Tiivistelmä
HALLITUKSEN ESITYS
Esityksessä ehdotetaan säädettäväksi uusi laki sosiaali- ja terveystietojen toissijaisesta käytöstä. Lisäksi ehdotetaan muutettaviksi Terveyden ja hyvinvoinnin laitoksesta annettua lakia, potilaan asemasta ja oikeuksista annettua lakia, sosiaalihuollon asiakkaan asemasta ja oikeuksista annettua lakia, sähköisestä lääkemääräyksestä annettua lakia, lääkelakia, sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annettua lakia, tartuntatautilakia ja kuolemansyyn selvittämisestä annettua lakia sekä kumottavaksi terveydenhuollon valtakunnallisista henkilörekistereistä annettu laki ja sosiaali- ja terveysalan tutkimus- ja kehittämiskeskuksen tilastotoimesta annettu laki.
Ehdotetuilla laeilla saatettaisiin tämän lainsäädäntöalueen säännökset vastaamaan 25.5.2018 alkaen sovellettavan EU:n yleisen tietosuoja-asetuksen vaatimuksia.
Ehdotetut lait on tarkoitettu tulemaan voimaan 1 päivänä tammikuuta 2018. Osaa säännöksistä sovellettaisiin kuitenkin vasta siirtymäajan jälkeen.
Esitykseen sisältyvissä säätämisjärjestysperusteluissa lakiehdotusta tarkastellaan perustuslain 10 §:n 1 momentissa turvattujen yksityiselämän suojan ja henkilötietojen suojan, julkisuusperiaatetta koskevan 12 §:n 2 momentin, norminantovaltuuksia koskevan 80 §:n sekä julkisen hallintotehtävän antamista muun kuin viranomaisen hoidettavaksi koskevan 124 §:n kannalta.
Hallitus katsoo, että lakiehdotukset voidaan säätää tavallisen lain säätämisjärjestyksessä, mutta pitää suotavana, että asiasta pyydetään perustuslakivaliokunnan lausunto.
Yleisperustelut
VALIOKUNNAN PERUSTELUT
Arvion lähtökohdat
Sääntelyn perusteet
Kehittämis- ja innovaatiotoiminta
Anonymisoitujen tietojen luovuttaminen kehittämis- ja innovaatiotoimintaan
Tietojen luovuttaminen kehittämis- ja innovaatiotoimintaan suostumuksen perusteella
Esityksen tarkoituksena on luoda ajanmukaiset ja yhdenmukaiset edellytykset sosiaali- ja terveydenhuollon palvelutoiminnassa syntyvien henkilötasoisten asiakastietojen sekä muiden terveyteen ja hyvinvointiin liittyvien henkilötietojen toissijaiselle käytölle eli käsittelylle muuhun kuin alkuperäiseen tallettamis- ja käyttötarkoitukseen. Ehdotetussa laissa sosiaali- ja terveystietojen toissijaisesta käytöstä säädettäisiin siitä, miten terveyden ja hyvinvoinnin alalla voidaan käsitellä sosiaali- ja terveydenhuollon asiakastietoja sekä muita, valtakunnallisiin henkilörekistereihin tallennettuja henkilötietoja tilastointiin, tutkimukseen, kehittämis- ja innovaatiotoimintaan, opetukseen, tietojohtamiseen, viranomaisten ohjaus- ja valvontatehtäviin sekä suunnittelu- ja selvitystehtäviin. Arkaluonteisten ja salassa pidettävien henkilötietojen käyttötarkoitukset laajenisivat nykyisestä esityksen myötä. Laissa säädetyistä käyttötarkoituksista ainakin osittain uusia olisivat kehittämis- ja innovaatiotoiminta, opetus, tietojohtaminen sekä viranomaisohjaus ja -valvonta.
Perustuslakivaliokunta on kiinnittänyt huomiota myös siihen, että Euroopan unionin yleisessä tietosuoja-asetuksessa vahvistetaan säännöt luonnollisten henkilöiden suojelulle henkilötietojen käsittelyssä sekä säännöt, jotka koskevat henkilötietojen vapaata liikkuvuutta (ks., s. 3,, s. 7—8). Valiokunnan mukaan merkityksellistä on, että EU:n perusoikeuskirjan 8 artiklassa turvataan jokaisen oikeus henkilötietojensa suojaan (, s. 3). Valiokunta on painottanut myös sitä, että EU:n henkilötietojen käsittelyä koskevaa lainsäädäntöä sovellettaessa on otettava huomioon Euroopan unionin perusoikeuskirjan 7 artiklassa turvattu yksityiselämän suoja ja 8 artiklassa tarkoitettu henkilötietojen suoja ja että EU:n tuomioistuimen antamat tuomiot määrittävät näiltä osin yksityiselämän ja henkilötietojen suojan keskeistä sisältöä (ks. esim., s. 3).
Perustuslakivaliokunta on yllämainitun johdosta katsonut, ettei estettä ole sille, että henkilötietojen suojaan liittyvät sääntelyn kattavuuden sekä täsmällisyyden ja tarkkarajaisuuden vaatimukset voidaan joiltain osin täyttää myös asianmukaisesti laaditulla yleisellä Euroopan unionin asetuksella tai kansalliseen oikeuteen sisältyvällä yleislailla (ks. myös, s. 3—4,, s. 9,, s. 4,, s. 2/I— II). Tietosuoja-asetus on EU:n säädös, joka on kaikilta osiltaan velvoittava ja jota sovelletaan sellaisenaan kaikissa jäsenvaltioissa. Euroopan unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan unionin lainsäädäntö on ensisijaista suhteessa kansallisiin säännöksiin oikeuskäytännössä määriteltyjen edellytysten mukaisesti (ks. myös esim., s. 2/II).
Perustuslakivaliokunnan valtiosääntöisiin tehtäviin ei kuulu kansallisen täytäntöönpanosääntelyn arviointi EU:n aineellisen lainsäädännön kannalta (ks. esim., s. 4). Valiokunta on pitänyt tärkeänä, että siltä osin kuin Euroopan unionin lainsäädäntö edellyttää kansallista sääntelyä tai mahdollistaa sen, tätä kansallista liikkumavaraa käytettäessä otetaan huomioon perus- ja ihmisoikeuksista seuraavat vaatimukset (ks.). Valiokunta on tämän johdosta painottanut, että hallituksen esityksessä on erityisesti perusoikeuksien kannalta merkityksellisen sääntelyn osalta syytä tehdä selkoa kansallisen liikkumavaran alasta (, s. 42,, s. 2,, s. 4). Tietosuoja-asetuksessa säädetään kansallisesta liikkumavarasta eräiden kysymysten osalta.
Perustuslakivaliokunta on tämän vuoksi arvioinut erityisesti arkaluonteisten tietojen käsittelyn sallimisen koskevan yksityiselämään kuuluvan henkilötietojen suojan ydintä (, s. 2/I), minkä johdosta esimerkiksi tällaisia tietoja sisältävien rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden, kannalta (, s. 4—5 ja esimerkiksi,sekä). Valiokunta on antanut erityistä merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevan sääntelyn kattavuutta, täsmällisyyttä ja sisältöä (ks. esim., s. 3).
Perustuslakivaliokunta on painottanut arkaluonteisten tietojen käsittelyn aiheuttamia uhkia. Valiokunnan mielestä esimerkiksi arkaluonteisina tietoina pidettävien biometristen tunnisteiden rekisteröinti merkitsee erityistä tarvetta huolehtia järjestelmään talletettavien henkilötietojen suojaamisesta väärinkäytön vaaroilta ja kaikenlaiselta tietojen laittomalta saannilta ja käytöltä (, s. 5,, s. 5). Valiokunta on kiinnittänyt erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on syytä rajata täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään (ks. esim., s. 5 ja, s. 5).
Perustuslakivaliokunta on lisäksi korostanut erityisesti arkaluonteisten tietojen käsittelyn käyttötarkoitussidonnaisuuden vaatimusta. Tietojen käyttämiseen varsinaisen keräämis- ja tallettamistarkoituksen ulkopuolelle jääviin tarkoituksiin on perustuslakivaliokunnan mukaan ollut syytä suhtautua kielteisesti esimerkiksi laajojen biometrisiä tunnisteita sisältävien rekisterien yhteydessä (, s. 4/II). Käyttötarkoitussidonnaisuudesta on voitu tällöin tehdä vain täsmällisiä ja vähäisiksi luonnehdittavia poikkeuksia. Sääntely ei ole saanut johtaa siihen, että muu kuin alkuperäiseen käyttötarkoitukseen liittyvä toiminta muodostuu rekisterin pääasialliseksi tai edes merkittäväksi käyttötavaksi (ks. myös esim., s. 5—6).
Sosiaali- ja terveystietojen toissijaisen käytön mahdollistava lakiehdotus merkitsee perustuslakivaliokunnan mielestä eräiltä osiltaan varsin olennaista arkaluonteisten tietojen käyttötarkoituksen muutosta, joka kohdistuu erittäin laajaan tietojoukkoon. Toisaalta hallituksen esityksen lakiehdotuksissa on eräiltä osin kyse myös olemassa olevan sääntelyn yhtenäistämisestä ja henkilötietojen käsittelyyn liittyvän henkilötietojen suojan parantamisesta sekä tietosuojan että tietoturvan keinoin.
Hallituksen esityksessä kiinnitetään huomiota siihen, että tietojen toissijaisen käytön on täytettävä tietosuoja-asetuksessa asetetut edellytykset. Kun tietoja käsitellään muussa kuin ensisijaisessa käyttötarkoituksessa, tietojen käsittelyn on oltava asetuksen 5 artiklan mukaisesti yhteensopivaa alkuperäisen käyttötarkoituksen kanssa. Tietojen jatkokäsittelystä voidaan 6 artiklan 4 kohdan mukaan säätää jäsenvaltion lainsäädännössä, joka muodostaa demokraattisessa yhteiskunnassa välttämättömän ja oikeasuhteisen toimenpiteen asetuksen 23 artiklassa tarkoitettujen tavoitteiden turvaamiseksi. Näitä 23 artiklassa säädettyjä tavoitteita ovat muun muassa yleiseen etuun liittyvät tärkeät tavoitteet, kuten kansanterveys ja sosiaaliturva sekä rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet. Lisäksi käsittelylle on oltava 6 artiklan 1 kohdan mukainen peruste ja arkaluonteisten tietojen käsittelyyn 9 artiklan 2 kohdan mukainen peruste (HE, s. 91).
Tietosuoja-asetuksen 9 artiklan mukaan muun muassa henkilön terveyteen ja geneettiseen perimään liittyvät arkaluonteisina pidettävät tiedot ovat nk. erityisiin henkilötietoryhmiin kuuluvia tietoja. Asetuksen johdantokappaleen 51 mukaan tällaisia perusoikeuksien ja -vapauksien kannalta arkaluonteisia henkilötietoja on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille.
Perustuslakivaliokunnan käsityksen mukaan sääntelyn perusratkaisut ovat tältä osin tietosuoja-asetuksen mukaisia. Tietosuoja-asetuksen 5 artiklan 1 b kohdan mukaan henkilötiedot on sinänsä kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten eikä näin kerättyjä henkilötietoja saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Artiklan mukaan myöhempää käsittelyä yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ei kuitenkaan katsota yhteensopimattomaksi alkuperäisten tarkoitusten kanssa.
Perustuslakivaliokunnan mukaan käsittely tällaisiin yleisen edun mukaisin tarkoituksiin ei ole ongelmallista perustuslain 10 §:n 1 momentissa turvattujen yksityiselämän ja henkilötietojen suojan kannalta (, s. 2/II), ja käsittelystä tällaisiin tarkoituksiin on säädetty myös valiokunnan myötävaikutuksella säädetyn henkilötietolain 4 luvun säännöksissä henkilötietojen käsittelystä erityisiä tarkoituksia varten (). Valiokunnan mielestä myös lakiehdotuksen sääntelyt toissijaisesta käytöstä opetuksen, tietojohtamisen sekä viranomaisen suunnittelu- ja selvitystehtävän tarpeisiin ovat vastaavalla tavalla perusteiltaan hyväksyttäviä perustuslain 10 §:n 1 momentin näkökulmasta.
Hallituksen esityksen 1. lakiehdotuksen 2 §:n mukaan tietoja voitaisiin käsitellä ja luovuttaa myös kehittämis- ja innovaatiotoiminnan tarpeisiin. Lakiehdotuksen 3 §:n 1 momentin 4 kohdan määritelmäsäännöksen mukaan kehittämis- ja innovaatiotoiminnalla tarkoitetaan teknisen ja liiketoimintatiedon sekä olemassa olevan muun tiedon soveltamista ja käyttöä yhdessä tässä laissa tarkoitettujen henkilötietojen kanssa, kun tavoitteena on kehittää uusia tai merkittävästi parannettuja tuotteita, prosesseja tai palveluja. Lakiehdotuksen 38 §:n 1 momentin mukaan Sosiaali- ja terveysalan käyttölupaviranomainen saa antaa salassapitovelvoitteiden estämättä yksittäistapauksessa käyttöluvan tietoihin, jos kehittämis- ja innovaatiotoimintaa toteutetaan muutoin kuin tieteellisen tutkimuksen menetelmin ja rekisteröity on antanut suostumuksensa tietojen käsittelyyn tässä tarkoituksessa. Ilman suostumusta tiedot voidaan luovuttaa anonymisoituina.
Henkilötietojen käyttö kehittämis- ja innovaatiotoimintaan ei edellyttäisi, että toiminta toteutettaisiin tieteellisen tutkimuksen menetelmin. Hallituksen esityksen mukaan tietosuoja-asetuksen mukaan sellaiseen kehittämis- ja innovaatiotoimintaan sovellettaisiin tieteellistä tutkimusta koskevia säännöksiä (HE, s. 91). Perustuslakivaliokunnan mielestä ehdotettu käyttö kehittämis- ja innovaatiotoimintaan ei tämän johdosta perustuslain 10 §:n 1 momentin näkökulmasta samastu edellä kosketeltuihin säännöksiin, jotka mahdollistavat käsittelyn yleisen edun mukaisiin tarkoituksiin. Valiokunnan saaman selvityksen mukaan tällaista käsittelyä ei ole myöskään tietosuoja-asetuksessa rinnastettu yleisen edun mukaiseksi alkuperäisen käyttötarkoituksen kanssa yhteensopivaksi käsittelyksi.
Hallituksen esityksessä viitataan myös siihen, että Suomessa on sosiaali- ja terveysalalla varovaisuussyistä tulkittu ahtaasti tieteellisen tutkimuksen käsitettä, mistä on seurannut, ettei tietoja ole luovutettu soveltavaan tai kaupalliseen tutkimukseen tai kehittämis- ja innovaatiotoimintaan, mikä on osaltaan johtanut tietovarantojen vähäiseen käyttöön (HE, s. 66). Esityksen tavoitteena on edistää innovaatio- ja kehittämistoimintaa ja luoda kasvun edellytyksiä Suomeen. Lainsäädännöllä luodaan toimintaedellytyksiä asiakaslähtöisille palvelumarkkinoille. Päämääränä on, että Suomeen syntyisi uusia julkisten toimijoiden ja yritysten välisiä verkostoja, kun sosiaali- ja terveystiedot ovat aiempaa joustavammin ja nopeammin saatavilla tutkimus-, kehittämis- ja innovaatiotoiminnan tarkoituksiin (HE, s. 67). Perustuslakivaliokunnan mielestä hallituksen esityksen tavoitteista ja kehittämis- ja innovaatiotoimintaa koskevista perustelulausumista ja vaikutusarvioista ilmenee, että lakiehdotuksen tarkoituksena on mahdollistaa arkaluonteisten sosiaali- ja terveystietojen verrattain laajamittainen käyttö kaupallisiin tarkoituksiin.
Hallituksen esityksen 1. lakiehdotuksen 38 §:n 2 momentin mukaan tiedot voidaan luovuttaa anonymisoituina ilman rekisteröidyn suostumusta 45 §:n mukaisesti. Lakiehdotuksen 45 §:n mukaan Sosiaali- ja terveysalan käyttölupaviranomaisen on arvioitava tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan ja 86 artiklan nojalla, onko pyydetyt tiedot mahdollista anonymisoida. Viitatuissa artikloissa säädetään virallisten asiakirjojen julkisuuden ja tietosuojan yhteensovittamisesta lainsäädännössä sekä poikkeusmahdollisuudesta 9 artiklan tarkoittamiin erityisiin henkilötietoryhmiin kuuluvien tietojen lähtökohtaisesta käsittelykiellosta. Mainitun 9 artiklan 2 kohdan g alakohdan mukaan käsittely on tarpeen tärkeää yleistä etua koskevasta syystä unionin oikeuden tai jäsenvaltion lainsäädännön nojalla edellyttäen, että se on oikeasuhteinen tavoitteeseen nähden, siinä noudatetaan keskeisiltä osin oikeutta henkilötietojen suojaan ja siinä säädetään asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn perusoikeuksien ja etujen suojaamiseksi.
Hallituksen esityksen mukaan tietojen luovuttaminen anonyymeina ei vaaranna rekisteröidyn tai kansalaisen asemaa, koska tiedoista ei voi enää tunnistaa yksilöä. Perusteluissa painotetaan sitä, että anonymisoinnissa on huolehdittava siitä, että käytetään oikeita tekniikoita, jotta lopputulos on aidosti anonyymi, eikä yksilön oikeusasema tosiasiallisestikaan vaarannu (HE, s. 81) Anonymisoinnissa tulisi kiinnittää huomiota käytettävään tekniikkaan, jotta rekisteröidyn tunnistaminen ei ole enää mahdollista (HE, s. 172).
Hallituksen esityksen mukaan tällainen tehokas anonymisointi johtaa siihen, että kyseessä ei olisi enää henkilötieto, joka vaatisi erityistä suojaa (HE, s. 172). Kun tieto on anonymisoitu, sen tunnistettavuus on poistettu siten, että siitä ei ole enää mahdollista tunnistaa rekisteröityä. Tällaista tietoa eivät enää koske henkilötietojen käsittelyä koskevat normit (HE, s. 92).
Tietosuoja-asetuksen 4 artiklan määritelmäsäännöksen mukaan henkilötiedoilla tarkoitetaan asetuksessa kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella. Asetuksen johdantokappaleen 26 mukaan tietosuojaperiaatteita sovelletaan kaikkiin tietoihin, jotka koskevat tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä. Myös pseudonymisoidut henkilötiedot, jotka voitaisiin yhdistää luonnolliseen henkilöön lisätietoja käyttämällä, on johdantokappaleen mukaan katsottava tiedoiksi, jotka koskevat tunnistettavissa olevaa luonnollista henkilöä.
Asetuksen sanotussa johdantokappaleessa viitataan edelleen siihen, että jotta voidaan määrittää, onko luonnollinen henkilö tunnistettavissa, olisi otettava huomioon kaikki keinot, joita joko rekisterinpitäjä tai muu henkilö voi kohtuullisen todennäköisesti käyttää mainitun luonnollisen henkilön tunnistamiseen suoraan tai välillisesti, kuten kyseisen henkilön erottaminen muista. Jotta voidaan varmistaa, voidaanko keinoja kohtuullisen todennäköisesti käyttää luonnollisen henkilön tunnistamiseen, olisi otettava huomioon kaikki objektiiviset tekijät, kuten tunnistamisesta aiheutuvat kulut ja tunnistamiseen tarvittava aika sekä käsittelyajankohtana käytettävissä oleva teknologia ja tekninen kehitys. Johdantokappaleen mukaan tietosuojaperiaatteita ei pitäisi soveltaa anonyymeihin tietoihin eli tietoihin, jotka eivät liity tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, tai henkilötietoihin, joiden tunnistettavuus on poistettu siten, ettei rekisteröidyn tunnistaminen ole tai ei ole enää mahdollista. Tietosuoja-asetus ei johdantokappaleen mukaan koske tällaisten anonyymien, muun muassa tilasto- tai tutkimustarkoituksia varten käytettävien tietojen käsittelyä.
Perustuslakivaliokunnan mielestä asetuksen johdantokappaleessa esitetyt tietosuoja-asetuksen soveltamisalaan kiinnittyvät rajaukset ovat ongelmattomia perustuslain 10 §:n 1 momentissa turvattujen yksityiselämän ja henkilötietojen suojan kannalta. Valiokunnan käsityksen mukaan myös alun perin arkaluonteisia henkilötietoja voidaan käsitellä tehokkaasti anonymisoituna ilman yksityiselämän tai henkilötietojen suojan vaarantumista. Olennaista on, että anonymisoinnin tehokkuus varmistetaan myös säädösperustaisesti. Valiokunnan käsityksen mukaan itsestään selvää on, että luonnollisen henkilön tunnistetietojen, kuten nimen ja henkilötunnuksen, poistaminen ei käsillä olevan kaltaisessa laajassa tietoaineistossa riitä anonymisoinnin tehokkuuden varmistamiseen. Valiokunnan mielestä myös hallituksen esityksessä on kuitenkin edellä mainittujen perustelulausumien puitteissa tunnistettu tehokkaan anonymisoinnin keskeisiä elementtejä.
Perustuslakivaliokunnan käsityksen mukaan kansallisella lainsäätäjällä on tietosuoja-asetuksen johdantokappaleessa 26 esitetyn soveltamisalarajauksen mukaan ja asetukseen omaksutun henkilötiedon määrittelyn johdosta mahdollisuus säätää viranomaisvelvollisuuksista anonymisoinnin toteuttamisessa, sillä anonymisoitujen henkilötietojen käsittely ei kuulu asetuksen soveltamisalalle. Valiokunnan käsityksen mukaan olennaista kuitenkin on, että sanotulla sääntelyllä ei voi pyrkiä kaventamaan asetuksen soveltamisalaa asetuksessa säädetystä. Valiokunta kiinnittää lisäksi huomiota siihen, että tietosuoja-asetuksen 9 artiklan 4 kohdan mukaan jäsenvaltiot voivat pitää voimassa tai ottaa käyttöön lisäehtoja, mukaan lukien rajoituksia, jotka koskevat geneettisten tietojen, biometristen tietojen tai terveystietojen käsittelyä. Nyt ehdotettava luovutusoikeus koskee poikkeuksellisen laajaa arkaluonteisia tietoja sisältävää tietojoukkoa.
Tämän johdosta sosiaali- ja terveysvaliokunnan on tarkkaan selvitettävä kansallisen sääntelyn mahdollinen ala ja täsmennettävä 1. lakiehdotuksen 38 ja 45 §:n sääntelyä olennaisesti siltä osin, kun ne kohdistuvat mahdollisuuteen luovuttaa tietoja anonymisoituina ilman rekisteröidyn suostumusta 38 §:ssä tarkoitettuun kehittämis- ja innovaatiotoimintaan. Tällainen täsmentäminen voidaan tehdä esimerkiksi säätämällä mahdollisimman yksityiskohtaisesti hallituksen esityksen perusteluissa kuvatuista anonymisoinnille asetettavista vaatimuksista. Mikäli kansallisella lainsäätäjällä ei sosiaali- ja terveysvaliokunnan käsityksen mukaan ole asiassa liikkumavaraa tällaisen täsmennyksen toteuttamiseen, on mainituista säännöksistä poistettava mahdollisuus luovuttaa tietoja viranomaisrekisteristä 38 §:ssä tarkoitettuun kehittämis- ja innovaatiotoimintaan anonymisoituina. Tällainen muutos on edellytyksenä sille, että 1. lakiehdotus voidaan käsitellä tavallisen lain säätämisjärjestyksessä.
Hallituksen esityksen 1. lakiehdotuksen 38 §:n 1 momentin mukaan tiedot voidaan luovuttaa kehittämis- ja innovaatiotoimintaan, jos rekisteröity on antanut suostumuksensa tietojen käsittelyyn tässä tarkoituksessa. Luvan saa antaa rekisteröidyn suostumuksessa annettujen ehtojen mukaisesti.
Perustuslakivaliokunta on katsonut perusoikeusrajoituksen kohteeksi joutuvan henkilön suostumuksella voivan sinänsä olla merkitystä valtiosääntöoikeudellisessa arvioinnissa. Valiokunta on kuitenkin käytännössään pitänyt tällaista sääntelytapaa ongelmallisena ja korostanut suurta pidättyväisyyttä suostumuksen käyttämisessä perusoikeuksiin puuttumisen oikeutusperusteena. Valiokunnan mukaan tällainen sääntelytapa ei ole helposti sovitettavissa yhteen sen perustuslain 2 §:n 3 momentissa vahvistettuun oikeusvaltioperiaatteeseen sisältyvän vaatimuksen kanssa, jonka mukaan julkisen vallan käytön tulee perustua lakiin. Toimivallasta puuttua yksilön perusoikeuksiin on lisäksi aina säädettävä riittävän tarkkarajaisella ja soveltamisalaltaan täsmällisellä lailla (, s. 6/II). Valiokunta onkin pitänyt selvänä, että perusoikeussuoja ei voi oikeudellisena kysymyksenä menettää aina merkitystään pelkästään siksi, että laissa säädetään jonkin toimenpiteen vaativan kohdehenkilön suostumusta. Perusoikeussuojaa ei voida millaisessa asiassa tahansa jättää riippumaan asianomaisen suostumuksesta. Valiokunta on pitänyt tässä suhteessa oleellisena sitä, mitä voidaan pitää oikeudellisesti relevanttina suostumuksena tietyssä tilanteessa, ja edellyttänyt suostumuksenvaraisesti perusoikeussuojaan puuttuvalta lailta muun muassa tarkkuutta ja täsmällisyyttä, säännöksiä suostumuksen antamisen ja sen peruuttamisen tavasta, suostumuksen aitouden ja vapaaseen tahtoon perustuvuuden varmistamista sekä sääntelyn välttämättömyyttä (, s. 3/II,, s. 2/II sekä, s. 3/II).
EU:n perusoikeuskirjan 8 artiklassa turvataan jokaisen oikeus henkilötietojensa suojaan. Artiklan mukaan henkilötietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Lisäksi tietosuoja-asetuksen 6 artiklan mukaan henkilötietojen käsittely on lainmukaista muun ohella silloin, kun rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten. Tietosuoja-asetuksen 9 artiklan mukaan erityisten henkilötietoryhmien käsittely on mahdollista niin ikään suostumuksen perusteella, paitsi jos unionin oikeudessa tai jäsenvaltion lainsäädännössä säädetään, että erityisten henkilötietoryhmien lähtökohtaista käsittelykieltoa ei voida kumota rekisteröidyn suostumuksella.
Tietosuoja-asetuksen johdantokappaleen 43 mukaan suostumuksen ei pitäisi olla pätevä oikeudellinen peruste henkilötietojen käsittelylle sellaisessa erityistilanteessa, jossa rekisteröidyn ja rekisterinpitäjän välillä on selkeä epäsuhta. Tämä koskee johdantokappaleen mukaan erityisesti tilannetta, jossa rekisterinpitäjänä on viranomainen ja jossa on sen vuoksi epätodennäköistä, että suostumus on annettu vapaaehtoisesti kaikissa kyseiseen tilanteeseen liittyvissä olosuhteissa. Asetuksen johdantokappaleessa 42 todetaan, että suostumusta ei voida pitää vapaaehtoisesti annettuna, jos rekisteröidyllä ei ole todellista vapaan valinnan mahdollisuutta ja jos hän ei voi myöhemmin kieltäytyä suostumuksen antamisesta tai peruuttaa sitä ilman, että siitä aiheutuu hänelle haittaa.
Hallituksen esityksen 1. lakiehdotuksen 38 §:n perusteluista ilmenee, että sen tarkoituksena olisi mahdollistaa suostumuksen ja erityisesti dynaamisen suostumuksen käyttö, kun rekisteritietoja käsitellään kehittämis- ja innovaatiotoiminnan käyttötarkoituksessa. Dynaamisella suostumuksella viitataan digitaaliseen alustaan, jossa rekisteröity voi vuorovaikutteisesti osallistua ja vaikuttaa suostumuksensa antamiseen ja nähdä, mihin hän on suostunut. Rekisteröity voi myös muuttaa suostumustaan alustan avulla (HE, s. 126).
Perusteluissa viitataan myös siihen, että suostumuksen antamisessa tulisi ottaa huomioon myös asetuksen johdanto-osan 33 kappale, jonka mukaan rekisteröityjen olisi voitava antaa suostumuksensa tietyille tutkimuksen aloille silloin, kun noudatetaan tieteellisen tutkimuksen tunnustettuja eettisiä standardeja. Valiokunnan saaman selvityksen mukaan kyseinen kappale ei ole kuitenkaan sovellettavissa ehdotettavaan kehittämis- ja innovaatiotoimintaan kohdistuvaan sääntelyyn, jota ei toteuteta kappaleessa viitatuin tieteellisen tutkimuksen standardein. Lakiehdotuksen määritelmäsäännös on kehittämis- ja innovaatiotoiminnan osalta verraten avoin. Lakiehdotuksessa ei määritellä täsmällisesti ja tarkkarajaisesti kehittämis- ja innovaatiotoiminnan mahdollisia aloja ja tarkoituksia. Tämän johdosta valiokunta yhtyy perusteluissa esitettyyn johtopäätökseen, jonka mukaan rekisteröidyillä on oltava mahdollisuus antaa suostumuksensa ainoastaan tietyille tutkimusaloille tai tutkimushankkeiden osille (HE, s. 126).
Suostumukselle asetettavien vaatimusten osalta hallituksen esityksessä viitataan myös siihen, että pykälässä ei määritettäisi suostumuksen tarkempaa muotoa, koska se seuraa suoraan tietosuoja-asetuksesta, erityisesti asetuksen 7 artiklasta. Tietosuoja-asetuksen sen mahdollistaessa suostumuksen muoto voisi vaihdella riippuen siitä, mitä tietoja kulloinkin hyödynnetään (HE, s. 126). Perustelulausuma viitannee siihen, että tietosuoja-asetuksessa edellytetään erityisten henkilötietoryhmien osalta käsittelyyn oikeuttavalta suostumukselta nimenomaisuutta. Perustuslakivaliokunta kiinnittää huomiota myös tietosuoja-asetuksen 7 artiklan sääntelyyn suostumuksen peruuttamisesta. Valiokunta huomauttaa myös, että asetuksen suostumusta koskeva sääntely on merkityksellistä myös arvioitaessa suostumuksen subjektia, eikä kansallisella lainsäädäntöratkaisulla voi säätää vapaasti esimerkiksi sosiaalihuollon perhekohtaisten tietojen luovuttamiseen valtuuttavan suostumuksen antajasta tai alaikäisen suostumuksen merkityksestä asetuksen sääntelystä poikkeavalla tavalla ilman siihen nimenomaisesti oikeuttavaa perustetta asetuksessa. Tietosuoja-asetuksen johdantokappaleessa 38 viitataan nimenomaisesti siihen, että erityisesti lasten henkilötietoja on pyrittävä suojaamaan, koska he eivät välttämättä ole kovin hyvin perillä henkilötietojen käsittelyyn liittyvistä riskeistä, seurauksista, asianomaisista suojatoimista tai omista oikeuksistaan.
Perustuslakivaliokunta kiinnittää tämän johdosta huomiota siihen, että erityisiä henkilötietoryhmiä koskevan tietosuoja-asetuksen 9 artiklan mukaan jäsenvaltion lainsäädännössä voidaan säätää, että lähtökohtaista kieltoa niiden käsittelyyn ei voida kumota rekisteröidyn suostumuksella. Valiokunnan käsityksen mukaan tällaista kansallista liikkumavaraa olisi perustuslain 10 §:n kannalta perusteltua voida käyttää myös siten, että suostumuksen käytölle 9 artiklan tarkoittamien tietojen käsittelyn oikeusperusteena asetetaan jäsenvaltion lainsäädännössä edellytyksiä sitä kuitenkaan kokonaan estämättä. Valiokunta kiinnittää myös tässä yhteydessä huomiota siihen, että tietosuoja-asetuksen 9 artiklan 4 kohdan mukaan jäsenvaltiot voivat pitää voimassa tai ottaa käyttöön lisäehtoja, mukaan lukien rajoituksia, jotka koskevat geneettisten tietojen, biometristen tietojen tai terveystietojen käsittelyä.
Perustuslakivaliokunnan mielestä on valitettavaa, että hallituksen esityksessä ei kuvata kansallisen liikkumavaran alaa tältä osin asianmukaisesti. Sosiaali- ja terveysvaliokunnan on selvitettävä tarkkaan kansallisen liikkumavaran laajuus ja sen asettamissa puitteissa täsmennettävä sääntelyä siten, että tietosuoja-asetuksen 9 artiklassa tarkoitettujen tietojen luovutus 38 §:ssä tarkoitettuun kehittämis- ja innovaatiotoimintaan on mahdollista asetuksessa suostumukselta edellytetyn lisäksi vain sellaisen asiallisesti tietyille tutkimusaloille tai -hankkeille rajatun suostumuksen perusteella, joka annetaan tosiasiallisesti vapaaehtoisesti ja riittävään tietoon perustuen muussa yhteydessä kuin sosiaalihuollon tai terveydenhoidon asiakaspalvelutilanteessa. Estettä ei valiokunnan mielestä ole sille, että tällainen suostumus säädetään hankittavaksi esimerkiksi hallituksen esityksessä kuvatun digitaalisen alustan välityksellä asiakaspalvelutilanteesta erillään. Mikäli kansallista liikkumavaraa tällaiseen sääntelyn täsmentämiseen ei ole, on sääntelystä poistettava mahdollisuus luovuttaa sosiaali- ja terveydenhuollon asiakastietoja viranomaisen rekisteristä 38 §:ssä tarkoitettuun kehittämis- ja innovaatiotoimintaan suostumuksen perusteella. Tällainen muutos on edellytyksenä sille, että 1. lakiehdotus voidaan käsitellä tavallisen lain säätämisjärjestyksessä.
Valiokunnan päätösehdotus
VALIOKUNNAN PÄÄTÖSESITYS
Perustuslakivaliokunta esittää,
että lakiehdotukset voidaan käsitellä tavallisen lain säätämisjärjestyksessä, 1. lakiehdotus kuitenkin vain, mikäli valiokunnan sen 38 ja 45 §:stä tekemät valtiosääntöoikeudelliset huomautukset otetaan asianmukaisesti huomioon.