain kautta hyödyntämään — erityisesti monien vakavien sairauksien tutkinnassa — sitä yhteiskunnan rekistereihin kertynyttä tietoa. Mutta samaan aikaan on muistettava, että kun on kysymys hyvin arkaluontoisista potilastiedoista, on tärkeää, että me huolehdimme siitä, että nämä tiedot ovat aina ja kaikkialla turvassa. Ratkaisut, joita valiokunnassa tämän vuoden puolella tehtiin, ovat oikeansuuntaisia.

Itse olisin varmistanut näiden arkaluontoisten tietojen säilymisen turvallisissa käsissä niin, että tämä perustettava uusi tietolupaviranomainen olisi saanut astetta laajemmat valtuudet siihen, että tämä arkaluontoinen tieto, jota sitten voisi tietyissä tapauksissa luovuttaa, olisi tosiasiassa vain ja ainoastaan luovutettavissa täältä tietolupaviranomaisen taholta. Näiltä osin tämä muutos ei valitettavasti ollut mahdollinen, vaan haluttiin pitää kiinni siitä, että kaikki yhteiskunnan rekisterinpitäjät voisivat tosiasiassa tätä toisiotietoa vielä luovuttaa niillä ehdoin, jotka tämä lakiehdotus sisältää. Pidän sitä arveluttavana sen takia, että valiokunta nimenomaan toteaa, että näiden arkaluontoisten tietojen pitäisi olla tietoteknisesti suojatussa ympäristössä käytettäviä tietoja, ja kun tällainen suojaus, joka näille sitten anonymisoitumisen kautta tehtäisiin, vaatisi tosiasiassa tätä saman tietolupaviranomaisen toimintaa, niin tuntuu erikoiselta, että tietolupaviranomaisen tekemä työ voitaisiin luovuttaa kenelle tahansa rekisterinpitäjälle taas takaisin. Sitä kautta tullaan sitten siihen, että miksi ihmeessä tällainen vaihe tähän jää.

Eli tässä on aika paljon byrokratiaa, tieto liikkuu moneen suuntaan ja vähän oudolla tavalla liikkuukin. [Puhemies koputtaa] Siltä osin olisi pitänyt tehdä tähän vielä muutoksia.

Arvoisa puhemies! Tästä käytiin edellä hyvää keskustelua, ja otin puheenvuoron vain sitä varten, että varmistan, että mikäli valiokunnassa esitetään vastalause, niin esitän, että tämän vastalauseen mukaisesti toimitaan.

Arvoisa puhemies! Tämänkään esityksen valmistelusta ei hallitukselle voi täysiä pisteitä antaa. Asia on käsitelty valiokunnassa huolella, ja kuten täällä salissa on todettukin, se on muuttunut valiokunnan käsittelyssä parempaan suuntaan. Tähän esitykseen liittyy kuitenkin edelleenkin ongelmia, joista keskeisimpänä näen sen, että terveystietojen käsittelyyn liittyvä riskien hallinta on hämärän peitossa, eikä valiokunta saanut riittäviä vastauksia riskien hallintaa koskeviin kysymyksiin, kuten esimerkiksi siihen, millaiset riskiarviot syntyvästä tilanteesta on tehty ja miten näihin riskeihin varaudutaan.

Puhemies! Kannatan edustaja Nurmisen tekemää esitystä.

Arvoisa rouva puhemies! Tällä hetkellä terveystietoja käytetään johtamiseen, niitä käytetään tutkimukseen, niitä käytetään innovatiiviseen tuotekehitykseen — siis toisin sanoen isoilla alueilla sen selvittämiseen, miten terveyspalvelut olisi tarkoituksenmukaista tuottaa. Paitsi että se on hallinnollista tietoa, se on myös tutkimustietoa.

Kun ammattilaisena katsoo nyt käsiteltävänä olevaa lakiehdotusta, niin itse asiassa se tulee jäykistämään saatavuutta nykyisestä. Sinne tulee uusia elementtejä, jotka arvioivat sen tiedon käytettävyyttä. Sinne tulee keskitetty viranomainen, joka huolehtii siitä, että jokaisella tutkimuspyynnöllä, päinvastoin kuin täällä on esitetty, on myös peruste. Ja jos tehdään tieteellistä tutkimustyötä, niin eettisen toimikunnan tulee arvioida se tilanne, tutkimuksen aiheellisuus, ja itse asiassa tätä samaa menettelytapaa voidaan käyttää myös niin sanotussa innovatiivisessa toiminnassa. Innovatiivisen selvittelyn ja tutkimustyön välimaasto on aivan kuin veteen piirretty viiva, ja näen, että tämä lakialoite nyt edellyttää innovatiivisessa toiminnassa samankaltaista tutkimusasetelmaa, siis samankaltaista korkeata eettistä tasoa.

Tietoja ei myöskään voida siirtää innovoinnin ja analysoinnin jälkeen minne hyvänsä tietojärjestelmään, vaan kaiken aikaa, kun tietolupaviranomainen on tehnyt päätöksensä, että tietoja voidaan luovuttaa, se edellyttää, että niitä käytetään sitten huipputurvallisessa ympäristössä, päinvastoin kuin tämänhetkinen lainsäädäntö ei sano asiasta mitään.

Näen, että tämä lakiesitys on selkeä parannus nykytilanteeseen nähden.

Arvoisa puhemies! Olen tehnyt julkisen aloitteen siitä, että seuraavassa hallituksessa tulisi olla digiministeri tai tietotalousministeri, jonka tehtävänkuvaan kuuluisivat juuri tämänkaltaisen lainsäädännön ja monien muitten — kymmenien, ellei satojen — lakien ajantasaistaminen tulevaisuuden tietotalouden tarpeisiin sekä julkisen hallinnon tietovarantojen ja yksityisten tietovarantojen sekä sitten tällaiseen tietotalouteen liittyvän liiketoiminnan edistäminen. Sanoisin, että tämän lakiesityksen valmistelu ja käsittely valiokunnassa ovat korostaneet tällaisen erityisministerin tarvetta: paitsi että se on Suomen taloudelliselle tulevaisuudelle aivan keskeinen toiminta-alue, myöskin siksi, että julkisen hallinnon digitalisaatio, tietokäytännöt sekä myös kansalaisten tietoturva ovat varmistettuja.

Itselleni asiantuntijat ovat herättäneet monia kysymyksiä ja huolia, joihin lyhyesti viittasin ensimmäisessä käsittelyssä, siitä, minkälaisia puutteita tähän lakiesitykseen liittyy vielä tässä vaiheessa, jotka perustelisivat sinällään sen hylkäystä, mutta ehkä keskeisin asia on se, että tässä nämä sinänsä tarpeelliset palvelut olisi mahdollista toteuttaa keskittämättä käsittelyä yhdelle toimijalle tai viranomaiselle.

Nimenomaan toimivassa ja turvallisessa tietoympäristössä sähköisillä palveluilla on vastuullinen ylläpitävä taho. Ne näyttäytyvät hakijoille yhtenäisinä yhden luukun palveluina mutta ovat siitä huolimatta aidosti yhteiskäyttöisiä. Esimerkiksi lupapalvelun kautta voisi hakea yhdellä hakemuksella luvat kaikkiin aineistoihin, joita hankkeessa tarvitaan, ja kukin viranomainen tai rekisterinpitäjä myöntäisi luvat omiin aineistoihinsa. Niillä olisi käyttöliittymät, palveluja voisi hoitaa lupakäsittelyjärjestelmässä ja antaa päätökset hakijoille tiedoksi järjestelmän kautta. Etu tällaisesta järjestelmästä tähän lakiesitykseen nähden on tietenkin se, että se palvelisi hakijoita yhtä lailla, haettiinpa yhdeltä tai useammalta viranomaiselta, mutta täyttäisi tiukemmin eurooppalaiset tietoturvasäännökset ja olisi myöskin tiedon omistajalle turvallinen. Lisäksi tiedon omistajan oikeudet tulisi turvattua kaikissa tapauksissa.

Olisi toisin sanoen siis edullista se, että kukin substanssivaliokunta olisi tämäntapaisessa digitalisaatiolainsäädännössä lausunnonantamisvaliokunta eikä päätöksentekovaliokunta, [Puhemies koputtaa] kun ymmärrettävästi sosiaali‑ ja terveysvaliokunnallakin tässä on ollut niin sanotusti muita kiireitä.

Arvoisa puhemies! Ensinnäkin voi todeta tämän lain valmistelusta, että paremminkin olisi voitu pärjätä tässä lainvalmistelussa. Puolitoista vuotta on korjattu tämän lain puutteita, kun tämän sääntelyn valmistelu on osoittautunut matkan varrella erityisen puutteelliseksi. Hallituksen esitys tuotiin 2017 lokakuussa kovalla kiireellä eduskuntaan ja budjettilakina se raukesi, koska näitä yksityiskohtia ei saatu silloin hiottua riittävällä tavalla selkeiksi. Työtä on jatkettu sitten vuoden 2018 puolella, ja tosiasiassa myös valiokunnan kuulemat asiantuntijat osoittivat, että tietosuoja ja ‑turva eivät olleet tässä esityksessä alkuun riittävällä tasolla. Ongelmat jäivät korjattavaksemme sekä hallituksen valmistelun piirissä että myöhemmin valiokuntakäsittelyssä. Uusi, korjattu vastine tuli silloin loppuvuodesta 2018, ja useita kymmeniä pykäliä laitettiin valiokunnassa vielä uusiksi. Kun katsotaan tätä versiota, joka tänään on käsittelyssä salissa, verrattuna siihen vuoden 2017 kiireellä valmisteltuun budjettilakiehdotukseen, voidaan sanoa, että eduskunta on tehnyt tässä todella todella ansiokasta työtä.

On syytä siis korostaa, että tässä on varmistettava ihmisten tietosuoja, ja tietosuojaa koskevat vaatimukset ovat tämän esityksen sisällössä merkittävästi muuttuneet. Nyt suostumukseen ja tietojen anonymisointiin perustuvan tietojen luovuttamisen kehittämis- ja innovaatiotoimintaan ei voi ollenkaan enää katsoa olevan tietosuoja-asetuksen kansallisen liikkumavaran piirissä. Näin on tehty aika iso ratkaisu, joka tukee sitä, että nämä tiedot ovat jatkossa turvassa. Lisäksi lähtökohta on tässä esityksessä ollut tässä se, että ollaan haluttu kaikkien näiden muutosten jälkeen luovuttaa kehittämis- ja innovaatiotoimintaan sellaista aggregoitua tilastotietoa, joka tosiasiassa on todella pitkällä siitä, mitä alun perin esitettiin. Tämä rajaus, jonka valiokunta on tehnyt, on mielestäni kannatettava. Tietoa ei siis voi enää luovuttaa aikaisemman hallituksen esityksen mukaisesti, vaan on tunnustettu se, että tämä tieto saattaa sisältää jäännösriskin, jolloin anonymisoitu tieto voi olla tunnistettavissa ja murrettavissa teknologian kehittymisen myötä ja tekoälyn käytön yleistyessä, ja tämä johtaa siihen, [Puhemies koputtaa] että nyt sitten tutkimuskäyttöön voidaan luovuttaa näitä materiaaleja vain tietoturvallisessa ympäristössä.

Arvoisa puhemies! Kannatan mielihyvin edustaja Harakan esittämää tietoturvaministeritointa. Koska meillä on nyt valtava määrä tietoa hyödynnettävissä, niin se, miten sitä käytetään integroidusti, ettei sitä samaa asiaa tutkita useampaan kertaan, on äärimmäisen tärkeää nimenomaan meidän yhteiskuntamme toimivuuden kannalta — se, että eri ministeriöt eivät enää katso sitä omaa sektoria vaan meillä on yhteinen palveluväyläajattelu tässä kokonaisuudessa. Sen sijaan en ole samaa mieltä edustaja Harakan kanssa siitä, pirstoutuuko nytten tämä luvanhallinta. Meillähän tutkija — jos ajatellaan tällaista tieteellistä työtä — tekee tutkimussuunnitelman ja jos sinne sitten tarvitsee yhdistää eri viranomaisten tietoja, niin itse asiassa siinä yhteydessä lupaviranomainen Valvirassa tai THL:n puolella tällä hetkellä arvioi sen, saadaanko väestörekisteritietoa yhdistää kliinisiin potilastietoihin, ja tässä käytetään vielä sitten hyväksi tietosuojavaltuutetun lausuntoa. Elikkä prosessi on hyvin hankala tällä hetkellä.

Uuden lainsäädännön mukaisesti tietosuojaviranomainen on juuri tämmöinen kaiken tiedon yhdistävä viranomainen, joka tuo sitten eri viranomaisilta tutkijan arvioimat tiedot samaan matriisiin, yhteen kokonaisuuteen, jolloin tutkija voi yhdistellä tietoja eri tavalla siinä, etsiä lainalaisuuksia, mitä näiden välillä on, ja toisaalta hän saa ainoastaan erillisellä luvalla tähän lisätietoja yhdistettäväksi. Kaiken kaikkiaan silloin, kun tutkija jättää tämän tietopyyntöanomuksen tietoturvaviranomaiselle, hänen on vielä tehtävä suunnitelma siitä, miten tulokset tullaan julkistamaan, minkä kaltaisilla malleilla, ja tietoturvaviranomaisen tulee edelleenkin arvioida se, onko tämä tutkimussuunnitelma näiltä osin, siis tiedon julkistamisen osalta, validi, ja kun tiedot ovat valmiita, hänen tulee myöskin vastata siitä — tarkistaa ja arvioida — että kenenkään yksityisyyttä ei ole loukattu tietojen julkistamisen yhteydessä. Näette, että tämä prosessi on hyvin turvallinen tällä hetkellä. Se tuo tällä hetkellä sen yksilönsuojan, jota tarvitaan. Se itse asiassa, niin kuin aiemmin totesin, jopa jäykistää nykyistä tutkimusta.

Arvoisa puhemies! Vielä tarkennan siis sen verran, että olen samaa mieltä edustaja Taljan kanssa siitä, että tämä esitetty tietolupaviranomaismalli on kankea ja oikeastaan vähän turhanaikainenkin. Se tuo turhaa, ylimääräistä henkilötietojen käsittelyä eikä ole siis tämän tietoturva-asetuksen 5 artiklan tietojen minimointiperiaatteen mukainen. Siis pitäisi olla semmoinen vaihtoehtoinen malli, jossa kukin viranomainen poimisi luvassa pyydetyt tiedot, pseudonymisoisi ne muiden samaan hakemukseen liittyvien viranomaisten kanssa samalla tavalla, ja sitten kukin luovuttaisi aineistonsa suoraan luvanhakijalle tietoturvalliseen käyttöympäristöön. Tällainen hajauttaminen ja tällainen keskittämisen välttäminen on se ainoa tie, jolla voidaan sekä päästä joustavaan tapaan käsitellä näitä valtavia datamassoja että myöskin huolehtia siitä, että ne eivät keskittymisen takia aiheuta tietoturvaongelmaa.

Arvoisa puhemies! Tässä esityksessä haastetta luo se, että esitys olisi tosiasiassa pitänyt näiden valtavien pykälämuutosten jälkeen kirjoittaa kokonaan uusiksi sellaiseen sujuvaan muotoon, jossa kaikki asiat olisi sitten ehditty tarkkaan harkita. Seuraava hallitus tullee korjaamaan tätä toisiolakia vielä myöhemmin sen sisältöön jääneiden ratkaisulinjojen vuoksi.

Hallituksen esityksessä tälle lain toimeenpanolle annetaan erittäin lyhyt aika. Tosiasiassa lait tulisivat voimaan jo huhtikuun alusta, ja tältä osin voi sanoa, että muutamassa viikossa ollaan tilanteessa, jossa tämä esitys tulee voimaan, mutta samaan aikaan on haastetta saada kaikki rekisteritieto hyväksikäytettyä niin, että on myöskin mahdollisuus siirtää yhteiskunnan tiedostoihin jääneitä asioita mukaan tähän uuteen järjestelmään. Samaan aikaan neuvontapalvelu alkaa hyvin nopeasti vuoden lopulla, ja hyvin nopeasti myöskin se asettaa sen kysymyksen, onko sosiaali- ja terveydenhuollon toimijoilla, niin kunnilla kuin muilla nykyisillä sosiaali- ja terveydenhuollon rekisterinpitäjillä, tosiasiallista mahdollisuutta näissä määräajoissa tätä työtä tulla jatkossa tekemään. Tässähän annetaan mahdollisuus 15 päivän kuluessa pyynnön saapumisesta antaa tällaista aggregoitua tilastotietoa tietopyynnön mukaisesti käyttöön. Näin ollen näyttää siltä, että siinä, millä tavalla se kompensoidaan ja millä tavalla nämä ratkaisut tehdään, on vielä paljon parantamisen varaa.

Kaiken kaikkiaan tämä keskitetty tietolupaviranomainen aloittaisi siirtymäajan jälkeen vasta vuonna 2020, joten olisi ollut aikaa myöskin kokeilla tämän lain toimeenpanoa alueittain ja mahdollisesti siirtymäajoilla ja kokeilusta hankkia parhaat mahdolliset käytänteet, mikä olisi sitten taannut sen, että tämä korkeatasoinen tietosuoja ja tietoturvaosaaminen olisi pystytty tässä hyödyntämään. Nyt ollaan tosiasiassa tilanteessa, että me joudumme pohtimaan, onko tämä korkean asiantuntemuksen tehtävän omaava tietolupaviranomainen edes riittävällä tavalla resursoitu ja onko sillä sellaiset kokoonpanoon ja voimavaroihin liittyvät asiat kunnossa, että se tulee tehtävästään selviytymään. Tarkemmat määräykset myös tältä osin puuttuvat, niin kuin myös eettinen toimikunta linjaamaan niitä vaikeita ratkaisuja, joita siellä varmasti joudutaan tekemään. [Puhemies koputtaa] Näin ollen on todettava, että tässä on riski. [Puhemies koputtaa] Toivottavasti riski ei kuitenkaan realisoidu.