Utgångspunkter för bedömningen
(1) Regeringen föreslår att övergångstiderna för de riksomfattande informationssystemtjänsterna ändras. För tjänstetillhandahållare inom hälso- och sjukvården föreslås rätt att till en med patienten överenskommen tjänstetillhandahållare inom hälso- och sjukvården lämna ut uppgifter som är nödvändiga för att ordna undersökning och vård av patienten. För yrkesutbildade personer inom socialvården som är verksamma inom hälso- och sjukvården föreslås rätt att få tillgång till Folkpensionsanstaltens förmånsuppgifter. I lagarna införs dessutom vissa korrigeringar av teknisk natur.
(2) De föreslagna bestämmelserna är betydelsefulla med avseende på skyddet för privatlivet och för personuppgifter i 10 § i grundlagen. Regleringen är av betydelse också med avseende på EU:s stadga om de grundläggande rättigheterna. Artikel 7 i Europeiska unionens stadga om de grundläggande rättigheterna tryggar skyddet för privatlivet och artikel 8 tillförsäkrar var och en rätt till skydd för personuppgifter.
(3) Grundlagsutskottet anser att dataskyddsförordningens detaljerade bestämmelser, som tolkas och tillämpas i enlighet med de rättigheter som garanteras i EU:s stadga om de grundläggande rättigheterna, allmänt taget utgör en tillräcklig rättslig grund även med avseende på skyddet för privatlivet och personuppgifter enligt 10 § i grundlagen. Skyddet för personuppgifter bör i första hand tillgodoses utifrån den allmänna dataskyddsförordningen och den allmänna lagstiftningen på nationell nivå (se GrUU 14/2018 rd, s. 4).
(4) Grundlagsutskottet ser det dock som klart att behovet av speciallagstiftning i enlighet med det riskbaserade synsätt som också dataskyddsförordningen kräver måste bedömas utifrån de hot och risker som behandlingen av personuppgifter orsakar. Ju större risk fysiska personers rättigheter och friheter utsätts för på grund av behandlingen, desto mer motiverat är det med mer detaljerade bestämmelser. Denna omständighet är av särskild betydelse när det gäller behandling av känsliga uppgifter (se GrUU 14/2018 rd, s. 5). Enligt grundlagsutskottet är uppgifter om hälsotillstånd personuppgifter som i konstitutionellt hänseende bedöms vara känsliga (se t.ex. GrUU 15/2018 rd, s. 35–43, GrUU 1/2018 rd).
(5) Den lag om behandling av kunduppgifter inom social- och hälsovården som nu föreslås bli ändrad har rätt nyligen stiftats med grundlagsutskottets medverkan (GrUU 89/2022 rd). Utskottet har också gjort en ingående bedömning av den tidigare regleringen om elektronisk behandling av kunduppgifter inom social- och hälsovården (GrUU 4/2021 rd). Utskottet har inget att invända mot de grundläggande lösningarna för den nu föreslagna regleringen. Social- och hälsovårdsutskottet bör dock säkerställa att de föreslagna ändringarna i övergångsperioderna inte orsakar oreglerade situationer vid behandlingen av kunduppgifter inom social- och hälsovården.
(6) Grundlagsutskottet inskärper dessutom att utskottet relativt ofta har konstaterat att lagstiftningen har blivit mycket ogenomtänkt och svårtydd (se t.ex. GrUU 47/2006 rd, s. 2, GrUU 43/2006 rd, s.2, GrUU 41/2006 rd, s. 2, och GrUU 25/2005 rd, 5). Utskottet har förutsatt att målgruppen för bestämmelserna utan svårigheter ska kunna tillämpa dem (se t.ex. GrUU 60/2014 rd, s. 3). Utskottet har också betonat att det är särskilt viktigt med tydlig reglering i fråga om denna typ av bestämmelser som har kopplingar till de grundläggande fri- och rättigheterna och som gäller fysiska personers normala dagliga aktiviteter (se t.ex. GrUU 51/2016 rd, s. 5, GrUU 45/2016 rd, s. 3). Utskottet har betonat att svårbegripligheten i den nu aktuella regleringen också har en negativ inverkan på rättsskyddet för yrkesutbildade personer inom hälso- och sjukvården (GrUU 4/2021 rd, stycke 13). Utskottet betonar fortsättningsvis vikten av detta (GrUU 51/2022 rd, stycke 11).
Utlämnande av patientuppgifter
(7) I det nya 54 § 5 mom. i lagförslag 1 sägs att en tjänstetillhandahållare inom hälso- och sjukvården får till en med patienten överenskommen tjänstetillhandahållare inom hälso- och sjukvården lämna ut de patientuppgifter som är nödvändiga för att ordna undersökning och vård av patienten. Enligt specialmotiveringen till bestämmelsen (s. 11) motsvarar regleringen i funktionellt hänseende 13 § 3 mom. 2 punkten i lagen om patientens ställning och rättigheter (patientlagen), enligt vilken patientuppgifter har kunnat lämnas ut till en annan verksamhetsenhet eller yrkesutbildad person i enlighet med patientens muntliga samtycke eller ett samtycke som annars framgår av sammanhanget. I förslaget motsvaras enligt motiven ett muntligt samtycke som framgår av sammanhanget av att det ska vara fråga om en med patienten avtalad tjänstetillhandahållare till vilken uppgifter får lämnas ut.
(8) Enligt artikel 8 i EU:s stadga om de grundläggande rättigheterna ska personuppgifter behandlas på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Enligt artikel 9 i EU:s dataskyddsförordning är behandlingen av uppgifter om hälsa möjlig och lagenlig bland annat endast när den registrerade uttryckligen har lämnat sitt samtycke till behandlingen av personuppgifterna för ett eller flera specifika ändamål. Enligt grundlagsutskottet har en reglering som betonar självbestämmanderätten varit särskilt motiverad i den aktuella lagstiftningskontexten (GrUU 4/2021 rd, stycke 19). I sina analyser av omfattning, exakthet och innehåll i lagstiftning om rätten att få och lämna ut uppgifter trots sekretess har utskottet dessutom lagt vikt vid att de uppgifter som lämnas ut är av känslig art (se t.ex. GrUU 38/2016 rd, s. 3). Behandlingen av känsliga uppgifter ska vara nödvändig och regleringen exakt och noggrant avgränsad.
(9) Det datainnehåll som omfattas av bestämmelsen är i sig på behörigt sätt bundet till nödvändigheten av att ordna forskning och vård. Grundlagsutskottet har dock inte inom ramen för sitt konstitutionella uppdrag gjort någon övergripande bedömning av den föreslagna regleringens överensstämmelse med EU:s dataskyddsförordning. Social- och hälsovårdsutskottet bör således noggrant försäkra sig om att regleringen är förenlig med EU:s dataskyddsförordning och fästa särskild uppmärksamhet vid förhållandet mellan det avtal som avses i bestämmelsen och det som i EU:s dataskyddsförordning föreskrivs om samtycke.
(10) Grundlagsutskottet fäster med tanke på en omsorgsfull lagberedning uppmärksamhet vid att den finska ordalydelsen i 54 § 5 mom. i lagförslag 1 (”potilaan kanssa sovitulle terveydenhuollon palvelunantajalle”, s. 20) avviker från ordalydelsen i parallelltexterna ("potilaan kanssa sovitulle palvelunantajalle", s. 25). Utskottet har inte gjort någon heltäckande jämförelse till övriga delar.
Rätt för myndigheter inom social- och hälsovården att få uppgifter
(11) Enligt 64 § i propositionens lagförslag 1 har yrkesutbildade personer inom socialvården som är anställda vid en myndighet inom hälso- och sjukvården trots sekretessbestämmelserna rätt att avgiftsfritt från Folkpensionsanstalten få sådana uppgifter om patientens sociala förmåner som är nödvändiga för att säkerställa rådgivning och handledning om förmåner i anslutning till patientens hälsotillstånd. Patienten ska på förhand underrättas om utnyttjandet av rätten att få uppgifter.
(12) Grundlagsutskottet har ofta bedömt omfattningen, exaktheten och innehållet i bestämmelser om rätten att få och lämna ut uppgifter trots sekretess (se t.ex. GrUU 89/2022 rd, stycke 12). Myndigheternas rätt att få och möjlighet att lämna ut information kan enligt utskottet gälla ”behövliga uppgifter” för ett visst syfte, om lagen avses ge en uttömmande förteckning över innehållet i uppgifterna. Om datainnehållet däremot inte anges i form av en förteckning, ska det i lagstiftningen ingå ett krav på att "uppgifterna är nödvändiga" för ett visst syfte (se t.ex. GrUU 13/2023 rd, stycke 15). Utskottet har ingenting att anmärka på detta.
(13) Grundlagsutskottet noterar dock att det i detaljmotiveringen till den föreslagna bestämmelsen (s. 14) hänvisas till att FPA som en elektronisk förbindelse har skapat den så kallade Kelmu-tjänsten som kan utnyttjas om förutsättningarna för öppnande av en sådan förbindelse enligt 23 § i lagen om informationshantering inom den offentliga förvaltningen uppfylls. Enligt utskottets uppfattning lämpar sig förbindelsen inte för sådan överlåtelse av information där myndigheten i det enskilda fallet måste bedöma om överföringen är nödvändig (GrUU 73/2018 rd, s. 10). Social- och hälsovårdsutskottet bör i motiveringen granska hur man genom en elektronisk förbindelse i praktiken kan försäkra sig om att de uppgifter som lämnas ut är nödvändiga på det sätt som den föreslagna bestämmelsen förutsätter.
(14) Grundlagsutskottet fäster ytterligare uppmärksamhet vid den tillämpningssituation som beskrivs i motiveringen till bestämmelsen (s. 13). Enligt motiveringen kan rätten att få uppgifter utnyttjas till exempel så att av uppgifterna som gäller bostadsbidrag framgår hyresvärden, som vid behov kan underrättas om att sjukhusvården drar ut på tiden, och på så vis kan man säkerställa att den förlängda sjukhusvården inte medför problem för kundens boende. Utskottet anser att det inte är förenligt med bestämmelsens ordalydelse om säkerställande av rådgivning och handledning i fråga om förmåner. Social- och hälsovårdsutskottet bör vid behov ändra regleringen.