Anvisning för lagring och hantering av information vid Åbo Akademi Antagen av rektor den 19.4.2017. Den ursprungliga versionen av anvisningen behandlad av samarbetskommittén den 26.1.2017. Godkänd av ledningsgruppen för informationssäkerhet den 9.12.2016. Avsikten med denna anvisning är att minimera risker som uppstår vid felaktig lagring och hantering av information, d.v.s. att känslig information (vilken är viktig för ÅA:s verksamhet eller som på basis av lagar ska skyddas och hanteras varsamt) försvinner eller hamnar i fel händer och kan missbrukas. Notera att avsikten med anvisningen inte är att fungera som grund för enskilda beslut om sekretessbeläggning. Ifall tillgång till information begärs på basis av offentlighetslagen (Lag om offentlighet i myndigheternas verksamhet, Offentlighetslagen, OffL) ska den som begär informationen hänvisas till registratorn. Grundregeln är att all information är offentlig ifall inte annat bestäms i lag (se Frågor och svar: Vad innebär offentlighet?). Att informationen är offentlig innebär inte att informationen eller materialet får hanteras godtyckligt. Denna anvisning med tillhörande bilagor kombinerar Offentlighetslagen med informationens betydelse för Åbo Akademis verksamhet. Bilagor till denna anvisning utgörs dels av en överskådlig lagrings- och hanteringsmatris, dels en Frågor och svar-bilaga vilken definierar termer och besvarar frågeställningar. Hänvisningar i denna anvisning till ägarskap av information eller system ska inte uppfattas som slutgiltiga ställningstaganden beträffande ägarskap i ett civilrättsligt avseende. Anvisningen med tillhörande bilagor uppdateras vid behov av ledningsgruppen för informationssäkerhet på föredragning av informationssäkerhetschefen. Lagrings- och hanteringsanvisning 19.4.2017
Revisionshistoria Datum Version Upphovsman/Godk. Vad 9.12.2016 1.00 Arbetsgrupp/LGIS Ursprunglig version av anvisningen med tillhörande bilaga (lagrings- och hanteringsmatris). 3.1.2017 1.00 JW Redaktionella förändringar påpekade av LGIS den 9.12.2016 införda. Frågor och svar avsnittet utbrutet till en separat bilaga. Två nya stycken införda i Frågor och svar: Gäller anvisningen och lagring och hantering också mig? och Vad avses med att offentliggöra? 13.2.2017 1.00 JW På basen av behandlingen i samarbetskommittén: Hänvisning till lagar och regler som gäller informationssäkerhet. Införde nytt stycke i Frågor och svar-bilagan. 19.4.2017 1.00 JW Införde datum som rektor antagit anvisningen. ii
Innehållsförteckning Revisionshistoria... ii Innehållsförteckning... iii Hantering av information... 1 Identifiera informationsinnehållet... 1 Sekretessbeläggning av handlingar och icke-handlingar... 1 Olika grader av sekretesskänslighet... 2 Identifiera sekretesskänsligheten... 2 Hög sekretesskänslighet... 2 Låg sekretesskänslighet... 3 I regel ingen sekretesskänslighet... 4 Ingen sekretesskänslighet... 5 iii
Hantering av information Hantering av information innefattar lagring och hantering av information. Oberoende av om informationen är sekretesskänslig eller inte bör anvisningen för lagring och hantering av information vid Åbo Akademi följas. Anvisningen är uppgjord med tanke på både sekretessbestämmelser och den fortlöpande verksamheten inom Åbo Akademi. Identifiera informationsinnehållet All hantering av information ska utgå från att identifiera informationsinnehållet i ett alster eller en datamängd. Frågor som du ska ställa dig är: Vad är det för information som hanteras? Vilken lagstiftning är det som gäller informationen i fråga? Risker som ÅA avser att motarbeta med den här anvisningen är att utomstående kommer åt dokument 1 och uppgifter som bör skyddas. Orsaker till att riskerna realiseras kan vara bland annat att utskrifter och minnespinnar tappas bort eller glöms någonstans, att utrustning så som datorer och mobiltelefoner tas ur bruk på ett okontrollerat sätt och att datorer eller mobilutrustning stjäls. Andra orsaker är att personuppgifter och data lagras i tjänster inom vilka hanteringen är oförenlig med finsk lagstiftning (t.ex. vissa tjänster i utlandet) eller att det är oklart hur informationen egentligen används av tjänsteleverantören och vilken säkerhet som kan garanteras. Det enklaste sättet att motverka dylika risker är att lagra känsligt material på nätskivor och system (ex. DocSy) underhållna av ICT-service vid Åbo Akademi, samt använda utrustning och tjänster enligt anvisningen för lagring och hantering av information vid Åbo Akademi. I praktiken betyder detta att lagring av filer på hemområdet eller andra tjänster som sköts av ICT-service är det tryggaste och säkraste sättet för alla typer av filer och dokument oavsett sekretesskänslighet. Den som vill undvika lagrings- och hanteringsproblem (t.ex. behov av kryptering p.g.a. låg eller hög sekretesskänslighet) bör använda hemområdet antingen direkt från bordsdatorn eller genom VPN-tunnel om arbetet sker på distans. Sekretessbeläggning av handlingar och icke-handlingar Både handlingar 2 och icke-handlingar 3 kan sekretessbeläggas på basis av informationsinnehållet och gällande lagar i en separat prövning, dock aldrig med stöd av denna anvisning. Denna anvisning handlar om lagring och hantering av information, inte om sekretessbeläggning av dokument. 1 Med dokument avses både konkreta fysiska dokument så som exempelvis utskrifter och dokument eller data i elektroniskt format. Se Frågor och svar: Vad är ett dokument? för närmare beskrivning av termen dokument. 2 Se Frågor och svar: Vad är en myndighetshandling? för närmare beskrivning. 3 Se Frågor och svar: Vad är icke-handlingar? för närmare beskrivning. 1
Olika grader av sekretesskänslighet Det material som studerande och ÅA-anställda hanterar kan på basis av sekretesskänslighet och informationens betydelse för Åbo Akademis verksamhet delas in i fyra olika kategorier: - ingen sekretesskänslighet - i regel ingen sekretesskänslighet - låg sekretesskänslighet - hög sekretesskänslighet. Denna anvisning för lagring och hantering av information vid Åbo Akademi gäller, utöver offentliga myndighetshandlingar, också övrigt material. Exempel och huvudregler angående lägsta sekretesskänslighetskategorisering av information beskrivs i avsnittet Identifiera sekretesskänsligheten. Identifiera sekretesskänsligheten Kategorierna för sekretesskänslighet är nedan listade i fallande ordning av sekretesskänslighet. Orsaken är den att det är viktigt att du tänker på vilken typ av information som du hanterar då du identifierar informationsinnehållet. Risken att du bortser från någon typ av information är liten då du kan konstatera nej på ett antal punkter och stanna vid den första på vilken du konstaterar ja. I praktiken torde de flesta genomgångar löpa ner till kategorierna I regel ingen sekretesskänslighet eller Låg sekretesskänslighet. Kontrollera alltid lagringen och hanteringen med din chef ifall du är osäker på hur materialet ska hanteras. Observera att samtliga kategorier gäller både myndighetshandlingar och icke-handlingar. Hög sekretesskänslighet Uppgifter och material som enligt lag ska sekretessbeläggas enligt de striktaste kraven för sekretessbeläggning gäller information av nedanstående karaktär. Inom parentes anges lagrummet. Kontrollera lagringen och hanteringen med tjänsteägaren 4 och/eller ägaren av informationen 5 om det i alstret finns uppgifter av följande karaktär och klara processer eller instruktioner för hantering av informationen saknas från tidigare: - Känsliga personuppgifter, t.ex. uppgifter om någons hälsotillstånd, sjukdom eller handikapp eller vårdåtgärder eller därmed jämförbara åtgärder som gäller hen, någons samhälleliga eller 4 Se Frågor och svar: Vad avses med tjänsteägare? för närmare beskrivning. 5 Se Frågor och svar: Vad avses med ägare av information? för närmare beskrivning. 2
politiska uppfattning, sexuella inriktning eller beteende eller religiösa övertygelse, medlemskap i ett fackförbund liksom behov av socialvård (PUppgL 11, OffL 24.1 25 p). - Hemligt telefonnummer eller annan kontaktinformation (också tillfälliga) (OffL 24.1 31 p). - Uppgifter om psykologiska test eller lämplighetsprov som gäller en person eller resultatet av dem (OffL 24.1 29 p). - Handlingar som gäller beredskap för olyckor eller undantagsförhållanden liksom befolkningsskydd (OffL 24.1 8 p). - Skyddsarrangemang för personer, byggnader, inrättningar, konstruktioner samt data- och kommunikationssystem och genomförandet av arrangemangen (OffL 24.1 7 p). - Uppgifter om pågående undersökning eller behandling av brottmål (OffL 24.1 3 p). Låg sekretesskänslighet Uppgifter och material som enligt lag ska sekretessbeläggas. Inom parentes anges lagrummet. Kontrollera hanteringen med tjänsteägaren och/eller ägaren av informationen om det i alstret finns uppgifter av nedanstående karaktär och klara processer eller instruktioner för hantering av informationen saknas från tidigare: - Uppgifter om verbala bedömningar av en elevs personliga egenskaper (OffL 24.1 30 p). - Handlingar som gäller elevvård eller befriande av en elev från undervisning (OffL 24.1 30 p). - Elevers och examinanders provprestationer (OffL 24.1 30 p). - Offentlig upphandling: en annan anbudssökandes eller anbudsgivares affärs- eller yrkeshemligheter (OffL 11 6 p). - Handlingar som överlämnats till statistikmyndigheter för statistikframställning (OffL 24.1 16 p). - Uppgifter om en persons årsinkomster eller totala förmögenhet eller inkomster och förmögenhet som ligger till grund för stöd eller förmåner eller som annars beskriver personens ekonomiska ställning (OffL 24.1 23 p). - Upphandling eller arrangemang som avser placering, finansiering eller låneskötsel (OffL 24.1 17 p). - Handlingar som avser en klagan, innan ärendet har avgjorts (OffL 24.1 6 p). - Planering av eller basmaterial för lärdomsprov eller vetenskaplig forskning, teknologiskt eller något annat utvecklingsarbete eller bedömning av sådant arbete (OffL 24.1 21 p). - Uppgifter om en privat affärs- eller yrkeshemlighet (OffL 24.1 20 p). - Personnummer och personuppgifter (så som kontaktuppgifter och familjeband) (PUppL 13). - ÅA:s egna affärs- eller yrkeshemligheter (OffL 24.1 17 p). 3
I regel ingen sekretesskänslighet Information som i övrigt hör till Åbo Akademis fortlöpande verksamhet och som är avsedd för dem till vars uppgifter det hör att hantera informationen i fråga, de som bör och behöver veta och känna till materialet. - Offentliga myndighetshandlingar, exempelvis: o information som inte är avsedd att offentliggöras för allmänheten (i alla fall inte i detta skede) o beslut (rektors-, styrelse-, fakultetsråds-, dekanus- o.s.v.) o bedömningsbeslut o avtal. - Icke-handlingar så som: o arbetsdata, dokumentering av pågående arbete o utkast, anteckningar, promemorior o övriga icke-handlingar. 4
Ingen sekretesskänslighet Personligt eget material som inte skyddas av sekretessbestämmelser i lagar eller avtal och offentliggjord 6 ÅA-information. Två typer av material kan särskiljas: - Eget, personligt material utan både bindning till ÅA:s verksamhet och sekretesskänslighet, om du själv så väljer. Detta kan vara uppgifter som studerande gör och sammanställer för sina studier, exempelvis till utkast och färdiga: o uppsatser o räkneövningar o studiematerial, -övningar och svar så länge det är studerandens alster. Det centrala är att det här materialet är personligt och att det inte innehåller något som är sekretesskänsligt (se ovanstående kategorier). Då studieuppgifter lämnas in till tentatorn bör denne hantera det inlämnade dokumentet som ett dokument som hör till Åbo Akademis verksamhet 7. - Material som ÅA beslutat att offentliggöra enligt OffL 20 (Myndigheternas skyldighet att producera och sprida information) o Exempelvis: o publikationer o meddelanden och pressrelease. 6 Se: Frågor och svar: Vad innebär offentlighet? för närmare beskrivning. 7 Se Frågor och svar: Kan dokument som inte hört till Åbo Akademis fortlöpande verksamhet bli information som hör till ÅAs verksamhet eller rentav en myndighetshandling? för närmare beskrivning. 5