Henkilötietojen käsittelyyn tutkimuksessa

Tämä selvitys on tehty osana Euroopan aluekehitysrahaston rahoittamaa Digitalisaatiolla aivoterveyttä -hanketta, jonka osapuolia ovat Helsingin yliopisto, Aalto-yliopisto ja Helsingin ja Uudenmaan sairaanhoitopiirin kuntayhtymä (1.1.2023 alkaen HUS-yhtymä) (HUS).

Selvityksen tavoite on kartoittaa terveyttä koskevien henkilötietojen tieteellisen tutkimuskäytön juridisia reunaehtoja ja niihin liittyviä tulkintoja. Selvitykseen on koottu tulkintoja ja käytäntöjä pääasiassa Helsingin yliopiston, Aalto-yliopiston ja HUSin toimintaan liittyen. Selvityksessä tuodaan esille terveyttä koskevan henkilötiedon tutkimuskäyttöön soveltuvia säännöksiä, viranomaisten ohjeita ja erilaisia lääketieteelliseen ja ei-lääketieteelliseen tutkimukseen liittyviä tulkintoja. Yhtenä terveyttä koskevien henkilötietojen erityistapauksena selvityksessä kiinnitetään useissa kohdissa huomioita aivokuvantamisdatan käyttöön tieteellisessä tutkimuksessa.

Selvityksessä ei käsitellä kliinisiä lääketutkimuksia eikä lääkinnällisiä laitetutkimuksia. Myös biopankkitutkimus ja ihmisperäisillä näytteillä tehtävä tutkimus jäävät pääosin selvityksen soveltumisalan ulkopuolelle, koska selvityksessä keskitytään kuvaamaan datan käyttöön liittyviä reunaehtoja.

Selvitys on tarkoitettu aihepiiriä koskevasta juridiikasta kiinnostuneille. Seuraavat selvityksen kohdat on suunnattu erityisesti terveystietoja tutkimuksessa käsitteleville tutkijoille käytännönläheisemmiksi ohjeiksi:

– 4. Yhteenveto: mitä lupia, lausuntoja ja dokumentaatiota tulee laatia tai hakea terveyttä koskevia henkilötietoja hyödyntävässä tutkimuksessa

– 5. Tutkijan roolin/affiliaation vaikutus HUSin potilasrekisteritietoja koskeviin lupaprosesseihin

– 8. Erityiskysymyksiä

– 9. Esimerkkitapausten prosessikuvauksia

Selvityksessä linkitetään joissakin kohdissa HY:n, Aalto-yliopiston ja HUSin ohjeistuksiin, joista osaan tulee kirjautua kyseisen organisaation tunnuksilla.

Terveystietoa koskeva lainsäädäntöympäristö on muutoksessa, minkä takia tässä selvityksessä kuvatut juridiset reunaehdot saattavat muuttua selvityksen valmistumisen jälkeen. Mm. seuraavat lainsäädäntöhankkeet saattavat tulevaisuudessa vaikuttaa tässä selvityksessä esitettyjen juridisten reunaehtojen sisältöön ja voimassaoloon (tilanne syksyllä 2022):

– Eurooppalainen terveysdata-avaruus (European Health Data Space). Ehdotus tehty 3.5.2022. Tilanne 12.8.2022 on se, että ehdotus on neuvoston ja Euroopan parlamentin käsittelyssä. Eurooppalainen terveysdata-avaruus ihmisten ja tieteen hyväksi (europa.eu)

– Ehdotus asetukseksi eurooppalaisesta datahallinnosta (Digital Governance Act). Ehdotus tehty 25.11.2020.

– Ehdotus Euroopan parlamentin ja neuvoston asetukseksi tekoälyä koskevista yhdenmukaistetuista säännöistä (tekoälysäädös) ja tiettyjen unionin säädösten muuttamisesta. Ehdotus tehty 21.4.2021.

– Euroopan tietosuojaneuvoston (European Data Protection Board) tulevat ohjeet terveystietojen käsittelystä tieteellisiä tutkimustarkoituksia varten [1]

Mahdolliset lainsäädäntömuutokset pyritään huomiomaan jatkossa selvitystä päivittämällä. Tällöin päivityksestä tulee erillinen merkintä tekstiin.

[1] EDPB on ohjeissaan 3/2020 terveystietojen käsittelystä tieteellisiä tutkimustarkoituksia varten covid-19-pandemian yhteydessä todennut tulevansa antamaan tarkempia ohjeita terveystietojen käsittelystä tutkimustarkoituksia varten.

Artikkelit

Christopher Schwarz & al, 2019. Identification of Anonymous MRI Research Participants with Face-Recognition Software. The New England Journal of Medicine 2019.

Christopher Schwarz & al: Changing the face of neuroimaging research: Comparing a new MRI de-facing technique with popular alternatives. Neuroimage. Volume 231. 1.5.2021.

Damian Eke & al: Pseudonymisation of neuroimages and data protection: Increasing access to data while retaining scientific utility. Neuroimage: Reports. Volume 1, Issue 4, December 2021.

Virallislähteet

HE 65/2010 vp

Hallituksen esitys eduskunnalle lääketieteellisestä tutkimuksesta annetun lain, potilaan asemasta ja oikeuksista annetun lain 13 §:n sekä sosiaalihuollon asiakkaan asemasta ja oikeuksista annetun lain 18 §:n muuttamisesta

HE 18/2020 vp

Hallituksen esitys eduskunnalle laiksi kliinisestä lääketutkimuksesta sekä eräiksi siihen liittyviksi laeiksi

Article 29 Data Protection Working Party: Opinion 03/2013 on purpose limitation. Adopted on 2 April 201

Article 29 Data Protection Working Party, Opinion 04/2007 on the concept of personal data. Adopted on 20th June

Article 29 Data Protection Working Party, Opinion 05/2014 on Anonymisation Techniques

EDPB Document on response to the request from the European Commission for clarifications on the consistent application of the GDPR, focusing on health research. Adopted on 2 February 2021

EDPB Opinion 3/2019 concerning the Questions and Answers on the interplay between the Clinical Trials

Regulation (CTR) and the General Data Protection regulation. Adopted on 23 January 2019

Information Commissioner’s Office: Introduction to anonymization. Draft anonymization, pseudonymization and privacy enhancing technologies guidance. May 2021

Euroopan tietosuojaneuvoston ohjeet 3/2020 terveystietojen käsittelystä tieteellisiä tutkimustarkoituksia varten covid-19-pandemian yhteydessä, annettu 21. huhtikuuta 2020

Oikeuskäytäntö

Euroopan unionin tuomioistuin

Asia C-582/14, Patrick Breyer vastaan Saksan liittotasavalta. Tuomio annettu 19.10.2016 (toinen jaosto). ECLI:EU:C:2016:779

Muut lähteet

Euroopan komission lehdistötiedote 3.5.2022: Euroopan terveysunioni: Eurooppalainen terveysdata-avaruus ihmisten ja tieteen hyväksi (https://ec.europa.eu/commission/presscorner/detail/fi/ip_22_2711)  

HIPAA Journal on Oct 18, 2021: De-identification of Protected Health Information: How to Anonymize PHI (https://www.hipaajournal.com/de-identification-protected-health-information/) 

Sosiaali- ja terveysministeriö: usein kysyttyä sote-tietojen toissijaisesta käytöstä

(https://stm.fi/usein-kysyttya-sote-tiedon-toisiokaytosta)

TUKIJA: Tietoon perustuva suostumus – Asiakirjamalli (asetuksen 536/2014 mukaiset tutkimukset). TUKIJA/8/2022 8.3.2022

https://tukija.fi/documents/1481661/0/Saavutettava+Malliasiakirja_tiedote+kliinisestä+lääketutkimuksesta+ja+suostumus_23112021+(1).pdf/b2d37704-1083-9dca-1c1d-8131cb3dc4fb/Saavutettava+Malliasiakirja_tiedote+kliinisestä+lääketutkimuksesta+ja+suostumus_23112021+(1).pdf?t=1645608573249

Tutkimuseettisen neuvottelukunnan ohje 2019: Ihmiseen kohdistuvan tutkimuksen eettiset periaatteet ja ihmistieteiden eettinen ennakkoarviointi Suomessa. Tutkimuseettisen neuvottelukunnan julkaisuja 4 / 2019

(https://tenk.fi/sites/default/files/2021-01/Ihmistieteiden_eettisen_ennakkoarvioinnin_ohje_2020.pdf)

Assessment of the EU Member States’ rules on health data in the light of the GDPR. Specific Contract No SC 2019 70 02 in the context of the Single Framework Contract Chafea/2018/Health/03 (https://health.ec.europa.eu/system/files/2021-02/ms_rules_health-data_en_0.pdf)

https://www.hus.fi/tutkimus-ja-opetus/tutkijan-ohjeet/tutkimuslupa-opinnaytetyon-tutkimuslupa-ja-tietolupa#milloin-tarvitset-tutkimusluva

https://findata.fi/luvat/tietoluvat/#varmista-tietolupahakemukselle-oikea-osoite

Aihepiiriä yleisesti koskevaa lainsäädäntöä ja muita oikeuslähteitä

Lääketieteellistä tutkimusta ensisijaisesti koskevat lait ja asetukset

Laki lääketieteellisestä tutkimuksesta 488/1999

Asetus lääketieteellisestä tutkimuksesta 986/1999

Asetus lääketieteellisestä tutkimuksesta annetun asetuksen muuttamisesta 65/2016

Asetus lääketieteellisestä tutkimuksesta annetun asetuksen 2 ja 3 §:n muuttamisesta 313/2004

Muita terveystieteellistä tutkimusta koskevia lakeja ja asetuksia

Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta annettu Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (yleinen tietosuoja-asetus / GDPR)

Tietosuojalaki 2018/1050

Laki sosiaali- ja terveystietojen toissijaisesta käytöstä 552/2019

Asetus lääkinnällisistä laitteista, MD-asetus (2017/745/EU)

Asetus in vitro -diagnostiikkaan tarkoitetuista lääkinnällisistä laitteista, IVD-asetus (2017/746/EU)

Laki lääkinnällisistä laitteista 719/2021

Laki eräistä EU-direktiiveissä säädetyistä lääkinnällistä laitteista 629/2010

Biopankkilaki 688/2012

Laki ihmisen elimien, kudoksien ja solujen lääketieteellisestä käytöstä 101/2001

Asetus ihmisen elimien, kudoksien ja solujen lääketieteellisestä käytöstä 594/2001

Asetus valtakunnallisesta lääketieteellisestä tutkimuseettisestä toimikunnasta 820/2010

Valtioneuvoston asetus valtakunnallisesta lääketieteellisestä tutkimuseettisestä toimikunnasta annetun valtioneuvoston asetuksen 3 §:n muuttamisesta

Asetus alueellisen eettisen toimikunnan ja valtakunnallisen lääketieteellisen tutkimuseettisen toimikunnan lausunnoista perittävistä maksuista 1287/2018

Asetus tutkittavalle suoritettavista korvauksista 82/2011

Laki potilaan asemasta ja oikeuksista 785/1992

Potilasvahinkolaki 585/1986

Geenitekniikkalaki 377/1995

Asetus geenitekniikasta 928/2004

Säteilylaki 859/2018

STM:n asetus ionisoivasta säteilystä 1044/2018

Valtioneuvoston asetus ionisoivasta säteilystä 1034/2018

Laki oikeudesta korkeakouluissa tehtäviin keksintöihin 369/2006

Laki viranomaisten toiminnan julkisuudesta 621/1999

Asetus viranomaisen toiminnan julkisuudesta ja hyvästä tiedonhallintavasta 1030/1999

Eettisiä säännöksiä ja ohjeita

ICH Topic E 6, Guideline for Good Clinical Practice (CPMP/ICH/135/95)

Nürnbergin säännöstö 1947

Maailman Lääkäriliiton Helsingin julistus, päivitetty 2013

Maailman Lääkäriliiton Taipein julistus, päivitetty 2016 (Declaration of Taipei on Ethical Considerations regarding Health Databases and Biobanks)

Good Clinical Practice

International Ethical Guidelines for Biomedical Research Involving Human Subjects

Ethical Considerations for Clinical Trials on Medicinal Products Conducted with the Paediatric Population

Lääkäriliiton eettiset ohjeet

Hyvä tieteellinen käytäntö ja sen loukkausepäilyjen käsitteleminen Suomessa 2012

Kansainvälisiä sopimuksia

Euroopan neuvoston ihmisoikeuksien ja ihmisarvon suojaamiseksi biologian ja lääketieteen alalla tekemä yleissopimus ihmisoikeuksista ja biolääketieteestä CETS 164  (Biolääketiedesopimus)

Yhdistyneiden kansakuntien ihmisoikeuksien yleismaailmallinen julistus, hyväksytty 10. joulukuuta 1948

Yleissopimus lapsen oikeuksista (60/1991)

Kansalaisoikeuksia ja poliittisia oikeuksia koskeva kansainvälinen yleissopimus (8/1976)

Yhdistyneiden kansakuntien yleiskokouksen 16.12.1966 hyväksymä taloudellisia, sosiaalisia ja sivistyksellisiä oikeuksia koskeva kansainvälinen yleissopimus (6/1976)

Henkilötiedon määritelmä, pseudonymisointi ja anonymisointi

Yleisen tietosuoja-asetuksen (2016/679) (GDPR tai tietosuoja-asetus) 4 artiklan mukaan henkilötiedolla tarkoitetaan kaikkia tunnistettuun tai tunnistettavissa olevaan henkilöön liittyviä tietoja. Tunnistettavissa olevana pidetään henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella.

Myös pseudonymisoidut henkilötiedot, joiden perusteella henkilö voidaan tunnistaa epäsuorasti (ilman suoria tunnistetietoja kuten nimeä), ovat henkilötietoa. Tieto lakkaa olemasta henkilötietoa, jos se on anonyymiä. Anonyymi tieto on tietosuoja-asetuksen 26 resitaalin (johtolauseen) mukaan tietoa, joka ei liity tunnistettuun tai tunnistettavissa olevaan henkilöön, tai henkilötietoihin, joiden tunnistettavuus on poistettu siten, ettei rekisteröidyn tunnistaminen ole mahdollista.

Tietosuoja-asetuksen 26 resitaalin mukaan,  jotta voidaan määrittää, onko luonnollinen henkilö tunnistettavissa, olisi otettava huomioonkaikki keinot, joita joko rekisterinpitäjä tai muu henkilö voi kohtuullisen todennäköisesti käyttäämainitun luonnollisen henkilön tunnistamiseen suoraan tai välillisesti. 26 resitaalin mukaan, jotta voidaan varmistaa, voidaanko keinoja kohtuullisen todennäköisesti käyttää luonnollisen henkilön tunnistamiseen, olisi otettava huomioon kaikki objektiiviset tekijät, kuten tunnistamisesta aiheutuvat kulut ja tunnistamiseen tarvittava aika sekä käsittelyajankohtana käytettävissä oleva teknologia ja tekninen kehitys.

Tietosuojavaltuutetun toimisto on kansallinen tietosuojalainsäädännön noudattamista valvova viranomainen. Tietosuojavaltuutetun toimisto soveltaa tulkintaa, jonka mukaan tiedon katsominen anonyymiksi edellyttää, että henkilön tunnistaminen on tehty pysyvästi mahdottomaksi[1], ja pseudonymisoitu henkilötieto on aina henkilötietoa, jos on olemassa mahdollisuus,että jokin taho voi yhdistää pseudonymisoidun tiedon takaisin henkilöön[2]. Jos siis esimerkiksi tiettyyn tutkimusaineistoon on liitetty pseudonymisointikoodeja, jotka jokin taho jossain voi vielä yhdistää henkilöön, edellä mainitun tulkinnan mukaan tutkimusaineisto katsotaan henkilötiedoksi, vaikka tutkimusaineistoa käsittelevä organisaatio ei yksinään voisi purkaa pseudonymisointia[3].

GDPR:n sanamuotoihin ei sisälly vaatimusta henkilön tunnistamisen estymisestä peruuttamattomasti, jotta kyseessä voitaisiin katsoa olevan anonyymi tieto. GDPR:n 26 resitaalin mukaan, jotta voidaan varmistaa, voidaanko keinoja kohtuullisen todennäköisesti käyttää luonnollisen henkilön tunnistamiseen, olisi otettava huomioon kaikki objektiiviset tekijät, kuten tunnistamisesta aiheutuvat kulut ja tunnistamiseen tarvittava aika sekä käsittelyajankohtana käytettävissä oleva teknologia ja tekninen kehitys. Myös tietosuojavaltuutetun sivuilla sanotaan, että rekisterinpitäjän on varauduttava siihen, että kerran tehty anonymisointi voi heiketä ajan ja teknisen kehityksen myötä[4].

Tietosuojavaltuutetun toimiston omaksuma tulkinta henkilötiedon määritelmästä on absoluuttinen, eli tieto katsotaan henkilötiedoksi kaikkien toimijoiden kannalta, jos jossakin on edes yksi toimija, joka pystyy esimerkiksi koodin purkamalla yhdistämään tiedon tiettyyn henkilöön. EU-maissa on erilaisia tulkintoja asiasta[5]. Euroopan unionin tuomioistuimen ratkaisussa C‐582/14 Patrick Breyer v Saksan liittotasavalta on omaksuttu kanta, jonka mukaan sama tieto (tapauksessa dynaaminen IP-osoite) voisi olla yhdelle taholle henkilötietoa samalla kun se ei olisi henkilötietoa toiselle taholle[6] (relatiivinen tulkinta). Myös GDPR:n 26 resitaalin, joka koskee henkilötiedon anonymisointia, voisi tulkita viittaavan relatiiviseen tulkintaan, koska sen mukaan arvioitaessa, onko jollakulla keinoja, joita voitaisiin kohtuullisen todennäköisesti käyttää luonnollisen henkilön tunnistamiseen, olisi otettava huomioon mm. tunnistamisesta aiheutuvat kulut ja tunnistamiseen tarvittava aika. 

WP29 eli tietosuojaryhmä 29 oli GDPR:ää edeltävää henkilötietodirektiiviä (2002/58/EY) koskeva EU:n työryhmä, joka käsitteli henkilötietojen käsittelyä koskevia kysymyksiä 25.5.2018 asti eli GDPR:n soveltamiseen asti. WP29 on kannanotoissaan puoltanut aiemmin relatiivista tulkintaa henkilötiedon luonteesta[7]  (relatiivisen tulkinnan mukaan sama tieto voi joissakin tapauksissa olla yhdelle taholle henkilötietoa ja toiselle taholle anonyymiä tietoa), ja myöhemmin absoluuttista tulkintaa, jonka mukaan tieto on henkilötietoa kaikille, jos se on henkilötietoa edes yhdelle toimijalle[8]. UK ICO (Information Commissioner’s Office) ohjeistusluonnoksessa otetaan kanta, jonka mukaan sama tieto voi olla yhdelle taholle anonyymiä tietoa samalla kun se on henkilötietoa toiselle taholle[9].

Anonyymiä dataa ei tulisi sekoittaa termiin de-identified data, joka on yhdysvaltalaisessa lainsäädännössä käytetty termi. Yhdysvaltalaisen lainsäädännön mukainen tiedon de-identifiointi ei kaikissa tapauksissa kuitenkaan estä lopullisesti henkilön uudestaan tunnistamista[10], joten de-identifioitu data ei täytä tietosuojavaltuutetun toimiston soveltamaa määritelmää anonyymistä datasta.

Terveyttä koskeva henkilötiedon käyttöä on rajoitettu

GDPR:n 4 artiklan 15 alakohdan mukaan terveystiedoilla tarkoitetaan ”luonnollisen henkilön fyysiseen tai psyykkiseen terveyteen liittyviä henkilötietoja, mukaan lukien tiedot terveyspalvelujen tarjoamisesta, jotka ilmaisevat hänen terveydentilansa”. Terveystietoa ovat esimerkiksi terveydenhuoltopalvelujen tarjoajan potilastietoihin keräämät tiedot (kuten terveydentila ja terveydellinen tausta sekä tutkimusten ja hoitojen tulokset)[11].  GDPR 35 resitaalin mukaan terveyttä koskevia henkilötietoja ovat kaikki tiedot, jotka koskevat rekisteröidyn terveydentilaa ja paljastavat tietoja rekisteröidyn entisestä, nykyisestä tai tulevasta fyysisen terveyden tai mielenterveyden tilasta. Näihin tietoihin kuuluvat:

1. luonnollista henkilöä koskevat tiedot, jotka on kerätty tämän rekisteröityessä Euroopan parlamentin ja neuvoston direktiivissä 2011/24/EU (1)[12] tarkoitettujen terveyspalvelujen saamista varten tai niiden tarjoamisen yhteydessä

• luonnolliselle henkilölle annettu numero, symboli tai erityistuntomerkki, jolla hänet voidaan tunnistaa yksiselitteisesti terveydenhuollon piirissä

• kehon osan tai kehosta peräisin olevan aineen testaamisesta tai tutkimisesta saadut tiedot, kuten geneettiset tiedot ja biologiset näytteet[13]

• kaikki tiedot esimerkiksi sairauksista, vammoista, sairauden riskistä, esitiedoista tai annetuista hoidoista sekä tieto rekisteröidyn fyysisestä tai lääketieteellisestä tilanteesta riippumatta siitä, mistä lähteestä tiedot on saatu, esimerkiksi lääkäriltä tai muulta terveydenhuollon ammattilaiselta, sairaalalta, lääkinnällisestä laitteesta tai diagnostisesta in vitro -testistä.

Terveystieto kuuluu GDPR:n 9 artiklan 1 kohdan mukaan erityisten henkilötietojen ryhmään, joten terveystiedon käsitteleminen on sallittua vain tiettyjen edellytysten täyttyessä. GDPR:n 9 artiklan 2 kohdan j) -alakohdan mukaan yksi terveyttä koskevien tietojen sallittu käsittelyperuste on se, että käsittely on tarpeen yleisen edun mukaisia tieteellisiä tutkimustarkoituksia varten, kun samalla noudatetaan 89 artiklan 1 kohdan mukaisesti asianmukaisia teknisiä ja organisatorisia suojatoimia.

---

[1] Tietosuojavaltuutetun sivut: https://tietosuoja.fi/pseudonymisointi-anonymisointi: [anonymisoinnin edellytyksiin liittyen:] ”Tunnistamisen täytyy estyä peruuttamattomasti ja siten, että rekisterinpitäjä tai muu ulkopuolinen taho ei voi enää hallussaan olevilla tiedoilla muuttaa tietoja takaisin tunnistettaviksi.” (lihavointi tässä). Viitattu 16.8.2022.

[2] Tietosuojavaltuutetun sivut: https://tietosuoja.fi/pseudonymisointi-anonymisointi: [anonymisoinnin edellytyksiin liittyen:] ”Tunnistamisen täytyy estyä peruuttamattomasti ja siten, että rekisterinpitäjä tai muu ulkopuolinen taho ei voi enää hallussaan olevilla tiedoilla muuttaa tietoja takaisin tunnistettaviksi.” (lihavointi tässä). Viitattu 16.8.2022.

[3] Tietosuojavaltuutetun sivut: https://tietosuoja.fi/pseudonymisointi-anonymisointi: ”Esimerkiksi henkilötietojen koodaaminen on pseudonymisointia. Koodattuja tietoja ei voida yhdistää tiettyyn henkilöön ilman koodiavainta. Koodiavaimen haltija voi kuitenkin purkaa tietoaineiston salauksen ja helposti tunnistaa uudelleen jokaisen rekisteröidyn.” Viitattu 16.8.2022.

[4] Tietosuojavaltuutetun sivut: https://tietosuoja.fi/pseudonymisointi-anonymisointi. Viitattu 16.8.2022

[5] Assessment of the EU Member States’ rules on health data in the light of the GDPR, s. 60-61.

[6] Ratkaisu on ajalta ennen GDPR:n voimaantuloa.

[7] Article 29 Data Protection Working Party, Opinion 04/2007 on the concept of personal data, s. 15-16.

[8] Article 29 Data Protection Working Party, Opinion 05/2014 on Anonymisation Techniques, s.9.

[9] https://ico.org.uk/media/about-the-ico/consultations/2619862/anonymisation-intro-and-first-chapter.pdf s. 9. Viitattu 16.8.2022.

[10] https://www.hipaajournal.com/de-identification-protected-health-information/ Viitattu 16.8.2022.

[11] Euroopan tietosuojaneuvoston ohjeet 3/2020 terveystietojen käsittelystä tieteellisiä tutkimustarkoituksia varten covid-19-pandemian yhteydessä, annettu 21. huhtikuuta 2020

[12] Euroopan parlamentin ja neuvoston direktiivi 2011/24/EU, annettu 9 päivänä maaliskuuta 2011, potilaiden oikeuksien soveltamisesta rajatylittävässä terveydenhuollossa

[13] Biologisten näytteiden kohdalla suomenkielisessä GDPR:ssä on todennäköisesti käännösvirhe. Englanninkielisessä GDPR:n 35 resitaalissa terveystietoina pidetään biologisia näytteitä analysoimalla saatuja tietoja eikä itse näytteitä: “information derived from the testing or examination of a body part or bodily substance, including from genetic data and biological samples”.

Aivojen kuvantamisdataan liittyvät erityispiirteet

Aivokuvantamisdatalla tarkoitetaan tässä selvityksessä tietoa, joka on aikaansaatu kuvaamalla ihmisten pään aluetta käyttäen apuna teknologioita, jotka kuvaavat aivojen rakennetta ja toimintaa sekä ihmisen pään tai kasvojen anatomisia piirteitä (esimerkiksi magneettikuvaus tai tietokonetomografiakuvaus). Aivokuvantamisdatan määritelmän ulkopuolelle jää siis tässä selvityksessä sellainen aivoja koskeva data, joka koskee aivoja tai niiden toimintaa mutta joka ei kuvaa aivojen fyysistä rakennetta tai ihmisen pään tai kasvojen anatomisia piirteitä (esimerkiksi EEG eli aivosähkökäyrätutkimus).

Aivojen kuvantamisdata katsotaan pseudonymisoiduksi henkilötiedoksi, koska aivot ovat yksilöllisiä ja kuvan sisältämien yksilöllisten anatomisten piirteiden takia kuva saattaa olla yhdistettävissä tiettyyn henkilöön, vaikka suorat ja epäsuorat tunnistetiedot olisikin poistettu. Lisäksi aivokuvaan liitetyt muut tiedot ovat pseudonymisoitua henkilötietoa, jos ne voidaan esimerkiksi koodin avulla yhdistää henkilöön. Aivokuvantamisdata on todennäköisesti terveystietoa eli kuuluu erityisten henkilötietojen ryhmään.

Aivokuvantamisdatan anonymisoinnin mahdollisuus

On todennäköistä, että tällä hetkellä olemassa olevilla tekniikoilla ei ole mahdollista tehdä aivokuvasta täysin anonyymiä ainakaan siten, että samalla säilytettäisiin aivokuvan ne piirteet, jotka tekevät siitä tutkimuksellisesti mielekästä materiaalia. Erilaisia tunnistettavuutta vähentäviä tekniikoita ovat esimerkiksi skull-stripping, face-removal ja face-blurring. Tekniikoilla voi olla kielteinen vaikutus kuvien tutkimuksellisen laadun kannalta, minkä lisäksi tutkimuksissa on havaittu, että muokattujen kuvien uudelleen tunnistaminen saattaa olla mahdollista esimerkiksi tekoälyn avulla, eli olemassa olevat muokkaamistekniikat eivät välttämättä ole riittäviä tekemään kuvista anonyymejä.[1] [2] Eräässä tutkimuksessa todettiin, että henkilöitä pystyttiin tunnistamaan heidän aivojaan kuvaavista magneettiresonanssitutkimuksessa otetuista kuvista, joista oli poistettu metatiedot, käyttämällä apuna heistä otettuja valokuvia ja kasvojentunnistusohjelmaa[3].

Synteettinen aivokuvantamisdata

Synteettisellä aivokuvantamisdatalla voidaan tarkoittaa esimerkiksi tekoälyn avulla aikaansaatuja anonyymejä aivokuvia, jotka tekoäly on saanut aikaan ”opiskelemalla” todellisten, henkilötietoja sisältävien aivokuvien ominaisuuksia ja muokkaamalla niistä aivokuvia, joilla on todellisen kaltaisia tilastollisia ominaisuuksia.  Jos saadaan aikaan synteettistä aivokuvantamisdataa, joka on tutkimuksellisesti käyttökelpoista ja varmasti anonyymiä, tietosuojaa koskevat säännökset eivät sovellu, joten kuvien laaja tutkimuskäyttö helpottuu huomattavasti. Ennen toiminnan (ja myös synteettisen datan käsitteen tulkinnan) vakiintumista tulee todennäköisesti kuitenkin tapauskohtaisesti arvioitavaksi, onko kyseessä oleva synteettinen data varmasti anonyymiä ja onko se myös tutkimuksellisesti käyttökelpoista. Lisäksi synteettistä dataa luoville neuroverkoille tulee aluksi saada annettua riittävästi aitoja henkilötietoja sisältävää materiaalia, jotta ne oppivat luomaan dataa, jolla on riittävästi todellisen kaltaisia tilastollisia ominaisuuksia.

---

[1]Schwarz & al: Changing the face of neuroimaging research: Comparing a new MRI de-facing technique with popular alternatives. Neuroimage 231 (2021)

[2]Eke & al.: Pseudonymisation of neuroimages and data protection: Increasing access to data while retaining scientific utility, esimerkiksi sivut 4-5. Neuroimage: Reports 1(2021)

[3] Christopher G. Schwarz & al, 2019. Identification of Anonymous MRI Research Participants with Face-Recognition Software. The New England Journal of Medicine 2019

Potilasasiakirjojen / potilastietojen käsittelyyn yleisesti sovelletaan useita lakeja ja asetuksia

Tämä kirjoitus käsittelee henkilötietoa sisältävän terveysdatan tutkimuskäyttöä, joten tässä ei selosteta tarkemmin muuhun kuin tutkimuskäyttöön liittyviä potilasasiakirjoja koskevia lakeja. Yleisesti voidaan kuitenkin todeta, että potilasasiakirjojen / potilastietojen käsittelyyn sovelletaan mm. seuraavia säädöksiä: tietosuoja-asetus eli GDPR, tietosuojalaki (1050/2018), laki potilaan asemasta ja oikeuksista (785/1992), asetus potilasasiakirjoista (298/2009), arkistolaki (831/1994) ja arkistolaitoksen ohjeet, laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä (784/2021), laki sosiaalihuollon asiakasasiakirjoista (254/2015), terveydenhuoltolaki (1326/2010).

Potilaan hoidon yhteydessä kerätty henkilötieto on potilasasiakirja / potilastietoa

Hyvinvointialueen (ennen sote-uudistusta sairaanhoitopiirin) toiminnassa kerätty henkilötietoa sisältävä terveysdata (esimerkiksi aivokuvantamisdata) on yleensä kerätty alun perin potilaan hoitotarkoituksessa, jolloin se on laissa potilaan asemasta ja oikeuksista (785/1992) (potilaslaki) tarkoitettu potilasasiakirja. Potilasasiakirjoilla tarkoitetaan potilaan hoidon järjestämisessä ja toteuttamisessa käytettäviä, laadittuja tai saapuneita asiakirjoja taikka teknisiä tallenteita, jotka sisältävät potilaan terveydentilaa koskevia tai muita henkilökohtaisia tietoja. Potilasasiakirjoihin sisältyvät tiedot ovat salassapidettäviä (potilaslain 13 §), ja potilaslain mukaisen salassapitovelvollisuuden rikkominen voi johtaa tuomioon salassapitorikoksesta tai salassapitorikkomuksesta (potilaslain 14 § ja rikoslain 38 luvun 1 ja 2 §).

Hyvinvointialueen toiminnassa kerättyjä henkilötietoja voidaan saada tutkimuskäyttöön toisiolain nojalla

Laissa sosiaali- ja terveystietojen toissijaisesta käytöstä (552/2009), (toisiolaki) säädetään potilaan hoidon tai tutkimuksen yhteydessä (ns. ”ensiökäyttö”) kerätyn henkilötiedon käytöstä myöhemmin tieteellisessä tutkimuksessa (toisiokäyttö). Toisiolain nojalla sote-rekisteritietoja voidaan saada tietoluvalla tutkimuskäyttöön ilman tutkittavien suostumusta, eli toisiolain alainen tutkimus on rekisteritutkimusta.

Toisiolakia käsitellään yksityiskohtaisemmin alla kohdassa 2.

Hyvinvointialueen toiminnassa kerätty henkilötieto voi olla myös tervettä tutkimushenkilöä koskevaa dataa

Hyvinvointialueen toiminnassa voidaan tutkimuksen yhteydessä kerätä tietoa paitsi potilaista, myös terveistä verrokkihenkilöistä, jolloin kyseessä ei ole potilasasiakirja, mutta tutkimusdataa käytännössä saatetaan säilyttää osittain potilasrekisterissä, jolloin näiden eri datojen käytännön erottaminen toisistaan voi olla vaikeaa. Jos data on esimerkiksi HUSin diagnostiikkakeskuksen ottamaa ja se on HUSin tietojärjestelmässä, kuva voi olla toisiolain alaista materiaalia, jota voi saada tutkimuskäyttöön toisiolain nojalla, vaikka se koskisi tervettä verrokkihenkilöä eikä potilasta.

Potilastietoa voidaan saada tutkimuskäyttöön myös ilman toisiolain menettelyä

Jos kyse on muusta kuin rekisteritutkimuksesta, eli jos potilas antaa itse suostumuksensa tutkimukseen osallistumiseen, hän voi osana tutkimussuostumusta antaa oikeuden käyttää omia potilastietojaan tutkimuksessa. Ei ole kuitenkaan selvää, pidetäänkö tätä menettelyä yleisesti hyväksyttynä toimintatapana. Potilaalla on joka tapauksessa oikeus pyytää omat potilastietonsa hyvinvointialueelta, ja sen jälkeen luovuttaa ne itse halutessaan muille tahoille.

Lisäksi potilastietoa voidaan saada tutkimuskäyttöön ilman toisiolakia, jos kyse on lääketieteellisestä tutkimuksesta. Lääketieteellistä tutkimusta koskevan lain (488/1999) eli tutkimuslain 21 c §:n mukaan salassapitosäännösten estämättä tutkimuksen toimeksiantajalla, hänen edustajallaan, tutkijalla ja tutkimusryhmän jäsenellä on oikeus saada ja käsitellä potilasasiakirjoihin merkittyjä tietoja tutkimuksen suorittamiseksi ja tutkimukseen liittyvän laissa säädetyn velvoitteen noudattamiseksi, jos tietojen saanti ja käsittely on välttämätöntä toimeksiantajan, hänen edustajansa, tutkijan tai tutkimusryhmän jäsenen tutkimukseen liittyvän tehtävän tai velvoitteen hoitamiseksi. Edellytyksenä potilasasiakirjoihin sisältyvien tietojen saamiselle ja tietojen muulle käsittelylle on, että tutkittava on antanut tietoon perustuvan suostumuksensa osallistua tutkimukseen siten kuin tutkimuslaissa säädetään. Jos tutkittava ei voi itse antaa tietoon perustuvaa suostumusta alentuneen itsemääräämiskyvyn tai alaikäisyyden vuoksi, edellytyksenä tietojen saamiselle ja tietojen muulle käsittelylle on tietoon perustuvan suostumuksen saaminen siltä, joka on tutkimuslain nojalla oikeutettu antamaan suostumuksen tutkittavan puolesta.

Tässä osiossa käsitellään tutkimustarkoituksessa kerättyyn henkilötietoon yleisesti soveltuvia lakeja ja ohjeita. Tällä tarkoitetaan tilannetta, jossa tutkimus on henkilötietojen ensisijaista käyttöä, eli tiedot kerätään alun perinkin tutkimusta eikä esimerkiksi potilaan hoitoa varten. Tutkimustarkoituksessa kerätyn henkilötiedon hyödyntämistä tutkimuksessa käsitellään tarkemmin kohdassa 3.

Tietosuojalainsäädäntö, tutkittavan suostumus ja informointi sekä eettiset ohjeet

Kun henkilötietoa kerätään tai käsitellään alun perin tutkimustarkoituksessa, käsiteltävään dataan sovelletaan muun mahdollisesti soveltuvan lainsäädännön lisäksi GDPR:n säännöksiä sekä kansallista tietosuojalainsäädäntöä (esimerkiksi tietosuojalakia). Kohdassa 3 kuvataan tarkemmin tutkimuksessa yleisesti soveltuvia tietosuojasäännöksiä. Lisäksi henkilötietojen sallittuun käyttöön vaikuttaa mahdollinen eettisen toimikunnan lausunto ja mahdollinen tutkimuslupa sekä tutkittavan suostumus ja tutkittavalle annettu informaatio (näitä käsitellään tarkemmin kohdassa 3.1 ja lääketieteellisen tutkimuksen osalta vielä tarkemmin kohdassa 3.2).

Tutkimuslaki (kun henkilötietoa käsitellään lääketieteellisessä tutkimuksessa)

Lääketieteellistä tutkimusta säännellään monilla laeilla, asetuksilla ja ohjeilla. Tutkimuslain 2 §:n mukaan kyseessä on lääketieteellinen tutkimus, mikäli tutkimuksessa puututaan ihmisen, ihmisen alkion tai sikiön koskemattomuuteen ja mikäli tutkimuksen tarkoituksena on lisätä tietoa terveydestä, sairauksien syistä, oireista, diagnostiikasta, hoidosta, ehkäisystä tai tautien olemuksesta yleensä.

Tutkimuslain esitöissä esimerkkeinä koskemattomuuteen puuttumisesta on nostettu esiin verinäytteiden, biopsioiden ja vastaavien ottaminen, fyysistä rasitusta sisältävät tutkimukset sekä tutkimukset, joissa elintarvikkeilla pyritään vaikuttamaan terveyteen tai sairauksien riskiin tai oireisiin. Psyykkiseen koskemattomuuteen puuttumisesta esimerkkinä nostetaan esiin tutkimus, josta voi aiheutua vaaraa tutkimushenkilön henkiselle hyvinvoinnille.[1]

Toinen edellytys tutkimuslain soveltumiselle on, että tutkimuksen tarkoituksena on lisätä tietoa terveydestä, sairauksien syistä, oireista, diagnostiikasta, hoidosta, ehkäisystä tai tautien olemuksesta yleensä. On tulkinnanvaraista, kuinka laajasti tätä määritelmää tulkitaan, kun jo pelkkä tarkoitus lisätä tietoa terveydestä riittää täyttämään määritelmän.[2]

Rekisteritutkimus ei ole tutkimuslaissa tarkoitettua lääketieteellistä tutkimusta, koska siinä ei puututa tutkittavan koskemattomuuteen.

Lääketieteelliseen tutkimukseen sovelletaan tutkimuslakia,  asetusta lääketieteellisestä tutkimuksesta (986/1999), asetusta lääketieteellisestä tutkimuksesta annetun asetuksen muuttamisesta 65/2016 ja asetusta lääketieteellisiestä tutkimuksesta annetun asetuksen 2 ja 3 §:n muuttamisesta (313/2004). Lisäksi lääketieteellisessä tutkimuksessa voi tulla sovellettavaksi mm. tietosuoja-asetus, tietosuojalaki, toisiolaki, biopankkilaki (688/2012), laki ihmisen elimien, kudoksien ja solujen lääketieteellisestä käytöstä 101/2001 (kudoslaki) ja asetus ihmisen elimien, kudoksien ja solujen lääketieteellisestä käytöstä 594/2001 (kudosasetus).

Lääketieteellisessä tutkimuksessa on noudatettava myös kansainvälisiä sopimuksia kuten Euroopan Neuvoston ihmisoikeuksien ja ihmisarvon suojaamiseksi biologian ja lääketieteen alalla tehtyä yleissopimusta (biolääketiedesopimus) ja tutkimuseettisiä ohjeita kuten esimerkiksi Helsingin julistusta ja Nürnbergin ohjeistusta.

Lääketieteellisessä tutkimuksessa vaadittavia lupia, lausuntoja ja dokumentaatiota on käsitelty tarkemmin kohdassa 4.

Onko magneettikuvaus tai magnetoenkefalografia tutkittavan koskemattomuuteen puuttumista?

Edellä mainitusta tutkimuslakiin sisältyvästä lääketieteellisen tutkimuksen määritelmästä seuraa, että jos tutkimuksessa puututaan tutkittavan koskemattomuuteen ja jos tutkimuksen tarkoituksena on lisätä tietoa terveydestä, sairauksien syistä, oireista, diagnostiikasta, hoidosta, ehkäisystä tai tautien olemuksesta yleensä, kyseessä on lääketieteellinen tutkimus.

Suomessa toimivilla tutkimuseettisillä toimikunnilla on erilaisia tulkintoja siitä, onko magneettikuvaus (magnetig resonance imaging, MRI) tutkittavan koskemattomuuteen puuttumista. Magneettikuvaus on voitu tulkita koskemattomuuteen puuttumiseksi esimerkiksi sillä perusteella, että tutkittava on laitteen sisällä eikä pysty kovin helposti itse irtautumaan siitä. Kaikki suomalaisten yliopistojen eettiset toimikunnat eivät kuitenkaan pidä magneettikuvantamista tutkittavan koskemattomuuteen puuttumisena.[3]

Tutkimuslakia koskevissa lain esitöissä on todettu, että Suomessa kynnys intervention muodostumiseen on perinteisesti ollut matala[4]. Lain esitöissä on myös mainittu yhtenä esimerkkinä koskemattomuuteen puuttumisesta fyysistä rasitusta sisältävät tutkimukset[5]. Edellä mainittujen kriteerien lisäksi yksi arviointikriteeri koskemattomuuteen puuttumisen määrittämisessä voi lisäksi olla se, voiko laitteen toiminnasta aiheutua tutkittavalle haittaa tai vahinkoa.

Jos magneettitutkimus tulkittaisiin koskemattomuuteen puuttumiseksi, se ei kuitenkaan tarkoittaisi, että magneettikuvausta sisältävä tutkimus olisi automaattisesti tutkimuslain mukaista lääketieteellistä tutkimusta, sillä myös lääketieteellisen tutkimuksen toisen edellytyksen tulee täyttyä, eli tutkimuksen tarkoituksena tulisi olla lisätä tietoa terveydestä, sairauksien syistä, oireista, diagnostiikasta, hoidosta, ehkäisystä tai tautien olemuksesta yleensä.

Magnetoenkefalografiatutkimuksessa (MEG) ainoastaan henkilön pää on laitteen sisällä,  joten laitteesta on helpompi irrottautua itse kuin MRI-laitteesta eikä MEG-tutkimus todennäköisesti ole kuvattavalle yhtä epämukava kuin magneettikuvaus, mikä tukisi tulkintaa ettei kyse olisi koskemattomuuteen puuttumisesta. Koskemattomuuteen puuttumista arvioidaan kuitenkin aina kokonaisarviona, ja arvioon voivat vaikuttaa muutkin tutkimuskohtaiset tekijät.  

Röntgensäteisiin perustuva kuvaus

Röntgenkuvaus osana tutkimusta katsottaneen aina tutkittavan koskemattomuuteen puuttumiseksi siihen sisältyvän säteilyvaikutuksen johdosta. Aivoja voidaan kuvata esimerkiksi tietokonetomografialla, joka perustuu röntgensäteiden absorptioon tutkittavassa kohteessa.[6]

Ihmisperäisiä biologisia näytteitä koskevaa lainsäädäntöä

Jos lääketieteellisessä tutkimuksessa käsitellään ihmisperäisiä kudosnäytteitä, elimiä tai soluja, tutkimukseen saattaa soveltua biopankkilaki (688/2012), laki ihmisen elimien, kudoksien ja solujen lääketieteellisestä käytöstä eli kudoslaki (101/2001) ja/tai laki lääketieteellisestä tutkimuksesta eli tutkimuslaki (488/1999). Tässä selvityksessä pääpaino on henkilötietoa koskevissa säännöksissä, mutta selvyyden vuoksi tässä käsitellään lyhyesti myös ihmisperäisiä näytteitä ja soluja koskevien säännösten soveltumisaloja. (Useimmissa biopankkilain, kudoslain ja tutkimuslain alaisissa tutkimuksissa käsitellään kuitenkin näytteiden lisäksi myös niihin liittyviä henkilötietoja, joten soveltuvaa lainsäädäntöä tulisi aina arvioida kokonaisuutena.)

Biopankkilaki soveltuu silloin, kun tehdään biopankkitutkimusta, jossa hyödynnetään biopankissa säilytettäviä näytteitä tai niihin liittyviä tietoja ja jonka tarkoituksena on terveyden edistäminen, tautimekanismien ymmärtäminen tai terveyden- ja sairaanhoidossa käytettävien tuotteiden tai hoitokäytäntöjen kehittäminen (biopankkilain 3 §).

Kudoslaki voi tulla sovellettavaksi tieteellisessä tutkimuksessa, jos tutkimuksessa käytetään ihmisperäisiä näytteitä, jotka on alun perin kerätty muuta kuin tutkimustarkoitusta varten (esimerkiksi hoitoa tai taudinmääritystä varten (kudoslain 20 §)). Tutkimuslaki soveltuu, jos ihmisperäisiä biologisia näytteitä, soluja tai elimiä kerätään alun perin tutkimustarkoituksessa ihmisen koskemattomuuteen puuttumalla, ja mikäli tutkimus täyttää myös lääketieteellisen tutkimuksen toisen edellytyksen, eli tutkimuksen tarkoituksena on lisätä tietoa terveydestä, sairauksien syistä, oireista, diagnostiikasta, hoidosta, ehkäisystä tai tautien olemuksesta yleensä.

---

[1] HE 65/2010 vp s. 17

[2] Tutkimuslakia muutettiin 2010 siten, että lääketieteellisen tutkimuksen määritelmään lisättiin tutkimus, jonka tarkoituksena on lisätä tietoa terveydestä. Ennen tätä lääketieteelliseksi tutkimukseksi katsottiin vain sellainen kajoava tutkimus, joka liittyi sairauteen tai tauteihin. Lisäystä perusteltiin hallituksen esityksessä siten, että uudistus selkiyttää ja parantaa tutkimushenkilön asemaa, kun uudistus tuo tutkimuslain ja lakisääteisen eettisen ennakkoarvioinnin piiriin sellaisen hoito- tai terveystieteen alaan kuuluvan tutkimuksen, jossa puututaan tutkimushenkilön fyysiseen tai psyykkiseen koskemattomuuteen(HE 65/2010 vp s. 11 ja 16). Tutkimuslain esitöissä vaikuttaisi siis olevan melko laaja tulkinta lain soveltumisalasta. Lain sanamuotoon sisältyvän tulkinnanvaraisuuden johdosta kunkin tutkimuslakia soveltavan toimijan pitää kuitenkin tapauskohtaisesti miettiä, mikä on kussakin tilanteessa perusteltu tulkinta siitä, onko tutkimuksen tarkoitus lisätä tietoa terveydestä vai ei. Eettisten toimikuntien kautta voi myös saada asiaan tulkinta-apua.

[3] Käytännöistä on keskusteltu Digitalisaatiolla aivoterveyttä -hankkeen osapuolten (HY, HUS ja Aalto) kesken hankkeen aikana. Lisäksi kirjoittaja on keskustellut aiheesta Varsinais-Suomen Sairaanhoitopiirin alueellisen lääketieteellisen eettisen toimikunnan, HY:n ihmistieteiden eettisen toimikunnan ja Aalto-yliopiston eettisen toimikunnan jäsenten kanssa.

[4] HE 18/2020 vp s. 150

[5] HE 65/2010 vp s. 13

[6] Jos tutkimus sisältää röntgenkuvausta, tulee tutkimuksessa huomioida muiden tutkimuksen juridisten ja eettisten reunaehtojen lisäksi ionisoivalle säteilylle altistumista koskeva säteilylain mukainen informointi ja hakea eettiseltä toimikunnalta arvio tutkimuksen eettisyydestä. Röntgenkuvausta sisältävälle tutkimukselle asetetaan muitakin ehtoja, kuten velvoite arvioida yksittäiselle tutkittavalle aiheutuvan säteilyrasituksen määrä ja esittää se tutkittavalle selkeästi, esimerkiksi kertomalla normaalisti saatavan vuosisäteilyn määrä verrattuna tutkimuksessa aiheutuvaan määrään.

Toisiolain nojalla sosiaali- tai terveydenhuollon tietoja, kuten esimerkiksi hyvinvointialueen toiminnassa kerättyjä potilastietoja, voi saada tieteelliseen tutkimuskäyttöön tietoluvalla. Toisiolaki soveltuu tietoihin, jotka on kerännyt toisiolaissa määritelty rekisterinpitäjä, kuten esimerkiksi yksityinen tai julkinen terveydenhuollon palveluntarjoaja (muut rekisterinpitäjät on lueteltu toisiolain 6 §:ssä.   

Jotta tietolupa ja oikeus yksilötason datan käyttöön voidaan myöntää, tutkimushankkeen tulee täyttää tieteellisen tutkimuksen yleiset kriteerit, eli sillä pitää olla asianmukainen tutkimussuunnitelma, vastuuhenkilö tai vastuuryhmä, tulokset tulee julkaista tieteellisinä julkaisuina ja tavoitteena tulee olla uuden tiedon tuottaminen.

Keneltä tietolupaa haetaan

Hyvinvointialue myöntää toisiolain mukaisen tietoluvan silloin, kun kyse on tiedoista, joiden osalta hyvinvointialue toimii rekisterinpitäjänä, ja kun tietoja ei yhdistellä muiden rekisterinpitäjien tietoihin. Poikkeuksena tähän voivat olla ne rekisterinpitäjät, jotka ovat siirtäneet lupatoimivallan Findatalle. Mikäli toisiolain mukainen tietolupahakemus koskee useamman hyvinvointialueen aineistoja, lupaviranomainen on Findata. Findatan sivuilta löytyy ohje, joka auttaa löytämään tahon, jolle tietolupahakemus tehdään.

Toisiolain alaisen tutkimuksen ehtoja

Tietoluvan nojalla saatuja henkilötietoja saa käsitellä vain toisiolaissa määritellyssä tietoturvallisessa käyttöympäristössä (toisiolain 51 §). Tietoturvalliselle käyttöympäristölle asetetut vaatimukset on kuvattu toisiolain 20-24 §:ssä. Ensisijaisesti aineisto luovutetaan käsiteltäväksi vain Findatan käyttöympäristöön (toisiolain 51 §). Tietoaineisto voidaan luovuttaa muun tahon kuin Findatan ylläpitämään käyttöympäristöön, jos käyttöympäristö täyttää toisiolain vaatimukset ja se on tiedonhyödyntämissuunnitelmasta ja tietoluvasta erikseen ilmenevästä syystä tärkeää.   

Toisiolain mukaan silloin kun Findata toimii tietoluvan myöntävänä tietolupaviranomaisena, se kokoaa, yhdistelee ja esikäsittelee sekä tarvittaessa pseudonymisoi tai anonymisoi aineiston luvansaajan käsiteltäväksi. Jos siis tutkimushankkeeseen tarvitaan esimerkiksi useamman rekisterinpitäjän aineistoja, Findata hoitaa aineiston yhdistelyn. Lisäksi julkaistaessa tuloksia tietoluvan nojalla saaduista ja tietoturvalliseen käyttöympäristöön luovutetuista sote-rekisteriaineistoista, Findata vastaa ensisijaisesti tulosten anonymiteetin varmistamisesta (toisiolain 52 §). Perustellusta syystä Findata voi antaa tietoluvan saajan toteuttaa itse anonymisoinnin.

Toisiolain alaisesta tutkimuksesta aiheutuu tutkimusorganisaatiolle viranomaisasiointiin liittyviä kustannuksia ja maksuja etenkin silloin, kun tietolupaa haetaan Findatalta. Findatan puutteellisten resurssien takia toisiolakia koskevien asioiden käsittelyssä ei ole käytännössä tähän mennessä pystytty noudattamaan käsittelyn nopeudelle asetettuja lakisääteisiä velvoiteaikoja. Lisäksi kansainvälisen yhteistyön toteuttaminen toisiolain alaisen aineiston kohdalla on haastavaa (haasteita on käsitelty tarkemmin kohdassa 7.1).

Toisiolain mukainen kehittämis- ja innovaatiotoiminta

Toisiolain mukaiseen kehittämis- ja innovaatiotoimintaan[1] ei voi saada yksilötason dataa, vaan ainoastaan aggregoitua tilastotietoa. Tästä seuraa, että toisiolain mukainen puhdas kehittämis- ja innovaatiotoiminta esimerkiksi aivojen kuvantamisdatalla ei ole tällä hetkellä mahdollista, koska kuvantamisdataa ei voida saada tilastomuotoon. On kuitenkin huomioitava, että sosiaali- ja terveysministeriön ohjeistuksen mukaan kehittämis- ja innovaatiotoimintaa voidaan tehdä myös tieteellisenä tutkimuksena[2]. Toisiolaki ei siis ole este sille, että aivokuvantamisdataa hyödynnetään tutkimuksessa, joka liittyy esimerkiksi teknologian kehittämiseen, kunhan tieteellisen tutkimuksen kriteerit täyttyvät.

[1] Kehittämis- ja innovaatiotoimiinta tarkoittaa teknisen ja liiketoimintatiedon sekä olemassa olevan muun tiedon soveltamista ja käyttöä yhdessä tässä laissa tarkoitettujen henkilötietojen kanssa, kun tavoitteena on kehittää uusia tai merkittävästi parannettuja tuotteita, prosesseja tai palveluja.

[2] https://stm.fi/usein-kysyttya-sote-tiedon-toisiokaytosta Viitattu 17.8.2022

Tutkimussuunnitelma ja aineistonhallintasuunnitelma

Tutkimuksella tulee olla asianmukainen tutkimussuunnitelma ja aineistonhallintasuunnitelma, jossa kuvataan, miten toteutetaan tietosuojalainsäädännön yleiset periaatteet ja arvioidaan aineistolle ja tutkittaville mahdollisesti aiheutuvat riskit.

Mitä eroa on osallistumissuostumuksella ja suostumuksella henkilötietojen käsittelyperusteena?

Lääketieteellisessä tutkimuksessa ja muussakin tutkimuksessa on tärkeää erottaa tietoinen suostumus tutkimukseen osallistumisesta (osallistumissuostumus, jota lääketieteellisen tutkimuksen osalta säätelee mm. tutkimuslain 5 a § sekä Nürnbergin koodisto ja Helsingin julistus) ja mahdollinen tutkittavan suostumus henkilötietojen käsittelyyn (käsittelyperustesuostumus), joka on yksi (mutta ei ainoa) GDPR:n mukainen vaihtoehto henkilötietojen käsittelyperusteeksi.

Osallistumissuostumuksessa on kyse siitä, että henkilö suostuu ylipäänsä osallistumaan tutkimukseen sekä siihen mahdollisesti sisältyviin toimenpiteisiin ja mahdolliseen koskemattomuuteen puuttumiseen. Suostumus henkilötietojen käsittelyyn tutkimuksessa eli käsittelyperustesuostumus taas viittaa siihen, että tutkimuksessa on valittu henkilötietojen lakisääteiseksi käsittelyperusteeksi tutkittavan suostumus. Tieteellisessä tutkimuksessa henkilötietojen käsittelyperuste voi kuitenkin olla muukin kuin suostumus (esimerkiksi yleisen edun mukainen tieteellinen tutkimus).

Tutkittavan tiedote ja suostumus (jos tutkittavalta pyydetään osallistumissuostumusta)

Alla oleva perustuu valtakunnallisen lääketieteellisen tutkimuseettisen toimikunnan eli Tukijan malliin tutkittavalle annettavasta tiedotteesta ja suostumusasiakirjasta[1], sekä tutkimuseettisen neuvottelukunnan (TENK) julkaisuun 3/2019 (Ihmiseen kohdistuvan tutkimuksen eettiset periaatteet ja ihmistieteiden eettinen ennakkoarviointi Suomessa)[2].

Tutkittavaa rekrytoitaessa tulee hänelle antaa tietoon perustuvan suostumuksen kannalta riittävä selvitys hänen oikeuksistaan, tutkimuksen tarkoituksesta, luonteesta, siinä käytettävistä menetelmistä, henkilötietojen käsittelystä sekä tutkimukseen liittyvistä mahdollisista haitoista ja riskeistä. Selvitys on annettava siten, että tutkittava pystyy päättämään suostumuksestaan tietoisena tutkimukseen liittyvistä, hänen päätöksentekoonsa vaikuttavista seikoista. Tiedotteen tulee olla asiallinen, lyhyt ja ytimekäs. Tiedotteessa tulee välttää käskeviä, opastavia ja houkuttelevia ilmaisuja. Lasten ja täysi-ikäisten vajaakykyisten rekrytoimiselle tutkimukseen sovelletaan erityisehtoja (ks. tarkemmin Tukijan ja TENKin ohjeista sekä Kansallisen lastenlääkkeiden tutkimusverkoston eli FINPEDMEDin sivuilta).

Tutkittavalla tulee olla oikeus osallistua vapaaehtoisesti ja kieltäytyä osallistumasta, keskeyttää osallistumisensa milloin tahansa ilman kielteisiä seurauksia, peruuttaa suostumuksensa milloin tahansa, saada tietoa tutkimuksen sisällöstä, henkilötietojen käsittelystä ja tutkimuksen käytännön toteutuksesta, saada ymmärrettävä ja totuudenmukainen kuva tutkimuksen tavoitteista ja osallistumisesta mahdollisesti aiheutuvista haitoista ja riskeistä sekä tietää olevansa tutkittavana erityisesti tilanteissa, joissa tutkija on tutkittavaan nähden myös jossain muussa kuin tutkijan roolissa.

Eettisen toimikunnan lausunto

Eettisen toimikunnan lausuntoa tulee hakea, mikäli edellytykset                       eettisen toimikunnan lausunnon hakemukselle täyttyvät. Muun kuin lääketieteellisen, ihmisiä koskevan tutkimuksen ollessa kyseessä tulee TENKin ohjeiden mukaan hakea tutkimushankkeelle eettisen toimikunnan eettistä ennakkoarviota, mikäli joku seuraavista edellytyksistä täyttyy:

• tutkimuksessa poiketaan tietoon perustuvan suostumuksen periaatteista
• tutkimuksessa puututaan tutkittavien fyysiseen koskemattomuuteen 
• tutkimus kohdistuu alle 15-vuotiaisiin ilman huoltajan erillistä suostumusta tai informointia, jonka perusteella huoltajalla on mahdollisuus kieltää lasta osallistumasta tutkimukseen
• tutkimuksessa tutkittaville esitetään poikkeuksellisen voimakkaita ärsykkeitä
• tutkimuksessa on riski aiheuttaa tutkittaville tai heidän läheisilleen normaalin arkielämän rajat ylittävää pitkäaikaista henkistä haittaa
• tutkimuksen toteuttaminen voi merkitä turvallisuusuhkaa tutkittavalle tai tutkijalle tai heidän läheisilleen.

Ennakkoarviointilausuntoa voi pyytää myös silloin, jos tutkimuksen rahoittaja, yhteistyökumppani, tutkimuskohde tai julkaisija sitä edellyttävät. Lausuntoa ei voi pyytää jälkikäteen.[3]

Helsingin yliopiston ihmistieteiden eettisen ennakkoarvioinnin toimikunnan sivuilla on ohjeet ennakkoarvioinnin hakemiselle.

Tietolupa tai tutkimuslupa (jos henkilötietoja käsitellään toisiolain nojalla)

Jos tutkimuksessa käsitellään toisiolain alaisten rekisterinpitäjien (esimerkiksi HUS) hallinnoimia henkilötietoja ja tietoja haluaa käyttää HUSin ulkopuolinen taho, tulee HUSilta hakea tietolupa. Jos kyseisten henkilötietojen käyttöoikeutta hakeva taho on HUSin työntekijä, tulee HUSilta hakea tutkimuslupa. Lisätietoja HUSin sivuilta. Jos haetaan tietoja useampien rekisterinpitäjien hallinnoimista henkilötiedoista, tulee tietolupahakemus osoittaa Findatalle. Findatan sivuilta löytyy hakemusapuri, joka auttaa valitsemaan oikean tahon, jolle tietolupahakemus osoitetaan.

Rekisterinpitäjän lupa henkilötietojen käsittelylle (jos henkilötietoja saadaan muulta kuin toisiolain mukaiselta rekisterinpitäjältä tutkimusta varten)

Jos tutkimukseen saadaan henkilötietoja joltain muulta kuin toisiolain 6 §:ssä mainitulta rekisterinpitäjältä (esimerkiksi toiselta tutkimusorganisaatiolta), tulee henkilötietojen tutkimuskäytölle saada kyseisen rekisterinpitäjän lupa ja asiasta tulee tehdä kirjallinen sopimus. Jos lupa on kerran saatu tiettyyn tutkimukseen, saman aineiston käyttö toiseen tutkimukseen vaatii uuden luvan pyytämistä ja uutta kirjallista sopimusta (sekä sen arvioimista, onko aineiston käyttö toisessa tutkimuksessa ylipäänsä mahdollista).

Tietosuojaa yleisesti koskevat säännöt (ks. kohta 3.3)

Kaikessa tutkimuksessa noudatettavia tietosuojaehtoja on kuvattu kohdassa 3.3.

Tietosuojaseloste tutkittavalle (laadittava aina, myös silloin kun tiedot saadaan muualta kuin tutkittavalta itseltään)

Tutkittavalle tulee kertoa, miten hänen henkilötietojaan käsitellään: mm. kuka tai ketkä ovat rekisterinpitäjiä, miksi tietoja käsitellään, mikä on henkilötietojen käsittelyperuste, kenelle tietoja luovutetaan, mitä oikeuksia rekisteröidyllä on, luovutetaanko tietoja EU:n ulkopuolelle, kauanko tietoja säilytetään ja mitä tapahtuu tämän jälkeen. Informoinnin tulisi olla lyhyttä ja ytimekästä ja kirjoitettu siten, että tutkimuksen kohderyhmä ymmärtää mistä tietojen käsittelyssä on kyse.

Mikäli hankkeessa kerätään tutkittavilta osallistumissuostumus, tutkittavia on informoitava henkilötietojen käsittelystä ennen päätöstä osallistua tutkimukseen. Mikäli tutkimuksessa käsitellään henkilötietoja ilman tutkittavan antamaa osallistumissuostumusta (esimerkiksi rekisteritutkimuksen kohdalla), tulee henkilötietojen käsittelystä laatia silloinkin tietosuojaseloste, jota on hyvä pitää esillä esimerkiksi tutkimusorganisaation, tutkimusryhmän tai tutkimushankkeen verkkosivuilla.

Helsingin yliopiston tietosuojaselostepohja: https://flamma.helsinki.fi/fi/group/tutkimuksen-tuki/tutkimuksen-tietosuoja-asiat (vaatii kirjautumisen)). Aalto-yliopiston tietosuojaselostepohja: https://www.aalto.fi/fi/palvelut/henkilotietojen-kasittely-tutkimuksessa (vaatii kirjautumisen).

Tietosuojaa koskeva vaikutustenarviointi (tarvittaessa)

Vaikutustenarviointi on työkalu, jonka tarkoituksena on auttaa arvioimaan henkilötietojen käsittelyyn liittyviä riskejä. Vaikutustenarviointi on tehtävä silloin, kun käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille. Vaikutustenarviointi tulee todennäköisesti tehdä, mikäli seuraavista kriteereistä vähintään kaksi täyttyy:

• käsittelyn laajamittaisuus
• arkaluonteisten henkilötietojen käsittely (terveystiedot ovat arkaluonteisia henkilötietoja)
• rekisteröidyn oikeuksista poikkeaminen
• tietojen yhdistäminen tutkittaville odottamattomalla tavalla
• tutkittavien alisteinen asema
• automaattinen päätöksenteko tutkimuksessa,
• tutkittavien arviointi ja pisteyttäminen, tutkittavien järjestelmällinen valvonta
• uusien teknisten tai organisatoristen menetelmien innovatiivinen käyttö
• vaaran aiheuttaminen
• rekisteröityjen järjestelmällinen valvonta

Eri organisaatioilla voi olla hieman erilaisia ohjeita sille, milloin vaikutustenarviointi tulee tehdä. HY:n ohjeita vaikutustenarvioinnin tekemiselle löytyy tutkimuksen tietosuojaohjeista. Aalto-yliopiston ohjeita löytyy Aalto-yliopiston tietosuojaohjeista.

Sopimukset yhteistyökumppanien kanssa

Tietosuoja-asetus velvoittaa tietyissä tapauksissa sopimaan henkilötietoihin liittyvistä vastuista yhteistyökumppanien kanssa (esimerkiksi silloin, kun kyseessä on yhteisrekisterinpitäjyys kahden tai useamman tahon välillä), ja vastuista sopiminen on helpointa toteuttaa ja osoittaa kirjallisen sopimuksen muodossa.

3.2 Lääketieteellisessä tutkimuksessa erityisesti huomioitavia reunaehtoja

Kun kyse on lääketieteellisestä tutkimuksesta, edellä mainittujen reunaehtojen lisäksi tulee huomioida erityisesti lääketieteellistä tutkimusta koskevat reunaehdot.

Yleisiä edellytyksiä

Tutkimuslain 3 §:n mukaan lääketieteellisessä tutkimuksessa on kunnioitettava ihmisarvon loukkaamattomuuden periaatetta. Tutkimuslain 4 §:n mukaan lääketieteellisessä tutkimuksessa tutkittavan etu ja hyvinvointi on asetettava tieteen ja yhteiskunnan etujen edelle, ja tutkittavalle mahdollisesti aiheutuvat riskit ja haitat on pyrittävä ehkäisemään. Tutkittavan saa asettaa alttiiksi vain sellaisille toimenpiteille, joista odotettavissa oleva terveydellinen tai tieteellinen hyöty on selvästi suurempi kuin tutkittavalle mahdollisesti aiheutuvat riskit ja haitat. Lisäksi tutkimuslain 4 a §:n mukaan tutkijalla on oltava kyseisen tutkimuksen tekemiseksi tarvittava asianmukainen ammatillinen ja tieteellinen pätevyys, ja tutkittavien lääketieteellistä hoidosta vastaavan on oltava lääkäri, jolla on asianmukainen pätevyys, tai jos kyseessä on hammaslääketieteellinen tutkimus, hammaslääkäri, jolla on asianmukainen pätevyys.

Tietoon perustuva (osallistumis)suostumus

Lääketieteelliseen tutkimukseen tulee saada tutkittavan vapaaehtoinen ja tietoon perustuva suostumus. Tutkimuslain 5 a §:ssä ja 6 §:ssä määritellään tietoon perustuvan suostumuksen (eli osallistumissuostumuksen) edellytykset lääketieteellisessä tutkimuksessa. Tässä esitellään tutkimuslain mukaiset tietoon perustuvan suostumuksen pääkohdat, mutta lista ei ole tyhjentävä. Tutkittavalle on annettava tutkimuksesta tiedot, joiden perusteella hän voi ymmärtää mm.:

1) lääketieteellisen tutkimuksen luonteen, tavoitteet, hyödyt, vaikutukset, riskit ja haitat;

2) tutkittavan suojaa koskevat oikeudet ja takeet, erityisesti hänen oikeutensa kieltäytyä osallistumasta tai keskeyttää osallistumisensa tutkimukseen milloin tahansa ilman kielteisiä seuraamuksia ja perusteluja antamatta;

3) olosuhteet, joissa lääketieteellinen tutkimus suoritetaan, mukaan lukien tutkittavan lääketieteelliseen tutkimukseen osallistumisen oletettu kesto;

4) mahdolliset hoitovaihtoehdot ja seurantatoimet, jos tutkittavan osallistuminen lääketieteelliseen tutkimukseen keskeytyy;

5) että tutkittavaa koskevia potilasasiakirjoihin sisältyviä tietoja ja tutkimuksessa kerättyjä tietoja voidaan käsitellä, vaikka tutkittava peruuttaa suostumuksensa osallistua tutkimukseen.

Tutkittavan oikeudesta saada tieto itseään koskettavien henkilötietojen käsittelystä säädetään tietosuoja-asetuksessa. Tutkittavalle annettavien tietojen on oltava kattavia, tiiviitä, selkeitä, oleellisia ja maallikolle ymmärrettäviä. Lisäksi on annettava tieto vahingonkorvausta koskevista järjestelyistä ja tutkimuksen tulosten saatavuudesta.

Tiedot on annettava tutkittavalle keskustelussa, jonka käy tutkimusryhmän jäsen, jolla on riittävät tiedot kyseisestä tutkimuksesta ja tietoon perustuvaa suostumusta koskevasta lainsäädännössä. Keskustelussa on varmistettava, että tutkittava on ymmärtänyt tiedot. Tutkittavalle on annettava riittävästi aikaa tehdä päätös tutkimukseen osallistumisesta. Lisäksi tutkimuslain 5 a §:ssä säädetään tutkittavan oikeudesta keskeyttää tai peruuttaa osallistumisensa tutkimukseen.

Tutkimuslain 6 §:ssä säädetään tietoon perustuvaa suostumusta koskevista asiakirjoista. Tutkimuslain 6 §:n mukaan mm. tietoon perustuva suostumus on annettava kirjallisesti, elleivät perusteet kirjallisen suostumuksen vaatimuksesta poikkeamiselle täyty. Tietoon perustuva suostumus on dokumentoitava.

Tutkimuslaki sisältää suostumusta koskevia erityisehtoja esimerkiksi silloin, kun on kyse tutkittavasta, joka on alaikäinen (tutkimuslain 8 §), tai jolla on alentunut itsemääräämiskyky (tutkimuslain 7 §).

Alueellisen lääketieteellisen tutkimuseettisen toimikunnan lausunto

Lääketieteellisen tutkimuksen kohdalla eettistä ennakkoarviota tulee hakea alueelliselta lääketieteelliseltä tutkimuseettiseltä toimikunnalta.

Tutkimuslupa

Lääketieteellisen tutkimuksen toteuttaminen vaatii tutkimusluvan. Esimerkiksi HUSin tutkimuslupa pitää HUSin ohjeistuksen mukaan hakea kaikkeen tutkimukseen ja opinnäytetöihin,

• jonka kohteena ovat HUSin potilaat tai tutkittavat tai
• heistä peräisin olevat kudokset tai näytteet,
• joissa hyödynnetään HUSin henkilökuntaa, tiloja, laitteita, potilas- tai hallintoasiakirjoja, tietojärjestelmiä, dataa, rekistereitä tai
• jota rahoitetaan HUSin saamalla tutkimusrahoituksella.[1]
• Tietosuojaa koskeva vaikutustenarviointi
• Lääketieteellisessä tutkimuksessa tulee usein laadittavaksi vaikutustenarviointi, koska siinä käsitellään arkaluonteiseksi katsottavia henkilötietoja, ja koska tutkittavilla saattaa myös olla alisteinen asema, mikäli tutkittavat ovat potilaita.
• Tutkittavalle suoritettavat korvaukset
• Tutkimuslain 21 §:n mukaan tutkittavalle, hänen hänen huoltajalleen, lähiomaiselleen, muulle läheiselle ja hänen lailliselle edustajalleen ei saa suorittaa tutkimukseen osallistumisesta palkkiota. Tutkimukseen osallistumiseen liittyvät välittömät kustannukset ja ansionmenetykset voidaan kuitenkin korvata. Muulle kuin 7, 8 ja 9 §:ssä tarkoitetulle tutkittavalle (eli alentuneen itsemääräämiskyvyn omaavalle tutkittavalle, alaikäiselle tutkittavalle ja raskaana olevalle tai imettävälle tutkittavalle) voidaan lisäksi suorittaa myös muusta haitasta kohtuullinen korvaus. Korvausten perusteista ja määristä on annettu tarkempia säännöksiä sosiaali- ja terveysministeriön asetuksessa tutkittavalle suoritettavista korvauksista (82/2011).
• 3.3 Kaikessa tieteellisessä tutkimuksessa (lääketieteellinen ja ei-lääketieteellinen) huomioitavat tietosuojaehdot
• Tutkimustehtävän määrittäminen ja käyttötarkoitussidonnaisuus (GDPR 5 artiklan 1 b) kohta)
• Tutkimuksessa pitää määrittää ennakkoon, mitä tarkoitusta varten henkilötietoja käsitellään. Henkilötiedot tulee kerätä tiettyä nimenomaista ja laillista tarkoitusta varten, eikä henkilötietoja saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteen sopimattomalla tavalla. (Tutkimusta varten kerättyjen henkilötietojen jatkokäytöstä, ks. kohta 6).
• Henkilötietojen minimointi (GDPR 5 artiklan 1 c) kohta)
• Tutkimuksessa tulisi kerätä vain kyseisen tutkimuksen kannalta välttämättömiä henkilötietoja. Henkilötietoja saa kerätä vain, jos tutkimusta ei voida toteuttaa anonyymeillä tiedoilla. Suorat tunnisteet tulee poistaa heti kun se on mahdollista.
• Riskien arvioiminen ja henkilötietojen suojatoimien ja elinkaaren suunnittelu (GDPR 5 artiklan e) kohta ja 89 artikla)
• Henkilötietojen käsittelyssä tulee noudattaa tietosuojaperiaatteita. Tutkimuksessa tulee tehdä henkilötietoja koskeva riskiarvio ja valittava sopivat suojatoimet. Tarvittaessa tulee tehdä henkilötietojen käsittelyä koskeva vaikutustenarviointi (ks. kohta 3.1)
• [1] https://www.hus.fi/tutkimus-ja-opetus/tutkijan-ohjeet/tutkimuslupa-opinnaytetyon-tutkimuslupa-ja-tietolupa#milloin-tarvitset-tutkimusluva Viitattu 17.8.2022.

Henkilötietojen käsittelyperuste (GDPR 6 artikla)

Tutkimuksessa tulee päättää, millä GDPR:n mukaisella henkilötietojen käsittelyperusteella henkilötietoja käsitellään. Akateemisissa tutkimuksissa henkilötietojen käsittelyperuste on usein yleistä etua koskeva tehtävä / tieteellinen ja historiallinen tutkimus tai tilastointi.

Tutkittavan oikeuksista huolehtiminen (mm. informointi) (GDPR 12-23 artiklat)

Tutkittavaa pitää informoida hänen henkilötietojensa käsittelystä ja hänelle pitää kertoa, mitä oikeuksia hänellä on.

Roolien (rekisterinpitäjä / käsittelijä) selvittäminen (GDPR 4 artikla)

Tutkimushankkeessa tulee selvittää, kuka tai ketkä ovat tutkimushankkeen rekisterinpitäjiä tai henkilötietojen käsittelijöitä. Tietoa rooleista löytyy HY:n sivuilta tutkimuksen tietosuojaohjeista (vaatii kirjautumisen). Aalto-yliopiston ohjeita löytyy Aalto-yliopiston tietosuojaohjeista (vaatii kirjautumisen).

Henkilötietojen siirto EU- tai ETA -alueen ulkopuolelle (GDPR 44-50 artiklat)

Ks. tämän selvityksen kohta 7, Henkilötietojen siirto EU- tai ETA-alueen ulkopuolelle.

Henkilötietojen hävittäminen, anonymisointi tai arkistointi (GDPR 5 artiklan e) kohta ja 89 artikla)

Tutkimuksessa on ennakoitava, kuinka pitkään henkilötietoja käsitellään tutkimusta varten, kuinka kauan tietoja sen jälkeen säilytetään esimerkiksi tulosten varmistamiseksi, ja mitä henkilötiedoille tehdään, kun säilyttäminen ei ole enää tarpeen kumpaakaan tarkoitusta varten.

Osoitusvelvollisuus (GDPR 5 artiklan 2 kohta)

Rekisterinpitäjän tulee pystyä osoittamaan, että tietosuoja-asetuksen säännöksiä on noudatettu. Käytännössä se tarkoittaa, että rekisterinpitäjän tulee esimerkiksi pitää kirjaa henkilötietojen käsittelytoimista ja siirroista. Lisäksi esimerkiksi henkilötietojen käsittelyä koskevien sopimusten ja vaikutustenarvioinnin laatiminen sekä ns. teknisten ja organisatoristen toimien tekeminen (esimerkiksi tietojen pseudonymisointi, lokitietojen kerääminen ja henkilökunnan ohjeistaminen) tukevat osoitusvelvollisuuden täyttymistä.

[1] https://www.tukija.fi/documents/11872818/0/Mallitiedote_ja_suostumusasiakirja_asetus_08032022.pdf/54e92f2b-2dd3-804b-c0fb-ddad857390d0?t=1651059329824. Viitattu 17.8.2022. Tukijan malli koskee kliinisiä lääketutkimuksia, mutta tässä yhteydessä mainitut periaatteet soveltuvat myös muuhun lääketieteelliseen tutkimukseen.

[2] https://tenk.fi/sites/default/files/2021-01/Ihmistieteiden_eettisen_ennakkoarvioinnin_ohje_2020.pdf Viitattu 17.8.2022.

[3] Ihmiseen kohdistuvan tutkimuksen eettiset periaatteet ja ihmistieteiden eettinen ennakkoarviointi Suomessa. Tutkimuseettisen neuvottelukunnan julkaisuja 3/2019

Kun kyse on lääketieteellisestä tutkimuksesta, edellä mainittujen reunaehtojen lisäksi tulee huomioida erityisesti lääketieteellistä tutkimusta koskevat reunaehdot.

Yleisiä edellytyksiä

Tutkimuslain 3 §:n mukaan lääketieteellisessä tutkimuksessa on kunnioitettava ihmisarvon loukkaamattomuuden periaatetta. Tutkimuslain 4 §:n mukaan lääketieteellisessä tutkimuksessa tutkittavan etu ja hyvinvointi on asetettava tieteen ja yhteiskunnan etujen edelle, ja tutkittavalle mahdollisesti aiheutuvat riskit ja haitat on pyrittävä ehkäisemään. Tutkittavan saa asettaa alttiiksi vain sellaisille toimenpiteille, joista odotettavissa oleva terveydellinen tai tieteellinen hyöty on selvästi suurempi kuin tutkittavalle mahdollisesti aiheutuvat riskit ja haitat. Lisäksi tutkimuslain 4 a §:n mukaan tutkijalla on oltava kyseisen tutkimuksen tekemiseksi tarvittava asianmukainen ammatillinen ja tieteellinen pätevyys, ja tutkittavien lääketieteellistä hoidosta vastaavan on oltava lääkäri, jolla on asianmukainen pätevyys, tai jos kyseessä on hammaslääketieteellinen tutkimus, hammaslääkäri, jolla on asianmukainen pätevyys.

Tietoon perustuva (osallistumis)suostumus

Lääketieteelliseen tutkimukseen tulee saada tutkittavan vapaaehtoinen ja tietoon perustuva suostumus. Tutkimuslain 5 a §:ssä ja 6 §:ssä määritellään tietoon perustuvan suostumuksen (eli osallistumissuostumuksen) edellytykset lääketieteellisessä tutkimuksessa. Tässä esitellään tutkimuslain mukaiset tietoon perustuvan suostumuksen pääkohdat, mutta lista ei ole tyhjentävä. Tutkittavalle on annettava tutkimuksesta tiedot, joiden perusteella hän voi ymmärtää mm.:

1) lääketieteellisen tutkimuksen luonteen, tavoitteet, hyödyt, vaikutukset, riskit ja haitat;

2) tutkittavan suojaa koskevat oikeudet ja takeet, erityisesti hänen oikeutensa kieltäytyä osallistumasta tai keskeyttää osallistumisensa tutkimukseen milloin tahansa ilman kielteisiä seuraamuksia ja perusteluja antamatta;

3) olosuhteet, joissa lääketieteellinen tutkimus suoritetaan, mukaan lukien tutkittavan lääketieteelliseen tutkimukseen osallistumisen oletettu kesto;

4) mahdolliset hoitovaihtoehdot ja seurantatoimet, jos tutkittavan osallistuminen lääketieteelliseen tutkimukseen keskeytyy;

5) että tutkittavaa koskevia potilasasiakirjoihin sisältyviä tietoja ja tutkimuksessa kerättyjä tietoja voidaan käsitellä, vaikka tutkittava peruuttaa suostumuksensa osallistua tutkimukseen.

Tutkittavan oikeudesta saada tieto itseään koskettavien henkilötietojen käsittelystä säädetään tietosuoja-asetuksessa. Tutkittavalle annettavien tietojen on oltava kattavia, tiiviitä, selkeitä, oleellisia ja maallikolle ymmärrettäviä. Lisäksi on annettava tieto vahingonkorvausta koskevista järjestelyistä ja tutkimuksen tulosten saatavuudesta.

Tiedot on annettava tutkittavalle keskustelussa, jonka käy tutkimusryhmän jäsen, jolla on riittävät tiedot kyseisestä tutkimuksesta ja tietoon perustuvaa suostumusta koskevasta lainsäädännössä. Keskustelussa on varmistettava, että tutkittava on ymmärtänyt tiedot. Tutkittavalle on annettava riittävästi aikaa tehdä päätös tutkimukseen osallistumisesta. Lisäksi tutkimuslain 5 a §:ssä säädetään tutkittavan oikeudesta keskeyttää tai peruuttaa osallistumisensa tutkimukseen.

Tutkimuslain 6 §:ssä säädetään tietoon perustuvaa suostumusta koskevista asiakirjoista. Tutkimuslain 6 §:n mukaan mm. tietoon perustuva suostumus on annettava kirjallisesti, elleivät perusteet kirjallisen suostumuksen vaatimuksesta poikkeamiselle täyty. Tietoon perustuva suostumus on dokumentoitava.

Tutkimuslaki sisältää suostumusta koskevia erityisehtoja esimerkiksi silloin, kun on kyse tutkittavasta, joka on alaikäinen (tutkimuslain 8 §), tai jolla on alentunut itsemääräämiskyky (tutkimuslain 7 §).

Alueellisen lääketieteellisen tutkimuseettisen toimikunnan lausunto

Lääketieteellisen tutkimuksen kohdalla eettistä ennakkoarviota tulee hakea alueelliselta lääketieteelliseltä tutkimuseettiseltä toimikunnalta.

Tutkimuslupa

Lääketieteellisen tutkimuksen toteuttaminen vaatii tutkimusluvan. Esimerkiksi HUSin tutkimuslupa pitää HUSin ohjeistuksen mukaan hakea kaikkeen tutkimukseen ja opinnäytetöihin,

• jonka kohteena ovat HUSin potilaat tai tutkittavat tai
• heistä peräisin olevat kudokset tai näytteet,
• joissa hyödynnetään HUSin henkilökuntaa, tiloja, laitteita, potilas- tai hallintoasiakirjoja, tietojärjestelmiä, dataa, rekistereitä tai
• jota rahoitetaan HUSin saamalla tutkimusrahoituksella.[1]

Tietosuojaa koskeva vaikutustenarviointi

Lääketieteellisessä tutkimuksessa tulee usein laadittavaksi vaikutustenarviointi, koska siinä käsitellään arkaluonteiseksi katsottavia henkilötietoja, ja koska tutkittavilla saattaa myös olla alisteinen asema, mikäli tutkittavat ovat potilaita.

Tutkittavalle suoritettavat korvaukset

Tutkimuslain 21 §:n mukaan tutkittavalle, hänen hänen huoltajalleen, lähiomaiselleen, muulle läheiselle ja hänen lailliselle edustajalleen ei saa suorittaa tutkimukseen osallistumisesta palkkiota. Tutkimukseen osallistumiseen liittyvät välittömät kustannukset ja ansionmenetykset voidaan kuitenkin korvata. Muulle kuin 7, 8 ja 9 §:ssä tarkoitetulle tutkittavalle (eli alentuneen itsemääräämiskyvyn omaavalle tutkittavalle, alaikäiselle tutkittavalle ja raskaana olevalle tai imettävälle tutkittavalle) voidaan lisäksi suorittaa myös muusta haitasta kohtuullinen korvaus. Korvausten perusteista ja määristä on annettu tarkempia säännöksiä sosiaali- ja terveysministeriön asetuksessa tutkittavalle suoritettavista korvauksista (82/2011).

---

[1] https://www.hus.fi/tutkimus-ja-opetus/tutkijan-ohjeet/tutkimuslupa-opinnaytetyon-tutkimuslupa-ja-tietolupa#milloin-tarvitset-tutkimusluva Viitattu 17.8.2022.

Tutkimustehtävän määrittäminen ja käyttötarkoitussidonnaisuus (GDPR 5 artiklan 1 b) kohta)

Tutkimuksessa pitää määrittää ennakkoon, mitä tarkoitusta varten henkilötietoja käsitellään. Henkilötiedot tulee kerätä tiettyä nimenomaista ja laillista tarkoitusta varten, eikä henkilötietoja saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteen sopimattomalla tavalla. (Tutkimusta varten kerättyjen henkilötietojen jatkokäytöstä, ks. kohta 6).

Henkilötietojen minimointi (GDPR 5 artiklan 1 c) kohta)

Tutkimuksessa tulisi kerätä vain kyseisen tutkimuksen kannalta välttämättömiä henkilötietoja. Henkilötietoja saa kerätä vain, jos tutkimusta ei voida toteuttaa anonyymeillä tiedoilla. Suorat tunnisteet tulee poistaa heti kun se on mahdollista.

Riskien arvioiminen ja henkilötietojen suojatoimien ja elinkaaren suunnittelu (GDPR 5 artiklan e) kohta ja 89 artikla)

Henkilötietojen käsittelyssä tulee noudattaa tietosuojaperiaatteita. Tutkimuksessa tulee tehdä henkilötietoja koskeva riskiarvio ja valittava sopivat suojatoimet. Tarvittaessa tulee tehdä henkilötietojen käsittelyä koskeva vaikutustenarviointi (ks. kohta 3.1)

Henkilötietojen käsittelyperuste (GDPR 6 artikla)

Tutkimuksessa tulee päättää, millä GDPR:n mukaisella henkilötietojen käsittelyperusteella henkilötietoja käsitellään. Akateemisissa tutkimuksissa henkilötietojen käsittelyperuste on usein yleistä etua koskeva tehtävä / tieteellinen ja historiallinen tutkimus tai tilastointi.

Tutkittavan oikeuksista huolehtiminen (mm. informointi) (GDPR 12-23 artiklat)

Tutkittavaa pitää informoida hänen henkilötietojensa käsittelystä ja hänelle pitää kertoa, mitä oikeuksia hänellä on.

Roolien (rekisterinpitäjä / käsittelijä) selvittäminen (GDPR 4 artikla)

Tutkimushankkeessa tulee selvittää, kuka tai ketkä ovat tutkimushankkeen rekisterinpitäjiä tai henkilötietojen käsittelijöitä. Tietoa rooleista löytyy HY:n sivuilta tutkimuksen tietosuojaohjeista (vaatii kirjautumisen). Aalto-yliopiston ohjeita löytyy Aalto-yliopiston tietosuojaohjeista (vaatii kirjautumisen).

Henkilötietojen siirto EU- tai ETA -alueen ulkopuolelle (GDPR 44-50 artiklat)

Ks. tämän selvityksen kohta 7, Henkilötietojen siirto EU- tai ETA-alueen ulkopuolelle.

Henkilötietojen hävittäminen, anonymisointi tai arkistointi (GDPR 5 artiklan e) kohta ja 89 artikla)

Tutkimuksessa on ennakoitava, kuinka pitkään henkilötietoja käsitellään tutkimusta varten, kuinka kauan tietoja sen jälkeen säilytetään esimerkiksi tulosten varmistamiseksi, ja mitä henkilötiedoille tehdään, kun säilyttäminen ei ole enää tarpeen kumpaakaan tarkoitusta varten.

Osoitusvelvollisuus (GDPR 5 artiklan 2 kohta)

Rekisterinpitäjän tulee pystyä osoittamaan, että tietosuoja-asetuksen säännöksiä on noudatettu. Käytännössä se tarkoittaa, että rekisterinpitäjän tulee esimerkiksi pitää kirjaa henkilötietojen käsittelytoimista ja siirroista. Lisäksi esimerkiksi henkilötietojen käsittelyä koskevien sopimusten ja vaikutustenarvioinnin laatiminen sekä ns. teknisten ja organisatoristen toimien tekeminen (esimerkiksi tietojen pseudonymisointi, lokitietojen kerääminen ja henkilökunnan ohjeistaminen) tukevat osoitusvelvollisuuden täyttymistä.

1. Tutkimussuunnitelma. Jo tutkimusta suunniteltaessa on hyvä tunnistaa kaikkien mukana olevien organisaatioiden roolit ja selvittää, onko tutkimuksen toteuttaminen suunnitellulla tavalla mahdollista toteuttaa (millä edellytyksillä esimerkiksi tietty aineisto saadaan tutkimusta varten käyttöön). 

• Linkki HY:n sisäisille sivuille tutkimusprojektin suunnitteluohjeeseen.
• Aalto-yliopiston ohjeita.

2. Aineistonhallintasuunnitelma. Osana aineistonhallintasuunnitelmaa suunnitellaan henkilötietojen tietoturvatoimet (esimerkiksi pseudonymisointi, kryptaus, lokitiedot jne.).  

• Linkki HY:n sisäisille sivuille, ohje aineistonhallintasuunnitelman tekemiseen.
• Aalto-yliopiston ohjeita.

3. Tietosuojaseloste tutkittavalle. Jokaisesta  tutkimushankkeesta, jossa käsitellään henkilötietoja, on tehtävä tietosuojailmoitus.

• Helsingin yliopiston tietosuojaselostepohja: https://flamma.helsinki.fi/fi/group/tutkimuksen-tuki/tutkimuksen-tietosuoja-asiat (vaatii kirjautumisen).
• Aalto-yliopiston tietosuojaselostepohja: https://www.aalto.fi/fi/palvelut/henkilotietojen-kasittely-tutkimuksessa (vaatii kirjautumisen).

4. Osallistumissuostumus ja tiedote tutkittavalle (jos tiedot kerätään tutkittavalta). Jos tutkittavat osallistuvat tutkimukseen omalla suostumuksellaan, on laadittava tutkittavan tiedotteet sekä suostumuslomakkeet.  Suostumusta ja tiedotetta laadittaessa tulee huomioida TUKIJAn ja TENKin ohjeet ja kiinnittää huomiota myös siihen, kenelle aineistoa on tarve jakaa (esim. yhteistyökumppanit) ja onko aineistoa tarkoitus jatkokäyttää tai tallettaa johonkin arkistoon.

5. Tietolupa (jos tiedot saadaan toisiolain nojalla). Jos tutkimuksessa hyödynnetään esimerkiksi hyvinvointialueen sote-rekisteritietoja, on tutkimusta varten saatava toisiolain mukainen tietolupa Findatalta tai yksittäiseltä rekisterinpitäjältä (esimerkiksi HUSilta) toisiolain mukaisesti.Findatan sivuilta löytyy ohje oikean rekisterinpitäjän löytämiseksi.

6. Eettisen toimikunnan lausunto (jos edellytykset sen hakemiselle täyttyvät). Eri organisaatioiden (yliopistojen ja hyvinvointialueiden) eettisten toimikuntien sivuilla on ohjeita, milloin lausuntoa tulee hakea.

7. Sopimukset. Yliopistoissa tutkimussopimukset valmistellaan yliopistojen lakipalvelujen avustuksella.

8. Vakuutukset. Yliopistolla tai tutkimusryhmällä tulee olla tutkimuksen suorittamisen kannalta tarvittavat vakuutukset.

9. Henkilötietojen siirtoon ETA-alueen ulkopuolelle liittyvä suojatoimien toteuttaminen, jos tietoja siirretään ETA-alueen ulkopuolelle. Ks. tämän selvityksen kohta 9.

Lääketieteellisessä tutkimuksessa tarvitaan lisäksi:

Tutkimuslupa.

Alueellisen lääketieteellisen tutkimuseettisen toimikunnan lausunto.  (Muiden eettisten toimikuntien lausuntoja ei tarvita.)

Lääketieteellistä tutkimusta koskevat vakuutukset.

Vaikutustenarviointi. Useimmissa lääketieteellisissä tutkimuksissa tulee tehdä henkilötietojen käsittelyä koskeva vaikutustenarviointi (ks. tarkemmin tämän selvityksen kohta 3.2).

Jos tutkimuksessa hyödynnetään vain HUSin potilasrekisteritietoja, ja tutkimuksen toteuttaa yksinomaan HUSin palveluksessa oleva tutkija tai tutkijaryhmä, tulee tutkijan/tutkijaryhmän hakea HUSilta tutkimuslupaa (ohjeet HUSin sivuilla).  Jos tutkimuksessa hyödynnetään muidenkin rekisterinpitäjien kuin HUSin sote-rekisteritietoja, tulee tietolupahakemus osoittaa lähtökohtaisesti Findatalle HUSin sijaan. Findatan sivuilta löytyy ohje luvan myöntäjän löytämiseksi.

Kun HUSin ulkopuolinen taho (esimerkiksi yliopiston tutkija) haluaa hyödyntää HUSin potilasrekisteritietoja tutkimuksessa (joko yhteistyössä HUSin kanssa tai ilman HUSia)

Kun tutkimuksen toteuttaa, tai siinä on yhtenä osapuolena mukana HUSin ulkopuolinen taho ja siinä halutaan hyödyntää HUSin potilasrekisteritietoja (mutta ei muiden rekisterinpitäjien sote-rekisteritietoja) tulee, tutkimuksen toteuttajan saada HUSilta toisiolain mukainen tietolupa. Ohjeet tietoluvan hakemiseen HUSilta löytyvät HUSin sivuilta. Jos tutkimuksessa hyödynnetään muidenkin rekisterinpitäjien kuin HUSin sote-rekisteritietoja, tulee tietolupahakemus osoittaa lähtökohtaisesti Findatalle HUSin sijaan. Findatan sivuilta löytyy ohje luvan myöntäjän löytämiseksi.

Kun sekä HUSin että yliopiston palveluksessa toimiva tutkija (ns. kaksoisvirkainen tutkija) haluaa hyödyntää HUSin potilasrekisteritietoja tutkimuksessa

Tutkimuksen suunnitteluvaiheessa on tärkeää selventää, onko kyseessä pelkästään HUSin tai yliopiston tutkimus, vai HUSin ja yliopiston välinen yhteistyötutkimus. Mikäli tutkimuksessa aiotaan hyödyntää sekä HUSin että yliopiston resursseja kuten rahoitusta, työntekijöitä, aineistoja, tiloja, laitteita, näytteitä, tutkittavien henkilötietoja jne., kyseessä on HUSin ja yliopiston välinen yhteistyötutkimus, mikä tulee huomioida ja tuoda esiin riittävällä tarkkuudella kaikessa tutkimusta koskevassa dokumentaatiossa ja luvissa, kuten eettiselle toimikunnalle tehtävässä hakemuksessa, tutkimusluvassa, tietoluvassa, tutkittavan suostumuksessa ja tiedotteessa sekä tietosuojaselosteessa. Lisäksi yhteistyöstä tulee laatia sopimus HUSin ja yliopiston välille (sopimuksen laativat yliopiston ja HUSin lakipalvelut). Osapuolten roolit tulisi huomioida myös tutkimusrahoitusta haettaessa ja rahoitushakemuksen teossa. Mikäli tutkimusrahoitusta on haettu vain toiselle osapuolelle vaikka projekti käytännössä toteutetaan yhteistyössä, tämä voi aiheuttaa ongelmia ja viivästyksiä projektin toteuttamisessa sekä tilanteen, jossa toisen osapuolen kustannusten kattamiseksi pitääkin hakea rahoituspäätöksen muutosta tai hankkia projektille uutta rahoitusta.

Kun yritys haluaa tehdä tieteellistä tutkimusta HUSin potilasrekisteridatalla

Yritys voi saada HUSin potilasrekisteritietoja tieteellisen tutkimuksen tarkoitusta varten toisiolain mukaisella tietoluvalla samoilla edellytyksillä kuin yliopiston tutkimusryhmäkin. Se edellyttää, että kyse on tieteellisen tutkimuksen kriteerit täyttävästä tutkimuksesta, joka ei ole toisiolain mukaista kehittämis- ja innovaatiotoimintaa. Findatan ohjeistuksen mukaan hankkeen pitää täyttää tieteellisen tutkimuksen yleiset kriteerit, eli sillä pitää olla esimerkiksi asianmukainen tutkimussuunnitelma, vastuuhenkilö tai vastuuryhmä, tulokset tulee julkaista tieteellisinä julkaisuina ja tavoitteena tulee olla uuden tiedon tuottaminen. Lisäksi yritys voi saada HUSin potilasrekisteritietoja lääketieteellistä tutkimusta varten tutkimuslain nojalla.

Tieteellisen tutkimuksen tulee olla toistettavissa. Kerran toteutetun tutkimuksen toteuttaminen uudestaan samoilla henkilötietoja sisältävillä tiedoilla ei ole henkilötietojen käyttämistä uuteen tarkoitukseen, vaikka sen toteuttaisi muu kuin alkuperäinen rekisterinpitäjä. Tällöin tutkimuseettisenä edellytyksenä tutkimuksen toistamiselle saattaa kuitenkin olla tutkittavien informoiminen siitä, että tutkimusaineistoa voidaan säilyttää myös tulevia tutkimuksia varten ja luovuttaa myös muille tutkimusorganisaatioille yleisen edun mukaiseen tieteelliseen tutkimukseen.  Lisäksi tulee huomioida, että tutkimusluvan antanut organisaatio ja/tai eettinen toimikunta saattavat kuitenkin katsoa, että jos saman tutkimuksen toteuttaa uusi rekisterinpitäjä, tämä vaatii uuden tutkimusluvan ja eettisen toimikunnan lausunnon pyytämistä, koska rekisterinpitäjän vaihdosta saatetaan pitää merkittävänä muutoksena alkuperäiseen tutkimukseen.

Toisiolain mukainen tietolupa annetaan aina tietolupahakemuksen perusteella tapauskohtaisesti tiettyyn tutkimukseen. Samalla tietoluvalla saadun aineiston jatkokäyttö uuteen tutkimukseen vaatii uuden tietoluvan hakemista tietoluvan myöntäneeltä taholta (esim. HUS tai Findata).

6.3.1 Yleisesti henkilötietojen jatkokäytön edellytyksistä

Henkilötietojen jatkokäytöllä voidaan tarkoittaa erilaisia tilanteita. Tämän osion ulkopuolelle jäävät tilanteet, joissa on kyse rekisteritutkimuksesta. Tässä osiossa jatkokäytöllä viitataan tilanteeseen, jossa henkilö on alun perin antanut osallistumissuostumuksensa tiettyyn tutkimukseen osallistumiseen, ja kyseisessä tutkimuksessa käsiteltyjä tai kerättyjä henkilötietoja halutaan käyttää myös muissa tutkimuksissa. Tällöin oleellinen kysymys on, tarvitaanko uusi osallistumissuostumus uuteen tutkimukseen, vai riittääkö esimerkiksi henkilön informointi mahdollisuuksien mukaan uudesta tutkimuksesta.

Jatkokäytöllä voidaan tarkoittaa esimerkiksi, että rekisterinpitäjä toteuttaa alkuperäisen tutkimuksen jatkotutkimuksen yksin tai yhdessä uusien yhteistyökumppanien kanssa. Jatkokäytöllä voidaan tarkoittaa, että käytetään kaikkea tai lähes kaikkea tutkimuksessa kerättyä aineistoa toisessa tutkimuksessa, tai että ainoastaan alkuperäisen tutkimuksen tutkimustuloksia (jotka ovat pseudonyymin kautta yhdistettävissä tutkittavien henkilöllisyyteen) käytetään toisessa tutkimuksessa. Jatkokäyttö voi myös tarkoittaa henkilötietojen tallettamista arkistoihin tai repositorioihin, joista niitä voidaan jakaa edelleen muihin tutkimuksiin. Arkistoihin tai repositorioihin tallettamista on käsitelty erikseen kohdassa 6.3.3.

Henkilötietojen jatkokäytön osalta tulee huomioida, että European Data Protection Board eli EDPB on luvannut antaa tarkempia ohjeita henkilötietojen käsittelystä tieteellisiä tutkimustarkoituksia varten, mukaan lukien henkilötietojen ns. jatkokäytöstä tutkimuksessa[1]. Kyseiset ohjeet eivät ole vielä ilmestyneet, mutta ne saattavat ilmestyessään vaikuttaa tämän kirjoituksen ajantasaisuuteen.

On olemassa erilaisia tulkintoja siitä, voiko tietyssä osallistumissuostumuksen sisältävässä tutkimuksessa kerättyjä tai muutoin käsiteltyjä henkilötietoja ylipäänsä käyttää muissa tutkimuksissa ilman uuden osallistumissuostumuksen pyytämistä rekisteröidyltä, ja jos voi, niin millaisissa tutkimuksissa ja millaisilla edellytyksillä. Myös eettisillä toimikunnilla voi olla toisistaan eroavia tulkintoja asiasta.[2] Eettiset toimikunnat arvioivat aina käsittelemiään tapauksia kokonaisuuksina ja yksittäistapauksina, minkä takia yleispäteviä tulkintoja on vaikea löytää.

Asiaa arvioitaessa on tarpeen huomioida sekä lainsäädäntö että tutkimuseettiset periaatteet. On hyvä tiedostaa, että tutkimusetiikan vaatimukset saattavat mennä pidemmälle kuin lainsäädännön vaatimukset.

Eri oikeuslähteistä on löydettävissä tukea henkilötietojen jatkokäytön mahdollisuudelle. Esimerkiksi tietosuoja-asetus ja maailman lääkäriliiton Taipein julistus sisältävät viittauksia jatkokäytön mahdollisuuteen. Henkilötietojen jatkokäyttöä tieteellisessä tutkimuksessa voidaan yleisesti perustella myös kansanterveyden edistämisen näkökulmasta, koska kansanterveyden suojelun korkean tason turvaaminen vaatii tieteellisen tutkimuksen toimintaedellytysten turvaamista.

Euroopan unionin perusoikeuskirjassa on käsitelty tieteen vapautta ja ihmisten terveyden suojelua. Perusoikeuskirja on EU:n primaarioikeutta, eli oikeuslähdehierarkiassa kaikkein korkeimmalla tasolla yhdessä EU:n perussopimusten kanssa. Perusoikeuskirjan 15 artiklassa turvataan tieteellisen tutkimuksen vapaus, ja 35 artiklan mukaan ihmisten terveyden korkeatasoinen suojelu varmistetaan kaikkien unionin politiikkojen ja toimintojen määrittelyssä ja toteuttamisessa. Käytännössä ihmisten terveyden korkeatasoinen suojelu perustuu tieteelliseen tutkimukseen ja on riippuvaista siitä, että tieteellisen tutkimuksen tekemisen toimintaedellytykset turvataan. Perusoikeuskirjan 52 artikla sisältää myös suhteellisuusperiaatteen, jonka mukaan yhden perusoikeuden suojan on oltava oikeassa suhteessa muihin perusoikeuksiin. Näin ollen esimerkiksi oikeuden henkilötietojen suojaan tulee olla tasapainossa suhteessa muihin perusoikeuksiin (esimerkiksi oikeuteen terveyden suojeluun). Toisaalta yksilöllä on paitsi oikeus yksityisyyden suojaan, myös itsemääräämisoikeus, johon sisältynee ruumiillisen ja henkisen koskemattomuuden lisäksi myös oikeus määrätä itseään koskevien henkilötietojen laajemmasta tai suppeammasta käytöstä. Vuoden 1948 ihmisoikeuksien yleismaailmallisen julistuksen 27 artiklan mukaan yksilöillä on oikeus osallistua tieteen edistymiseen ja sen tuomiin etuihin. 27 artiklan voidaan nähdä tukevan henkilön itsemääräämisoikeutta tutkimukseen osallistumisessa ja oikeutta saada tieteelliseen tutkimukseen perustuvaa korkeatasoista terveydenhoitoa.

GDPR:n 1 artiklan mukaan henkilötietojen vapaata liikkuvuutta unionin sisällä ei saa rajoittaa eikä kieltää syistä, jotka liittyvät luonnollisten henkilöiden suojeluun henkilötietojen käsittelyssä. Henkilötietojen jatkotutkimuskäytön kannalta oleellinen on GDPR:n 5 artikla. 5 artiklan 1 kohdan b) -alakohdan pääsäännön mukaan henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin kyseisten tarkoitusten kanssa yhteensopimattomalla tavalla (käyttötarkoitussidonnaisuus). Saman alakohdan mukaan henkilötietojen myöhempää käsittelyä tieteellisiä tai historiallisia tutkimustarkoituksia varten ei katsota yhteensopimattomaksi alkuperäisten tarkoitusten kanssa. GDPR:n 5 artiklan sanamuodon perusteella henkilötietojen käsittely (muussakin kuin alkuperäisessä) tieteellisessä tutkimuksessa olisi siis lähtökohtaisesti yhteensopivaa käsittelyä. GDPR sisältää useita muitakin kohtia, joiden perusteella tieteellinen tutkimus on haluttu asettaa erityisasemaan suhteessa muihin aloihin[3].

Maailman lääkäriliitto on laatinut tässä kirjoituksessa aiemmin viitatun Helsingin julistuksen lisäksi Taipein julistuksen, joka koskee terveysdatapankkeihin ja biopankkeihin liittyviä eettisiä näkökohtia. Taipein julistuksen kohdassa 4 määritellään terveyttä koskeva tietokanta siten, että se on järjestelmä terveyttä koskevan tiedon keräämistä, järjestämistä ja säilyttämistä varten. Julistuksen kohdan 11 mukaan terveyttä koskevien tietojen keräämisen, säilyttämisen ja käytön tulee perustua vapaaehtoisuuteen silloin kun kyseessä on henkilö, joka voi antaa suostumuksensa. Mikäli tietoja kerätään tiettyä tutkimusprojektia varten, tulee tutkimukseen osallistujilta saada Helsingin julistuksen mukainen nimenomainen, vapaa ja tietoinen suostumus. Taipein julistuksen kohdassa 12 luetellaan tutkimukseen osallistuvan henkilön riittävään informointiin liittyviä ehtoja, joiden tulee täyttyä, jotta henkilön suostumus voidaan katsoa päteväksi silloin, kun tietoja kerätään ja säilytetään biopankissa tai terveyttä koskevassa tietokannassa useita ja ennalta määrittämättömiä tarkoituksia varten.  Taipein julistuksessa pidetään siis mahdollisena sitä, että henkilön suostumus voi kattaa myös tietojen käytön ennalta määrittämättömiä tarkoituksia varten, kunhan julistuksessa esitetyt vaatimukset henkilön riittävästä tiedonsaannista täytetään. Kyseiseen kohtaan liittyviä informointivelvoitteita käsitellään tarkemmin kohdassa 6.3.4, joka koskee henkilötietojen tallettamista arkistoihin ja repositorioihin.

Seuraavissa osioissa 6.3.2 ja 6.3.3 käsitellään henkilötietojen jatkokäyttöä ei-lääketieteellisessä tutkimuksessa ja lääketieteellisessä tutkimuksessa.

6.3.2. Henkilötietojen jatkokäyttö ei-lääketieteellisessä tutkimuksessa

Kuten edellä on todettu, on olemassa erilaisia tulkintoja siitä, onko henkilötietojen jatkokäyttö ilman uutta osallistumissuostumusta mahdollista. Ns. laajaa suostumusta joudutaan usein arvioimaan esimerkiksi tilanteessa, jossa tutkittavalta on pyydetty osallistumissuostumus, jossa hän on antanut suostumuksen paitsi kyseiseen tutkimukseen osallistumiseen, myös siihen, että häntä koskevia tietoja voidaan hyödyntää muissakin tutkimuksissa, jotka voivat olla joko laajasti tai suppeasti määriteltyjä.

Ihmistieteellisessä (ei-lääketieteellisessä) tutkimuksessa  yleisenä tutkimuseettisenä edellytyksenä on, että tutkittava antaa tietoisen suostumuksen tutkimukseen osallistumiseen. Ei-lääketieteellisessä tutkimuksessa ei ole kuitenkaan laista johtuvia edellytyksiä sille, millainen tutkittavan tietoisen suostumuksen tulee olla, toisin kuin lääketieteellisessä tutkimuksessa. Asiaa arvioidaan siis tutkimuseettisten periaatteiden nojalla. Ainakin joissakin suomalaisten yliopistojen eettisissä toimikunnissa on tapauskohtaisesti pidetty mahdollisena, että tutkittava voi antaa suostumuksensa samalla kertaa tiettyyn tutkimukseen ja tutkimuksessa käsiteltyjen henkilötietojen käyttöön myös muissa tutkimuksissa[4].

Jos lähdetään oletuksesta, että henkilötietojen jatkokäytölle ei-lääketieteelliseessä tutkimuksessa ei ole laillista tai tutkimuseettistä estettä, tutkimuksessa käsiteltyjen henkilötietojen jatkokäytölle asetetaan todennäköisesti kuitenkin ainakin seuraavia edellytyksiä:

• Mahdollisesta henkilötietojen jatkokäytöstä tulee olla kerrottu tutkittavalle osallistumissuostumuksen yhteydessä. Maininnan tulisi löytyä sekä tutkimustiedotteesta että tutkimuksen tietosuojaselosteesta. Jatkokäyttö tulisi olla kuvattu mahdollisimman tarkasti (esimerkiksi, että henkilötietoja voidaan jatkossa käyttää tai luovuttaa muille tutkimusorganisaatioille tiettyä tutkimusalaa koskevan, yleisen edun mukaisen tieteellisen tutkimuksen toteuttamiseen).  Tulkinnat voivat vaihdella sen suhteen, kuinka tarkasti tulevan jatkotutkimuksen / jatkotutkimusten ala tulisi suostumuksessa rajata.  

• Jatkokäytettävän aineiston tulisi, mikäli mahdollista, olla vähintään pseudonymisoitua, ja henkilötietojen jatkokäytön tulisi muutenkin täyttää GDPR 89(1) artiklassa mainitut asianmukaiset tekniset ja organisatoriset suojatoimet.

• Ennen jatkokäytön aloittamista tulisi arvioida, onko uusi henkilötietojen käyttötarkoitus linjassa sen kanssa, mitä alkuperäisen osallistumissuostumuksen yhteydessä on kerrottu. Arviointiin voisi sisältyä esimerkiksi vanhan ja uuden tutkimuksen tutkimussuunnitelmien vertaaminen keskenään, tai alkuperäisessä tutkimuksessa tutkittaville annetun informaation vertailu uuden tutkimuksen tutkimussuunnitelmaan.

• Tutkittavia tulisi informoida henkilötietojen jatkokäytöstä esimerkiksi lähettämällä heille uusi tiedote ja tietosuojailmoitus tai julkaisemalla ne nettisivuilla, joiden osoite tutkittavalle on alkuperäisen informoinnin yhteydessä kerrottu. Muutoinkin tutkittavan oikeudet tulisi pystyä toteuttamaan myös jatkokäytön aikana niin pitkälle kuin on mahdollista.

• Mikäli jatkokäyttöä olisi toteuttamassa jokin muu taho kuin alkuperäisen tutkimuksen rekisterinpitäjä, tulisi aineiston luovutus arvioida tietopyyntömenettelyllä, jonka osana alkuperäinen rekisterinpitäjä arvioi edellä mainitut seikat. Mikäli aineistoa päätettäisiin luovuttaa toiselle taholle, tulisi asiasta laatia kirjallinen sopimus, jolla varmistettaisiin, että uusi rekisterinpitäjä sitoutuu käsittelemään aineistoa soveltuvien lakien mukaisesti (mm. toteuttamaan oman toimintansa osalta rekisteröityjen oikeudet). Aineisto tulisi toimittaa vastaanottajalle tietoturvallisella tavalla.

• Mikäli kyseessä on uusi tutkimus, tulee ei-lääketieteellisessä tutkimuksessa selvittää, tuleeko uudelle tutkimukselle hakea uusi eettisen toimikunnan lausunto. Vaikka eettisen toimikunnan lausuntoa ei tarvitsisikaan hakea, tutkimuksen toteuttajan tulisi joka tapauksessa arvioida, onko henkilötietojen käytölle uudessa tutkimuksessa tutkimuseettisiä esteitä.

6.3.3. Henkilötietojen jatkokäyttö lääketieteellisessä tutkimuksessa

Tämä osio ei koske ihmisperäisten näytteiden jatkokäyttöä lääketieteellisessä tutkimuksessa. Ihmisperäisistä näytteistä esimerkiksi analysoimalla saadut tiedot, tai muuten ihmisperäisiä näytteitä koskevat tiedot ovat kuitenkin henkilötietoja, jos ne voidaan yhdistää tunnistettuun tai tunnistettavissa olevaan henkilöön. Jos tutkimuksessa on kyse sekä henkilötietojen että näytteiden jatkokäytöstä, tutkimukseen soveltuu sekä näytteitä että henkilötietoja koskevaa lainsäädäntöä, jolloin henkilötietoja ja näytteitä koskevat säännökset saattavat johtaa erilaiseen lopputulemaan jatkokäytön mahdollisuuksien suhteen.

Lääketieteellisen tutkimuksen kohdalla on huomioitava, että organisaation tutkimuslupa myönnetään tutkimuskohtaisesti. Uusi tutkimus saattaa edellyttää uutta tutkimuslupaa, vaikka henkilötietojen jatkokäytön katsottaisiinkin muuten olevan mahdollista. Uutta eettisen toimikunnan lausuntoa saatetaan myös edellyttää, jos uudella tutkimuksella on uusi rekisterinpitäjä tai jos uuden tutkimuksen tutkimussuunnitelma eroaa aiemman tutkimuksen tutkimussuunnitelmasta. On vastuullisen tutkijan tehtävä arvioida, tuleeko uutta eettisen toimikunnan lausuntoa tai tutkimuslupaa hakea.

Eri tahoilla on erilaisia tulkintoja siitä, voiko yhdessä lääketieteellisessä tutkimuksessa kerättyjä tai muutoin käsiteltyjä henkilötietoja (esimerkiksi potilastietoja) käyttää muissa lääketieteellisissä tai ei-lääketieteellisissä tutkimuksissa ilman uuden osallistumissuostumuksen pyytämistä rekisteröidyltä.

Lievemmän tulkinnan mukaan henkilötietojen jatkokäyttö ilman uuden osallistumissuostumuksen pyytämistä kerran toteutetun lääketieteellisen tutkimuksen jälkeen voi olla mahdollista samoilla perusteilla, kuin mitä yllä kohdassa 6.3.2 on esitetty ei-lääketieteellisessä tutkimuksessa tapahtuvan jatkokäytön osalta. Henkilötietojen jatkokäytön lakiperusta olisi tässä tapauksessa GDPR:n 5 artiklan 1 kohdan b) -alakohta, jonka mukaan henkilötietojen  myöhempää käsittelyä tieteellisiä tai historiallisia tutkimustarkoituksia varten ei katsota yhteensopimattomaksi alkuperäisten tarkoitusten kanssa. Tämän tulkinnan mukaan tutkittavan uutta osallistumissuostumusta ei välttämättä tarvitsisi pyytää ja saada, mikäli kohdassa 6.3.2 listattuja edellytyksiä noudatettaisiin (ks. kohdan 6.3.2 luettelo). Tällöinkin pitäisi kuitenkin huomioida, että vaikka uutta suostumusta ei välttämättä tarvittaisi, uusi tutkimuslupa ja eettisen toimikunnan lausunto tulisi mahdollisesti silti hakea. Eettinen toimikunta arvioisi siinä tapauksessa myös jatkokäytön edellytyksiä eettisessä mielessä. Mikäli henkilötietoja luovutettaisiin jatkokäyttöön tällä perusteella, tulisi varmistua siitä, että tutkittava / rekisteröity voi edelleen toteuttaa GDPR:ssä määritetyt rekisteröidyn oikeudet jatkokäytöstä riippumatta (rekisteröidyllä on esimerkiksi oikeus saada tietoa henkilötietojensa käytöstä myös jatkotutkimuksissa (GDPR 12 artikla) ja oikeus vastustaa henkilötietojensa käyttöä jatkotutkimuksissa (GDPR 21 artikla). Tutkimuksen rekisterinpitäjän / rekisterinpitäjien tulisi siis tarkasti seurata ja dokumentoida sitä, miten aineistoa jatkokäytetään, mille tahoille sitä luovutetaan ja toteuttaa rekisteröidyn oikeudet. Lisäksi tutkimuksen rekisterinpitäjän / rekisterinpitäjien tulisi kirjallisin sopimuksin varmistaa, että mahdolliset henkilötietojen luovutuksensaajat toimivat tutkittavien suostumuksen ja tietosuojalainsäädännön mukaisesti.

Rajoittavamman tulkinnan mukaan lääketieteellisen tutkimuksen ollessa kyseessä, henkilötietojen käyttö muuhun tarkoitukseen kuin alkuperäiseen tutkimukseen edellyttää aina uuden osallistumissuostumuksen saamista tutkittavalta. Tämän tulkinnan mukaan tutkittavan antama, jatkokäyttöä koskeva laaja suostumus ei voi olla lääketieteellisessä tutkimuksessa edellytetty tietoinen suostumus, mikäli suostumus ei ole riittävän tarkkarajainen (käytännössä suostumuksen tulee siis olla tietyn tutkimuksen tutkimussuunnitelmaan sidottu). Näin ollen, vaikka suostumuksessa olisi kuvattu mahdollista jatkokäyttöä yleisellä tasolla, tutkittavan tietoisen suostumuksen ei katsota voivan ulottua jatkokäyttöön, koska sen tarkat tutkimussuunnitelmat eivät ole sillä hetkellä tiedossa. Lääketieteellistä tutkimusta koskevan tietoisen suostumuksen vaatimus löytyy esimerkiksi tutkimuslaista, biolääketiedesopimuksesta ja Helsingin julistuksesta. Lisäksi tutkimuseettisten periaatteiden saatetaan tulkita estävän henkilötietojen jatkokäytön lääketieteellisessä tutkimuksessa, mikäli jatkokäyttö olisi tutkittavan kannalta yllättävää tai kohtuutonta.

Erillinen tulkintakysymyksensä on vielä se, onko lääketieteellisessä tutkimuksessa alun perin kerättyjen tai käytettyjen henkilötietojen käyttö uudessa tutkimuksessa enää ylipäänsä lääketieteellistä tutkimusta, mikäli uudessa tutkimuksessa ei puututa tutkittavan koskemattomuuteen vaan siinä ainoastaan käytetään tausta-aineistona aiemman lääketieteellisen tutkimuksen henkilötietoja sisältäviä tuloksia ja aineistoja. Tutkimuslain mukainen lääketieteellisen tutkimuksen määritelmä nimittäin edellyttää, että tutkittavan koskemattomuuteen puututaan (tutkimuslain 2 §:n 1. kohta). Tutkimuslain sanamuodon mukaisen tulkinnan perusteella kerran toteutetun lääketieteellisen tutkimuksen tietojen jatkokäyttö ilman uutta tutkittavan koskemattomuuteen puuttumista ei olisi enää lääketieteellistä tutkimusta, mikä tarkoittaisi sitä, että jatkokäyttöä arvioitaisiin ei-lääketieteellisen tutkimuksen kriteereillä. Rajanveto sen välillä, missä vanha lääketieteellinen tutkimus päättyy ja uusi ei-lääketieteellinen tutkimus alkaa voi kuitenkin olla vaikeaa, mikäli vanha ja uusi tutkimus koskevat esimerkiksi saman sairauden tutkimusta, ja jos vanhan ja ”uuden” tutkimuksen toteuttaa sama taho.

Ylemmässä kappaleessa esitetyn tulkinnan mukaan konsepti ”henkilötietojen jatkokäyttö lääketieteellisessä tutkimukseksessa” ei oikeastaan olisi käsitteellisesti mahdollinen, koska jatkokäytössä ei olisi kyse lääketieteellisestä tutkimuksesta, ellei myös jatkotutkimuksessa puututtaisi koskemattomuuteen (jolloin jatkotutkimuksessa olisi pakko pyytää uusi osallistumissuostumus).

6.3.4. Henkilötiedon tallettaminen arkistoihin / repositorioihin

Tässä yhteydessä arkistolla / repositoriolla tarkoitetaan paikkaa, johon tutkimuksessa aikaansaatuja, mahdollisesti pseudonymisoituja henkilötietoja sisältäviä tutkimustuloksia talletetaan tulevia tutkimuksia varten (esimerkiksi Kielipankki tai EGA eli European Genome-phenome Archive).

Henkilötietojen tallettaminen arkistoon tai repositorioon on henkilötietojen jatkokäyttöä, joten yllä kohdissa 6.3.1 ja 6.3.2 kuvatut periaatteet ja tulkinnat ei-lääketieteellisen ja lääketieteellisen tutkimuksen jatkokäytöstä soveltunevat lähtökohtaisesti myös arkistoon tai repositorioon tallettamiseen. Arkistoja ja repositioita on erilaisia, ja joihinkin niistä voi liittyä tutkittavan kannalta suurempia riskejä kuin toisiin, esimerkiksi siitä riippuen, käsitelläänkö arkaluonteisia tietoja vai ei, miten arkistoa tai repositoriota hallinnoidaan, millä edellytyksillä tietoa jaetaan eteenpäin, minkä maan lainsäädäntöä arkiston tai reposition toimintaan sovelletaan ja minkälaisia tietoturvatoimia ja prosesseja aineiston luovutuksiin ja käsittelyyn sovelletaan. Näin ollen henkilötietojen tallettaminen eri arkistoihin tai repositorioihin vaatii aina tapauskohtaista arviointia. Yleisellä tasolla voidaan kuitenkin hahmottaa lievempi ja tiukempi tulkinta asiasta.

Lievemmän tulkinnan mukaan henkilötietojen tallettaminen arkistoon / repositorioon voi olla mahdollista, mikäli tutkittava on antanut sille suostumuksensa sen jälkeen kun häntä on informoitu riittävästi siitä, mitä  arkistoon / repositorioon tallettaminen tarkoittaa, siihen liittyvistä riskeistä ja muista tutkittavan kannalta olennaisista tiedoista. Lisäksi aineiston tietoturvallisesta käsittelystä (mukaan lukien pseudonymisointi) tulisi huolehtia ja tutkittavalle tietosuoja-asetuksen mukaan kuuluvat rekisteröidyn oikeudet tulisi pystyä toteuttamaan, eli tutkittava voisi esimerkiksi myöhemmin pyytää ja saada tietoja henkilötietojensa käsittelystä ja vastustaa tietojensa käsittelyä. Maailman lääkäriliiton Taipein julistuksen 12 kohdassa on lueteltu informointivelvoitteita, jotka tulee täyttää, jotta henkilön suostumusta datansa tallettamiseen terveyttä koskevaan tietokantaan voidaan pitää pätevänä. Julistuksen 12 kohdan mukaan henkilöitä pitää tiedottaa seuraavista asioista:

• Terveyttä koskevan tietokannan tai biopankin tarkoituksesta
• Datan ja materiaalin keräämiseen, säilyttämiseen ja käyttöön liittyvistä riskeistä ja vastuista
• Kerättävän datan tai materiaalin luonteesta
• Käytännöistä, joita sovelletaan tulosten palauttamiseen, mukaan lukien satunnaislöydökset
• Säännöistä, joita sovelletaan tietokannan tai biopankin käyttöoikeuksiin
• Kuinka yksityisyyttä suojataan
• Hallinnollisista järjestelyistä
• Siitä, että mikäli data ja materiaali saatetaan tunnistamattomaksi, dataa tai materiaalia luovuttanut henkilö ei välttämättä voi enää saada selville, miten dataa ja materiaalia on käytetty, eikä peruuttaa suostumustaan
• Dataa tai materiaalia luovuttaneelle henkilölle julistuksessa turvatuista perustavanlaatuisista oikeuksista ja turvatoimista
• Mahdollisesta datan tai materiaalin kaupallisesta käytöstä, hyötyjen jakamisesta, immateriaalioikeuksista ja datan tai materiaalin siirroista toisille instituutioille tai kolmansiin maihin.

Tiukemman tulkinnan mukaan henkilötietoja ei tulisi tallettaa arkistoihin tai repositorioihin edes henkilön suostumuksella, koska tietoisen suostumuksen kriteerien ei katsota täyttyvän, ellei tutkittavalta pyydetä jokaiseen jatkotutkimukseen uutta osallistumissuostumusta. Asiaa saatetaan myös arvioida eri tavalla siitä riippuen, onko henkilötiedot kerätty alun perin ei-lääketieteellisessä vai lääketieteellisessä tutkimuksessa.

---

[1] EDPB Document on response to the request from the European Commission for clarifications on the consistent application of the GDPR, focusing on health research, s. 6

[2] Käytännöistä on keskusteltu Digitalisaatiolla aivoterveyttä -hankkeen osapuolten (HY, HUS ja Aalto) kesken hankkeen aikana. Lisäksi kirjoittaja on keskustellut aiheesta Varsinais-Suomen Sairaanhoitopiirin alueellisen lääketieteellisen eettisen toimikunnan, HY:n ihmistieteiden eettisen toimikunnan ja Aalto-yliopiston eettisen toimikunnan jäsenten kanssa.

[3] Esimerkiksi 9 artiklan 2 kohdan j) alakohta, 14 artiklan 5 kohdan b) alakohta ja 17 artiklan 3 kohdan d) alakohta.

[4] Käytännöistä on keskusteltu Digitalisaatiolla aivoterveyttä -hankkeen osapuolten (HY, HUS ja Aalto) kesken hankkeen aikana. Lisäksi kirjoittaja on keskustellut aiheesta Varsinais-Suomen Sairaanhoitopiirin alueellisen lääketieteellisen eettisen toimikunnan, HY:n ihmistieteiden eettisen toimikunnan ja Aalto-yliopiston eettisen toimikunnan jäsenten kanssa.

Toisiolain mukaisella tietoluvalla vastaanotettuja henkilötietoja saa toisiolain mukaan käsitellä vain tietoturvallisessa käyttöympäristössä. Lainsäädännössä on asetettu tietoturvalliselle käyttöympäristölle vaatimukseksi tiettyjen teknisten vaatimusten lisäksi mm., että käyttöympäristöjen sertifioinnin on tapahduttava Liikenne- ja viestintäviraston hyväksymän tietoturvallisuuden arviointilaitoksen toimesta, ja että käyttöympäristöjen ja niiden palveluntarjoajien tulee olla sosiaali- ja terveysalan lupa- ja valvontaviraston (Valvira) valvottavissa. Näiden rajoitusten takia toisiolain mukaisella tietoluvalla vastaanotettuja henkilötietoja on hyvin haastavaa siirtää tutkimustarkoituksessa kansainvälisille yhteistyökumppaneille, ei vain EU:n ulkopuolelle vaan myös Suomen ulkopuolelle EU:n sisällä, koska yhteistyöhön liittyvä Suomen ulkopuolella tapahtuva henkilötietojen käsittely pitäisi toteuttaa suomalaisen lain vaatimukset täyttävässä ja suomalaisen lainsäädännön mukaisesti sertifioidussa ja suomalaisen viranomaisen valvomassa käyttöympäristössä. Käytännössä toisiolain mukaisella tietoluvalla saatujen henkilötietojen käsittely Suomen ulkopuolella ei tällä hetkellä ole mahdollista.

Lainsäädäntö rajoittaa tietojen siirtoa tai luovutuksia EU/ ETA -alueen ulkopuolelle. Henkilötietojen siirtäminen EU/ ETA -alueen ulkopuolelle on mahdollista, jos EU:n komissio on todennut maassa olevan riittävä tietosuojan taso tai jos käytetään lainsäädännössä mainittuja ns. siirtomekanismeja (suojatoimenpide). Lisäksi henkilötietojen siirtäminen edellyttää, että tutkittavan suostumus tai muu tutkittavalle annettu informaatio tai esimerkiksi eettisen toimikunnan lausunto tai tutkimuslupa eivät muodosta siirrolle estettä. Mikäli esimerkiksi tutkittavalle on suostumuksessa tai muussa informaatiossa kerrottu, että henkilötietoja ei siirretä EU:n ulkopuolelle, ei näin saa tehdä, vaikka edellä mainittuja suojatoimenpiteitä käytettäisiinkin. Lisäksi edellytyksenä henkilötietojen siirrolle on se, että vastaanottajan kanssa laaditaan erillinen sopimus henkilötietojen siirrosta.

Riittävän tietosuojan tason maat

EU:n komissio on todennut tiettyjen maiden olevien sellaisia, joissa tietosuojan taso on riittävä. Näiden maiden ollessa kyseessä, ei siirtoa varten tarvita alempana kuvattuja siirtomekanismeja, mikäli tässä 7.2 osiossa mainitut edellytykset siirron tekemiselle muuten täyttyvät. Päivittyvä lista riittävän tietosuojatason maista löytyy Helsingin yliopiston tutkimuksen tietosuojaohjeista. Aalto-yliopiston ohjeita henkilötietojen siirroista löytyy Aalto-yliopiston tietosuojaohjeista.

Vastaanottajamaat, joilla ei ole riittävää tietosuojan tasoa – mallisopimuslausekkeiden käyttäminen

Niiden maiden kohdalla, joiden tietosuojan tasoa komissio ei ole katsonut riittäväksi, sovelletaan suojatoimenpiteitä, joista yleisimmin käytetään ns. mallisopimuslausekkeita. Mallisopimuslausekkeet tarkoittavat käytännössä EU:n komission laatimaa mallisopimusta, joka tietojen luovuttajan ja vastaanottajan tulee allekirjoittaa ja liittää muuhun siirtoa koskevaan sopimusdokumentaatioon. Mallisopimuslausekkeita käytettäessäkin on lisäksi arvioitava se, onko se riittävä tae suojata henkilötiedot vai vaaditaanko tietojen suojaamiselta lisätoimenpiteitä (lisätoimenpiteitä voivat olla esimerkiksi  henkilötietojen pseudonymisointi tai anonymisointi, säilytysaikojen rajaaminen, tutkittavan suostumus ja aineiston kryptaus). Siirtoja arvioitaessa otetaan huomioon mm. siirtojen tarpeellisuus (onko esim. muita vaihtoehtoja turvallisemmissa maissa), mitä aineistoa aiotaan siirtää, mikä on käsittelyn tarkoitus, miten tiedot siirretään. Lisäksi tulisi arvioida vastaanottajamaan lainsäädäntöä ja sen turvaamia oikeuksia rekisteröidyille.

Vastaanottajat, joilla ei ole riittävää tietosuojan tasoa, ja joiden kohdalla ei voida soveltaa mallisopimuslausekkeita

Tietyissä tapauksissa yhteistyökumppani, jolle halutaan henkilötietoja siirtää, ei täytä vaatimusta riittävästä tietosuojan tasosta eikä yhteistyökumppanin kanssa voida myöskään tehdä sopimusta mallisopimuslausekkeiden noudattamisesta. Näin on toistaiseksi ollut esimerkiksi yhdysvaltalaisen National Institutes of Health:n kohdalla. Tällöin henkilötiedon siirrolle tulee saada tutkittavan / rekisteröidyn nimenomainen suostumus sen jälkeen, kun hänelle on ilmoitettu, että tällaiset siirrot voivat aiheuttaa rekisteröidylle riskejä tietosuojan tason riittävyyttä koskevan päätöksen ja asianmukaisten suojatoimien puuttumisen vuoksi. Tutkittavalle tulee kertoa tarkat tiedot tietojen vastaanottajista, maista, joihin tiedot siirretään, siitä, että suostumus on siirron lainmukainen peruste, siitä, että vastaanottajamaa ei tarjoa EU:n komission päätökseen perustuvaa riittävää tietosuojaa sekä erityisistä riskeistä, joita siirrosta aiheutuu. Tietojen siirto EU-alueen ulkopuolelle tutkittavan suostumukseen nojaten ilman muita EU:n komission päätöstä riittävästä tietosuojan tasosta tai ilman mallisopimuslausekkeiden käyttämistä on mahdollista vain viimesijaisena keinona.

Biopankkilain 14 §:n mukaan näytteitä siirrettäessä näytteeseen saa liittää rekisteröityä ja hänen terveydentilaansa sekä rekisteröidyltä saadun hänen terveyteensä vaikuttavia tekijöitä koskevan tiedon, jos rekisteröity on antanut siihen biopankkilain 11 §:n nojalla suostumuksensa.

Mikäli tehdään biopankkilain mukaista biopankkitutkimusta ja sen yhteydessä halutaan yhdistää näytteisiin ja niitä koskeviin tietoihin rekisteriaineistoja (kuten esimerkiksi terveydenhuollon rekistereissä olevaa aivokuvantamisdataa), on tällä hetkellä epäselvää, sovelletaanko rekisteriaineistojen hakemiseen ja käsittelyyn toisiolakia vai biopankkilakia. Biopankkilain 14 §:n mukaan näytteitä biopankkiin kerättäessä tai siirrettäessä näytteeseen saa liittää rekisteröityä ja hänen terveydentilaansa sekä rekisteröidyltä saadun hänen terveyteensä vaikuttavia tekijöitä koskevan tiedon, jos tähän on biopankkilain 11 §:ssä tarkoitettu henkilön suostumus. Joissain tilanteissa on tulkittu, että yhdistettyyn biopankki- ja rekisteriaineistoon sovelletaan vain biopankkilakia, jolloin toisiolain säännökset esimerkiksi tietoturvallisesta käyttöympäristöstä eivät soveltuisi tiedon käsittelyyn. Asiasta ei ole olemassa vielä viranomaisten virallista linjausta, minkä takia tulkinnat saattavat vaihdella esimerkiksi eri biopankkien ja/tai Findatan välillä. Epäselvää on myös, mikä on yhdistetyn aineiston asema ja mitä sääntelyä sovelletaan, mikäli yhdistettyä aineistoa biopankkisopimuksen mukaan palautetaan biopankkiin sen jälkeen, kun tutkimus on saatu päätökseen.

Aivokuvien julkaiseminen tieteellisen julkaisun yhteydessä (toisiolain alaiset tiedot)

Mikäli tutkimuksessa hyödynnetään toisiolain alaisilta rekisterinpitäjiltä (esimerkiksi hyvinvointialueelta) saatuja aivokuvia, julkaisemiseen sovelletaan toisiolain säännöksiä ja toisiolain mukaisen lupaviranomaisen (esimerkiksi Findata) ohjeita. Toisiolain 52 §:n mukaan, kun tietoluvan nojalla on luovutettu tietoja käsiteltäviksi tietoturvallisessa käyttöympäristössä ja niiden pohjalta tuotettuja tuloksia halutaan julkaista, vastaa Tietolupaviranomainen julkaistavien tietojen anonymisoinnin varmistamisesta. Tietolupaviranomainen voi kuitenkin perustellusta syystä lupapäätöksessään myöntää luvansaajalle oikeuden toteuttaa itse julkaistavien edellä mainittujen tietojen anonymisoinnin ehdolla, että ne toimitetaan jälkikäteen Tietolupaviranomaisille. Kuten edellä kohdassa 1.2 on todettu, on mahdollista, että aivokuvia ei voida tällä hetkellä anonymisoida siten, että tutkimuksellinen hyöty samalla säilytettäisiin.

Aivokuvien julkaiseminen tieteellisen julkaisun yhteydessä (ei toisiolain alaiset tiedot)

Lähtökohtaisesti tutkimusjulkaisujen ei tulisi sisältää henkilötietoja. Mikäli kuitenkaan tutkimuksen tulosten julkaiseminen ei ole järkevää ilman (pseudonymisoituja) henkilötietoja, on henkilötietojen kuten esimerkiksi aivokuvien sisällyttäminen julkaisuun mahdollista ainakin, jos tutkittaville on nimenomaisesti kerrottu osallistumissuostumuksen pyytämisen yhteydessä, että näin tullaan tekemään ja kuvattu mahdolliset riskit, tai jos tutkittava myöhemmin antaa erikseen suostumuksensa kuvien julkaisemiselle.

Hyvinvointialueen ja yliopiston palveluksessa oleva tutkijalääkäri haluaa hyödyntää tutkimushankkeessaan hyvinvointialueen potilastietoja, jotka ovat henkilötietoja. Tutkimushankkeessa ei pyydetä osallistumissuostumuksia tutkittavilta, vaan saadaan tarvittavat tutkittavia koskevat henkilötiedot hyvinvointialueelta. Tutkijalääkäri laatii tutkimussuunnitelman, aineistonhallintasuunnitelman ja tutkimuksen tietosuojaselosteen. Dokumenttien laatimiseen hän saa tarvittaessa apua yliopiston tai hyvinvointialueen tutkimuksen tukipalveluista, siitä riippuen kumman organisaation tutkimuksesta on kyse. Osana dokumenttien laatimisprosessia hän selventää, onko kyseessä hyvinvointialueen vai yliopiston tutkimus vai molempien yhteinen tutkimus, ja ottaa tämän huomioon tutkimuksen dokumenttien laatimisessa (mm. rekisterinpitäjyyden suhteen) sekä tutkimusrahoituksen hakemisessa. Koska kyse on rekisteritutkimuksesta, hänen ei ole välttämätöntä tehdä lausuntopyyntöä eettiselle toimikunnalle, mutta hän voi hakea lausuntoa esimerkiksi, jos tutkimuksen rahoittaja tai julkaisija sitä vaatii. Koska hänen on tarkoitus käsitellä tutkimushankkeessa vain kyseisen hyvinvointialueen potilastietoja, hakee hän tutkimuslupaa hyvinvointialueelta ja tutkimusluvan saatuaan käsittelee tietoja tutkimusluvan ja tutkimuksen muun dokumentaation (tutkimussuunnitelma, aineistonhallintasuunnitelma ja tietosuojaseloste) mukaisesti. Jos hänellä olisi tarvetta käsitellä useamman kuin yhden hyvinvointialueen potilastietoja, tai jos hänellä olisi tarvetta käsitellä hyvinvointialueen potilastietojen lisäksi esimerkiksi Kelan, THL:n ja/tai Kanta-palvelujen tietoja, hän hakisi hyvinvointialueen tutkimusluvan sijasta tietolupaa Findatalta (ks. Findatan sivuilta löytyvä ohjeoikean rekisterinpitäjän löytämiseksi). Koska kyse on toisiolain alaisista tiedoista, niitä tulee käsitellä tietoturvallisessa käyttöympäristössä (ensisijaisesti Findatan tietoturvallisessa etäkäyttöympäristössä Kapselissa). Tutkimuksessa käytettävä tietoturvallinen käyttöympäristö arvioidaan osana tutkimuslupa- tai tietolupaprosessia.

Osallistumissuostumukseen perustuva ei-lääketieteellinen yhteistyötutkimus, jossa käsitellään tutkittavien henkilötietoja (toisiolaki ei sovellu)

Yliopiston tutkija haluaa toteuttaa yhdessä muiden tutkimusorganisaatioiden kanssa ihmistieteellisen kyselytutkimuksen, jossa kerätään tutkittavilta heitä koskevia henkilötietoja. Tutkijaryhmä selvittää aluksi, mitkä organisaatiot toimivat tutkimuksessa käsiteltävien henkilötietojen rekisterinpitäjinä. Jos kyseessä on yhteisrekisterinpitäjyys, tutkimusorganisaatiot sopivat kirjallisesti, miten vastuut henkilötietojen käsittelyssä jakautuvat tutkimusorganisaatioiden kesken. Tutkimuksen rekisterinpitäjä (tai yhteisrekisterinpitäjät) laativat tutkimussuunnitelman, aineistonhallintasuunnitelman ja tutkittavalle osoitetut dokumentit eli osallistumissuostumuksen, tutkimustiedotteen ja tutkimuksen tietosuojaselosteen. Tutkimusryhmä huomioi, käsitelläänkö tutkimuksessa henkilötietoja tavalla, joka vaatii vaikutustenarvioinnin tekemistä (esimerkiksi jos tutkimuksessa on laajamittaista arkaluonteisten henkilötietojen käsittelyä), ja laatii tarvittaessa vaikutustenarvioinnin. Henkilötietojen tietoturvallinen käsittely huomioidaan osana tutkimuksen aineistonhallintasuunnitelmaa. Tutkimusryhmä hakee tutkimukselle eettisen toimikunnan lausunnon, mikäli lausunnon hakemisen edellytykset täyttyvät (esimerkiksi, jos tutkimuksessa puututaan tutkittavien fyysiseen koskemattomuuteen). Yliopistojen eettiset toimikunnat edellyttävät usein, että lausunnon hakija on sen yliopiston tutkija, jonka eettisestä toimikunnasta on kyse. Jos kyseessä on tutkimus, jossa on useita tutkimusosapuolia, eri vaiheita ja itsenäisiä ”työpaketteja”, voi olla myös mahdollista hakea eri osioille lausuntoa eri eettisistä toimikunnista. Saatuaan mahdollisen eettisen toimikunnan myönteisen lausunnon, tutkimusryhmä aloittaa tutkittavien rekrytoimisen tutkimukseen. Tutkimuksen aikana ja sen jälkeen tapahtuvassa henkilötietojen käsittelyssä noudatetaan tutkimussuunnitelmaa ja aineistonhallintasuunnitelmaa ja toimitaan osallistumissuostumuksen, tutkimustiedotteen ja tutkimuksen tietosuojaselosteen mukaisesti. Jos henkilötietojen käsittelyn suhteen tulee tarve toimia suunnitellusta poikkeavalla tavalla (esimerkiksi alkuperäisestä tutkimussuunnitelmasta poikkeava henkilötietojen käyttötarkoitus tai rekisterinpitäjän muutos), tutkimusryhmä arvioi, vaatiiko tämä tutkittavien uudelleen informoimista tai uuden osallistumissuostumuksen pyytämistä. Arviointiin voi pyytää apua eettiseltä toimikunnalta tai tutkimuksen tukipalveluista (henkilötietojen käsittelyn suhteen esimerkiksi lakipalveluilta).

Osallistumissuostumukseen perustuva ei-lääketieteellinen tutkimus, jossa käsitellään tutkittavien henkilötietoja, ja toisiolaki soveltuu osaan tutkimuksessa käsiteltävistä tiedoista

Toimitaan muuten samalla tavalla kuin yllä olevassa kohdassa, mutta lisäksi tutkimuksessa käsitellään toisiolain alaisia sote-rekisteritietoja, joten toisiolain alaisten tietojen käsittelylle haetaan toisiolain mukainen tietolupa. Lupaa tulee hakea toimivaltaiselta rekisterinpitäjältä, joka saattaa olla joko Findata tai muu toisiolain piirissä oleva julkinen organisaatio (ks. Findatan sivuilta löytyvä ohje oikean rekisterinpitäjän löytämiseksi). Koska kyse on toisiolain alaisista tiedoista, niitä tulee käsitellä tietoturvallisessa käyttöympäristössä (ensisijaisesti Findatan tietoturvallisessa etäkäyttöympäristössä Kapselissa). Jos tutkimuksessa on tarve yhdistää toisiolain alaiset sote-rekisteritiedot muilla tavoilla kerättyihin henkilötietoihin, yhdistämisen tekee lähtökohtaisesti Findata tai toisiolain alainen tilastoviranomainen. Jos tietoja yhdistetään, toisiolain säännökset mm. sote-rekisteritietojen käsittelystä tietoturvallisessa käyttöympäristössä ja Findatan toimivaltuuksista varmistaa julkaisujen anonymiteetti saattavat käytännössä laajentua myös muihin tutkimuksessa käsiteltäviin tietoihin kuin toisiolain alaisiin sote-rekisteritietoihin, jos eri tietoja ei ole käytännössä mahdollista käsitellä erikseen yhdistämisen jälkeen.

Osallistumissuostumukseen perustuva lääketieteellinen yhteistyötutkimus, jossa käsitellään tutkittavien henkilötietoja (toisiolaki ei sovellu)

Eri organisaatioiden (esimerkiksi yliopisto ja hyvinvointialue) tutkijoista koostuva tutkimusryhmä toteuttaa yhdessä yhteistyötutkimuksen. Osana tutkimusta tutkittavilta otetaan verinäytteitä analysoitavaksi ja tutkimuksen tarkoitus on lisätä tietoa sairauksien syistä ja ehkäisystä, joten kyseessä on lääketieteellinen tutkimus. Tutkijaryhmä selvittää aluksi, mitkä organisaatiot toimivat tutkimuksessa käsiteltävien henkilötietojen rekisterinpitäjinä. Jos kyseessä on yhteisrekisterinpitäjyys, tutkimusryhmä laatii yhdessä tutkimussuunnitelman, aineistonhallintasuunnitelman ja tutkittavalle osoitetut dokumentit eli osallistumissuostumuksen, tutkimustiedotteen ja tutkimuksen tietosuojaselosteen. Lisäksi tutkijaryhmä sopii kirjallisesti, miten vastuut henkilötietojen käsittelyssä jakautuvat tutkimusorganisaatioiden kesken. Tutkimusryhmä huomioi, käsitelläänkö tutkimuksessa henkilötietoja tavalla, joka vaatii vaikutustenarvioinnin tekemistä (esimerkiksi jos tutkimuksessa on laajamittaista arkaluonteisten henkilötietojen, kuten esimerkiksi terveystietojen, käsittelyä), ja tekee tarvittaessa vaikutustenarvioinnin. Henkilötietojen tietoturvallinen käsittely huomioidaan osana tutkimuksen aineistonhallintasuunnitelmaa.  Tutkimusryhmä hakee tutkimukselle alueellisen lääketieteellisen tutkimuseettisen toimikunnan myönteisen lausunnon. Lausuntoa haetaan siltä toimikunnalta, jonka alueella tutkimus on pääasiassa tarkoitus suorittaa tai, jos tällaista pääasiallista suoritusaluetta ei ole, tutkimuksen toimeksiantajan valitsemalta alueelliselta lääketieteelliseltä tutkimuseettiseltä toimikunnalta, jonka alueella tutkimusta suoritetaan. Lisäksi tutkimusryhmä hakee tutkimukselle tutkimusluvan (hyvinvointialueilla on omat tutkimuslupien hakemisesta, ks. esimerkiksi HUSin ohje). Myönteisen eettisen toimikunnan lausunnon, tutkimusluvan ja tutkittavien suostumusten saamisen jälkeen tutkimus voidaan aloittaa. Verinäytteiden ottamisen suorittavat tutkimuksessa mukana olevan hyvinvointialueen työntekijät. Tutkimuksen aikana ja sen jälkeen tapahtuvassa henkilötietojen käsittelyssä noudatetaan tutkimussuunnitelmaa ja aineistonhallintasuunnitelmaa ja toimitaan osallistumissuostumuksen, tutkimustiedotteen ja tutkimuksen tietosuojaselosteen mukaisesti. Jos tutkimuksen toimeksiantaja muuttaa tutkimussuunnitelmaansa tai sen perusteella laadittuja asiakirjoja tai menettelyitä siten, että muutos voi vaikuttaa tutkittavien turvallisuuteen, tai se muuttaa tutkimuksen tukena käytettyjen tieteellisten asiakirjojen tulkintaa tai jos muutos on muutoin merkittävä, toimeksiantajan on pyydettävä muutoksesta lausunto toimivaltaiselta alueelliselta lääketieteelliseltä tutkimuseettiseltä toimikunnalta. Tutkimusta ei saa jatkaa muutetun suunnitelman mukaisesti ennen kuin toimivaltainen alueellinen lääketieteellinen tutkimuseettinen toimikunta on antanut muutetusta suunnitelmasta myönteisen lausunnon.

Osallistumissuostumukseen perustuva lääketieteellinen yhteistyötutkimus, jossa käsitellään tutkittavien henkilötietoja, ja toisiolaki soveltuu osaan tutkimuksessa käsiteltävistä tiedoista

Toimitaan muuten samalla tavalla kuin yllä olevassa kohdassa, mutta lisäksi tutkimuksessa käsitellään toisiolain alaisia sote-rekisteritietoja, joten toisiolain alaisten tietojen käsittelylle haetaan toisiolain mukainen tietolupa. Lupaa tulee hakea toimivaltaiselta rekisterinpitäjältä, joka saattaa olla joko Findata tai muu toisiolain piirissä oleva julkinen organisaatio (ks. Findatan sivuilta löytyvä ohje oikean rekisterinpitäjän löytämiseksi). Koska kyse on toisiolain alaisista tiedoista, niitä tulee käsitellä tietoturvallisessa käyttöympäristössä (ensisijaisesti Findatan tietoturvallisessa etäkäyttöympäristössä Kapselissa). Jos tutkimuksessa on tarve yhdistää toisiolain alaiset sote-rekisteritiedot muilla tavoilla kerättyihin henkilötietoihin, yhdistämisen tekee lähtökohtaisesti Findata tai toisiolain alainen tilastoviranomainen. Jos tietoja yhdistetään, toisiolain säännökset mm. sote-rekisteritietojen käsittelystä tietoturvallisessa käyttöympäristössä ja Findatan toimivaltuuksista varmistaa julkaisujen anonymiteetti saattavat käytännössä laajentua myös muihin tutkimuksessa käsiteltäviin tietoihin kuin toisiolain alaisiin sote-rekisteritietoihin, jos tietoja ei ole käytännössä mahdollista käsitellä erikseen yhdistämisen jälkeen.

Prosessin mahdollinen kesto toisiolain soveltuessa:

Prosessin mahdollinen kesto: viikkoja tai kuukausia. Findatalle tehtyjen tietolupahakemusten kohdalla prosessin kesto on pisimmillään voinut olla jopa 12 kuukautta, mutta Findatan mukaan hakemusten käsittelyä on onnistuttu nopeuttamaan[1]. Vaikutusta on sillä, kuinka laajaa aineistoa haetaan, ja haetaanko aineistoa suoraan yhdeltä rekisterinpitäjältä (esimerkiksi yhdeltä hyvinvointialueelta), jolloin käsittely voi olla nopeampaa, vai usealta rekisterinpitäjältä Findatan kautta. Hakemuskäsittely kestää Findatan arvion mukaan noin 1-3 kuukautta, jonka jälkeen niillä rekisterinpitäjillä, joiden tietoja on haettu, on kullakin 30 arkipäivää aikaa toimittaa pyydetyt aineistot Findatalle[2]. Findatan mukaan hankkeen ja poiminnan luonteesta riippuen tämä vaihe saattaa sisältää useita peräkkäisiä osioita (esimerkiksi 1. kohdejoukon poiminta; 2. verrokkihenkilöiden poiminta; 3. aineiston poiminta), ja koska kullakin rekisterinpitäjällä on 30 arkipäivää aikaa, nämä kolme vaihetta voivat kestää yhteensä 90 arkipäivää.

Prosessin mahdollinen kesto, kun toisiolaki ei sovellu:

Prosessin mahdollinen kesto: viikkoja tai kuukausia. Kestoon vaikuttavat ainakin tutkimuksen dokumentaation (tutkimussuunnitelma, aineistonhallintasuunnitelma ja tutkittavan informointidokumentit) laatimiseen kuluva aika, mahdollisten yhteistyösopimusten neuvotteleminen tutkimusyhteistyökumppanien välillä kunkin organisaation lakipalvelujen avustuksella,  tietosuojarooleista sopiminen sekä tutkimusluvan ja/tai eettisen toimikunnan lausunnon hakeminen.

---

[1] https://findata.fi/uutiset/jonotusaika-lyhentynyt-tietolupahakemuksia-otetaan-kasittelyyn-jopa-kuukaudessa/ Viitattu 28.11.2022.

[2] https://findata.fi/luvat/#ukk Viitattu 29.9.2022.