HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 1(13) SÄHKÖISTEN VIESTINTÄVÄLINEIDEN KÄYTÖN PERIAATTEET SEKÄ ETÄTYÖN TEKNINEN TOTEUTUS JA TURVALLISUUSOHJEET 1 OHJEEN TAUSTA Tässä ohjeessa käsitellään sähköpostin ja internetin käytön periaatteita työnantajan ja työntekijän tai viranhaltijan välisen suhteen sekä tietoturva- ja tietosuojanäkökulmista. Ohjeet koskevat jokaista HUS:n työntekijää ja viranhaltijaa, ja jokainen HUS:iin palvelussuhteessa oleva on myös vastuussa ohjeiden noudattamisesta. Ohjeessa käsitellään myös etätyötä koskevia määräyksiä tietoteknisten ja tietoturvallisuuteen liittyvien seikkojen näkökulmasta. Etätyön järjestämisen osalta noudatetaan muutoin ohjekirjeen 3/2002 määräyksiä. Esimies käy läpi uusien työntekijöiden ja viranhaltijoiden kanssa liitteenä 1 olevan sitoumuksen osana perehdyttämistä ja sitoumus allekirjoitetaan työsopimuksen tai virkamääräyksen yhteydessä. Ohjeen tarkoituksena ei ole tarpeettomasti tai perusteettomasti rajoittaa sähköisten viestintävälineiden käyttöä. Työnantajan työntekijälle tai viranhaltijalle antamat työvälineet on kuitenkin tarkoitettu ensisijaisesti työ- tai virkatehtävien hoitamiseen. HUS:n tarjoamaa sähköpostiosoitetta ei suositella käytettäväksi henkilökohtaisiin tarkoituksiin, mutta se on vähäisessä määrin sallittua. Sähköpostin käyttö henkilökohtaisiin tarkoituksiin ei saa häiritä työ- tai virkatehtävien hoitamista. Internetin käyttö henkilökohtaisiin tarkoituksiin, kuten pankkiasioiden hoitoon, on vähäisessä määrin sallittua. Internetin käyttö henkilökohtaisiin tarkoituksiin ei saa haitata normaalien työ- tai virkatehtävien hoitoa.. 2 SÄHKÖPOSTIN KÄSITTELY- JA TURVALLISUUSOHJEET 2.1 Sähköpostiviestien luokittelu Sähköisestä asioinnista viranomaistoiminnassa annetun lain (13/2003; SAsiointiL) 4 :ssä on seuraavat määritelmät: 1) sähköisellä tiedonsiirtomenetelmällä tarkoitetaan telekopiota ja telepalvelua, kuten sähköistä lomaketta, sähköpostia tai käyttöoikeutta sähköiseen tietojärjestelmään, sekä muuta sähköiseen tekniikkaan perustuvaa menetelmää, jossa tieto välittyy langatonta siirtotietä tai kaapelia pitkin; ei kuitenkaan puhelua; 2) sähköisellä viestillä tarkoitetaan sähköisellä tiedonsiirtomenetelmällä lähetettyä tarvittaessa kirjalliseen muotoon tallennettavissa olevaa informaatiota; ja
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 2(13) 3) sähköisellä asiakirjalla tarkoitetaan sähköistä viestiä, joka liittyy asian vireillepanoon, käsittelyyn tai päätöksen tiedoksiantoon. Tässä pysyväisohjeessa noudatetaan edellä esitettyjä määritelmiä. Sähköisistä viesteistä käsitellään eräin poikkeuksin kuitenkin ainoastaan sähköpostitse lähetettäviä asiakirjoja ja muita viestejä. Näin ollen esimerkiksi käsitteellä sähköinen viesti tarkoitetaan jäljempänä yksinomaan sähköpostiviestiä, ellei asiayhteydestä muuta ilmene. Sähköpostitse lähetettävät viestit luokitellaan viestin tarkoituksen perusteella seuraavasti: Organisaation sähköpostiviesti Organisaation sähköpostiviestillä tarkoitetaan HUS-kuntayhtymän tai toimintayksikön yleisosoitteeseen lähetettä viestiä, joka edellyttää viranomaistoimenpiteitä tai organisaation muuta reagointia (esim. keskuskirjaamo@hus.fi) Virkasähköpostiviesti Virkasähköpostiviesti on HUS:ssa työskentelevälle käyttäjälle työkäyttöön annettuun sähköpostiosoitteeseen (etunimi.sukunimi@hus.fi) lähetetty viesti, joka liittyy käyttäjän tehtävän tai viran hoitoon. Henkilökohtainen sähköpostiviesti Henkilökohtaisella sähköpostiviestillä tarkoitetaan HUS:n käyttäjän työ- tai virkatehtäviä varten antamaan sähköpostiosoitteeseen lähetettyjä henkilökohtaisia sähköpostiviestejä. Yksityinen sähköpostiviesti Yksityinen sähköpostiviesti on käyttäjän omaan yksityis-käyttöönsä hankkimaan sähköpostiosoitteeseen lähetetty sähköpostiviesti (esim. osoitteeseen etunimi.sukunimi@hotmail.com saapuneet sähköpostiviestit). 2.2 Sähköpostiviestien käsittely 2.2.1 Yleistä Sähköpostitse saa lähettää ainoastaan julkisia tietoja ja julkisia asiakirjoja. Potilaskertomustietoja tai muita salassa pidettäviä tietoja ei saa lähettää sähköpostitse potilaan suostumuksellakaan, koska viestit lähetetään julkista verkkoa myöten ja viestien salassapitoon tai vastaanottajan varmentamiseen tarkoitettuja menetelmiä ei toistaiseksi ole käytössä. Potilaalle voidaan lähettää sähköpostilla tai tekstiviestinä lähinnä ajanvaraus- tai jonotietoja tai esim. soittopyyntö, mikäli potilas pyytää näitä tietoja sähköpostilla tai tekstiviestillä ilmoittamaan.
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 3(13) Sähköpostitse tulleisiin tiedusteluihin, jotka koskevat salassa pidettäviä tai luottamuksellisia tietoja, vastataan kirjeitse. Tällöin sähköpostin lähettäjälle lähetetään vastausviesti, jossa kerrotaan, että viesti on vastaanotettu, mutta että tietosuojasyistä tiedusteluun vastataan sähköpostin sijasta kirjeitse. SAsiointiL 12 :n mukaan viranomaisen on viipymättä ilmoitettava sähköisen asiakirjan vastaanottamisesta lähettäjälle. Ilmoitus voidaan toimittaa tietojärjestelmän välityksellä automaattisena kuittauksena tai muutoin. Vastaanottamisesta ilmoittaminen ei vaikuta asian käsittelyn edellytyksiin, joista säädetään erikseen. Vastaanottoilmoitusvelvollisuus ei kuitenkaan koske telekopiona tai vastaavalla tavalla saapunutta asiakirjaa. Jos saapunut sähköpostiviesti sisältää kuittauspyynnön, tulee käyttäjän viipymättä lähettää kuittausviesti. Muutoinkin organisaation sähköpostiviestit sekä virkasähköpostit on käsiteltävä mahdollisimman nopeasti. Sähköpostiviestien automaattinen edelleen ohjaus HUS:n ulkopuoliseen sähköpostiosoitteeseen on ehdottomasti kiellettyä. Syynä tähän ovat edelleen lähettämiseen liittyvät tietosuojariskit, kuten potilastietojen joutuminen vääriin käsiin. Käyttäjän tulee aktiivisesti tyhjentää sähköpostilaatikkoaan. Tarpeettomat viestit tulee poistaa sähköpostilaatikosta. Merkittävät lähetetyt tai vastaanotetut käyttäjän virka- tai työtehtäviin liittyvät sähköpostiviestit liitetään sähköisesti säilytettäväksi asiankäsittelyjärjestelmään (Dynasty) joko käyttäjän itsensä toimesta tai lähettämällä sähköistä säilytystä edellyttävä sähköpostiviesti tai asiakirja HUS:n keskuskirjaamoon, tulosalueen kirjaamoon tai yksikön dynasty-vastuuhenkilölle. 2.2.2 Organisaation sähköposti Viranomaiselle toimitettu sähköinen asiakirja täyttää virallisen asiakirjan tunnusmerkistön. Sähköistä asiakirjaa ei tarvitse täydentää allekirjoituksella, jos asiakirja sisältää tiedot lähettäjästä eikä asiakirjan alkuperäisyyttä tai eheyttä ole syytä epäillä. HUS-kuntayhtymälle viranomaisena tarkoitetut sähköpostiviestit tulee ensisijaisesti ohjata organisaation sähköpostiosoitteisiin (esim. kirjaamojen ja liikelaitosten sähköpostiosoitteet). Organisaation sähköpostiosoitteeseen tai virkasähköpostiosoitteeseen saapunut viesti kirjataan pysyväisohjeen 5/2010 mukaisesti (Asiakirjahallinnon toimintaohje ja opas), minkä jälkeen viesti ohjataan sähköisesti asiaa hoitavalle viranhaltijalle tai työntekijälle. Viranhaltijan tai työntekijän lähettämästä vastauksesta on käytävä ilmi, että se on vastaus HUS:n yleiseen sähköpostiosoitteeseen tulleeseen viestiin. Vastauksessa on ilmoitettava myös paluuosoite siten, että yhteydenotot jatkossakin tapahtuvat ko. sähköpostiosoitteeseen. Myös sähköpostiviestinnässä on noudatettava mm. lakia viranomaisten toiminnan julkisuudesta (621/1999; julkisuuslaki).
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 4(13) 2.2.3 Virkasähköposti Virkasähköpostiosoitteeseen tulleita viestejä tulee pääsääntöisesti kohdella vastaanottajalle osoitettuina virka- tai työtehtäviin liittyvinä asiakirjoina tai muina sähköisinä viesteinä. Niitä on käsiteltävä mm. julkisuuslain ja hallintolain edellyttämällä tavalla. Virkasähköpostin yksiselitteinen määritteleminen on vaikeata, mutta virkasähköpostiksi voidaan katsoa viesti, joka liittyy työ- tai virkatehtävien hoitamiseen, saattaa esim. hallintoasian vireille, edellyttää lausunnon antamista HUS-kuntayhtymän nimissä, käynnistää päätöksen valmistelun ja päätöksen tekemisen. Kaikki kirjattavat asiakirjat ja niihin liittyvät sähköpostiviestit on liitettävä asiankäsittelyjärjestelmään joko asian valmistelijan toimesta tai lähettämällä viestit ja tiedostot keskuskirjaamon, muuhun kirjaamoon tai kirjaamistehtäviä suorittavan asiakirjahallinnon vastuuhenkilön sähköpostiosoitteeseen. Kirjaamisesta ja asiakirjojen sähköisestä käsittelystä on annettu tarkempia ohjeita pysyväisohjeessa 5/2010, liite 2 Asiakirjahallinnon opas. SAsiointiL 13.2 :n mukaan on kirjaus- tai muista vastaavista merkinnöistä käytävä ilmi sähköisen asiakirjan saapumisajankohta sekä merkinnät asiakirjan eheyden ja alkuperäisyyden toteamisesta. Käyttäjän on huolehdittava merkittävien virkasähköpostiosoitteeseen saapuneiden ja virkasähköpostiosoitteesta lähetettyjen viestien arkistoinnista liittämällä asiakirjat asiankäsittelyjärjestelmään tai toimittamalla ne sähköisesti tai paperimuodossa oman tulosalueensa tai liikelaitoksensa kirjaamoon tai kirjaamistehtäviä tekevälle asiakirjahallinnon vastuuhenkilölle. Omaa sähköpostilaatikkoa ei saa käyttää arkistona. 2.2.4 Henkilökohtainen sähköposti Työnantaja antaa käyttäjälle sähköpostiosoitteen työ- tai virkakäyttöä varten. HUS:n sähköpostiosoitteen käyttö henkilökohtaisiin tarkoituksiin ei ole suositeltavaa, vaan työntekijän odotetaan tarvittaessa hankkivan yksityisen sähköpostiosoitteen ulkopuoliselta palveluntarjoajalta. Sähköpostin käyttö henkilökohtaisiin tarkoituksiin ei saa häiritä työ- tai virkatehtävien hoitamista. Henkilökohtaiset sähköiset viestit on suositeltavaa poistaa HUS:n sähköpostilaatikosta heti niiden lukemisen jälkeen. Sähköpostin käyttö kaupalliseen, uskonnolliseen tai poliittiseen tarkoitukseen sekä ketjukirjeiden taikka epäsiveellisen, rasistisen tai muutoin sopimattoman aineiston levittäminen on kiellettyä.
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 5(13) 2.2.5 Yksityinen sähköposti Kaikki muut sähköpostiosoitteet paitsi HUS:n työkäyttöön antamat sähköpostiosoitteet ovat tämän ohjeen kannalta yksityisiä sähköpostiosoitteita, riippumatta siitä, ovatko ne henkilökohtaiseen käyttöön vai jonkin toisen organisaation työkäyttöön myöntämiä. Yksityistä sähköpostiosoitetta ei saa käyttää työ- tai virkatehtävien hoitoon. Yksityisen sähköpostin käyttö ei saa haitata työ- tai virkatehtävien hoitoa. Yksityisen sähköpostiosoitteen salasanana ei saa käyttää HUS:n järjestelmissä käytettyä salasanaa. Yksityissähköpostin käytön mahdollisesti vaatimia lisäosia tai lisäohjelmia ei saa asentaa HUS:n työasemiin. HUS varaa oikeuden tarvittaessa sulkea pääsyn omasta verkostaan ulkopuolisen palveluntarjoajan tarjoamaan sähköpostipalveluun. Atk-apu ei anna käyttäjätukea yksityisen sähköpostin käyttöön. Yksityiseksi sähköpostiosoitteeksi ei lueta Helsingin yliopiston työkäyttöön myöntämää sähköpostiosoitetta yliopiston erikoisasemasta johtuen. HUS Tietotekniikka-liikelaitos ei ylläpidä Helsingin yliopiston sähköpostia eikä anna sen käyttöön tukea. 2.2.6 Sähköposteja ja liitetiedostoja koskevat rajoitukset HUS:lla on oikeus asettaa käyttäjälle mm. tietoturvallisuuden vuoksi sähköpostilaatikon, sähköisten viestien ja liitetiedostojen kokoon liittyviä rajoituksia. HUS-Tietotekniikka liikelaitos tiedottaa intrassa keskeisistä sähköpostin käyttöä koskevista säännöistä. HUS:n käyttämä järjestelmä tarkistaa saapuvat sähköpostiviestit sekä niiden liitetiedostot automaattisesti mahdollisten haittaohjelmien ja virusten varalta sekä poistaa niitä sisältävät liitetiedostot. Liitetiedostoja lähettäessä on suositeltavaa käyttää.txt-,.rtf- tai.pdf-tiedostomuotoja. HUS:n keskitetyssä sähköpostipalvelussa poistetaan viesteistä automaattisesti tiedostot, joita ei ole turvallista vastaanottaa ominaisuuksiensa tai tiedostotyypin perusteella. Poistosta ilmoitetaan vastaanottajalle. HUS-Tietotekniikka liikelaitos tiedottaa intrassa tietokoneviruksista tai muista työaseman käyttöä koskevista uhkista sekä tarvittavista toimenpiteistä. Laajojen varmuuden vuoksi -lähetyslistojen käyttöä tulisi välttää, koska turha tiedotus muuttuu helposti roskapostin luonteiseksi. 2.2.7 Roskaposti Roskapostilla tarkoitetaan tässä pysyväisohjeessa erilaisia häiritseviä sähköisiä viestejä, joita vastaanottaja ei halua. Usein kysymys on mainospostista.
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 6(13) HUS pyrkii pienentämään roskapostiongelmaa teknisin menetelmin estämällä tuollaisen postin saapumisen käyttäjien sähköpostilaatikoihin. Kaikkea roskapostia ei kuitenkaan kyetä teknisin menetelmin siivilöimään. Käyttäjän tulee toimia seuraavalla tavalla vastaanottaessaan roskapostia: Roskapostiin ei vastata. Jos käyttäjä vastaa roskapostiin, hänen sähköpostiosoitteensa kirjautuu roskapostilistalle, jolloin roskapostia tulee moninkertaisesti enemmän. Roskaposti on tuhottava (poistettava ja tyhjennettävä sähköpostin poistetut-kansio). Jos käyttäjä vastaanottaa jatkuvasti runsaasti roskapostia samasta sähköpostiosoitteesta, hänen tulee ilmoittaa asiasta atk-apuun. Tällöin HUS:n keskitettyä roskapostien suodatusjärjestelmää säädetään mahdollisuuksien mukaan suodattamaan jatkossa näitä viestejä. Häirintää tai uhkailua sisältävistä viesteistä on tehtävä aina ilmoitus omalle esimiehelle ja asiasta tehdään esimiehen kanssa selvityspyyntö käyttämällä intranetistä löytyvää tapahtumailmoituslomaketta (kts. etusivu ->lomakkeet -> muut lomakkeet -> Tapahtumaraportti väkivalta- ja vaaratilanteesta), jotta asia saadaan tutkintaan ja selvitetyksi. 2.3 Perille menemättömät sähköpostiviestit 2.3.1 Väärään osoitteeseen lähetetty sähköpostiviesti Sähköpostiviestin lähettäjällä on vastuu viestin luettavuudesta ja perillemenosta, vastaukselle tms. asetettujen määräaikojen noudattamisesta ja näihin verrattavista seikoista. 2.3.2 Väärään osoitteeseen saapunut sähköpostiviesti Mikäli saapuvan sähköpostiviestin osoite ei ole järjestelmän tiedossa (esimerkiksi vastaanottajan palvelussuhde HUS:iin on päättynyt), viesti palautuu lähettäjälle virheilmoituksella varustettuna. Kun käyttäjä vastaanottaa itselleen kuulumattoman sähköpostiviestin, hänellä on viestin sisältöä ja olemassaoloa koskeva vaitiolovelvollisuus suhteessa kolmansiin osapuoliin. SAsiointiL 15 :n mukaan on viranomaiselle erehdyksessä toimitettu asian vireillepanoa tai muuta käsittelyä koskeva sähköinen asiakirja viipymättä siirrettävä sille viranomaiselle, jolle asiakirja on osoitettu. Siirrosta on ilmoitettava asiakirjan toimittaneelle. Siirretyssä asiassa määräaikaa katsotaan noudatetun, jos toimivaltainen viranomainen saa asiakirjan määräajan kuluessa.
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 7(13) Ylipäätään on toiselle käyttäjälle tarkoitettu sähköpostiviesti ohjattava oikeaan osoitteeseen. Jos oikean vastaanottajan osoite ei ole viestin saaneen tiedossa tai tämän palvelussuhde on päättynyt, tulee viestin saajan palauttaa viesti lähettäjälle merkinnöin epäonnistuneesta toimituksesta. 2.4 Menettelysäännöt käyttäjän ollessa väliaikaisesti poissa työpaikalta 2.4.1 Virkavapaus tai työloma Käsitellessään alaisensa yli kolme (3) kuukautta kestävää virkavapaustai työlomahakemusta virkavapaudesta tai työlomasta päättävä esimies tekee samalla päätöksen siitä, suljetaanko käyttäjän sähköpostilaatikko ko. ajanjaksoksi. Jos käyttäjän virkavapaus tai työloma on lyhyempi, käyttäjän on tarvittaessa ohjattava viestinsä sijaisena toimivalle henkilölle. 2.4.2 Ennakoitu poissaolo Milloin kysymys on ennakoidusta poissaolosta (kuten käyttäjän vuosilomasta, pitkään tiedossa olleesta sairauslomasta, käyttäjän osallistumisesta koulutukseen tms.), on käyttäjän ensisijaisesti ohjattava viestinsä sijaisena toimivalle henkilölle. Jos käyttäjällä ei ole sijaista, käyttäjä voi kytkeä sähköpostilaatikossaan päälle automaattisen poissaoloviestin, josta ilmenee poissaolon pituus. Turvallisuussyistä on suositeltavaa, ettei poissaoloviestissä mainita poissaoloa koskevia yksityiskohtaisia tietoja, joita saatetaan käyttää vääriin tarkoituksiin. 2.4.3 Ennakoimaton poissaolo Mikäli käyttäjä on ennakoimattomasti poissa (esimerkiksi äkillinen sairastuminen) ja HUS:n tehtävien hoito on tällöin vaarassa vakavasti vaikeutua, saatetaan joutua tilanteeseen, jossa yksittäisen poissaolevan viranhaltijan tai työntekijän postilaatikkoon saapuneet sähköpostiviestit olisi tarpeellista avata ja ohjata tulossa olevat viestit hänen sijaiselleen. Tällöin on noudatettava mm. yksityisyyden suojasta työelämässä annetun lain (759/2004; TyöYksitL) 18 :ää: Työnantajan huolehtimisvelvollisuudet. Työnantajalla on oikeus hakea esille tai avata työnantajan työntekijän käyttöön osoittamaan sähköpostiosoitteeseen lähetettyjä tai työntekijän tällaisesta sähköpostiosoitteesta lähettämiä sähköpostiviestejä ainoastaan silloin, jos hän on suunnitellut ja järjestänyt työntekijälle tämän nimellä lähetettyjen ja tämän lähettämien sähköpostiviestien suojan toteuttamiseksi tarpeelliset toimenpiteet ja tässä tarkoituksessa erityisesti huolehtinut siitä, että: 1) työntekijä voi käytettävän sähköpostijärjestelmän automaattisen vastaustoiminnon avulla lähettää viestin lähettäjälle ilmoituksen poissaolostaan ja sen kestosta sekä tie-
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 8(13) don henkilöstä, joka hoitaa poissa olevalle työntekijälle kuuluvia tehtäviä; tai 2) työntekijä voi ohjata viestit toiselle työnantajan tähän tehtävään hyväksymälle henkilölle tai toiseen omassa käytössään olevaan työnantajan hyväksymään osoitteeseen; taikka 3) työntekijä voi antaa suostumuksensa siihen, että työntekijän poissa ollessa tämän valitsema työnantajan tehtävään hyväksymä toinen henkilö voi ottaa vastaan työntekijälle lähetetyt viestit sen selvittämiseksi, onko työntekijälle lähetetty sellainen viesti, joka on selvästi tarkoitettu työnantajalle virka- tai työtehtävien hoitamiseksi ja josta työnantajan on toimintansa taikka virka- tai työtehtävien asianmukaisen järjestämisen vuoksi välttämätöntä saada tieto. Edellä 1 momentissa tarkoitettujen sähköpostiviestien esille hakemisen tai avaamisen edellytyksenä on lisäksi, mitä 19 ja 20 :ssä säädetään. Mainitut 19 ja 20 löytyvät Finlexistä: http://www.finlex.fi/fi/laki/ajantasa/2004/20040759 Viesteissä olevia tietoja käsittelevien henkilöiden vaitiolo- ja salassapitovelvollisuudesta säädetään TyöYksitL19 :n lopussa. 2.5 Menettelysäännöt palvelussuhteen päättyessä Palvelussuhteen päättyessä sähköpostin käyttöoikeudet päättyvät. Sähköpostiosoite suljetaan esimiehen ilmoitettua asiasta atk-apuun, joka passivoi käyttäjätunnuksen. Tämän jälkeen käyttäjän osoitteeseen saapuvat viestit palautuvat automaattisella virheilmoituksella varustettuna viestin lähettäjälle. Käyttäjän tulee poistaa sähköpostilaatikostaan henkilökohtaiset viestinsä ja ilmoittaa tarpeellisiksi katsomilleen tahoille sähköpostiosoitteensa sulkemisesta. 2.6 Viruksia koskevista toimintatavoista 2.6.1 Käyttäjän epäillessä vastaanottaneensa viruksen sisältävän sähköisen viestin HUS-Tietotekniikka liikelaitos tiedottaa tietokoneviruksia koskevista riskeistä intranetissa ja tilanteesta riippuen varoitukset kohdistetaan myös työyksikkö- tai käyttäjätasolle. Mikäli tietotekniikka julkaisee virusvaroituksen, tulee esimiesten välittää tieto liikkeellä olevasta viruksesta alaiselleen henkilöstölle. Jos käyttäjä saa tuntemattomalta lähettäjältä sähköpostiviestin, joka vaikuttaa epäilyttävältä lähettäjän osoitteen tai otsikon perusteella ja viesti sisältää liitetiedoston tai www-linkin, on syytä erityiseen varovaisuuteen.
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 9(13) Viestiä ei saa välittää eteenpäin ja liitettä tai linkkiä ei saa avata. Viesti on välittömästi poistettava ja tuhottava poistettujen viestien kansiosta. Mikäli työasema tai sovellukset toimivat viestin poiston jälkeen normaalista poikkeavasti, on työasema irrotettava välittömästi tietoverkosta tai sammutettava ja otettava välittömästi yhteys atk-apuun. Ilmoitus tulee tehdä puhelinsoitolla. 2.6.2 Käyttäjän avattua viruksen sisältävän sähköpostiviestin Työaseman käyttö on välittömästi lopetettava ja otettava yhteys atk-apuun ja toimittava atk-avun ohjeiden mukaisesti. Ilmoitus tulee tehdä puhelinsoitolla. Viruksen sisältävää viestiä ei saa lähettää edelleen! 2.7 Väärinkäytöstapaukset HUS:n oikeuksista epäiltäessä mm. viestintäverkon tai viestintäpalvelun luvatonta käyttöä ks. sähköisen viestinnän tietosuojalain 13 a 13 k : http://www.finlex.fi/fi/laki/ajantasa/2004/20040516 Mikäli on perusteltua syytä epäillä käyttäjän syyllistyneen rikolliseen toimintaan, tulosalueen tai liikelaitoksen johtaja päättää tutkintapyynnön tekemisestä poliisille. HUS:n työvälineiden tai sähköpostiosoitteen käyttö muiden työnantajien töihin tai omien sivuansioiden hankkimiseen on kiellettyä. 3 INTERNETIN KÄYTTÖ- JA TURVALLISUUSOHJEET Internetin käyttöoikeus on tarkoitettu ensisijaisesti virka- ja työtehtävien hoitamiseen. Internetin käyttö henkilökohtaisiin tarkoituksiin, kuten pankkiasioiden hoitoon, on sallittua, mikäli käyttö ei haittaa työ- ja virkatehtävien hoitamista. Sama koskee ns. sosiaalisen median (esim. Facebook, IRC-Galleria, MySpace, blogit, keskustelupalstat yms.) käyttämistä HUS:n työasemalla. Käyttö henkilökohtaisiin tarkoituksiin ei saa haitata normaalien virka- ja työtyötehtävien hoitoa eikä muun henkilökunnan työntekoa. Potilastyöstä kirjoittamiseen on suhtauduttava erityisellä varovaisuudella. Sosiaalisessa mediassa kerrottu työpaikkatieto yhdistettynä kuvaukseen työpäivästä saattaa johtaa potilastiedon tai muun salassa pidettävän tiedon paljastumiseen. Potilaista ei saa kirjoittaa esim. blogiin mitään sellaisia seikkoja, jotka antavat mahdollisuuden potilaan tunnistamiseen internetissä ja voivat siten vaarantaa potilassuhteen tai potilastietojen salassapidon. Internetin ja sähköpostin käyttö muulla kuin vakioidulla HUS:n työasemalla on kiellettyä.
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 10(13) Virusriskin vuoksi internetistä ei saa ladata HUS:n työasemalle maksullisia ja/tai ilmaisia ohjelmia. Käyttäjä saa ilmoittaa HUS:n sähköpostiosoitteensa internet-sivustoilla vain, jos se liittyy työ- tai virkatehtävien hoitoon. Tällöinkin käyttäjän tulee harkita tilanne tarkkaan, sillä riskinä on, että osoite liitetään roskapostilistoille. Jos internet-palvelussa vaaditaan salasana, ei salasanana saa käyttää käyttäjän henkilökohtaista HUS:n tietoverkon tai tietojärjestelmien salasanaa. 4 TYÖNANTAJAN VASTUUT, VALVONTAOIKEUDET SEKÄ TIEDONKERUU- JA SÄILYTTÄMISOIKEUDET 4.1 Työnantajan vastuut ja velvollisuudet HUS-kuntayhtymä on velvollinen ylläpitämään tietojärjestelmiensä kuntoa sekä huolehtimaan omalta osaltaan tietoturvan toteutumisesta sekä henkilöstön kouluttamisesta. Esimies vastaa tietojärjestelmien käyttöoikeuksien myöntämisestä, järjestelmien ja tietoteknisten palveluiden käytön valvonnasta sekä tietojärjestelmiin liittyvän koulutuksen järjestämisestä. Tietojärjestelmien vastuuhenkilöt vastaavat käytettävien järjestelmien laillisuudesta. Esimiehen tulee huolehtia, että hänen alaisensa sitoutuvat noudattamaan työnantajan antamia teknisiä ja toiminnan kannalta välttämättömiä ohjeita tietoturvan ja -suojan takaamiseksi (salassapito- ja tietosuojasitoumus ohjeen liitteenä). 4.2 Työnantajan oikeus tunnistamistietojen käsittelyyn Työnantajan (yhteisötilaajan) oikeutta käsitellä tunnistamistietoja ja selvittää viestintäverkon luvatonta käyttöä säännellään mm. sähköisen viestinnän tietosuojalain 3 luvussa (linkki Finlexiin: http://www.finlex.fi/fi/laki/ajantasa/2004/20040516) 5 ETÄTYÖN TEKNINEN TOTEUTUS JA TURVALLISUUSOHJEET 5.1 Käsitemäärittelyjä ja etätyön toteuttaminen Etätyösopimuksen solmimisesta esimiehen kanssa on annettu ohjekirje 3/2002. Kyseisen ohjeen mukaisesti etätyöllä tarkoitetaan työtä, joka tehdään joko osittain tai kokonaan perinteisten työaikojen tai -paikkojen ulkopuolella, esimerkiksi kotona, liikkuvassa työssä tai erityisessä etätoimistossa. Yleisin etätyön suorituspaikka on viranhaltijan tai työntekijän koti. Satunnaisesti työpaikan ulkopuolella tehtävä työ ei ole ohjekirjeessä tarkoitettua etätyötä. Tässä pysyväisohjeessa käsitellään esimiehen kanssa tehtävän sopimuksen nojalla tapahtuvaa etätyötä, jossa käytetään hyväksi tietotekniikkaa ja verkkoyhteyttä.
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 11(13) Etätyön riskianalyysissä arvioidaan etätyöhön kohdistuvia riskejä, niiden todennäköisyyttä, vaikutuksia sekä mahdollisia vastakeinoja. Esimies arvioi työstä syntyvät riskit. Siinä tapauksessa, että riskejä ei kyetä saamaan riittävän alhaisiksi, työtä ei saa tehdä etätyönä. HUS ei kykene valvomaan etätyöympäristön fyysistä turvallisuutta. Etätyötä tekevän on muistettava, että hänen vastuunsa HUS:n tietoturvallisuudesta lisääntyy etätyön myötä ja että hänen tulee toiminnassaan kiinnittää siihen erityistä huomiota. Jos työssä käytetään esimerkiksi alkuperäisasiakirjoja, on etätyötä tekevän varmistettava, että etätyötiloissa on riittävä palo- ja murtosuojaus. Varkaus saattaa kohdistua etätyössä käytettäviin laitteisiin tai tietoaineistoon. Etätyötä tekevän on varmistettava, etteivät asiattomat henkilöt pääse käyttämään hänen tietokonettaan ja että laitteet pysyvät turvallisina. Työnantajalle on raportoitava havaituista tietoturvallisuutta vaarantavista seikoista. Viranhaltija tai työntekijä sopii etätyöstä esimiehen kanssa ohjekirjeen 3/2002 mukaisesti. Jos etätyössä tarvitaan etäyhteys HUS:n tietoverkkoon ja tietojärjestelmäpalveluihin, etäkäytöstä laaditaan esimiehen allekirjoittama etäkäyttöanomus. Etäkäyttöanomus säilytetään työyksikössä. Esimies tilaa alaisensa etäkäyttöpaketin atk-avulta. Esimiehen on annettava etätyötä tekevälle riittävä opastus ja ohjeet mm. seuraavissa asioissa: käytännön järjestelyt, etäkäyttöön liittyvät ohjeet ja suositukset, etäkäyttöön liittyvät tukipalvelut ja yhteydenottomenettelyt, tietoturvajärjestelyt ja -vastuut, toiminta tilanteissa, joissa tietoturvallisuus on pettänyt. 5.2 Etätyön tietoturvallisuusratkaisut HUS:n tavoitteena on toteuttaa etätyön tietotekniset ja tietoturvamenettelyt niin, että sisäverkon järjestelmien tietoturvataso ei alene etätyön vuoksi. Etätyöhön käytetään ainoastaan HUS:n vakioimia tietoteknisiä laitteita ja ohjelmia. Laitteistoa ei saa käyttää sellaiseen toimintaan, joka saattaa vaarantaa sen turvallisuuden, kuten tietokonepelien pelaamiseen, epäluotettavien internetsivujen selailuun ja ohjelmien lataamiseen. Laitteistoa ei saa antaa muiden, kuten perheenjäsenten tai tuttavien käyttöön. Tietoliikenneyhteys on muodostettava HUS:n tarjoamien laitteiden, ohjelmien ja valvonnan kautta. Etätyöhön käytettävien laitteiden ja ohjelmien asetusten muuttaminen on ehdottomasti kiellettyä. HUS-Tietotekniikka liikelaitos vastaa etätyössä tarvittavien laitteiden ja ohjelmien hankinnasta, ylläpidosta ja hävittämisestä (HUS:n konsernin toimitusjohtajan päätös 181/25.11.2009). Laitteiston hankinnassa aloite tulee kuitenkin etätyötä tekevän työntekijän omasta yksiköstä, joka myös määrittelee, miltä kustannuspaikalta laitteiston kulut veloitetaan.
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 12(13) Etätyötä tekevän on säilytettävä HUS:n ulkopuolelle viemänsä tietoaineisto lukitussa paikassa ja palautettava se mahdollisimman pian takaisin HUS:iin. Muita kuin julkisia tietoja ei saa tallentaa tietokoneen kovalevylle tai sähköisille tietovälineille, ja lisäksi on vältettävä salassa pidettävien tietojen tulostamista paperille. Tulostustilanteessa on huolehdittava tiedon asianmukaisesta käsittelystä ja hävittämisestä. Jos etätyötä tekevä vie HUS:n tietoaineistoa Suomen valtion rajojen ulkopuolelle, on hänen varmistauduttava siitä, ettei ko. aineiston maasta vieminen ole kiellettyä minkään säädöksen nojalla ottamalla yhteyden HUS:n hallintolakimiehiin. Etätyössä käytettävän työaseman ja HUS:n tietoverkon välisen tietoliikenteen turvaaminen on keskeistä etätyön tietoturvallisuuden kannalta. Etätyötä tekevälle annetaan etätyöyhteyteen soveltuva etäkäyttöpaketti, joka sisältää tarvittavat ohjelmistot. Hänelle annetaan myös tarvittavat laitteet sekä sähköinen varmenne, jolla hänet tunnistetaan hänen kirjautuessaan organisaation ulkopuolelta HUS:n verkkoon ja järjestelmiin. Etätyötä tekevän on käytettävä sovittuja käyttäjätunnistusmenettelyjä. Tunnisteiden luovuttaminen muille tai säilyttäminen muiden saatavilla on ehdottomasti kiellettyä. Teknisissä ongelmatilanteissa etätyötä tekevä käyttäjä ottaa yhteyttä aina ensin atk-apuun. Jos käyttötuessa havaitaan virus tai tietojärjestelmään tunkeutuminen, etätyötä tekeviä voidaan tarvittaessa varoittaa ja joutua sulkemaan järjestelmä tarvittavilta osin. Etäyhteys tai käytössä oleva järjestelmä saatetaan joutua sulkemaan myös ennakkovaroituksetta siinä tapauksessa, että HUS:n järjestelmien käyttöturvallisuus on muutoin vaarassa alentua. Etäkäyttöä koskevat tunnistamistiedot tallentuvat järjestelmän tietokantaan. Tunnistamistietojen käsittelemisestä säädetään sähköisen viestinnän tietosuojalaissa (erityisesti 13 a :ssä). 5.3 Muuta huomioon otettavaa 5.3.1 Asiakirjojen käsittely, arkistointi, tuhoaminen Etätyöskentelyssä asiakirjojen käsittelyssä on noudatettava samoja periaatteita kuin toimistotyöskentelyssä, mutta lisäksi erityisriskit huomioon ottaen. Salassa pidettävää tietoa sisältävät asiakirjat ja niiden kopiot tulee toimittaa HUS:iin tuhottavaksi. Myös tarpeettomiksi tulleet sähköiset tietovälineet tulee toimittaa HUS:iin tuhottavaksi. Alkuperäisiä paperimuotoisia potilasasiakirjoja ei saa viedä työntekijän tai viranhaltijan kotiin tai muuhun etätyön tekopaikkaan. 5.3.2 Salassapitovelvollisuus
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 13(13) 6 Kumottavat ohjeet 7 Lisätiedot Etätyötä tekevät ovat muiden HUS:iin palvelussuhteessa olevien tavoin salassapito- ja vaitiolovelvollisia. He eivät saa ilmaista muille työnantajan liike- ja ammattisalaisuuksia eivätkä muita salassa pidettäviä seikkoja, kuten esimerkiksi potilastietoja. Tämä pysyväisohje tulee voimaan ja sillä kumotaan ohjekirje 15/2003 Sähköisten viestintävälineiden käytön periaatteet sekä etätyön tekninen toteutus ja turvallisuusohjeet. lainsäädännön soveltaminen: hallintolakimies Aarre Tähti, puh. 09 47171224 tietoturva: valmius- ja tietoturvapäällikkö Pekka Koskinen, puh. 09 47171211 tietosuoja-asiat: arkistotoimen päällikkö Petri Hämäläinen, puh. 09 47173936 tietotekniikkaan ja tekniseen tietoturvaan liittyvät kysymykset: atk-apu, puh. (09) 471 76000 8 Sovelletut oikeusohjeet Hallintolaki 6.6.2003/434 Henkilötietolaki 22.4.1999/523 Laki yksityisyyden suojasta työelämässä 13.8.2004/759 Sähköisen viestinnän tietosuojalaki 16.6.2004/516 Laki sähköisestä asioinnista viranomaistoiminnassa 24.1.2003/13 9 Voimaantulo Tämä pysyväisohje tulee voimaan. Raimo Kekkonen va. toimitusjohtaja Ilkka Kauppinen hallintojohtaja LIITTEET Käyttäjä- ja salassapitositoumus
HELSINGIN JA UUDENMAAN PYSYVÄISOHJE X/2010 14(14) LUONNOS 26.3.2010