4.2.4
Konsekvenser för de grundläggande och mänskliga rättigheterna
Målet att flytta tyngdpunkten inom hälso- och sjukvårdstjänsterna i riktning mot föregripande och förebyggande tjänster kräver riktade, framgångsrika åtgärder som sätts in i rätt tid, och till stöd för dessa är det nödvändigt att utnyttja patientuppgifter. Detta gynnar välfärdsområdets invånare på både gruppnivå och individuell nivå. Ur den enskilda patientens synvinkel är målet framför allt att trygga och främja välfärden, hälsan och livskvaliteten. Dessa konsekvenser återspeglar sig via individerna också på befolkningsnivå.
Med avseende på individernas rättigheter antas den föreslagna regleringen främja särskilt vars och ens rätt till tillräckliga hälso- och sjukvårdstjänster enligt 19 § 3 mom. i grundlagen. Bestämmelsen om grundläggande fri- och rättigheter innefattar en skyldighet för lagstiftaren att föreskriva närmare om rättigheten genom lag. Det är viktigt att hälso- och sjukvårdslagstiftningen som helhet har samband med de tillräckliga hälso- och sjukvårdstjänster som tryggas i grundlagen. Den reglering som nu föreslås anses trygga och stärka individens rätt till tillräckliga hälso- och sjukvårdstjänster. Helt konkret kan detta på individuell nivå innebära t.ex. att hälso- och sjukvårdstjänster kan inriktas effektivare och i rätt tid på ett proaktivt och föregripande sätt. Samtidigt tryggas kontinuiteten i vården, som är viktig med tanke på patientens rättigheter. Den föreslagna regleringen bedöms således ha en positiv effekt på individens välbefinnande, antal levnadsår och i sista hand rätt till liv. Genom förutseende och tidig identifiering av servicebehov förbättras yrkespersonernas möjligheter att rikta tjänsterna till punkter där patientens kondition ännu inte nödvändigtvis kräver dyra och tunga tjänster inom den specialiserade sjukvården. Välfärdsområdena kommer i sin verksamhet åt att på ett aktivare sätt identifiera och också nå sådana patienter som omfattas av tjänsterna och som behöver vård med respekt för patientens rättigheter, såsom skydd för privatlivet.
Genom aktivare föregripande och förebyggande åtgärder är det möjligt att nå och stödja även sådana grupper som av en eller annan orsak saknar möjligheter eller resurser att själva söka sig till tjänsterna i rätt tid. Alla har inte heller nödvändigtvis tillgång till sådan information utifrån vilken de själva skulle kunna söka sig till tjänster innan t.ex. en sjukdom har avancerat till ett skede som kräver specialiserad sjukvård. Till exempel ordnas hälsoundersökningar redan nu så att de riktas till vissa riskgrupper, men enligt den gällande lagstiftningen är det inte möjligt att skicka en kallelse till hälsoundersökning till en person som hör till en riskgrupp. Individer som hör till en riskgrupp behöver således ofta klara av att aktivt söka information t.ex. på välfärdsområdets webbsidor för att förstå att de på eget initiativ bör begära en hälsoundersökning. Många nås aldrig av information om en hälsoundersökning som är ändamålsenlig för dem när informationen skickas ut som ett offentligt meddelande eller endast kan hittas genom aktiv sökning på deras eget initiativ.
Den föreslagna regleringen kan därför anses främja ordnandet av föregripande och förebyggande hälso- och sjukvård på nationell nivå så att tjänsterna kan riktas enligt behovsprincipen i rätt tid till dem som behöver dem mest. Behovsprincipens styrande roll framhävs särskilt när det är fråga om knappa resurser. Helheten tryggar således också tillhandahållandet av tillräckliga hälso- och sjukvårdstjänster i och med att resurserna kan riktas effektivt så att de räcker till för så många som möjligt. Samtidigt stöder denna typ av riktade tjänster den faktiska jämlikheten inom hälso- och sjukvården och t.ex. målet att minska hälsoskillnaderna. Det är därför nödvändigt att utnyttja patientuppgifter för detta syfte för att den föregripande hälso- och sjukvården ska främja tillgången till tillräckliga hälso- och sjukvårdstjänster och deras faktiska jämlikhet samt trygga tillräckliga resurser inom hälso- och sjukvården.
Ur jämlikhetsperspektiv ska det samtidigt observeras att alla personer inte kan nås på det sätt som avses i denna proposition, genom riktade åtgärder som bygger på analys av patientuppgifter, eller på något annat sätt. Om föregripande tjänster tillhandahålls enbart på grundval av analys av patientuppgifter faller de personer vars uppgifter inte finns i något register utanför tjänsterna. Det är omöjligt att genom analys av patientuppgifter rikta tjänster till dessa personer, men tjänster som hör till föregripande hälso- och sjukvård kan ändå tillhandahållas eller tillgängliggöras för dessa grupper på andra sätt. Till exempel screening och hälsoundersökningar ordnas redan nu med andra metoder, och det kan vara ändamålsenligt att rikta dessa exempelvis åldersgruppsvis, vilket inte på samma sätt behöver bygga på en analys av patientuppgifter. Dessa metoder, som redan utnyttjas, bedöms således vara tillräckliga för att alla personer ska ha jämlik tillgång till dessa tjänster.
Ur individuell synvinkel gäller det också att beakta eventuella hälso- och sjukvårdsavgifter. Detta är av betydelse i synnerhet med tanke på att det eventuellt är fråga om tjänster som individerna tillhandahålls proaktivt. Till exempel hälsoundersökningar är avgiftsfria för kunden. Däremot kan i vissa fall avgifter enligt lagen om klientavgifter inom social- och hälsovården (734/1992, klientavgiftslagen) och förordningen om klientavgifter inom social- och hälsovården tas ut för social- och hälsovårdstjänster som följer efter en hälsoundersökning. I 11 § i klientavgiftslagen finns bestämmelser om nedsättning eller efterskänkande av avgift. Genom välfärdsområdets beslut kan nedsättning av eller befrielse från avgifter tillämpas förutom på inkomstrelaterade avgifter även på de avgifter inom hälso- och sjukvården som är lika stora för alla. Lagen betonar att nedsättning av avgifter ska tillämpas i första hand i förhållande till utkomststöd.
De föreslagna bestämmelserna har betydelse också med tanke på målet att avhjälpa vårdunderskotten. Att identifiera patienter som har störst nytta av en behandling och kalla dessa till behandling är ett sätt att avhjälpa vårdunderskotten. Betydelsen varierar från en patientgrupp till en annan. Syftet med de föreslagna bestämmelserna är att göra det möjligt för välfärdsområdet att bedöma vilken patientgrupp som har allra störst nytta av föregripande åtgärder och med vilka metoder, och på så sätt fastställa målgruppen t.ex. när det gäller att avhjälpa vårdunderskotten.
Föregripande tjänster, och tillhandahållandet av dessa, kan involvera profilering. Detta bedöms mer ingående i avsnitt 4.2.5 Konsekvenser för dataskyddet. Profilering är dock av betydelse också med tanke på jämlikhet och diskriminering. På lagberedningsnivå är det endast möjligt att ta ställning till profilering på allmän nivå, eftersom det med tanke på tryggandet av individens rättigheter är ändamålsenligt att bedömningen sker innan uppgifterna och tekniken faktiskt införs. Det man känner till i det skedet är tekniken och de risker som den är förknippad med, den tjänst som ska tillhandahållas och hur detta sker, vilka lösningar som väljs samt på vilket sätt det är nödvändigt att behandla patientuppgifter för detta syfte. Således finns det skäl att på förhand bedöma vilka risker profilering medför, såsom eventuell marginaliseringsrisk, så att man i bedömningen kan beakta de faktiska riskerna och metoderna för hur dessa kan elimineras och minimeras.
Alla personer vill inte nödvändigtvis bli föremål för hälso- och sjukvårdstjänster som tillhandahålls mer aktivt. Hälso- och sjukvårdstjänsterna är i regel frivilliga. Detta anknyter också till individens självbestämmanderätt, som tryggas i grundlagen, och när det gäller behandling av patientuppgifter även till rätten att bestämma över information om sig själv. Patienter ska tryggas möjligheten att uttrycka sin åsikt om tjänsterna, liksom i samband med andra hälso- och sjukvårdstjänster. Patientens självbestämmanderätt framgår på vanlig lagnivå i synnerhet av bestämmelsen om självbestämmanderätt i 6 § i patientlagen. Denna självbestämmanderätt för patienter ska beaktas fullt ut också i de samlade tjänsterna inom föregripande hälso- och sjukvård redan från början av planeringsprocessen. Vid beredningen ansågs tryggandet av självbestämmanderätten inte i detta sammanhang förutsätta t.ex. separata bestämmelser om förbudsrätt. Den gällande lagstiftningshelheten förutsätter redan att vården och behandlingen ska ges i samförstånd med patienten. Den gällande lagstiftningen kan anses innebära att om en patient t.ex. förbjudit kontakttagande ska detta förbud beaktas och följas. Separata bestämmelser kan skapa onödiga, separata och dessutom få negativa konsekvenser för patientens möjlighet att själv påverka sina rättigheter.
Avseende patientens rättigheter gäller det att ta hänsyn till betydelsen av transparens, som även förutsätts i EU:s allmänna dataskyddsförordning. Föregripande hälso- och sjukvårdstjänster och behandlingen av patientuppgifter i anslutning till dessa förutsätter transparent information, för att patienten ska kunna utnyttja t.ex. sin självbestämmanderätt. Den föreslagna regleringen bedöms kunna trygga även transparensen, i och med att rättsläget i fråga om behandlingen av patientuppgifter förtydligas och förfarandena och informationen om dem därmed förenhetligas. Det är lättare för välfärdsområdena att se till att informationen till patienterna sker på ett transparent sätt när tjänsterna och den behandling av personuppgifter som dessa kräver planeras så att de är förenliga med lagstiftningen och ändamålsenliga bedömningar av konsekvenserna för dataskyddet görs.
Den föreslagna regleringen gör det möjligt att utnyttja patientuppgifter och teknik inom den föregripande hälso- och sjukvården som helhet. Regleringen medför ingen skyldighet till detta, utan de uppgifter enligt hälso- och sjukvårdslagen som avses i propositionen kan också genomföras genom andra metoder. Således är det möjligt att det uppstår regionala skillnader i fråga om vilka tjänster inom föregripande hälso- och sjukvård välfärdsområdena tillhandahåller sina invånare och hur effektiva dessa är. Detta är befogat med tanke på den regionala jämlikheten. Dessutom kan olika förfaranden utvecklas för hur patienterna nås och tjänsterna tillhandahålls. I princip anses dessa eventuella skillnader vara motiverade för att garantera att välfärdsområdenas självstyrelse tryggas och t.ex. områdenas olika behov beaktas. Välfärdsområdena ska ha möjlighet att bedöma behoven uttryckligen hos befolkningen och individerna i sitt eget område också när det gäller uppgifter inom den föregripande hälso- och sjukvården, och därför torde tjänsterna och de sätt på vilka de tillhandahålls variera mellan olika välfärdsområden.
I lagförslaget faller de privata tjänstetillhandahållarna och därmed t.ex. företagshälsovårdens roll utanför tillämpningsområdet för regleringen, eftersom de föreslagna bestämmelserna om åtkomsträttigheter anknyter till uppgifter som hör till välfärdsområdets organiseringsansvar. Ur invånarnas synvinkel innebär detta samtidigt ett snävare informationsunderlag. Således är det inte möjligt att utifrån analys av patientuppgifter tillhandahålla riktade föregripande tjänster till den del av befolkningen vars uppgifter inte finns i välfärdsområdets eget register. Dessa lagstadgade tjänster tillhandahålls efter lagförslaget även genom andra metoder som använts tidigare.
Den föreslagna regleringen är i fråga om behandlingen av patientuppgifter av betydelse med tanke på skyddet för privatlivet. Patientuppgifter hör till de särskilda kategorier av personuppgifter som avses i EU:s allmänna dataskyddsförordning. I konstitutionellt hänseende betraktas dessa uppgifter som känsliga personuppgifter. De bestämmelser som föreslås gäller patientuppgifter och kan anses utvidga behandlingen av patientuppgifter till vissa delar. Det är viktigt att i enlighet med det riskbaserade synsättet identifiera de risker och hot som eventuellt följer av att patientuppgifter behandlas t.ex. när det gäller riktade hälsoundersökningar. Samtidigt innebär de föreslagna bestämmelserna inte att nya uppgifter kan eller ska samlas in. Det är fråga om patientuppgifter som redan finns i ett register och som behandlas uttryckligen i syfte att tjäna patientens vård och uppgifter i anslutning till vården. Riksdagens grundlagsutskott har i samband med ikraftträdandet av EU:s allmänna dataskyddsförordning ansett att det i princip är tillräckligt att det skydd för personuppgifter som ingår i skyddet för privatlivet enligt 10 § i grundlagen tryggas när de krav som anges i EU:s allmänna dataskyddsförordning följs. I denna proposition har den föreslagna regleringens förhållande till EU:s allmänna dataskyddsförordning bedömts grundligt. Dessutom bör det observeras att också kraven enligt kunduppgiftslagen följs när patientuppgifter behandlas i anslutning till vården av patienten.
Konstitutionellt sett ska behandlingen av känsliga uppgifter, såsom patientuppgifter, enligt riksdagens grundlagsutskotts praxis begränsas så att endast nödvändiga uppgifter behandlas. Genom bestämmelserna om åtkomsträttigheter säkerställs t.ex. att det redan på datateknisk nivå tryggas att inte en obestämd grupp personer har åtkomst till patientuppgifterna, utan de yrkesutbildade personernas rätt till en patientdatamängd har i systemet begränsats enligt bestämmelserna om åtkomsträttigheter. Nödvändighetskriteriet tryggas också i den reglering som nu föreslås bl.a. genom att det krävs att åtkomsträttigheten begränsas. I dessa uppgifter ska åtkomsträttigheten begränsas till en yrkesutbildad person som sköter sådana uppgifter enligt 13 §, 14 § och 24 § i hälso- och sjukvårdslagen som uttryckligen avses i lagen. Detta innebär att vilken yrkesutbildad person som helst inte kan få åtkomst till och behandla de patientuppgifter som krävs för att tjänster inom föregripande hälso- och sjukvård ska kunna tillhandahållas. I avsnitt 4.2.5 bedöms de dataskyddskonsekvenser som är väsentliga med tanke på denna proposition mer ingående.
4.2.5
Konsekvenser för dataskyddet
När det gäller bedömningen av dataskyddskonsekvenserna av den föreslagna regleringen ska det först och främst konstateras att de organiseringsskyldiga aktörer som hör till den föregripande hälso- och sjukvården som helhet ska följa kunduppgiftslagen när de ordnar och tillhandahåller tjänsterna. Kunduppgiftslagen innehåller centrala bestämmelser om behandling av kunduppgifter och handlingar samt informationssystem inom social- och hälsovården. I kunduppgiftslagen har behandlingen av kunduppgifter inom social- och hälsovården relativt nyligen samlats i en och samma lag, varvid överensstämmelsen med kraven enligt grundlagen och dataskyddsförordningen säkerställts.
Vidare beaktas det i den färska kunduppgiftslagen att kunduppgifterna inom social- och hälsovården är känsliga uppgifter som kräver skyddsåtgärder. I samband med beredningen av denna proposition har det bedömts att skyddsåtgärderna enligt kunduppgiftslagen och mekanismerna för genomförandet av dem huvudsakligen är tillräckliga. Med tanke på den registrerades rättigheter är det också av betydelse att metoderna för genomförandet av skyddsåtgärderna och t.ex. de samtycken som behöver fås av den registrerade och åtgärderna i sig är så enhetliga och tydliga som möjligt. Således är det inte ändamålsenligt att inom en och samma bransch införa separata skyddsåtgärder och helheter, eftersom detta kan få negativa konsekvenser för den registrerades rättigheter och tillgodoseendet av dem.
Behandlingsgrund
Behandlingen av personuppgifter ska ha en rättslig grund i enlighet med artikel 6.1 i dataskyddsförordningen. De bestämmelser som nu föreslås gäller patientuppgifter inom hälso- och sjukvården som den personuppgiftsansvariga behandlar i samband med utförandet av lagstadgade uppgifter enligt 13 §, 14 § och 24 § i hälso- och sjukvårdslagen. Den rättsliga grunden för behandlingen av personuppgifter är därmed artikel 6.1 c i dataskyddsförordningen, dvs. fullgörandet av en rättslig förpliktelse som åvilar den personuppgiftsansvarige.
Patientuppgifter inom hälso- och sjukvården hör till de särskilda kategorier av personuppgifter som avses i artikel 9 i dataskyddsförordningen. För behandling av personuppgifter som hör till särskilda kategorier av personuppgifter ska det finnas en grund enligt artikel 9.2 i dataskyddsförordningen. I uppgifter enligt detta lagförslag behandlas patientuppgifter inom hälso- och sjukvården för de syften som anges i artikel 9.2 h i dataskyddsförordningen, nämligen av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av medlemsstaternas nationella rätt eller i enlighet med ett avtal med en yrkesutbildad person inom hälso- och sjukvården.
Enligt artikel 9.3 i den allmänna dataskyddsförordningen får personuppgifter behandlas för de ändamål som anges i artikel 9.2 h endast när uppgifterna behandlas av eller under ansvar av en yrkesutövare som omfattas av lagstadgad tystnadsplikt enligt medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ. I kunduppgiftslagen föreskrivs det om sekretess för patientuppgifter och om tystnadsplikt för yrkesutbildade inom hälso- och sjukvården.
I 6 § 1 mom. i den nationella dataskyddslagen föreskrivs det om undantag från förbudet mot behandling av särskilda kategorier av personuppgifter enligt artikel 9 i dataskyddsförordningen. Särskilda kategorier av personuppgifter får enligt 6 § i dataskyddslagen behandlas t.ex. när en tillhandahållare av hälso- och sjukvårdstjänster vid ordnande eller produktion av tjänster behandlar uppgifter som tillhandahållaren i denna verksamhet fått om en persons hälsotillstånd eller funktionsnedsättning eller om en hälso- och sjukvårdstjänst och rehabiliteringstjänst som personen fått eller andra uppgifter som är nödvändiga med avseende på den registrerades vård och när en tillhandahållare av socialvårdstjänster vid ordnande eller produktion av tjänster eller beviljande av förmåner behandlar uppgifter som tillhandahållaren i denna verksamhet fått eller producerat om en persons hälsotillstånd eller funktionsnedsättning eller om en hälso- och sjukvårdstjänst och rehabiliteringstjänst som personen fått eller andra uppgifter som är nödvändiga med avseende på beviljande av tjänster och förmåner till den registrerade (6 § 1 mom. 4 och 5 punkten).
Nationellt handlingsutrymme
Rättsgrunden för behandling av personuppgifter som sker på grundval av detta lagförslag är artikel 6.1 c i dataskyddsförordningen, vilket innebär att också det nationella handlingsutrymme som dataskyddsförordningen medger kan utnyttjas. Nationellt handlingsutrymme i fråga om behandling av särskilda kategorier av personuppgifter ingår i artikel 9.2 b, g, h, i och j och artikel 9.4 i dataskyddsförordningen. På nationell nivå är utgångsläget att skyddet för personuppgifter i första hand bör tillgodoses utifrån den allmänna dataskyddsförordningen och den allmänna lagstiftningen på nationell nivå (GrUU 14/2018 rd, s. 4). Speciallagstiftning bör avgränsas till endast nödvändiga bestämmelser inom ramen för det nationella handlingsutrymme som dataskyddsförordningen medger. Grundlagsutskottet anser det dock vara klart att behovet av speciallagstiftning i enlighet med det riskbaserade tillvägagångssätt som också krävs i dataskyddsförordningen måste bedömas utifrån de hot och risker som behandlingen av personuppgifter orsakar. Ju högre risk som orsakas av behandlingen för en fysisk persons rättigheter och friheter, desto mer motiverad är en mer detaljerad reglering. (GrUU 14/2018 rd, s. 5)
De bestämmelser som nu föreslås gäller behandling av känsliga uppgifter. Vidare omfattar bestämmelserna sådan behandling av uppgifter som avviker från den grundläggande lösningen i kunduppgiftslagen när det gäller åtkomsträttigheter. Åtkomsträttigheterna enligt kunduppgiftslagen är i regel bundna till en vårdrelation. Den reglering som nu föreslås avviker från denna grundläggande lösning. Syftet är samtidigt att göra det möjligt att analysera patientuppgifter som ett led i genomförandet och riktandet av en lagstadgad uppgift. Denna typ av behandling kan förutsätta automatiserad behandling av personuppgifter och t.ex. profilering. I enlighet med ett riskbaserat synsätt är det motiverat att automatiserad behandling av personuppgifter i anslutning till en lagstadgad uppgift beaktas i speciallagstiftning.
Vidare är det i de föreslagna bestämmelserna fråga om en precisering av lagstadgade förpliktelser som redan ingår i hälso- och sjukvårdslagen, vilket är motiverat med tanke på att rättsgrunden för behandlingen är bunden till en lagstadgad uppgift som hör till den personuppgiftsansvariga. Denna lagstadgade uppgift i anslutning till rättsgrunden ska vara exakt på det sätt som förutsätts enligt dataskyddsförordningen.
Profilering och automatiserat beslutsfattande
Den reglering som nu föreslås ska bedömas med hänsyn till den profilering som avses i artikel 4 i EU:s allmänna dataskyddsförordning. I konsekvensbedömningen har man också bedömt den föreslagna regleringen i förhållande till det automatiserade beslutsfattande som avses i artikel 22 i dataskyddsförordningen, trots att det i propositionen inte föreslås att det ska föreskrivas om någon sådan lagbaserad rättslig grund för automatiserat beslutsfattande som avses i artikel 22.
Enligt artikel 4 i EU:s allmänna dataskyddsförordning avses med profilering varje form av automatiserad behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar. I skäl 72 i dataskyddsförordningen konstateras att profilering omfattas av förordningens bestämmelser som sådana, såsom de rättsliga grunderna för behandlingen och principer för dataskydd. I syfte att sörja för rättvis och transparent behandling med avseende på den registrerade bör den personuppgiftsansvarige enligt skäl 71 använda adekvata matematiska eller statistiska förfaranden för profilering, genomföra tekniska och organisatoriska åtgärder som framför allt säkerställer att faktorer som kan medföra felaktigheter i personuppgifter korrigeras och att risken för fel minimeras. Eventuella risker för den registrerades intressen och rättigheter ska minimeras och diskriminering av fysiska personer ska förhindras. Enligt skäl 71 bör dessutom automatiserat beslutsfattande och profilering baserat på särskilda kategorier av personuppgifter endast tillåtas på särskilda villkor.
Enligt arbetsgruppen för uppgiftsskydd består profileringen av tre delfaktorer: (1) Det måste röra sig om en automatiserad behandling. (2) Behandlingen måste avse personuppgifter. (3) Syftet med profileringen måste vara att bedöma personliga egenskaper hos en fysisk person. Mänsklig inblandning undantar inte nödvändigtvis en aktivitet från definitionen.
Arbetsgruppen för uppgiftsskydd enligt artikel 29 (nuvarande Europeiska dataskyddsstyrelsen): Riktlinjer om automatiserat individuellt beslutsfattande och profilering enligt förordning (EU) 2016/679, WP251rev01, s. 7.
Samtidigt leder till exempel en enkel klassificering av enskilda utifrån kända egenskaper som deras ålder, kön och längd inte nödvändigtvis till profilering. Enligt arbetsgruppen för uppgiftsskydd innebär profilering i huvudsak att man samlar in information om en person (eller en grupp personer) och bedömer deras personliga egenskaper eller beteendemönster för att placera in dem i en viss kategori eller grupp, särskilt för att analysera och/eller göra förutsägelser om till exempel förmågan att utföra en uppgift, intressen eller sannolikt beteende.
I artikel 22 i EU:s allmänna dataskyddsförordning föreskrivs det om automatiserat individuellt beslutsfattande. I denna proposition föreslås det inte att det ska föreskrivas om en sådan rättslig grund enligt nationell rätt för automatiserat beslutsfattande enligt artikel 22 i dataskyddsförordningen. Fokus i den föreslagna regleringen ligger på att precisera de lagstadgade uppgifter som utgör grund för tjänsterna inom föregripande hälso- och sjukvård och att mer exakt binda dem till bestämmelserna om patientuppgifter inom hälso- och sjukvården i synnerhet med tanke på bestämmelserna om åtkomsträttigheter. I samband med beredningen har det bedömts att tjänster inom föregripande hälso- och sjukvård kan tillhandahållas också utan att det i lagen föreskrivs om en rättsgrund för automatiserade beslut enligt artikel 22 i dataskyddsförordningen. En rättsgrund som baserar sig på lag skulle dessutom förutsätta att något visst beslut som medför rättsverkningar eller andra betydande konsekvenser möjliggörs, vilket kräver en mer omfattande konsekvensbedömning och fortsatt beredning. Den nedanstående bedömningen av automatiserat beslutsfattande har ändå ansetts vara befogad för att konsekvenserna ska kunna bedömas på ett så heltäckande sätt som möjligt. Vidare är det värt att notera att den personuppgiftsansvariga vid behov kan uppfylla förutsättningarna enligt artikel 22 i dataskyddsförordningen även på något annat sätt än utifrån en rättsgrund som baserar sig på lagstiftning.
Enligt artikel 22 i den allmänna dataskyddsförordningen har den registrerade rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling av personuppgifter, inbegripet profilering, vilket medför rättsverkningar för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne. Typiska situationer som avses i artikel 22 i dataskyddsförordningen är enligt skäl 71 i förordningen t.ex. automatiserat avslag på en kreditansökan online eller e-rekrytering utan personlig kontakt. Huvudregeln i artikeln förutsätter att beslut och avgöranden som är viktiga för individer fattas av en människa och inte av en maskin. Bakom artikeln ligger syftet att ge den registrerade rätt att undgå denna typ av beslut och samtidigt förplikta den personuppgiftsansvariga att ordna förfarandena på ett sådant sätt att människokontroll och andra eventuella skyddsåtgärder har säkerställts i automatiseringen.
Med beslut som grundar sig enbart på automatiserad behandling avses en situation där ingen människa deltar i beslutsfattandet eller i någon som helst fas av beslutsprocessen. Om t.ex. en automatiserad process producerar en rekommendation som gäller den registrerade, och denna rekommendation i kombination med andra faktorer beaktas av en människa när det slutliga beslutet fattas, är det inte fråga om ett beslut som grundar sig enbart på automatiserad behandling. Med uppkomst av rättsverkningar avses att beslutet påverkar personens lagliga rättigheter, juridiska ställning eller avtalsbaserade rättigheter. Även andra konsekvenser som den registrerade blir föremål för hör till denna kategori, om de är betydande på motsvarande sätt. Exempel på sådana betydande konsekvenser kan vara beslut som i betydande grad påverkar personens förhållanden, beteende eller val eller som på något annat sätt påverkar den registrerade. Enligt dataombudsmannen får t.ex. ett beslut som påverkar personens möjligheter att få hälso- och sjukvårdstjänster betydande konsekvenser (biträdande dataombudsmannens beslut, 3895/83/22).
Inom hälso- och sjukvården gäller det dessutom att beakta också de förutsättningar som anges i artikel 9 i den allmänna dataskyddsförordningen och som är relevanta med tanke på artikel 22 i förordningen. Patientuppgifter inom hälso- och sjukvården hör till de särskilda kategorier av personuppgifter som avses i artikel 9 i den allmänna dataskyddsförordningen. Enligt artikel 22.4 i förordningen får automatiserade individuella beslut inte grunda sig på särskilda kategorier av personuppgifter, såvida inte artikel 9.2 a eller g gäller. Vidare ska det sörjas för att bestämmelserna som helhet är harmoniserade med den allmänna dataskyddsförordningen. Samtidigt ska det säkerställas att det i bestämmelserna fastställs lämpliga åtgärder för att skydda den registrerades rättigheter, friheter och berättigade intressen. Skyddsåtgärderna specificeras inte i någon närmare detalj i artikel 22 i förordningen. Enligt artikel 9.2 g i förordningen tillämpas behandlingsförbudet inte, om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.
EU-domstolen har betonat dataskyddsförordningens syfte i sin tolkning av förordningen (se t.ex. mål C-579/21). EU-domstolen har också uttryckligen tagit ställning till automatiserade beslut som avses i artikel 22, t.ex. i målet C-634/21. Domstolens ståndpunkt kan snarare anses utvidga tillämpningsområdet för automatiserat beslutsfattande än inskränka det. Domstolen betonade att syftet med artikel 22 är att skydda enskilda mot de särskilda riskerna för deras rättigheter och friheter vid automatisk behandling av personuppgifter (mål C-634/21, punkt 57). I samma sammanhang konstaterade domstolen att begreppet beslut, i den mening som avses i artikel 22, har en vidsträckt räckvidd och kan omfatta åtskilliga åtgärder som kan påverka den registrerade på flera sätt (punkterna 45–46), men domstolen tog inte specifikt ställning till vilka alla åtgärder som påverkar individen som ska betraktas som sådana rättsliga följder eller andra betydande konsekvenser som avses i artikel 22 i dataskyddsförordningen.
EU-domstolen har t.ex. i målet C-203/22 förtydligat kraven på öppenhet i anslutning till automatiska processer. Domen kan anses stärka den registrerades rätt att få begriplig information om hur hans eller hennes personuppgifter behandlas på automatisk väg. Domstolen anser i fråga om artikel 15 i dataskyddsförordningen att meningsfull information om logiken bakom automatiserat beslutsfattande, i den mening som avses i artikel 15.1 h i dataskyddsförordningen, ska innehålla en beskrivning av det förfarande och de principer som faktiskt tillämpats. Denna beskrivning ska vara av sådant slag att den registrerade kan förstå vilka av hans eller hennes personuppgifter som har använts – och på vilket sätt – i samband med det automatiserade beslutsfattandet. Den personuppgiftsansvarige kan inte för att befria sig från sin förklaringsskyldighet åberopa att automatiserat beslutsfattande innefattar komplicerade processer (Mål C-203/22, punkt 61).
Dataskyddsförordningen medför nationellt handlingsutrymme när det gäller avvikelser från förbudet mot behandling enligt artikel 22. När det föreskrivs om avvikelser från förbudet mot behandling ska det sörjas för att bestämmelserna som helhet är harmoniserade med den allmänna dataskyddsförordningen. Samtidigt ska det fastställas lämpliga åtgärder för att skydda den registrerades rättigheter, friheter och berättigade intressen. Dessa skyddsåtgärder har dock inte specificerats närmare i artikeln. Enligt skäl 71 i förordningen bör denna form av uppgiftsbehandling under alla omständigheter omgärdas av lämpliga skyddsåtgärder, som bör inkludera specifik information till den registrerade och rätt till mänskligt ingripande, att framföra sina synpunkter, att erhålla en förklaring till det beslut som fattas efter sådan bedömning och att överklaga beslutet. I skäl 71 i förordningen konstateras det dessutom att barn inte bör bli föremål för sådant beslutsfattande som enbart grundas på automatiserad behandling, profilering inberäknad, som har rättsverkan rörande barnet eller på liknande sätt i betydande grad påverkar barnet. Europeiska unionens arbetsgrupp för uppgiftsskydd har ansett att skälet till denna del inte utgör ett absolut förbud (WP251rev.01, s. 30). Den princip som uttrycks i ingressen framhäver dock barnets ställning som särskilt skyddsobjekt vid behandling av personuppgifter, eftersom ingressen är av central betydelse i tolkningen av förordningen och i styrningen av tolkningen.
På nationell allmän lagnivå fogades bestämmelser till förvaltningslagen som möjliggör automatiserat beslutsfattande inom den offentliga förvaltningen i situationer som omfattas av regleringen på det sätt som förutsätts i dataskyddsförordningen. Samtidigt fogades det till förvaltningslagen och lagen om informationshantering bestämmelser för att uppfylla grundlagsutskottets krav på att beslutsfattandet inom den offentliga förvaltningen ska uppfylla de kriterier som förvaltningens lagbundenhet, offentlighetsprincipen och förvaltningens rättsprinciper som ingår i grunderna för god förvaltning förutsätter och trygga att rättsskyddet tillgodoses och tjänstemännens tjänsteansvar fullgörs korrekt (RP 145/2022 rd). I 53 e § i förvaltningslagen föreskrivs det om kriterierna för automatiserat avgörande. Paragrafen skapar en behörighetsgrund för automatiserat avgörande av förvaltningsärenden och avgränsar det automatiserade beslutsfattandet till ärenden som det med beaktande av principen om förvaltningens lagbundenhet och rättsskyddet lämpar sig för. I paragrafen avses med avgörande av ett ärende en åtgärd som avslutar behandlingen av ett förvaltningsärende enligt förvaltningslagen. Regleringen är alltså i princip inte tillämplig på faktisk förvaltningsverksamhet (RP 145/2022 rd), och därför är den inte heller tillämplig på genomförandet av tjänster inom föregripande hälso- och sjukvård i enlighet med de bestämmelser som nu föreslås.
Det ska noteras att tillämpningsområdet för artikel 22 i den allmänna dataskyddsförordningen inte begränsar sig endast till formella förvaltningsbeslut, eftersom det är fråga om alla sådana beslut som har rättsliga följder för individen eller som i betydande grad påverkar honom eller henne på motsvarande sätt. I artikel 22 i dataskyddsförordningen specificeras inte de rättsliga följder eller motsvarande betydande konsekvenser som avses i artikeln. För att någon ska påverkas i betydande grad måste följderna av behandlingen enligt arbetsgruppen för uppgiftsskydd vara tillräckligt stora eller viktiga för att förtjäna uppmärksamhet. Beslut som når över tröskeln för betydande konsekvenser kan vara t.ex. beslut som påverkar någons tillgång till hälso- och sjukvård.
Arbetsgruppen för uppgiftsskydd enligt artikel 29 (nuvarande Europeiska dataskyddsstyrelsen): Riktlinjer om automatiserat individuellt beslutsfattande och profilering enligt förordning (EU) 2016/679, WP251rev01, s. 23.
Inom hälso- och sjukvården betraktas en stor del av alla beslut om patienters tillgång till vård och vårdmetoder som s.k. faktisk förvaltningsverksamhet. Faktisk förvaltningsverksamhet utgör skötsel av en offentlig förvaltningsuppgift, men i motsats till exempelvis behandling av ett förvaltningsärende uppkommer det som avslutning på ärendet inget formellt förvaltningsbeslut som kan överklagas. Således tillämpas t.ex. inte förvaltningslagen på faktisk förvaltningsverksamhet till den del det handlar om behandling av ett förvaltningsärende och förfarandet i anslutning till detta. Bestämmelserna om automatiserat beslutsfattande i förvaltningslagen är inte heller tillämpliga på beslut eller avgöranden som fattas inom hälso- och sjukvården. Under beredningen av den allmänna lagstiftningen övervägdes olika regleringsalternativ för automatiserat beslutsfattande. Under beredningen presenterades också ett alternativ där tillämpningsområdet för regleringen skulle ha varit bredare än vad som föreslagits. Då skulle regleringen även ha omfattat beredningen av förvaltningsärenden och den faktiska förvaltningsverksamheten. Alternativet kritiserades emellertid och det ansågs vara utmanande att genomföra. Utgående från remissvaren bedömdes det att regleringens konsekvenser kan vara oförutsebara och regleringen medföra en onödig regleringsbörda för myndigheterna (RP 145/2022 rd).
Hälso- och sjukvårdstjänsterna är behovsgrundade. Rätten till hälso- och sjukvårdstjänster bestäms i den gällande lagstiftningshelheten och styrs av behovsprincipen. Även tjänsterna inom föregripande hälso- och sjukvård ska kunna styras enligt behovsprincipen till dem som behöver dem mest. Det är med inga resurser möjligt att tillhandahålla sådana tjänster inom föregripande hälso- och sjukvård som ger varje individ tillgång till samma tjänster oberoende av hans eller hennes behov och behovsnivå. En person som t.ex. på basis av patientuppgifterna inte hör till riskgruppen för någon viss sjukdom och därmed inte heller till någon viss målgrupp för förebyggande tjänster kan trots detta söka sig via andra kanaler till exempelvis en bedömning av vårdbehovet eller någon annan förebyggande tjänst. Analys av patientuppgifter är bara en av flera metoder för att fastställa behovet av tjänster. Om en person enligt denna behovsmätare inte hör till dem som behöver tjänster kan han eller hon fortsättningsvis söka sig till tjänsterna via andra kanaler.
En kontakt på individuell nivå eller något annat initiativ från hälso- och sjukvården är inte ett avgörande om vårdbehov eller något annat avgörande som skulle få betydande rättsliga följder eller andra motsvarande konsekvenser för individen. Således ansågs det vid beredningen att personer till vilka det t.ex. inte riktas sådana tjänster som avses i denna proposition, inte blir föremål för sådana rättsliga följder eller motsvarande konsekvenser på det sätt som avses i artikel 22 i den allmänna dataskyddsförordningen. Patienter som utifrån befintliga uppgifter inte hör till en målgrupp för föregripande hälso- och sjukvård är inte på individuell nivå föremål för ett sådant beslut eller en sådan rättslig följd som avses i artikel 22 i EU:s allmänna dataskyddsförordning. Den föregripande hälso- och sjukvården begränsar inte deras tjänster och påverkar inte deras möjligheter att kontakta hälso- och sjukvården och få genomgå en bedömning av vårdbehov eller över huvud taget deras möjlighet att få kvalitetsmässigt jämlik vård såsom alla andra.
Artikel 22 i dataskyddsförordningen kan anses bygga på principen att tekniken stöder men inte ersätter människan. Denna samma princip uttrycks i kriterierna för den profilering som avses i förordningen, vilka i sista hand hör till den personuppgiftsansvariges ansvar. Denna princip samt säkerställandet av människokontroll har beaktats i denna proposition. Genom analys av patientuppgifter och verktyg som utnyttjar detta skapas i första hand information till stöd för de yrkesutbildade inom hälso- och sjukvården. Med denna information kan de yrkesutbildade t.ex. rikta hälsoundersökningar på basis av hälsorisker, förutse individers servicebehov eller upptäcka fall där patientens vård inte motsvarar rekommendationerna. Alla beslut som gäller kontakt till patienten eller patientens vård fattas alltid av en yrkesutbildad person inom hälso- och sjukvården. Det informationsunderlag som skapas med hjälp av patientuppgifter och teknik stöder denna uppgift och säkerställer samtidigt att resurserna inom hälso- och sjukvården kan allokeras effektivare och enligt behov.
I den aktuella propositionen föreslås det inte att det ska föreskrivas om en rättsgrund för automatiserade beslut som avses i artikel 22 i dataskyddsförordningen. I samband med beredningen ansågs det ändå vara behövligt att bedöma den föreslagna regleringen i förhållande till automatiserat beslutsfattande. I detta sammanhang ansågs det att de tjänster som hör till den samlade föregripande hälso- och sjukvården och behandlingen av patientuppgifter i anslutning till dessa kan genomföras på ett människokontrollerat sätt enligt det utgångsläge som fastställs i den allmänna dataskyddsförordningen. Det står dock klart att det i tjänsterna inom föregripande hälso- och sjukvård, beroende på tekniken och de beslut som fattas, kan uppkomma också sådana automatiserade beslut som avses i EU:s allmänna dataskyddsförordning, varvid de kriterier som anges i artikel 22 ska beaktas i genomförandet.
I de föregripande tjänsterna är det dock möjligt att utnyttja patientuppgifter på flera olika sätt, och den slutliga bedömningen av om det t.ex. är fråga om profilering eller automatiserat beslutsfattande ska alltid göras från fall till fall med hänsyn till exempelvis de aktuella patientuppgifterna, den teknik som utnyttjas och de sätt på vilka personuppgifterna behandlas. I den bedömning som ska göras på lagberedningsnivå kan man inte utesluta det faktum att vissa behandlingsåtgärder kan leda t.ex. till sådana automatiserade beslut som avses i förordningen. Det är inte heller ändamålsenligt att på lagnivå förbjuda denna typ av automatisering, om den personuppgiftsansvariga genomför automatiseringen så att kraven enligt EU:s allmänna dataskyddsförordning uppfylls. I sådana situationer är den personuppgiftsansvariga skyldig att vidta de skyddsåtgärder som avses i dataskyddsförordningen och se till att den automatiserade behandlingen uppfyller kraven i förordningen. Med tanke på den registrerades rättigheter är det ändamålsenligt att varje personuppgiftsansvarig innan patientuppgifter behandlas och teknik utnyttjas inom de föregripande tjänsterna i det egna området bedömer om det är fråga om automatiserat beslutsfattande eller inte, t.ex. i samband med den konsekvensbedömning avseende dataskydd som avses i EU:s allmänna dataskyddsförordning. På så sätt säkerställs det att den registrerades rättigheter tryggas på ett ändamålsenligt sätt som motsvarar de planerade behandlingsåtgärderna och de anknytande tjänsterna.
Välfärdsområdet eller någon annan organiseringsansvarig aktör ansvarar själv för valet av tekniska lösningar som ska utnyttjas i dessa uppgifter. Även kriterierna för behandling av patientuppgifter i dataskyddsförordningen och hur de uppfylls hör i sista hand till den personuppgiftsansvarigas ansvar. Personuppgiftsansvariga är redan i nuläget skyldiga att göra en konsekvensbedömning avseende dataskydd på grundval av artikel 35 i förordningen. I artikel 35 konstateras det att om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige före behandlingen utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter. En enda bedömning kan omfatta en serie liknande behandlingar som medför liknande höga risker. Eftersom välfärdsområdena själva väljer den teknik de ska utnyttja och bestämmer närmare i vilka uppgifter den ska utnyttjas får denna konsekvensbedömning en accentuerad roll med tanke på den registrerades rättigheter.
De risker som den i dataskyddsförordningen avsedda profileringen är förknippad med ska beaktas när det inom välfärdsområdet fattas beslut om med vilken teknik uppgifterna inom föregripande hälso- och sjukvård ska genomföras och vilken typ av tjänster som ska tillhandahållas. Välfärdsområdet är skyldigt att i samband med konsekvensbedömningen avseende dataskydd enligt artikel 35 också bedöma individens övriga rättigheter förutom skyddet för personuppgifter. Det kan således bli aktuellt att i konsekvensbedömningen avseende dataskydd beakta t.ex. jämlikheten och de risker för diskriminering som behandlingsåtgärderna medför.
Vidare ansågs det vid beredningen att den analys av patientuppgifter som möjliggörs genom den föreslagna regleringen ändå är betydande med tanke på individens rättigheter i det avseendet att de specialvillkor som den kräver, såsom reglering av åtkomsträttigheter, ska beaktas och bedömas i lagberedningen. Det gäller t.ex. att se till att uppgiftsbehandlingen avgränsas till enbart nödvändiga uppgifter även inom den föregripande hälso- och sjukvården. Dessutom beaktar den totalreviderade kunduppgiftslagen i omfattande grad den registrerades rättigheter och, på det sätt som EU:s allmänna dataskyddsförordning kräver, skyddsåtgärderna. Dessa ska beaktas också vid den behandling av patientuppgifter som avses i denna proposition. I samband med sådan profilering som avses i dataskyddsförordningen är det t.ex. nödvändigt att säkerställa att behandlingen sker korrekt och transparent med hänsyn till exempelvis ett färskt avgörande av EU-domstolen (mål C-203/22). Korrigering av faktorer som leder till felaktiga personuppgifter ska säkerställas och den övriga risken för fel ska minimeras. Dessutom ska alla risker som påverkar den registrerades intressen och rättigheter minimeras och diskriminering av fysiska personer ska förhindras.
Åtkomsträttigheter till patientuppgifter
Bestämmelserna om åtkomsträttigheter i kunduppgiftslagen är en av skyddsåtgärderna för att säkerställa behörig behandling av uppgifter som avses i artikel 6.3 i dataskyddsförordningen (RP 246/2022 rd, s. 74). Genom bestämmelserna om åtkomsträttigheter säkerställs det t.ex. att personuppgifter i standardfallet inte utan den enskildes medverkan görs tillgängliga för ett obegränsat antal fysiska personer. Enligt 9 § ska rätten att använda kunduppgifter grunda sig på de arbetsuppgifter som en yrkesutbildad person inom social- eller hälsovården eller någon annan som behandlar kunduppgifter sköter och de tjänster som denna person tillhandahåller, så att personen har rätt att använda endast de nödvändiga kunduppgifter som personen behöver i sina arbetsuppgifter. Behandlingen av kunduppgifter ska grunda sig på en datatekniskt säkerställd kund- eller vårdrelation eller någon annan uppgift som anknyter till ordnandet och tillhandahållandet av kundens social- och hälsovårdstjänster.
Bestämmelserna om åtkomsträttigheter är en betydande skyddsåtgärd som bidrar till att säkerställa både patientuppgifternas konfidentialitet och en behandling som begränsar sig till enbart nödvändiga uppgifter. Samtidigt säkerställs bl.a. att informationssystemen byggs upp så att de yrkesutbildade har begränsade åtkomsträttigheter till uppgifterna i systemet. På så sätt är åtkomsträttigheten i regel bunden till en vårdrelation, eftersom detta kan säkerställas på teknisk väg i systemet. Dessutom gäller det att beakta 9 § 3 mom. i kunduppgiftslagen, enligt vilket tjänstetillhandahållare och apotek ska specificera vilka nödvändiga kunduppgifter yrkesutbildade personer inom social- och hälsovården och andra personer som behandlar kunduppgifter har rätt att använda. Tjänstetillhandahållare och apotek ska föra register över dem som vid behandlingen av kunduppgifter använder tjänstetillhandahållarens eller apotekets informationssystem och kundregister samt över deras rätt att använda kunduppgifter.
I denna proposition föreslås det inte att de gällande bestämmelserna om åtkomsträttigheter ska strykas, eftersom de alltjämt utgör en betydande del av behandlingen av kunduppgifter som helhet. Huvudregeln i de gällande bestämmelserna om åtkomsträttigheter, dvs. att behandlingen är bunden till en vårdrelation, fortsätter att gälla. Genom de föreslagna bestämmelserna blir det möjligt att åtkomsträttigheter till patientuppgifter och en grund för behandling av dessa föreligger vid tillhandahållande av hälso- och sjukvårdstjänster enligt lagen även när det finns ett behov av att tillhandahålla tjänster i ett mer föregripande skede och det är oklart om en vårdrelation existerar. En sådan situation kan uppkomma t.ex. vid långtidsvård.
Åtkomsträttigheterna enligt den föreslagna regleringen är avgränsade i det avseendet att tjänstetillhandahållaren på förhand ska fastställa den uppgift i skötseln av vilken en yrkesutbildad person behandlar patientuppgifter på det sätt som avses i den föreslagna regleringen. Rätt att behandla uppgifter har en sådan yrkesutbildad person som uttryckligen sköter dessa uppgifter. Patientuppgifterna behandlas för deras primära användningsändamål i samband med vården av patienten, och uppgiftsbehandlingen bygger alltid på antingen en gällande vårdrelation, en tidigare vårdkontakt som avses i lagen eller vård som anses ha inletts på något annat sätt.
Konsekvensbedömning avseende dataskydd enligt artikel 35 i EU:s allmänna dataskyddsförordning
Vid bedömningen av den aktuella propositionens konsekvenser för dataskyddet ska uppmärksamhet fästas för det första vid den ändring som föreslås i bestämmelserna om åtkomsträttigheter i kunduppgiftslagen och bedömningen av denna. För det andra ska den föreslagna regleringen bedömas i förhållande till den profilering och det automatiserade beslutsfattande som avses i EU:s allmänna dataskyddsförordning. Den bedömning som görs i samband med lagberedningen är dock begränsad, och den bedömningen kan inte ersätta den personuppgiftsansvarigas skyldighet att göra en sådan konsekvensbedömning avseende dataskydd som avses i artikel 35 i EU:s allmänna dataskyddsförordning. Betydelsen av den konsekvensbedömning som avses i artikel 35 i förordningen framhävs i samband med denna proposition t.ex. av den anledningen att de bestämmelser som föreslås inte möjliggör en viss teknik. Tjänstetillhandahållaren ska således noggrant ge akt på den konsekvensbedömning avseende dataskydd som förutsätts i artikel 35 i förordningen innan patientuppgifter börjar behandlas i uppgifter enligt denna proposition. Personuppgiftsansvariga kan göra en mer detaljerad och exakt riskbedömning när de vet t.ex. vilken teknik som kommer att utnyttjas. I samband med lagberedningen är det endast möjligt att göra en bedömning på allmän nivå.
I samband med beredningen ansågs det vara motiverat att göra den konsekvensbedömning avseende dataskydd som avses i artikel 35 i EU:s allmänna dataskyddsförordning först i samband med införandet av en elektronisk hälsoenkät. Således ska även den slutliga bedömningen, som görs på basis av de uppgifter som finns i samband med införandet och som också gäller tillämpligheten av artikel 22, genomföras i samband med införandet. I samband med införandet finns alla uppgifter att tillgå även om det tekniska genomförandet, varför det är motiverat också med tanke på skyddet av den registrerades rättigheter att göra bedömningen först inför de faktiska behandlingsåtgärderna. Utvecklingen av det tekniska genomförandet den elektroniska hälsoenkäten har inte slutförts under lagberedningsprocessen, och det slutliga genomförandet säkerställs först i ett senare skede. Därför är det motiverat att genomföra den konsekvensbedömning som avses i dataskyddsförordningen först i ett senare skede. Varje personuppgiftsansvarig ansvarar själv för att fullgöra sin skyldighet att genomföra konsekvensbedömningen. I konsekvensbedömningen bedöms på ett övergripande sätt alla risker som hänför sig till en fysisk persons rättigheter och skyldigheter. Det är således inte enbart fråga om skyddet för personuppgifter och den rätt som anknyter till detta, utan det handlar också om individens övriga rättigheter. Med tanke på att genomförandet av enkäten fortfarande pågår är det i syfte att trygga individens rättigheter motiverat att göra konsekvensbedömningen i ett senare skede, när alla uppgifter som behövs för bedömningen finns att tillgå. I samband med beredningen bedömdes också dataskyddskonsekvenser som, enligt vad som nu föreslås, anknyter till överlåtelser av uppgifter som avses i 15 och 15 a § i hälso- och sjukvårdslagen. De tidigare bestämmelserna på förordningsnivå om behandling av personuppgifter lyfts nu upp till lagnivå, vilket är motiverat med tanke på skyddet för personuppgifter. Detta förtydligar också den i bestämmelserna avsedda ställningen för en bedömning som uppgjorts inom småbarnspedagogiken, i förskoleundervisningen eller i en skola. I den reglering som nu föreslås ingår förutom en bedömning som uppgjorts i samarbete med vårdnadshavaren eller någon annan laglig företrädare även en möjlighet för hälso- och sjukvården att, trots sekretessbestämmelserna, begära en bedömning av en lärare när detta är nödvändigt.