Suostumusta voi käyttää, jos se on EU:n tietosuoja-asetuksen mukainen suostumus, mutta se ei tarkoita, etteikö muuten tulisi noudattaa toisiolain sääntelyä.
Toisiolain sääntelyn ydin on se, että tietoluvan myöntämisessä on kyse julkisen hallintotehtävän hoitamisesta ja viranomaispäätöksestä. Kun viranomaisasemassa oleva rekisterinpitäjä päättää tietoluvan myöntämisestä, päätöksen tulee perustua lakiin, ja kyseistä rekisterinpitäjää koskevat toisiolain kaikki menettelysäännökset (siis myös tietoturvaa ja maksuja koskevat toisiolain säännökset).
Suostumus on tietosuoja-asetuksen 6 artiklan 1 (a) alakohdan ja erityisten henkilötietoryhmien kuten esim. terveystietojen osalta 9 artiklan 2 (a) alakohdan mukainen henkilötietojen käsittelyn oikeusperusta. Kansallisesti voidaan kuitenkin säätää, että tietosuoja-asetuksen mukaisella suostumuksella ei voi ohittaa tietosuoja-asetuksen mukaista lähtökohtaista erityisten henkilötietoryhmien käsittelykieltoa.
Toisiolain soveltamisalaan kuuluvien henkilötietojen käsittelyn oikeusperusta on johdettu tietosuoja-asetuksen monesta eri kohdasta. Käsittely tapahtuu pääosin ns. lakiperusteella, toisin sanoen suostumusta ei enää tarvitse erikseen kysyä. Tämä on tehty nimenomaan helpottamaan rekisteritutkimusta.
Tietosuoja-asetuksen ja Euroopan tietosuojaneuvoston kannanottojen mukaan suostumuksen ei pitäisi olla pätevä oikeudellinen peruste henkilötietojen käsittelylle sellaisessa erityistilanteessa, jossa rekisteröidyn ja rekisterinpitäjän välillä on selkeä epäsuhta. Tämä koskee erityisesti tilanteita, joissa rekisterinpitäjänä on viranomainen, ja joissa on sen vuoksi epätodennäköistä, että suostumus on annettu vapaaehtoisesti kaikissa kyseeseen tulevissa olosuhteissa. Laki turvaa tällöin suostumusta paremmin rekisteröidyn perusoikeudet.
Toisiolaki ei kuitenkaan suinkaan estä suostumuksen käyttämistä. Tämä on hyvinkin selvästi todettu esimerkiksi toisiolain 43 §:n 2 momentissa, jonka mukaan, jos luovutettavat tiedot on koottu rekisteröidyn suostumuksella, tietolupa häntä koskeviin rekisteritietoihin voidaan myöntää vain, jos se on suostumuksen ja tiedon käytölle ja luovutukselle annettujen ehtojen mukaista. Jos tietolupahakemusta koskevat tiedot liittyvät käyttötarkoitukseen, joka perustuu rekisteröidyn suostumukseen, tietolupa voidaan myöntää vain sellaisiin tietoihin, jotka rekisteröidyn suostumus kattaa. Lisäksi toisiolain 60 §:n 3 momentissa säädetään myös, miten voidaan rajoitetusti käyttää ennen toisiolain voimaantuloa saatuja suostumuksia.
Tietosuoja-asetus on suoraan sovellettavaa velvoittavaa lainsäädäntöä. Tietosuoja-asetuksen mukaista suostumusta voi siis käyttää, koska toisiolaissa ei ole käytetty edellä mainittua kansallista liikkumavaraa, jolla suostumuksen käyttäminen olisi rajattu pois. Perustuslakivaliokuntakin on lausunnoissaan (ks. esim. PeVL 4/2021 vp, PeVL 23/2020 vp, s. 9, PeVL 2/2018 vp, s. 8) pitänyt henkilötietojen suojan kannalta keskeisenä myös tiedollista itsemääräämisoikeutta erityisesti lääketieteellisen tutkimuksen ja potilastietojen käsittelyn kohdalla.
Mikäli kyseessä on kuitenkin kliininen lääketutkimus, henkilötietojen käsittelyn oikeusperustasta säädetään eduskunnassa tällä hetkellä olevassa hallituksen esityksessä eduskunnalle laiksi kliinisestä lääketutkimuksesta sekä eräiksi siihen liittyviksi laeiksi. Keskeistä tuossa sääntelyssä on saada selkeämpi oikeusperusta potilastietojen käsittelylle ko. tutkimusten koko elinkaaren ajaksi.