ANVÄNDNINGSPOLICY FÖR ELEKTRONISK POST VID ÅBO AKADEMI Vid behandlingen av elektroniska dokument tillämpas inom Åbo Akademi principerna om brevhemlighet, skydd för privatlivet och god förvaltningssed på samma sätt som vid behandlingen av andra officiella ärenden. Tystnadsplikt och förbud att utnyttja informationen beskrivs nedan samt i reglerna för användning av datasystem och datakommunikationsnät. Akademin har rätt att bestämma för vilka ändamål e-posten och datanätet används och har rätt att begränsa användarrättigheterna. Direktiven och rekommendationerna för användning av e-post och logguppgifter baserar sig på finländsk lag samt Finansministeriets direktiv 5/2001 som uppgjorts av ledningsgruppen för datasäkerheten inom statsförvaltningen ( http://www.fi/vm/kehittaminen/tietoturvallisuus/vahti/vahti2.htm ). 1 E-postadresser E-postmeddelandena har i ovannämnda direktiv uppdelats i fyra klasser beroende på den adress till vilken de har sänts. I direktivet avses följande då det gäller såväl avsända som emottagna meddelanden inom Akademin: - med Akademins e-postmeddelande avses ett meddelande som hänför sig till Akademins eller enhetens allmänna e-postadress ( t.ex. registratorskontoret@abo.fi, information@abo.fi, studiebyran@abo.fi ) och meddelanden som förutsätter myndighetsåtgärder eller tjänster - med tjänste-e-postmeddelande avses meddelande till en adress som givits av Akademin åt en anställd för sådana meddelanden som gäller hans/hennes arbetsuppgifter ( personlig e-postadress t.ex. egon.strom@abo.fi ). En studerandes e-postmeddelande ( som hänför sig till studierna ) jämställs i tillämpliga delar med tjänste-epostmeddelanden - med ett personligt e-postmeddelande avses ett meddelande till eller från den e-postadress som användaren tilldelats av Akademin ( för den anställda i allmänhet samma adress som i frågavarande persons tjänste-e-postadress )
- med ett privat e-post-meddelande avses meddelande till och från en e- postadress som användaren skaffat sig för eget bruk ( t.ex. egon.strom@egetbruk.fi ) - en fysisk persons e-postadress är enligt personuppgiftslagen en personuppgift. Personuppgifterna finns registrerade i Akademins personregister över vilka uppgjorts personregisterbeskrivningar. Personuppgifter behandlas vid Akademin i enlighet med personregisterbeskrivningarna och för ändamål som framgår av dem. - Akademin och dess enheter bör ha allmänna adresser som är avsedda att användas för hantering av officiella ärenden och för erbjudande av tjänster ( t.ex. registratorskontoret@abo.fi, hum-kansli@abo.fi ) Man bör i första hand använda de allmänna adresserna då man vänder sig till Aka-demin för att få tjänster och inte använda de anställdas tjänste-e-postadresser. 2 Offentliggörande av e-postadresser Med publicerande/offentliggörande avses att man uppger e- postadressen bl.a. i Akademins telefonkatalog eller i någon annan publikation, på Akademins www.sidor, på visitkort eller i andra informationssystem. Akademin publicerar Akademins allmänna e-postadresser och personalens kontaktuppgifter med personalens e-postadresser i formen förnamn.tillnamn@abo.fi På www-sidor bör man undvika att uppge personliga e-postadresser. En studerandes e-postadress publiceras endast om den studerande gett sitt samtycke till det. Akademin publicerar inte privata e-postadresser. 3 Att observera vid hanteringen av Åbo Akademis e- postmeddelanden
För meddelanden som hänför sig till skötseln av en tjänst eller befattning öppnas i Akademins namn allmänna e-postadresser ( en allmän adress kan också vara en postningslista ). Akademin ger separata regler om användning och registrering av adresserna. För alla adresser utnämns ansvarspersoner. Det är, med tanke på dataskyddet och förvarandet av information, förbjudet att skicka eller automatiskt styra Akademins e-post till en privat e-postadress. Av ett svar som den anställda sänder från Akademin bör framgå att det har skickats som svar på ett meddelande som kommit till Akademins allmänna e-postadress. I svaret bör man också poängtera eller uppge returadressen så att kontakten också i fortsättningen sker till Akademins allmänna adress. Ett e-postmeddelande som inkommit till Akademins adress bör dirigeras så att alla som handhar ärendet får kännedom om meddelandet. Om det med det ankomna meddelandet följer begäran om kvittering sänds denna utan dröjsmål. Meddelanden behandlas på sådant sätt som förutsätts i lagen om offentlighet i myndigheternas verksamhet ( offentlighetslagen ). Offentlighetslagen stadgar bl.a. om vad en myndighetshandling är, vilka handlingar som är sekretessbelagda och om rätten att ta del av handlingar. E-postmeddelanden behandlas och arkiveras vid behov på det sätt som framgår av arkivbildningsplanen.
4 Att observera vid hantering av tjänste-e-postmeddelanden Det är, med tanke på dataskyddet och förvarandet av information, förbjudet att skicka eller automatiskt styra tjänste-e-post till en privat e-postadress. I regel behandlar Akademin ett meddelande som kommit till tjänste-epostadressen som om det vore ett personligt meddelande eftersom mottagaren inte kan hindra att personliga meddelanden anländer. Om det med ett anlänt meddelande följer begäran om kvittering, bör mottagaren göra detta. Vid elektronisk handläggning av förvaltningsärenden skall man kvittera ett anlänt meddelande fastän det inte separat har begärts. Av ett tjänste-e-postmeddelande bör framgå att avsändaren är en myndighet, inte en privat arbetstagare/tjänsteman, t.ex. genom att man till underskriften fogar sin tjänsteställning och enhetens namn samt genom att man påminner om att kommunikationen även i fortsättningen kommer att skötas via en allmän adress. Påminnelsen kan också göras genom att man bifogar tjänste-e-postadressen som returadress. Meddelanden behandlas på sådant sätt som förutsätts i lagen om offentlighet i myndigheternas verksamhet ( offentlighetslagen ). Offentlighetslagen stadgar bl.a. om vad en myndighetshandling är, vilka handlingar som är sekretessbelagda och om rätten att ta del av handling. E-postmeddelanden behandlas och arkiveras vid behov på det sätt som framgår av arkivbildningsplanen. 5 Att observera vid hantering av personligt e-postmeddelande Den anställda bör omedelbart överföra personliga meddelanden som anlänt till hans/ hennes tjänste-e-postadress till sina egna personliga e- postmappar. Av mappens namn bör framgå, att det inte är fråga om tjänste-e-post, både gällande anlända och avsända meddelanden. Den personliga e-postadressen är typiskt densamma som tjänste-epostadressen.
Användning av e-post för privata ändamål är tillåten i ringa utsträckning. Användning för affärsmässigt och politiskt ändamål, såsom privat företagsverksamhet eller valreklam är dock ovillkorligen förbjuden. Det är inte heller tillåtet att sända kedjebrev via Akademins e-post-servers. 6 Att observera vid hantering av privata e-postmeddelanden En privat e-postadress som en person skaffat sig för eget bruk av en utomstående operatör, för hantering av privata e-postmeddelanden, är personens privata angelägenhet och behandlas här inte närmare. För sin privata e-postverksamhet får man inte använda samma lösenord som vid Akademin. 7 Att observera vid hantering av skräp-e-post Med skräp-e-post förstår man störande e-postmeddelanden, som användaren inte önskar få, oftast reklampost. Utöver egentlig skräp-e-post kan det också förekomma finländsk direktmarknadsföring. Direktmarknadsföring, med hjälp av automatiska system, till en fysisk person är förbjuden om personen ifråga inte i förväg gett sitt samtycke till det (21 1 mom. i lagen om integritetsskydd vid telekommunikation och dataskydd inom televerksamhet). Man bör inte besvara utländsk skräp-e-post, eftersom man genom att svara visar att adressen fungerar och kan uppföras på skräp-epostningslistorna. Akademin försöker med tekniska medel reducera problemet med skräpmeddelanden genom att hindra dem att komma fram. Akademin behöver varken meddela adressaten eller avsändaren om att skräp-e-posten förstörs och behöver inte returnera den till avsändaren. Användarna kan meddela om störande skräp-e-post till datacentralen.
8 Hantering av ett e-postmeddelande som inte når fram Avsändaren av e-postmeddelandet har det huvudsakliga ansvaret för att meddelandet kan läsas, för att meddelandet når fram, för att det kommer fram inom utsatt tid eller andra härmed jämförbara omständigheter. Om adressen för ett ankommande meddelande inte känns igen av e- postsystemet returneras meddelandet automatiskt till avsändaren tillsammans med ett felmeddelande. 9 Ett e-postmeddelande som anlänt till felaktig adress Om en användare får ett e-postmeddelande som är avsett för en annan person har användaren tystnadsplikt och är förbjuden att utnyttja informationen både vad gäller meddelandets innehåll och det faktum att det överhuvud existerar. Ett e-postmeddelande som är avsett för en annan person ( t.ex. någon med samma namn ) bör styras vidare till rätt adress om man känner till adressen. Om adressen inte är känd, bör man informera avsändaren om misstaget och förstöra det meddelande som kommit. Ett e-postmeddelande som inte hör till Akademin och som av uppenbart misstag eller till följd av okunnighet tillställts Akademin bör i enlighet med 8 förvaltningsförfarandelagen överföras till den myndighet som bedöms vara behörig, om man känner till den. Man bör då sända ett meddelande om överföringen till avsändaren. Om det inte är möjligt att överföra meddelandet returneras det och förstörs. 10 Upphörande av tjänsteförhållande och avslutande av studierna Rätten att använda Akademins e-postsystem upphör i och med att tjänsteförhållandet upphör eller studierna avslutas om man inte kommit överens om något annat med förmannen. Om arbetstagaren upphör att sköta sina uppgifter redan innan arbetsförhållandet avslutas bör man antingen förhindra emottagandet av e-post eller lägga in ett automatiskt svar ' Dessa ärenden sköts i fortsättningen av '
Då tjänsteförhållandet upphört bör arbetstagaren stryka sina personliga meddelanden och meddela sina e-postpartners om att hans/hennes e- postadress upphört att fungera. Övriga meddelanden förblir i Akademins bruk. Då en studerandes användarrättigheter upphört bör han/hon stryka sina meddelanden och meddela sina e-postpartners om att hans/hennes e-postadress upphört att fungera. Då en användare avlidit stängs hans/hennes e-postadress. Oöppnade meddelanden returneras till avsändaren. Övriga meddelanden sparas ett år och förstörs sedan. På basis av ett skriftligt avtal med enheten överlåts användarens öppnade personliga meddelanden till dödsboet. Om hanteringen av tjänste-e-postmeddelandena besluter enhetens förman. 11 Regler för hur man skall förfara då arbetstagaren tillfälligt är frånvarande Vid förutsebar frånvaro bör arbetstagaren se till att hans/hennes e-post sköts ändamålsenligt. Ett förstahandsförfarande är ett automatiskt meddelande om frånvaro, varav framgår kontaktuppgifter till ställföreträdare och om möjligt frånvarons längd. Orsak till frånvaron kan vara resa, utbildning, semester, sjukdom eller annat som berättigar till frånvaro. Om det finns risk för att skötseln av arbetsuppgifterna vid Akademin allvarligt försvåras, kan man råka in i en situation då man bör kunna komma åt enstaka e-postmeddelanden i den frånvarande arbetstagarens e-postmappar. Då kan man med tillåtelse av arbetstagaren och beslut av förmannen med hjälp av den personal som sköter det tekniska underhållet öppna de e-postmeddelanden som här avses. Härvid iakttas tystnadsplikt och principen om förbud att utnyttja informationen vilket gäller ifråga om privata meddelanden. Om man inte kan få tillåtelse av arbetstagaren besluter Datacentralens direktör om öppnande av meddelandena på föredragning av en tjänsteman vid Datacentralen.
12 Begränsande av e-postmeddelanden och av filer som bifogats dem Akademin har rätt att göra upp begränsningar för e-postmeddelanden och filer som bifogas dem. Begränsningarna kan t.ex. göras genom filtrering av för stora meddelanden och filer eller sådana meddelanden, filer, program och annat som skadar eller hotar Akademins datasäkerhet. Användarna informeras om dessa begränsningar. Akademin har rätt att programtekniskt granska meddelanden och filer med tanke på eventuella virus och skadliga program. Akademin har också rätt att stryka med-delanden som innehåller virus, skadliga program eller bifogade filer. Om man har strukit bifogade filer bör man meddela om detta till mottagaren och avsändaren för kännedom. 13 Hantering och verifiering av e-postmeddelanden som innehåller sekretessbelagda uppgifter Huvudregeln är att man inte med e-post får sända dokument som klassificerats som hemliga eller synnerligen hemliga. Endast dokument som innehåller enbart offentliga uppgifter får överföras som e-post eller på annat sätt över nätet utan användande av kryptering. Sekretessbelagda uppgifter eller personuppgifter som skall hållas hemliga kan överföras om man använder tillräckligt kraftiga krypteringsmetoder. Krypteringsprogram för Akademins e-postmeddelanden och tjänste-epostmeddelanden bör vara godkända och använda av Akademin. Ett dokument som emottagits via e-post bör vid behov kunna bestyrkas till sin riktighet och äkthet. Om ett tjänste-e-postmeddelande krypterats så att endast mottagaren kan öppna det bör det omedelbart efter överföringen sparas i klartext. Vid behov kan det på nytt krypteras så att det kan öppnas även av andra personer som behandlar ärendet.
14 Övervakande av e-post och datanät Akademin övervakar inte i onödan e-postmeddelanden och kränker inte integriteten hos mottagare, avsändare eller personer som nämns i meddelandena. Inte heller vid annan nätövervakning kränks integriteten omotiverat. Under vissa omständigheter kan en undersökning vara oundgänglig. Sådana fall behandlas under punkterna 15 och 16. Om övervakningen av användningen bestäms närmare i användar- och underhållsregler. 15 Uppsamlande och bevarande av logguppgifter som uppkommer vid användningen av e-post och datanätet Akademins offentliga www-sidor bör kunna läsas anonymt. Om Akademin på sidorna samlar personuppgifter meddelas användarna om detta och då uppges även användningsändamålet för uppgifterna. Vid Akademin använder man normalt logginformation endast för tekniska arbets-uppgifter som utförs av underhållspersonalen. Sådana uppgifter är t.ex. säkerställandet av servicenivån, utredning av driftseller andra störningar eller sammandrag som kan jämföras med statistiska uppgifter, där användningen inte kan urskiljas i detalj. Underhållspersonalen har tystnadsplikt. Logginfo används inte för att göra användarspecifika profilsammandrag eller liknande, men om man med fog misstänker missbruk kan logginfo också användas för att klarlägga saken. I arkivbildningsplanen eller underhållsanvisningarna definieras uppbevaringstid och -plats för loggarna. 16 Åbo Akademis rättigheter att läsa e-postmeddelanden Akademin har i allmänhet inte rätt att läsa e-postmeddelanden som sänts till användaren eller skickats av honom/henne, utom i de fall då man fått användarens tillåtelse. Om man har skäl att misstänka eller om det finns belägg för att Akademins datasäkerhet äventyras eller om det finns anledning att misstänka att en användare har gjort sig skyldig till brottslig verksamhet eller annat missbruk av Akademins datorresurser, beslutar Datacentralens direktör om rätt för någon representant för Akademin
att läsa e-postmeddelanden som har sänts till eller som har avsänts av användaren. Vid behov görs brottsanmälan till polisen, som kan införskaffa ett teleövervakningstillstånd av domstol. Om möjligt kan beslutas att användaren skall närvara när e-posten, som anlänt till eller avsänts av honom/ henne, öppnas. Därvid är det skäl att minst två representanter, som rektor utsett, och vid behov också förtroendemannen är närvarande. Vid störningar som hotar informationssystemets verksamhet eller servicenivå kan underhållspersonalen vara tvungen att öppna e- postlådan eller filen som innehåller meddelandet. För dessa situationer finns närmare anvisningar i underhållsstadgandena. 17 Underhållspersonalen Varje e-postsystem har en eller flera ansvarspersoner, som utses av Datacentralens direktör. Till underhållspersonalen hör de personer, som på grund av sitt arbete kommer åt logginformation och andra personers meddelanden. De har ovillkorlig tystnads-plikt och de har förbundit sig att iaktta verksamhetsreglerna för underhållspersonal. För underhållspersonalen definieras om möjligt personliga användarnamn. Under-hållsuppgifterna uppdelas i mån av möjlighet på flera personer som har olika användarbefogenheter. Underhållsåtgärderna dokumenteras och nödvändig logg-information samlas även in. E-postservrarna skyddas strängt och underhållet av dem sker så att både användbarheten och konfidentialiteten garanteras.