20.5.2015 Päivi Rautava (konsultoitu myös tutkimuslakimies Tom Southeringtonia ja tietohallintoylilääkäri Pirkko Kortekangasta sekä Auria biopankin johtaja Heli Salminen-Mankosta) Ajatuksia kokemuksiin perustuen rekisteritiedon toissijaisen käytön esteistä/korjaustarpeista - tulisi vahvistaa, että suostumuksella kerätyt tutkimusrekisterit voi saada tutkimuskäyttöön ilman uutta suostumusta vastaavin perustein, kuin muutkin rekisteritiedot (erityisesti julkisuuslain 28 ja henkilötietolain 7 ja 14 ) - henkilötietolain 7 :n perusteella tieteellinen tutkimus on alkuperäisen käyttötarkoituksen mukaista ja tietoja voi henkilötietolain 14 :n edellytysten täyttyessä tutkia myös ilman suostumusta (tietojen suuri määrä, ikä tai muu sellainen syy estää suostumusten keräämisen) o ainakin ellei suostumusta pyydettäessä ole nimenomaan sitouduttu tuhoamaan aineistoa tms. JulkL 28 :n mukaan Jos asiakirjaan sisältyvät tiedot on annettu viranomaiselle sen suostumuksella, jonka etujen suojaamiseksi salassapitovelvollisuus on säädetty, lupaa ei saa antaa vastoin suostumuksessa tiedon käytölle ja luovutukselle asetettuja ehtoja tätä ei tulisi tulkita niin, että asetettu ehto tarkoittaisi ensisijaista käyttötarkoitusta, jolloin kaikki sekundäärikäyttö olisi mahdotonta ja tutkimusmyönteisten henkilöiden tiedot olisivat uuden tutkimuksen tavoittamattomissa (jos uusia suostumuksia ei kohtuudella voida kerätä) kun taas muista rekistereistä saa tietoja, vaikka henkilö saattaisi olla hyvinkin tutkimusvastainen Kauttaaltaan pitäisi soveltaa henkilötietolain 7 :n pykälää ja 14 :ää (+ks. alla JulkL viranomaisluvista) o tutkimusaineistoa kerättäessä ei useinkaan osata ennakoida kaikkea, mitä aineistosta aiotaan tai myöhemmin halutaan tutkia, joten suostumuksen saaminen kaikkeen tutkimuskäyttöön on mahdotonta tämä tulee esiin jo yksittäisissä pitkäkestoisissa tutkimuksissa, ei vain silloin, kun keksitään kokonaan uusi tutkimus; uusien tutkimusten kerääminen voi olla kohtuutonta ja käytännössä mahdotonta henkilötietolain 14 :n mukaisesti o 14 :n sanamuotoa voisi vielä selventää, ettei viittaa absoluuttiseen mahdottomuuteen vaan kohtuuttomuuteen /liikavaikeuteen o TSV:n toimiston mukaan tutkimusrekistereitä voi käyttää uuteen tutkimukseen vain uudella suostumuksella Myöhempään käyttöön muussa tutkimuksessa tulee saada uusi lainmukainen suostumus (informoitu, yksilöity, vapaaehtoinen ja tietoinen ja arkaluonteisten tietojen osalta nimenomainen) www.hus.fi/tutkijalle/eettiset-toimikunnat/ohjeet-jahakemuslomakkeet/valtakunnallinen%20tutkimuseettisten%20toimikuntien %20ko/3%20Raisa%20Leivonen%2020052014.pdf - edelliseenkin liittyen, tulisi vahvistaa, että biopankkisuostumuksen tyyppinen saa käyttää tietyn alueen tutkimukseen tietyissä rajoissa annettu suostumus on pätevä pitäisi
tunnustaa ihmisten itsemääräämisoikeus, eli se että saavat itse päättää suostumuksensa sisällöstä ja siitä, kuinka informoituja yksityiskohdista haluavat olla - sääntöjen selkiyttämisen ja tutkijoiden oikeusturvan takia Julkisuuslain 28 :ää tulisi muuttaa/selventää siten, että viranomaisen antama lupa salassa pidettävän tiedon saamiseen (joka myös on henkilötietoa) on laillinen käsittelyperuste henkilötietojen käsittelylle niissä rajoissa, mihin lupa on annettu. Nyt vallitsevan ymmärryksen mukaan rekisteriviranomainen ei anna lupaa tietojen käsittelyyn vaan vain tietojen saamiseen oikeus käsitellä tietoja pitää olla muulla laillisella perusteella (esim. suostumus tai HetiL 14 ) o Nyt viranomaisen on lupapäätöstä/tietojen luovutusta varten tutkittava, onko luvan/tiedot saavalla oikeus käsitellä henkilötietoja. Käsittelyn oikeutus määräytyy henkilötietolain (tai erityislakien) mukaisesti. Rekisteriviranomaisen mahdollisuus myöntää lupa salassa pidettävien tietojen saamiseen on kiinni siitä, onko henkilöllä henkilötietolain mukainen oikeus käsitellä tietoja. Rekisteriviranomainen ei siis myönnä oikeutta käsitellä tietoja, vaan tutkii, onko oikeus olemassa. Jos rekisteriviranomainen on arvioinut asian väärin, vastuu henkilötietojen oikeudettomasta käsittelystä on tutkijalla huolimatta siitä, että tutkija on saanut tiedot viranomaisen luvalla. Pitäisi vahvistaa, että rekisteriviranomaisen lupa oikeuttaa paitsi saamaan tiedot, myös käsittelemään niitä, jos se katsoo käsittelyn asianmukaiseksi. - suostumuksen tarpeen arvioimista eettisissä toimikunnissa (ei välttämättä tutkimuslain mukaisissa) voisi harkita, arviointi ei minusta saisi olla vastaava kuin yllä (onko henkilötietolain tai jonkun muun lain mukaan oikeus käsitellä ilman suostumusta) vaan enempi hyöty / riski punnintaa, eli onko perusteltu tutkimus, voidaanko toteuttaa asianmukaisesti, millainen riski yksityisyydelle (vaatii siis lakimuutoksia) o toimikunnan näkemys antaisi oikeuden olla kyselemättä suostumuksia, kunhan toimittaisiin tutkimussuunnitelman ja toimikunnan mahdollisesti antamien evästysten puitteissa - Henkilötiedon määritelmä: tulisi vahvistaa, että se, joka saa itselleen tunnistamatonta tietoa, ei lähtökohtaisesti käsittele henkilötietoa, jos hänen ei ole tarpeen, oikeus eikä kohtuudella mahdollisuutta tunnistaa henkilöitä (otettava huomioon tietojen käyttö ja se, tulevatko tiedot muidenkin näkyville ja voivatko nämä muut niitä silloin kohtuudella tunnistaa) o Biopankkilain esitöiden henkilötietolakia koskevassa osiossa s. 13 todetaan, että Koodatun tiedon saanut ei käsittele henkilötietoja silloin, kun uudelleen tunnistamisen mahdollisuus on nimenomaisesti suljettu pois ja toteutettu asianmukaiset tekniset toimenpiteet (koodatun tiedon koodannut ja luovuttanut silti edelleen käsittelisi henkilötietoja, jos koodiavain on tallella tai tieto muuten yhdistettävissä) o Tietosuojadirektiivin 29 artiklalla perustetun tietosuojatyöryhmän lausunnossa 4/2007 on annettu vastaavanlaiset ohjeet ja korostettu sitä, että tunnistettavuutta arvioitaessa tulee huomioida kohtuudella käytettävissä olevat keinot Sairaalat tai yksittäiset lääkärit siirtävät potilaidensa tietoja yritykselle lääketieteellistä tutkimusta varten. Potilaista ei käytetä nimiä, vaan
kuhunkin kliiniseen tapaukseen liitetään satunnainen sarjanumero johdonmukaisuuden säilyttämiseksi ja jotta eri potilaita koskevat tiedot eivät menisi sekaisin. Potilaiden nimet tietää vain kyseinen lääkäri, jota sitoo salassapitovelvollisuus. Tietoihin ei sisälly mitään lisäyksityiskohtia, joita yhdistämällä potilaiden tunnistaminen olisi mahdollista. Lisäksi on toteutettu kaikki muut oikeudelliset, tekniset ja organisatoriset toimenpiteet, jotta voidaan estää potilaiden tunnistaminen tai tunnistettaviksi muuttuminen. Tällaisessa tilanteessa tietosuojaviranomainen voi katsoa, että lääkeyrityksen suorittama tietojenkäsittely ei sisällä kohtuullisesti toteutettavissa olevia keinoja, joiden avulla potilaat voitaisiin tunnistaa. (esimerkki 13, s. 16) Em. esimerkki voi jättää vielä epäselväksi, onko merkitystä sillä, että koodaamisen suorittanut taho voisi edelleen tunnistaa henkilöt, mutta sivulla 20 koodatun tiedon luovuttamista USAhan ei pidetty henkilötiedon siirtona tilanteessa, jossa koodatut tiedot toimitetaan Yhdysvalloissa olevalle vastaanottajalle (esimerkiksi lääkealan yritykselle), joka saa vain koodatut tiedot eikä koskaan saa tietoonsa potilaiden henkilöllisyyttä. Sen saa tietää vain EU:ssa oleva lääketieteen ammattilainen tai tutkija, jos potilaan hoitaminen sitä edellyttää, mutta ei koskaan Yhdysvalloissa oleva yritys. eli tieto on vain EU:ssa olevan lääkärin toiminnassa henkilötietoa s. 19-20 todetaan muutenkin selvästi se, että sama tieto voi olla eri toimijoiden kannalta tunnistettavaa henkilötietoa tai tunnistamatonta tietoa: tilanteessa, jossa Lääkeyritys on luonut keinot tietojenkäsittelylle, liittänyt siihen organisatoriset toimet ja yrityksen suhteet avainta säilyttävään tutkijaan siten, että henkilöt paitsi saatetaan tunnistaa, heidät on myös pakko tunnistaa tietyissä olosuhteissa. Potilaiden tunnistaminen on siis osa tietojenkäsittelyn tarkoitusta ja keinoja. Tässä tapauksessa voidaan päätellä, että tällaiset koodatut tiedot koskevat luonnollisia henkilöitä, jotka kaikki tunnistamiseen mahdollisesti osallistuvat osapuolet voivat tunnistaa, ja että niihin on sovellettava tietosuojalainsäädäntöä. Tämä ei kuitenkaan tarkoita, että joku muu samoja koodattuja tietoja käsittelevä rekisterinpitäjä käsittelee henkilötietoja, jos järjestelmässä, jota tämä muu rekisterinpitäjä käyttää, uudelleentunnistamisen mahdollisuus on nimenomaisesti suljettu pois ja tätä varten on toteutettu asianmukaiset tekniset toimenpiteet. o TSV ilmeisesti kuitenkin pitää tunnistettavuutta absoluuttisena jos joku jossain joskus voi tunnistaa, ovat tiedot aina ja kaikkialla tunnistettavissa ja siis koodattuja (vaikka montakin kertaa?) ja muita miten tahansa välillisesti tunnistettavia tietoja aina ja kaikkialla tunnistettavina henkilötietoina: henkilötietojen suojaa koskevat säännökset tulevat sovellettavaksi niin kauan, kun kyseessä olevat tiedot ovat palautettavissa tunnisteellisiksi tai muutoin välillisesti tunnistettavissa tiettyä henkilöä koskeviksi esim. http://tietosuoja.fi/fi/index/ratkaisut/tietosuojavaltuutetunohjausavoimendatans.h tml, tämä siitä huolimatta, että TSV tässä ja muissakin yhteyksissä viittaa yllä mainittuun tietosuojatyöryhmän lausuntoon - tieteellinen tutkimus tulisi ymmärtää laajasti tutkimuksena, jossa hyödynnetään tieteellisiä menetelmiä ja tulokset julkaistaan niin, että niitä voidaan kriittisesti tarkastella
ja niistä oppia, vaikka liikkeelle paneva voima olisi kaupallinen intressi, esim. lääkeaineen tehon ja turvallisuuden osoittaminen (tieteellisten) tutkimusten avulla myyntiluvan saamiseksi yhä vähemmän lienee olla tutkimusta, jota tehdään vain akateemisen tutkimuksen ilosta ja tiedonjanosta. Palvelujärjestelmä- ja vaikuttavuustutkimus on lähes poikkeuksetta tällaista Art tyyppiä ja se useimmiten perustuu rekisteritutkimukseen. - yllä olevin keinoin tai muuten tulisi mahdollistaa valtakunnallisten ja kansainvälisten laatuja vastaavien rekistereiden perustaminen tarvittaessa ilman suotumusta siten, että niihin saadaan kattavat tiedot kaikilta (ei vain suostuvaisilta), kunhan käyttötarkoitus on perusteltu (erityisesti terv. huollon rekisterit) ja henkilöllisyys suojattu (vrt. koodatut tiedot yllä), kaikkeen ei ole tarkoituksenmukaista hakea tietosuojalautakunnan lupia, eikä sillä toisaalta ole lupavaltuuksiakaan esim. tietojen ulkomaille siirtoa koskien - ei suoraan liity sekundäärikäyttöön, mutta suostumuksen peruuttamisen oikeusvaikutukset tulisi vahvistaa ja rekisterinpitäjän (tutkimuksen tekijän) legitiimit intressit tulisi huomioida tässä esim. jos tutkimus on jo alkanut / pitkällä, voi olla kohtuutonta vaatia poistamaan tietoja; kun tutkimusta on alettu tehdä suostumuksen perusteella, peruuttamiseen asti kerätyt tiedot tulisi voida käyttää suostumuksen mukaisella tavalla, jos edelleen tarpeellisia ja henkilöllisyys asianmukaisesti suojattu. Nyt asiasta on jollain tavalla säädetty vain lääketieteellisestä tutkimuksesta annetun lain säätelemissä tutkimuksissa (143/2015). Voidaan perustella mm. tieteen /tutkijoiden perusoikeuksilla ja mahdollisesti myös sillä, että muuten suostumuksen peruuttamisella olisi tosiasiallisesti takautuva vaikutus