SASTAMALAN KAUPUNGIN TIETOSUOJA- JA TIETOTURVAOHJEET

Transkriptio

1 1 SASTAMALAN KAUPUNGIN TIETOSUOJA- JA TIETOTURVAOHJEET Sastamalan kaupunginhallitus on hyväksynyt xxx Ohje on voimassa lähtien.

2 Sisällys 1. JOHDANTO SASTAMALAN KAUPUNGIN TIETOTURVAPOLITIIKKA TIETOSUOJA JA TIETOTURVAORGANISAATIO JA VASTUUALUEET TIETOJÄRJESTELMIEN KÄYTTÄJÄN VELVOLLISUUDET Salassapitovelvollisuus Käyttöoikeus Työaseman, kannettavan tietokoneen ja mobiililaitteen käyttöperiaatteet Verkkotulostimet, faksit sekä kopiokoneet Mobiililaitteet Liikkuva työ ja etätyö Internet, sähköposti ja sosiaalinen media (some) Internet Sähköposti Sosiaalinen media (some) Asiakirjojen ja tietojen säilyttäminen ja hävittäminen Ongelmatilanteissa LIITE 1. TIETOTURVALLISUUTEEN KESKEISESTI LIITTYVÄT SÄÄDÖKSET

3 3 1. JOHDANTO Tietoturva on erilaisten tietojen käsittelyyn kohdistettujen toimenpiteiden ja teknisten ratkaisujen kokonaisuus, joilla pyritään tiedon luottamuksellisuuteen, eheyteen, saatavuuteen, tunnistamiseen ja todentamiseen, pääsynvalvontaan sekä kiistämättömyyteen. Tietosuojalla tarkoitetaan henkilötietojen tai henkilön toiminnasta aiheutuvien tietojen keräämisen rajoittamista. Tätä varmistamaan on Suomessa säädetty henkilötietolaki. Palvelujen toteuttaminen edellyttää lainsäädännön asettamien kriteerien noudattamista. Käytännössä se tarkoittaa, että palvelujen käyttäjät voivat luottaa siihen, etteivät heitä koskevat tiedot joudu vääriin käsiin, etteivät tiedot ole virheellisiä, eikä tietokantoihin heistä kerättyä tietoa yhdistellä asianomaista vahingoittavalla tavalla. Sastamalan kaupungilla rekisteripitäjänä on velvollisuus huolehtia tietojen suojaamisesta ja laadusta niin, että tahattomat muutokset ja oikeudeton käyttö eivät ole mahdollisia. Tietosuoja ja tietoturva perustuvat lainsäädäntöön ja normiohjaukseen. Vastuu siitä kuuluu omalta osaltaan jokaiselle. Tämä tietosuoja- ja tietoturvaohje on tarkoitettu koko Sastamalan kaupungin henkilöstölle, luottamushenkilöille, kaupungin toimeksiannosta työskenteleville ja sen tietojärjestelmiä tai toimitiloja säännönmukaisesti käyttäville henkilöille. Jokaisen on tutustuttava tähän ohjeeseen ja sitouduttava noudattamaan näitä ohjeita. Ohjeiden mukaisella toiminnalla varmistetaan sekä asiakkaan että henkilökunnan oikeusturvan toteutuminen tietojen käsittelyssä.

4 4 2. SASTAMALAN KAUPUNGIN TIETOTURVAPOLITIIKKA Sastamalan kaupungin tehtävänä on taata asiakkaittensa ja henkilöstönsä oikeusturva riittävällä tietosuojalla ja tietoturvalla. Tietosuojan ja tietoturvan hyvä laatu tarkoittaa, että Sastamalan kaupungissa käsitellään tietoja luottamuksellisesti kunnioitetaan asiakkaiden / potilaiden sekä henkilökunnan oikeuksia asiakkaiden, potilaiden sekä henkilökunnan informointivelvollisuus toteutetaan tietoturvasta ja tietosuojasta annettuja säädöksiä ja ohjeita noudatetaan tietojen väärinkäytöstä aiheutuu sanktio 3. TIETOSUOJA- JA TIETOTURVAORGANISAATIO JA VASTUUALUEET Tietosuoja ja tietoturva asioiden hallinnollinen vastuu on Sastamalan kaupunginhallituksella, joka hyväksyy tietoturvapolitiikan ja tietosuoja- ja tietoturvaohjeet. Tietosuojan ja tietoturvan organisoinnista vastaa tietosuoja- ja tietoturvatiimi, johon kuuluvat tietohallintopäällikkö erikoissuunnittelija (tietosuojavastaava) henkilöstöjohtaja tietoturvavastaava (SaTu Oy) kaupunginarkistonhoitaja tieto ja viestintätekniikan (tvt) asiantuntija Sastamalan kaupungin tietosuoja- ja tietoturvatiimin tehtävänä yhteistyössä Sastamalan Tukipalvelu Oy:n kanssa on: turvata Sastamalan kaupungin toiminnalle tärkeiden tietojärjestelmien ja tietoverkkojen oikeanlainen ja keskeytymätön toiminta estää luottamuksellisen tiedon, riippumatta siitä miten se on tallennettu, päätyminen oikeudettomien saataville estää tiedon tai tietojärjestelmän luvaton käyttö estää tahaton tai tahallinen tietojen tuhoutuminen tai vääristyminen vähentää tietoturvariskejä ja minimoida niistä aiheutuvat vahingot varautua riskitilanteisiin

5 5 Konsernihallinnon, ydinprosessien ja liikelaitosten johtajien sekä yksiköiden esimiesten vastuulla on työyhteisöjensä jäsenten tietosuoja- ja tietoturvaohjeen noudattaminen. Tiedon käsittelijän vastuulla on tiedon huolellinen käsitteleminen ja annettujen ohjeiden noudattaminen tiedon luomisessa, muuttamisessa, jakelussa, säilyttämisessä, arkistoinnissa sekä tuhoamisessa. Tiedon käsittelijän velvollisuus on ilmoittaa tietosuoja- tai tietoturvarikkomuksista ja havaituista poikkeustilanteista viiveettä esimiehelleen. 4. TIETOJÄRJESTELMIEN KÄYTTÄJÄN VELVOLLISUUDET 4.1 Salassapitovelvollisuus Salassapitovelvollisuudesta säädetään useissa laeissa ja salassapitovelvollisuuden rikkominen on sanktioitu. Asiakirjasalaisuus merkitsee, että salassa pidettävää viranomaisten asiakirjaa taikka sen kopiota tai tulostetta ei saa näyttää eikä luovuttaa sivullisille / ulkopuolisille ei saa antaa teknisen käyttöyhteyden avulla taikka muulla tavalla sivullisen / ulkopuolisen nähtäväksi tai käytettäväksi Vaitiolovelvollisuus koskee julkisuuslain mukaan asiakirjan salassa pidettävää sisältöä tietoa, joka asiakirjaan merkittynä olisi salassa pidettävää muuta viranomaisessa toimittaessa saatua tietoa tai seikkaa, josta on lailla säädetty vaitiolovelvollisuus. Sastamalan kaupungin työntekijöillä on vaitiolo- ja salassapitovelvollisuus työtehtävien aikana sekä palvelussuhteen päättymisen jälkeen. Salassa pidettäviä tietoja ei saa ilmaista eikä luovuttaa, siirtää, eikä tallentaa toisiin tietojärjestelmiin tai tallenteille. Salassa pidettäviä ja suojattavia kopioita ja/tai tulosteita ei saa laittaa roskien joukkoon vaan ne on silputtava tai toimitettava lukollisiin keräysastioihin, joiden sisältö hävitetään asianmukaisesti. Erilliset tallennusvälineet, jotka sisältävät salassa pidettäviä tietoja on hävitettävä asianmukaisin toimenpitein. Tietojen väärinkäyttö, ohjeiden vastainen toiminta tai rikkomus, voi johtaa vahingonkorvaus- ja / tai rikosoikeudellisiin seuraamuksiin sekä virka- tai työsuhteen päättämiseen.

6 6 4.2 Käyttöoikeus Työsuhteen alkaessa työntekijä saa esimiehen hyväksynnällä käyttöoikeuden ja käyttäjätunnuksen verkkoon ja sähköpostiin. Esimies ja työntekijä täyttävät ja allekirjoittavat käyttöoikeusilmoituksen, johon Sastamalan Tukipalvelu Oy:n atkpalveluiden käyttösäännöt ja Sastamalan kaupungin tietosuoja- ja tietoturvaohje kuuluvat erottamattomana osana. Työntekijä tutustuu esimiehen läsnä ollessa käyttösääntöihin ja Sastamalan kaupungin tietosuoja- ja tietoturvaohjeeseen, joihin käyttöoikeusilmoituksen allekirjoituksellaan sitoutuu. Toimialakohtaisiin tietojärjestelmiin käyttöoikeudet haetaan erillisillä lomakkeilla. Käyttöoikeudet myöntävät konsernihallinnon, ydinprosessin sekä liikelaitosten johtajat. Työsuhteen päättymisestä esimiehen tulee ilmoittaa Sastamalan Tukipalvelu Oy:lle, joka poistaa käyttöoikeudet ja sähköpostiosoitteen järjestelmästä. Yli kolmen kuukauden mittaisen poissaolon ajaksi käyttäjätunnus jäädytetään. Laitteita pitää käyttää omalla käyttäjätunnuksella ja salasanalla. Ne ovat henkilökohtaisia ja kukin vastaa käyttäjätunnuksellaan tehdyistä merkinnöistä. Käyttäjätunnus ja salasana on ehdottomasti pidettävä omana tietona. Samoja käyttäjätunnuksia ja salasanoja ei saa käyttää vapaa-ajan palveluissa ja työtehtävissä. (poikkeuksena ovat ns. ryhmätunnukset, jolloin ryhmän jäsenet pääsevät käsiksi samoihin tietoihin). Satunnainen, asiaankuulumaton tietojen katselu on kiellettyä. Rekisterien katselu- tai käyttöoikeutta ei ole muihin kuin työtehtävien edellyttämiin tietoihin. 4.3 Työaseman, kannettavan tietokoneen ja mobiililaitteen käyttöperiaatteet Laitteissa tulee käyttää vain Sastamalan kaupungin ja/tai Sastamalan Tukipalvelu Oy:n hyväksymiä ja lisensoituja ohjelmia. Laitteen sijoituksessa tulee mahdollisuuksien mukaan huomioida, että asiakkaat tai sivulliset eivät pääse näkemään näytöllä olevia tietoja. Työasema on aina lukittava käyttäjän poistuessa työpisteestään. Työhuoneen ovi on lukittava, kun käyttäjä poistuu huoneestaan pidemmäksi ajaksi. Työasema on sammutettava yöksi. Työnantajan hankkimia ohjelmia ei saa kopioida. Siirrettävien tallennusvälineiden (esim. CD/DVD -levyt, USB-muistit) kanssa on noudatettava erityistä varovaisuutta, koska niissä voi olla haittaohjelmia ja toisaalta varsinkin USB-muistitikku hukkuu helposti. Arkaluontoisten tietojen tallennusta USB-muistitikulle on syytä välttää. Laitteita ei saa käyttää tiedostojen pysyvään säilytykseen. Palvelimilla olevien tiedostojen varmuuskopiointi hoidetaan keskitetysti SaTu Oy:n toimesta. Laitteille tallennettujen tiedostojen varmuuskopioinneista vastaa kukin käyttäjä itse.

7 7 Siirrettävät tallennusvälineet (esim. USB-muistitikut) tulee säilyttää turvallisessa paikassa. Salaista tietoa sisältävät tallennusvälineet on säilytettävä lukitussa tilassa. Epäiltäessä, että työasemassa, kannettavassa tietokoneessa tai mobiililaitteessa on haittaohjelma, on asiasta ilmoitettava SaTu Oy:n HelpDeskiin seuraavalla tavalla: Kaikki tukipyynnöt, vikailmoitukset ym. tehdään HelpDesk numeroon 5020 / tai sähköpostitse osoitteella helpdesk@satuoy.fi. HelpDeskiin voi käyttäjä myös itse kirjata palvelupyynnön osoitteessa Kaikki käyttöoikeuksiin liittyvät palvelupyynnöt osoitetaan kayttooikeus@satuoy.fi tai puh / Verkkotulostimet, faksit sekä kopiokoneet Työntekijän on huolehdittava, että luottamuksellisia papereita ei jää lojumaan verkkotulostimille, kopiokoneille tai fakseille ja varmistettava, että valittuna on oikea tulostin ennen tulostamista. Mikäli luottamuksellisia asiakirjoja joudutaan lähettämään faksilla, on lähetyksestä sovittava etukäteen vastaanottajan kanssa ja varmistettava vastaanottajalta että hän on saanut lähetetyt asiakirjat Mobiililaitteet Älypuhelimien ja tablet -laitteiden käytössä on oltava erityisen huolellinen, sillä ne voivat sisältää materiaalia joka ei ole tarkoitettu ulkopuolisille esim. sähköposti. Luottamuksellisen tiedon välittämistä puhelimitse tulee välttää. Jos puhelinta kuitenkin on käytettävä, tulee vastaanottajan henkilöllisyys pyrkiä varmistamaan mahdollisimman hyvin esimerkiksi vastapuhelulla. Soittamalla esim. viraston puhelinvaihteeseen ja pyytämällä yhdistämään kyseiselle henkilölle, saadaan parempi varmuus vastaajan henkilöllisyydestä. Mikäli henkilö käyttää työnantajan puhelinta ulkomailla, on hänen aina ennen matkaa otettava yhteyttä liittymien hallinnoijaan, jotta varmistetaan että liittymän ulkomaan asetukset ovat kunnossa. Puhelinta vaihdettaessa tulee muistaa tyhjentää vanhan puhelimen muisti. Huolehdi työnteossa käyttämiesi kannettavien tietokoneiden, älypuhelimien ja tablet -laitteiden turvallisuudesta. Tutustu laitteen ja siinä olevien ohjelmien käyttöohjeisiin ja turvallisuusominaisuuksiin (mm. PIN koodikysely, Bluetooth asetukset, sovellusten lataaminen ja asentaminen). Huolehdi, että laitteissa on PIN koodin kysely päällä. Vaihda oletus PIN koodi. Ota puhelimen suojakoodi käyttöön.

8 8 Älä lataa tai asenna laitteisiin mitään työhön kuulumatonta Poista käyttämättömät sovellukset Käytä tietojen salausta mahdollisuuksien mukaan. Huolehdi mobiililaitteiden tietojen varmuuskopioinnista ja synkronoinnista muihin järjestelmiin Liikkuva työ ja etätyö Kiinnitä kaikessa toiminnassasi huomiota tietoturvallisiin menettelytapoihin. Erityisen tärkeä tämä on toimittaessa vakituisten toimistotilojen ulkopuolella. Huolehdi, että etäkäytössä käyttämäsi laitteistot, ohjelmistot, tietoliikenneyhteydet ja paperiaineistot ovat ja pysyvät vain sinun käytössäsi. Huolehdi, että käyttämäsi käyttäjätunnukset, salasanat, mahdolliset toimikortit ja muut todennusvälineet ovat vain sinun hallussasi ja tiedossasi. Käytä sovittuja suojausohjelmia ja varmista, että ne ovat ajan tasalla. Kuljeta mukanasi vain välttämätön määrä tietoaineistoa ja varmistu aina aineiston asianmukaisesta suojauksesta. Työskennellessä kotikoneella on tärkeää huolehtia tietoturvasta. Vältä puhumasta luottamuksellisia työasioita julkisilla paikoilla ja kulkuvälineissä. Mikäli työskentelet tietovälineellä julkisessa kulkuvälineessä, varmistu, etteivät kanssamatkustajat näe käsittelemiäsi tietoja ja asiakirjoja. Varo myös aiheettomien langattomien yhteyksien aktivoitumista koneeseesi. Säilytä tieto ja laitteet turvassa. Älä jätä kannettavaa tietokonetta tai matkapuhelinta ilman valvontaa. Niitä ei saa jättää autoon näkyvälle paikalle tai säilyttää autossa. Vältä julkisten päätteiden (esim. kirjastot, nettikahvilat) käyttöä työasioihin. Et voi vaikuttaa siihen, mitä tietoja käytöstäsi kerätään ja mitä tiedoilla tehdään. 4.4 Internet, sähköposti ja sosiaalinen media (some) Internet Internet on tarkoitettu työtehtävien hoitoon, tiedon hankkimiseen, tiedottamiseen, ajankohtaisten työhön liittyvien uutisten seurantaan sekä ammatillisen osaamisen kehittämiseen. Internetin palveluiden ja sovelluksien käyttö ei saa olla ristiriidassa työpaikan viestinnän, toiminnan tarkoituksen, etiikan, työajankäytön tai tietoturvallisuuden kanssa Sähköposti Sähköposti on tarkoitettu työtehtävien hoitoon. Sähköposti on luottamuksellinen viesti.

9 9 Työntekijän nimellä tullutta sähköpostia ei työnantaja eikä toinen työntekijä saa pääsääntöisesti avata, ellei asiasta ole sovittu erikseen. Sähköpostin kautta ei saa lähettää arkaluonteisia tai muita salassa pidettäviä tietoja (esim. henkilötiedot). Luottamuksellinen tieto tulee siirtää julkisessa verkossa (Internetissä) ainoastaan salattuna. Lähettäjä vastaa aina tiedon siirtämisestä. Epämääräisestä osoitteesta tuleva sähköposti on poistettava liitteineen haittaohjelmariskin vuoksi (virukset, verkkomadot, troijan hevoset, jne.). Roskapostia ei saa lähettää eikä välittää eteenpäin vaan ne tulee poistaa välittömästi. Roskapostiin ei saa missään tapauksessa vastata. Työnantajalla on tietyissä tapauksissa oikeus hakea työntekijän sähköposti esille Sosiaalinen media (some) Sosiaalisen median käyttö työaikana on kielletty, ellei se kuulu työtehtäviin samoin kuin vapaa-aikana työnantajan laitteilla (tabletit, älypuhelimet, kannettavat). Työntekijän on huomioitava sosiaalisessa mediassa yksityisen ja julkisen roolin sekoittumisvaara, työntekijän näkemykset tulkitaan helposti työnantajan näkemyksiksi työntekijän on otettava huomioon lakiin perustuva lojaliteettivelvoite, loukkaamattomuus työnantajaansa kohtaan työhön liittyvien luottamuksellisten ja arkaluonteisten tietojen (mm. potilastiedot) ilmaiseminen/levittäminen on rangaistava teko myös anonyymisti tai nimimerkin suojissa työntekijän lojaliteettivelvoite työantajaa kohtaan koskee myös vapaaaikaa työntekijän nauttiessa erityistä luottamusta työsuhteessa voi epäasiallinen käyttäytyminen myös vapaa-aikana johtaa seuraamuksiin Työnantajalla on oikeus puuttua työntekijän epäasialliseen käyttäytymiseen sosiaalisessa mediassa. Epäasiallinen käyttäytyminen sosiaalisessa mediassa voi johtaa vahingonkorvaus- ja / tai rikosoikeudellisiin seuraamuksiin sekä palvelussuhteen päättämiseen. MIETI ENNEN KUIN TOIMIT! Verkossa julkaistusta tekstistä jää aina jälki Yksityisasetuksista riippuu kuka voi nähdä päivityksen Kuvakaappausten ja kontrolloimattoman tiedon jakamisen tosiasiallinen riski Asiallinen ja oikea tieto Negatiivinen palaute ensisijassa omalle esimiehelle, tai konserni- ja henkilöstöjohdolle

10 Asiakirjojen ja tietojen säilyttäminen ja hävittäminen Paperiset asiakirjat on säilytettävä arkistointia koskevien säännösten mukaisesti. Hävitettäviä luottamuksellisia asiakirjoja varten on erilliset lukolliset keräysastiat, joiden sisältö tuhotaan ko. yrityksen kanssa tehdyn sopimuksen mukaisesti. Tietojen säilyttämisessä ja hävittämisessä noudatetaan arkistolakia, asiakirjahallinnon ja arkistotoimen ohjeita ja määräyksiä sekä arkistonmuodostussuunnitelmaa. Siirrettävät tallennusvälineet (esim. USB-muistit) eivät ole tarkoitettu tietojen pitkäaikaiseen ja pysyvään säilytykseen. 4.6 Ongelmatilanteissa Virusilmoituksen tullessa toimitaan näytöllä virustorjuntaohjelman antamien ohjeiden mukaisesti Kirjoitetaan mahdollinen virheilmoitus muistiin tai otetaan tilanteesta kuvaruutukopio (print screen), se helpottaa ongelman ratkaisemisessa Kaikki tukipyynnöt, vikailmoitukset ym. tehdään HelpDesk numeroon 5020 / tai sähköpostitse osoitteella helpdesk@satuoy.fi. HelpDeskiin voi käyttäjä myös itse kirjata palvelupyynnön osoitteessa

11 11 LIITE 1. TIETOTURVALLISUUTEEN KESKEISESTI LIITTYVÄT SÄÄDÖKSET Keskeinen voimassa oleva lainsäädäntö: Henkilötietolaki 523/1999 Suomen perustuslain yksityiselämän suojaa koskeva säännös: Perustuslaki 731/ luku 10 ja 12 Henkilörekisteriasetus 476/1987; 479/1988, 59/1993, 431/1994 Laki viranomaisten toiminnan julkisuudesta 621/1999 ja 38 muutos 636/2000 Asetus viranomaisten toiminnan julkisuudesta ja hyvästä tietohallintatavasta 1030/1999 Laki turvallisuusselvityksistä (177/2002): Henkilöiden taustat Vahingonkorvauslaki (41/1974) Laki yksityisyyden suojasta työelämässä 759/2004 Sähköisen viestinnän tietosuojalaki 516/2004 Rikoslaki 39/ luku 4 ja 5, 15 luku 10 sekä luvut Valmiuslaki 1080/1991, 198/2000, 1552/2011 Laki kunnallisesta viranhaltijasta 304/2003 Työsopimuslaki 55/2001 Päivähoitolaki ja päivähoitoasetus Sosiaali- ja Terveydenhuollon lainsäädäntö henkilötietojen käsittelyssä, mm. Sosiaali- ja terveysministeriön asetus potilasasiakirjojen laatimisesta sekä niiden ja muun hoitoon liittyvän materiaalin säilyttämisestä 99/2001 (vanha potilasasiakirja-asetus) Potilasasiakirja-asetus, sosiaali- ja terveysministeriön asetus potilasasiakirjoista 798/2009 Potilaslaki, laki potilaan asemasta ja oikeuksista 785/1992, muutos 653/2000, muutos 857/2004 Sosiaalihuollon asiakaslaki, laki sosiaalihuollon asiakkaan asemasta ja oikeuksista 812/2000 Kansanterveyslaki 66/1972, muutos 855/2004 Erikoissairaanhoitolaki 1062/1989, muutos 856/2004 Työterveyshuoltolaki 1383/2001 Ammattihenkilölaki, laki terveydenhuollon ammattihenkilöistä 559/1994 Asetus sosiaalihuollon ammatillisen henkilöstön kelpoisuusvaatimuksista 272/2005 Asetus perusteista avohoidon ja laitoshoidon määrittelemiseksi 1507/2007 Asetus hoitoon pääsyn toteuttamisesta ja alueellisesta yhteistyöstä 1019/2007 Asiakastietolaki, laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä 159/2007 Laki sähköisestä lääkemääräyksestä 61/2007 Lastensuojelulaki 417/2007 Valtionneuvoston asetus neuvolatoiminnasta, koulu- ja opiskeluterveydenhuollosta sekä lasten ja nuorten ehkäisevästä suun terveydenhuollosta 338/2011 Potilasvahinkolaki 585/1986

12 12 Terveydenhuoltolaki 1326/2010 Muu lainsäädäntö, mm. Arkistolaki 831/1994 Sosiaalisen median pelisäännöt työntekijän näkökulmasta, Katja Arve-Salonen Viranomaisten määräykset, ohjeet ja suositukset STM:n opas terveydenhuollon henkilöstölle: Potilasasiakirjojen laatiminen sekä niiden ja muun hoitoon liittyvän materiaalin säilyttäminen. Oppaita 2012 Sosiaali- ja terveydenhuollon tietojenkäsittelypalvelujen ym. hankkimiseen liittyviä sopimusmalleja ( Tietosuojavaltuutetun toimiston esitteet ja mallit, mm. Tietosuoja turvaa oikeutesi-esite Tiedoteet rekisteröidylle-sarja Ota oppaaksi henkilötietolaki-esite Tietosuojavaltuutetun mallit-sarja Muiden viranomaisten tai järjestöjen käytännesäännöt, ohjeet suositukset, mm. Suomen Kuntaliiton yleiskirjeet ja suositukset