Utlåtande över 1. landskapslag om ändring av landskapslagen om hälso- och sjukvård och 2. landskapslag om ändring av 20 § landskapslagen om hälso- och sjukvård, antagna av lagtinget 27.9.2024.

Landskapslagarnas huvudsakliga innehåll

Rättsliga förutsättningar skapas för Ålands hälso- och sjukvård (ÅHS) att behandla hälsouppgifter i kvalitetsregister i syfte att säkra verksamhetens kvalitet, möjliggöra statistikföring och tillgodose den vetenskapliga forskningens behov av information genom att ÅHS ges möjlighet att behandla känsliga personuppgifter för andra ändamål än de för vilka uppgifterna ursprungligen samlades in. 

För att säkerställa att kvalitetsregister upprättas och förs under ordnade, kontrollerade och lagenliga former bildas en registerförvaltning inom ÅHS. Registerförvaltningen består av en gemensam registerstyrgrupp samt registerhållarna. För varje kvalitetsregister utses en registerhållare. Till landskapslagen fogas bestämmelser om utlämnande och bevarande av uppgifter i kvalitetsregister.

Landskapslagens 20 §:s bestämmelser om vårdgarantin inom den specialiserade sjukvården preciseras så att det tydligt framgår inom vilka tidsramar bedömningen av patientens vårdbehov ska utföras.

Lagstiftningsbehörigheten

Enligt 18 § 12 punkten i självstyrelselagen tillkommer lagstiftningsbehörigheten gällande hälso- och sjukvården landskapet med de undantag som stadgas i lagens 27 § 24, 29 och 30 punkter. Enligt nämnda punkter har lagstiftningsbehörigheten förbehållits riket i fråga om administrativa ingrepp i den personliga friheten, smittsamma sjukdomar hos människor, kastrering och sterilisering, avbrytande av havandeskap, konstbefruktning, rättsmedicinska undersökningar, behörigheten att vara verksam inom hälso- och sjukvården, apoteksväsendet, mediciner och produkter av läkemedelstyp, narkotiska ämnen samt framställning av gifter och fastställande av deras användningsändamål. 

Ålandsdelegationen konstaterar att den precisering som görs i landskapslagens 20 § gällande vårdgarantin inom den specialiserade sjukvården faller inom landskapets behörighet.

Den offentliga hälso- och sjukvården i landskapet tillhandahålls enligt 2 § i landskapslagen om hälso- och sjukvård (ÅFS 114/2011) av myndigheten Ålands hälso- och sjukvård, som är underställd landskapsregeringen. Landskapsregeringen handhar den allmänna styrningen och övervakningen av Ålands hälso- och sjukvård. Lagstiftningsbehörigheten i fråga om landskapsregeringen och under denna lydande myndigheter och inrättningar tillkommer landskapet enligt självstyrelselagens 18 § 1 punkt. 

I landskapslagens 15 a § 4 mom. 3 och 4 punkt räknas de personuppgifter som inte får överföras till kvalitetsregistren upp. Dessa personuppgifter är att härledas från de rättsområden som förbehållits riket.

I landskapslagens 15 a § 5 mom. återfinns ytterligare begränsningar som reglerar att det i ett kvalitetsregister inte får behandlas klientuppgifter som ÅHS har fått tillgång till genom ett sådant samarbete med socialvården som avses i 19 och 19a §§.

Den antagna landskapslagen innehåller bestämmelser om hanteringen av personuppgifter. Regleringen av personuppgifter berör ett rättsområde som inte särskilt omnämns i självstyrelselagens uppdelning av lagstiftningsbehörigheten mellan landskapets och rikets lagstiftande organ. Lagstiftningsbehörigheten bör därför bedömas utgående från de rättsområden landskapslagstiftningen kan beröra. 

Ålandsdelegationen konstaterar att landskapslagarna gäller sådan hälso- och sjukvård som utgör landskapsbehörighet. Landskapet har således även behörighet att lagstifta om behandling av personuppgifter inom detta rättsområde.

Vid lagstiftningskontrollen bör även tas ställning till förhållandet mellan den nu ifrågavarande lagstiftningen och grundlagen, eftersom stiftande, ändring och upphävande av grundlag samt avvikelse från grundlag utgör riksbehörighet enligt 27 § 1 punkten i självstyrelselagen.

Landskapslagstiftningen möjliggör för ÅHS att behandla känsliga personuppgifter för andra ändamål än de för vilka uppgifterna ursprungligen samlades in. Landskapslagen innehåller allmänna bestämmelser om kvalitetsregistrens innehåll, dess förvaltning och styrning, åtkomsträtt och inloggningsuppgifter, utlämnande av uppgifter samt bevarande och förstörande av uppgifter.

Ålandsdelegationen konstaterar att kvalitetsregister kommer att innehålla känsliga personuppgifter.

Enligt grundlagens 10 § 1 mom. är vars och ens privatliv tryggat. Begreppet privatliv kan uppfattas ett allmänbegrepp för en persons privata krets. Till privatlivet hör bl.a. individens rätt att bestämma över sig själv och sin kropp (RP 209/1993 rd, s. 56–57). 

Grundlagsutskottet har även ansett att särskilt tillåtande av behandling av känsliga uppgifter berör själva kärnan i skyddet för personuppgifter (t.ex. GrUU 37/2013 rd, s.2/II och GrUU 4/2021 rd s. 3), vilket innebär att inrättandet av register med sådana uppgifter måste bedömas mot villkoren för inskränkningar i de grundläggande fri- och rättigheterna, särskilt lagstiftningens acceptabilitet och proportionalitet (t.ex. GrUU 29/2016 rd och GrUU 4/2021 rd s. 3). 

Uppgifter om hälsa hör till de särskilda kategorier av personuppgifter som avses i artikel 9 i dataskyddsförordningen. Behandling av sådana uppgifter är enligt huvudregeln i artikel 9.1 förbjuden. Enligt artikelns 2 punkt ska punkt 1 dock inte tillämpas, om någon av de förutsättningarna i punkt 2 led a–j gäller. Enligt artikel 9.2 g får känsliga uppgifter behandlas om det är nödvändigt av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, förutsatt att den står i proportion till det eftersträvande syftet, är förenlig med det väsentliga innehållet i rätten till dataskydd och innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (GrUU 1/2018 rd s. 6).

Grundlagsutskottet har i sin utlåtandepraxis lyft fram riskerna med behandlingen av känsliga uppgifter. Utskottet har ansett att omfattande databaser med känsliga uppgifter medför allvarliga risker för informationssäkerheten och missbruk av uppgifter. I sista hand kan riskerna utgöra ett hot mot personers identitet (t.ex. GrUU 13/2016 rd). Även i skäl 51 i den allmänna dataskyddsförordningen framhålls det att särskilda personuppgifter som avses i artikel 9 i förordningen och som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheter och friheter bör åtnjuta särskilt skydd. Grundlagsutskottet har därför särskilt påpekat att det bör finnas exakta och noga avgränsade bestämmelser om att det är tillåtet att behandla känsliga uppgifter bara om det är absolut nödvändigt, och bestämmelserna av känsliga uppgifter måste vara detaljerade och omfattande, inom de ramar som dataskyddsförordningen tillåter (t.ex. GrUU 4/2021 rd s. 3 och de utlåtanden som nämns där). Enligt EU-domstolen skall begreppen ”särskilda kategorier av personuppgifter” och ”känsliga uppgifter” tolkas vitt för att “säkerställa en hög skyddsnivå för fysiska personers grundläggande fri- och rättigheter – särskilt deras rätt till respekt för privatlivet – vid behandling av personuppgifter som rör dem” och för att “säkerställa ett utökat skydd mot behandling som, på grund av att de uppgifter som behandlas är särskilt känsliga, kan utgöra ett synnerligen allvarligt ingrepp i de grundläggande rättigheterna avseende respekt för privatlivet och skydd för personuppgifter, vilka garanteras genom artiklarna 7 och 8 i stadgan”. “Dessa bestämmelser kan följaktligen inte tolkas på så sätt att behandlingen av personuppgifter som indirekt kan avslöja känslig information om en fysisk person, inte omfattas av det förstärkta skydd som föreskrivs i nämnda bestämmelser, eftersom detta skulle undergräva regelverkets ändamålsenliga verkan och det skydd för fysiska personers grundläggande fri- och rättigheter som nämnda regelverk är avsett att säkerställa” (mål C-184/20 OT v. Vyriausioji tarnybinės etikos komisija, ECLI:EU:C:2022:601, punkt. 125-126, 127)).

Enligt grundlagsutskottet är det i regel tillräckligt med tanke på 10 § 1 mom. i grundlagen att bestämmelserna uppfyller kraven i EU:s allmänna dataskyddsförordning. Enligt utskottet bör skyddet för personuppgifter i första hand tillgodoses utifrån den allmänna dataskyddsförordningen och den allmänna lagstiftningen på nationell nivå. Lagstiftaren bör alltså vara restriktiv när det gäller att införa nationell speciallagstiftning. Sådan lagstiftning bör vara avgränsad till nödvändiga bestämmelser inom ramen för det nationella handlingsutrymme som dataskyddsförordningen medger. Ju större risk fysiska personers rättigheter och friheter utsätts för på grund av behandlingen, desto mer motiverat är det med mer detaljerade bestämmelser. Denna omständighet är av särskild betydelse när det gäller behandling av känsliga uppgifter (GrUU 14/2018 rd). 

Utskottet har generellt ansett att det är viktigt att reglera åtminstone syftet med registreringen av uppgifterna, uppgifternas innehåll, det tillåtna användningsändamålet inklusive rätten att överlåta registrerade uppgifter, den tid uppgifterna finns kvar i registret och den registrerades rättskydd (GrUU 14/1998 rd och 1/2018 rd).

Grundlagsutskottet har i sitt utlåtande GrUU 1/2018 rd behandlat regeringens proposition till riksdagen med förslag till lag om sekundär användning av personuppgifter inom social- och hälsovården (RP 159/2017 rd). I sitt utlåtande har utskottet påpekat att den sekundära användningen av uppgifter måste uppfylla villkoren för dataskyddsförordningen. När uppgifterna behandlas för ett annat användningsändamål än det primära användningsändamålet ska behandlingen av uppgifter i enlighet med artikel 5 i förordningen vara förenlig med det ursprungliga ändamålet. Ytterligare behandling av uppgifter ska enligt artikel 6.4 i förordningen grunda sig på medlemsstaternas lagstiftning som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23 i förordningen. De mål som föreskrivs i artikel 23 är bl.a. viktiga mål i anslutning till det allmänna intresset, såsom folkhälsa och social trygghet samt skydd av den registrerade eller andras rättigheter och friheter. 

Enligt artikel 5.1 b i förordningen ska personuppgifterna samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivmål av allmän intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska enligt artikeln inte anses vara oförenlig med de ursprungliga ändamålen. 

Enligt 15 a § 4 mom. i landskapslagen får personuppgifterna i fråga, oberoende av sekretessbestämmelserna och med stöd av artiklarna 9.2 och 9.2 j i dataskyddsförordningen genom en teknisk anslutning eller på något annat elektroniskt sätt överföras till kvalitetsregister för sekundär användning, om sådan sekunder användning är nödvändig för de ändamål som anges i 1 mom. Enligt 1 punkten i 15 a § 4 mom. innehåller överföringen till kvalitetsregister uppgifterna om ”patientens namn, födelseort, folkbokföringsadress, utbildning, yrke och personbeteckning, eller om personbeteckningen inte är känd, födelseort”.

Enligt definitionen i artikel 4 i dataskyddsförordningen avses med personuppgifter varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifiebar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, en identifikationsnummer, en lokaliseringsuppgift eller online-identifikationer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Enligt skäl 26 i förordningen gäller dataskyddsprinciperna all information som rör en identifierad eller identifierbar fysisk person. Till och med personuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör enligt skälet anses som uppgifter om en identifierbar fysisk person.

Grundlagsutskottet har konstaterat i sitt utlåtande GrUU 1/2018 rd att för att avgöra om en fysisk person är identifierbar bör man beakta alla hjälpmedel, som. t.ex. utgallring. För att fastställa om hjälpmedel med rimlig sannolikhet kan komma att användas för att identifiera den fysiska personen bör man beakta samtliga objektiva faktorer, såsom kostnader och tidsåtgång för identifiering, med beaktande av såväl tillgänglig teknik vid tidpunkten för behandlingen som den tekniska utvecklingen. Principerna för dataskyddet bör enligt skälet därför inte gälla för anonym information, nämligen information som inte hänför sig till en identifierad eller identifierbar fysisk person, eller för personuppgifter som anonymiserats på ett sådant sätt att den registrerade är inte eller inte längre är identifierbar. Dataskyddsförordningen berör därför enligt skälet inte behandlingen av sådan anonym information, vilket inbegriper information för statistiska ändamål eller forskningsändamål.

I detaljmotiveringarna till landskapslagen har följande konstaterats angående dess 15 a 4 mom.: 

”I 4 mom. listas kategorivis de hälsouppgifter som enligt landskapsregeringens mening utgör en nödvändig förutsättning för att ÅHS ska kunna bedriva ett systematiskt kvalitetsarbete i enlighet 15 § i hälso- och sjukvårdslagen. Uppräkningen är uttömmande (---). Den indelning i olika hälsouppgiftskategorier som finns i 1–8 punkterna motsvarar både till sin struktur och precisionsgrad bestämmelserna i 5 § i lagen (FFS 668/2008) om institutet för hälsa och välfärd och vad som i 27 § i lagen om behandling av kunduppgifter inom social- och hälsovården föreskrivs om innehållet i journalhandlingar. (---).

Uppgifter som får behandlas i ett kvalitetsregister enligt 1 punkten ger information om en enskilda registrerades socioekonomiska bakgrund och ställning (yrke, utbildning och demografiska data). De föreslagna 2 – 5 och 8 punkterna innehåller uppgifter som kan hänföras till den enskilt största och viktigaste gruppen, nämligen vårddata. (---). 

Personbeteckningen som identifieringsuppgift är nödvändig för att kunna bedöma kvaliteten på den till tillhandahållna vården och servisen. Av 31 § 2 mom. i dataskyddslagen framgår att personbeteckningen får behandlas inom hälso- och sjukvården. I och med att pseudonymisering, kryptering och anonymisering av personuppgifter föreslås som lämpliga skyddsåtgärder vid utlämmande av uppgifter för vetenskaplig forskning och statistikföring (---) har användningen av direkta identifieringsuppgifter i kvalitetsregistren begränsats till det absolut nödvändiga.”

I detaljmotiveringar angående 15 a § 1 mom. konstateras bl.a. följande: 

”I 1 punkten anges att det ska vara möjligt för ÅHS att vidarenyttja hälsouppgifter i kvalitetsregister för att systematiskt följa upp, utvärdera och säkra hälso- och sjukvårdens kvalitet. Bestämmelsen föranleds av 15 § i hälso- och sjukvårdslagen som förutsätter att ÅHS ska bedriva ett systematiskt och kontinuerligt kvalitetsarbete. Rent konkret kan kvalitetssäkringsarbetet enligt 1 mom. 1 punkten t.ex. innebära uppföljning och utvärdering av behandlingen av en viss sjukdom eller en viss behandlingsmetod. Det bör betonas att intern verksamhetsuppföljning-, utvärdering- och säkring inte kan likställas med forskning, även om vetenskapliga metod används i sådant arbete. Begreppen uppföljning och utvärdering beskriver två olika typer av förfaranden eller angreppssätt. Något förenklat kan sägas att uppföljning görs löpande och rutinmässigt för att beskriva och följa en utveckling, medan tyngdpunkten vid utvärderingen läggs på att analysera på uppföljningsinformation som tidigare samlats in. Om t.ex. vid regelbunden uppföljning upptäcks avvikelser, är nästa naturliga steg att utvärdera dessa avvikelser genom närmare analys.

Med ändamålet statistikföring i 1 mom. 2 punkten avses sådan behandling av personuppgifter som är nödvändig för statistiska undersökningar eller för framställning av statistiska resultat. Enligt skäl 162 i ingressen till dataskyddsförordningen innebär behandling av personuppgifter för statistiska ändamål att resultatet av behandlingen inte består av personuppgifter, utan av aggregerade personuppgifter. Hälsouppgifter som samlas in till ett kvalitetsregister kan användas både för ÅHS interna arbete med kvalitetsutveckling och kvalitetssäkring och lämnas till ÅSUB för framställning av folkhälsorelaterad statistik (---). 

(---) I mom. 3 punkten avses med vetenskaplig forskning sådan forskning där dokumentationen enbart sker i forskningssyfte och där forskningen inte har någon direkt betydelse för vården av en enskild patient. Det kan exempelvis handla om kliniskt eller folkhälsovetenskapligt forskningsarbete vars resultat och slutsatser kan komma det åländska samhället till gagn. Enligt skäl 159 i ingressen till dataskyddsförordningen kan begreppet vetenskaplig forskning bl.a. avse sådan forskning som utförs av ett allmänt intresse inom folkhälsoområdet. Att sådan forskning ska utgöra en självständig verksamhetsgren inom ÅHS, och således vara helt åtskild från bl.a. den typ av forskning som bedrivs som ett led i vården av en patient (---), innebär att det uppstår en ny sekretessgräns inom myndigheten (mellan verksamheten och den vetenskapliga forskningen) som också måste tas i beaktande vid den interna tilldelningen om åtkomstbehörigheter till kvalitetsregister (se förslaget till 15 c § 1 och 2 mom.). Av det ovan sagda följer också att den information som genereras av vetenskapliga forskningsprojekt inte ska journalföras, utan dokumenteras enligt andra kriterier. Om forskningsresultatet har betydelse för vården, kan ÅHS och forskningshuvudmannen sinsemellan komma överens om hur information ska överlämnas till ÅHS.

Om en yrkesverksam person inom vården har laglig rätt att behandla känsliga personuppgifter om hälsa för sådan forskning som bedrivs som ett led i vården och behandlingen av en patient, betyder det inte att denna person per automatik också ska ha åtkomsträtt till samma patientuppgifter när dessa samlats in till ett kvalitetsregister för att tillgodose den vetenskapliga forskningens behov. Om personen behöver ta del av hälsouppgifter som samlats in till ett kvalitetsregister, exempelvis för att bedriva klinisk forskning, måste man begära uppgifterna från kvalitetsregistret. Huruvida en sådan begäran kan beviljas eller inte, beror på om den yrkesverksamma personen tilldelats behörighet att ta del av uppgifterna (om behörighetstilldelningen och personalens åtkomsträtt till uppgifter i kvalitetsregister, se detaljmotiveringen till 15 c § 1 mom. nedan). (---).”

Ålandsdelegationen konstaterar att registerstyrgruppen ska enligt 15 b § 2 mom. 3 punkten utifrån kvalitetsregistrets användningsändamål och inom de ramar som anges i 15 a § 4 mom. specificera vilka personuppgifter som får behandlas i registret ock vilka förfaranden som ska iakttas vid uppgiftsförsamlingen. I detaljmotiveringen konstateras att registerstyrgruppen ankommer att säkerställa att endast hälsouppgifter som är nödvändiga för att uppnå syftet med vidarebehandlingen samlas in till ett kvalitetsregister.   

Grundlagsutskottet har tidigare betonat (angående sekundär användning av personuppgifter inom social- och hälsovården) att personuppgifter som ursprungligen varit känsliga kan effektivt behandlas anonymiserade utan att skyddet för privatlivet eller personuppgifter äventyras. Enligt utskottet är det väsentligt att en effektiv anonymisering även ges en säker rättsgrund. Dock är det självklart att en effektiv anonymisering inte kan garanteras enbart genom att identifieringsuppgifter om fysiska personer, såsom namn och personbeteckning avlägsnas från ett omfattande datamateriel (GrUU 1/2018 s. 7).   

Ålandsdelegationen konstaterar att det i landskapslagen finns bestämmelser både om organisatoriska och tekniska säkerhetsåtgärder som syftar till att en hög kontroll över hur, när, för vilka ändamål och vilken omfattning uppgifter tillgängliggörs för vidarenyttjande. Bestämmelserna måste tolkas som en helhet. Så tolkat blir överföringen om patientens namn, födelseort, adress, utbildning, yrke och personbeteckning via en teknisk anslutning eller på något annat elektroniskt sätt inte problematisk i relation till grundlagens 10 § 1 mom. eller dataskyddsförordningen.

Grundlagsutskottet har konstaterat, att det i denna typ av lagstiftning är särskilt motiverat med reglering som betonar självbestämmanderätten (se t.ex. GrUU 15/2018 rd), vilket Ålandsdelegationen noterar att har beaktats i landskapslagens 15 a § 6 mom.

Vidare konstaterar Ålandsdelegationen att stadgandena i landskapslagens 15 b § 2 mom. är förenliga med grundlagsutskottets linje gällande att alla dataskydds- och informationssäkerhetsarrangemang som är nödvändiga för att förhindra missbruk och olaga integritetsintrång ska vara fungerande och tillgängliga genast när systemet tas i bruk (se t.ex. GrUU 4/2021 rd).

Enligt Ålandsdelegationens bedömning uppfyller de nya stadgarna i landskapslagen de förutsättningar som slagits fast i grundlagsutskottets tolkningspraxis.

Med anledning av delegeringsbestämmelsen i landskapslagens 15 c § 5 mom. konstaterar Ålandsdelegationen att enligt 21 § 1 mom. i självstyrelselagen kan landskapsregeringen med stöd av ett bemyndigande i landskapslag utfärda landskapsförordningar i angelägenheter som hör till landskapets behörighet. Genom landskapslag ska dock utfärdas bestämmelser om grunderna för individens rättigheter och skyldigheter samt om frågor som enligt grundlagen eller självstyrelselagen i övrigt hör till området för lag. Denna begränsning motsvarar begränsningen i 80 § 1 mom. i grundlagen. Detta innebär att det tydligt ska framgå hur normgivningsmakten delegeras och vilka områden och vilka angelägenheter delegeringen gäller.

Delegeringsbestämmelsen som intagits i landskapslagen kan inte anses beröra grunderna för individens rättigheter och skyldigheter eller utgöra angelägenheter som enligt grundlagen eller självstyrelselagen i övrigt hör till området för lag.

Ålandsdelegationens utlåtande

 Ålandsdelegationen har med beaktande av självstyrelselagens för Åland stadganden funnit att hinder för ikraftträdande av landskapslagen inte föreligger.

Närvarande      

Ordföranden Holm-Johansson, ledamöterna Dahlén, Lampi, Leino-Sandberg och Siitari.

På Ålandsdelegationens vägnar:

Marine Holm-Johansson, ordförande
Henrik Lindeman, sekreterare