Utgångspunkter för bedömningen
(1) I propositionen föreslås det att biobankslagen ändas på det sätt som EU:s dataskyddsförordning förutsätter. Dessutom föreslås det tekniska korrigeringar som beror på annan gällande lagstiftning.
(2) Biobankslagen har kommit till med grundlagsutskottets medverkan (GrUU 10/2012 rd). Grundlagsutskottet bedömde då att den uppgift som föreskrivs biobanken och som gäller tjänster för forskare och forskargrupper har ett nära samband med grundlagens 16 § 3 mom. om vetenskapens frihet och indirekt också med 19 § 3 mom. om skyldigheten för det allmänna att främja befolkningens hälsa. Utskottet fäste också uppmärksamhet vid att de prover som förvaras i biobankerna i regel samlas in med samtycke av den på vilken prov tagits, vilket syftar till att trygga individens självbestämmanderätt som är bunden till flera bestämmelser i grundlagen.
(3) Enligt den bedömning som grundlagsutskottet då lade fram är det i samband med lagstiftning av denna typ viktigt att eftersträva bästa möjliga balans mellan dessa grundläggande fri- och rättigheter. Grundlagsutskottet vill att man ser på de grundläggande fri- och rättigheterna och de mänskliga rättigheterna utgående från bland annat principen i artikel 2 i Europarådets konvention om skyddet av de mänskliga rättigheterna och människovärdet i relation till biologi och medicin (nedan biomedicinkonventionen), där det sägs att människans intresse och välfärd ska gå före samhällets eller vetenskapens egna intressen (se också GrUU 20/2009 rd, s. 3/I). Enligt utskottet var den reglering som då föreslogs av betydelse med tanke på individens självbestämmanderätt. Självbestämmanderätten är enligt utskottet förankrad i flera grundläggande fri- och rättigheter, inte minst grundlagens 7 § om personlig frihet och integritet och 10 § om skydd för privatlivet (GrUU 4/2021 rd, RP 309/1993 rd, s. 50/I, GrUU 59/2002 rd, s. 3/II, GrUU 17/2006 rd, s. 2—3, GrUU 24/2010 rd, s. 3/I). Utskottet bedömde den regleringen också med avseende på skyddet för personuppgifter.
(4) Den nu aktuella propositionens konstitutionella betydelse hänför sig särskilt till ändringen av grunden för behandling av personuppgifter inom biobanksverksamheten. Förslaget är betydelsefullt med avseende på skyddet för privatlivet och personuppgifter i 10 § i grundlagen. Regleringen är av betydelse också med avseende på EU:s stadga om de grundläggande rättigheterna. Artikel 7 i Europeiska unionens stadga om de grundläggande rättigheterna tryggar skyddet för privatlivet och artikel 8 tillförsäkrar var och en rätt till skydd för personuppgifter. Viktig med avseende på skyddet för personuppgifter är enligt utskottet också rätten att bestämma över information om sig själv (se t.ex. GrUU 4/2021 rd, GrUU 23/2020 rd, s. 9, GrUU 2/2018 rd, s. 8).
(5) Med avseende på 10 § 1 mom. i grundlagen räcker det enligt grundlagsutskottet i princip med att bestämmelserna uppfyller kraven i EU:s allmänna dataskyddsförordning. Enligt utskottet bör skyddet för personuppgifter i första hand tillgodoses utifrån den allmänna dataskyddsförordningen och den allmänna lagstiftningen på nationell nivå. Vi bör alltså förhålla oss restriktivt till att införa nationell speciallagstiftning. Sådan lagstiftning bör vara avgränsad till nödvändiga bestämmelser inom ramen för det nationella handlingsutrymme som dataskyddsförordningen medger (se GrUU 14/2018 rd, s. 5).
(6) Grundlagsutskottet ser det dock som klart att behovet av speciallagstiftning i enlighet med det riskbaserade synsätt som också dataskyddsförordningen kräver måste bedömas utifrån de hot och risker som behandlingen av personuppgifter orsakar. Ju större risk fysiska personers rättigheter och friheter utsätts för på grund av behandlingen, desto mer motiverat är det med mer detaljerade bestämmelser. Denna omständighet är av särskild betydelse när det gäller behandling av känsliga uppgifter (se GrUU 14/2018 rd, s. 5).
(7) Grundlagsutskottet har särskilt påpekat att inskränkningar i skyddet för privatlivet måste bedömas utifrån de allmänna villkoren för inskränkningar av de grundläggande fri- och rättigheterna (se GrUU 42/2016 rd, s. 2—3 och de utlåtanden som nämns där). Lagstiftarens handlingsutrymme i synnerhet i fråga om behandling av känsliga personuppgifter begränsas av att skyddet för personuppgifter delvis omfattas av skyddet för privatlivet, som garanteras i samma moment i grundlagens 10 §. Lagstiftaren ska tillgodose denna rätt på ett sätt som är godtagbart med avseende på de samlade grundläggande fri- och rättigheterna. Utskottet har ansett att särskilt tillåtande av behandling av känsliga uppgifter berör själva kärnan i skyddet för personuppgifter (GrUU 37/2013 rd, s. 2/II), vilket innebär att inrättandet av register med sådana uppgifter måste bedömas mot villkoren för inskränkningar i de grundläggande fri- och rättigheterna, särskilt lagstiftningens acceptabilitet och proportionalitet (se GrUU 29/2016 rd och t.ex. GrUU 21/2012 rd, GrUU 47/2010 rd och GrUU 14/2009 rd). I sina analyser av omfattning, exakthet och innehåll i lagstiftning om rätten att få och lämna ut uppgifter trots sekretess har utskottet lagt vikt vid att de uppgifter som lämnas ut är av känslig art (se t.ex. GrUU 38/2016 rd, s. 3).
(8) I propositionsmotiven (s. 7) hänvisas det till att uppgifter som härletts ur biologiska prov i skäl 35 i EU:s dataskyddsförordning definieras som personuppgifter om hälsa. Uppgifter om hälsa hör till de särskilda kategorier av personuppgifter som avses i artikel 9 i dataskyddsförordningen. Behandling av sådana uppgifter är enligt huvudregeln i artikel 9.1 förbjuden. Enligt artikel 2.2 ska punkt 1 dock inte tillämpas, om någon av förutsättningarna i punkt 2 led a—j uppfylls. Personuppgifter som hör till de särskilda kategorierna av personuppgifter får behandlas bland annat med den aktuella personens uttryckliga samtycke (led a).
(9) Grundlagsutskottet har lyft fram riskerna med behandlingen av känsliga uppgifter. Utskottet anser att omfattande databaser med känsliga uppgifter medför allvarliga risker för informationssäkerheten och missbruk av uppgifter. Riskerna kan i sista hand utgöra ett hot mot personers identitet (se GrUU 13/2016 rd och GrUU 14/2009 rd, s. 3/I). Även i skäl 51 i den allmänna dataskyddsförordningen framhålls det att särskilda personuppgifter som avses i artikel 9 i förordningen och som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheter och friheter bör åtnjuta särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för de grundläggande rättigheterna och friheterna. Utskottet har därför särskilt påpekat att det bör finnas exakta och noga avgränsade bestämmelser om att det är tillåtet att behandla känsliga uppgifter bara om det är absolut nödvändigt, och bestämmelserna om behandling av känsliga uppgifter måste vara detaljerade och omfattande, inom de ramar som dataskyddsförordningen tillåter (GrUU 65/2018 rd, s. 45, och GrUU 15/2018 rd, s. 40).
(10) Behovet av bestämmelser som är mer detaljerade än bestämmelserna i EU:s dataskyddsförordning bör dock motiveras i varje enskilt fall, också inom ramen för förordningen. Då bör också det riskbaserade synsättet i förordningen vägas in. Utskottet har framhållit att även lagstiftningen om behandling av känsliga personuppgifter bör vara så tydlig och begriplig som möjligt (GrUU 14/2018 rd, s. 6).
(11) Grundlagsutskottet har inte inom ramen för sin konstitutionella uppgift gjort någon heltäckande bedömning av förhållandet mellan den föreslagna regleringen och EU:s dataskyddsförordning. Social- och hälsovårdsutskottet bör noggrant försäkra sig om att regleringen är förenlig med EU:s dataskyddsförordning och fästa särskild uppmärksamhet vid de valda behandlingsprincipernas betydelse för den registrerades rättigheter och skyddsåtgärderna vid behandlingen samt vid den föreslagna bestämmelsen om behandling av så kallade gamla prover som samlats in under den gällande lagens giltighetstid. Enligt grundlagsutskottets uppfattning ska skyddsåtgärderna enligt EU:s dataskyddsförordning också de facto skydda den registrerades rättigheter och friheter på ett tillräckligt effektivt sätt. Grundlagsutskottet beklagar att motiveringen till propositionen rentav ger en motstridig bild av hur lämplig och viktig artikel 89 i dataskyddsförordningen är.
Samtycke
(12) Behandlingen av personuppgifter grundar sig enligt den gällande biobankslagen på samtycke. I det lagförslag som nu utvärderas begränsas samtyckets räckvidd till egentlig provtagning. Bestämmelser om behandling av prover i biobanker föreslås separat i den nya 11 a §. Bestämmelserna om samtycke motiveras i propositionen (s. 13) bland annat med dess betydelse som ett sådant förhandsvillkor för provtagning som stärker provgivarens självbestämmanderätt och som avses i artikel 5 i biomedicinkonventionen.
(13) En förutsättning för insamling av prover och för utlämnande av prover och tillhörande uppgifter till en biobank är enligt den föreslagna 11 § fortfarande att personen i fråga har gett ett frivilligt och informerat skriftligt samtycke. Bestämmelser om den information som ska ges en person innan samtycke ges finns i 11 § 4 mom. Enligt det ska personen ges tillräcklig information om biobanksverksamhetens natur, eventuella risker och olägenheter, syftet med insamlingen och förvaringen av prover, provernas ägare och den biobank som förvarar proverna, frivilligheten vid givande av samtycke och möjligheten att återkalla samtycket utan negativa följder och rätten att göra invändningar mot behandlingen av uppgifterna i enlighet med artikel 21 i den allmänna dataskyddsförordningen.
(14) Grundlagsutskottet har vid bedömningen av den gällande regleringen (GrUU 10/2012 rd) fäst särskild uppmärksamhet vid att samtycket ska grunda sig på tillräcklig information om syftet med proverna och andra omständigheter med relevans för skydd av provgivarens privatliv. Enligt utskottet är det vidare nödvändigt att den som ger sitt samtycke ska kunna begränsa samtycket och återkalla det, om han eller hon så önskar.
(15) Enligt grundlagsutskottet kan också behandlingen av känsliga hälsouppgifter i ett sådant regleringssammanhang grunda sig på samtycke. Samtycke undanröjer dock inte behovet av att, i synnerhet i den nu aktuella typen av sammanhang med nära koppling till de grundläggande fri- och rättigheterna och de mänskliga rättigheterna, säkerställa att regleringen i sin helhet skapar tillräckliga förutsättningar för ett faktiskt skydd av känsliga personuppgifter och av rätten att bestämma över sina uppgifter (GrUU 20/2020 rd, s. 6). Bestämmelserna om samtycke måste därför uppfylla vissa villkor. Samtycket ska grunda sig till på tillräcklig information (se även t.ex. GrUU 23/2020 rd, s. 4—5), det ska vara frivilligt och det ska också kunna återkallas. Bestämmelser om sättet att ge samtycke ska utfärdas i lag. Den direkt tillämpliga regleringen i EU:s dataskyddsförordning uppfyller dessa krav.
(16) Enligt 12 § om återkallande av samtycke har en person rätt att när som helst innan ett prov samlas in återkalla ett samtycke som avses i 11 §. Enligt 11 § i lagförslaget krävs det dock inte bara samtycke av en person för insamling av ett prov, utan också för att lämna ut provet och tillhörande uppgifter till en biobank krävs ett frivilligt och informerat samtycke av personen i fråga. Rätten att återkalla är tidsmässigt snävare i 12 §. Den föreslagna bestämmelsen i 12 § motiveras (s. 27) med att när samtycket uttryckligen gäller en intervention som utgör en förutsättning för insamling av biobanksprover ska samtycket kunna återkallas tills denna åtgärd genomförs. Återkallelsen av samtycket efter den intervention som är föremål för samtycket har enligt motiven då ingen effekt, eftersom åtgärden de facto inte kan återkallas. Utskottet påpekar dock att detta inte kan motivera att ett samtycke som berättigar till att ett prov och tillhörande uppgifter lämnas ut till en biobank inte omfattas av rätten att återkalla tillståndet. Utskottet anser dessutom att det är relativt oklart hur bestämmelserna om utlämnande av personuppgifter ska tillämpas inom ramen för bestämmelserna om samtycke i EU:s dataskyddsförordning.
(17) Bestämmelserna i 12 § om rätten till återkallelse som tryggar självbestämmanderätten måste ändras. En ändring av bestämmelserna inom de ramar som EU:s dataskyddsförordning tillåter är en förutsättning för att lagförslaget ska kunna behandlas i vanlig lagstiftningsordning. Regleringen kan ändras exempelvis så att återkallelse av samtycke i fråga om utlämnande har effektiva rättsverkningar fram till utlämnandet av prover och uppgifter. Alternativt måste bestämmelserna i 11 § 4 mom. ändras så att det av dem framgår att också den som ger samtycke ska ges tillräcklig information om tidsbegränsningen av rätten att återkalla.
Behandling av personuppgifter i biobanker
(18) I 11 a § i lagförslaget sägs att i en biobank får personuppgifter behandlas med stöd av artiklarna 6.1 e och 9.2 i den allmänna dataskyddsförordningen, om behandlingen är nödvändig för fullgörande av uppgifterna enligt 5 §. Utskottet har tidigare bedömt en liknande regleringslösning (GrUU 23/2020 rd, s. 9), där det föreslogs att behandlingen av personuppgifter vid kliniska läkemedelsprövningar och studier om medicinsk utrustning samt i vissa andra medicinska studier ska grunda sig på lag och inte på samtycke, som i sig ges till deltagande i forskningen.
(19) Grundlagsutskottet fäste då uppmärksamhet vid att en återkallelse av samtycket bara får mycket begränsad och delvis rentav skenbar effekt för behandlingen av personuppgifter, också när återkallelsen till exempel beror på att försökspersonen har fått ny information om prövningen eller studien. Utskottet ansåg således att det var fråga om ett stort intrång i den kunskapsbaserade självbestämmanderätten och att bestämmelserna följaktligen bör bedömas mot de allmänna principerna för restriktioner i de grundläggande fri- och rättigheterna. Grundlagsutskottet fäste emellertid också uppmärksamhet vid att för att säkerställa sammanhållna och tillförlitliga resultat inom medicinsk forskning kunde det av tungt vägande skäl och med avseende på de grundläggande fri- och rättigheterna vara befogat att inskränka självbestämmanderätten. Det målet har enligt utskottet ett nära samband med grundlagens 16 § 3 mom. om vetenskapens frihet och indirekt också med 19 § 3 mom. om skyldigheten för det allmänna att främja befolkningens hälsa (GrUU 23/2020 rd, s. 8, se också GrUU 48/2014 rd, s. 3/I).
(20) Grundlagsutskottet bedömde då att det för den undersöktes del är ett centralt krav att han eller hon när samtycket gavs har varit medveten om att ett eventuellt framtida återkallande inte har någon inverkan på behandlingen av uppgifter som samlats in före det, vilket gör det möjligt för personen att redan vid prövningen av om samtycke till undersökningen ska ges bedöma om han eller hon vill ge sitt samtycke, trots att en återkallelse hade inskränkta rättsverkningar på behandlingen av personuppgifter. Med beaktande också av direkt tillämplig EU-lagstiftning hade utskottet då inget att anmärka på regleringen som helhet (GrUU 23/2020 rd, s. 9).
(21) Grundlagsutskottet anser också att det i fråga om den aktuella propositionen är av betydelse att till den del som grunden för behandlingen enligt förslaget inte längre är den registrerades samtycke, kan den registrerade inte genom att återkalla sitt samtycke förhindra att personuppgifter behandlas. I propositionen redogörs för den registrerades rättigheter enligt EU:s dataskyddsförordning. Utskottet noterar att dessa rättigheter inte heller enligt propositionsmotiven har samma rättsverkningar som återkallelse av samtycke. Det sägs exempelvis i motiven (s. 14) att på den registrerades rätt att få sina personuppgifter raderade av den personuppgiftsansvarige i enlighet med artikel 17 i den allmänna dataskyddsförordningen tillämpas grunderna för undantag i artikel 17.3 b, c och d. Enligt de nämnda leden till artikel 17.3 i förordningen ska den registrerades rätt till radering dock inte tillämpas, om behandlingen sker för utförande av en uppgift av allmänt intresse, för skäl som rör ett viktigt allmänt intresse på folkhälsoområdet enligt artikel 9.2 i och för vetenskapliga eller historiska forskningsändamål av allmänt intresse enligt artikel 89.1, om rätten till radering sannolikt kommer att medföra att behandlingen i fråga omöjliggörs eller avsevärt försvåras. Rätten till radering ska alltså enligt motiven i regel inte tillämpas.
(22) Grundlagsutskottet anser att regleringen utgör en betydande begränsning av provgivarens självbestämmanderätt. Begränsningen motiveras (s. 37) bland annat med att det eftersträvade målet med behandlingen av personuppgifter enligt biobankslagen är att stödja biobanksforskningen och därmed främja forskning som förbättrar patienternas hälsa och folkhälsan samt utvecklingen av läkemedel och medicintekniska produkter. Enligt grundlagsutskottets praxis i samband med stiftandet av biobankslagen har denna uppgift ett nära samband med grundlagens 16 § 3 mom. om vetenskapens frihet och indirekt också med 19 § 3 mom. om skyldigheten för det allmänna att främja befolkningens hälsa (GrUU 10/2012 rd, s. 3). Utskottet upprepar denna bedömning.
(23) Grundlagsutskottet anser dock att lagförslaget till denna del måste kompletteras och preciseras inom ramen för EU:s dataskyddsförordning så att den bättre tryggar självbestämmanderätten. Det är ett villkor för att lagförslaget ska kunna behandlas i vanlig lagstiftningsordning. Lagförslaget kan ändras exempelvis så att det av 11 § 4 mom. också framgår att den registrerade har rätt att få tillräckliga uppgifter om området för samtycket och om att behandlingen av personuppgifter i en biobank i fortsättningen sker oberoende av samtycke. Alternativt måste regleringen innehålla till exempel den allmänna rätten att förbjuda behandling av personuppgifter, som föreskrivs som en skyddsåtgärd. En sådan komplettering och precisering av regleringen måste också omfatta bestämmelserna i 14 och 26 § i lagförslaget om betydelsen av det godkännande som ska regleras som en skyddsåtgärd.