Rekommendationer om beredskap inom televerksamhet. Kommunikationsverkets rekommendation

Transkript

1 Rekommendation Rekommendationer om beredskap inom televerksamhet s rekommendation

2 Rekommendation 1(28) Innehåll 1 Inledning Bakgrund och tillämpningsområde Offentlighet Definitioner och begrepp Rekommendationer till teleföretagen Rekommendationer som påverkar entreprenörer Lagstiftning om ämnet Informationssamhällsbalk Beredskapslag Offentlighetslag Strafflag... 28

3 Rekommendation 2(28) 1 Inledning 1.1 Bakgrund och tillämpningsområde Alla teleföretag är skyldiga att se till att verksamheten fortgår så störningsfritt som möjligt också vid störningar under normala förhållanden samt under sådana undantagsförhållanden som avses i beredskapslagen (se lagstiftning om ämnet, kapitel 5). får meddela närmare föreskrifter om den s.k. beredskapsskyldigheten. På basis av erfarenheter av beredskapsrutiner på branschen har verket bedömt att det inte är nödvändigt att meddela en föreskrift om ämnet. Inom beredskap har man dock identifierat vissa sakhelheter som de som är skyldiga att ha beredskap bör fästa uppmärksamhet vid. För detta ändamål har verket i samarbete med de största teleföretagen utarbetat denna rekommendation. Rekommendationen är inte bindande för teleföretag men den innehåller råd för uppfyllandet av beredskapsskyldigheten. Eftersom teleföretagens nuvarande beredskapsrutiner redan i dag baserar sig på s föreskrifter som tangerar ämnet, t.ex. föreskrift om säkerställande av televerksamhet (föreskrift 54) och föreskrift om informationssäkerhet (föreskrift 67) samt på allmänt godkända standarder (t.ex. ISO/IEC serien, ISO/IEC 22301, NIST SP och VAHTI-anvisningar), är denna rekommendation inte en allmän heltäckande anvisning för planering och genomförande av förberedelser, kontinuitet eller beredskap. I stället lyfter den upp sakhelheter som rekommenderar att ska beaktas som en del av skyldigheten att ha beredskap. Rekommendationen har beretts med tanke på funktion av grundläggande kommunikationstjänster och uttryckligen med tanke på beredskap på riksnivå. Som grundläggande kommunikationstjänster anses här allmänna telefonitjänster, kortmeddelandetjänster (sms och mms), internetaccesstjänster, för tvtjänster förmedling av Rundradion Ab:s 1 programutbud i olika nät (såväl i DVB-T-, DVB-T2-, DVB-C- som i IPTV-nät) samt för radiotjänster de riksomfattande radiotjänster som med tanke på undantagsförhållanden och kriskommunikation angetts sepa- 1 Avsikten vid beredningen av rekommendationen var att rekommendationerna även skulle gälla förmedling av televisionsprogramutbud som tjänar allmänintresset. Det lämnades dock inte in några ansökningar om televisionsprogramutbud som tjänar allmänintresset inom ramen för programkoncessioner för tv (UHF- och VHF-områdena) som statsrådet och beviljade för koncessionsperioden Det betyder att det tills vidare inte längre finns sådant programutbud fr.o.m

4 Rekommendation 3(28) rat i avtalen. I praktiken är rekommendationen alltså avsedd för teleföretag som tillhandahåller riksomfattande mobilnät, stamnät, och masskommunikationsnät. Vid teleföretagens beredskapsåtgärder spelar de underleverantörer som teleföretagen anlitar, t.ex. entreprenörer som utför fältarbeten, tillverkare och övriga externa resurser en stor roll, emedan de deltar i genomförandet och driften av ovan nämnda nät på ett väsentligt sätt. Även om lagstiftningens krav uttryckligen gäller teleföretag som svarar för att följa dem (även när det gäller underleveranser) konstaterades det under beredningen av rekommendationen att det praktiska samarbetet blir enklare då det i samband med direkta rekommendationer till teleföretag också ges direkta rekommendationer till de centrala entreprenörer som utför fältarbeten. Då kan teleföretagen lätt hänvisa till rekommendationerna t.ex. när de ingår avtal om entreprenader. 1.2 Offentlighet Rekommendationer som ges nedan i kap. 3 och 4 behandlar sådana förberedelser som vill att teleföretagen och de entreprenörer de anlitar speciellt ska beakta vid sidan om de existerande beredskapsrutinerna. De beskriver skyddsarrangemang för teleföretagens data- och kommunikationssystem och genomförandet av arrangemangen samt förberedelser för undantagsförhållanden. Om rekommendationerna var offentliga skulle de enligt s uppskattning äventyra genomförandet av syftet med skyddsarrangemangen samt förberedelser för undantagsförhållanden. Därför är rekommendationerna sekretessbelagda med stöd av lagen om offentlighet i myndigheternas verksamhet (se kap. 5). lämnar ut de ovan nämnda punkterna i rekommendationen, dvs. innehållet i kap. 3 och 4 i sin helhet, endast till ett teleföretag som avses i 3 1 mom. 27 punkten i informationssamhällsbalken och vars verksamhet rekommendationerna de facto skulle gälla (se tillämpningsområde kap. 1.1). Verket lämnar ut endast kap. 4 i rekommendationen till de centrala entreprenörer som ovan nämnda teleföretag anlitar för fältarbeten och som har en betydande roll när det gäller att genomföra och underhålla näten inom denna rekommendations tillämpningsområde (se kap. 1.1).

5 Rekommendation 4(28) 2 Definitioner och begrepp De teleföretag och de entreprenörer till vilka rekommendationerna lämnas ut är med stöd av 22 i offentlighetslagen skyldiga sekretessbelägga dem. De har också en tystnadsplikt om rekommendationerna i enlighet med 23 i offentlighetslagen. Till straff för brott mot skyldigheten att iaktta handlingssekretess enligt 22 och mot tystnadsplikt samt förbudet att utnyttja uppgifter enligt 23 döms enligt strafflagen (39/1889) som det hänvisas till i 35 i offentlighetslagen. I denna rekommendation används samma definitioner som i informationssamhällsbalken 2 I rekommendationen avses med teleföretag en aktör som tillhandahåller nättjänster eller kommunikationstjänster för en grupp av användare som inte har avgränsats på förhand, dvs. bedriver allmän televerksamhet, nättjänst avses en tjänst som tillhandahålls av ett teleföretag (nätföretag) för att ett kommunikationsnät som det äger eller på någon annan grund förfogar över ska kunna användas för överföring och distribution av meddelanden, kommunikationsnät ett system som består av sammankopplade ledningar och av anordningar, och som är avsett för överföring eller distribution av meddelanden via ledning, med radiovågor, optiskt eller på något annat elektromagnetiskt sätt, allmänt kommunikationsnät ett kommunikationsnät som används för att tillhandahålla kommunikationstjänster till en grupp av användare som inte har avgränsats på förhand masskommunikationsnät ett kommunikationsnät som huvudsakligen används för överföring eller sändning av televisions- och radioprogramutbud eller annat material som förmedlas i samma form till alla mottagare, kommunikationstjänst en tjänst som helt eller huvudsakligen utgörs av överföring av meddelanden i kommunikationsnät samt överförings- och sändningstjänster i masskommunikationsnät, internetaccesstjänst en kommunikationstjänst som möjliggör anslutning till internet för användning av de tjänster som finns tillgängliga där, allmän telefonitjänst en kommunikationstjänst som gör det möjligt att ringa och ta emot inrikes- och utrikessamtal med nummer som finns i en nationell eller internationell nummerplan. 2

6 Rekommendation 5(28) I denna rekommendation avses också med entreprenör som utför fältarbeten, såsom installationer och reparationer, för ett teleföretag mot ersättning. Informationssamhällsbalken innehåller ingen egentlig definition av termen beredskap, men i lagmotiveringen 3 har beredskapsskyldigheten konstaterats betyda att företaget genom planering, förberedelser i förväg och åtgärder ser till att dess verksamhet fortsätter störningsfritt. Enligt lagmotiveringen består beredskapsskyldigheten av såväl planering som grundar sig på riskbedömning som av åtgärder som genomförs när en risk realiseras. Avsikten med beredskapsskyldigheterna i informationssamhällsbalken är enligt lagmotiveringen att säkerställa att en beredskapsskyldig (med tanke på denna rekommendation uttryckligen ett teleföretag) vidtar alla nödvändiga åtgärder för att verksamheten ska fortsätta störningsfritt vid störningar under normala förhållanden och i undantagsförhållanden. Lagen innehåller inte heller någon exakt definition av normala förhållanden eller störningar under normala förhållanden. Sådana undantagsförhållanden som finns i beredskapslagen 4 och som det hänvisas till även i informationssamhällsbalken är: 1) ett mot Finland riktat väpnat angrepp eller annat så allvarligt angrepp att det kan jämställas med ett väpnat angrepp och förhållandena omedelbart efter angreppet, 2) ett mot Finland riktat avsevärt hot om väpnat angrepp eller om annat så allvarligt angrepp att det kan jämställas med ett väpnat angrepp, om befogenheter enligt denna lag måste tas i bruk omedelbart för att avvärja verkningarna av hotet, 3) sådana synnerligen allvarliga händelser eller hot mot befolkningens försörjning eller mot grunderna för landets näringsliv som innebär en väsentlig risk för samhällets vitala funktioner, 4) en synnerligen allvarlig storolycka och förhållandena omedelbart efter den, samt 5) en pandemi som till sina verkningar kan jämföras med en synnerligen allvarlig storolycka. Statsrådet i samverkan med republikens president konstaterar att undantagsförhållanden råder i landet. I denna rekommendation avses med: undantagsförhållanden sådana förhållanden som definieras i beredskapslagen. 3 RP 221/2013: 4

7 Rekommendation 6(28) Finansministeriet har publicerat anvisningen VAHTI 2/2016 om hantering av kontinuiteten i verksamheten 5. Trots att denna anvisning i första hand är avsedd för hantering av kontinuiteten hos statsförvaltningens aktörer, konstateras det i linje med motiveringen till informationssamhällsbalken att det med beredskap avses verksamhet med vilken man sörjer för att verksamheten fortsätter så störningsfritt som möjligt i alla situationer. Beredskapsåtgärder enligt denna VAHTI-anvisning är till exempel riskbedömning, kontinuitets- och beredskapsplanering, tekniska och strukturella förhandsförberedelser, utbildning, övningar samt reservering av utrymmen och kritiska resurser. Beredskap är indelad i planering, de praktiska förberedelseåtgärder som planeringen kräver, genomförande och utveckling av dessa samt övning. Förhållandet mellan olika termer och definitioner inom beredskap beskrivs nedan i bild 1. Bild 1. Förhållandet mellan termer och definitioner inom beredskapen 6. På basis av de ovan nämnda avses i denna rekommendation med: beredskap verksamhet som genom planering, förberedelser i förväg och åtgärder säkerställer att uppgifterna kan skötas så störningsfritt som möjligt i alla förhållanden. beredskapsplanering process med vilken de beredskapsbehov och -åtgärder som gäller teleföretagets kärnverksamhet planmässigt identifieras Källa: Jatkuvuussuunnittelu ja ICT-varautuminen, Iivari & Laaksonen 2009

8 Rekommendation 7(28) kontinuitetsplanering process för hantering av kontinuitet (business continuity management, BCM) som utgör en del av beredskapsplaneringen. Med kontinuitetsplanering identifieras hot mot verksamheten och genomförs åtgärder för att hantera risker så att de inte kommer att realiseras; dessa försöker minimera och förkorta inverkan av och längden på sådana händelser som stör verksamheten. Kontinuitetshanteringens och kontinuitetsplaneringens tyngdpunkt ligger i störningar under normala förhållanden, men processen kan även omfatta förberedelser för undantagsförhållanden. Hantering av kontinuitet är strategisk och operativ verksamhet som organisationens högsta ledning har godkänt. Med denna verksamhet förbereder organisationen sig att hantera störningssituationer och fortsätta verksamheten på en på förhand specificerad acceptabel nivå. kontinuitetsplan (business continuity plan, BCP) planer som beskriver ledningen, ansvar och åtgärder enligt vilka verksamheten kan fortsätta vid störningar. En kontinuitetsplan kan innehålla t.ex. information om organisationens nyckelpersoner, resurser och tjänster som behövs under störningen samt om de åtgärder som ska vidtas vid en sådan situation. förberedelseplanering delområde inom beredskapsplanering, dvs. process för att under normala förhållanden förbereda sig för undantagsförhållanden. Avsikten med förberedelseplaneringen är att säkerställa att de allra kritiska funktionerna kan fortsätta vid störningar, speciellt under undantagsförhållanden, så att människornas levnadsmöjligheter, samhällets funktionsförmåga och den nationella suveräniteten tryggas. förberedelseplan planer som beskriver ledningen, ansvar och åtgärder enligt vilka verksamheten kan fortsätta under undantagsförhållanden. återhämtningsplan (disaster recovery plan, DRP) planer som görs som en del av kontinuitets- och förberedelseplaneringen och som beskriver datasystem och de praktiska åtgärder, roller och ansvar inom beredskapen med vilka system återställs till normalläge efter situationer som kräver användning av beredskapsplaner. Återhämtningsplanerna beskriver alltså den operativa och konkreta återhämtningen av ITsystem efter störningar. De innehåller anvisningar för att återhämta systemen från en allvarlig störning, att återgå till normalläget och att fortsätta med normal verksamhet.

9 Rekommendation 8(28) 3 Rekommendationer till teleföretagen I detta kapitel behandlas rekommendationer till teleföretag att ha beredskap som en helhet. Flera av rekommendationerna omfattar ärenden vars genomförande påverkar även underleverantörer som teleföretaget anlitar vid fältarbeten. Med tanke på rekommendationernas tillgänglighet ges rekommendationer som uttryckligen hänför sig till entreprenader vid fältarbeten separat även i kapitel 4. Beaktansvärt är att även om rekommendationerna har separerats på så sätt har teleföretagen ansvar även för att se till att underleverantörerna iakttar den förpliktande regleringen. [...] 13 sidor [...]

10 Rekommendation 21(28) 4 Rekommendationer som påverkar entreprenörer Från föregående kapitel har det för användbarhetens skull separerats de rekommendationer vars genomförande i teleföretag också påverkar de centrala entreprenörer som teleföretaget anlitar för fältarbeten. Beaktansvärt är att även om rekommendationerna har separerats på så sätt har teleföretagen ansvar även för att se till att underleverantörerna iakttar den förpliktande regleringen. [ ] 5 sidan [ ]

11 Rekommendation 22(28) [ ] 5 Lagstiftning om ämnet 5.1 Informationssamhällsbalk I 243 i informationssamhällsbalken (917/ ) bestäms om kvalitetskrav på kommunikationsnät och kommunikationstjänster. Enligt lagens mom. ska allmänna kommunikationsnät och kommunikationstjänster samt kommunikationsnät och kommunikationstjänster som ansluts till dem planeras, byggas och underhållas bl.a. så att de fungerar så tillförlitligt som möjligt också under sådana undantagsförhållanden som avses i beredskapslagen (1552/2011) och i störningssituationer under normala förhållanden. I lagens 35 kap. föreskrivs följande om beredskap: i 281 om skyldighet att ha beredskap för störningssituationer under normala förhållanden och för undantagsförhållanden, i 282 om beredskapsplanering och i 283 om kritiska kommunikationssystems läge. I lagens 284 finns bestämmelser om s bemyndigande att meddela föreskrifter. Enligt mom. ska teleföretag se till att verksamheten fortgår så störningsfritt som möjligt också i störningssituationer under normala förhållanden samt under sådana undantagsförhållanden som avses i beredskapslagen. I lagens mom. förutsätts att teleföretag ska bedöma de risker som kan äventyra verksamhetens kontinuitet och utifrån riskerna planera hur verksamheten kan fortsätta i störningssituationer under normala förhållanden och när sådana befogenheter utövas som avses i 9 kap. i beredskapslagen. Enligt lagens mom. ska den som är skyldig att ha beredskap på begäran av lämna verket uppgifter om sin beredskapsplanering. ska utan dröjsmål underrättas om ändringar i uppgifterna. 7

12 Rekommendation 23(28) 5.2 Beredskapslag Enligt lagens mom. ska den som är skyldig att ha beredskap i enskilda fall på s begäran meddela hur den bereder sig för en enskild störningssituation eller för ett hot om en sådan och vilka åtgärder enligt sin beredskapsplanering den med anledning av situationen har vidtagit eller har för avsikt att vidta. I lagens 283 förutsätts att teleföretag ska se till att kommunikationssystem som är kritiska för tryggande av kommunikationstjänsternas funktion, samt styrningen, underhållet och administreringen av systemen, när befogenheter enligt 60 1 mom. 8 punkten i beredskapslagen utövas, kan återbördas till Finland utan dröjsmål och att de tjänster eller system som teleföretaget tillhandahåller kan upprätthållas på en viss plats som utses i enlighet med 1 mom. in den nämnda paragrafen. Denna skyldighet gäller inte kommunikationstjänster som är av mindre betydelse. Med stöd av lagens 284 i får meddela närmare föreskrifter om beredskapsskyldigheten. Föreskrifterna kan gälla 1) dokument i samband med beredskapsplaneringen enligt 282 och dokumentens närmare innehåll, 2) tekniska åtgärder i syfte att minimera skadeverkningarna av kränkningar av informationssäkerheten, 3) det tekniska genomförandet av förpliktelser som avses i 283, 4) användningen av frekvenser, 5) andra tekniska frågor som är jämförbara med dem som avses i 1 4 punkten. I beredskapslagen (1552/ ) definieras undantagsförhållanden och bestäms om myndigheternas befogenheter under sådana förhållanden. Som undantagsförhållanden enligt lagens 3 1 mom. är: 1) ett mot Finland riktat väpnat angrepp eller annat så allvarligt angrepp att det kan jämställas med ett väpnat angrepp och förhållandena omedelbart efter angreppet, 2) ett mot Finland riktat avsevärt hot om väpnat angrepp eller om annat så allvarligt angrepp att det kan jämställas med ett väpnat angrepp, om befogenheter enligt denna lag måste tas i bruk omedelbart för att avvärja verkningarna av hotet, 8

13 Rekommendation 24(28) 3) sådana synnerligen allvarliga händelser eller hot mot befolkningens försörjning eller mot grunderna för landets näringsliv som innebär en väsentlig risk för samhällets vitala funktioner, 4) en synnerligen allvarlig storolycka och förhållandena omedelbart efter den, samt 5) en pandemi som till sina verkningar kan jämföras med en synnerligen allvarlig storolycka. Enligt lagens 6 1 mom., om statsrådet i samverkan med republikens president konstaterar att undantagsförhållanden råder i landet, kan det genom förordning av statsrådet föreskrivas att bestämmelserna i II avdelningen i denna lag ska börja tilllämpas (ibruktagningsförordning). I 9 kap. i II avdelningen (Befogenheter under undantagsförhållanden) behandlas tryggande av elektroniska data- och kommunikationssystems funktionsduglighet och tillgången till posttjänster. För att trygga de elektroniska data- och kommunikationssystemens funktionsduglighet och avvärja datasäkerhetshot mot dem kan kommunikationsministeriet enligt 60 1 mom. i lagen under undantagsförhållanden som avses i punkten ålägga ett i kommunikationsmarknadslagen (393/2003) 9 avsett teleföretag att: 1) producera nät- och kommunikationstjänster samt att ge myndigheterna en lägesbild av användningen av nät- och kommunikationstjänster, 2) underhålla eller bygga eller låta bli att bygga kommunikationsnät, 3) till myndigheter eller andra teleföretag överlåta nyttjanderätt till sådan egendom som avses i 4 kap. i kommunikationsmarknadslagen 10 ; ministeriet kan också upphäva en sådan skyldighet att överlåta nyttjanderätt som ålagts ett företag med stöd av kommunikationsmarknadslagen, 4) ordna sina internationella nät- och kommunikationstjänstförbindelser på det sätt som kommunikationsministeriet närmare bestämmer, 5) avtala om nationell eller internationell roaming på det sätt som kommunikationsministeriet bestämmer, 6) koppla samman ett kommunikationsnät med ett annat eller att upplösa en sammankoppling, 9 Kommunikationsmarknadslag har upphävts genom informationssamhällsbalk 10 Kommunikationsmarknadslag har upphävts genom informationssamhällsbalk

14 Rekommendation 25(28) 7) för viss tid eller tills vidare stänga nät- eller kommunikationstjänstförbindelser till ett visst land eller till internationella nät- eller kommunikationstjänstförbindelser, 8) driva system och tillhandahålla tjänster från vissa platser. Kommunikationsministeriet kan enligt 60 2 mom. i lagen under undantagsförhållanden dessutom besluta om företräde i de allmänna kommunikationsnäten för kommunikation som är nödvändig med tanke på samhällets vitala funktioner. Beslutet kan avse endast sådana kommunikationsnät där det är tekniskt möjligt att ordna företräde för kommunikation. För att trygga de elektroniska data- och kommunikationssystemens funktionsduglighet och avvärja datasäkerhetshot kan kommunikationsministeriet enligt lagens 62 under undantagsförhållanden som avses i punkten ålägga i lagen om dataskydd vid elektronisk kommunikation (516/2004) 11 avsedda teleföretag, tillhandahållare av mervärdestjänster eller andra än statsförvaltningens sammanslutningsabonnenter eller personer som handlar för deras räkning att 1) tillfälligt förhindra sändande, förmedling eller mottagande av e-postmeddelanden, textmeddelanden eller andra motsvarande meddelanden eller filer över fildelningsnät, 2) kryptera eller inte kryptera sina nät- och kommunikationstjänster, 3) vidta andra motsvarande åtgärder som är nödvändiga för att avvärja kränkningar av dataskyddet och undanröja störningar riktade mot dataskyddet. För tryggande av de elektroniska data- och kommunikationssystemens funktionsduglighet kan kommunikationsministeriet enligt lagens 63 under undantagsförhållanden som avses i punkten ålägga en enskild person eller en sammanslutning som inte hör till statsförvaltningen att till myndigheter eller av dem namngivna instanser överlåta nyttjanderätten till program, terminalutrustning, datasystem, radiosändare, reservkraftaggregat eller delar eller tilläggsutrustning till dem, om överlåtelsen är nödvändig för att säkerställa funktionsdugligheten hos de nät- och kommunikationstjänster som anlitas för att upprätthålla samhällets vitala funktioner. Med stöd av lagens 65 kan under undantagsförhållanden meddela föreskrifter som gäller det tek- 11 Lag om dataskydd vid elektronisk kommunikation har upphävts genom Informationssamhällsbalk

15 Rekommendation 26(28) 5.3 Offentlighetslag niska genomförandet av rättigheter och skyldigheter som avses i I lagens 123 bemyndigas statsrådet att genom förordning utfärda samordnande bestämmelser om prioritet och skyndsamhet samt annan viktighetsklassificering i fråga om åtgärder som behövs för uppnåendet av denna lags syfte. I lagens förarbeten (RP 3/2008) konstateras till exempel att tryggandet av dataöverföring förutsätter enhetliga styrprinciper och därför har statsrådet möjlighet att vid behov samordna de bestämmelser om prioritet, skyndsamhet och annan viktighetsklassificering som de olika myndigheterna ska iaktta. Enligt 1 1 mom. i lagen om offentlighet i myndigheternas verksamhet (621/ ) är myndighetshandlingar offentliga, om inte något annat föreskrivs särskilt i denna lag eller i någon annan lag. Bland annat följande myndighetshandlingar är sekretessbelagda enligt lagens 24 1 mom., om inte något annat föreskrivs särskilt: handlingar som gäller skyddsarrangemang för data- och kommunikationssystem och genomförandet av arrangemangen, om det inte är uppenbart att utlämnandet av uppgifter ur en sådan handling inte äventyrar genomförandet av syftet med skyddsarrangemangen, handlingar som gäller beredskap för olyckor eller undantagsförhållanden, befolkningsskydd eller utredning enligt lagen om säkerhetsutredning av olyckor och vissa andra händelser (525/2011), om utlämnandet av uppgifter ur en sådan handling skulle skada eller äventyra säkerheten eller förbättrande av den, befolkningsskyddet eller beredskapen inför undantagsförhållanden, äventyra säkerhetsutredning eller syftet med en säkerhetsutredning eller möjligheterna att få information för en utredning eller om ett utlämnande skulle kränka rättigheterna för offer i olyckor, tillbud eller exceptionella händelser, minnet av offer eller närstående till offer. Enligt lagens 22 1 mom. ska en myndighetshandling sekretessbeläggas, om det i denna lag eller någon annan lag föreskrivs eller en myndighet med stöd av lag har föreskrivit att 12

16 Rekommendation 27(28) den skall vara sekretessbelagd eller om handlingen innehåller uppgifter för vilka tystnadsplikt föreskrivs genom lag. Enligt 22 2 mom. får en sekretessbelagd myndighetshandling eller en kopia eller utskrift av en sådan handling inte företes för eller lämnas ut till utomstående eller med hjälp av en teknisk anslutning eller på något annat sätt företes för eller lämnas ut till utomstående. Enligt lagens 23 1 mom. får den som är anställd hos en myndighet eller innehar ett förtroendeuppdrag inte röja en handlings sekretessbelagda innehåll eller en uppgift som vore sekretessbelagd om den ingick i en handling, och inte heller någon annan omständighet som han har fått kännedom om i samband med sin verksamhet hos myndigheten och för vilken tystnadsplikt föreskrivs genom lag. En uppgift för vilken tystnadsplikt gäller får inte heller röjas efter det att verksamheten hos myndigheten har upphört eller det uppdrag som utförts för myndighetens räkning har avslutats. Vad som bestäms i 1 mom. gäller enligt lagens 23 2 mom. även den som med stöd av lag eller ett tillstånd som utfärdats med stöd av lag har fått kännedom om en sekretessbelagd uppgift, om inte något annat följer av lagen eller tillståndet. Tystnadsplikten gäller även den till vilken en myndighet inom ramen för en sekretessbestämmelse som innehåller en offentlighets- eller sekretesspresumtion har meddelat uppgifter som allmänheten inte skall ha tillgång till. En part eller dennes ombud eller biträde får inte för en utomstående röja en sekretessbelagd uppgift som erhållits på grundval av ställningen som part och som gäller någon annan än parten själv. Enligt lagens 23 3 mom. får en person som avses i 1 eller 2 mom. inte använda sekretessbelagda uppgifter för att skaffa sig själv eller någon annan fördel eller för att skada någon annan. En part eller hans ombud eller biträde får dock använda en uppgift om en annan person än parten själv när det är fråga om ett ärende som gäller den rätt, det intresse eller den skyldighet som partens rätt att få information har grundat sig på. Enligt lagens 35 döms till straff för brott mot skyldigheten att iaktta handlingssekretess enligt 22 och mot tystnadsplikt samt förbudet att utnyttja uppgifter enligt 40 kap. 5 i strafflagen, om gärningen inte är straffbar enligt 38 kap. 1 eller 2 i strafflagen eller om strängare straff för gärningen inte föreskrivs någon annanstans i lag.

17 Rekommendation 28(28) 5.4 Strafflag I 40 kap. i strafflagen (39/ ) föreskrivs om tjänstebrott och i 38 kap. om informations- och kommunikationsbrott. Enligt 38 1 mom. ska den som i strid med tystnadsplikt som anges i lag eller förordning eller som en myndighet särskilt har ålagt med stöd av lag 1) röjer en omständighet som skall hållas hemlig och som han fått kännedom om på grund av sin ställning, i sin befattning eller vid fullgörandet av ett uppdrag eller 2) utnyttjar en sådan hemlighet till sin egen eller någon annans nytta, om gärningen inte utgör brott enligt 40 kap. 5, för sekretessbrott dömas till böter eller fängelse i högst ett år. Enligt 38 kap. 2, om ett sekretessbrott, med beaktande av gärningens betydelse för skyddet av integritet eller förtrolighet eller andra omständigheter vid brottet, bedömt som en helhet är ringa, ska gärningsmannen för sekretessförseelse dömas till böter. 13