Syftet med de föreslagna ändringarna

Utskottet anser att propositionen är viktig och konstaterar att den på många sätt har en positiv inverkan på den elektroniska behandlingen av kunduppgifter inom social- och hälsovården och utvecklingen av den. 

De föreslagna ändringarna gör det möjligt att införa Folkpensionsanstaltens riksomfattande informationssystemtjänster (Kanta-tjänsterna) i socialvården genom att ålägga tillhandahållare av socialvårdstjänster att ansluta sig till de riksomfattande informationssystemtjänsterna samt genom att göra det möjligt att lämna ut uppgifter ur klientdataarkivet för socialvården. Det förbättrar enligt utskottet informationssäkerheten vid behandlingen av uppgifter inom socialvården och främjar ett smidigt utlämnande av uppgifter mellan socialvården och hälso- och sjukvården. 

Utskottet välkomnar utvidgningen av de riksomfattande informationssystemtjänsterna så att kunden själv kan lagra välfärdsinformation eller uppgifter som producerats av olika välfärdsapplikationer i datalagret för egna uppgifter, där dessa uppgifter med samtycke är tillgängliga för yrkesutbildade personer på ett informationssäkert sätt. Utskottet anser att datalagret för egna uppgifter är en innovation som är värd att understödja och förbättrar kundernas tjänster. Med hjälp av det föreslagna datalagret för egna uppgifter är det möjligt att övergå till ett riksomfattande datalager, och organisationerna behöver inte bygga egna arkiv för välfärdsinformation. 

Utskottet välkomnar preciseringarna i lagen om elektroniska recept; de beror huvudsakligen på EU:s allmänna dataskyddsförordning. För att förhindra missbruk av läkemedel anser utskottet dessutom att det är viktigt att bestämmelserna om elektroniska recept fortfarande möjliggör att den som huvudsakligen förskriver läkemedel som påverkar det centrala nervsystemet och narkotiska läkemedel får tillgång till uppgifter om alla motsvarande läkemedel som förskrivits till patienten. Det förebygger effektivt möjligheterna till missbruk av läkemedel. 

Den föreslagna kunduppgiftslagen baserar sig i huvudsak på den gällande klientuppgiftslagen, dock så att lagens struktur, språkdräkt och terminologi har förtydligats och ändrats så att den blir mer konsekvent. En tydligare och mer konsekvent reglering är enligt utskottet viktig med tanke på rättsskyddet för såväl kunder som personal inom social- och hälsovården. Tydliga och konsekventa bestämmelser tryggar å ena sidan kundens integritetsskydd och å andra sidan ett smidigt utlämnande av information. 

Utlämnande av kunduppgifter

I propositionen (s. 53) föreslås det att utlämnande av klientuppgifter inom socialvården och patientuppgifter genom Kanta-tjänsterna trots sekretessbestämmelserna ska basera sig på information, den föreslagna lagstiftningen och existensen av en kund- eller vårdrelation och inte på samtycke som begärs av kunden. Patient- och klientuppgifter lämnas till tjänstetillhandahållare med hjälp av riksomfattande informationssystemtjänster efter det att personen har informerats i enlighet med 16 § i lagförslaget och existensen av en kund- eller vårdrelation mellan patienten eller klienten och den som framställt begäran om utlämnande har säkerställts datatekniskt, om inte patienten eller klienten med stöd av 18 § har förbjudit att uppgifter om honom eller henne lämnas ut. I 15 § föreskrivs det om åtkomsträtt till endast nödvändiga patient- och klientuppgifter. 

Inom hälso- och sjukvården tillämpas med stöd av gällande bestämmelser ett förfarande med så kallat brett samtycke till utlämnande av alla patientuppgifter med hjälp av riksomfattande informationssystemtjänster. Dessutom har patienten möjlighet att förbjuda utlämnandet av en del eller åtskilliga uppgifter. Numera kan en patient alltså genom en enda viljeyttring ge sitt samtycke till att patientuppgifter som rör honom eller henne lämnas ut till andra personuppgiftsansvariga (tjänstetillhandahållare) och, om han eller hon så vill, begränsa samtyckets omfattning genom förbud. 

Slopandet av detta vidsträckta samtycke grundar sig enligt propositionen (s. 53) på kravet på samtyckets form i EU:s dataskyddsförordning. Ett vidsträckt samtycke som riktar sig på framtiden uppfyller enligt propositionen inte det krav i dataskyddsförordningen på att samtycket ska vara frivilligt, specifikt, informerat, otvetydigt och i fråga om särskilda kategorier av personuppgifter, till exempel hälsouppgifter, också uttryckligt. 

Grundlagsutskottets ställningstaganden

Grundlagsutskottet uttrycker sin oro för vad syftet med den valda regleringen, som lösgör sig från kravet på samtycke, innebär med tanke på att det måste finnas godtagbara grunder för en inskränkning av självbestämmanderätten (GrUU 4/2021 rd, s. 8). Regleringen i dess helhet uppfyller alltså inte förutsättningarna för att på det föreslagna sättet slopa huvudregeln om krav på samtycke, vilket tryggar självbestämmanderätten, i en regleringskontext inom social- och hälsovården som bygger på självbestämmanderätt (s. 11). Grundlagsutskottet anser att om rätten att förbjuda utlämnande kräver aktiva åtgärder, kan självbestämmanderätten inte säkerställas tillräckligt väl. Bestämmelserna om utlämnande av uppgifter i 20 § 1 mom. och 21 § 1 mom. i lagförslag 1 (kunduppgiftslagen) i propositionen måste enligt grundlagsutskottet ändras. Det är ett villkor för att lagförslag 1 ska kunna behandlas i vanlig lagstiftningsordning. 

Enligt grundlagsutskottets uppfattning kan denna ändring, som bättre säkerställer självbestämmanderätten och är ett krav för vanlig lagstiftningsordning, göras vid riksdagsbehandlingen på så sätt att den föreslagna begränsningen av självbestämmanderätten inte är huvudregel, utan att det i stället föreskrivs att samtycke är ett villkor för utlämnande enligt 20 och 21 § (s. 11). 

Grundlagsutskottet anser att det trots grundlagen är möjligt att föreskriva om ett brett samtycke på samma sätt som i den gällande lagen, om det förenas med en möjlighet att begränsa samtycket genom förbud av det slag som föreslås i 18 § (se även GrUU 10/2012 rd, s. 2—4). Regleringen av samtycket ska uppfylla de villkor som nämns i utskottets praxis. 

Enligt utredning till grundlagsutskottet och enligt statsrådets ståndpunkt sådan den uttrycks i vissa propositioner är en sådan reglering möjlig också med tanke på EU:s dataskyddsförordning (s. 11). Att personen ska ge sitt godkännande till att uppgifterna överförs kompletterar denna rättsliga grund som en skyddsåtgärd i fråga om behandlingen av personuppgifter. 

Det väsentliga är då enligt grundlagsutskottet (s. 12) att det på det sätt som dataskyddsförordningen förutsätter föreskrivs om behandlingen i en lag som uppfyller förutsättningarna enligt förordningen och som utgör den grund för behandlingen som avses i artiklarna 6 och 9 i förordningen. Social- och hälsovårdsutskottet ska då enligt grundlagsutskottet försäkra sig om att regleringen är ändamålsenlig och proportionerlig med tanke på dataskyddsförordningen (s. 12) samt att den föreslagna regleringen inte står i strid med de krav som följer av unionsrätten (s. 4). 

Social- och hälsovårdsutskottets förslag

Social- och hälsovårdsutskottet delar grundlagsutskottets ståndpunkt och föreslår att 20 § 1 mom. och 21 § 1 mom. i kunduppgiftslagen ändras med anledning av grundlagsutskottets utlåtande så att uppgifter inte får lämnas ut till en annan tjänstetillhandahållare inom verksamhetsområdet utan en viljeyttring av kunden som motsvarar brett samtycke enligt gällande lag eller rätt till utlämnande enligt någon annan lag. Rättsgrunden, sådan den avses i dataskyddsförordningen, för utlämnande inom ett verksamhetsområde är den bestämmelse i kunduppgiftslagen som berättigar utlämnande, när viljeyttringen är en skyddsåtgärd. Vid utlämnande mellan socialvården och hälso- och sjukvården kvarstår som rättslig grund det samtycke som avses i EU:s dataskyddsförordning och som föreslås i 20 § 2 mom. och 21 § 2 mom. i lagförslag 1. Enligt inkommen utredning bör ett annat uttryck användas om viljeyttringar som krävs för interna överlåtelser inom ett verksamhetsområde för att det ska vara klart när det är fråga om samtycke enligt dataskyddsförordningen och när det är fråga om en viljeyttring som utgör en skyddsåtgärd. Utskottet föreslår att uttrycket tillstånd för utlämnande används för den viljeyttring som är en förutsättning för utlämnande inom ett verksamhetsområde. 

I kunduppgiftslagen är samtycket ett sådant noggrant avgränsat, specificerat och uttryckligt samtycke som det föreskrivs i dataskyddsförordningen om. Med tillstånd för utlämnande avses en viljeyttring som ges som en skyddsåtgärd och som kan ges på samma sätt som det så kallade breda samtycket enligt Kanta-tjänsten i dag. Således förutsätter det inte motsvarande noggranna avgränsning eller specificering av de uppgifter som lämnas ut som samtycke. Omfattningen av tillståndet för utlämnande ska dock kunna begränsas genom specificerade förbud. 

Social- och hälsovårdsutskottet betonar betydelsen av bestämmelserna om utlämnande av uppgifter å ena sidan med tanke på kundens integritetsskydd och å andra sidan med tanke på behovet av att informationen förs vidare smidigt. Bestämmelserna ska vara tillräckligt tydliga och täckande för att kunden ska kunna utöva sin självbestämmanderätt och bevara ett förtroligt förhållande till tjänstetillhandahållaren. Samtidigt anser utskottet det vara viktigt att utlämnandet av uppgifter sker så smidigt som möjligt när det finns en rättslig grund för utlämnande. 

En smidig rörlighet för information är enligt utskottet av central betydelse när det gäller att säkerställa patientsäkerheten samt kvaliteten på vården och omsorgen. Samtidigt måste man dock sörja för integritetsskyddet. Vårdens eller socialservicens konfidentialitet kan lätt äventyras i det fall att känsliga uppgifter om klienten eller patienten i mycket stor utsträckning kan fås med hjälp av elektroniska system. Det finns många vårdhändelser där det inte behövs någon omfattande bakgrundsinformation om patienten. När dessa uppgifter å andra sidan behövs eller till och med är nödvändiga för att skydda liv eller hälsa, är det nödvändigt att snabbt och tillförlitligt trygga tillgången till uppgifterna. 

Enligt utskottet är ett tillstånd för utlämnande som liknar det nuvarande breda samtycket motiverat när det gäller utlämnande av uppgifter mellan tjänsteproducenter inom ett verksamhetsområde, eftersom klienten och patienten utöver tillståndet för utlämnande har möjlighet att begränsa utlämnandet i fråga genom förbud av olika omfattningar. Det är med hjälp av omfattande förbudsmöjligheter i praktiken möjligt att i mycket stor utsträckning begränsa vilka uppgifter som får lämnas ut. I stället för det samtycke som avses i EU:s dataskyddsförordning anser utskottet att tillstånd för utlämnande i kombination med förbudsrättigheter vid internt utlämnande inom verksamhetsområdet är godtagbart och proportionerligt, i synnerhet eftersom uppgifterna då har samma användningsändamål. Därför är behovet av information mellan tillhandahållare av hälso- och sjukvårdstjänster eller på motsvarande sätt mellan tillhandahållare av socialvårdstjänster både innehållsmässigt och kvantitativt större. 

Dessutom är antalet breda samtycken som för närvarande ges i Kanta-tjänsten mycket stort. Före utgången av mars 2020 hade cirka 3 miljoner personer gett sitt samtycke till utlämnande av uppgifter. I förhållande till antalet beviljade samtycken har det däremot utfärdats få förbud som begränsar utlämnandet.Antalet förbud fram till den 30 april 2021 är 127 730. Siffran anger hur många personer som åtminstone en gång har förbjudit att uppgifter om dem lämnas ut. Personen har därefter kunnat göra ändringar i förbudet mot utlämnande (återkallelse/återställande av förbud), så siffran anger inte antalet gällande förbud. Av detta kan man sluta sig till att väldigt många patienter vill att den yrkesutbildade personal inom hälso- och sjukvården som behandlar dem ska ha bred tillgång till patientuppgifterna. Patienterna visar således ett starkt godkännande för omfattande utlämnande av uppgifter mellan tillhandahållare av hälso- och sjukvårdstjänster. Utlämnande av uppgifter genom brett samtycke är dessutom möjligt i de riksomfattande informationssystemen, så ett system med tillstånd för utlämnande kräver således ingen lång övergångsperiod. 

Utskottet konstaterar att kravet på ändamålsbundenhet framhävs vid utlämnandet av uppgifter mellan socialvården och hälso- och sjukvården, eftersom uppgifterna har samlats in för olika användningsändamål. Med tanke på kund- eller vårdförhållandets konfidentialitet är det enligt utskottet ohållbart om utlämnandet från socialvården till hälso- och sjukvården eller vice versa inte baserar sig på kundens specificerade och noggrant avgränsade samtycke eller en bestämmelse i lag som berättigar till utlämnandet. Både socialvården och hälso- och sjukvården omfattar många sådana tjänster som fungerar helt åtskilda från varandra och utan något behov av inbördes informationsutbyte. I dessa fall är kravet på separat behandling av uppgifter accentuerat med tanke på kundens självbestämmanderätt. Därför anser utskottet det motiverat att det vid det samtycke mellan olika verksamhetsområden som avses i 20 § 2 mom. och 21 § 2 mom. ska ges ett sådant specificerat och uttryckligt samtycke som avses i EU:s dataskyddsförordning och som föreslås i propositionen. 

Utskottet konstaterar dock att man i praktiken i fråga om vissa gemensamma tjänster kan identifiera ett mycket likartat användningsändamål för klientuppgifter inom socialvården och patientuppgifter inom hälso- och sjukvården. Det gäller i synnerhet när tjänster som hör till såväl socialvården som hälso- och sjukvården i praktiken tillhandahålls tillsammans för att de gemensamma målen ska nås. Exempelvis kan man nämna tjänster i anslutning till hemvård av äldre, där servicen kan vara hemsjukvård inom hälso- och sjukvården eller hemservice inom socialvården. Utskottet betonar behovet av en smidig behandling av uppgifterna i synnerhet i fråga om sådana tjänster. Detta behov är särskilt accentuerat när kunden är en person som inte själv har förmåga att bedöma vilken betydelse informationsbehovet har för tjänstens innehåll och kvalitet. Bakgrunden till försöket med hemvård enligt 2 a kap. i folkhälsolagen är den smidiga rörligheten för uppgifter i detta gemensamma syfte. Enligt bestämmelserna har personalen vid verksamhetsenheten för hemvård rätt att använda uppgifter i hemvårdsregistren på det sätt som deras arbetsuppgifter förutsätter. Utskottet konstaterar att det är nödvändigt att utvärdera det försök som inleddes vid ingången av 2005 i samband med den totalreform som konstateras nedan i slutet av utskottets överväganden och att på behörigt sätt föreskriva om behandlingen av uppgifter genom lagstiftning som gäller tills vidare. 

Bedömning av förslagen om utlämnande med avseende på EU:s dataskyddsförordning

Grundlagsutskottet förutsatte att social- och hälsovårdsutskottet försäkrar sig om att regleringen om utlämnande är ändamålsenlig och proportionerlig med tanke på dataskyddsförordningen (s. 12). Utifrån uppgifter från social- och hälsovårdsministeriet konstaterar social- och hälsovårdsutskottet följande: 

EU:s allmänna dataskyddsförordning möjliggör utlämnande av personuppgifter på grundval av ett specificerat och uttryckligt samtycke på det sätt som avses i förordningen eller, om villkoren i förordningen är uppfyllda, med stöd av en bestämmelse i lag. Den grund för behandling av personuppgifter som utskottet föreslår skiljer sig beroende på om det är fråga om utlämnande inom ett verksamhetsområde eller utlämnande mellan olika verksamhetsområden. 

Utskottets förslag om tillstånd för utlämnande av uppgifter mellan tjänsteproducenter inom olika verksamhetsområden är inte en grund för behandling av personuppgifter enligt dataskyddsförordningen, utan en skyddsåtgärd som ska ställas som villkor för utlämnande och som det kan föreskrivas om nationellt. Således baserar sig utlämnandet av uppgifter enligt 20 § 1 mom. och 21 § 1 mom. i enlighet med grundlagsutskottets utlåtande i konstitutionellt hänseende på en viljeyttring av klienten eller patienten, men i ljuset av dataskyddsförordningen är grunden för utlämnandet av uppgifterna bestämmelserna i 20 § 1 mom. och 21 § 1 mom. i kunduppgiftslagen, vilka har utfärdats med stöd av artikel 6.1 c, 6.3 b och 9.2 h i dataskyddsförordningen. 

Utlämnandet av uppgifter mellan tjänstetillhandahållare inom samma verksamhetsområde är av orsaker som beskrivs närmare ovan motiverat med stöd av bestämmelserna i 20 § 1 mom. och 21 § 1 mom. samt med stöd av ett tillstånd för utlämnande som utgör en skyddsåtgärd, eftersom uppgifterna då har samma användningsändamål och behovet av information i flera situationer är omfattande. Med tanke på integritetsskyddet är det då också väsentligt att klienten och patienten dessutom har möjlighet att genom förbud av olika omfattning begränsa utlämnande som grundar sig på det breda samtycke som han eller hon gett. 

I EU:s dataskyddsförordning föreskrivs det inte uttryckligen om ett sådant tillstånd för utlämnande som föreslås som en skyddsåtgärd. Enligt inkommen utredning är det möjligt att nationellt föreskriva om tillstånd för utlämnande som skyddsåtgärd med stöd av artikel 6.4 e, artikel 9.2 h och i synnerhet artikel 9.4 i dataskyddsförordningen och på motsvarande sätt också med stöd av 6 § i dataskyddslagen. 

Det samtycke som enligt propositionen krävs som grund för utlämnande mellan socialvården och hälso- och sjukvården är ett sådant samtycke som avses i dataskyddsförordningen. Vid utlämnande mellan olika verksamhetsområden är den rättsliga grunden för behandlingen samtycke enligt artiklarna 6.1 a och 9.2 a i dataskyddsförordningen. Då ska personen redan när han eller hon ger sitt samtycke bland annat rikta det specificerade samtycket till vissa uppgifter som lämnas ut. Utskottet anser att detta är motiverat, eftersom uppgifterna då har ett annat användningsändamål och även behovet av de uppgifter som lämnas ut således innehållsmässigt och kvantitativt är betydligt mindre än inom ett verksamhetsområde. 

Både tillståndet för utlämnande och samtycket förutsätter tillräcklig information. Den föreslagna 16 § i kunduppgiftslagen innehåller bestämmelser om den information till kunden som tillstånd för utlämnande som skyddsåtgärd ska grunda sig på. Bestämmelser om informationsskyldigheter i anslutning till samtycke som grund för utlämnande finns i dataskyddsförordningen. 

Utlämnandet av personuppgifter enligt utskottets förslag till 20 § 1 mom. och 21 § 1 mom. i kunduppgiftslagen grundar sig på den kunduppgiftslag som är under behandling och begränsar de grundläggande fri- och rättigheter enligt 10 § i grundlagen som hänför sig till integritetsskyddet. I lagförslaget begränsas dock inte den registrerades rättigheter enligt dataskyddsförordningen. I enlighet med artikel 23.1 e i dataskyddsförordningen kan de grundläggande fri- och rättigheterna begränsas bland annat när syftet är att säkerställa folkhälsan och den sociala tryggheten. Den riksomfattande tillgången till kund- och patientuppgifter via de riksomfattande informationssystemtjänsterna är med stöd av den föreslagna lagen motiverad för ordnandet och genomförandet av hälsovårdstjänster och socialtjänster som främjar folkhälsan och den sociala tryggheten. 

Enligt artikel 23.2 i EU:s allmänna dataskyddsförordning ska de lagstiftningsåtgärder som avses i punkt 1 innehålla specifika bestämmelser åtminstone avseende 

• a) ändamålen med behandlingen eller kategorierna av behandling, 
• b) kategorierna av personuppgifter, 
• c) omfattningen av de införda begränsningarna, 
• d) skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring, 
• e) specificeringen av den personuppgiftsansvarige eller kategorierna av personuppgiftsansvariga, 
• f) lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, om fattning och ändamål eller kategorierna av behandling, 
• g) riskerna för de registrerades rättigheter och friheter, och 
• h) de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen. 

Förslaget till kunduppgiftslag (lagförslag 1) innehåller flera sådana ovan nämnda åtgärder som skyddar de registrerades rättigheter och som också gäller sådana utlämnanden som avses i 20 § 1 mom. och 21 § 1 mom. och för vilka utskottet föreslår att ett tillstånd för utlämnande ska ställas som villkor. I lagförslaget och i annan gällande reglering av informationshanteringen inom social- och hälsovården finns bestämmelser om ändamålet med behandlingen av klient- och patientuppgifter vid ordnande och produktion av tjänster. I bestämmelserna avgränsas de grupper som har rätt att behandla klient- och patientuppgifter. På grund av olika användningsändamål specificeras dessutom bestämmelserna om klientuppgifter inom socialvården och patientuppgifter inom hälso- och sjukvården samt föreskrivs att endast nödvändiga klient- och patientuppgifter får behandlas inom social- och hälsovården. I lagförslaget föreskrivs det att åtkomsträttigheter till kunduppgifter ska grunda sig på de arbetsuppgifter som en yrkesutbildad person inom social- eller hälso- och sjukvården eller någon annan som behandlar klient- och patientuppgifter sköter och de tjänster som denna person tillhandahåller. En kund kan i enlighet med 20 § 1 mom. och 21 § 1 mom. ge tillstånd att lämna ut uppgifter om honom eller henne samt begränsa utlämnandet med hjälp av förbud. Alla som behandlar kunduppgifter ska identifieras på ett tillförlitligt sätt och logguppgifter samlas in om användningen och utlämnandet av kunduppgifter. Uppgifter om utlämnande visas i medborgargränssnittet (Mina Kanta-sidor). 

Bakom de riksomfattande informationssystemtjänsternas verksamhet ligger ett tungt vägande intresse som berör kärnan i de individuella och samhälleliga grundläggande fri- och rättigheterna när det gäller ordnande av social- och hälsovård (grundlagens 19 § om rätt till social trygghet) och samtidigt säkerheten i samhället (grundlagens 7 § om rätt till liv, personlig frihet och integritet). En smidig rörlighet för behövlig och nödvändig information har nästan alltid en central betydelse för kvaliteten på den service som tillhandahålls och ibland till och med för tryggandet av liv och hälsa. Utskottet anser på de grunder som anges närmare ovan att ett lagbaserat tillstånd för internt utlämnande inom verksamhetsområdet är proportionerligt när det kombineras med möjligheten att förbjuda utlämnande. Det centrala vid bedömningen är att informationen har samma använd-ningsändamål. Därför är behovet av information mellan tillhandahållare av hälso- och sjukvårdstjänster eller på motsvarande sätt mellan tillhandahållare av socialvårdstjänster både innehållsmässigt och kvantitativt större. Ett omfattande utlämnande av patientuppgifter mellan aktörerna inom hälso- och sjukvården har dessutom som konstateras ovan ett brett godkännande bland patienterna. 

Utskottet konstaterar dessutom att man i propositionen (s. 50) kritiskt har bedömt en modell som baserar sig på samtycke enligt EU:s dataskyddsförordning. Kritiken mot bedömningen riktar sig dock enligt utskottets uppfattning i synnerhet mot att det breda samtycket inom verksamhetsområdet ändras till ett uttryckligt och specificerat samtycke enligt dataskyddsförordningen. I propositionen föreslås det att samtycke mellan olika verksamhetsområden ska vara ett specificerat samtycke. Det beror enligt utskottet på de skäl som anförs ovan. För genomförande av samtycke mellan olika verksamhetsområden föreslås också en övergångsperiod, vilket beror på den tid det tar att genomföra modellen. 

Förbud mot utlämnande av uppgifter om minderåriga

I 18 § i förslaget till kunduppgiftslag föreskrivs det att en minderårigs vårdnadshavare inte har rätt att meddela ett förbud mot utlämnande av uppgifter för en minderårigs räkning som vårdnadshavaren har vårdnaden om. I detaljmotiveringen till paragrafen (s. 105—106) sägs följande: ”En vårdnadshavare har inte rätt att meddela ett förbud för en minderårig som vårdnadshavaren har vårdnaden om. Detta baserar sig på 9 § 4 mom. i patientlagen enligt vilket patientens vårdnadshavare eller andra lagliga företrädare inte har rätt att förbjuda sådan vård som behövs för avvärjande av fara som hotar patientens liv eller hälsa. Denna princip tillämpas också inom socialvården där den centrala principen är hänsynen till barnets bästa. Inom hälso- och sjukvården kan ett barn som är tillräckligt moget att besluta om sin vård meddela förbud själv.” 

Utskottet anser att den föreslagna omfattande begränsningen av rätten att föra talan är problematisk. Enligt 4 § i lagen angående vårdnad om barn och umgängesrätt (361/1983) företräder barnets vårdnadshavare barnet i de ärenden som avses i lagen och för barnets talan i dem. Det har gjorts noggrant angivna undantag från denna huvudregel, bland annat när det gäller att föra barnets talan inom socialvården och förordna en intressebevakare för barnet. Den fara för liv och hälsa som avses i 9 § 4 mom. i lagen om patientens ställning och rättigheter (785/1992, nedan patientlagen) motiverar enligt utskottet inte en så här omfattande begränsning av vårdnadshavarens rätt att föra talan i fråga om behandlingen av uppgifter. Den bestämmelse som föreslås i propositionen stämmer således inte till alla delar överens med de rättsprinciper för barnets egen talan och föräldrarnas talan som för närvarande iakttas i civilrätten och den gällande social- och hälsovårdslagstiftningen. 

Utskottet föreslår att bestämmelsen ändras så att den motsvarar propositionsmotiven, det vill säga så att vårdnadshavaren eller någon annan laglig företrädare har rätt att förbjuda utlämnande av uppgifter för en minderårigs räkning i andra än sådana nödsituationer som avses i 13 § 3 mom. 3 punkten i patientlagen. Således begränsas rätten för en minderårigs vårdnadshavare eller någon annan laglig företrädare till vad som föreslås i propositionsmotiven. Detta innebär att vårdnadshavaren eller någon annan laglig företrädare inte har rätt att förbjuda utlämnande av uppgifter när det är fråga om nödvändig vård för avvärjande av en fara som hotar en minderårig patients liv eller hälsa. Tidigare registrerade patientuppgifter kan vara nödvändiga för ordnandet och genomförandet av vården av patienten. Därför är det nödvändigt att säkerställa att patientuppgifterna för ett minderårigt barn finns tillgängliga via de riksomfattande informationssystemtjänsterna, i synnerhet i nödsituationer, utan att vårdnadshavaren eller någon annan laglig företrädare kan förbjuda att uppgifterna lämnas ut. 

I fråga om de riksomfattande informationssystemtjänsterna har det redan införts en funktion genom vilken en person särskilt kan tillåta eller förbjuda att hans eller hennes uppgifter lämnas ut i de nödsituationer som avses i 13 § 3 mom. 3 punkten i patientlagen. Alltså kan också den begränsning av vårdnadshavarens förbudsrätt som nu föreslås genomföras i de riksomfattande informationssystemtjänsterna genom att man i fråga om minderåriga slopar möjligheten för vårdnadshavaren eller någon annan laglig företrädare att välja att förbudet ska gälla dessa nödsituationer. 

Rätt att radera uppgifter och motsätta sig behandling

Grundlagsutskottet konstaterar (s. 4) att social- och hälsovårdsutskottet särskilt bör beakta vad dataskyddsförordningen säger om rätten att radera uppgifter och motsätta sig behandlingen av uppgifter. 

Social- och hälsovårdsutskottet påpekar att det i den föreslagna kunduppgiftslagen inte föreslås någon begränsning av de registrerades rättigheter. De registrerades rättigheter enligt dataskyddsförordningen varierar beroende på vilken rättslig grund behandlingen grundar sig på. 

Enligt artikel 17.3 b och c i dataskyddsförordningen föreligger ingen rätt att få sina uppgifter raderade, om behandlingen är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av eller för att utföra en uppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige, eller för skäl som rör ett viktigt allmänt intresse på folkhälsoområdet enligt artikel 9.2 h och i samt artikel 9.3. Behandlingen av de uppgifter som avses i kunduppgiftslagen omfattas av de ovan nämnda punkterna i artikel 17 i dataskyddsförordningen. 

Bevarandet av klient- och patientuppgifter i Kanta-tjänsterna och lagringstiderna enligt lagstiftningen tryggar enligt utskottet både de yrkesutbildade personernas och social- och hälsovårdskundernas rättigheter och intressen. I värsta fall skulle rätten att få sina uppgifter raderade förhindra att kundernas och de yrkesutbildade personernas rättigheter tillgodoses och äventyra patientsäkerheten. Uppgifter kan också behövas för utredning av skadesituationer. Till exempel kan en misstänkt patientskada anmälas upp till tio år efter det att skadan borde ha upptäckts. Möjligheten att radera uppgifter skulle i sådana situationer äventyra både kundens och yrkespersonernas rättsskydd. 

När det gäller rätten att göra invändningar enligt artikel 21 i dataskyddsförordningen konstaterar utskottet att den rättsliga grunden för behandling enligt kunduppgiftslagen är artiklarna 6.1 c och 9.2 h i dataskyddsförordningen, vilka alltså inte ger den registrerade rätt att göra invändningar. Den rättsliga grund för behandling som valts i kunduppgiftslagen utesluter inte andra väsentliga rättigheter för den registrerade, såsom rätten att begära begränsning av behandlingen eller radering eller rättelse av felaktiga eller föråldrade uppgifter. 

Kundens rätt att få information om behandlingen av sina egna uppgifter

Utskottet konstaterar att kundens rätt att få logguppgifter är en viktig rätt som ger honom eller henne möjlighet att bedöma om hans eller hennes uppgifter har behandlats lagenligt och korrekt. På basis av rätten att få logguppgifter kan kunden vid behov vidta åtgärder om han eller hon misstänker att uppgifterna har behandlats lagstridigt eller inkorrekt på något annat sätt. Utan denna rätt har kunden i praktiken dåliga möjligheter att säkerställa att hans eller hennes uppgifter behandlas ändamålsenligt. 

Kunden har redan med stöd av 18 § i den gällande klientuppgiftslagen rätt att få logguppgifter. Rätten att få logguppgifter anges i 26 § i den föreslagna kunduppgiftslagen. Enligt den bestämmelsen har en kund för utredning eller utövande av sina rättigheter i anslutning till behandlingen av sina kunduppgifter rätt att på skriftlig begäran inom skälig tid och senast inom två månader av tjänstetillhandahållaren utifrån loggregistret avgiftsfritt få veta vem som har använt eller till vem det har lämnats ut uppgifter om honom eller henne samt grunden för användningen eller utlämnandet. Kunden har motsvarande rätt att av Folkpensionsanstalten få logguppgifter ur informationshanteringstjänsten, viljeyttringstjänsten, receptcentret och informationsresursen för egna uppgifter, logguppgifter för använda eller utlämnade kunduppgifter och uppgifter om välbefinnande samt uppgifter om tidpunkten för användningen eller utlämnandet till den del uppgifterna omfattas av Folkpensionsanstaltens personuppgiftsansvar. 

I 4 mom. föreslås en ny uppgift för dataombudsmannen. Enligt momentet kan ett ärende föras till dataombudsmannen för behandling i enlighet med 21 § 1 mom. i dataskyddslagen (1050/2018). Om tjänstetillhandahållaren eller Folkpensionsanstalten anser att logguppgifterna inte får lämnas ut till kunden, ska det fattas ett skriftligt avslagsbeslut. 

Enligt gällande bestämmelser har dataombudsmannen inte till uppgift att bedöma hur en liknande rätt att få uppgifter som avses i 18 § i den föreslagna kunduppgiftslagen tillgodoses. Dataombudsmannen har inte heller i andra sammanhang bedömt kundens rätt att få logguppgifter. Dataombudsmannen har i ett yttrande ansett att propositionen i och med den nya uppgiften i betydande grad ökar dataombudsmannens uppgifter inom social- och hälsovården. 

I praktiken har det också i viss mån varit oklart vad man ska söka ändring i när en privat aktör vägrar lämna ut logguppgifter, eftersom den nuvarande klientuppgiftslagen inte innehåller någon bestämmelse om sökande av ändring. När det gäller myndighetsaktörer baserar sig rätten att få logguppgifter allmänt taget på offentlighetslagen. 

Social- och hälsovårdsministeriet har utifrån förvaltningsdomstolarnas avgöranden bedömt vilka tilläggsresurser som behövs. Enligt en utredning från ministeriet har det vid vissa förvaltningsdomstolar under en period av åtskilliga år förekommit endast några fall som gäller underlåtenhet att lämna logguppgifter och vid vissa förvaltningsdomstolar har det inte förekommit några fall alls. Bland tjänstetillhandahållarna har det vid social- och hälsovårdsverket i Helsingfors och Helsingfors och Nylands sjukvårdsdistrikt förekommit högst ett fall per år. Antalet har således varit litet. 

Utskottet anser det vara viktigt att rättsmedlen i fråga om logguppgifter är tydliga och tillräckligt täckande, så den föreslagna bestämmelsen är motiverad. När det gäller kundens rättsskydd är det också av betydelse att det föreslagna rättsskyddsförfarandet i fråga om utebliven tillgång till logguppgifter är avgiftsfritt. Samtidigt konstaterar utskottet dock att antalet behandlade ärenden av denna anledning kan antas öka. Dessutom behandlas ärenden som gäller den privata sektorn inte av förvaltningsdomstolarna, vilket framöver ökar antalet fall. Rådgivning och handledning i anslutning till detta kräver likaså mer resurser. 

Utskottet anser det nödvändigt att säkerställa att dataombudsmannens byrå har tillräckliga resurser. Kundernas rättssäkerhet kan inte tillgodoses om det de facto inte finns tillräckliga resurser för de förfaranden som gäller den. Utskottet framhåller att statsrådet noggrant bör följa de behov av personalresurser som behandlingen orsakar och vid behov vidta åtgärder för att trygga resurserna. 

Information till kunderna

Enligt 16 § i lagförslag 1 ska tjänstetillhandahållaren informera kunden om de riksomfattande informationssystemtjänsterna, verksamhetsprinciperna för dem och om kundens rättigheter när det gäller de riksomfattande informationssystemtjänsterna. Enligt lagförslaget svarar Institutet för hälsa och välfärd för sakinnehållet i informationen om de riksomfattande informationssystemtjänsterna. Folkpensionsanstalten svarar för informationsmaterialet. Informationen ska lämnas senast i samband med den första kontakten. 

Utskottet anser det viktigt att informationsskyldigheten är lagfäst. Tillräcklig och begriplig information i rätt tid har en central betydelse dels med tanke på kundens rättsskydd i anslutning till privatlivet, dels med tanke på tillgodoseendet av kundens rättigheter i fråga om tillgången till och kvaliteten på social- och hälsovårdstjänster. 

Utskottet betonar att grupper med särskilda behov bör beaktas i informationen. Bland kunderna inom socialvården och hälso- och sjukvården finns det också personer i utsatt ställning vars förmåga att tillägna sig information kan vara nedsatt. Då framhävs skyldigheten att lämna information på ett sätt som kunden förstår och som beaktar kundens omständigheter. Informationen ska finnas tillgänglig på de språk som lagstiftningen förpliktar till samt med hjälp av olika informationsmetoder. 

Utskottet betonar också vikten av tillräckligt tydlig information till minderåriga kunder, så att deras rättigheter kan tillgodoses vid behandlingen av uppgifterna på det sätt som tryggas i lagstiftningen. En minderårigs rättigheter har ett nära samband dels med hans eller hennes ställning som klient eller patient, dels i relation till hans eller hennes vårdnadshavare eller någon annan laglig företrädare. Den minderåriga själv och vårdnadshavaren ska ges tillräcklig och tydlig information om behandlingen av uppgifterna och om deras rättigheter. 

Krav på informationssystem och välbefinnandeapplikationer

I 29 § i den föreslagna kunduppgiftslagen föreskrivs det om klassificering av informationssystem. Social- och hälsovårdens informationssystem och välbefinnandeapplikationer delas enligt deras användningsändamål och egenskaper in i klasserna A och B. Till klass A hör de riksomfattande informationssystemtjänster som förvaltas av Folkpensionsanstalten samt de informationssystem och välbefinnandeapplikationer som behandlar kunduppgifter och som är avsedda att anslutas till de riksomfattande informationssystemtjänsterna. Klass A anses också omfatta de förmedlingstjänster som används för att överföra uppgifter i regionala eller lokala informationssystem inom hälso- och sjukvården till de riksomfattande informationssystemtjänsterna (Kanta-tjänsterna). 

Informationssystemen i klass B ska vara sådana som varken direkt eller via en förmedlingstjänst är anslutna till de riksomfattande informationssystemtjänsterna. Till exempel ett laboratoriesystem där uppgifterna registreras i patientuppgifterna i ett patientuppgiftssystem hör till klass B även om patientuppgiftssystemet registrerar laboratorieresultaten senare i Kanta-tjänsternas arkiveringstjänst. 

Institutet för hälsa och välfärd får enligt 29 § 4 mom. i lagförslaget meddela föreskrifter om klassificeringen av informationssystem. 

I 35 § i förslaget till kunduppgiftslag föreskrivs det om det förfarande genom vilket producenten av en informationssystemtjänst och tillverkaren av en välbefinnandeapplikation ska påvisa att informationssystemet eller välbefinnandeapplikationen uppfyller de väsentliga kraven. 

Utskottet understöder ett förfarande där alla tjänstetillhandahållare som behandlar kunduppgifter via elektroniska informationssystem ska ansluta sig till de riksomfattande informationssystemtjänsterna med ett informationssystem som hör till klass A. Den föreslagna kunduppgiftslagen utvidgar skyldigheten för privata tjänstetillhandahållare att ansluta sig. Utskottet välkomnar att man samtidigt också utvidgar kretsen av informationssystem i kategori A. Eftersom dessa informationssystem utöver Kanta-tjänsternas interoperabilitet också ska klara av den bedömning av informationssäkerheten som utförs av bedömningsorganet för informationssäkerhet, minskar reformen sårbarheten hos enskilda aktörers kundinformationssystem. Samtidigt framhävs dock skyldigheten att sörja för nivån på informationssäkerheten inom Kanta-tjänsterna. 

Utskottet anser med tanke på tillsynen att det är viktigt att närmare föreskrifter än vad som föreskrivs i lag utfärdas om producentens utredning för påvisande av att informationssystem som hör till klass B överensstämmer med kraven. Enligt uppgift har de närmare bestämmelserna hittills i huvudsak gällt system i kategori A. Utskottet konstaterar att det i fortsättningen är nödvändigt att på det sätt som propositionen möjliggör rikta väsentliga krav också på informationssystem i klass B för att säkerställa interoperabilitet och informationssäkerhet. 

Förvaringstider

Enligt grundlagsutskottet gäller kravet på att bestämmelser om känsliga personuppgifter ska utfärdas genom lag också förvaringstiderna (GrUU 14/2018 rd, s. 2 och 6). Grundlagsutskottet slår fast att regleringen måste kompletteras. 

Social- och hälsovårdsutskottet påpekar att den gällande klientuppgiftslagen och det nya lagförslaget inte innehåller bestämmelser om förvaringstiden i anslutning till de riksomfattande informationssystemtjänsterna. Grunden för bestämmelserna om förvaringstider för journalhandlingar finns i 12 § i patientlagen. Närmare bestämmelser om förvaringstiderna för journalhandlingar finns i social- och hälsovårdsministeriets förordning om journalhandlingar. Bestämmelser om förvaringstiderna för klienthandlingar inom socialvården finns i 27 § i lagen om klienthandlingar inom socialvården (254/2015) och i bilagan till lagen. De föreskrivna förvaringstiderna gäller också uppgifter som förs in i de riksomfattande informationssystemtjänsterna. 

Enligt inkommen utredning är avsikten att i samband med den totalreform som är under beredning till behövliga delar föreskriva närmare om förvaring av journalhandlingar i lag i stället för i förordning. Samtidigt ska bestämmelserna också uppdateras innehållsmässigt. Vid ministeriet har man för detta ändamål inlett en värdering som ska vara klar före utgången av oktober 2021. Det är fråga om en utredning av vilka handlingar som är nödvändiga eller behövliga med tanke på ordnandet och produktionen av patienternas hälso- och sjukvård. 

I ljuset av de nuvarande bestämmelserna konstaterar utskottet att bestämmelserna om förvaringstider inte hör till den nu föreslagna kunduppgiftslagen, eftersom grunden för bestämmelserna om förvaringstider finns i annan lagstiftning. Bestämmelserna gäller både elektroniska uppgifter och pappersdokument. Utskottet konstaterar att förvaringstiderna bör granskas som en helhet, oberoende av vilken form materialet finns i. Därför anser utskottet det vara ändamålsenligt att bestämmelserna om förvaringstider revideras i samband med den ovan nämnda totalreformen. Med tanke på lagens enhetlighet och informativitet föreslår utskottet att det till 8 § i kunduppgiftslagen nu fogas en hänvisning till bestämmelserna om förvaringstider. 

Propositionens ekonomiska konsekvenser

Vid utskottets sakkunnigutfrågning påtalades det att propositionens konsekvensbedömning är delvis bristfällig. Enligt inkomna yttranden orsakas både myndighetsfunktionerna och tillhandahållarna av social- och hälsovårdstjänster kostnader för ändringar i verksamheten och för tekniska investeringar. Kostnaderna för de ändringar som föreslås i synnerhet i tjänstetillhandahållarnas klient- och patientdatasystem har dock inte specificerats eller uppskattats närmare i propositionen. Det påpekas också att personalutbildning och stöd för verkställigheten orsakar kostnader. 

Sakkunniga har samtidigt också lyft fram de kostnadsfördelar som är förenade med propositionen. I synnerhet i början är risken för kostnadsökningar emellertid betydande på grund av de investeringar som behövs. 

Utskottet konstaterar att en tillräcklig finansiering av Kanta-tjänsterna, som upprätthålls av Folkpensionsanstalten, bör tryggas genom en modell som stöder en långsiktig, planmässig och transparent utveckling av den omfattande och fortgående växande systemhelheten. 

Institutet för hälsa och välfärd bedömer att propositionen ökar och utvidgar dess uppgifter jämfört med nuläget. Behovet av tilläggsresurser uppskattas uppgå till 600 000 euro per år. 

Även Tillstånds- och tillsynsverket för social- och hälsovården Valvira konstaterar att dess nuvarande personalresurser är otillräckliga för de uppgifter som tillkommer genom propositionen. 

Behovet av att följa hur dataombudsmannens resurser räcker till påpekas ovan. 

Utskottet betonar att tillräckliga resurser är en förutsättning för att informationssystemen ska fungera och för att de ska kunna övervakas på ett trovärdigt och verkningsfullt sätt. 

Utskottet konstaterar att det finns många små producenter av privat socialservice och att de social-tjänster som dessa tillhandahåller utgör en betydande del av servicesystemet. Lagreformen får inte äventyra de små tjänstetillhandahållarnas existens och verksamhetsförutsättningar. Det väsentliga enligt utskottet är att det blir så enkelt och förmånligt som möjligt att ansluta sig till de riksomfattande informationssystemtjänsterna. 

Tidsplan för genomförandet

Sakkunniga har framfört oro över den alltför snäva tidsplanen för verkställigheten av den föreslagna kunduppgiftslagen. Utifrån en utredning från social- och hälsovårdsministeriet föreslår utskottet nedan vissa ändringar i övergångsbestämmelserna. Utskottet betonar dock att ministeriet måste bevaka genomförandet av reformerna samt bedöma och i rätt tid föreslå eventuella ändringar som behöver göras i övergångstiderna. Dessutom ska det i samband med verkställigheten sörjas för informationen till och den allmänna kommunikationen med de aktörer och medborgare som är föremål för bestämmelserna samt för utbildningen av personalen inom social- och hälsovården i anslutning till ändringarna i informationssystemens funktioner. 

Avslutningsvis

Utskottet fäster allvarlig uppmärksamhet vid att det under riksdagsbehandlingen har varit nödvändigt att göra ett flertal ändringar i propositionen med anledning av såväl grundlagsutskottets utlåtande som social- och hälsovårdsutskottets sakkunnigutfrågning. Riksdagsbehandlingen lämpar sig inte särskilt bra för omfattande ändringar. De lagförslag riksdagen får ska grunda sig på tillräckligt täckande motiveringar och konsekvensbedömningar samt på ett officiellt förslag som är tillgängligt för alla; därigenom säkerställs öppenhet och kvalitet i lagstiftningen. Om riksdagen måste göra omfattande ändringar i lagförslagen blir det också svårt att få en helhetsbild av förarbetena till lagen, vilket kan göra tillämpningen av lagen besvärlig. 

Utskottet konstaterar också att även om propositionen förtydligar bestämmelserna om elektronisk behandling av kunduppgifter, förblir lagstiftningen om dataskydd och informationshantering inom social- och hälsovården fortfarande splittrad, svårtolkad och delvis bristfällig. Regleringen omfattar ett flertal lagar och förordningar, och bestämmelserna motsvarar inte till alla delar kraven i EU:s allmänna dataskyddsförordning. Regleringen är också delvis föråldrad och inbördes motstridig, vilket innebär att det i praktiken är svårt att tillämpa och samordna flera olika lagar samtidigt. Vid behandlingen av vissa propositioner i utskottet har det också framkommit att förhållandet mellan olika lagar som gäller behandling av klient- och patientuppgifter delvis är oklart. Särskilt förhållandet mellan lagen om sekundär användning av personuppgifter inom social- och hälsovården och annan reglering har visat sig vara svårtolkat, och därför betonar utskottet behovet av att uppdatera lagen om sekundär användning. 

Enligt inkommen utredning har social- och hälsovårdsministeriet inlett en fullständig översyn av bestämmelserna om informationshantering inom social- och hälsovården. Avsikten är att avhjälpa de påtalade bristerna. Översynen är ett omfattande projekt och kommer att indelas i flera faser över flera regeringsperioder. Enligt utredningen är avsikten att en proposition för den första fasen ska lämnas till riksdagen redan under den pågående regeringsperioden. 

Utskottet betonar behovet av att reformera den rättsliga grunden för behandlingen av uppgifter inom social- och hälsovården så att den är tydlig, enhetlig och heltäckande och motsvarar kraven i Europeiska unionens stadga om de grundläggande rättigheterna, grundlagen och den allmänna dataskyddsförordningen samt stöder servicesystemet inom social- och hälsovården och integrationen av social- och hälsovården. Regleringen bör göras enhetlig och förtydligas så att behandlingen av personuppgifter och de registrerades rättigheter framgår på ett begripligt och entydigt sätt. Det är också nödvändigt att förtydliga förhållandet mellan olika lagar så att det i olika situationer inte råder oklarhet om vilken lag som ska tillämpas. Utskottet föreslår ett uttalande om detta. (Utskottets förslag till uttalande)