671/2023

I denna lag utfärdas bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan den allmänna dataskyddsförordningen , när personuppgifter behandlas i biobanker. Om inte något annat följer av denna eller någon annan lag, tillämpas på behandlingen av personuppgifter vad som föreskrivs i dataskyddslagen (1050/2018). Om inte något annat följer av denna eller någon annan lag, tillämpas lagen om offentlighet i myndigheternas verksamhet (621/1999), nedan offentlighetslagen , på biobanksverksamhet.

Den biobanksansvarige har till uppgift att sköta

För att samla in ett prov och lämna ut provet och tillhörande uppgifter till en biobank krävs ett frivilligt och informerat samtycke av personen i fråga. Samtycket ska ges skriftligen.

Vårdnadshavaren ger samtycke för en minderårigs räkning. Om en person som uppnått myndighetsåldern inte på grund av sjukdom eller nedsatt psykisk funktionsförmåga eller av någon annan orsak har förutsättningar att bedöma samtyckets betydelse, kan samtycket för denna persons räkning ges av en nära anhörig eller annan närstående. Samtycket ska uttrycka den förmodade viljan hos den minderårige eller personen som saknar beslutskompetens. Om en minderårig med hänsyn till sin ålder och utvecklingsnivå har förmåga att förstå biobanksforskningens betydelse och natur, förutsätts dessutom hans eller hennes skriftliga samtycke.

Den som ska ge ett samtycke ska innan samtycket ges få tillräcklig information om biobanksverksamhetens natur, eventuella risker och olägenheter, syftet med insamlingen och förvaringen av prover, grunden för behandlingen av personuppgifter och skyddsåtgärder i samband med behandlingen av personuppgifter, provernas ägare och den biobank som förvarar proverna, samtyckets omfattning, frivilligheten vid givande av samtycke och möjligheten att återkalla samtycket utan negativa följder och rätten att göra invändningar mot behandlingen av uppgifterna i enlighet med artikel 21 i den allmänna dataskyddsförordningen. Informationen ska vara tydlig och begriplig. Informationen till en minderårig eller den som uppnått myndighetsåldern men som saknar beslutskompetens ska vara anpassad till hans eller hennes förmåga att förstå. Informationen ska ges på ett ändamålsenligt sätt och dessutom alltid skriftligen.

Bestämmelser om innehållet i den samtyckes- och godkännandehandling som avses i 2 mom., 14 § och 26 § 1 mom. och om undertecknandet och förvaringen av denna handling får utfärdas genom förordning av statsrådet. Bestämmelser om arkiveringsskyldigheten finns i arkivlagen (831/1994).

I en biobank får personuppgifter behandlas med stöd av artiklarna 6.1 e och 9.2 i i den allmänna dataskyddsförordningen, om behandlingen är nödvändig för fullgörande av uppgifterna enligt 5 §.

En person har när som helst innan ett prov samlas in och innan provet och tillhörande uppgifter lämnas ut till en biobank rätt att återkalla ett samtycke som avses i 11 §. När ett samtycke återkallas ska den som mottagit samtycket underrättas om detta. Underrättelsen ska vara skriftlig.

Den biobanksansvarige ska på begäran ge ett intyg över att en underrättelse som avses i 1 mom. tagits emot och en redogörelse för de åtgärder som återkallelsen av samtycket har lett till. För mottagandet av en underrättelse och för de åtgärder som vidtas till följd av den får det inte tas ut någon avgift.

När en biobank har tagit emot en underrättelse om utövande av rätten att göra invändningar enligt artikel 21 i den allmänna dataskyddsförordningen, får prover eller tillhörande uppgifter inte längre användas eller lämnas ut för biobanksforskning i fråga om de prover eller uppgifter som utövandet av rätten att göra invändningar gäller. Om en partiell användning av proverna eller uppgifterna inte är möjlig, får proverna eller uppgifterna inte längre användas eller lämnas ut för biobanksforskning.

Den biobanksansvarige ska på begäran ge ett intyg över att en underrättelse som avses i 1 mom. tagits emot och en redogörelse för de åtgärder som vidtagits till följd av utövandet av rätten att göra invändningar enligt artikel 21 i den allmänna dataskyddsförordningen. För mottagandet av en underrättelse och för de åtgärder som vidtas till följd av den får det inte tas ut någon avgift.

För att uppgifter om den registrerade och hans eller hennes hälsotillstånd och av den registrerade erhållna uppgifter om faktorer som inverkar på hans eller hennes hälsa ska få fogas till provet när prover samlas in eller överförs till en biobank krävs att det finns en i 11 a § avsedd grund för behandling av personuppgifter och ett skriftligt godkännande av personen i fråga. På uppgifter som hör till gamla prover tillämpas dessutom 13 §.

På ett skriftligt godkännande av minderåriga och av personer som saknar beslutskompetens tillämpas vad som föreskrivs om givande av samtycke.

Den som har samlat in prover och tillhörande uppgifter är skyldig att överlämna proverna och uppgifterna till en biobank innan de används i forskning. Om proverna har samlats in som en del av ett enskilt forskningsprojekt, får de uppgifter som hör till proverna dock överlämnas till biobanken när forskningen i fråga har avslutats.

Vid hanteringen av identifierbara prover och behandlingen av tillhörande uppgifter ska det sörjas för att

Proverna ska förvaras och informationssystemen ska vara uppbyggda så att

Ett samtyckesregister är ett personregister som förs i syfte att säkerställa att självbestämmanderätten tillgodoses. Registret förs med hjälp av elektronisk databehandling. Samtyckesregistret kan samköras med prov- och dataregistret med hjälp av ett kodregister.

För samtyckesregistret inhämtas och i registret införs uppgifter om

Om ett samtycke som avses i 11 § 2 mom. återkallas eller den registrerade utövar rätten att göra invändningar enligt artikel 21 i den allmänna dataskyddsförordningen, eller om användningen av ett prov annars upphör, ska uppgifterna avföras ur kodregistret.

Inrättningar, företag, sammanslutningar och personer som bedriver biobanksforskning har rätt att ur prov- och dataregistret få sådana i 21 § 2 mom. 1 punkten avsedda uppgifter som behövs för bedömning av hur användbara proverna och uppgifterna i biobanken är och som inte innehåller sådana särskilda kategorier av personuppgifter som avses i artikel 9 i den allmänna dataskyddsförordningen.

Om en biobanks verksamhet upphör ska proverna och de tillhörande uppgifterna förstöras och samtyckesregistret och prov- och dataregistret överföras till ett arkiv, om inte proverna och uppgifterna överförs till en annan biobank. När en biobanks verksamhet upphör ska den biobanksansvarige förstöra kodregistret.

En biobank får lämna ut, undersöka och på annat sätt hantera och behandla prover och uppgifter som den förvarar, om

De koder som används vid utlämnandet skapas för varje enskilt projekt i samband med utlämnandet. Den kod som används vid förvaringen av prover och uppgifter får inte lämnas ut från biobanken.

Den förutsättning om ett skriftligt godkännande som avses i 1 mom. 4 punkten tillämpas inte på sådana gamla prover som avses i 13 §.

En biobank får lämna ut nödvändiga personuppgifter till Institutet för hälsa och välfärd eller någon annan personuppgiftsansvarig, om det för genomförandet av forskningen är motiverat att samköra uppgifterna i den personuppgiftsansvariges personregister med prover eller uppgifter i biobanken och utlämnandet uppfyller villkoren i 26 § 1 mom.

Institutet för hälsa och välfärd och andra personuppgiftsansvariga ska koda sådana registeruppgifter som de samkört med personuppgifter med de projektspecifika koder som givits av biobanken innan uppgifterna lämnas vidare till den som ansvarar för forskningen, om det inte finns särskilda skäl att förfara på annat sätt.

Sekretessen hindrar inte att den till vilken prover eller tillhörande uppgifter har lämnats ut eller överförts informeras om

Bestämmelser om straff för dataintrång finns i 38 kap. 8 § i strafflagen (39/1889) och om straff för dataskyddsbrott i 38 kap. 9 § i den lagen. Till straff för brott mot tystnadsplikten döms enligt 38 kap. 1 eller 2 § i strafflagen, om gärningen inte utgör brott enligt 40 kap. 5 § i den lagen eller om inte strängare straff för gärningen föreskrivs någon annanstans i lag.

Ett välfärdsområde som är huvudman för ett universitetssjukhus eller HUS-sammanslutningen kan inrätta en regional biobank i enlighet med vad som avtalas i en sådan servicestrategi som avses i 11 § i lagen om ordnande av social- och hälsovård (612/2021) eller i ett sådant samarbetsavtal mellan välfärdsområden som avses i 36 § i den lagen eller på något annat sätt.