Allmänt

Regeringen föreslår att det i biobankslagen (688/2012) görs de ändringar som förutsätts i EU:s dataskyddsförordning. Dessutom föreslås tekniska korrigeringar till följd av upphävandet av personuppgiftslagen och ikraftträdandet av lagen om ordnande av social- och hälsovård (612/2021) och tillhörande ändringar i bestämmelserna. 

I propositionen föreslås det (s. 12) att principerna för användningen av prover och personuppgifter förtydligas och uppdateras så att de överensstämmer med den allmänna dataskyddsförordningen. När det gäller bestämmelserna om grunderna för behandling av personuppgifter föreslås det att behandlingen av personuppgifter i en biobank ska grunda sig på utförande av en uppgift av allmänt intresse enligt artikel 6.1 e och på skäl av allmänt intresse på folkhälsoområdet enligt artikel 9.2 i i den allmänna dataskyddsförordningen. Ändringen av grunden för behandling av personuppgifter beror enligt propositionsmotiven på ikraftträdandet av den allmänna dataskyddsförordningen, vilket innebär att samtycke inte längre är en ändamålsenlig grund för behandling av personuppgifter i biobanksverksamhet. 

I och med den föreslagna ändringen ändras också behandlingsgrunden enligt den allmänna dataskyddsförordningen för de behandlingsåtgärder som avses i 14, 26 och 28 § i den gällande lagen. Tidigare har dessa åtgärder genomförts med den registrerades samtycke. För att uppgifter som hänför sig till ett prov ska kunna fogas till provet enligt 14 §, för att uppgifter ska kunna lämnas ut ur en biobank enligt 26 § och för att överlåtelse ska kunna göras för samkörning av registeruppgifter enligt 28 § krävs en grund för behandling av personuppgifter enligt 11 a § och ett skriftligt godkännande av personen i fråga. Ett skriftligt godkännande av en person utgör enligt propositionsmotiven en skyddsåtgärd för behandlingen av personuppgifter och säkerställer personens självbestämmanderätt. 

De viktigaste ändringarna i den nu aktuella propositionen berör således särskilt ändringen av grunden för behandling av personuppgifter inom biobanksverksamheten. 

Enligt grundlagsutskottets utlåtande (GrUU 95/2022 rd, stycke 11) bör social- och hälsovårdsutskottet noggrant försäkra sig om att regleringen är förenlig med EU:s dataskyddsförordning och fästa särskild uppmärksamhet vid de valda behandlingsprincipernas betydelse för den registrerades rättigheter och skyddsåtgärderna vid behandlingen samt vid den föreslagna bestämmelsen om behandling av så kallade gamla prover som samlats in under den gällande lagens giltighetstid. Enligt grundlagsutskottets uppfattning ska skyddsåtgärderna enligt EU:s dataskyddsförordning också de facto skydda den registrerades rättigheter och friheter på ett tillräckligt effektivt sätt. 

Grundlagsutskottet har dock påpekar (stycke 23) att lagförslaget till denna del måste kompletteras och preciseras inom ramen för EU:s dataskyddsförordning så att den bättre tryggar självbestämmanderätten. 

Social- och hälsovårdsutskottet påpekar att efter det att den allmänna dataskyddsförordningen börjat tillämpas kan behandlingen av personuppgifter i en biobank grunda sig på artikel 6.1 e och artikel 9.2 i den allmänna dataskyddsförordningen på det sätt som bestäms i 11 a § i den föreslagna lagen. Likaså kan samtycke enligt 11 § i den gällande biobankslagen efter det att den föreslagna lagen har trätt i kraft vara en skyddsåtgärd enligt den allmänna dataskyddsförordningen, om villkoren för samtycket till åtminstone väsentliga delar förblir oförändrade så att samtycket till skyddsåtgärder de facto skyddar den registrerades rättigheter och friheter på ett tillräckligt effektivt sätt och villkoren för samtycket är transparenta. 

I fråga om privata biobanker hänvisar utskottet till motiveringen till lagstiftningsordningen i lagförslaget (s. 34) och konstaterar att en undersökning som gjorts av privata biobanker kan jämföras med forskningsverksamhet som bedrivs av offentliga biobanker och på motsvarande sätt främjar tillgodoseendet av allmänt intresse på det sätt som avses i den allmänna dataskyddsförordningen. 

Utskottet noterar att en biobank med stöd av de grunder för behandling av personuppgifter som anges i 11 a § i lagförslaget får behandla personuppgifter, om behandlingen är nödvändig för fullgörande av de uppgifter som bestäms i 5 §. I 5 § 2 mom. i den gällande biobankslagen, som inte ändras genom den nu aktuella propositionen, anges de åtgärder som en biobank kan vidta för att fullgöra sin uppgift (såsom analys, undersökning eller annan hantering av prover enligt 3 punkten). 

När det gäller prover hänvisar utskottet till propositionsmotiven (s. 6—7) och det som sägs där om att information som härletts från biologiska prov enligt skäl 35 i ingressen till den allmänna dataskyddsförordningen definieras som personuppgifter som hör till särskilda kategorier av personuppgifter. Biologiska prover hör enligt erhållen utredning till hälsouppgifterna i enlighet med den allmänna dataskyddsförordningen, och bestämmelser om grunden för behandling av personuppgifter ger en grund för behandling av prover på motsvarande sätt som andra personuppgifter. 

Social- och hälsovårdsutskottet anser att lagförslagets strävan efter att biobankslagen ska vara förenlig med den allmänna dataskyddsförordningen är motiverat, och utskottet ställer sig i princip bakom lagförslaget. Utskottet anser att biobankernas verksamhet är ytterst viktig i och med att den möjliggör vetenskaplig forskning. Prover och information som anknyter till dem utgör en betydande resurs för medicinsk forskning. Med tanke på förtroendet för verksamheten är det viktigt att behandlingen av prover och tillhörande personuppgifter överensstämmer med den allmänna dataskyddsförordningen. 

Utskottet tillstyrker lagförslaget, men med de ändringar som anges nedan utifrån grundlagsutskottets utlåtande och social- och hälsovårdsutskottets sakkunnigutfrågning. 

Samtycke

Behandlingen av personuppgifter grundar sig enligt den gällande biobankslagen på samtycke. Enligt propositionen (s. 13) ska behandlingen av personuppgifter i biobanker inte längre basera sig på samtycke. I lagförslaget begränsas samtyckets räckvidd så att det enligt den föreslagna 11 § för att samla in ett prov och lämna ut provet och tillhörande uppgifter till en biobank krävs ett frivilligt och informerat samtycke av personen i fråga. Samtycket ska ges skriftligen. Bestämmelser om behandling av personuppgifter i biobanker föreslås separat i den nya 11 a §. Samtycket ska dock fortfarande vara ett sådant i artikel 5 i konventionen om biomedicin avsett förhandsvillkor för provtagning som stärker provtagarens självbestämmanderätt, samt en skyddsåtgärd vid behandling av personuppgifter. 

Bestämmelser om den information som ska ges en person innan samtycke ges finns i 11 § 4 mom. Enligt det ska personen ges tillräcklig information om biobanksverksamhetens natur, eventuella risker och olägenheter, syftet med insamlingen och förvaringen av prover, provernas ägare och den biobank som förvarar proverna, frivilligheten vid givande av samtycke och möjligheten att återkalla samtycket utan negativa följder och rätten att göra invändningar mot behandlingen av uppgifterna i enlighet med artikel 21 i den allmänna dataskyddsförordningen. 

Grundlagsutskottet har vid bedömningen av den gällande regleringen (GrUU 10/2012 rd) fäst särskild uppmärksamhet vid att samtycket ska grunda sig på tillräcklig information om syftet med proverna och andra omständigheter med relevans för skydd av provgivarens privatliv. Enligt grundlagsutskottet är det vidare nödvändigt att den som ger sitt samtycke ska kunna begränsa samtycket och återkalla det, om han eller hon så önskar. 

Enligt den föreslagna 12 § om återkallande av samtycke har en person rätt att när som helst innan ett prov samlas in återkalla ett samtycke som avses i 11 §. Enligt 11 § i lagförslaget krävs det dock inte bara samtycke av en person för insamling av ett prov, utan också för att lämna ut provet och tillhörande uppgifter till en biobank krävs ett frivilligt och informerat samtycke av personen i fråga. Rätten att återkalla samtycket är tidsmässigt snävare i den föreslagna 12 §. Den föreslagna bestämmelsen i 12 § motiveras (s. 27) med att när samtycket uttryckligen gäller en intervention som utgör en förutsättning för insamling av biobanksprover ska samtycket kunna återkallas tills denna åtgärd genomförs. Återkallelsen av samtycket efter den intervention som är föremål för samtycket har enligt motiven då ingen effekt, eftersom åtgärden de facto inte kan återkallas. Grundlagsutskottet har i sitt utlåtande om den aktuella propositionen påpekat (stycke 16) att detta inte kan motivera att ett samtycke som berättigar till att ett prov och tillhörande uppgifter lämnas ut till en biobank inte omfattas av rätten att återkalla tillståndet. Grundlagsutskottet har dessutom ansett att det är relativt oklart hur bestämmelserna om utlämnande av personuppgifter ska tillämpas inom ramen för bestämmelserna om samtycke i EU:s dataskyddsförordning. 

Bestämmelserna i 12 § om rätten till återkallelse som tryggar självbestämmanderätten måste enligt grundlagsutskottet (stycke 17) ändras. En ändring av bestämmelserna inom de ramar som EU:s dataskyddsförordning tillåter är en förutsättning för att lagförslaget ska kunna behandlas i vanlig lagstiftningsordning. Bestämmelserna kan enligt grundlagsutskottet ändras exempelvis så att återkallelse av samtycke i fråga om utlämnande har effektiva rättsverkningar fram till utlämnandet av prover och uppgifter. Alternativt måste bestämmelserna i 11 § 4 mom. ändras så att det av dem framgår att också den som ger samtycke ska ges tillräcklig information om tidsbegränsningen av rätten till återkallelse. 

Också vid social- och hälsovårdsutskottets sakkunnigutfrågning har det uttryckts oro över att tillämpningsområdet för samtycket och rätten att återkalla det begränsas, samt över att behandlingen av prover och tillhörande uppgifter inte längre effektivt kan förbjudas i efterhand. 

Social- och hälsovårdsutskottet delar de sakkunnigas oro och grundlagsutskottets synpunkter och föreslår att lagförslagets 12 § med anledning av grundlagsutskottets utlåtande ändras så att den motsvarar omfattningen av den föreslagna 11 §. 

Dessutom föreslås det att det till lagförslaget fogas en ny 12 a § med ytterligare villkor som ingår i det nationella handlingsutrymmet enligt artikel 9.4 i den allmänna dataskyddsförordningen. Paragrafen gäller utnyttjande av rätten att göra invändningar enligt artikel 21 i den allmänna dataskyddsförordningen. Rätten att göra invändningar är en verkningsfull rättshandling för den registrerade. Enligt paragrafen får prover eller tillhörande uppgifter inte längre användas eller lämnas ut för biobanksforskning i fråga om de prover eller uppgifter som utövandet av rätten att göra invändningar gäller när biobanken har tagit emot en anmälan om utövande av rätten att göra invändningar. Om det inte är möjligt att enbart använda en del av proverna eller uppgifterna, får proverna eller uppgifterna inte längre användas eller lämnas ut för biobanksforskning. Den föreslagna bestämmelsen begränsar rätten att göra invändningar ur den personuppgiftsansvariges synvinkel och ger den registrerade ytterligare skydd. 

Utskottet påpekar att det som anförts ovan också lämpar sig för åtgärder som vidtas på en minderårig eller myndig persons vägnar. Utskottet hänvisar till bedömningen av lagförslagets konsekvenser för barn (s. 17). I propositionen föreslås inga ändringar i de bestämmelser i den gällande biobankslagen som gäller åtgärder som vidtagits på en minderårigs eller myndig persons vägnar. Konsekvenserna av de bestämmelser som föreslås i lagförslaget motsvarar konsekvenserna för alla personer som lämnat biobanksprov. För tydlighetens skull påpekar utskottet dock att till exempel den som senare uppnått myndighetsålder har möjlighet att fullt ut utöva de rättigheter som avses i den föreslagna lagen, även om biobanksprovet skulle ha samlats in när personen var minderårig på basis av ett samtycke som lämnats för hans eller hennes räkning. 

Behandling av personuppgifter i biobanker

I 11 a § i lagförslaget anges att personuppgifter i en biobank får behandlas med stöd av artiklarna 6.1 e och 9.2 i den allmänna dataskyddsförordningen, om behandlingen är nödvändig för fullgörande av uppgifterna enligt 5 §. 

Grundlagsutskottet har också ansett (stycke 21) att det i fråga om den aktuella propositionen är av betydelse att till den del som grunden för behandlingen enligt förslaget inte längre är den registrerades samtycke, kan den registrerade inte genom att återkalla sitt samtycke förhindra att personuppgifter behandlas. I propositionen redogörs för den registrerades rättigheter enligt EU:s dataskyddsförordning. Grundlagsutskottet har noterat att dessa rättigheter inte heller enligt propositionsmotiven har samma rättsverkningar som återkallelse av samtycke. Det sägs exempelvis i motiven (s. 14) att på den registrerades rätt att få sina personuppgifter raderade av den personuppgiftsansvarige i enlighet med artikel 17 i den allmänna dataskyddsförordningen tillämpas grunderna för undantag i artikel 17.3 b, c och d. Enligt de nämnda leden till artikel 17.3 i förordningen ska den registrerades rätt till radering dock inte tillämpas, om behandlingen sker för utförande av en uppgift av allmänt intresse, för skäl som rör ett viktigt allmänt intresse på folkhälsoområdet enligt artikel 9.2 i och för vetenskapliga eller historiska forskningsändamål av allmänt intresse enligt artikel 89.1, om rätten till radering sannolikt kommer att medföra att behandlingen i fråga omöjliggörs eller avsevärt försvåras. Rätten till radering ska alltså enligt motiven i regel inte tillämpas. 

Grundlagsutskottet har påpekat (stycke 22) att regleringen utgör en betydande begränsning av provgivarens självbestämmanderätt. Begränsningen motiveras (s. 37) bland annat med att det eftersträvade målet med behandlingen av personuppgifter enligt biobankslagen är att stödja biobanksforskningen och därmed främja forskning som förbättrar patienternas hälsa och folkhälsan samt utvecklingen av läkemedel och medicintekniska produkter. Enligt grundlagsutskottets praxis i samband med stiftandet av biobankslagen har denna uppgift ett nära samband med grundlagens 16 § 3 mom. om vetenskapens frihet och indirekt också med 19 § 3 mom. om skyldigheten för det allmänna att främja befolkningens hälsa (GrUU 10/2012 rd, s. 3). Grundlagsutskottet har nu upprepat denna bedömning. 

Enligt grundlagsutskottet (stycke 23) måste lagförslaget till denna del kompletteras och preciseras inom ramen för EU:s dataskyddsförordning så att den bättre tryggar självbestämmanderätten. Det är ett villkor för att lagförslaget ska kunna behandlas i vanlig lagstiftningsordning. Lagförslaget kan enligt grundlagsutskottet ändras exempelvis så att det av 11 § 4 mom. också framgår den registrerades rätt att få tillräckliga uppgifter om området för samtycket och om att behandlingen av personuppgifter i en biobank i fortsättningen sker oberoende av samtycke. Alternativt måste regleringen innehålla till exempel den allmänna rätten att förbjuda behandling av personuppgifter, som föreskrivs som en skyddsåtgärd. En sådan komplettering och precisering av regleringen måste också omfatta bestämmelserna i 14 och 26 § i lagförslaget om betydelsen av det godkännande som ska regleras som en skyddsåtgärd. 

Utöver de ändringar som konstateras ovan i avsnittet om samtycke föreslår social- och hälsovårdsutskottet att 11 § 4 mom. i lagförslaget med anledning av grundlagsutskottets utlåtande preciseras i fråga om den information som ska ges före samtycket så att det utöver de övriga aspekterna uttryckligen ges tillräcklig information om bland annat grunderna för behandlingen av personuppgifter, skyddsåtgärder i anslutning till behandlingen av personuppgifter och samtyckets räckvidd. 

Utnämning av dataskyddsombud

I propositionen föreslås att det i 8 § 1 mom. i lagförslaget läggs till en ny 7 punkt, enligt vilken den biobanksansvarige har till uppgift att sköta utnämningen av ett i den allmänna dataskyddsförordningen avsett dataskyddsombud. I biobankerna behandlas enligt specialmotiveringen (s. 25) känsliga uppgifter och uppgifter som hör till särskilda kategorier av personuppgifter, och då är det motiverat att utnämna ett dataskyddsombud för biobanken. Utnämningen av ett dataskyddsombud främjar också tillgodoseendet av de registrerades rättigheter. 

Artikel 37 i den allmänna dataskyddsförordningen förpliktar den personuppgiftsansvarige och personuppgiftsbiträdet att i vissa situationer utse ett dataskyddsombud. Enligt sakkunniga bör det säkerställas huruvida den föreslagna bestämmelsen överlappar bestämmelserna i dataskyddsförordningen, eller om den kan genomföras inom ramen för det nationella handlingsutrymme som dataskyddsförordningen tillåter. 

Utifrån en utredning från social- och hälsovårdsministeriet konstaterar utskottet att syftet med den föreslagna bestämmelsen om utnämning av dataskyddsombud är att på basis av det nationella handlingsutrymme som tillåts enligt artikel 37.4 i dataskyddsförordningen bestämma om utnämning av ett dataskyddsombud. För att förtydliga skyldigheten har det ansetts nödvändigt att ta in en uttrycklig bestämmelse i den nationella lagen. 

Ett obligatoriskt dataskyddsombud är enligt utskottet motiverat med beaktande av riskerna i anslutning till biobankernas behandling av personuppgifter och den flexibilitet som tillåts i artikel 37.2—37.4 i den allmänna dataskyddsförordningen. Utnyttjandet av handlingsutrymmet vid utnämningen av dataskyddsombudet bidrar till att stärka skyddet för de grundläggande fri- och rättigheterna och de mänskliga rättigheterna. Biobankens egen dataskyddsombud har enligt utskottet bättre förutsättningar att fullgöra dataskyddsombudets uppgifter som gäller biobankens särskilda karaktär än om det i stället endast finns ett enda dataskyddsombud för välfärdsområdet eller sjukhuset.