Toisiolain mukaiset käyttöympäristöt

Lupa- ja valvontavirasto valvoo ja edistää sitä, että sosiaali- ja terveystietojen toisiokäyttöympäristöt täyttävät tietosuojaa ja tietoturvaa koskevat vaatimukset. Käyttöympäristöjen vaatimukset perustuvat lakiin sosiaali- ja terveystietojen toissijaisesta käytöstä (toisiolaki) sekä sosiaali- ja terveysalan tietolupaviranomaisen Findatan antamaan määräykseen 1/2022. Lupa- ja valvontavirasto ylläpitää julkista Astori-rekisteriä sille ilmoitetuista vaatimukset täyttävistä käyttöympäristöistä. 

Yksittäisten henkilöiden sosiaali- ja terveystietojen toissijainen käyttö tieteellisessä tutkimuksessa ja tilastoinnissa, opetusaineiston valmistamisessa sekä viranomaisen suunnittelu- ja selvitystehtävissä edellyttää toisiolain mukaista tietolupaa. Tietoluvan mukaisten aineistojen käyttö pitää tapahtua Findatan määräyksessä 1/2022 kuvattujen vaatimusten mukaisessa tietoturvallisessa käyttöympäristössä. Toisiolain perusteella tietoluvan mukaiset aineistot luovutetaan ensisijaisesti Findatan ylläpitämään käyttöympäristöön. Perustellusta syystä aineistot on myös mahdollista luovuttaa muuhun vaatimukset täyttävään käyttöympäristöön. 

Vaatimukset täyttävät käyttöympäristöt pitää rekisteröidä Lupa- ja valvontaviraston ylläpitämään, julkiseen Astori-rekisteriin ennen niiden käyttöönottoa. Rekisteröinnin edellytyksenä on Findatan määräyksen 1/2022 mukainen tietoturvallisuustodistus. Tietoturvallisuustodistuksen myöntää Liikenne- ja viestintävirasto Traficomin hyväksymä arviointilaitos. Lue lisää rekisteröinnistä Käyttöympäristön rekisteröinti -sivulta. Käyttöympäristön palveluntarjoaja on velvollinen osoittamaan voimassa olevalla tietoturvallisuuden arviointilaitoksen todistuksella, ajantasaisella dokumentaatiolla ja tarvittaessa teknisestä käyttöympäristöstä, että käyttöympäristö täyttää sille asetetut vaatimukset.  

Tietosuoja- ja tietoturvavaatimusten pitää täyttyä koko käyttöympäristön tuotantokäyttöajan, ja käyttöympäristön pitää olla rekisteröitynä Astori-rekisterissä. Tietoturva ja tietosuoja pitää huomioida muun muassa riskienhallinnan toimenpiteissä, käyttöympäristön muutostilanteissa ja tietoturvan hallintamallissa. Käyttöympäristön palveluntarjoaja on myös velvollinen seuraamaan ja arvioimaan järjestelmällisesti tuotantokäytön aikana saatavia kokemuksia. 

Lupa- ja valvontavirasto valvoo toisiolain mukaisia käyttöympäristöjä muun muassa arviointi- ja ohjauskäynneillä, selvityksillä ja tarkastuksilla. 

Katso myös

• Asiakas- ja toisiolain mukainen rekisteri Astori

Lainsäädäntö

• Laki sosiaali- ja terveystietojen toissijaisesta käytöstä (toisiolaki) (552/2019)

Tiedostot

• Sosiaali- ja terveysalan tietolupaviranomaisen (Findata) määräys 1/2022: muiden palveluntarjoajien tietoturvallisille käyttöympäristöille asetettavat vaatimukset (pdf)

Yhteystiedot

Sosiaali- ja terveysasioiden asiakaspalvelu

Asiointilomake:​ (LISÄÄ LINKKI)
Sähköposti: [email protected]
Puhelin: 0295 256 930 (maanantai-perjantai kello 9-15)​