Utgångspunkter för bedömningen
(1) I propositionen föreslås flera centrala ändringar i lagen om sekundär användning av personuppgifter inom social- och hälsovården (nedan lagen om sekundär användning) och i lagar som har samband med den. Ändringsförslagen gäller behandlingen av dataanvändningstillstånd, begäran om information och datamaterial, det internationella forskningssamarbetet, avgifterna för sekundär användning, anonymiseringen av datamaterial och resultat samt förhållandet mellan lagen om sekundär användning och kliniska prövningar.
(2) Den föreslagna regleringen är betydelsefull med avseende på skyddet för privatlivet och för personuppgifter i 10 § i grundlagen. Med avseende på 10 § 1 mom. i grundlagen räcker det enligt grundlagsutskottet i princip med att bestämmelserna uppfyller kraven i EU:s allmänna dataskyddsförordning. Enligt utskottet bör skyddet för personuppgifter i första hand tillgodoses utifrån den allmänna dataskyddsförordningen och den allmänna lagstiftningen på nationell nivå. Vi bör förhålla oss restriktivt när det gäller att införa nationell speciallagstiftning. Sådan lagstiftning bör vara avgränsad till nödvändiga bestämmelser inom ramen för det nationella handlingsutrymme som dataskyddsförordningen medger (se GrUU 14/2018 rd, s. 5).
(3) Grundlagsutskottet ser det dock som klart att behovet av speciallagstiftning i enlighet med det riskbaserade synsätt som också dataskyddsförordningen kräver måste bedömas utifrån de hot och risker som behandlingen av personuppgifter orsakar. Ju större risk fysiska personers rättigheter och friheter utsätts för på grund av behandlingen, desto mer motiverat är det med mer detaljerade bestämmelser. Denna omständighet är av särskild betydelse när det gäller behandling av känsliga uppgifter (se GrUU 14/2018 rd, s. 5).
(4) Lagen om sekundär användning innehåller enligt propositionsmotiven (s. 26) nödvändiga bestämmelser som kompletterar dataskyddsförordningen och dataskyddslagen. Bestämmelserna i lagen om sekundär användning fungerar som de skyddsåtgärder som dataskyddsförordningen förutsätter för att säkerställa de registrerades grundläggande rättigheter och intressen. Grundlagsutskottet har till denna del ingenting att invända mot innehållet i de föreslagna bestämmelserna.
Fastställande av behörig myndighet
(5) Det föreslås att det till lagen om sekundär användning fogas en ny 6 a § om behörighet för behandling av dataanvändningstillstånd, en ny 6 b § om behörighet för behandling av begäranden om information och en ny 6 c § om överföring av behörighet för behandling av dataanvändningstillstånd och begäranden om information. Till 51 § i lagen om sekundär användning fogas enligt propositionen ett nytt 2 mom. där det föreskrivs att om tillståndsansökan eller begäran om information gäller flera organisationers uppgifter och varje organisation som avses i 6 § har beviljat dataanvändningstillstånd eller fattat beslut om begäran om information i fråga om sitt eget datamaterial, kan organisationerna i fråga besluta att antingen Tillståndsmyndigheten eller någon av de organisationer som avses i 6 § 2, 3, 5, 7 eller 8 punkten och som är föremål för tillståndsansökan eller begäran om information ska sammanställa datamaterialet. Om organisationerna inte når samförstånd om vilken organisation som ska sammanställa datamaterialet, sammanställs det av Tillståndsmyndigheten.
(6) Grundlagsutskottet har ansett att det inte är adekvat i konstitutionellt hänseende att från en myndighet till en annan genom avtal överföra en behörighet som riktas mot den enskilde och som omfattar offentlig makt (se t.ex. GrUU 11/2004 rd, s. 2/II, GrUU 35/2008 rd, s. 2/I, GrUU 4/2013 rd, s. 5/I). En obegränsad delegering av uppgifter från en myndighet till en annan är problematisk också med tanke på rättsskyddet (GrUU 52/2001 rd, s. 5/I, GrUU 14/2003 rd, s. 3/I, GrUU 17/2004 rd, s. 2/I).
(7) Inte minst i samband med bestämmelser som har kopplingar till de grundläggande fri- och rättigheterna har utskottet ansett det nödvändigt att den behöriga myndigheten entydigt framgår av lagen eller annars exakt eller att åtminstone principerna för myndigheternas behörighetsförhållanden och villkoren för delegering av behörighet framgår tillräckligt exakt av lagen (GrUU 70/2018 rd, s. 5, GrUU 32/2012 rd, s. 5, GrUU 2/2012 rd, s. 3, och GrUU 21/2009 rd, s. 4). Grundlagsutskottet anser att den föreslagna regleringen i sig uppfyller de minimikrav som utskottet ställt upp i sin praxis. Utskottet noterar dock att de föreslagna bestämmelserna om behörighet och överföring av behörighet är tämligen svårbegripliga. Social- och hälsovårdsutskottet bör precisera den föreslagna regleringen.