582/2020

Institutet för hälsa och välfärd tillhandahåller, godkänner och förvaltar ett informationssystem, bestående av en mobilapplikation med tillhörande bakomliggande system, för uppspårning av personer som eventuellt exponerats för coronavirus. Mobilapplikationen är avgiftsfri för användarna och användningen av den är frivillig.

Användning och överföring av data mellan mobilapplikationen och bakgrundssystemet kräver att användaren gett samtycke till det. Samtycket ges i applikationen. Av samtycket ska det framgå att det har lämnats frivilligt och uttryckligt samt med vetskap om de ändamål för vilka uppgifter som överförts med mobilapplikationen får användas och lämnas ut. Det ska också framgå att samtycket inte har lämnats i samband med kundservice inom social- och hälsovården eller i ett myndighetsförfarande. Samtycket kan när som helst återkallas genom att applikationen tas ur bruk.

Institutet för hälsa och välfärd är personuppgiftsansvarig i fråga om behandlingen av personuppgifter i samband med informationssystemet.

Institutet för hälsa och välfärd svarar för informationssystemets funktion och godkännandet av dess informationssäkerhet och kan ställa närmare funktionella och tekniska krav på systemet samt krav på dess informationssäkerhet.

Institutet för hälsa och välfärd ska se till att informationssystemet används bara så länge som det behövs för att bryta smittkedjor för sjukdomen covid-19.

Folkpensionsanstalten ska för Institutet för hälsa och välfärds räkning svara för förvaltningen av det bakomliggande systemet på det sätt som Institutet för hälsa och välfärd bestämmer.

Vid användningen av informationssystemet får personuppgifter behandlas på det sätt som föreskrivs i detta kapitel för att bryta smittkedjor för sjukdomen covid-19 och för att spåra upp och informera personer som använder applikationen och eventuellt har exponerats för smitta samt för de statistiska ändamål som behövs för att följa hur covid-19-epidemin fortskrider och bedöma informationssystemets funktion. Personuppgifter får användas endast för de ändamål som är förenliga med detta kapitel, och de får inte användas för polisundersökningar, förundersökningar, rättegångar eller andra ändamål som har samband med lagövervakning. Uppgifterna får inte heller användas som enda grund vid beslutsfattande enligt 60 § eller vid annan utövning av offentlig makt som inte hänför sig till ett vårdbeslut som gäller covid-19-smitta.

I samband med användningen av informationssystemet får följande personuppgifter behandlas:

1) användarens pseudonyma identifierare,

2) pseudonyma identifierare för de andra användare som användaren har träffat samt behövliga uppgifter om mötenas varaktighet och tidpunkten för dem samt styrkan hos bluetooth-signalen från den mobila enheten vid tidpunkten i fråga,

3) pseudonyma identifierare för användare som anmält sig vara smittade,

4) information som användaren har fått om att han eller hon eventuellt har exponerats,

5) namn, telefonnummer, hemkommun och vid behov tillfällig boningsort samt uppgifter om symtom som en användare har uppgett i samband med en sådan begäran om kontakt som avses i 43 e § 1 mom.

De uppgifter som avses ovan i 2 mom. 1, 2 och 4 punkten får sparas i användarens mobila enhet. I det bakomliggande systemet får de uppgifter som avses i 2 mom. 3 punkten registreras för uppspårning av de applikationsanvändare som eventuellt exponerats för smitta, och de uppgifter som nämns i 2 mom. 5 punkten registreras för utlämnande till en verksamhetsenhet för hälso- och sjukvård i en kommun eller i en samkommun för ett sjukvårdsdistrikt eller till Ålands hälso- och sjukvård i enlighet med bestämmelserna i 43 e §.

De uppgifter som avses i 2 mom. 1–5 punkten ska raderas och förstöras inom 21 dygn från det att de har registrerats. Uppgifterna ska dock raderas och förstöras senast när informationssystemet tas ur bruk i enlighet med 43 a § 5 mom.

Med undantag från vad som föreskrivs i 22 § behöver den som använder en mobilapplikation som avses i detta kapitel inte meddela de uppgifter som han eller hon har fått med hjälp av informationssystemet till en läkare.

Institutet för hälsa och välfärd har trots sekretessbestämmelserna rätt att till verksamhetsenheter för hälso- och sjukvård i kommuner och i samkommuner för sjukvårdsdistrikt och till Ålands hälso- och sjukvård lämna ut sådana i 43 c § 2 mom. 5 punkten avsedda uppgifter som behövs för att verksamhetsenheten ska kunna kontakta personer som eventuellt exponerats för smitta för bedömning av deras behov av vård eller av andra åtgärder som behövs med tanke på bekämpningen av covid-19-epidemin.

De uppgifter om eventuell exponering som framgår av en begäran om kontakt enligt 1 mom. får sparas i ett temporärt register som inrättats av en verksamhetsenhet för hälso- och sjukvård i kommunen eller i samkommunen för sjukvårdsdistriktet för att användas när exponerade kontaktas enligt 1 mom. En uppgift ska utan dröjsmål raderas ur registret och förstöras när den inte längre är nödvändig för detta ändamål.

Social- och hälsovårdsministeriet styr och har uppsikt över Folkpensionsanstalten vid fullgörandet av det uppdrag som avses i 43 b §.

Transport- och kommunikationsverket ska bedöma informationssystemets informationssäkerhet innan det tas i bruk i enlighet med lagen om bedömning av informationssäkerheten i myndigheternas informationssystem och datakommunikation (1406/2011).

Tillstånds- och tillsynsverket för social- och hälsovården utövar tillsyn över informationssäkerheten i informationssystemet.

Tillstånds- och tillsynsverket för social- och hälsovården har rätt att utföra de inspektioner som tillsynen förutsätter och inspektören har rätt att få tillträde till lokaler som är av betydelse för tillsynen och där det förvaras uppgifter som är av betydelse för tillsynen. Inspektioner får dock inte utföras i utrymmen som används för boende av permanent natur. Vid inspektioner ska 39 § i förvaltningslagen (434/2003) iakttas.

Vid inspektionen ska alla handlingar som inspektören begär och som är nödvändiga för inspektionen läggas fram. På inspektörens begäran ska dessutom kopior av de handlingar som är nödvändiga för inspektionen överlämnas till inspektören utan avgift.