Arvioinnin lähtökohdat
(1) Esityksessä ehdotetaan biopankkilakiin tehtäviksi EU:n tietosuoja-asetuksen edellyttämät muutokset. Lisäksi ehdotetaan tehtäviksi teknisluontoiset korjaukset, jotka johtuvat muusta voimassa olevasta lainsäädännöstä.
(2) Biopankkilaki on säädetty perustuslakivaliokunnan myötävaikutuksella (PeVL 10/2012 vp). Perustuslakivaliokunta arvioi tuolloin, että biopankille säädetyllä tutkijoiden ja tutkimusryhmien palvelemiseen liittyvällä tehtävällä on läheinen yhteys tieteen vapautta turvaavaan perustuslain 16 §:n 3 momenttiin sekä välillisesti myös perustuslain 19 §:n 3 momentissa mainittuun julkisen vallan velvollisuuteen edistää väestön terveyttä. Valiokunta kiinnitti huomiota myös siihen, että biopankeissa säilytettävät näytteet kerätään pääsääntöisesti tutkimushenkilön suostumuksella, millä pyritään turvaamaan useisiin perustuslain säännöksiin kiinnittyvä yksilön itsemääräämisoikeus.
(3) Perustuslakivaliokunnan tuolloisen arvion mukaan tämänkaltaisen lainsäädännön yhteydessä on tärkeää pyrkiä mahdollisimman hyvään tasapainoon edellä mainittujen perusoikeuksien välillä. Eräänlaisena lähtökohtana perus- ja ihmisoikeusnäkökohtien huomioon ottamisessa on valiokunnan mukaan syytä pitää muun muassa ihmisoikeuksien ja ihmisarvon suojaamisesta biologian ja lääketieteen alalla tehdyn yleissopimuksen (jäljempänä biolääketiedesopimus) 2 artiklassa ilmaistua periaatetta, jonka mukaan ihmisen etu ja hyvinvointi ovat tärkeämpiä kuin pelkkä yhteiskunnan tai tieteen hyöty (ks. myös PeVL 20/2009 vp, s. 2/II). Valiokunnan mukaan tuolloin ehdotettu sääntely oli merkityksellistä yksilön itsemääräämisoikeuden kannalta. Itsemääräämisoikeus kiinnittyy valiokunnan mukaan useisiin perusoikeuksiin, erityisesti perustuslain 7 §:n säännöksiin henkilökohtaisesta vapaudesta ja koskemattomuudesta sekä 10 §:n säännöksiin yksityiselämän suojasta (PeVL 4/2021 vp, HE 309/1993 vp, s. 46/II, PeVL 59/2002 vp, s. 3/II, PeVL 17/2006 vp, s. 2—3, PeVL 24/2010 vp, s. 3/I). Valiokunta arvioi tuolloista sääntelyä myös henkilötietojen suojan kannalta.
(4) Nyt arvioitavan esityksen valtiosääntöoikeudellinen merkitys liittyy erityisesti biopankkitoiminnassa tapahtuvan henkilötietojen käsittelyperusteen muuttumiseen. Ehdotus on merkityksellinen perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta. Ehdotettu sääntely on merkityksellistä myös EU:n perusoikeuskirjan kannalta. EU:n perusoikeuskirjan 7 artiklassa turvataan yksityiselämän suoja ja 8 artiklassa jokaisen oikeus henkilötietojensa suojaan. Valiokunta on pitänyt henkilötietojen suojan kannalta keskeisenä myös tiedollista itsemääräämisoikeutta (ks. esim. PeVL 4/2021 vp, PeVL 23/2020 vp, s. 9, PeVL 2/2018 vp, s. 8).
(5) Perustuslakivaliokunnan mukaan on lähtökohtaisesti riittävää perustuslain 10 §:n 1 momentin kannalta, että sääntely täyttää EU:n yleisessä tietosuoja-asetuksessa asetetut vaatimukset. Valiokunnan mukaan henkilötietojen suoja tulee turvata ensisijaisesti EU:n yleisen tietosuoja-asetuksen ja kansallisen yleislainsäädännön nojalla. Kansallisen erityislainsäädännön säätämiseen tulee siten suhtautua pidättyvästi ja rajata sellainen vain välttämättömään tietosuoja-asetuksen salliman kansallisen liikkumavaran puitteissa (ks. PeVL 14/2018 vp, s. 4—5).
(6) Perustuslakivaliokunnan mukaan on kuitenkin selvää, että erityislainsäädännön tarpeellisuutta on arvioitava myös tietosuoja-asetuksenkin edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä suurempi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely. Tällä seikalla on erityistä merkitystä arkaluonteisten tietojen käsittelyn osalta (ks. PeVL 14/2018 vp, s. 5).
(7) Perustuslakivaliokunta on kiinnittänyt erityistä huomiota siihen, että yksityiselämän suojaan kohdistuvia rajoituksia on arvioitava kulloisessakin sääntely-yhteydessä perusoikeuksien yleisten rajoitusedellytysten valossa (ks. PeVL 42/2016 vp, s. 2—3 ja siinä viitatut lausunnot). Lainsäätäjän liikkumavaraa rajoittaa arkaluonteisten henkilötietojen käsittelystä säädettäessä erityisesti se, että henkilötietojen suoja osittain sisältyy perustuslain 10 §:n samassa momentissa turvatun yksityiselämän suojan piiriin. Lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa. Valiokunta on arvioinut erityisesti arkaluonteisten tietojen käsittelyn sallimisen koskevan yksityiselämään kuuluvan henkilötietojen suojan ydintä (PeVL 37/2013 vp, s. 2/I), minkä johdosta esimerkiksi tällaisia tietoja sisältävien rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden, kannalta (ks. PeVL 29/2016 vp, s. 4—5 ja esimerkiksi PeVL 21/2012 vp, PeVL 47/2010 vp sekä PeVL 14/2009 vp). Valiokunta on antanut merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevan sääntelyn kattavuutta, täsmällisyyttä ja sisältöä (ks. esim. PeVL 38/2016 vp, s. 3).
(8) Esityksen perusteluissa (s. 6) viitataan siihen, että EU:n tietosuoja-asetuksen johdanto-osan 35 kohdassa biologisista näytteistä johdettu tieto määritellään terveyttä koskevaksi henkilötiedoksi. Terveyttä koskevat tiedot ovat tietosuoja-asetuksen 9 artiklassa tarkoitettuja erityisiin henkilötietoryhmiin kuuluvia tietoja, joiden käsittely on 9 artiklan 1 kohdan ilmaiseman pääsäännön mukaan kiellettyä. Artiklan 2 kohdan mukaan 1 kohdan käsittelykieltoa ei kuitenkaan sovelleta, jos jokin 9 artiklan 2 kohdan a—j alakohdassa oleva edellytys täyttyy. Erityisiin henkilötietoryhmiin kuuluvia henkilötietoja saadaan tämän perusteella käsitellä muun muassa asianomaisen henkilön nimenomaisella suostumuksella (a alakohta).
(9) Perustuslakivaliokunta on painottanut arkaluonteisten tietojen käsittelyn aiheuttamia uhkia. Valiokunnan mielestä arkaluonteisia tietoja sisältäviin laajoihin tietokantoihin liittyy tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (ks. PeVL 13/2016 vp, s. 4, PeVL 14/2009 vp, s. 3/I). Myös EU:n yleisen tietosuoja-asetuksen 51 johdantokappaleen mukaan asetuksen 9 artiklassa tarkoitettuja erityisiä henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Valiokunta on tämän johdosta kiinnittänyt erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on rajattava täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään ja sääntelyn on oltava tietosuoja-asetuksen mahdollistamissa puitteissa yksityiskohtaista ja kattavaa (PeVL 65/2018 vp, s. 45, PeVL 15/2018 vp, s. 40).
(10) EU:n tietosuoja-asetusta yksityiskohtaisemman sääntelyn tarve tulee kuitenkin perustella myös tietosuoja-asetuksen puitteissa tapauskohtaisesti. Tällöin on syytä kiinnittää huomiota myös asetuksessa omaksuttuun riskiperusteiseen lähestymistapaan. Valiokunta on painottanut, että myös arkaluonteisten henkilötietojen käsittelyä koskevan sääntelyn kohdalla on syytä pyrkiä selkeään ja ymmärrettävään lainsäädäntöön (PeVL 14/2018 vp, s. 6).
(11) Perustuslakivaliokunta ei valtiosääntöisen tehtävänsä puitteissa ole arvioinut kattavasti ehdotetun sääntelyn suhdetta EU:n tietosuoja-asetukseen. Sosiaali- ja terveysvaliokunnan on syytä varmistua huolellisesti sääntelyn yhteensopivuudesta EU:n tietosuoja-asetuksen kanssa kiinnittäen erityistä huomiota valittujen käsittelyperusteiden merkitykseen rekisteröidyn oikeuksille ja käsittelyn suojatoimille sekä voimassa olevan lain aikana kerättyjen ns. vanhojen näytteiden käsittelystä säädettäväksi ehdotettuun. Perustuslakivaliokunnan käsityksen mukaan EU:n tietosuoja-asetuksen mukaisten suojatoimien on myös tosiasiallisesti suojattava rekisteröidyn oikeuksia ja vapauksia riittävän tehokkaalla tavalla. Perustuslakivaliokunta pitää valitettavana, että hallituksen esityksen perusteluista saa jopa ristiriitaisen kuvan tietosuoja-asetuksen 89 artiklan soveltuvuudesta ja merkityksestä.
Suostumus
(12) Henkilötietojen käsittely perustuu voimassa olevan biopankkilain mukaan suostumukseen. Nyt arvioitavassa lakiehdotuksessa suostumuksen ala rajataan varsinaiseen näytteenottoon. Näytteiden käsittelystä biopankissa säädetään erikseen uudessa 11 a §:ssä. Suostumusta koskevaa sääntelyä perustellaan esityksessä (s. 12) muun ohella sen merkityksellä biolääketiedesopimuksen 5 artiklan mukaisena näytteenantajan itsemääräämisoikeutta vahvistavana ennakkoedellytyksenä näytteen ottamiselle.
(13) Näytteen keräämisen ja näytteen sekä siihen liittyvien tietojen biopankkiin luovuttamisen edellytyksenä on ehdotetun 11 §:n mukaan edelleen henkilön antama vapaaehtoinen ja tietoon perustuva kirjallinen suostumus. Ennen suostumuksen antamista henkilölle annettavista tiedoista säädetään 11 §:n 4 momentissa. Sen mukaan henkilölle on annettava riittävä selvitys biopankkitoiminnan luonteesta, mahdollisista riskeistä ja haitoista, näytteiden keräämisen ja säilyttämisen tarkoituksesta, näytteiden omistajasta ja näytteet säilyttävästä biopankista, suostumuksen vapaaehtoisuudesta sekä mahdollisuudesta peruuttaa suostumus ilman kielteisiä seuraamuksia ja oikeudesta vastustaa tietojen käsittelyä yleisen tietosuoja-asetuksen 21 artiklan mukaisesti.
(14) Perustuslakivaliokunta on voimassa olevaa sääntelyä arvioidessaan (PeVL 10/2012 vp) kiinnittänyt erityistä huomiota siihen, että suostumuksen on perustuttava riittävään tietoon näytteiden käyttötarkoituksesta ja muista näytteiden antajan kannalta merkityksellisistä yksityisyyden suojaan liittyvistä seikoista. Valiokunnan mukaan lisäksi oli välttämätöntä, että suostumuksen antaja voi rajoittaa suostumuksensa sisältöä ja halutessaan peruuttaa antamansa suostumuksen.
(15) Perustuslakivaliokunnan mukaan myös arkaluontoisten terveystietojen käsittely voi tällaisessa sääntelykontekstissa perustua suostumukseen. Suostumus ei kuitenkaan poista tarvetta varmistaa varsinkin käsillä olevan kaltaisessa arkaluonteisia henkilötietoja koskevassa perusoikeus- ja ihmisoikeusherkässä sääntely-yhteydessä, että sääntely kokonaisuutena arvioiden luo riittävät edellytykset arkaluonteisten henkilötietojen suojan ja tiedollisen itsemääräämisoikeuden tosiasialliselle toteutumiselle (PeVL 20/2020 vp, s. 5—6). Suostumuksen sääntelyn on tämän vuoksi täytettävä tietyt edellytykset. Suostumuksen on perustuttava riittävään tietoon (ks. myös esim. PeVL 23/2020 vp, s. 4—5), sen on oltava vapaaehtoisesti annettu ja oltava myös peruutettavissa. Suostumuksen antamisen tavasta on säädettävä laissa. EU:n tietosuoja-asetuksen suoraan soveltuva sääntely täyttää nämä vaatimukset.
(16) Suostumuksen peruuttamista koskevan 12 §:n mukaan henkilöllä on oikeus milloin tahansa ennen näytteen keräämistä peruuttaa 11 §:ssä tarkoitettu suostumus. Lakiehdotuksen 11 §:n mukaan kuitenkin paitsi näytteen kerääminen niin myös näytteen sekä siihen liittyvien tietojen luovuttaminen biopankkiin edellyttää henkilön antamaa vapaaehtoista ja tietoon perustuvaa suostumusta. Peruuttamisoikeus on 12 §:n säännöksessä muotoiltu ajallisesti kapeammaksi. Ehdotettua 12 §:n säännöstä perustellaan (s. 26) sillä, että suostumuksen kohdistuessa korostuneesti biopankkinäytteen keräämisen edellytyksenä olevaan interventioon, olisi suostumus peruutettavissa tämän toimenpiteen suorittamiseen saakka. Suostumuksen peruuttaminen sen kohteena olleen interventiotoimen jälkeen olisi perustelujen mukaan tehoton, sillä toimenpidettä ei tosiasiallisesti voida perua. Valiokunta kiinnittää kuitenkin huomiota siihen, että sanotulla seikalla ei voi perustella näytteen sekä siihen liittyvien tietojen luovuttamiseen biopankkiin oikeuttavan suostumuksen jäämistä peruuttamisoikeuden ulkopuolelle. Valiokunnan mielestä on lisäksi verraten epäselvää, miten mainittua henkilötietojen luovuttamiseen kohdistuvaa sääntelyä on tarkoitus soveltaa EU:n tietosuoja-asetuksen suostumusta koskevan sääntelyn puitteissa.
(17) Lakiehdotuksen 12 §:n sääntelyä itsemääräämisoikeutta turvaavasta peruuttamisoikeudesta on muutettava. Sääntelyn muuttaminen EU:n tietosuoja-asetuksen sallimissa puitteissa on edellytyksenä lakiehdotuksen käsittelemiselle tavallisen lain säätämisjärjestyksessä. Sääntelyä voidaan muuttaa esimerkiksi siten, että suostumuksen peruuttaminen on luovuttamisen osalta oikeusvaikutuksiltaan tehokas näytteiden ja tietojen luovuttamiseen asti. Vaihtoehtoisesti 11 §:n 4 momentin sääntelyä on muutettava siten, että siitä ilmenee suostumuksen antamisen edellytyksenä olevan myös henkilölle annettava riittävä selvitys peruuttamisoikeuden ajallisesta rajaamisesta.
Henkilötietojen käsittely biopankissa
(18) Lakiehdotuksen 11 a §:n mukaan biopankissa henkilötietoja saa käsitellä yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan ja 9 artiklan 2 kohdan i alakohdan nojalla, jos käsittely on välttämätöntä 5 §:ssä säädettyjen tehtävien toteuttamiseksi. Valiokunta on aiemmin arvioinut samankaltaista sääntelyratkaisua (PeVL 23/2020 vp, s. 9), jossa henkilötietojen käsittelyn kliinisissä lääke- ja laitetutkimuksissa sekä eräissä muissa lääketieteellisissä tutkimuksissa ehdotettiin perustuvan lakiin eikä tutkimukseen osallistumiseen sinänsä annettavaan suostumukseen.
(19) Perustuslakivaliokunta kiinnitti tuolloin huomiota siihen, että tutkittavan tutkimukseen osallistumiseen antaman suostumuksen peruuttamisella oli vain hyvin rajallinen ja osin jopa näennäinen tosiasiallinen vaikutus henkilötietojen käsittelyyn, vaikka suostumuksen peruuttaminen perustuisi esimerkiksi henkilön saamaan uuteen tietoon tutkimuksesta. Valiokunnan mukaan kyse oli siten merkittävästä puuttumisesta henkilön tiedolliseen itsemääräämisoikeuteen, minkä vuoksi sääntelyä oli syytä arvioida perusoikeuksien yleisten rajoitusedellytysten kannalta. Valiokunta kiinnitti kuitenkin huomiota myös siihen, että lääketieteellisen tutkimuksen tulosten eheyden ja luotettavuuden turvaamista voitiin valiokunnan mielestä pitää painavana ja perusoikeusjärjestelmän kannalta hyväksyttävänä perusteena rajoittaa itsemääräämisoikeutta. Valiokunnan mukaan lääketieteellisten tutkimusten tulosten luotettavuuden turvaamistavoitteella on läheinen yhteys tieteen vapautta turvaavaan perustuslain 16 §:n 3 momenttiin sekä välillisesti myös perustuslain 19 §:n 3 momentissa mainittuun julkisen vallan velvollisuuteen edistää väestön terveyttä (PeVL 23/2020 vp, s. 8—9, ks. myös PeVL 48/2014 vp, s. 3/I).
(20) Perustuslakivaliokunta arvioi tuolloin, että tutkittavan kannalta keskeinen vaatimus on, että hän on suostumusta antaessaan ollut tietoinen mahdollisen tulevan peruuttamisen vaikutuksettomuudesta siihen mennessä kerättyjen tietojen käsittelyyn, mikä mahdollistaa sen, että henkilö voi jo harkitessaan suostumuksen antamista tutkimukseen arvioida, haluaako hän antaa suostumuksen, vaikka suostumuksen peruuttamisen oikeusvaikutuksia henkilötietojen käsittelyyn oli tällä tavoin rajattu. Ottaen huomioon myös suoraan soveltuvan EU-sääntelyn valiokunnalla ei tuolloin ollut huomauttamista sääntelyn kokonaisuudesta (PeVL 23/2020 vp, s. 9).
(21) Perustuslakivaliokunnan mielestä myös nyt arvioitavan esityksen osalta merkityksellistä on, että siltä osin kuin käsittelyperusteena ei ehdotetun mukaisesti enää ole rekisteröidyn suostumus, rekisteröity ei voi suostumuksensa peruuttamalla estää henkilötietojen käsittelyä. Esityksessä selostetaan EU:n tietosuoja-asetuksen mukaisia rekisteröidyn oikeuksia. Valiokunta kiinnittää huomiota siihen, että nämä oikeudet eivät esityksen perustelujenkaan mukaan samaistu oikeusvaikutuksiltaan suostumuksen peruuttamiseen. Esimerkiksi perustelujen mukaan (s. 14) rekisteröidyn oikeuteen saada rekisterinpitäjä poistamaan häntä koskevat henkilötiedot yleisen tietosuoja-asetuksen 17 artiklan mukaisesti soveltuisivat 17 artiklan 3 kohdan b, c ja d alakohtien poikkeusperusteet. Asetuksen 17 artiklan 3 kohdan alakohtien perusteella rekisteröidyn oikeutta tietojen poistamiseen ei kuitenkaan sovelleta, jos käsittely tapahtuu yleistä etua koskevan tehtävän suorittamista varten, kansanterveyteen liittyvää yleistä etua koskevista syistä 9 artiklan 2 kohdan i alakohdan mukaisesti ja yleisen edun mukaisia tieteellisiä tai historiallisia tutkimustarkoituksia varten 89 artiklan 1 kohdan mukaisesti, jos poisto-oikeus todennäköisesti estää kyseisen käsittelyn tai vaikeuttaa sitä suuresti. Poisto-oikeus ei siis perustelujen mukaan tule pääsääntöisesti sovellettavaksi.
(22) Perustuslakivaliokunnan mielestä sääntely muodostaa merkittävän rajoituksen näytteen antajan itsemääräämisoikeuteen. Rajoitusta perustellaan (s. 36) muun ohella sillä, että biopankkilaissa säädetyn henkilötietojen käsittelyn tavoiteltu päämäärä on biopankkitutkimuksen tukeminen ja näin ollen tutkimuksen edistäminen, jolla parannetaan potilaiden terveyttä ja kansanterveyttä sekä lääkkeiden ja lääkinnällisten laitteiden kehitystä. Valiokunnan biopankkilain säätämisen yhteydessä omaksuman kannan mukaan tällä tehtävällä on läheinen yhteys tieteen vapautta turvaavaan perustuslain 16 §:n 3 momenttiin sekä välillisesti myös perustuslain 19 §:n 3 momentissa mainittuun julkisen vallan velvollisuuteen edistää väestön terveyttä (PeVL 10/2012 vp, s. 2). Valiokunta toistaa arvionsa.
(23) Perustuslakivaliokunnan mielestä lakiehdotusta on kuitenkin täydennettävä ja täsmennettävä tältä osin EU:n tietosuoja-asetuksen sallimissa puitteissa siten, että se turvaa paremmin itsemääräämisoikeutta. Tällainen täydentäminen ja täsmentäminen on edellytyksenä lakiehdotuksen käsittelemiselle tavallisen lain säätämisjärjestyksessä. Lakiehdotusta voidaan muuttaa esimerkiksi siten, että 11 §:n 4 momentista ilmenee myös rekisteröidyn oikeus saada riittävät tiedot annettavan suostumuksen alasta sekä siitä, että henkilötietojen käsittely biopankissa tapahtuu jatkossa suostumuksesta riippumatta. Vaihtoehtoisesti sääntelyyn on sisällytettävä esimerkiksi suojatoimena säädettävä pääsääntöinen oikeus kieltää henkilötietojen käsittely. Sääntelyn tällaisen täydentämisen ja täsmentämisen on katettava myös lakiehdotuksen 14 ja 26 §:n sääntely suojatoimena säänneltävän hyväksynnän merkityksestä.