Utgångspunkter för bedömningen
Enligt förslaget införs en skyldighet för arbetsgivaren att föra förteckning över sådana ämnen, blandningar och arbetsmetoder som används på arbetsplatsen och som orsakar cancer eller skadar arvsmassan samt över de arbetstagare som exponeras för sådana agenser. De uppgifter som antecknats i arbetsgivarens förteckning ska fortsättningsvis anmälas till det så kallade ASA-registret, som förs av Arbetshälsoinstitutet. I lagen föreskrivs också om utlämnande av uppgifter ur ASA-registret och om hur länge uppgifterna ska bevaras.
Förslaget är relevant med avseende på skyddet för privatlivet och för personuppgifter i 10 § i grundlagen. Med avseende på 10 § 1 mom. i grundlagen räcker det enligt grundlagsutskottet i princip att bestämmelserna uppfyller kraven i EU:s allmänna dataskyddsförordning. Enligt utskottet bör skyddet för personuppgifter i första hand tillgodoses med stöd av den allmänna dataskyddsförordningen och den nya nationella allmänna lagstiftningen. Lagstiftaren bör alltså vara restriktiv när det gäller att införa nationell speciallagstiftning. Sådan lagstiftning bör vara avgränsad till nödvändiga bestämmelser inom ramen för det nationella handlingsutrymme som dataskyddsförordningen medger (se GrUU 14/2018 rd, s. 5).
Grundlagsutskottet ser det dock som klart att behovet av speciallagstiftning i enlighet med det riskbaserade synsätt som också krävs i dataskyddsförordningen måste bedömas utifrån de hot och risker som behandlingen av uppgifterna orsakar. Ju större risk fysiska personers rättigheter och friheter utsätts för på grund av behandlingen, desto mer motiverat är det med mer detaljerade bestämmelser. Denna omständighet är av särskild betydelse när det gäller behandling av känsliga uppgifter (se GrUU 14/2018 rd, s. 5).
Grundlagsutskottet har lyft fram riskerna med behandlingen av känsliga uppgifter. Utskottet anser att omfattande databaser med känsliga uppgifter medför allvarliga risker för informationssäkerheten och för missbruk av uppgifter. Riskerna kan i sista hand utgöra ett hot mot personers identitet (GrUU 13/2016 rd, GrUU 14/2009 rd, s. 3/I). Även enligt EU:s allmänna dataskyddsförordning bör särskilda personuppgifter, som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheter och friheter, åtnjuta särskilt skydd eftersom behandlingen av uppgifterna kan innebära betydande risker för de grundläggande rättigheterna och friheterna.
I propositionen (s. 12) bedöms frågan om huruvida uppgifterna om den uppmätta exponeringsnivå som arbetstagarna utsätts för är känsliga uppgifter om hälsa. Enligt propositionsmotiven är det inte fråga om uppgifter om hälsa, eftersom mätningar i luften på arbetsplatsen berättar om de förhållanden i arbetsmiljön under vilka arbetstagarna eventuellt exponeras, inte direkt om arbetstagarnas hälsa. Men det framgår också av motiven (s. 14) att det kan finnas ett intresse att använda personuppgifter som lämnas ut ur registret till exempel vid beviljande av försäkring eller som grund för försäkringsvillkor eller försäkringsavgifter. Grundlagsutskottet menar också att det av de personuppgifter som registreras indirekt kan framgå uppgifter eller förväntningar om en arbetstagares hälsotillstånd som kan utsätta arbetstagaren för risker för att uppgifterna missbrukas. Enligt utskottet bör arbetslivs- och jämställdhetsutskottet lägga särskild vikt vid att de skyddsåtgärder som avses i EU:s allmänna dataskyddsförordning vidtas på behörigt sätt.
Utlämnande av uppgifter
I sina analyser av omfattning, exakthet och innehåll i lagstiftning om rätten att få och lämna ut uppgifter trots sekretess har grundlagsutskottet särskilt lagt vikt vid att de uppgifter som lämnas ut är av känslig art (se t.ex. GrUU 14/2018 rd, s. 5). Bestämmelserna om utlämnande av uppgifter i 8 § 1 mom. i lagförslaget är i sig behöriga och överensstämmer med utskottets praxis, enligt vilken uppgifternas innehåll ska specificeras eller utlämnandet av uppgifterna ska vara nödvändigt för något visst syfte.
I 8 § 2 mom. i lagförslaget föreskrivs det om Arbetshälsoinstitutets rätt att i egenskap av personuppgiftsansvarig lämna ut uppgifter ur ASA-registret till aktörer som bedriver forskning för undersökningar om växelverkan mellan arbete och hälsa samt för forskning och utveckling som gäller arbetarskydd och företagshälsovård. I motiven (s. 14) sägs det att när Arbetshälsoinstitutet lämnar ut uppgifter handlar institutet i egenskap av en myndighet som omfattas av de allmänna förvaltningslagarna. Det framgår inte av bestämmelsen eller motiven till den vad som avses med aktörer som bedriver forskning och utveckling.
Grundlagsutskottet påpekar att enligt 28 § 1 mom. i lagen om offentlighet i myndigheternas verksamhet kan en myndighet i enskilda fall, om inte något annat föreskrivs genom lag, bevilja tillstånd att ta del av en sekretessbelagd handling för vetenskaplig forskning eller statistikföring eller för ett sådant planerings- eller utredningsarbete som en myndighet utför, om det är uppenbart att de intressen som sekretessplikten är avsedd att skydda inte kränks om uppgifter lämnas ut. Den lagen tillämpas som allmän lag, och den har stiftats med grundlagsutskottets medverkan (GrUU 43/1998 rd). Arbetslivs- och jämställdhetsutskottet bör utreda om den särskilda bestämmelsen behövs.
Bevaringstid och arkivering
Enligt 7 § i lagförslaget ska registeruppgifterna bevaras i ASA-registret i 80 år från det att den sista uppgiften infördes. Registeruppgifter som behövs för utvärdering och uppföljning av verkningarna eller som av andra skäl är värdefulla som källmaterial för forskning ska dock bevaras varaktigt.
Enligt grundlagsutskottet är varaktig lagring av uppgifter inte förenlig med skyddet för personuppgifter om det inte är befogat av skäl som är kopplade till informationssystemets art eller syfte (se GrUU 31/2017 rd). Information som delvis är oförändrad eller ändras långsamt och som inte uppdateras bara för att tiden gått och som behövs för att uppgifter ska kunna skötas kan enligt utskottets uppfattning lagras varaktigt (GrUU 54/2010 rd). Utskottet anser att de föreslagna exceptionella bevaringstiderna är motiverade av de skäl relaterade till sjukdomar som beror på cancerframkallande ämnen som regeringen nämner i propositionsmotiven (s. 13—14).
Enligt 7 § i lagförslaget bestämmer arkivverket närmare om varaktigt bevarande av uppgifter. I motiven (s. 14) sägs det att arkivverket tidigare har utfärdat en föreskrift om varaktig förvaring av information.
Det blir något oklart i den föreslagna bestämmelsen om meningen är att reglera bevaring av uppgifter i ASA-registret eller arkivering av uppgifter. Regleringen behöver preciseras till denna del. Grundlagsutskottet påpekar dessutom att regleringen eventuellt överlappar 8 § 3 mom. i arkivlagen och vid att de bestämmelser om arkivverket som finns i bland annat arkivlagen har ersatts genom lagen om Riksarkivet.
Övrigt
Enligt hänvisningsbestämmelsen i 11 § i lagförslaget tillämpas på behandling av personuppgifter utöver det som föreskrivs i den föreslagna lagen EU:s allmänna dataskyddsförordning, dataskyddslagen och lagen om offentlighet i myndigheternas verksamhet. Den föreslagna bestämmelsen har formen av en materiell hänvisning (”tillämpas”). Men det är sannolikt inte meningen att nationellt föreskriva om tillämpningsområdet för den allmänna dataskyddsförordningen eller till exempel om tillämpning av lagen om offentlighet i myndigheternas verksamhet på en sådan förteckning som förs av arbetsgivaren enligt lagförslagets 3 §. Arbetslivs- och jämställdhetsutskottet bör utreda om hänvisningsbestämmelsen behövs och vid behov ändra bestämmelsen så att den blir informativ (”föreskrivs”, se Lainkirjoittajan opas, justitieministeriets publikation, 12.2.2).