HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 1(12) SÄHKÖISTEN VIESTINTÄVÄLINEIDEN KÄYTÖN PERIAATTEET 1 OHJEEN TAUSTA Tässä ohjeessa käsitellään sähköpostin ja internetin käytön periaatteita työnantajan ja työntekijän tai viranhaltijan välisen suhteen sekä tietoturva- ja tietosuojanäkökulmista. Ohjeet koskevat jokaista HUS:n työntekijää ja viranhaltijaa, ja jokainen HUS:iin palvelussuhteessa oleva on myös vastuussa ohjeiden noudattamisesta. HUS:n sähköpostiosoitetta ei tule käyttää henkilökohtaisiin tarkoituksiin muutoin kuin kiireellisissä ja välttämättömissä tilanteissa. Henkilökunnan tulee käyttää yksityisasioidensa hoitoon omaa yksityistä web-sähköpostia. Sähköpostin käyttö henkilökohtaisiin tarkoituksiin ei saa häiritä työ- tai virkatehtävien hoitamista. Internetin käyttö henkilökohtaisiin tarkoituksiin, kuten pankkiasioiden hoitoon, on vähäisessä määrin sallittua. Internetin käyttö henkilökohtaisiin tarkoituksiin ei saa haitata normaalien työ- tai virkatehtävien hoitoa. Esimies käy läpi uusien työntekijöiden ja viranhaltijoiden kanssa liitteenä 1 olevan sitoumuksen osana perehdyttämistä ja sitoumus allekirjoitetaan työsopimuksen tai virkamääräyksen allekirjoittamisen yhteydessä. Sähköisten viestintävälineiden käyttöä säätelee mm. sähköisen viestinnän tietosuojalaki, laki yksityisyyden suojasta työelämässä ja laki sähköisestä asioinnista viranomaistoiminnassa. HUS:n on edistettävä omalta osaltaan potilaiden ja henkilökunnan sähköistä asiointia käytettävissä olevin menetelmin ja keinoin. Vaikka suojattua sähköpostia tai muuta tietoturvallista kommunikaatioalustaa ei ole vielä laajasti käytettävissä, hoitoyksiköt voivat esim. perustaa potilaita varten sähköpostilaatikon, jonka kautta hoidetaan neuvontaa ja vastataan potilaiden tiedusteluihin. 2 SÄHKÖPOSTIN KÄSITTELY- JA TURVALLISUUSOHJEET 2.1 Sähköpostiviestien luokittelu Sähköisestä asioinnista viranomaistoiminnassa annetun lain (13/2003; SAsiointiL) 4 :ssä on seuraavat määritelmät: 1) sähköisellä tiedonsiirtomenetelmällä tarkoitetaan telekopiota ja telepalvelua, kuten sähköistä lomaketta, sähköpostia tai käyttöoikeutta sähköiseen tietojärjestelmään, sekä muuta sähköiseen tekniikkaan perustuvaa menetelmää, jossa tieto välittyy langatonta siirtotietä tai kaapelia pitkin; ei kuitenkaan puhelua;
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 2(12) 2) sähköisellä viestillä tarkoitetaan sähköisellä tiedonsiirtomenetelmällä lähetettyä tarvittaessa kirjalliseen muotoon tallennettavissa olevaa informaatiota; ja 3) sähköisellä asiakirjalla tarkoitetaan sähköistä viestiä, joka liittyy asian vireillepanoon, käsittelyyn tai päätöksen tiedoksiantoon. Tässä pysyväisohjeessa noudatetaan edellä esitettyjä määritelmiä. Sähköisistä viesteistä käsitellään eräin poikkeuksin kuitenkin ainoastaan sähköpostitse lähetettäviä asiakirjoja ja muita viestejä. Näin ollen esimerkiksi käsitteellä sähköinen viesti tarkoitetaan jäljempänä yksinomaan sähköpostiviestiä, ellei asiayhteydestä muuta ilmene. Sähköpostitse lähetettävät viestit luokitellaan viestin tarkoituksen perusteella seuraavasti: Organisaation sähköpostiviesti Organisaation sähköpostiviestillä tarkoitetaan HUS-kuntayhtymän tai toimintayksikön yleisosoitteeseen lähetettä viestiä, joka edellyttää viranomaistoimenpiteitä tai organisaation muuta reagointia (esim. keskuskirjaamo@hus.fi) Virkasähköpostiviesti Virkasähköpostiviesti on HUS:ssa työskentelevälle käyttäjälle työkäyttöön annettuun sähköpostiosoitteeseen (etunimi.sukunimi@hus.fi) lähetetty viesti, joka liittyy käyttäjän tehtävän tai viran hoitoon. Henkilökohtainen sähköpostiviesti Henkilökohtaisella sähköpostiviestillä tarkoitetaan HUS:n käyttäjän työ- tai virkatehtäviä varten antamaan sähköpostiosoitteeseen lähetettyjä henkilökohtaisia sähköpostiviestejä. Yksityinen sähköpostiviesti Yksityinen sähköpostiviesti on käyttäjän omaan yksityis-käyttöönsä hankkimaan sähköpostiosoitteeseen lähetetty sähköpostiviesti (esim. osoitteeseen etunimi.sukunimi@hotmail.com saapuneet sähköpostiviestit). 2.2 Sähköpostiviestien käsittely 2.2.1 Potilastietoihin tai hoitosuhteeseen liittyvät sähköpostit Potilaalle voidaan lähettää sähköpostilla tai tekstiviestinä käytännöllisiä neuvoja, ajanvaraus- tai jonotietoja tai esim. soittopyyntö, mikäli potilas pyytää tämän kaltaisia tietoja sähköpostilla tai tekstiviestillä ilmoittamaan. Kiireellisessä tilanteessa ja potilaan hoidon niin vaatiessa voidaan hoidon kannalta välttämättömiä lähettää tietoja myös sähköpostilla, mikäli potilas tähän suostuu. Tietojen luovuttamisesta on tällöin tehtävä merkintä potilaskertomukseen (mitä tietoja on luovutettu, milloin ja mille taholle) tai esim. tulostettava lähetetty viesti ja liitettävä se potilaan sairauskertomuskansioon.
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 3(12) Potilastietojen lähettäminen sähköpostilla on harkittava aina tapauskohtaisesti. Tietojen lähettämisestä vastaavan henkilön vastuu on sitä suurempi, mitä enemmän tietoja lähetetään ja mitä arkaluonteisempia tiedot ovat. Käytettäessä sähköpostia tiedot lähettää lääkäri tai hänen valtuuttamansa henkilö. Jos potilas pyytää saada omia potilastietojaan sähköpostilla, on potilaalta ennen tietojen lähettämistä pyydettävä suostumus siihen, että tiedot voidaan lähettää ilman suojausmenettelyitä julkisen tietoverkon kautta. Mikäli potilas ilmoittaa suostuvansa tähän vastausviestissään, voidaan tiedot lähettää sähköpostilla. Mikäli potilas tiedustelee sähköpostilla suoraan lääkäriltä hoitoon liittyviä asioita, lääkäri voi lähettää potilaalle lyhyen vastauksen, mikäli sähköpostikommunikointi on sekä potilaan että lääkärin kannalta järkevää. Sähköpostivastaus on tällöin annettava yleiskielellä ja mahdollisimman ymmärrettävästi. Mikäli sähköpostiyhteydenottoja tulee paljon ja ne haittaavat varsinaista kliinistä työtä, potilaalle voidaan vastata lyhyesti, että hoitoon liittyvissä asioissa tulee ottaa yhteyttä potilasta hoitaneeseen hoitoyksikköön, jossa selvitetään tarkemmin, millaisia tietoja tai ohjeita potilas tarvitsee. 2.2.2 Yleistä sähköpostiviestien käsittelystä Salassa pidettävien tietojen lähettäminen sähköpostilla on aina harkittava tapauskohtaisesti, koska viestit lähetetään julkista verkkoa myöten ja viestien salassapitoon tai vastaanottajan varmentamiseen tarkoitettuja menetelmiä ei toistaiseksi ole käytössä. Sähköpostitse tulleisiin tiedusteluihin, jotka koskevat salassa pidettäviä tai luottamuksellisia tietoja, vastataan pääsääntöisesti kirjeitse, ellei asian kiireellisyys tai muu peruste (esim. vastaanottaja haluaa tiedot nimenomaan sähköpostilla) edellytä sähköpostin käyttöä. Mikäli vastaus lähetetään kirjepostilla, sähköpostiviestin lähettäjälle lähetetään vastausviesti, jossa kerrotaan, että viesti on vastaanotettu, mutta että tietosuojasyistä tiedusteluun vastataan sähköpostin sijasta kirjeitse. SAsiointiL 12 :n mukaan viranomaisen on viipymättä ilmoitettava sähköisen asiakirjan vastaanottamisesta lähettäjälle. Ilmoitus voidaan lähettää esim. sähköpostijärjestelmän automaattisena kuittauksena kirjaamoissa tai muutoin tapauskohtaisesti. Vastaanottamisesta ilmoittaminen ei vaikuta asian käsittelyn edellytyksiin, joista säädetään erikseen. Vastaanottoilmoitusvelvollisuus ei kuitenkaan koske telekopiona tai vastaavalla tavalla saapunutta asiakirjaa. Velvollisuus ilmoittaa asiakirjan tai viestin saapumisesta koskee hallintoasian asian vireille tulemista tai käsittelyä, mutta ei esim. neuvontapyyntöä tai tiedustelua, jotka eivät edellytä hallinnollisia toimenpiteitä. Jos saapunut sähköpostiviesti sisältää kuittauspyynnön, tulee käyttäjän viipymättä lähettää kuittausviesti. Muutoinkin organisaation sähköpostiviestit sekä virkasähköpostit on käsiteltävä mahdollisimman nopeasti. Sähköpostiviestien automaattinen edelleen ohjaus HUS:n ulkopuoliseen sähköpostiosoitteeseen on ehdottomasti kiellettyä. Syynä tähän ovat edelleen lähettämiseen liittyvät tietosuojariskit, kuten potilastietojen joutuminen vääriin käsiin.
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 4(12) Käyttäjän tulee säännöllisesti tarkastaa sähköpostistaan saapuneet viestit ja ryhtyä niiden edellyttämiin toimiin. Toisaalta myös tarpeettomat viestit tulee poistaa sähköpostilaatikosta. Merkittävät lähetetyt tai vastaanotetut käyttäjän virka- tai työtehtäviin liittyvät sähköpostiviestit liitetään sähköisesti säilytettäväksi asiankäsittelyjärjestelmään (Dynasty) joko käyttäjän itsensä toimesta tai lähettämällä sähköistä säilytystä edellyttävä sähköpostiviesti tai asiakirja HUS:n keskuskirjaamoon, tulosalueen kirjaamoon tai yksikön dynasty-vastuuhenkilölle. 2.2.3 Organisaation sähköposti Viranomaiselle toimitettu sähköinen asiakirja täyttää virallisen asiakirjan tunnusmerkistön. Sähköistä asiakirjaa ei tarvitse täydentää allekirjoituksella, jos asiakirja sisältää tiedot lähettäjästä eikä asiakirjan alkuperäisyyttä tai eheyttä ole syytä epäillä. HUS-kuntayhtymälle viranomaisena tarkoitetut sähköpostiviestit tulee ensisijaisesti ohjata organisaation sähköpostiosoitteisiin (esim. kirjaamojen ja liikelaitosten sähköpostiosoitteet). Organisaation sähköpostiosoitteeseen tai virkasähköpostiosoitteeseen saapunut viesti kirjataan pysyväisohjeen 5/2010 mukaisesti (Asiakirjahallinnon toimintaohje ja opas), minkä jälkeen viesti ohjataan sähköisesti asiaa hoitavalle viranhaltijalle tai työntekijälle. Viranhaltijan tai työntekijän lähettämästä vastauksesta on käytävä ilmi, että se on vastaus HUS:n yleiseen sähköpostiosoitteeseen tulleeseen viestiin. Vastauksessa on ilmoitettava myös paluuosoite siten, että yhteydenotot jatkossakin tapahtuvat ko. sähköpostiosoitteeseen. Myös sähköpostiviestinnässä on noudatettava mm. lakia viranomaisten toiminnan julkisuudesta (621/1999; julkisuuslaki). 2.2.4 Virkasähköposti Virkasähköpostiosoitteeseen tulleita viestejä tulee pääsääntöisesti kohdella vastaanottajalle osoitettuina virka- tai työtehtäviin liittyvinä asiakirjoina tai muina sähköisinä viesteinä. Niitä on käsiteltävä mm. julkisuuslain ja hallintolain edellyttämällä tavalla. Virkasähköpostin yksiselitteinen määritteleminen on vaikeata, mutta virkasähköpostiksi voidaan katsoa viesti, joka liittyy työtai virkatehtävien hoitamiseen, saattaa esim. hallintoasian vireille, edellyttää lausunnon antamista HUS-kuntayhtymän nimissä, käynnistää päätöksen valmistelun ja päätöksen tekemisen. Kaikki kirjattavat asiakirjat ja niihin liittyvät sähköpostiviestit on liitettävä asiankäsittelyjärjestelmään joko asian valmistelijan toimesta tai lähettämällä viestit ja tiedostot keskuskirjaamon, muuhun kirjaamoon tai kirjaamistehtäviä suorittavan asiakirjahallinnon vastuuhenkilön sähköpostiosoitteeseen. Kirjaamisesta ja asiakirjojen sähköisestä käsittelystä on annettu tarkempia ohjeita pysyväisohjeessa 5/2010, liite 2 Asiakirjahallinnon opas.
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 5(12) SAsiointiL 13.2 :n mukaan on kirjaus- tai muista vastaavista merkinnöistä käytävä ilmi sähköisen asiakirjan saapumisajankohta sekä merkinnät asiakirjan eheyden ja alkuperäisyyden toteamisesta. Käyttäjän on huolehdittava merkittävien virkasähköpostiosoitteeseen saapuneiden ja virkasähköpostiosoitteesta lähetettyjen viestien arkistoinnista liittämällä asiakirjat asiankäsittelyjärjestelmään tai toimittamalla ne sähköisesti tai paperimuodossa oman tulosalueensa tai liikelaitoksensa kirjaamoon tai kirjaamistehtäviä tekevälle asiakirjahallinnon vastuuhenkilölle. Omaa sähköpostilaatikkoa ei saa käyttää arkistona. 2.2.5 Henkilökohtainen sähköposti Työnantaja antaa käyttäjälle sähköpostiosoitteen työ- tai virkakäyttöä varten. HUS:n sähköpostiosoitteen käyttö henkilökohtaisiin tarkoituksiin ei ole suositeltavaa, vaan työntekijän odotetaan tarvittaessa hankkivan yksityisen sähköpostiosoitteen ulkopuoliselta palveluntarjoajalta. Sähköpostin käyttö henkilökohtaisiin tarkoituksiin ei saa häiritä työ- tai virkatehtävien hoitamista. Henkilökohtaiset sähköiset viestit on suositeltavaa poistaa HUS:n sähköpostilaatikosta heti niiden lukemisen jälkeen. Sähköpostin käyttö kaupalliseen, uskonnolliseen tai poliittiseen tarkoitukseen sekä ketjukirjeiden taikka epäsiveellisen, rasistisen tai muutoin sopimattoman aineiston levittäminen on kiellettyä. 2.2.6 Yksityinen sähköposti Kaikki muut sähköpostiosoitteet paitsi HUS:n työkäyttöön antamat sähköpostiosoitteet ovat tämän ohjeen kannalta yksityisiä sähköpostiosoitteita, riippumatta siitä, ovatko ne henkilökohtaiseen käyttöön vai jonkin toisen organisaation työkäyttöön myöntämiä. Yksityistä sähköpostiosoitetta ei saa käyttää työ- tai virkatehtävien hoitoon. Yksityisen sähköpostin käyttö ei saa haitata työ- tai virkatehtävien hoitoa. Yksityisen sähköpostiosoitteen salasanana ei saa käyttää HUS:n järjestelmissä käytettyä salasanaa. Yksityissähköpostin käytön mahdollisesti vaatimia lisäosia tai lisäohjelmia ei saa asentaa HUS:n työasemiin. HUS varaa oikeuden tarvittaessa sulkea pääsyn omasta verkostaan ulkopuolisen palveluntarjoajan tarjoamaan sähköpostipalveluun. Atk-apu ei anna käyttäjätukea yksityisen sähköpostin käyttöön. Yksityiseksi sähköpostiosoitteeksi ei lueta Helsingin yliopiston työkäyttöön myöntämää sähköpostiosoitetta yliopiston erikoisasemasta johtuen. HUS Tietotekniikka-liikelaitos ei ylläpidä Helsingin yliopiston sähköpostia eikä anna sen käyttöön tukea. 2.2.7 Sähköposteja ja liitetiedostoja koskevat rajoitukset HUS:lla on oikeus asettaa käyttäjälle mm. tietoturvallisuuden vuoksi sähköpostilaatikon, sähköisten viestien ja liitetiedostojen kokoon liittyviä rajoituk-
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 6(12) sia. HUS-Tietotekniikka liikelaitos tiedottaa intrassa keskeisistä sähköpostin käyttöä koskevista säännöistä. HUS:n käyttämä järjestelmä tarkistaa saapuvat sähköpostiviestit sekä niiden liitetiedostot automaattisesti mahdollisten haittaohjelmien ja virusten varalta sekä poistaa niitä sisältävät liitetiedostot. Liitetiedostoja lähettäessä on suositeltavaa käyttää.txt-,.rtf- tai.pdf-tiedostomuotoja. HUS:n keskitetyssä sähköpostipalvelussa poistetaan viesteistä automaattisesti tiedostot, joita ei ole turvallista vastaanottaa ominaisuuksiensa tai tiedostotyypin perusteella. Poistosta ilmoitetaan vastaanottajalle. HUS-Tietotekniikka liikelaitos tiedottaa intrassa tietokoneviruksista tai muista työaseman käyttöä koskevista uhkista sekä tarvittavista toimenpiteistä. Laajojen varmuuden vuoksi -lähetyslistojen käyttöä tulisi välttää, koska turha tiedotus muuttuu helposti roskapostin luonteiseksi. 2.2.8 Roskaposti Roskapostilla tarkoitetaan tässä pysyväisohjeessa erilaisia häiritseviä sähköisiä viestejä, joita vastaanottaja ei halua. Usein kysymys on mainospostista. HUS pyrkii pienentämään roskapostiongelmaa teknisin menetelmin estämällä tuollaisen postin saapumisen käyttäjien sähköpostilaatikoihin. Kaikkea roskapostia ei kuitenkaan kyetä teknisin menetelmin siivilöimään. Käyttäjän tulee toimia seuraavalla tavalla vastaanottaessaan roskapostia: 1. Roskapostiin ei vastata. Jos käyttäjä vastaa roskapostiin, hänen sähköpostiosoitteensa kirjautuu roskapostilistalle, jolloin roskapostia tulee moninkertaisesti enemmän. 2. Roskaposti on tuhottava (poistettava ja tyhjennettävä sähköpostin poistetut-kansio). Jos käyttäjä vastaanottaa jatkuvasti runsaasti roskapostia samasta sähköpostiosoitteesta, hänen tulee ilmoittaa asiasta atk-apuun. Tällöin HUS:n keskitettyä roskapostien suodatusjärjestelmää säädetään mahdollisuuksien mukaan suodattamaan jatkossa näitä viestejä. Häirintää tai uhkailua sisältävistä viesteistä on tehtävä aina ilmoitus omalle esimiehelle ja asiasta tehdään esimiehen kanssa selvityspyyntö käyttämällä intranetistä löytyvää tapahtumailmoituslomaketta (kts. etusivu ->lomakkeet -> muut lomakkeet -> Tapahtumaraportti väkivalta- ja vaaratilanteesta), jotta asia saadaan tutkintaan ja selvitetyksi.
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 7(12) 2.3 Perille menemättömät sähköpostiviestit 2.3.1 Väärään osoitteeseen lähetetty sähköpostiviesti Sähköpostiviestin lähettäjällä on vastuu viestin luettavuudesta ja perillemenosta, vastaukselle tms. asetettujen määräaikojen noudattamisesta ja näihin verrattavista seikoista. 2.3.2 Väärään osoitteeseen saapunut sähköpostiviesti Mikäli saapuvan sähköpostiviestin osoite ei ole järjestelmän tiedossa (esimerkiksi vastaanottajan palvelussuhde HUS:iin on päättynyt), viesti palautuu lähettäjälle virheilmoituksella varustettuna. Kun käyttäjä vastaanottaa itselleen kuulumattoman sähköpostiviestin, hänellä on viestin sisältöä ja olemassaoloa koskeva vaitiolovelvollisuus suhteessa kolmansiin osapuoliin. SAsiointiL 15 :n mukaan on viranomaiselle erehdyksessä toimitettu asian vireillepanoa tai muuta käsittelyä koskeva sähköinen asiakirja viipymättä siirrettävä sille viranomaiselle, jolle asiakirja on osoitettu. Siirrosta on ilmoitettava asiakirjan toimittaneelle. Siirretyssä asiassa määräaikaa katsotaan noudatetun, jos toimivaltainen viranomainen saa asiakirjan määräajan kuluessa. Ylipäätään on toiselle käyttäjälle tarkoitettu sähköpostiviesti ohjattava oikeaan osoitteeseen. Jos oikean vastaanottajan osoite ei ole viestin saaneen tiedossa tai tämän palvelussuhde on päättynyt, tulee viestin saajan palauttaa viesti lähettäjälle merkinnöin epäonnistuneesta toimituksesta. 2.4 Menettelysäännöt käyttäjän ollessa väliaikaisesti poissa työpaikalta 2.4.1 Virkavapaus tai työloma Käsitellessään alaisensa yli kolme (3) kuukautta kestävää virkavapaus- tai työlomahakemusta virkavapaudesta tai työlomasta päättävä esimies tekee samalla päätöksen siitä, suljetaanko käyttäjän sähköpostilaatikko ko. ajanjaksoksi. Jos käyttäjän virkavapaus tai työloma on lyhyempi, käyttäjän on tarvittaessa ohjattava viestinsä sijaisena toimivalle henkilölle. 2.4.2 Ennakoitu poissaolo Jos kysymys on ennakoidusta poissaolosta (kuten käyttäjän vuosilomasta, pitkään tiedossa olleesta sairauslomasta, käyttäjän osallistumisesta koulutukseen tms.), on käyttäjän ensisijaisesti ohjattava viestinsä sijaisena toimivalle henkilölle. Jos käyttäjällä ei ole sijaista, käyttäjä voi kytkeä sähköpostilaatikossaan päälle automaattisen poissaoloviestin, josta ilmenee poissaolon pituus. Turvallisuussyistä on suositeltavaa, ettei poissaoloviestissä mainita poissaoloa koskevia yksityiskohtaisia tietoja, joita saatetaan käyttää vääriin tarkoituksiin.
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 8(12) 2.4.3 Ennakoimaton poissaolo Mikäli käyttäjä on ennakoimattomasti poissa (esimerkiksi äkillinen sairastuminen) ja HUS:n tehtävien hoito on tällöin vaarassa vakavasti vaikeutua, saatetaan joutua tilanteeseen, jossa yksittäisen poissaolevan viranhaltijan tai työntekijän postilaatikkoon saapuneet sähköpostiviestit olisi tarpeellista avata ja ohjata tulossa olevat viestit hänen sijaiselleen. Tällöin on noudatettava mm. yksityisyyden suojasta työelämässä annetun lain (759/2004; TyöYksitL) 18 :ää: Työnantajan huolehtimisvelvollisuudet. Työnantajalla on oikeus hakea esille tai avata työnantajan työntekijän käyttöön osoittamaan sähköpostiosoitteeseen lähetettyjä tai työntekijän tällaisesta sähköpostiosoitteesta lähettämiä sähköpostiviestejä ainoastaan silloin, jos hän on suunnitellut ja järjestänyt työntekijälle tämän nimellä lähetettyjen ja tämän lähettämien sähköpostiviestien suojan toteuttamiseksi tarpeelliset toimenpiteet ja tässä tarkoituksessa erityisesti huolehtinut siitä, että: 1) työntekijä voi käytettävän sähköpostijärjestelmän automaattisen vastaustoiminnon avulla lähettää viestin lähettäjälle ilmoituksen poissaolostaan ja sen kestosta sekä tiedon henkilöstä, joka hoitaa poissa olevalle työntekijälle kuuluvia tehtäviä; tai 2) työntekijä voi ohjata viestit toiselle työnantajan tähän tehtävään hyväksymälle henkilölle tai toiseen omassa käytössään olevaan työnantajan hyväksymään osoitteeseen; taikka 3) työntekijä voi antaa suostumuksensa siihen, että työntekijän poissa ollessa tämän valitsema työnantajan tehtävään hyväksymä toinen henkilö voi ottaa vastaan työntekijälle lähetetyt viestit sen selvittämiseksi, onko työntekijälle lähetetty sellainen viesti, joka on selvästi tarkoitettu työnantajalle virka- tai työtehtävien hoitamiseksi ja josta työnantajan on toimintansa taikka virka- tai työtehtävien asianmukaisen järjestämisen vuoksi välttämätöntä saada tieto. Edellä 1 momentissa tarkoitettujen sähköpostiviestien esille hakemisen tai avaamisen edellytyksenä on lisäksi, mitä 19 ja 20 :ssä säädetään. Mainitut 19 ja 20 löytyvät Finlexistä: http://www.finlex.fi/fi/laki/ajantasa/2004/20040759 Viesteissä olevia tietoja käsittelevien henkilöiden vaitiolo- ja salassapitovelvollisuudesta säädetään TyöYksitL19 :n lopussa.
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 9(12) 2.5 Sähköpostin käyttöoikeuksien automaattinen poistaminen palvelussuhteen päättyessä Palvelussuhteen päättyessä sähköpostin käyttöoikeudet päättyvät automaattisesti eikä asiasta tarvitse erikseen ilmoittaa atk-apuun. Palvelussuhteen päätyttyä käyttäjän osoitteeseen saapuvat viestit palautuvat automaattisella virheilmoituksella varustettuna viestin lähettäjälle. Käyttäjän sähköpostiosoitetta ja sähköpostilaatikon sisältöä säilytetään 2 kuukautta palvelussuhteen päättymisestä, jonka jälkeen ne siirtyvät poistoprosessiin. Käyttäjän tulee poistaa sähköpostilaatikostaan henkilökohtaiset viestinsä ja ilmoittaa tarpeellisiksi katsomilleen tahoille sähköpostiosoitteensa sulkemisesta. 2.6 Sähköpostin käyttö ilman palvelussuhdetta Tietyissä tilanteissa on mahdollista ja tarpeellista myöntää HUS:n sähköpostin käyttöoikeus myös henkilölle, jolla ei ole palvelussuhdetta HUS:ssa. Sähköpostin käyttöoikeus voi olla perusteltua myöntää esim. tutkijalle, joka toimii HUS:n ulkopuolisessa organisaatiossa, mutta jolla on lyhytaikaisia keikkaluontoisia palvelussuhteita HUS:ssa. Tällöin automaattinen käyttöoikeuksien hallinta katkaisee sähköpostin käyttöoikeudet aina palvelussuhteen päättyessä. Näissä tilanteissa työntekijän esimies voi sopia poikkeusjärjestelystä ottamalla yhteyden atk-apuun. Esimies on tällöin myös vastuussa sähköpostiosoitteen käytöstä ja tunnuksen poistamisesta siinä vaiheessa, kun sähköpostin käyttöoikeudelle ei ole enää perusteita. Ilmoitus tunnuksen poistamisesta tehdään atk-apuun. 2.7 Viruksia koskevista toimintatavoista 2.7.1 Käyttäjän epäillessä vastaanottaneensa viruksen sisältävän sähköisen viestin HUS-Tietotekniikka liikelaitos tiedottaa tietokoneviruksia koskevista riskeistä intranetissa ja tilanteesta riippuen varoitukset kohdistetaan myös työyksikkötai käyttäjätasolle. Mikäli tietotekniikka julkaisee virusvaroituksen, tulee esimiesten välittää tieto liikkeellä olevasta viruksesta alaiselleen henkilöstölle. Jos käyttäjä saa tuntemattomalta lähettäjältä sähköpostiviestin, joka vaikuttaa epäilyttävältä lähettäjän osoitteen tai otsikon perusteella ja viesti sisältää liitetiedoston tai www-linkin, on syytä erityiseen varovaisuuteen. Viestiä ei saa välittää eteenpäin ja liitettä tai linkkiä ei saa avata. Viesti on välittömästi poistettava ja tuhottava poistettujen viestien kansiosta. Mikäli työasema tai sovellukset toimivat viestin poiston jälkeen normaalista poikkeavasti, on työasema irrotettava välittömästi tietoverkosta tai sammutettava ja otettava välittömästi yhteys atk-apuun. Ilmoitus tulee tehdä puhelinsoitolla. 2.7.2 Käyttäjän avattua viruksen sisältävän sähköpostiviestin Työaseman käyttö on välittömästi lopetettava ja otettava yhteys atk-apuun ja toimittava atk-avun ohjeiden mukaisesti.
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 10(12) Ilmoitus tulee tehdä puhelinsoitolla. Viruksen sisältävää viestiä ei saa lähettää edelleen! 2.8 Väärinkäytöstapaukset HUS:n oikeuksista epäiltäessä mm. viestintäverkon tai viestintäpalvelun luvatonta käyttöä ks. sähköisen viestinnän tietosuojalain 13 a 13 k : http://www.finlex.fi/fi/laki/ajantasa/2004/20040516 Mikäli on perusteltua syytä epäillä käyttäjän syyllistyneen rikolliseen toimintaan, tulosalueen tai liikelaitoksen johtaja päättää tutkintapyynnön tekemisestä poliisille. HUS:n työvälineiden tai sähköpostiosoitteen käyttö muiden työnantajien töihin tai omien sivuansioiden hankkimiseen on kiellettyä. 3 INTERNETIN KÄYTTÖ- JA TURVALLISUUSOHJEET Internetin käyttöoikeus on tarkoitettu ensisijaisesti virka- ja työtehtävien hoitamiseen. Internetin käyttö kiireellisiin henkilökohtaisiin tarkoituksiin, kuten pankkiasioiden hoitoon, on sallittua, mikäli käyttö ei haittaa työ- ja virkatehtävien hoitamista. Sama koskee ns. sosiaalisen median (esim. Facebook, IRC-Galleria, MySpace, blogit, keskustelupalstat yms.) käyttämistä HUS:n työasemalla. Käyttö henkilökohtaisiin tarkoituksiin ei saa haitata normaalien virka- ja työtyötehtävien hoitoa eikä muun henkilökunnan työntekoa. Potilastyöstä kirjoittamiseen on suhtauduttava erityisellä varovaisuudella. Sosiaalisessa mediassa kerrottu työpaikkatieto yhdistettynä kuvaukseen työpäivästä saattaa johtaa potilastiedon tai muun salassa pidettävän tiedon paljastumiseen. Potilaista ei saa kirjoittaa esim. blogiin mitään sellaisia seikkoja, jotka antavat mahdollisuuden potilaan tunnistamiseen internetissä ja voivat siten vaarantaa potilassuhteen tai potilastietojen salassapidon. Sosiaalisessa mediassa ei saa käyttää käyttäjätunnuksena HUS:n sähköpostiosoitetta eikä salasanana HUS:n tietoverkon tai tietojärjestelmien salasanaa tai salasanoja. Mikäli HUS:n tunnuksia tai salasanoja on käytetty sosiaalisessa mediassa yksityisessä tarkoituksessa, on ne välittömästi vaihdettava. Internetin ja sähköpostin käyttö muulla kuin vakioidulla HUS:n työasemalla on kiellettyä ilman erillistä lupamenettelyä, joka harkitaan järjestelmä- ja/tai laitekohtaisesti. Lupa vakioimattomien työasemien internet- ja sähköpostikäyttöön haetaan tietoturvapäälliköltä. Virusriskin vuoksi internetistä ei saa ladata HUS:n työasemalle maksullisia ja/tai ilmaisia ohjelmia. Käyttäjä saa ilmoittaa HUS:n sähköpostiosoitteensa internet-sivustoilla vain, jos se liittyy työ- tai virkatehtävien hoitoon (esim. viranomaisten www-sivut, joiden kautta hoidetaan työtehtäviä). Muutoin käyttäjän tulee harkita tilanne tarkkaan, sillä riskinä on, että osoite liitetään roskapostilistoille. Jos inter-
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 11(12) net-palvelussa vaaditaan käyttäjätunnus ja/tai salasana, ei tunnuksena tai salasanana saa käyttää käyttäjän henkilökohtaista HUS:n tietoverkon tai tietojärjestelmien käyttäjätunnusta tai salasanaa. 4 TYÖNANTAJAN VASTUUT, VALVONTAOIKEUDET SEKÄ TIEDONKERUU- JA SÄILYTTÄMISOIKEUDET 4.1 Työnantajan vastuut ja velvollisuudet HUS-kuntayhtymä on velvollinen ylläpitämään tietojärjestelmiensä kuntoa sekä huolehtimaan omalta osaltaan tietoturvan toteutumisesta sekä henkilöstön kouluttamisesta. Esimies vastaa tietojärjestelmien käyttöoikeuksien myöntämisestä, järjestelmien ja tietoteknisten palveluiden käytön valvonnasta sekä tietojärjestelmiin liittyvän koulutuksen järjestämisestä. Tietojärjestelmien vastuuhenkilöt vastaavat käytettävien järjestelmien laillisuudesta. Esimiehen tulee huolehtia, että hänen alaisensa sitoutuvat noudattamaan työnantajan antamia teknisiä ja toiminnan kannalta välttämättömiä ohjeita tietoturvan ja -suojan takaamiseksi (salassapito- ja tietosuojasitoumus ohjeen liitteenä). 4.2 Työnantajan oikeus tunnistamistietojen käsittelyyn Työnantajan (yhteisötilaajan) oikeutta käsitellä tunnistamistietoja ja selvittää viestintäverkon luvatonta käyttöä säännellään mm. sähköisen viestinnän tietosuojalain 3 luvussa (linkki Finlexiin: http://www.finlex.fi/fi/laki/ajantasa/2004/20040516) Tunnistamistietojen selvittäminen on sallittua vain sähköisen viestinnän tietosuojalain 13 a :ssä mainituissa tilanteissa, jotka koskevat esim. viestintäverkon luvatonta käyttöä tai yrityssalaisuuksien paljastamista. Harkittaessa tunnistamistietojen selvittämistä on aina otettava ensin yhteyttä HUS:n hallintolakimiehiin. 5 Kumottavat ohjeet Tällä pysyväisohjeella kumotaan ohjekirje 15/2003 Sähköisten viestintävälineiden käytön periaatteet sekä etätyön tekninen toteutus ja turvallisuusohjeet. Lisäksi tällä ohjeella kumotaan Potilasrekisterin tietosuojaohjeen (pysyväisohje 7/2009) lukujen 2.3.5 ja 3.1 ne kohdat, jotka koskevat potilastietojen lähettämistä sähköpostilla. 6 Lisätiedot
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 12(12) lainsäädännön soveltaminen: hallintolakimies Aarre Tähti, puh. 09 47171224 tietoturva- ja tietosuoja: arkistotoimen päällikkö Petri Hämäläinen, puh. 09 47173936 tietotekniikkaan ja tekniseen tietoturvaan liittyvät kysymykset: atk-apu, puh. (09) 471 76000 7 Sovelletut oikeusohjeet Hallintolaki 6.6.2003/434 Henkilötietolaki 22.4.1999/523 Laki yksityisyyden suojasta työelämässä 13.8.2004/759 Sähköisen viestinnän tietosuojalaki 16.6.2004/516 Laki sähköisestä asioinnista viranomaistoiminnassa 24.1.2003/13 8 Voimaantulo Tämä pysyväisohje tulee voimaan X.X.2010. Aki Lindén toimitusjohtaja Ilkka Kauppinen hallintojohtaja LIITE Käyttäjä- ja salassapitositoumus