Biopankkilain mukainen "laaja suostumus" EU:n yleisen tietosuoja-asetuksen näkökulmasta : jännite henkilötietojen tutkimuskäytön ja yksityisyydensuojan välillä

Abstract

Opinnäytetyössä tarkastellaan biopankkilain mukaisen suostumuksen suhdetta tietosuoja-asetuksen myötä kiristyneisiin edellytyksiin, joita henkilötietojen käytön hyväksyvältä suostumukselta vaaditaan. Tavoitteena on selvittää; onko biopankkilaissa käytetty suostumus tietosuoja-asetuksen mukainen ja mitä vaihtoehtoisia perusteita asetus antaa henkilötietojen käsittelylle. Tarkastelussa kiinnitetään huomiota myös jännitteeseen, joka henkilötietojen tutkimuskäytön ja yksityisyydensuojan välillä esiintyy.

Biopankki on biopankkilaissa säännelty yksikkö, joka harjoittaa biopankkitoimintaa kooten, keräten ja säilyttäen näytteitä ja niihin liittyvää tietoa tulevaa biopankkitutkimusta varten. Toiminnassaan ne nojaavat niin sanottuun ”laajaan suostumukseen”, joka mahdollistaa annettujen tietojen laajan hyödyntämisen tutkimuksessa. 25.5.2018 kansallisesti sovellettavaksi tullut EU:n yleinen tietosuoja-asetus asettaa aiempaa korkeammat kriteerit suostumuksen edellytyksille.

Biopankkitoiminnassa käsiteltävä tieto lukeutuu tietosuoja-asetuksen mukaisiin erityisiin henkilötietoryhmiin, joiden käsittely on lähtökohtaisesti kielletty. Keskeisimmäksi poikkeusperusteeksi kiellolle osoittautui yleisen edun mukaiset tutkimustarkoitukset, joiden yhteydessä suostumus rajataan tutkimusaloittain tai tutkimuksen osille. Käytännössä suostumus kuitenkin annetaan tällä hetkellä niin laajana, ettei kyseisten rajoitusten voida katsoa täyttyvän. Poikkeuksesta käyttökieltoon voidaan säätää myös kansallisella lailla. Kun otetaan huomioon rekisteröidyn oikeus tietojensa hallintaan, lakiperustaista käyttöä ei tulisi kuitenkaan pitää ensisijaisena, jos käyttö voitaisiin perustaa myös rekisteröidyn suostumukseen.

Työn päätteeksi esitellään dynaaminen suostumus, joka perustuu rekisteröidyn mahdollisuuteen hallita suostumustaan ajantasaisesti. Malli voisi toimiessaan täyttää asetuksen kiristyneet edellytykset ja osaltaan helpottaa jännitettä henkilötietojen tutkimuskäytön ja rekisteröidyn intressien välillä.

This bachelor’s thesis examines the relationship between the consent used in the Biobank Act and the tightened requirements for the consent enabling the processing of personal data set out by the general data protection regulation (GDPR). The objective is to find out whether the consent used in the Biobank Act is consistent with the GDPR and what the alternative grounds for the processing of personal data are. The analysis will also consider the tension between the use of personal data in research and personal privacy.

A biobank is a unit, regulated by the Biobank Act, engaging in biobanking activities for the purposes of collecting and storing samples and information associated with the samples for future biobank research. In their activities biobanks rely on the so called “broad consent” enabling a broad utilization of the given data. Since 25 May 2018 the nationally applicable GDPR sets higher standards for the consent requirements than before.

The data processed in the biobanking activities belongs to the special categories of personal data, the processing of which is prohibited as default. The necessity for processing data in the public interest from scientific research purposes, limited to certain areas of research or parts of research, stood out as the most crucial exception for this prohibition. At the moment, however, the consent is in practice given so broadly that the limitations can not be considered fulfilled. An exception to the prohibition can also be set in national regulation. Considering a data subject’s right to control one’s personal data, the processing based on law should not be the primary basis for the processing if it can also be based on the data subject’s consent.

Finally, a dynamic consent is introduced. It is based on the data subject’s ability to control one’s consent in real time. If functioning, this model could fulfil the tightened requirements set out by the GDPR and for its part ease the tension between the use of personal the data in research and data subject’s interests.