Reviderade dataskyddsregler för biobanker

I denna lag utfärdas bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan den allmänna dataskyddsförordningen , när personuppgifter behandlas i biobanker. Om inte något annat följer av denna eller någon annan lag, tillämpas på behandlingen av personuppgifter vad som föreskrivs i dataskyddslagen (1050/2018). Om inte något annat följer av denna eller någon annan lag, tillämpas lagen om offentlighet i myndigheternas verksamhet (621/1999), nedan offentlighetslagen , på biobanksverksamhet.

Den biobanksansvarige har till uppgift att sköta

6) övriga uppgifter som föreskrivs för den biobanksansvarige i denna lag,

7) utnämningen av ett i den allmänna dataskyddsförordningen avsett dataskyddsombud.

För att samla in ett prov och lämna ut provet och tillhörande uppgifter till en biobank krävs ett frivilligt och informerat samtycke av personen i fråga. Samtycket ska ges skriftligen.

Vårdnadshavaren ger samtycke för en minderårigs räkning. Om en person som uppnått myndighetsåldern inte på grund av sjukdom eller nedsatt psykisk funktionsförmåga eller av någon annan orsak har förutsättningar att bedöma samtyckets betydelse, kan samtycket för denna persons räkning ges av en nära anhörig eller annan närstående. Samtycket ska uttrycka den förmodade viljan hos den minderårige eller personen som saknar beslutskompetens. Om en minderårig med hänsyn till sin ålder och utvecklingsnivå har förmåga att förstå biobanksforskningens betydelse och natur, förutsätts dessutom hans eller hennes skriftliga samtycke.

Den som ska ge ett samtycke ska innan samtycket ges få tillräcklig information om biobanksverksamhetens natur, eventuella risker och olägenheter, syftet med insamlingen och förvaringen av prover, provernas ägare och den biobank som förvarar proverna, frivilligheten vid givande av samtycke och möjligheten att återkalla samtycket utan negativa följder och rätten att göra invändningar mot behandlingen av uppgifterna i enlighet med artikel 21 i den allmänna dataskyddsförordningen. Informationen ska vara tydlig och begriplig. Informationen till en minderårig eller den som uppnått myndighetsåldern men som saknar beslutskompetens ska vara anpassad till hans eller hennes förmåga att förstå. Informationen ska ges på ett ändamålsenligt sätt och dessutom alltid skriftligen.

Bestämmelser om innehållet i den samtyckes- och godkännandehandling som avses i 2 mom., 14 § och 26 § 1 mom. och om undertecknandet och förvaringen av denna handling får utfärdas genom förordning av statsrådet. Bestämmelser om arkiveringsskyldigheten finns i arkivlagen (831/1994).

I en biobank får personuppgifter behandlas med stöd av artiklarna 6.1 e och 9.2 i i den allmänna dataskyddsförordningen, om behandlingen är nödvändig för fullgörande av uppgifterna enligt 5 §.

En person har när som helst innan ett prov samlas in rätt att återkalla ett samtycke som avses i 11 §. När ett samtycke återkallas ska den som mottagit samtycket underrättas om detta. Underrättelsen ska vara skriftlig.

För att uppgifter om den registrerade och hans eller hennes hälsotillstånd och av den registrerade erhållna uppgifter om faktorer som inverkar på hans eller hennes hälsa ska få fogas till provet när prover samlas in eller överförs till en biobank krävs att det finns en i 11 a § avsedd grund för behandling av personuppgifter och ett skriftligt godkännande av personen i fråga. På uppgifter som hör till gamla prover tillämpas dessutom 13 §.

På ett skriftligt godkännande av minderåriga och av personer som saknar beslutskompetens tillämpas vad som föreskrivs om givande av samtycke.

Den som har samlat in prover och tillhörande uppgifter är skyldig att överlämna proverna och uppgifterna till en biobank innan de används i forskning. Om proverna har samlats in som en del av ett enskilt forskningsprojekt, får de uppgifter som hör till proverna dock överlämnas till biobanken när forskningen i fråga har avslutats.

Vid hanteringen av identifierbara prover och behandlingen av tillhörande uppgifter ska det sörjas för att

1) prover och tillhörande uppgifter kodas med en kod som ges av biobanken för registrering, förvaring, analys, undersökning och användning av provet och uppgifterna,

2) prover och tillhörande uppgifter förvaras åtskilda från kodnyckeln,

3) informationssystemen möjliggör en trygg förvaring, användning och uppföljning av prover och personuppgifter som förvaras i en biobank och verifiering av enskilda identifieringstransaktioner.

Proverna ska förvaras och informationssystemen ska vara uppbyggda så att

1) tillgången till och användbarheten i fråga om uppgifter som gäller grunden för hanteringen av proverna och behandlingen av uppgifterna tryggas,

2) uppgifterna om samtycke och andra grunder och villkor för användningen av proverna behåller sin integritet och oförvanskade form under hela förvaringstiden.

Ett samtyckesregister är ett personregister som förs i syfte att säkerställa att självbestämmanderätten tillgodoses. Registret förs med hjälp av elektronisk databehandling. Samtyckesregistret kan samköras med prov- och dataregistret med hjälp av ett kodregister.

För samtyckesregistret inhämtas och i registret införs uppgifter om

1) det samtycke som avses i 11 § 2 mom. och den tidpunkt när samtycke getts, den information som avses i 11 § 4 mom. och det meddelande som avses i 13 § 3 mom.,

2) det godkännande som avses i 14 § och 26 § 1 mom.,

3) utövande av rätten att göra invändningar enligt artikel 21 i den allmänna dataskyddsförordningen,

4) grunden och villkoren för användning av ett prov,

Om användningen av ett prov upphör ska uppgifterna avföras ur kodregistret.

Inrättningar, företag, sammanslutningar och personer som bedriver biobanksforskning har rätt att ur prov- och dataregistret få sådana i 21 § 2 mom. 1 punkten avsedda uppgifter som behövs för bedömning av hur användbara proverna och uppgifterna i biobanken är och som inte innehåller sådana särskilda kategorier av personuppgifter som avses i artikel 9 i den allmänna dataskyddsförordningen.

Om en biobanks verksamhet upphör ska proverna och de tillhörande uppgifterna förstöras och samtyckesregistret och prov- och dataregistret överföras till ett arkiv, om inte proverna och uppgifterna överförs till en annan biobank. När en biobanks verksamhet upphör ska den biobanksansvarige förstöra kodregistret.

En biobank får lämna ut, undersöka och på annat sätt hantera och behandla prover och uppgifter som den förvarar, om

3) den som tar emot proverna eller uppgifterna har tillbörlig yrkesmässig och vetenskaplig kompetens för hanteringen av proverna och behandlingen av uppgifterna, och utlämnandet har en koppling till mottagarens uppgifter,

4) det för utlämnandet finns en i 11 a § avsedd grund för behandling av personuppgifter och ett skriftligt godkännande av personen i fråga.

De koder som används vid utlämnandet skapas för varje enskilt projekt i samband med utlämnandet. Den kod som används vid förvaringen av prover och uppgifter får inte lämnas ut från biobanken.

En biobank får lämna ut nödvändiga personuppgifter till Institutet för hälsa och välfärd eller någon annan personuppgiftsansvarig, om det för genomförandet av forskningen är motiverat att samköra uppgifterna i den personuppgiftsansvariges personregister med prover eller uppgifter i biobanken och utlämnandet uppfyller villkoren i 26 § 1 mom.

Institutet för hälsa och välfärd och andra personuppgiftsansvariga ska koda sådana registeruppgifter som de samkört med personuppgifter med de projektspecifika koder som givits av biobanken innan uppgifterna lämnas vidare till den som ansvarar för forskningen, om det inte finns särskilda skäl att förfara på annat sätt.

Sekretessen hindrar inte att den till vilken prover eller tillhörande uppgifter har lämnats ut eller överförts informeras om utövandet av rätten att göra invändningar enligt artikel 21 i den allmänna dataskyddsförordningen.

Bestämmelser om straff för dataintrång finns i 38 kap. 8 § i strafflagen (39/1889) och om straff för dataskyddsbrott i 38 kap. 9 § i den lagen. Till straff för brott mot tystnadsplikten döms enligt 38 kap. 1 eller 2 § i strafflagen, om gärningen inte utgör brott enligt 40 kap. 5 § i den lagen eller om inte strängare straff för gärningen föreskrivs någon annanstans i lag.

Ett välfärdsområde som är huvudman för ett universitetssjukhus eller HUS-sammanslutningen kan inrätta en regional biobank i enlighet med vad som avtalas i en sådan servicestrategi som avses i 11 § i lagen om ordnande av social- och hälsovård (612/2021) eller i ett sådant samarbetsavtal mellan välfärdsområden som avses i 36 § i den lagen eller på något annat sätt.

Denna lag träder i kraft den 20 .