2.4.1  Bestämmelser om behandlingen av personuppgifter

Den allmänna dataskyddsförordningen ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan än automatisk behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Med personuppgift avses återigen varje upplysning som avser en identifierad eller identifierbar fysisk person. Den allmänna dataskyddsförordningen tillämpas dock inte på uppgifter om avlidna personer, utan medlemsstaterna kan enligt skäl 27 i ingressen till förordningen fastställa bestämmelser om behandling av personuppgifter om avlidna personer, och till dessa delar har den nationella lagstiftaren bedömningsmarginal, utifrån vilken möjligheterna att använda biobanksprover kan bedömas. I fråga om genomdata kan uppgifter om avlidna också innehålla information om deras levande släktingar, vilket kan innebära att dataskyddsbestämmelserna fortfarande måste beaktas i samband med behandlingen av uppgifter. 

I artikel 5 i den allmänna dataskyddsförordningen anges principer för behandling av personuppgifter. Personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Omständigheter som ska beaktas vid bedömningen av hur principerna för dataskydd iakttas är bland annat planeringen av behandlingen, behandlingsgrunderna, informationen till den registrerade samt den registrerades förväntningar. Dessutom ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling av personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål betraktas som förenlig med det ursprungliga användningsändamålet. Detta förutsätter dock att det är samma personuppgiftsansvarige som behandlar personuppgifterna och att samtidigt övriga villkor för behandlingen iakttas, exempelvis de rättsliga och tekniska skyddsåtgärder som gäller behandlingen. 

Personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Dessutom ska personuppgifter vara korrekta och om nödvändigt uppdaterade. Den personuppgiftsansvarige måste vidta alla rimliga åtgärder för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål. 

Personuppgifter ska förvaras endast så länge som det är nödvändigt med tanke på de ändamål för vilka de behandlas. Personuppgifter får lagras under längre perioder om de enbart behandlas för till exempel vetenskapliga ändamål av allmänt intresse, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt den allmänna dataskyddsförordningen har vidtagits för att säkerställa den registrerades rättigheter och friheter. När det utfärdas nationella bestämmelser om behandlingen av personuppgifter ska det sålunda fastställas hur länge personuppgifter ska lagras, när och hur uppgifterna ska avföras ur registret och vad som ska hända med uppgifterna efter avförandet. Enligt den gällande biobankslagen ska behovet av att förvara prover och tillhörande uppgifter bedömas regelbundet, dock minst vart tionde år. Dessutom ska personuppgifter skyddas mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder. 

Den gällande biobankslagen utfärdades innan den allmänna dataskyddsförordningen trädde i kraft. Den allmänna dataskyddsförordningen är en nationellt direkt tillämplig rättsakt, men den harmoniserar inte till alla delar den lagstiftning om skydd av personuppgifter som finns i EU:s medlemsstater. Behandlingen av personuppgifter förutsätter alltid en rättslig grund enligt artikel 6 i den allmänna dataskyddsförordningen. Om en registrerad inte har gett sitt samtycke till att personuppgifter behandlas, ska något av de övriga villkoren i artikel 6.1 i den allmänna dataskyddsförordningen vara uppfyllt. För behandling av uppgifter som hör till särskilda kategorier av personuppgifter, såsom genetiska uppgifter eller hälsouppgifter, ska det finnas en rättslig grund enligt artikel 9.2 i den allmänna dataskyddsförordningen. 

Grunden för behandlingen av personuppgifter ska fastställas antingen i enlighet med unionsrätten eller med den medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av, om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Artikel 6.1 e om utförande av uppgifter av allmänt intresse preciseras nationellt av bland annat 4 § 2 punkten i dataskyddslagen, vars syfte är att säkerställa att det i fråga om den rättsliga grunden för behandling av personuppgifter inom den offentliga sektorn inte finns några luckor. 

Det nationella handlingsutrymme som avses i den allmänna dataskyddsförordningen kan i första hand härledas ur artikel 6.1 c och e i förordningen, och när det gäller särskilda kategorier av personuppgifter omfattas det nationella handlingsutrymmet av artikel 9.2 b, g, h, i och j. I förordningen finns det också artikelspecifika preciseringar som gäller det nationella handlingsutrymmet. I den nationella lagstiftningen är det möjligt att begränsa de rättigheter och skyldigheter som föreskrivs i den allmänna dataskyddsförordningen samt deras tillämpningsområde på det sätt som föreskrivs i artikel 23 och kapitel IX i förordningen. 

2.4.2  Samtycke och dess innehåll

Biobankslagens 11 § utfärdades innan den allmänna dataskyddsförordningen trädde i kraft. Behandlingen av personuppgifter i biobanker grundar sig enligt den gällande biobankslagen på den registrerades samtycke. Enligt paragrafen ska rätten att behandla prover i en biobank grunda sig på samtycke, om inte något annat föreskrivs i denna lag eller någon annanstans i lag. Det samtycke som ingår i biobankslagen omfattar både provtagning och behandling av personuppgifter i biobanksverksamhet. Enligt 11 § 2 mom. i biobankslagen kan en person ge sitt samtycke till att ett prov som tagits eller ska tas från honom eller henne förvaras i en biobank och används i biobanksforskning, till att personuppgifterna lämnas ut, till att registeruppgifter om honom eller henne samkörs och till att prover och uppgifter som han eller hon gett i samband med prover hanteras och behandlas på annat sätt i den omfattning som biobanksforskningen förutsätter. 

Samtycket i biobankslagen har inneburit ett så kallat brett samtycke, eftersom det vid beviljandet av samtycket inte har varit möjligt att exakt specificera i vilken forskning proverna och personuppgifterna kommer att behandlas. Enligt skäl 32 i ingressen till den allmänna dataskyddsförordningen ska samtycket vara frivilligt, specifikt, informerat och otvetydigt. Om det dessutom behandlas uppgifter som hör till särskilda kategorier av personuppgifter enligt artikel 9 i den allmänna dataskyddsförordningen, ska det finnas ett uttryckligt samtycke till behandlingen av uppgifter. Att samtycket är uttryckligt gör det nödvändigt att närmare bedöma om samtycket är en ändamålsenlig grund för behandling av personuppgifter i biobanksverksamhet eller om någon annan grund för behandling enligt artikel 6.1 i den allmänna dataskyddsförordningen är lämpligare. 

Enligt den gällande biobankslagen har en person när som helst rätt att återkalla eller ändra ett samtycke eller att förbjuda användningen av ett prov som avses i 13 § i forskning eller begränsa denna användning, om provet förvaras i biobanken som identifierbart. Anmälan ska vara skriftlig. När ett samtycke återkallas eller ändras eller användningen förbjuds ska den biobanksansvarige underrättas om detta. Den biobanksansvarige ska på begäran ge ett intyg över att anmälan tagits emot och en redogörelse för de åtgärder som återkallelsen av samtycket eller förbudet mot användning av ett prov har lett till. Den viljeyttring som kommit in inverkar inte retroaktivt på den behandling av prov och uppgifter som redan har skett. 

När en biobank har tagit emot en anmälan om att ett samtycke återkallats eller användningen av ett prov förbjudits, får provet och tillhörande uppgifter inte längre användas eller lämnas ut för biobanksforskning. När anmälan gäller en ändring av samtycket eller en begränsning av användningen, får provet och uppgifterna användas eller på annat sätt hanteras eller behandlas endast i enlighet med samtycket. Om det inte är möjligt att använda provet i enlighet med det ändrade samtycket, får provet och tillhörande uppgifter inte längre användas eller lämnas ut för biobanksforskning. 

Forskningsresultat som uppnåtts på basis av prover och tillhörande uppgifter, uppgifter som ingår i dessa resultat och material som skapats av prover och uppgifter innan en anmälan har kommit in får användas med de begränsningar som anges i biobankslagen. 

2.4.3  Den registrerades rättigheter

I artiklarna 12–22 i kapitel III i den allmänna dataskyddsförordningen finns det bestämmelser om den registrerades rättigheter. Tillgodoseendet av de rättigheter som föreskrivs i den förordningen är i viss mån förenat med nationellt handlingsutrymme. Den rättsliga grunden för behandlingen av personuppgifter påverkar de rättigheter den registrerade förfogar över. 

Om behandlingen av personuppgifter grundar sig på samtycke, har den registrerade enligt artikel 7.3 i den allmänna dataskyddsförordningen rätt att när som helst återkalla sitt samtycke. Återkallandet av samtycke ska inte påverka lagligheten av en behandling som utförts utifrån ett samtycke, innan detta återkallades. Det ska vara lika lätt att återkalla som att ge sitt samtycke. 

Enligt artikel 17.1 i den allmänna dataskyddsförordningen har den registrerade rätt att av den personuppgiftsansvarige få sina personuppgifter raderade om något av skälen enligt den förordningen uppfylls. Den personuppgiftsansvarige ska utan onödigt dröjsmål radera uppgifterna om den registrerade återkallar det samtycke som behandlingen grundar sig på i enlighet med artikel 6.1 a eller artikel 9.2 a och det inte finns någon annan laglig grund för behandlingen. Personuppgifter ska också raderas om den registrerade motsätter sig behandling med stöd av artikel 21.1 och det inte finns någon grundad anledning till behandling eller om personuppgifterna har behandlats på olagligt sätt. Användningen av ett samtycke som rättslig grund leder till att personuppgifter om den registrerade ska raderas ur biobanken om den registrerade återkallar sitt samtycke. Uppgifter som redan lämnats ut från en biobank för biobanksforskning får fortfarande behandlas, om något av undantagen enligt artikel 17 är tillämpligt. 

Enligt artikel 17.3 i den allmänna dataskyddsförordningen har en registrerad inte rätt till radering när behandlingen är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt en medlemsstats nationella rätt eller om behandlingen utförs för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som utförs av den personuppgiftsansvarige. Rätten till radering tillämpas inte heller om behandlingen är nödvändig för skäl som rör ett viktigt allmänt intresse på folkhälsoområdet enligt artikel 9.2 h och i samt artikel 9.3. Dessutom ska rätten till radering inte tillämpas om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål enligt artikel 89.1 och rätten till radering sannolikt kommer att omöjliggöra eller avsevärt försvåra sådan behandling. 

Enligt artikel 21 i den allmänna dataskyddsförordningen har den registrerade rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne. Rätten i fråga blir tillämplig när personuppgifter behandlas antingen med stöd av artikel 6.1 e eller f i den allmänna dataskyddsförordningen. Den personuppgiftsansvarige får inte längre behandla personuppgifterna, såvida denne inte kan påvisa sådana tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. 

2.4.4  Den registrerades rätt att få uppgifter

Enligt 39 § 1 mom. i den gällande biobankslagen har var och en rätt att på begäran få veta om en biobank som anmälts till biobanksregistret innehåller prover som gäller personen i fråga, grunden för förvaringen av proverna, varifrån uppgifterna om personen har samlats in samt vart proverna och de tillhörande uppgifterna har lämnats ut eller överförts. För lämnandet av uppgifter får det tas ut en avgift som uppgår till högst ett belopp som motsvarar kostnaderna för lämnandet av uppgifterna. 

Enligt 39 § 2 mom. i biobankslagen har en registrerad på begäran rätt att få de uppgifter om sitt hälsotillstånd som härletts ur ett prov. När en person får uppgifter som härletts ur ett prov ska han eller hon ges möjlighet att få en redogörelse för uppgifternas betydelse. För redogörelsen för uppgifternas betydelse får det tas ut en avgift som uppgår till högst ett belopp som motsvarar kostnaderna för lämnandet av redogörelsen. 

Enligt artikel 15 i den allmänna dataskyddsförordningen ska den registrerade ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas. Om personuppgifter behandlas har den registrerade rätt att få tillgång till personuppgifter och uppgifter om syftet med behandlingen, de kategorier av personuppgifter som behandlas, de mottagare till vilka uppgifter har lämnats ut, förvaringstiderna för personuppgifter, den registrerades rättigheter samt tillgänglig information om uppgifternas ursprung i en situation där uppgifterna inte har samlats in från den registrerade. 

Rätten att få tillgång till uppgifterna bidrar till att säkerställa att provgivaren har möjlighet att administrera ett prov i en biobank och de tillhörande uppgifterna. Den personuppgiftsansvarige får ta ut en ersättning för lämnande av information endast om det har förflutit mindre än ett år sedan den registrerade senast fick kontrollera uppgifterna i registret. Ersättningen ska vara skälig och den får inte överstiga de direkta kostnaderna för lämnande av informationen. 

4.2.1  Konsekvenser för biobankerna och forskningen

Propositionen har konsekvenser för biobankerna och biobanksforskningen. Biobankerna behandlar personuppgifter i enlighet med den gällande lagen med den registrerades samtycke. När behandlingsgrunden ändras från samtycke till artikel 6.1 e och artikel 9.2 i i den allmänna dataskyddsförordningen ska biobankerna uppdatera sin praxis, såsom uppgifterna om dataskydd och den registrerades rättigheter på webbplatser och blanketter, information som ska lämnas före samtycke i enlighet med den föreslagna 11 §, samtyckes- och godkännandehandlingar i enlighet med förordningen om samtyckes- och godkännandehandlingar samt de uppgiftskategorier som ska föras in i samtyckesregistret. 

Biobankerna ska informera de forskningsaktörer till vilka uppgifter lämnas ut i enlighet med 26 § i biobankslagen om att grunden för behandling av personuppgifter ändras. Biobankerna ska också utarbeta anvisningar för att tillgodose de registrerades rättigheter, såsom utövandet av rätten att göra invändningar enligt artikel 21 i den allmänna dataskyddsförordningen. Det finns tid att genomföra dessa ändringar ungefär ett år, eftersom lagförslaget avses träda i kraft i januari 2024. 

De föreslagna ändringarna bedöms inte ha några betydande ekonomiska konsekvenser för biobankerna eller biobanksforskningen. I fråga om ändringarna är det närmast fråga om tekniska ändringar som kräver att tillvägagångssätten, såsom blanketter och information, uppdateras. Ändringarna påverkar inte biobankernas nuvarande uppgifter i fråga om hanteringen av prover och behandlingen av uppgifter eller genomförandet av biobanksforskning på något annat än tekniskt sätt. 

När det gäller behandlingen av personuppgifter medför den föreslagna ändringen större flexibilitet i behandlingen av uppgifter i biobankerna och ändrar grunden för behandling av personuppgifter så att den blir enhetlig med den övriga forskningslagstiftningen. Detta bedöms underlätta biobankernas uppgifter och biobanksforskningen. 

Ändringen av grunden för behandling av personuppgifter ändrar inte den rättsliga ställningen för prover som samlats in på basis av en registrerads samtycke under den tid den gällande lagen är i kraft. Enligt Europeiska dataskyddsstyrelsens riktlinjer . https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_sv.pdf får sådan behandling av personuppgifter som grundar sig på tidigare inhämtade samtycken fortsätta, om samtyckena uppfyller villkoren för samtycke enligt den allmänna dataskyddsförordningen. Biobankerna ska i fråga om prover som samlats in tidigare kontrollera att samtyckena uppfyller kraven på samtycke enligt den allmänna dataskyddsförordningen och vid behov vidta behövliga åtgärder för att uppfylla kraven.  

4.2.2  Konsekvenser för dataskyddet

Genom de föreslagna ändringarna uppdateras biobankslagen så att den uppfyller kraven i den allmänna dataskyddsförordningen. Genom förslaget ändras den rättsliga grunden för behandling av personuppgifter i biobanksverksamhet. Tidigare har grunden för behandling av personuppgifter varit den registrerades samtycke, vilket i biobanksverksamhetskontext har inneburit ett brett samtycke. I förslaget ändras grunden för behandling av personuppgifter till det utförande av uppgifter av allmänt intresse som avses i artikel 6.1 e och till det allmänna intresse på folkhälsoområdet som avses i artikel 9.2 i i den allmänna dataskyddsförordningen. Dessa grunder för behandling av personuppgifter innehåller i förhållande till samtycke flera undantag när det gäller tillgodoseendet av de registrerades rättigheter och underlättar således behandlingen av personuppgifter i biobanksverksamhet och forskning. 

Ändringen av behandlingsgrunden innebär att den registrerade inte längre har möjlighet att återkalla sitt samtycke till behandling av personuppgifter efter det att ett prov har tagits och provet och tillhörande uppgifter har överförts till en biobank. Samtycket ska i fortsättningen endast utgöra en skyddsåtgärd som anknyter till intervention, och personuppgifter ska inte behandlas med stöd av samtycket. På den registrerades rätt att få sina personuppgifter raderade av den personuppgiftsansvarige i enlighet med artikel 17 i den allmänna dataskyddsförordningen tillämpas grunderna för undantag i artikel 17.3 b, c och d. Enligt de nämnda underpunkterna till artikel 17.3 i förordningen ska den registrerades rätt till radering inte tillämpas, om behandlingen sker för utförande av en uppgift av allmänt intresse, för skäl som rör ett viktigt allmänt intresse på folkhälsoområdet enligt artikel 9.2 i och för vetenskapliga eller historiska forskningsändamål av allmänt intresse enligt artikel 89.1, om rätten till radering sannolikt kommer att medföra att behandlingen i fråga omöjliggörs eller avsevärt försvåras. Utgångspunkten är alltså att rätten till radering inte ska tillämpas, om det inte är fråga om en situation enligt artikel 17.1, såsom att personuppgifterna har behandlats på ett lagstridigt sätt eller att den registrerade gör invändningar mot behandlingen med stöd av artikel 21.1 och det inte finns grundad anledning för behandling. 

En registrerad ska dock fortfarande ha övriga rättigheter enligt den allmänna dataskyddsförordningen, såsom rätt att få tillgång till uppgifter, rätt att korrigera uppgifter och rätt att göra invändningar mot behandlingen av uppgifter. När behandlingen grundar sig på artikel 6.1 e i den allmänna dataskyddsförordningen har den registrerade i enlighet med artikel 21 i förordningen rätt att av skäl som hänför sig till hans eller hennes specifika situation när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne. Denna rätt att göra invändningar ska uttryckligen delges den registrerade och presenteras klart och åtskilt från annan information innan personen samtycker till provtagningen. Om den registrerade utnyttjar rätten att göra invändningar enligt artikel 21, får den personuppgiftsansvarige inte längre behandla personuppgifterna, såvida denne inte kan påvisa sådana tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Utövandet av rätten att göra invändningar ger den registrerade rätt att administrera användningen av sina egna uppgifter och att, om han eller hon så önskar, förhindra att uppgifterna används i biobanksverksamhet. 

Om en registrerads uppgifter redan har hunnit inkluderas i viss forskning och det inte längre är möjligt att radera dem, kan uppgifterna fortfarande behandlas med stöd av en grund för undantag enligt artikel 21.6 i den allmänna dataskyddsförordningen. Enligt den får personuppgifter trots rätten att göra invändningar behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. 

En registrerad kan enligt förslaget göra invändningar mot endast en del av behandlingen av sina personuppgifter eller mot all behandling av sina personuppgifter i en biobank. Då ska personuppgifterna behandlas i enlighet med den registrerades vilja. Om den registrerade har gjort invändningar mot all behandling av sina personuppgifter, får provet och tillhörande uppgifter inte längre användas i biobanksverksamhet eller lämnas ut för biobanksforskning, utom när det är fråga om en grund för undantag enligt artikel 21.1 i den allmänna dataskyddsförordningen. 

En provgivare ska innan samtycke ges få tillräcklig information om biobanksverksamhetens natur, eventuella risker och olägenheter, syftet med tagandet och förvaringen av prover, provernas ägare och den biobank som förvarar proverna, frivilligheten vid givande av samtycke och möjligheten att återkalla samtycket utan negativa följder och rätten att göra invändningar mot behandlingen av uppgifterna i enlighet med artikel 21 i den allmänna dataskyddsförordningen. Det är särskilt viktigt att ge information för att provgivaren ska kunna bedöma hur hans eller hennes personuppgifter behandlas i biobanksverksamheten och få information om möjligheten att använda sig av rätten att göra invändningar. 

När grunden för behandling av personuppgifter ändras föreslås det att även 14 och 26 § i biobankslagen ska ändras på motsvarande sätt. I 14 § i biobankslagen föreskrivs det om fogande av uppgifter som hör till prover till ett prov och i 26 § om principerna för utlämnande av prover och uppgifter. I bestämmelserna ska det enligt förslaget inte längre hänvisas till den registrerades samtycke, eftersom grunden för behandling av personuppgifter bestäms i enlighet med 11 a §. De grunder för behandling av personuppgifter som avses i 11 a § är grund för behandlingen när det är fråga om fogande av uppgifter till ett prov och utlämnande av uppgifter. 

Utöver grunden för behandling av personuppgifter förutsätter fogande av uppgifter till ett prov och utlämnande av uppgifter ett skriftligt godkännande av personen i fråga. En persons skriftliga godkännande ska ges i samband med att personen ger sitt samtycke till provtagningen. Närmare bestämmelser om ett skriftligt godkännande ska utfärdas i förordningen om samtyckes- och godkännandehandling, som ingår i denna proposition. Ett skriftligt godkännande av en person fungerar som en skyddsåtgärd som skyddar behandlingen av personuppgifter och den registrerades rättigheter, inte som en grund för behandling av personuppgifter. Också utlämnande av personuppgifter för samkörning av registeruppgifter i enlighet med 28 § förutsätter en grund för behandling av personuppgifter enligt 11 a § och ett skriftligt godkännande av personen i fråga, eftersom det i 28 § 1 mom. hänvisas till de villkor som anges i 26 § 1 mom. 

En registrerad har vidare i enlighet med 39 § i biobankslagen rätt att på begäran få veta om en biobank som anmälts till biobanksregistret innehåller prover som gäller personen i fråga, grunden för förvaringen av proverna, varifrån uppgifterna om personen har samlats in samt vart proverna och de tillhörande uppgifterna har lämnats ut eller överförts. En registrerad har på begäran rätt att få de uppgifter om sitt hälsotillstånd som härletts ur ett prov. När en person får uppgifter som härletts ur ett prov ska han eller hon ges möjlighet att få en redogörelse för uppgifternas betydelse. En registrerad har dessutom rätt enligt artikel 15 i den allmänna dataskyddsförordningen att få tillgång till sina egna uppgifter. 

Behandlingen av personuppgifter och de registrerades rättigheter skyddas dessutom av den föreslagna ändring som innebär att den biobanksansvarige ska utnämna ett dataskyddsombud till biobanken. Dataskyddsombudet ska övervaka att den allmänna dataskyddsförordningen och den övriga dataskyddslagstiftningen iakttas i biobankens verksamhet. 

4.2.3  Konsekvenser för medborgarnas rättigheter

Ändringen av grunden för behandling av personuppgifter från samtycke till behandling som sker för utförande av en uppgift av allmänt intresse inverkar på provgivarens rätt när det gäller behandling av uppgifter om honom eller henne i biobanker. När behandlingen av personuppgifter inte grundar sig på samtycke ska provgivaren inte längre ha möjlighet att återkalla eller ändra sitt samtycke efter det att provet tagits. I fråga om prover som tagits tidigare och vars hantering baserar sig på samtycke ska det fortfarande vara möjligt att återkalla samtycket. 

En provgivares självbestämmanderätt skyddas i enlighet med den föreslagna 11 § så att samtycket fortfarande är ett förhandsvillkor för provtagningen i enlighet med biomedicinkonventionen. En person kan fritt besluta om han eller hon ger sitt samtycke till provtagningen efter det att han eller hon i enlighet med 11 § har fått information om bl.a. biobanksverksamhetens natur och användningsändamålet för uppgifterna. En provgivares självbestämmanderätt skyddas också av de villkor för att foga och lämna ut uppgifter som anges i 14 och 26 §. För att uppgifter ska kunna fogas till ett prov och lämnas ut krävs det en grund för behandling av personuppgifter enligt 11 a § och ett skriftligt godkännande av personen i fråga. Också utlämnande av personuppgifter för samkörning av registeruppgifter i enlighet med 28 § förutsätter en grund för behandling av personuppgifter enligt 11 a § och ett skriftligt godkännande av personen i fråga, eftersom det i 28 § 1 mom. hänvisas till de villkor som anges i 26 § 1 mom. 

Dessutom ska provgivaren fortfarande ha en registrerads rättigheter enligt den allmänna dataskyddsförordningen i fråga om behandlingen av sina personuppgifter, såsom rätt att göra invändningar mot behandlingen av uppgifter. Rätten att göra invändningar ger provgivaren rätt att administrera användningen av sina uppgifter och förbjuda att hans eller hennes personuppgifter behandlas i en biobank. Om provgivaren gör invändningar mot att hans eller hennes personuppgifter behandlas i biobanksverksamhet, ska behandlingen av personuppgifterna i regel upphöra. Detta innebär att uppgifterna inte längre får användas i biobanksverksamhet eller lämnas ut för biobanksforskning. I den allmänna dataskyddsförordningen har undantag från rätten att göra invändningar tillskrivits relativt stor betydelse, vilket innebär att fortsatt behandling av personuppgifterna trots att provgivaren har utövat sin rätt att göra invändningar kräver vägande skäl av biobanken. Biobanken ska visa att det finns ett synnerligen viktigt och motiverat skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter. 

På behandlingen av en provgivares uppgifter i sådan forskning till vilken uppgifter redan har lämnats ut ur en biobank tillämpas grunderna för undantag i den allmänna dataskyddsförordningen. Forskningsresultat som uppnåtts på basis av prover och tillhörande uppgifter, uppgifter som ingår i dessa resultat och material som skapats av prover och uppgifter innan en underrättelse har kommit in har också i den gällande biobankslagen fått användas efter det att ett samtycke har återkallats med de begränsningar som anges i biobankslagen. Behandling av sådana uppgifter som redan lämnats ut för viss forskning ska fortfarande vara möjlig, om grunden för undantag enligt artikel 21.6 i den allmänna dataskyddsförordningen är tillämplig. Fortsatt behandling av personuppgifter vid forskning trots att rätten att göra invändningar har utövats förutsätter dock att forskningen faktiskt utför en uppgift av allmänt intresse. 

4.2.4  Konsekvenser för barn

De föreslagna ändringarna har i huvudsak liknande konsekvenser för barnen som de som beskrivs ovan. Enligt den gällande biobankslagen ska vårdnadshavaren ge samtycke för en minderårigs räkning. Samtycket ska uttrycka den minderåriges förmodade vilja. Om en minderårig med hänsyn till sin ålder och utvecklingsnivå har förmåga att förstå biobanksforskningens betydelse och natur, förutsätts dessutom hans eller hennes skriftliga samtycke. 

Dessa förutsättningar kommer inte att ändras, utan samtycke till provtagningen ska fortfarande ges av vårdnadshavaren för den minderåriges räkning. Dessutom kan vårdnadshavaren ge sitt samtycke till att uppgifter fogas till prov enligt 14 § och till att uppgifter lämnas ut enligt 26 §. Om en minderårig med hänsyn till sin ålder och utvecklingsnivå har förmåga att förstå biobanksforskningens betydelse och natur, förutsätts dessutom hans eller hennes skriftliga samtycke.  

En person för vars räkning samtycket har getts när han eller hon var minderårig ska fortfarande ha alla de rättigheter som registrerade har enligt den allmänna dataskyddsförordningen. En person kan t.ex. utöva sin rätt att göra invändningar enligt artikel 21 i den allmänna dataskyddsförordningen och motsätta sig att hans eller hennes personuppgifter behandlas i biobanksverksamhet. En person ska också i enlighet med 39 § i biobankslagen och artikel 15 i den allmänna dataskyddsförordningen ha rätt att få veta vilka prover som har registrerats i biobanken och att få tillgång till uppgifter om honom eller henne. 

4.2.5  Konsekvenser för myndigheterna

I propositionen föreslås det inte några ändringar i myndigheternas uppgifter eller befogenheter. Propositionen bedöms inte ge upphov till ändringar i budgeten när det gäller myndigheternas verksamhet och den bedöms inte ändra arbetsfördelningen eller samarbetet mellan myndigheterna. 

4.2.6  Samhälleliga konsekvenser

Vid beredningen av propositionen har det fästs vikt vid att propositionen stöder utarbetandet av en flexibel och konsekvent forskningslagstiftning och således utvecklingen av en effektiv och smidig forskningsinfrastruktur. De ändringar som föreslås i propositionen bedöms underlätta och göra behandlingen av personuppgifter inom biobanksverksamheten och biobanksforskningen mer flexibel, vilket innebär att ändringarna kan anses stödja forskningsverksamheten. 

I och med förslaget överensstämmer grunden för behandling av personuppgifter i biobankslagen med forskningslagstiftningen och bestämmelserna om klient- och patientuppgifter. Detta kan bedömas skapa klarhet i och öka förståelsen för tillämpningen av olika lagar. Ändringarna kan underlätta beslutsfattandet för de registrerade när de överväger att ge prover till en biobank eller att delta i medicinsk forskning. En ökad förståelse och en tydligare tillämpning främjar också forskningslagarnas och biobankslagens mål att stödja forskningen. 

4.2.7  Ekonomiska konsekvenser

Propositionen bedöms inte ha några ekonomiska konsekvenser för den offentliga ekonomin. De ändringar som föreslås i propositionen förutsätter ändringar i biobankernas verksamhetssätt samt uppdatering av blanketter, webbplatser och information. Det finns tid att genomföra ändringarna ungefär ett år. Dessutom är det närmast fråga om tekniska ändringar som inte påverkar biobankernas nuvarande uppgifter. På grund av detta bedöms de föreslagna ändringarna inte ha några betydande ekonomiska konsekvenser för biobankerna och biobanksforskningen. 

5.2.1  Sverige

I Sverige finns det cirka 450 biobanker. Biobankerna har inrättats av landsting, universitet, privata aktörer inom hälso- och sjukvården, laboratorier och medicinska företag. I biobankerna har det lagrats cirka 150 miljoner prover och antalet ökar årligen med cirka 3–4 miljoner nya prover. Största delen (cirka 90 procent) av proverna samlas in inom hälso- och sjukvården. I Sverige finns det också e-biobanker där det inte förvaras prover, utan endast uppgifter om proverna. Verksamheten övervakas av den myndighet som övervakar vården och omsorgen, nämligen Inspektionen för vård och omsorg (IVO), och behandlingen av personuppgifter övervakas av en tillsynsmyndighet enligt dataskyddsförordningen. 

I Sverige finns det en särskild lag om biobanker, som stiftades 2002, nämligen lagen (2002:297) om biobanker i hälso- och sjukvården m.m. År 2016 startade Sveriges regering en utredning om behovet av att ändra lagen. Med anledning av utredningen utarbetades en regeringsproposition (SOU 2018:4) och åren 2018–2019 har det stiftats flera ändringslagar. De ändringar som den allmänna dataskyddsförordningen medfört är bland annat omnämnandet av att biobankslagen kompletterar den allmänna dataskyddsförordningen samt hänvisningen till den lag som kompletterar den allmänna dataskyddsförordningen (lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning).  

I Sverige vill man ge alla lika möjligheter att bedriva forskning oberoende av organisationsform. Därför har det föreslagits att det fogas en bestämmelse om att som grund för behandling som utförs av en offentlig eller en privat aktör åberopa artikel 6.1 e eller en uppgift av allmänt intresse. För att den behandling som avser särskilda kategorier av personuppgifter ska vara laglig, ska behandlingen stödas av lagstadgade extra skyddsåtgärder. I Sverige har man föreslagit att behandling av personuppgifter ska vara tillåten enligt forskningsdatalagen när det är nödvändigt för att nå ett forskningsmål. Som skyddsåtgärd föreslås etisk förhandsbedömning av forskningen. 

5.2.2  Norge

I Norge gäller en särskild lag om behandlingsbiobanker, som föreskriver om biobanksverksamhet i anslutning till vård och diagnos (LOV-2003-02-21-12, lov om behandlingsbiobanker). En annan viktig lag när det gäller biobanksverksamhet är en lag om behandling av personuppgifter, som stiftades år 2000 (LOV-2018-06-15-38, lov om behandling av personopplysninger). Under de senaste åren har det gjorts ändringar i båda lagarna bland annat på grund av den allmänna dataskyddsförordningen. År 2018 ändrades lagen om behandling av personuppgifter genom lagen LOV-2018-12-20-116. Till lagen om behandling av personuppgifter fogades 12 a §, där det föreskrivs om utlämnande av personuppgifter mellan myndigheter i vissa situationer när arbetsbrott utreds. I Norges lag om hälsoregister (LOV-2014-06-20-43, lov om helseregistre og behandling om helseopplysninger) finns det bestämmelser om den registrerades rätt att förbjuda insamling och användning av uppgifter om honom eller henne. I lagen finns det också bestämmelser om pseudonymiserade och anonymiserade uppgifter. För insamling av uppgifter om hälsa och för utnyttjande av hälsouppgifter som innehåller direkta identifierare krävs i regel alltid samtycke. För viljeyttringar i form av förbud förs ett så kallat opt out-register. I Norge samlas det också in och förvaras blodprover från nyfödda i biobanker med stöd av lag, men barnets föräldrar kan motsätta sig att uppgifterna lagras. 

I lagen om forskningsetik och medicinsk forskning (LOV-2008-06-20-44, lov om medisinsk og helsefaglig forskning) finns det bestämmelser om medicinsk och hälsovetenskaplig forskning på människor, humanbiologiskt material och hälsouppgifter samt om etisk prövning. I lagen definieras som biobanker samlingar med biologiskt material som samlats in och avses bli använt för forskningsändamål. 

Enligt lagen om forskningsetik och medicinsk forskning ska ett nytt samtycke inhämtas när användningsändamålen för proverna ändras, men i undantagsfall kan kommittén för medicinsk och hälsovetenskaplig forskning besluta om användningen av diagnostiska prover för forskning även utan patientens samtycke, om projektet tillgodoser ett betydande samhällsintresse och individernas välfärd och integritet har tryggats. Forskningen ska ha samhällelig betydelse och man bör försäkra sig om deltagarnas välfärd och att deras självbestämmanderätt tillgodoses. 

5.2.3  Danmark

I Danmark finns det ingen särskild biobankslag, utan bestämmelser om verksamheten finns i annan lagstiftning, till exempel i hälsolagen (Sundhetsloven, LBK nr 913 af 13/07/2010), dataskyddslagen (Datahagkyttelsesloven, lov nr 502 af 2305/2018) och lagen om etik för hälsorelaterade forskningsprojekt (lov om videnskasetisk behandling af sundhetsvidenskape forskningsprojekter, LBK nr 1083 af 15/09/2017). I Danmark, liksom i de övriga medlemsstaterna i Europeiska unionen, har dataskyddslagstiftningen nyligen genomgått en reform. I beredningen av lagstiftningsreformen bedömdes det att behandlingen av sådana hälsouppgifter som avses i hälsolagen kommer att basera sig på den allmänna dataskyddsförordningens artikel 6.1 c eller e, och i fråga om särskilda kategorier av personuppgifter, på artikel 9.2 b, h eller i. Artikel 9.2 j ska tillämpas på den behandling som utförs i samband med forskning. I beredningen betraktades också artikel 9.4 som behövlig. Enligt punkt 4 får en stat behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. I Danmark har den nationella vetenskapsetiska kommittén (Videnskabsetisk Komité) också utarbetat separata ganska detaljerade anvisningar om användningen av biologiskt material i hälsovetenskapliga forskningsprojekt (Vejledning om brug af biologisk materiale i sundhedsvidenskabelige forskningsprojekter). 

I lagen om forskningsetisk behandling vid hälsovetenskaplig forskning (Lov nr 593 af 14/06/2011 om videnskabsetisk behandling af sundhedsvidenskabelige forskningsprojekter) föreskrivs det om etiskt genomförande av forskningsprojekt. Enligt lagen förutsätts det i princip att individen på förhand uttryckligen samtyckt till deltagande (3 §). Forskningsprojekten ska bedömas i en etisk kommitté. När det gäller forskning som utnyttjar biobanksprover får den forskningsetiska kommittén avvika från kravet på uttryckligt samtycke, om det inte finns någon betydande risk för forskningspersonen och om det är omöjligt eller skulle medföra betydande olägenheter för forskaren eller forskningsprojektet att få ett samtycke. För prover som tas för diagnostik eller vård krävs inget samtycke. I fråga om dessa tillämpas i Danmark ett opt out-förfarande. När prover från människa förvaras i biobanker, har individen möjlighet att förbjuda sekundärt utnyttjande av dem (opt out). För prover som samlas in för direkt forskning ska det inhämtas ett skriftligt informerat samtycke. Enligt hälsolagen får en patient förbjuda användningen av prover i forskning. Då ska förbudet föras in i registret över användning av vävnader. Även om ett biobankssamtycke har getts på en persons vägnar på grund av att han eller hon är minderårig eller omyndig av någon annan anledning, förutsätts det inte heller i Danmark att ett nytt samtycke inhämtas av personen när han eller hon kan anses ha uppnått en tillräckligt mogen ålder eller i övrigt förmåga att fatta beslut. 

5.2.4  Island

Island har en särskild biobankslag (Lög om lifsýnasöfn nr. 110/2000), som trädde i kraft i början av 2001. År 2014 gjordes det många ändringar i lagen (ändringslag 45/2014), exempelvis genom nya bestämmelser om en hälsodatabank (Health data bank). Relevant lagstiftning med tanke på biobanksverksamheten är dessutom bland annat förordning nr 1146/2010 om förvaring och användning av biologiska prover i biobanker samt även den dataskyddslag som tillämpas på vetenskaplig forskning och biobanksverksamhet (Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga). På Island har man också en lag om vetenskaplig forskning på hälsoområdet (Lög nr 44/2014 um vísindarannsóknir á heilbrigðissviði), i vilken det föreskrivs om det tillstånd som behövs för förvaring av hälsouppgifter. Hälsouppgifter ska förvaras i separata databaser, och samkörning av dessa databaser är förbjuden. 

På Island tillämpas i fråga om prover som samlats in för diagnostiska ändamål opt out-metoden. Insamling av biobanksprover till en forskningsbiobank kräver ett frivilligt skriftligt informerat samtycke. Provgivaren ska informeras om syftet samt fördelarna och riskerna, nyttan och nackdelarna med att provet samlas in samt om att provet förvaras i biobanken på obestämd tid. I fråga om kliniska biobanker tillämpas ett förmodat samtycke, om proverna samlas in för diagnostiska ändamål. Hälso- och sjukvårdspersonalen ska dock ge allmän information om insamlingen. Patienten har möjlighet att förbjuda att provet används i biobanken. I fråga om de båda biobankerna har provgivaren möjlighet att återkalla sitt samtycke, men när det gäller kliniska prover kan biobanken med tillstånd av den nationella bioetikkommittén och dataskyddsmyndigheten göra det möjligt att använda provet, om det är fråga om viktiga intressen. På Island finns det inga särskilda bestämmelser om samtycke av minderåriga eller omyndiga vuxna, utan på samtycken tillämpas allmänna principer. Även om personen senare kan anses ha uppnått en tillräckligt mogen ålder eller i övrigt förmåga att fatta beslut, krävs det inte på Island att ett nytt samtycke begärs. 

5.2.5  Storbritannien

I Storbritannien finns det ingen egentlig biobankslag, utan användningen av humanbiologiska prover regleras i första hand genom lagen om prover från människa (The Human Tissue Act (c 30), HTA), där det fastställs en rättslig ram för förvaring och användning av mänsklig vävnad. I denna reglering är samtycke den grundläggande principen för förvaring och användning av humanbiologiskt material, kroppsdelar, organ och vävnader. I lagen föreskrivs också om tillsynsmyndigheten (Human Tissue Authority), som bland annat ger anvisningar och beviljar koncessioner. Hittills har koncession beviljats till över 800 organisationer, som förvarar och använder vävnad från människa till exempel vid patientvård, transplantation eller undervisning. I Storbritannien är grunden för förvaring av prover, liksom i många andra stater, klinisk användning och forskningsändamål. Dessutom hör Storbritannien till de länder där ett prov kan lämnas ut till den som det tagits från (till exempel om personen på egen hand söker hälso- och sjukvård eller deltar i ett forskningsprojekt i ett annat land inom eller utanför EU, SOU 2018:4, s. 125–136.). HTA har uppdaterats sedan den trädde i kraft. Den senaste uppdateringen Organ Donation (Deemed Consent) Act 2019 (c. 7), som trädde i kraft i april 2020, innebär att utgångspunkten är att varje myndig avliden är en möjlig organdonator. Storbritannien har inte ratificerat biomedicinkonventionen. 

I Storbritannien har en ny lag (Data Protection Act, c. 12) uppdaterat lagen om dataskydd (Data Protection Act) från 1998. I och med ändringarna tillämpar privata aktörer i fortsättningen berättigade intressen enligt artikel 6.1 f i den allmänna dataskyddsförordningen som grund för behandling av personuppgifter, medan offentliga aktörer kan tillämpa den rättsliga grund för offentliga uppgifter som avses i artikel 6.1 e. Vid samarbete mellan offentliga och privata aktörer gäller ett berättigat intresse som rättslig grund. Till följd av den allmänna dataskyddsförordningen ändrades definitionen av känsliga uppgifter i lagen om dataskydd till den del som gäller genetisk och biometrisk information. I samband med lagändringen utfärdades det bestämmelser om nationella skyddsåtgärder i anknytning till särskilda kategorier av personuppgifter. 

11.1.1  Skydd för privatlivet och behandling av personuppgifter

I 10 § 1 mom. i grundlagen föreskrivs det om skydd för privatlivet och personuppgifter. Grundlagsutskottet har i flera utlåtanden (till exempel GrUU 10/2004 rd) konstaterat att den reglering som ingriper i enskildas grundläggande fri- och rättigheter ska ha en godtagbar grund och vara proportionerlig. De rättigheter som hör till privatlivet ska tryggas på sätt som kan anses godtagbart i helheten av rättsordningen för de grundläggande fri- och rättigheterna. 

Med tanke på den grundläggande fri- och rättighet som gäller skyddet för personuppgifter är det viktigt att bland annat reglera syftet med registreringen, de registrerade personuppgifternas innehåll, de tillåtna användningsändamålen, möjligheterna att lämna ut uppgifterna, bevaringstiden i personregister och den registrerades rättsskydd. Detsamma gäller i vilken utsträckning dessa omständigheter ska regleras och hur ingående på lagnivå (GrUU 35/2008 rd, GrUU 2/2008 rd). Grundlagsutskottet har därför ansett att särskilt tillåtande av behandling av känsliga uppgifter berör själva kärnan i skyddet för personuppgifter (GrUU 37/2013 rd, s. 2), vilket inneburit att inrättandet av register med sådana uppgifter måste bedömas mot villkoren för inskränkningar i de grundläggande fri- och rättigheterna, särskilt lagstiftningens acceptabilitet och proportionalitet (GrUU 29/2016 rd s. 4–5 och t.ex. GrUU 21/2012 rd, GrUU 47/2010 rd och GrUU 14/2009 rd). 

Grundlagsutskottet har beaktat att de uppgifter som lämnas ut är av känslig natur när utskottet har bedömt omfattningen, exaktheten och innehållet i fråga om regleringen om de uppgifter som ska fås och lämnas ut trots sekretessen (se t.ex. GrUU 38/2016 rd, s. 3). Utifrån skyddet för privatliv och personuppgifter enligt 10 § 1 mom. i grundlagen har grundlagsutskottet bedömt bestämmelserna om myndigheternas rätt att få och skyldighet att lämna ut uppgifter trots sekretess och då noterat bland annat vad och vem rätten att få uppgifter gäller och hur rätten är kopplad till nödvändighetskriteriet. 

Grundlagsutskottet anser att det med tanke på 10 § 1 mom. i grundlagen i princip är tillräckligt att bestämmelserna uppfyller kraven enligt EU:s allmänna dataskyddsförordning. Enligt utskottet bör skyddet för personuppgifter i första hand tryggas med stöd av EU:s allmänna dataskyddsförordning och den nationella allmänna lagstiftningen. Man bör således förhålla sig restriktivt när det gäller att införa nationell speciallagstiftning. Sådan lagstiftning bör vara avgränsad till nödvändiga bestämmelser inom ramen för det nationella handlingsutrymme som dataskyddsförordningen medger (se GrUU 14/2018 rd, s. 4–5). 

Grundlagsutskottet anser det dock vara klart att behovet av speciallagstiftning, i enlighet med det riskbaserade synsätt som också krävs i den allmänna dataskyddsförordningen, måste bedömas utifrån de hot och risker som behandlingen av personuppgifter medför. Ju större risk fysiska personers rättigheter och friheter utsätts för på grund av behandlingen, desto mer motiverat är det med mer detaljerade bestämmelser. Denna omständighet är av särskild betydelse när det gäller behandling av känsliga uppgifter (se GrUU 14/2018 rd, s. 5). 

Grundlagsutskottet har lyft fram riskerna med behandlingen av känsliga uppgifter. Utskottet anser att omfattande databaser med känsliga uppgifter medför allvarliga risker för informationssäkerheten och missbruk av uppgifter. Riskerna kan i sista hand utgöra ett hot mot personers identitet (GrUU 13/2016 rd, s. 4, GrUU 14/2009 rd, s. 3/I). 

Även i skäl 51 i ingressen till den allmänna dataskyddsförordningen betonas det att sådana i artikel 9 avsedda personuppgifter som hänförs till särskilda kategorier av personuppgifter och som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheter och friheter bör åtnjuta särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för de grundläggande rättigheterna och friheterna. Utskottet har därför särskilt påpekat att det bör finnas exakta och noga avgränsade bestämmelser om att det är tillåtet att behandla känsliga uppgifter bara om det är absolut nödvändigt (se till exempel GrUU 3/2017 rd).En sådan avgränsning har i utskottets senare praxis ansetts vara en fråga som har betydelse för lagstiftningsordningen (se t.ex. GrUU 15/2018 rd). 

Utskottet betonade dock i samband med bedömningen av dataskyddslagen att i fråga om behovet av lagbestämmelser bör också det riskbaserade synsättet i förordningen vägas in. Utskottet framhåller att även lagstiftningen om behandling av känsliga personuppgifter bör vara så tydlig och begriplig som möjligt (GrUU 14/2018 rd, s. 6). 

Den behandling av uppgifter som det föreskrivs om i biobankslagen är av betydelse med avseende på det skydd för privatlivet och personuppgifter som tryggas i 10 § i grundlagen. De föreslagna bestämmelserna är av betydelse också med avseende på Europeiska unionens stadga om de grundläggande rättigheterna. Artikel 7 i Europeiska unionens stadga om de grundläggande rättigheterna tryggar skyddet för privatlivet och artikel 8 tillförsäkrar var och en rätt till skydd för personuppgifter. Enligt artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna ska personuppgifter behandlas på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. I skäl 43 i ingressen till den allmänna dataskyddsförordningen konstateras det dock att samtycket inte bör utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige. Det gäller särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar (se t.ex. GrUU 4/2021 rd, s. 6). 

Det centrala syftet med denna proposition är att uppdatera bestämmelserna i biobankslagen så att de överensstämmer med den allmänna dataskyddsförordningen. Genom biobankslagen utfärdas det bestämmelser som kompletterar den allmänna dataskyddsförordningen när personuppgifter behandlas i biobanksverksamhet.  

Enligt förslaget grundar sig behandlingen av personuppgifter i biobanksverksamhet på artikel 6.1 e och i fråga om särskilda kategorier av personuppgifter på artikel 9.2 i den allmänna dataskyddsförordningen. Den biobanksverksamhet som det föreskrivs om i biobankslagen ska när den tjänar uppgifter av allmänt intresse genomföra biobanksforskning och med hjälp av forskningen främja patienternas hälsa och folkhälsan samt utvecklingen av läkemedel och medicintekniska produkter. Uppgiften att upprätthålla och utveckla forskningsinfrastrukturen tjänar forskningens utveckling. Utvecklingen av forskningen inom hälsoområdet stöder allmännyttiga mål, såsom främjande av folkhälsan och effektivisering av hälso- och sjukvårdsfunktionerna. Grundlagsutskottet har i sitt utlåtande (GrUU 10/2012 rd, s. 2) konstaterat att biobankens uppgift har ett nära samband med grundlagens 16 § 3 mom. om vetenskapens frihet och indirekt också med 19 § 3 mom. om skyldigheten för det allmänna att främja befolkningens hälsa. I dessa uppgifter ingår behandling av prov och personuppgifter. 

Grundlagsutskottet har i samband med att lagen om sekundär användning stiftades fäst vikt vid användningen av personuppgifter för utvecklings- och innovationsverksamhet samt vid de föreslagna villkoren för behandling, anonymiseringen av uppgifter och behandlingen på grundval av samtycke (GrUU 1/2018 rd, s. 5). Forskning som bedrivs av privata biobanker jämförs till sin natur med forskningsverksamhet vid offentliga biobanker och främjar på motsvarande sätt tillgodoseendet av det allmänna intresset på det sätt som avses i den allmänna dataskyddsförordningen. Valet av grund för behandling av personuppgifter eftersträvar således inte en övergripande lösning som tillämpas i lagen om sekundär användning i fråga om främjande av utvecklings- och innovationsverksamhet (GrUU 1/2018, s. 8–11), och därför kan man inte enbart på grund av privata biobankers karaktär av juridisk person göra en sådan tolkning om i synnerhet äventyrande av den registrerades rättigheter eller olika ställning. 

Att grunden för behandling av uppgifter ändras från samtycke till skäl av allmänt intresse innebär att en registrerad inte längre har möjlighet att återkalla sitt samtycke efter det att ett prov tagits och att provet och tillhörande uppgifter överförts till en biobank. En registrerad ska dock fortfarande ha de övriga rättigheterna enligt den allmänna dataskyddsförordningen, såsom rätten att göra invändningar mot behandlingen av uppgifter i enlighet med artikel 21. 

Grundlagsutskottet bedömde i sitt utlåtande i samband med att lagen om elektronisk behandling av klientuppgifter inom social- och hälsovården (784/2021, nedan klientuppgiftslagen) stiftades i kontexten behandling av personuppgifter inom social- och hälsovården att självbestämmanderätten och samtycket är en skyddsåtgärd i anknytning till dataskyddet. Grundlagsutskottet har ansett att rätten att bestämma över information om sig själv bör anses vara central med avseende på skyddet av personuppgifter (se till exempel GrUU 23/2020 rd, s. 9, GrUU 2/2018 rd, s. 8). Utskottet anser i sitt utlåtande GrUU 4/2021 rd om förslaget till klientuppgiftslag att om rätten att förbjuda utlämnande kräver aktiva åtgärder, kan självbestämmanderätten inte säkerställas tillräckligt väl. Utskottet förutsatte att det som villkor för utlämnande föreskrivs om samtycke som en skyddsåtgärd. Grundlagsutskottet har i sitt utlåtande också hänvisat till motiveringen till lagstiftningsordningen i regeringens proposition med förslag till lag om temporär ändring av lagen om smittsamma sjukdomar (RP 101/2020 rd) som ett exempel till stöd för berättigandet av sina egna krav och överensstämmelsen med EU:s allmänna dataskyddsförordning. I motiveringen till lagstiftningsordningen anges det att behandlingen av känsliga uppgifter i coronaapplikationen grundar sig på nationell lag på det sätt som avses i artikel 6.1 e i dataskyddsförordningen och i artikel 9.2 i i fråga om särskilda kategorier av personuppgifter. Att personen ska ge sitt godkännande till att uppgifterna överförs kompletterar denna rättsliga grund som en skyddsåtgärd i fråga om behandlingen av personuppgifter. För att undvika begreppsmässig förväxling med samtycke enligt den allmänna dataskyddsförordningen valdes i klientuppgiftslagen som benämning på godkännande som skyddsåtgärd tillståndför utlämnande. 

Enligt artikel 6.3 i den allmänna dataskyddsförordningen kan en medlemsstats lagstiftning innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i den allmänna dataskyddsförordningen. De särskilda bestämmelserna kan innehålla allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Lagstiftningen ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. 

Enligt artikel 9.4 i den allmänna dataskyddsförordningen får medlemsstaterna behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. I biobanksverksamheten behandlas särskilt känsliga personuppgifter enligt artikel 9 i den allmänna dataskyddsförordningen. I fråga om särskilda kategorier av personuppgifter ska det i enlighet med artikel 9.2 i säkerställas att det i medlemsstaternas nationella rätt föreskrivs om lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter, särskilt tystnadsplikt. I 6 § 2 mom. i dataskyddslagen föreskrivs det om lämpliga och särskilda åtgärder som en personuppgiftsansvarig och ett personuppgiftsbiträde ska vidta för att skydda den registrerades rättigheter. Till dessa hör bl.a. utnämning av ett dataskyddsombud och pseudonymisering av personuppgifter. 

Den föreslagna lagen innehåller särskilda bestämmelser om skyddsåtgärder i samband med behandlingen av personuppgifter. Det föreslås att ett villkor för behandling av personuppgifter ska vara ett sådant skriftligt godkännande av den registrerade som i princip fungerar på samma sätt som det tillstånd för utlämnande som anges i klientuppgiftslagen. När det gäller förslaget om behandling av personuppgifter används i propositionen termen godkännande för att den skyddsåtgärd som används i samband med behandlingen av personuppgifter och som skyddar självbestämmanderätten inte ska blandas samman med den grund för behandling av personuppgifter som avses i den allmänna dataskyddsförordningen. En persons rätt att bestämma över information om sig själv skyddas således genom krav på ett informerat godkännande av personen i fråga när personuppgifter lämnas ut i situationer som avses i 14 § och 26 § 1 mom. i regeringspropositionen. Bestämmelserna om godkännande ska kompletteras med ett bemyndigande att utfärda förordning om innehållet i en biobanks samtyckes- och godkännandehandling och om den information som ska lämnas till provgivaren och den registrerade. 

Skyddsåtgärder enligt biobankslagen är allt som allt provgivarens samtycke till provtagning (11 §), särskilda bestämmelser om hantering av gamla prover (13 §), villkoren för uppgifter som hör till prover och ett godkännande av den registrerade (14 §), krav och villkor samt skyldighet att skydda uppgifter i anslutning till hanteringen och behandlingen (16–19 §), villkoren för utlämnande av prover och uppgifter (26–29 §), den registrerades rätt att få uppgifter (39 §), tystnadsplikt och sekretess (40 §) samt straffbestämmelser om äventyrande av provgivarens integritetsskydd eller rättigheter (43 §). Dessa villkor skyddar de registrerades rättigheter och friheter samt sekretessen i fråga om uppgifter i biobanksverksamhet. Skyldigheterna enligt biobankslagen kompletteras av kraven i den allmänna dataskyddsförordningen och dataskyddslagen. 

Det eftersträvade målet med behandlingen av personuppgifter enligt biobankslagen är att stödja biobanksforskningen och därmed främja forskning som förbättrar patienternas hälsa och folkhälsan samt utvecklingen av läkemedel och medicintekniska produkter. För att detta mål ska nås krävs det att omfattande resurser bestående av prover och information samlas i biobankerna. Kumulationen av uppgifter i biobanker gör det möjligt att utföra vetenskaplig forskning som är betydelsefull med avseende på folkhälsan och som inte är möjlig utan behandling av personuppgifter i biobankerna. Målet kan inte uppnås i tillräcklig omfattning genom en mindre eller mer begränsad behandling av uppgifter. Med beaktande av de rättigheter som en registrerad har enligt den allmänna dataskyddsförordningen och de skyddsåtgärder för behandling av personuppgifter som föreskrivs i biobankslagen och dataskyddslagstiftningen kan behandlingen av personuppgifter i biobanksverksamhet anses stå i rätt proportion till det eftersträvade målet samt vara godtagbart med avseende på tillgodoseendet av självbestämmanderätten. 

Det att grunden för behandling av personuppgifter och andra bestämmelser uppdateras så att de överensstämmer med den allmänna dataskyddsförordningen och andra ändrade författningar bedöms inte försämra provgivarens integritetsskydd eller nivån på skyddet av personuppgifter i biobanksverksamheten. De bestämmelser som föreslås i propositionen ska fungera som sådana skyddsåtgärder som den allmänna dataskyddsförordningen förutsätter för att skydda de registrerades grundläggande fri- och rättigheter och intressen. De föreslagna bestämmelserna anses trygga kravet på skydd för privatlivet och skyddet för personuppgifter på det sätt som grundlagen och dataskyddslagstiftningen förutsätter. 

11.1.2  Samtycke som ett förhandsvillkor enligt biomedicinkonventionen och Europeiska unionens stadga om de grundläggande rättigheterna

Inom forskningsetiken är ett frivilligt och informerat samtycke utgångspunkten för deltagande i medicinsk forskning. Grundlagsutskottet har behandlat samtycke till att delta i medicinsk forskning (GrUU 23/2020 rd). Även vid biobanksforskning iakttas samma utgångspunkter som vid annan medicinsk forskning. Enligt biobankslagen förutsätter provtagning och överföring av prover och tillhörande uppgifter till en biobank samtycke av personen i fråga. Samtycket är ett i artikel 5 i biomedicinkonventionen avsett förhandsvillkor som tryggar provgivarens självbestämmanderätt i förhållande till ett ingrepp som företas på provgivaren. 

Enligt artikel 5 i biomedicinkonventionen ska en person innan ett prov tas (dvs. en åtgärd som riktar sig mot hälsan) ge ett fritt och informerat samtycke därtill. Denna person ska i förväg erhålla erforderlig information om syftet med ingreppet (t.ex. tagande och förvaring av prover för biobanksverksamhet och utlämnande av proverna för biobanksforskning och överlåtelse för biobanksverksamhet) och dess karaktär (t.ex. information om att personuppgifter kan fogas till proverna) samt om vilka konsekvenser och risker ingreppet innebär. Enligt grundlagsutskottets utlåtande (GrUU 10/2012 rd, s. 2–3) ska samtycket grunda sig på tillräcklig information om faktorer av betydelse för provgivarens integritet. 

Bestämmelser om människovärdets okränkbarhet och självbestämmanderätt finns också i Europeiska unionens stadga om de grundläggande rättigheterna. Stadgan innehåller särskilda krav på biomedicinens område. Enligt artikel 3.2 i stadgan om de grundläggande rättigheterna ska i synnerhet följande krav och förbud iakttas inom medicin och biologi: a) den berörda personens fria och informerade samtycke, på de villkor som föreskrivs i lag, b) förbud mot rashygieniska metoder, i synnerhet sådana som syftar till urval av människor, c) förbud mot att låta människokroppen och dess delar i sig utgöra en källa till ekonomisk vinning, och d) förbud mot reproduktiv kloning av människor. Dessa konkreta krav preciserar bilden av de skyddsintressen som ska värnas genom mera detaljerad lagstiftning inom biomedicinen samt de hotbilder mot vilka människovärdets okränkbarhet ska skyddas inom biomedicinen. Avsikten har inte varit att i stadgan om de grundläggande rättigheterna avvika från kraven på samtycke i artikel 5 i biomedicinkonventionen. 

I synnerhet i biomedicinsk kontext bör man dock beakta att skyddet av människovärdet inte enbart grundar sig på skyddet av en enskild persons självbestämmanderätt. Detta kan uppfattas genom ovan definierade förbud, dvs. att en person inte ens med ett medvetet samtycke kan tillåta t.ex. kloning eller ekonomisk nytta av sin egen kropp, eftersom detta anses kränka människovärdet trots samtycket. Begreppet människovärde baserar sig på en abstraktare och mer omfattande förståelse för människovärdet som inte är bunden till individen eller hans eller hennes rättigheter. För att skydda människovärdet är det ibland obligatoriskt att begränsa individens beslutanderätt, vilket åskådliggörs av de krav på medicin och biologi som Europeiska unionens stadga om de grundläggande rättigheterna ställer. 

I 19 § i biobankslagen förbjuds utlämnande och användning av prov och tillhörande uppgifter i brottsutredning eller vid administrativt eller annat beslutsfattande som avser en person, för att bedöma eller utreda arbetsförmågan hos en enskild person eller i beslutsfattande i kreditinstitut och försäkringsanstalter. Grundlagsutskottet har ansett att ett sådant förbud är en förutsättning i verksamhet som baserar sig på frivillighet (GrUU 20/2020 rd). 

Den rättsliga betydelsen av artikel 5 i biomedicinkonventionen har bedömts i Europadomstolen bland annat i fallen Glass mot Förenade Kungariket, V.C. mot Slovakien samt M.A.K. och R.K. mot Förenade Kungariket. I dessa fall avses med ingrepp fysiska interventioner. Provtagning enligt biobankslagen är en sådan fysisk intervention eller åtgärd mot hälsan som förutsätter samtycke enligt biomedicinkonventionen. 

Ett av syftena med biobankslagen är att trygga integritetsskyddet och självbestämmanderätten vid behandlingen av prov. Den föreslagna 11 § i biobankslagen motsvarar de krav som ställs i biomedicinkonventionen i fråga om samtycke. För att samla in ett prov och lämna ut provet och tillhörande uppgifter till en biobank krävs det enligt paragrafen ett frivilligt och informerat samtycke av personen i fråga. 

Den som ska ge ett samtycke ska innan samtycket ges få tillräcklig information om biobanksverksamhetens natur, eventuella risker och olägenheter, syftet med tagandet och förvaringen av prover, provernas ägare och den biobank som förvarar proverna, frivilligheten vid givande av samtycke och möjligheten att återkalla samtycket och rätten att göra invändningar mot behandlingen av uppgifterna i enlighet med artikel 21 i den allmänna dataskyddsförordningen. Enligt förslaget ska informationen till en minderårig eller den som uppnått myndighetsåldern men som saknar beslutskompetens vara anpassad till hans eller hennes förmåga att förstå. Informationen ska ges på ett ändamålsenligt sätt och dessutom alltid skriftligen.