4.1
De viktigaste förslagen
I Finland är smittspårning samt isolerings- och karantänåtgärder enligt lagen om smittsamma sjukdomar effektiva metoder för att begränsa och bekämpa spridningen av covid-19-epidemin. Åtgärderna enligt lagen om smittsamma sjukdomar kan stödjas genom det föreslagna informationssystemet. Utgångspunkten för hanteringen av situationen med en smittsam sjukdom är att identifiera den som insjuknat och att med hjälp av effektiv och snabb smittspårning få information om personens närkontakter och dem som eventuellt exponerats för smitta. Informationssystemet effektiviserar möjligheterna att spåra upp personer som eventuellt exponerats tidigare än för närvarande. Effektiv och snabb spårning av exponerade spelar en nyckelroll när man vill lätta på begränsningsåtgärderna. Om informationssystemet, som utnyttjar mobil teknik, kan bidra till att effektivisera spårningen av de exponerade, kan man rikta åtgärder som förhindrar att sjukdomen sprids, såsom anvisningar från hälso- och sjukvården, direkt till dem. Således kan ibruktagandet av informationssystemet i bästa fall minska behovet av begränsningar som allmänt riktar sig till hela befolkningen.
Med hjälp av det föreslagna informationssystemet kan man spåra upp potentiella exponerade personer som varit i närkontakt med en smittspridare och snabbare informera dem om att de blivit exponerade. Med hjälp av informationssystemet är det möjligt att kartlägga och spåra upp dem som varit i närheten av den smittade tillräckligt länge och som således eventuellt utsatts för viruset effektivare än enbart med hjälp av smittspårning enligt lagen om smittsamma sjukdomar. Med hjälp av informationssystemet kan man spåra upp också sådana applikationsanvändare i vars närhet den smittade personen inte minns att han eller hon varit eller som han eller hon inte själv känner och som annars inte skulle kunna spåras upp. För att man inom hälso- och sjukvårdssystemet ska kunna dra nytta av informationssystemet och uppnå kostnadseffektivitet är det viktigt att resurserna riktas på ett ändamålsenligt sätt till att med hjälp av kontaktbegäran spåra upp dem som eventuellt exponerats och till fortsatta åtgärder som behövs för dem. Genom att effektivt rikta åtgärderna till dem som eventuellt exponerats kan man i viss mån också undvika onödiga kostnader som orsakas av allmänna åtgärder eller begränsningar som riktas till alla.
Det arbete för att hantera covid-19-epidemin som i Finland utförs av smittskyddsläkarna och hälso- och sjukvårdens servicesystem stöds för närvarande inte ännu med nationella lösningar som utnyttjar mobil teknik. Expertsynpunkter har i olika sammanhang lyft fram möjligheten att med hjälp av en mobilapplikation som personen har tagit i bruk kartlägga och spåra upp personer som varit i närkontakt med någon som har insjuknat i coronavirussjukdomen. För närvarande baserar sig den kontakt som yrkesutbildade personer som utreder en smittsam sjukdom tar med de exponerade på sådana uppgifter om närkontakter och på sådana kontaktuppgifter den insjuknade lämnat. Således fås ingen information om sådana exponerade personer som den smittade personen inte känner personligen eller som den smittade inte längre i efterhand kommer ihåg att han eller hon har träffat. Syftet med mobilapplikationen är att spåra upp i synnerhet dessa personer som potentiellt exponerade.
Redan i nuläget kan en person göra en symtombedömning i den nationella Omaolo.fi-tjänsten och via den hänvisas till att kontakta hälso- och sjukvården. Hälso- och sjukvårdspersonalen kan då utifrån en bedömning av servicebehovet hänvisa personen till ett test. Testprocessen kan inledas också när en person spåras upp genom sådan spårning av exponerade som utförs enligt lagen om smittsamma sjukdomar. Syftet med testningen är att förhindra att sjukdomen sprids genom att isolera den som blivit smittad av covid-19, skydda riskgrupperna, säkerställa att det finns tillräckligt med personal för kritiska arbetsuppgifter och trygga att hälso- och sjukvården är bärkraftig, stödja spårningen av smittkedjor samt stödja bildandet av en lägesbild av epidemins förlopp. Denna information är viktig när nödvändigheten, proportionaliteten och varaktigheten av olika begränsningsåtgärder bedöms. Ibruktagandet av mobilapplikationen kan bedömas öka testningen av sjukdomen och därmed också konstaterandet av sjukdomen, vilket också ger information om lägesbilden av sjukdomens spridning.
Med hjälp av mobilapplikationen kan individernas frivilliga deltagande i bromsandet av epidemin stödjas och effektiviseras. Utgångspunkten för ibruktagandet av applikationen är att man har förtroende för den på myndighetsansvar baserade applikationen och att användningen av applikationen är frivillig. När det gäller den föreslagna applikationen baserar sig förtroendet på att informationssystemet och den mobilapplikation som ingår i det tillhandahålls av Institutet för hälsa och välfärd, som enligt lagen om smittsamma sjukdomar också i övrigt är nationell sakkunniginrättning för bekämpningen av smittsamma sjukdomar. Det är möjligt att det på marknaden kommer ut också andra system eller lösningar som lämpar sig för smittspårning, men på dem tillämpas inte den lagstiftning som här föreslås och de omfattas således inte av det myndighetsansvar som föreslås i propositionen. Dessutom har den aktiveringskod som den smittade matar in i applikationen fåtts av hälsovårdsmyndigheterna, vilket betyder att man via applikationen inte kan sprida information om smitta utan att smittan har konstaterats inom hälso- och sjukvården. När det gäller det informationssystem som avses i propositionen baserar sig förtroendet också på att uppgifterna i enlighet med de föreslagna bestämmelserna samlas in och sparas endast i så liten omfattning och en så kort tid som behövs och att uppgifterna inte används för andra ändamål.
Med hjälp av det föreslagna informationssystemet och den mobilapplikation som ingår i det får en person som fått uppgifter om eventuell exponering information till stöd för sitt handlande. Med hjälp av applikationen kan man förmedla inte bara uppgifter om exponering utan också anvisningar. En person kan på eget initiativ undvika kontakt med andra så snart som möjligt efter att ha fått kännedom om sin eventuella exponering.
I nuläget baserar sig spårningen av exponerade på lagen om smittsamma sjukdomar. Enligt 22 § i den lagen är den som insjuknat eller med fog misstänks ha insjuknat skyldig att meddela den läkare som utreder saken namnen på de personer som eventuellt kan vara smittkälla eller som kan ha blivit smittade. Enligt 60 § i den gällande lagen om smittsamma sjukdomar kan den läkare i tjänsteförhållande som i kommunen ansvarar för smittsamma sjukdomar eller den läkare i tjänsteförhållande som i samkommunen för sjukvårdsdistriktet ansvarar för smittsamma sjukdomar besluta att en person ska hållas i karantän i högst en månad. Beslut om karantän kan meddelas den som konstaterats eller med fog misstänks ha utsatts för en allmänfarlig smittsam sjukdom.
Med hjälp av det föreslagna informationssystemet kan beslut om karantän enligt lagen om smittsamma sjukdomar meddelas effektivare än för närvarande, eftersom man med hjälp av den mobilapplikation som personen tagit i bruk kan få information om en större mängd personer som eventuellt exponerats än för närvarande. Dessutom kan information om eventuell exponering i många fall fås snabbare än för närvarande. Det ska dock vara frivilligt att ta i bruk och använda mobilapplikationen, och den som använder applikationen är inte skyldig att i enlighet med 22 § i lagen om smittsamma sjukdomar lämna sådan information om eventuell exponering som han eller hon fått med hjälp av applikationen. Den information som mobilapplikationen ger om eventuell exponering kan dock inte ensam utgöra en sådan befogad misstanke som avses i 60 § i lagen om smittsamma sjukdomar om att en person har utsatts för en allmänfarlig smittsam sjukdom, utan det ska också finnas andra bevis på exponeringen. När mobilapplikationen används går det inte att med säkerhet identifiera exponeringen, eftersom applikationen inte kan identifiera alla rådande omständigheter som påverkar exponeringen.
Även om mobilapplikationen tas i bruk är avsikten att även i fortsättningen arbeta med spårningen av smittkedjor på samma sätt som för närvarande, dvs. att den som utför spårningsarbetet per telefon tar kontakt med en person som eventuellt exponerats eller dennes lagliga företrädare. På patientens ställning och rättigheter samt på anteckningar i journalhandlingarna ska bestämmelserna i patientlagen tillämpas.
Allmänna dataskyddsförordningen och det handlingsutrymme den medger
Bestämmelser om behandling av personuppgifter finns i Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), som är direkt tillämplig, och i den nationella allmänna lag som kompletterar den, dvs. dataskyddslagen (1050/2018).
Med personuppgifter avses enligt allmänna dataskyddsförordningen varje upplysning som avser en identifierad eller identifierbar fysisk person. Som identifierbar betraktas en fysisk person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Med pseudonymisering avses behandling av personuppgifter på ett sätt som innebär att personuppgifterna inte längre kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person. Pseudonymiserade uppgifter eller annars pseudonyma uppgifter är dock personuppgifter och på dem ska dataskyddslagstiftningen därför tillämpas.
För behandlingen av personuppgifter ska det finnas en sådan allmän rättslig grund som avses i artikel 6 i allmänna dataskyddsförordningen. Den rättsliga grund som bäst lämpar sig för behandling av personuppgifter i samband med informationssystemet är artikel 6.1 e i allmänna dataskyddsförordningen, där det anges att behandlingen är laglig om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Behandlingen kan dock inte direkt basera sig på nämnda punkt i allmänna dataskyddsförordningen, utan enligt artikel 6.3 i den förordningen ska grunden för behandlingen fastställas antingen i enlighet med unionsrätten eller med en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Eftersom det inte finns någon lagstiftning på området, ska det föreskrivas särskilt om behandlingen av personuppgifter i samband med mobilapplikationen.
När behandlingen av personuppgifter grundar sig på artikel 6.1 e i allmänna dataskyddsförordningen ska medlemsstatens nationella rätt uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas så som föreskrivs i artikel 6.3 i den förordningen. Den föreslagna mobilapplikationen kan under den rådande covid-19-epidemin anses uppfylla ett mål av allmänt intresse och vara proportionell mot det mål som eftersträvas med den med beaktande av de fördelar som uppnås med informationssystemet och som beskrivs närmare i propositionen. Enligt artikel 6.3 i allmänna dataskyddsförordningen kan det i den rättsliga grunden för behandlingen föreskrivas t.ex. om de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, för vilka ändamål personuppgifter får lämnas ut, lagringstid samt typer av behandling och förfaranden för behandling.
I samband med informationssystemet behandlas också uppgifter om hälsa. De betraktas som sådana i artikel 9 i allmänna dataskyddsförordningen avsedda uppgifter som hör till särskilda kategorier av personuppgifter och vars behandling i princip är förbjuden. Behandling av sådana uppgifter är tillåten endast om det utöver den allmänna behandlingsgrunden enligt artikel 6.1 i den förordningen finns en sådan särskild behandlingsgrund som avses i artikel 9.2.
Enligt artikel 9.2 i i allmänna dataskyddsförordningen är behandling av uppgifter om hälsa tillåten när det är nödvändigt av skäl av allmänt intresse på folkhälsoområdet, såsom behovet av att säkerställa ett skydd mot allvarliga gränsöverskridande hot mot hälsan. Behandlingen av uppgifter om hälsa i samband med informationssystemet kan grunda sig på denna punkt i allmänna dataskyddsförordningen. Också i detta fall förutsätts dock lagstiftning om saken och det ska dessutom föreskrivas om lämpliga och särskilda åtgärder för att skydda den registrerades rättigheter och friheter. I skäl 52 i ingressen till allmänna dataskyddsförordningen nämns som en grund för behandling av uppgifter om hälsa att förebygga eller kontrollera smittsamma sjukdomar och andra allvarliga hot mot hälsan.
Riksdagens grundlagsutskott har påpekat att nationell speciallagstiftning om skydd för personuppgifter bör reserveras för situationer då den är dels tillåten enligt allmänna dataskyddsförordningen, dels nödvändig för att tillgodose skyddet för personuppgifter. Grundlagsutskottet har i den konstitutionella bedömningen av behandlingen av personuppgifter ansett att det också är av betydelse om syftet med behandlingen är att möjliggöra utövning av offentlig makt mot individer. Enligt 2 § 3 mom. i grundlagen ska all utövning av offentlig makt bygga på lag. För bestämmelser i lag gäller i sin tur det generella kravet att lagen ska vara exakt och noga avgränsad.
Vid bedömningen av behovet av speciallagstiftning och hur pass detaljerad den ska vara ska man också i enlighet med det riskbaserade synsätt som krävs enligt allmänna dataskyddsförordningen också beakta de hot och risker som behandlingen av uppgifterna medför. Ju större risk fysiska personers rättigheter och friheter utsätts för på grund av behandlingen, desto mer motiverat anses det vara med mer detaljerade bestämmelser. Särskilt tillåtande av behandling av känsliga uppgifter berör själva kärnan i skyddet för personuppgifter, vilket inneburit t.ex. att inrättandet av register med sådana uppgifter måste bedömas mot villkoren för inskränkningar i de grundläggande fri- och rättigheterna, särskilt inskränkningarnas acceptabilitet och proportionalitet. Det bör finnas exakta och noggrant avgränsade bestämmelser om att det är tillåtet att behandla känsliga uppgifter bara om det är absolut nödvändigt.
Med beaktande av att behandlingen av personuppgifter inom informationssystemet avses gälla en stor grupp av personer, att de uppgifter om hälsa som behandlas hör till särskilda kategorier av personuppgifter samt att behandlingen av uppgifter även i övrigt medför risker, finns det skäl att i de bestämmelser som gäller informationssystemet och den behandling av personuppgifter som sker i samband med det föreskriva om behandlingen av personuppgifter tillräckligt detaljerat och noggrant avgränsat inom ramen för det regleringsutrymme som allmänna dataskyddsförordningen medger. Dessutom ska det föreskrivas om lämpliga skyddsåtgärder i enlighet med artikel 9.2 i i allmänna dataskyddsförordningen.
4.2
De huvudsakliga konsekvenserna
Samhälleliga konsekvenser
Det informationssystem som syftar till att effektivisera spårning och brytande av smittkedjor för sjukdomen covid-19 har samhälleliga konsekvenser. Den som tar i bruk mobilapplikationen kan själv delta i och påverka den allmänna kontrollen av sjukdomen covid-19. Människor har vanligen behov av att bedöma sina egna symtom och få tillförlitlig hälsoinformation. En person har dessutom behov av att få information om sin eventuella exponering, så att han eller hon utan dröjsmål kan vidta frivilliga åtgärder för att förhindra eventuell spridning av smitta. Människor kan således sörja inte bara för sin egen hälsa utan också för hälsan i sin närmiljö, eftersom applikationen också kan förmedla information till dem som eventuellt exponerats för viruset. Informationssystemet kan också ha konsekvenser för hälso- och sjukvårdsverksamheten, eftersom arbetet med att spåra smitta kan gå snabbare när de personer som har tagit i bruk mobilapplikationen meddelar hälso- och sjukvården om att de eventuellt har exponerats.
Ekonomiska konsekvenser
Det informationssystem som syftar till att effektivisera spårning och brytande av smittkedjor för covid-19 har ekonomiska konsekvenser. Informationssystemet och utvecklandet och förvaltandet av den mobilapplikation och de bakomliggande system som ingår i systemet medför kostnader. Kostnader orsakas också av att information förmedlas till allmänheten om möjligheten att använda mobilapplikationen och om annan kommunikation i anslutning till användningen av informationssystemet. Dessutom kan ändringar i verksamhetsmodellen leda till ett behov att utveckla även andra informationssystem som används i spårningsverksamheten. I den tredje tilläggsbudgeten föreslås ett anslag på 6 miljoner euro för genomförandet av denna helhet. Befolkningen använder applikationen i sina smarttelefoner, och användningen av applikationen medför i princip inga extra kostnader.
Mobilapplikationen kan ha konsekvenser för smittspårningsverksamheten. Applikationen kan effektivisera spårningen genom att göra det möjligt att spåra upp de exponerade i större utsträckning och snabbare än för närvarande. Man kan då delvis undvika de samhälleliga kostnader i anslutning till eventuellt insjuknande som orsakas av sådana exponerade personer som inte kan spåras upp med nuvarande metoder. Med hjälp av det föreslagna informationssystemet kan man undvika de samhälleliga kostnader som spridningen av covid-19-epidemin orsakar när smittkedjorna snabbare kan brytas. Sådana kostnader är bl.a. samhälleliga kostnader i anslutning till vården av insjuknade och till beslut om karantän. Dessa kostnader kan potentiellt vara mycket höga om epidemin sprids ytterligare.
Syftet med mobilapplikationen är också att spåra upp en större krets av personer som eventuellt exponerats än för närvarande, vilket innebär att kontaktandet av dem och utredningen av deras situation samt eventuella beslut om karantän medför mer arbete i anslutning till spårningen och därmed ökar de direkta kostnaderna för spårningsverksamheten i kommunerna och samkommunerna för sjukvårdsdistrikten.
Eftersom det föreslagna informationssystemet inte samlar in geografisk information och inte gör det möjligt att på ett identifierbart sätt koppla ihop en smittad person och en eventuell exponerad person med varandra, kan systemet inte användas för att identifiera vilka exponeringar som är kopplade till varandra i kedjor eller grupper. Emellertid ökar antalet personer som behöver kontaktas. Detta medför behov av tilläggsresurser för spårningsarbetet och därigenom extra kostnader. Kostnader föranleds dessutom av en eventuellt mer omfattande testning av exponerade och av beslut om karantän. Kostnader föranleds också av att Folkpensionsanstalten beviljar dagpenning vid smittsam sjukdom till ett eventuellt större antal personer som meddelats beslut om karantän.
Kommunen är enligt 9 § i den gällande lagen om smittsamma sjukdomar skyldig att inom sitt område ordna bekämpningen av smittsamma sjukdomar på det sätt som föreskrivs i folkhälsolagen (66/1972), hälso- och sjukvårdslagen (1326/2010) och lagen om smittsamma sjukdomar. Kommunerna och samkommunerna för sjukvårdsdistriktet ansvarar i enlighet med 23 § i den gällande lagen om smittsamma sjukdomar också för utredning av epidemier och spårningsverksamhet i anslutning till smittsamma sjukdomar. Enligt 1 mom. i den paragrafen ska den läkare som i kommunen ansvarar för smittsamma sjukdomar utreda lokala epidemier och spåra smittan. Enligt 2 mom. i den paragrafen styr den läkare som i samkommunen för sjukvårdsdistriktet ansvarar för smittsamma sjukdomar utredningen av epidemier och smittspårningen inom samkommunen för sjukvårdsdistriktet samt utför utredning av en utbredd epidemi i samarbete med kommunerna. Kommunernas uppgifter enligt lagen om smittsamma sjukdomar är statsandelsåligganden enligt 1 § i lagen om statsandel för kommunal basservice (1704/2009). Propositionen innehåller dock inga nya uppgifter eller skyldigheter för kommunerna eller samkommunerna för sjukvårdsdistrikten och de nuvarande uppgifterna utvidgas inte. Kommunens uppgifter förblir oförändrade till följd av propositionen.
Med tanke på uppgifterna för kommunen och samkommunen för sjukvårdsdistriktet ger det på mobilteknik baserade informationssystemet kommunerna och samkommunerna för sjukvårdsdistriktet effektivare information än för närvarande om de exponerade personer vars spårning, testning och eventuella vård redan i enlighet med den gällande lagen om smittsamma sjukdomar, folkhälsolagen och hälso- och sjukvårdslagen hör till kommunen och samkommunen för sjukvårdsdistriktet.
Det finns också ekonomiska konsekvenser som är indirekta och de kan uppstå genom att man snabbare och i större utsträckning kan spåra upp de exponerade i och med att de snabbare får anvisningar och meddelas eventuella beslut om test eller karantän, vilket ökar möjligheterna för att hindra att sjukdomen sprids. Om man effektivare än för närvarande kan stoppa spridningen av sjukdomen, uppnås kostnadsfördelar i form av lägre vårdkostnader och mindre belastning på hälso- och sjukvårdssystemet. Dessutom främjar det föreslagna informationssystemet möjligheterna att lätta på andra restriktioner. Detta kan också minska de direkta och indirekta kostnader som restriktionerna medför för samhället och som kan vara ansenliga.
Det är svårt att exakt uppskatta de ovan konstaterade ekonomiska kostnaderna och deras kostnadsnytta i euro. Dessa påverkas av flera olika faktorer. Propositionens konsekvenser beror framför allt på i vilken utsträckning mobilapplikationen tas i bruk bland befolkningen. Detta påverkas i synnerhet av förtroendet bland befolkningen för att systemet fungerar samt på epidemins aktuella omfattning. Om epidemiläget förblir lugnt är det sannolikt att mobilapplikationen tas i bruk endast i liten utsträckning. Om epidemin utvidgas väsentligt tas applikationen sannolikt i bruk i större utsträckning. Enskilda beslut om ibruktagande påverkas sannolikt också av den upplevda otrygghetskänslan i anslutning till spridningen av sjukdomen.
Det möjliga antalet personer som tar i bruk applikationen kan i fortsättningen bedömas noggrannare i samband med genomförandet och testningen av informationssystemet. Också de uppgifter som fås från försöket med ett mobilapplikationsprojekt för att spåra sjukdomen covid-19, som pågick inom Vasa sjukvårdsdistrikt, kan utnyttjas i denna bedömning.
Även internationellt sett är det föreslagna tillvägagångssättet att spåra upp dem som exponerats för smitta nytt, och det finns knappt några erfarenheter av dess konsekvenser. De stater som först tog i bruk ett motsvarande system, såsom Singapore och Australien, har byggt upp sina system utifrån en s.k. centraliserad modell och denna modell har ansetts förknippad med osäkerhet om huruvida dataskyddet tillgodoses. Ibruktagandet av systemet och därmed också resultaten i dessa länder har inte motsvarat förväntningarna, och detta är en orsak till att den lösning som föreslås i denna proposition baserar sig på en s.k. decentraliserad modell. I den decentraliserade modellen behandlas personuppgifter i mindre utsträckning. Det finns ännu inga användarerfarenheter av den föreslagna modellen från andra länder.
Institutet för hälsa och välfärd ska i genomförande- och testfasen bedöma behovet av nationella anvisningar för kommunerna och samkommunerna om behandlingen av de uppgifter om exponering som fåtts med hjälp av det föreslagna informationssystemet. Enbart den information som informationssystemet ger om en eventuell exponering kan dock inte utgöra en sådan i 60 § i lagen om smittsamma sjukdomar avsedd befogad misstanke om att en person har utsatts för en allmänfarlig smittsam sjukdom, till följd av vilken personen kan meddelas beslut om karantän, utan det ska också finnas andra bevis på exponering. Mobilapplikationen kan inte med säkerhet identifiera att exponering har skett, eftersom den inte känner till alla omständigheter som påverkar exponeringen. Med hjälp av det på mobilteknik baserade informationssystemet är det möjligt att effektivare än för närvarande spåra upp sådana exponerade personer som den smittade inte känner eller inte kommer ihåg att han eller hon har träffat. Ett avsevärt antal sådana exponerade kan eventuellt spåras upp beroende på omfattningen av mobilapplikationens ibruktagande, sjukdomsläget samt applikationens tekniska egenskaper och tillförlitlighet när det gäller identifiering av exponerade. En del av de identifierade kan vara sådana att det utifrån de kontakter som tas i samband med spårningen inte framgår något annat om dem som tyder på exponering eller smitta än den information som fåtts med hjälp av mobilapplikationen. Då har den läkare som ansvarar för smittsamma sjukdomar eller någon annan yrkesutbildad person inom hälso- och sjukvården som utför spårningsarbete inga andra uppgifter till stöd för det beslutsfattande som grundar sig på en medicinsk bedömning än att användarens mobilapplikation har informerat om att personen eventuellt exponerats för smitta. En del av dem som fått information via applikationen kan däremot ha annan information som påverkar eventuell exponering och som framgår av spårningsarbetet. Riktlinjerna kan även ha konsekvenser för de direkta och indirekta kostnader och kostnadsfördelar för de offentliga finanserna som propositionen medför.
Enligt propositionen ska Transport- och kommunikationsverkets cybersäkerhetscenter bedöma informationssäkerheten i informationssystemet. Enligt en preliminär bedömning tar bedömningen av informationssäkerheten i informationssystemet cirka fyra veckor i anspråk och kostnaderna för bedömningen beräknas vara ungefär 80 000 euro.
Tillstånds- och tillsynsverket för social- och hälsovården ska enligt vad som föreslås utöva tillsyn över informationssäkerheten i informationssystemet. Redan nu utövar Tillstånds- och tillsynsverket för social- och hälsovården tillsyn över kraven på informationssäkerhet enligt lagen om elektronisk behandling av klientuppgifter inom social- och hälsovården (159/2007) och lagen om sekundär användning av personuppgifter inom social- och hälsovården (552/2019). För den nuvarande tillsynen har det reserverats ett årsverke. Tillstånds- och tillsynsverket för social- och hälsovården bör reserveras tilläggsresurser för tillsynsuppgifter enligt den föreslagna lagen för den tid lagen är i kraft och för den verkställighet av lagen som föregår lagens ikraftträdande.
Bedömning av konsekvenser för befolkningen
Det ska vara avgiftsfritt och frivilligt för befolkningen att ta i bruk och använda den mobilapplikation som effektiviserar spårningen och brytandet av smittkedjor för covid-19. För att använda mobilapplikationen krävs det en smarttelefon, och alla har inte tillgång till en sådan. För att ta i bruk applikationen kan det också krävas särskilda datatekniska färdigheter. I Finland använder av 99 procent av hushållen en mobiltelefon och 90 procent av hushållen använder en dator eller pekplatta. Nästan alla under 44-åringar har tillgång till en smarttelefon. Av 45–65-åringarna har över 90 procent en smarttelefon och för 65–74-åringarna är motsvarande siffra 63 procent. Av 75–89-åringarna har bara 27 procent en smarttelefon. För att applikationen ska vara till nytta på befolkningsnivå måste den användas i tillräckligt täckande grad av befolkningen. Om målet är att 60 procent av befolkningen ska använda applikationen, innebär det att 3,3 miljoner personer ska ladda ner applikationen inom en kort tid.
Användningen av applikationen ska grunda sig på eget beslutsfattande och egen aktivitet av användaren när applikationen används, och då ska man beakta personens möjlighet att använda applikationen självständigt eller med stöd samt att förstå applikationens betydelse bl.a. med tanke på dataskyddet. I samband med användningen av mobilapplikationen går det att särskilja å ena sidan nedladdning av applikationen från applikationsbutiken och användning av applikationen i telefonen och å andra sidan förmedling till hälso- och sjukvården av de uppgifter om eventuell exponering som fåtts via applikationen.
Ibruktagandet av applikationen innebär att användarens personuppgifter kommer att behandlas, varvid bestämmelserna om dataskydd och olika persongruppers möjligheter att förstå hur de personuppgifter som gäller honom eller henne behandlas ska beaktas. Genom att sända en begäran om kontakt med hjälp av applikationen kan användaren lämna ut en eventuell uppgift om exponering som fåtts via informationssystemet till en verksamhetsenhet inom hälso- och sjukvården, om han eller hon beslutar att göra detta. Vid behandlingen av uppgifter om exponering inom hälso- och sjukvården tillämpas patientlagen.
Vilken nytta människor upplever att de får av att använda applikationen samt hur väl människor känner till den behandling av personuppgifter som hänger samman med applikationen inverkar på i hur omfattande utsträckning applikationen tas i bruk. Detta kan i väsentlig grad påverkas genom information om applikationens funktion riktad till befolkningen. I samband med förverkligandet av det föreslagna informationssystemet är det möjligt att genom kommunikativa metoder stödja omfattningen av ibruktagandet av applikationen och på så sätt effektivisera de fördelar som eftersträvas med propositionen.
Grundlagsutskottet har vid bedömningen av den lagstiftning som utfärdats med stöd av befogenheterna enligt beredskapslagen särskilt betonat betydelsen av konventionen om barnets rättigheter och konventionen om rättigheter för personer med funktionsnedsättning samt av Europeiska sociala stadgan när det gäller äldre personers rättigheter. Dessutom har utskottet framhållit att de diskrimineringsförbud som ingår i grundlagen och i internationella människorättskonventioner ska beaktas vid tillämpningen av lagstiftningen (GrUB 4/2020 rd och GrUB 15/2020 rd). Dessa omständigheter har betydelse också med tanke på denna proposition. Därför kommer konsekvenserna för dessa grupper av personer att bedömas separat nedan.
Bedömning av konsekvenser för barn
I Finland har många barn en smarttelefon och det ska vara möjligt att ladda ner mobilapplikationen från applikationsbutiken utan någon särskild åldersgräns, varvid åldersgränsen i huvudsak bestäms i enlighet med den åldersgräns som uppställts av applikationsbutiken. I samband med nedladdningen av applikationen ska det finnas information om för hur gamla barn applikationen lämpar sig. När mobilapplikationen tas i bruk är det inte fråga om tillhandahållande av informationssamhällets tjänster enligt artikel 8 i den allmänna dataskyddsförordningen, och därför tillämpas inte den åldersgräns på 13 år som fastställts nationellt med stöd av förordningen. Således bestäms samtycket till behandling av personuppgifter för en minderårig person i enlighet med övrig nationell lagstiftning: när det är fråga om ett ärende som gäller en minderårig person utövas beslutanderätten av hans eller hennes vårdnadshavare (4 och 5 § i lagen angående vårdnad om barn och umgängesrätt, 361/1983).
Likaledes är det i samband med nedladdningen av applikationen viktigt att beakta barnets möjlighet att förstå hur hans eller hennes personuppgifter behandlas i samband med användningen av applikationen. Barnet har rätt till privatliv och kan inte nödvändigtvis bedöma hur hans eller hennes uppgifter behandlas i samband med användningen av applikationen och därefter. All information och kommunikation som avser behandling av uppgifter och som är riktad till barn bör utformas på ett tydligt och enkelt språk som barnet lätt kan förstå.
Patientlagen tillämpas om ett barn som använder applikationen eller hans eller hennes förälder beslutar att meddela hälso- och sjukvården om de uppgifter om eventuell exponering som fåtts via applikationen. Det finns ingen fastställd åldersgräns i patientlagen, utan den minderårigas självbestämmanderätt är bunden till hans eller hennes ålder och utvecklingsnivå samt till den förmåga att fatta beslut om sin vård som följer av dessa. Vården av en minderårig patient ska enligt 7 § i patientlagen ske i samförstånd med patienten, om han eller hon med beaktande av ålder eller utveckling kan fatta beslut om vården. Om en minderårig patient inte kan fatta beslut om sin vård, ska han eller hon vårdas i samförstånd med sin vårdnadshavare eller någon annan laglig företrädare.
Det bör däremot beaktas att alla barn inte har tillgång till en smarttelefon eller att barnets vårdnadshavare kan begränsa barnets möjligheter att ladda ner applikationer. Tillgängligheten tillgodoses således inte nödvändigtvis för alla barn och applikationen får inte ersätta andra spårningsåtgärder. Den aktör som spårar smittkedjorna tar även i framtiden kontakt med ett barn som eventuellt exponerats eller barnets föräldrar per telefon. Den läkare som ansvarar för att spåra smittkedjan bedömer enligt 7 § i patientlagen barnets förmåga att fatta beslut om sin vård. Läkaren kan under vården i enlighet med patientlagen besluta om huruvida barnet är kapabelt att själv fatta beslut om sin vård eller om barnets vårdnadshavare har beslutanderätt i ärendet.
Utgångspunkten för förverkligandet av mobilapplikationen ska vara att förverkligandet av applikationen så fullt ut som möjligt tryggar barnets rätt till privatliv, delaktighet, tillgång till information och bästa möjliga hälsotillstånd. Informationssystemet förverkligas också med beaktande av barnens behov, så att det också erbjuder barnen en möjlighet att medverka till att stoppa spridningen av coronaviruset och en kanal för snabb information om eventuell exponering. Om informationssystemet förverkligas på detta sätt bidrar det således till att främja tillgodoseendet av barnets rättigheter i denna epidemisituation.
Applikationen ska vara enkel att använda så att också barn ska ha möjlighet att dra nytta av applikationen. Vid nedladdningen av applikationen ska informationen om behandlingen av uppgifterna formuleras på ett ändamålsenligt sätt även på lättläst språk, med beaktande av olika åldersnivåer. Även barn har rätt att få information om epidemin. Den information som förmedlas via applikationen ska vara begriplig på ett sätt som motsvarar barnets ålder. Det är viktigt att också de anvisningar som fås via applikationen om hur man ska agera när man får exponeringsinformation utarbetas på ett tydligt sätt. Det centrala är att ge den minderåriga råd att agera på ett sätt som tryggar hans eller hennes intressen i samband med att han eller hon har fått eventuella exponeringsuppgifter via applikationen.
Konsekvenser för ställningen för äldre personer och personer med funktionsnedsättning
I Finland har många äldre människor eller alla personer med funktionsnedsättning inte tillgång till en smarttelefon. Många har behov av stöd av en annan person när de använder en smarttelefon. Om applikationen förverkligas även med beaktande av behoven för äldre personer och personer med funktionsnedsättning, erbjuder den också dem möjlighet att medverka till att stoppa spridningen av coronaviruset och en kanal för snabb information om eventuell exponering.
Enligt det som konstateras ovan tar i praktiken den aktör som spårar smittkedjorna fortfarande kontakt med en person som har exponerats eller dennes lagliga företrädare per telefon, och mobilapplikationen ersätter inte denna kontakt. Den läkare som ansvarar för spårningen av smittkedjan bedömer personens förmåga att fatta beslut om sin vård i enlighet med 6 § 2 och 3 mom. i patientlagen samt eventuellt behovet av att personens lagliga företrädare medverkar i beslutsfattandet. Läkaren kan senare under vården i enlighet med patientlagen fatta beslut om huruvida personen är kapabel att själv fatta beslut om sin vård.
En del äldre personer och en del personer med funktionsnedsättning kan ha betydande svårigheter att förstå betydelsen av att använda en applikation som baserar sig på eget beslutsfattande och egen aktivitet av användaren. Det kan vara svårt eller till med omöjligt för dem att tekniskt ta i bruk en smart enhet och i synnerhet en mobilapplikation. Dessa personer kan helt och hållet lämnas utanför möjligheten att använda applikationen. Vid bedömningen av vilka konsekvenser detta har för jämlikhet och skyddande av människors hälsa ska man beakta andra åtgärder som vidtagits under covid-19-epidemin och som hänför sig till personer över 70 år och andra som hör till s.k. riskgrupper. De anvisningar, enligt vilka man ska undvika närkontakter med andra människor och stanna hemma samt det förbud mot att besöka boendeenheter och vårdinrättningar, har i betydande grad kunnat bidra till att de som hör till nämnda grupper har undgått att bli smittade.
När applikationen tas i bruk ska förpliktelserna i FN:s konvention om rättigheter för personer med funktionsnedsättning beaktas. De viktigaste i detta sammanhang är skyldigheten att involvera (artikel 4.3), kravet på skälig anpassning (artikel 2), design för alla (artikel 2) samt tillgänglighet (artikel 9). Även artikel 11 i konventionen, enligt vilken konventionsstaterna ska vidta alla åtgärder som är nödvändiga för att säkerställa skydd och säkerhet för personer med funktionsnedsättning som är i risksituationer, ska beaktas.
Applikationen ska vara enkel att använda så att alla som använder applikationen ska ha möjlighet att dra nytta av applikationen. När applikationen laddas ner ska informationen om behandlingen av uppgifterna formuleras på ett lättläst språk, med beaktande av olika befolkningsgrupper. Det är viktigt att de anvisningar som fås via applikationen om hur man ska agera när man får exponeringsinformation utarbetas på ett tydligt sätt och på ett tillgängligt sätt med hjälp av olika kommunikationssätt. När det gäller kommunikationen men också annars måste det ses till att de personer som använder hjälpmedel har möjlighet att använda applikationen och få information om den.
Med stöd av övergångsbestämmelsen i 17 § 2 mom. i lagen om tillhandahållande av digitala tjänster (306/2019) tillämpas tillgänglighetskraven på mobilapplikationer från och med den 23 juni 2021. Med beaktande av betydelsen av den mobilapplikation som ska utvecklas, ska tillgänglighetskraven beaktas i mobilapplikationen innan den tas i bruk. I detta sammanhang bör det beaktas att tillgänglighetskraven kan bli tvingande på basis av de rimliga anpassningar som avses i 15 § i diskrimineringslagen (1325/2014), om en person med funktionsnedsättning begär det.
I samband med ibruktagandet av mobilapplikationen är det viktigt att kommunicera om den på ett så förståeligt sätt att varje befolkningsgrupps rätt till information tillgodoses på ett förståeligt sätt. Ibruktagandet av applikationen kan också orsaka oro och ångest å ena sidan när risken för smitta konkretiseras när applikationen används eller å andra sidan i situationer där en person inte kan använda applikationen, även om han eller hon vill det. Denna oro kan undanröjas med hjälp av den information som ges om applikationen. Det är viktigt att informera om att mobilapplikationen som sådan inte ersätter traditionellt spårningsarbete.
En heltäckande och effektiv användning av mobilapplikationen kan för sin del effektivisera brytandet och spårningen av smittkedjorna och på så sätt för sin del påverka hurdana restriktioner som behöver upprätthållas för att särskilt skydda personer som hör till riskgrupper. En omfattande användning av mobilapplikationen kan för sin del göra det möjligt att avveckla de restriktioner som gäller riskgrupper. Således kan användningen av en mobilapplikation i samhället indirekt förbättra handlingsfriheten för personer som hör till riskgrupper och därmed tillgodoseendet av självbestämmanderätten, och därigenom kan också riskgruppernas grundläggande rättighet att upprätthålla liv och hälsa tryggas.
Konsekvenser i fråga om dataskydd
I samband med det föreslagna informationssystemet behandlas personuppgifter och det har konsekvenser för skyddet av personuppgifter.
Sådana behandlingssituationer som förekommer i samband med det myndighetsbaserade informationssystemet, som föreslås och beskrivs ovan och som syftar till att bryta smittkedjorna och spåra upp dem som eventuellt har exponerats för smitta, har inte tidigare varit aktuella i Finland. Med beaktande av den nya typen av behandling, behandlingens art, den eftersträvade omfattningen, sammanhanget och ändamålen samt den typ av uppgifter som ska behandlas (särskilt hälsouppgifter), kan det bedömas att behandlingen i anknytning till ett sådant informationssystem som det föreslagna i princip kan medföra risker för fysiska personers rättigheter och friheter. I princip är det möjligt att användaren kan identifieras, varvid det är möjligt att känsliga uppgifter om användaren avslöjas. Andra slag av personuppgiftsincidenter är möjliga. Risken kan vara att personuppgifterna senare används för ändamål som den registrerade personen inte har förutsett.
På grund av riskerna ska det ingripas i dem i propositionen genom flera åtgärder. Riskerna i fråga om skyddet av personuppgifter reduceras väsentligt med hjälp av frivillig användning och åtgärder som främjar användarens kunskapsmässiga självbestämmanderätt. Ingen tvingas ta i bruk mobilapplikationen, utan användningen av den baserar sig på frivillighet. En person kan när som helst ta applikationen ur bruk. Det föreslås också att anmälan av egna kontaktuppgifter till aktörerna inom hälso- och sjukvården sker på frivillig basis, och då kan personen själv fatta beslut om saken.
Riskerna i samband med ytterligare behandling minskas effektivt genom att det i lagen exakt föreskrivs om vad personuppgifterna får användas till och att uppgifterna inte får användas för andra ändamål. De personuppgifter som behandlas ska inte lagras centraliserat i myndighetens register, utan största delen av de uppgifter som behandlas ska sparas decentraliserat i användarnas enheter. Typen av personuppgifter som behandlas ska begränsas till endast de uppgifter som behövs och de ska specificeras på lagstiftningsnivå. Den maximala lagringstiden för personuppgifter ska i standardfall vara mycket kort (21 dygn).
När mobilapplikationen tas i bruk ska inga direkta identifieringsuppgifter samlas in eller registreras om användaren. Varje användare ska få en unik pseudonym identifierare som ändras regelbundet. Såsom konstateras ovan betraktas också pseudonyma identifierare som personuppgifter. Riskerna i fråga om dataskyddet minskas dock avsevärt genom att man i stället för direkta identifieringsuppgifter effektivt behandlar pseudonyma uppgifter, alltså s.k. pseudonyma identifierare, som förändras tillräckligt ofta. Utgångspunkten är att det på basis av dem är mycket svårt att identifiera användaren. Det är inte möjligt att identifiera någon enbart med hjälp av den pseudonyma identifieraren, utan identifiering förutsätter i princip överskottsinformation.
Det ska sörjas för informationssäkerheten i informationssystemet på det sätt som lagstiftningen förutsätter. Riskerna i anslutning till informationssäkerheten, såsom personuppgiftsincidenter, minskas genom att alla personuppgifter inte lagras i det centraliserade systemet. Dessutom föreslås det att det särskilt föreskrivs att informationssäkerheten i informationssystemet ska bedömas innan systemet tas i bruk i enlighet med lagen om bedömning av informationssäkerheten i myndigheternas informationssystem och datakommunikation (1406/2011), och att uppfyllandet av kraven på informationssäkerhet inte bara ska övervakas genom allmän tillsyn utan också av Tillstånds- och tillsynsverket för social- och hälsovården.
Behandlingsåtgärder kan anses vara behövliga i det rådande epidemiläget. I samhället är en kontrollerad övergång från omfattande restriktioner till allt mer riktade åtgärder behövlig. Informationssystemet kan bidra till att möjliggöra denna övergång. Enligt bedömningar är informationssystemet som en del av en mer omfattande strategi ett nyttigt verktyg för att bryta smittkedjorna, vilket har positiva effekter med tanke på hälsoskyddet. På det sätt som det beskrivs ovan ska personuppgifter behandlas endast i nödvändig omfattning i enlighet med principen om uppgiftsminimering. Användningen av mobilapplikationer ska grunda sig på frivillighet. Således kan behandlingen också anses stå i rätt proportion till dess syfte på det sätt som dataskyddslagstiftningen förutsätter.
Dessutom bör det noteras att den allmänna dataskyddslagstiftningen i sig ställer många krav på den personuppgiftsansvarige och personuppgiftsbiträdet i anslutning till behandlingen av personuppgifter. I den allmänna dataskyddsförordningen föreskrivs det dessutom om den registrerades rättigheter, såsom rätten att få uppgifter om behandlingen av sina personuppgifter, rätten att kontrollera uppgifter om sig själv samt rätten att radera uppgifter om sig själv. De krav i den allmänna dataskyddsförordningen som gäller behandling av personuppgifter ska beaktas i utvecklingen av systemet och i systemets funktion. Den personuppgiftsansvarige ska bland annat beakta kraven som gäller inbyggt dataskydd och dataskydd som standard på det sätt som föreskrivs i den allmänna dataskyddsförordningen. Det är skäl att också fästa uppmärksamhet t.ex. vid att informationen om behandlingen av personuppgifter är tydlig och begriplig.
I artikel 35 i den allmänna dataskyddsförordningen finns det bestämmelser om en skyldighet att genomföra en konsekvensbedömning avseende dataskydd, om en viss typ av behandling – i synnerhet sådan där ny teknik används – med beaktande av dess art, omfattning, sammanhang och ändamål sannolikt leder till hög risk för fysiska personers rättigheter och friheter. Såsom det beskrivs ovan kan den föreslagna applikationen vara förknippad med sådana risker. Även Europeiska dataskyddsstyrelsen (EDPB) har i sina riktlinjer av den 21 april 2020 ansett att en konsekvensbedömning avseende dataskydd måste genomföras innan mobilapplikationer som syftar till att spåra och bryta smittkedjorna införs. Således ska den personuppgiftsansvarige innan behandlingen genomföra en noggrannare bedömning av vilka konsekvenser den planerade behandlingen har med tanke på skyddet av personuppgifter i enlighet med kraven i den allmänna dataskyddsförordningen.