Datatilsynets egne retningslinjer for de ansattes bruk av dataanlegget er innarbeidet i internkontrollsystemet. Her er et utdrag av de bestemmelsene som dreier seg om bruk av Internett og e-post, hjemmekontor og bærbart utstyr. Det presiseres at hver enkelt arbeidsgiver må utarbeide retningslinjer som er tilpasset sin egen virksomhets behov, og at dette bør gjøres i dialog med de ansatte. Ikke minst er det viktig å påse at retningslinjene gjøres kjent for alle som til enhver tid kan bli berørt av disse.
Instruks for bruk av Internett:
Krav til aktsomhet:
- Ta utgangspunkt i at du aldri er anonym på nettet og at all kommunikasjon på nettet kan spores tilbake til maskinen du sitter på i Datatilsynet.
- Så lenge du befinner deg i Datatilsynets lokaler og benytter informasjonssystemet defineres du å være pålogget i embets medfør.
- Det at du er ansatt i Datatilsynet forplikter spesielt i forhold til god etikk. Den enkelte skal derfor ha et reflektert forhold til hvilke søk, og hvilke nedlastinger av materiale som foretas. Du må også være spesielt aktsom for hva som kommuniseres ut.
- Datatilsynet har som policy å ikke ”overvåke” den enkeltes bruk av Internett. Det forutsettes at bruken skjer i samsvar med de retningslinjer som er gitt. Vær imidlertid oppmerksom på at sikkerhetslogger kan inneholde informasjon om trafikk knyttet til enkeltpersoner. Disse sikkerhetsloggene gjennomgås jevnlig av sikkerhetsleder. Gjennomgangen skjer på et overordnet nivå. Ved mistanke om sikkerhetsbrudd vil sikkerhetslogger kunne inngå som grunnlag for å vurdere sikkerhetsbruddet. Ved innsyn i personopplysninger i logger, skal metoden for innsyn i e-post følges.
- Datatilsynet tillater begrenset privat bruk av Internett, uten at dette på noen måte må komme i konflikt med grunnregelen i kulepunkt to, som forutsetter aktsom opptreden.
- Det skal alltid foretas viruskontroll av nedlastede filer før disse tas i bruk på Datatilsynets informasjonssystem.
- Det skal ikke lastes ned programmer, eller lyd- og bildefiler (eks. shareware, MP3 filer og film) til egen maskin som ikke er å anse som jobbrelatert. Vedlegg som mottas i e-post er ikke omfattet av dette.
- Det er ikke tillatt å bruke chat-programmer, messenger, IRC mv.
Det anses som brudd på arbeidskontrakt å:
- Søke eller laste ned materiale fra nettsider du er kjent, eller burde være kjent med inneholder ulovlig materiale. I den grad dette skulle være nødvendig som ledd i saksbehandling, må nærmeste leder ha gitt sin tillatelse til dette, i samråd med sikkerhetsleder.
- Brudd på copyright (tekster, programmer, bilder), forsøk på hacking eller annen uautorisert tilgang til andre informasjonssystemer.
Instruks for bruk av e-post:
Hva skal gjøres:
Den enkelte skal bruke elektronisk post med tilstrekkelig aktsomhet. Elektronisk post må, forutsatt at den ikke er kryptert, betraktes å være relativt lett tilgjengelig for uvedkommende.
Følgende regler gjelder:
- Det skal ikke sendes sensitive personopplysninger med elektronisk post. E-post som inneholder sensitive opplysninger skal ikke distribueres videre, kommenteres eller besvares.
- I den grad det er sendt e-post med sensitivt materiale til Datatilsynet, skal meldingen raskest mulig skrives ut og registreres som sak. Opprinnelig melding ( og evt. kopier av denne) skal slettes.
- Vedlegg til e-post skal ikke åpnes, med mindre forsendelsen kommer fra en avsender det er rimelig å forvente ønsker saklig kontakt med Datatilsynet
- Forhåndsvisning bør ikke benyttes, da dette kan medføre uønsket innsyn i e-post, samt kan gjøre virusangrep lettere.
- Det er ikke tillatt å starte eller videresende kjedebrev.
- Den enkelte er ansvarlig for fortløpende å slette meldinger som ikke lenger er aktuelle. I tillegg skal det foretas periodisk gjennomgang og sletting minst hvert halvår.
- E-post er først forsvarlig slettet når de er slettet fra epostsystemets ”søppelkasse”.
- Som en ekstra sikkerhet mot innsyn i private opplysninger, oppfordres de ansatte til å merke e-post med privat innhold med ”privat”, eventuelt opprette en mappe merket ”privat” for denne typen e-post.
Ved planlagt fravær ut over tre dager skal fraværsassistenten benyttes.
Instruks for behandling av e-postkasser og private filer ved avsluttet arbeidsforhold
Hva skal gjøres:
Før fratreden skal den ansatte rydde opp i sin e-postkasse og private filer på hjemmeområde og sørge for at opplysninger som fortsatt skal lagres overføres til rett person i tilsynet. Vedkommende er selv ansvarlig for å sørge for at adresse til eventuell ny personlig e-postkasse blir gitt til kontakter i den grad det er nødvendig.
Så snart den ansatte har fratrådt sin stilling skal dennes personlige e-postkasse og øvrige filer på dennes hjemmeområde slettes.
Ved dødsfall skal personlig e-postkasse og private filer slettes, med mindre det er sannsynlig at politiet vil ønske innsyn i opplysningene. Før sletting finner sted kan det foretas innsyn for å sortere ut virksomhetsrelatert e-post i tråd med rutine for dette.
Instruks for innsyn i e-post
Hva skal gjøres:
Datatilsynets virksomhet har som formål å sikre at den personlige integritet ikke blir krenket ved behandling av personopplysninger. Dette formålet legges også til grunn ved behandling av opplysninger om egne ansatte.
Rutinen skal sikre at virksomheten får tilgang på nødvendige opplysninger lagret i e-post uten at de ansattes personvern blir krenket. Reglene nedenfor skal alltid følges dersom det oppstår behov for innsyn i denne typen opplysninger.
Definisjoner:
"Personlig e-postkasse": e-postkasse knyttet til en enkelt ansatt
"Virksomhetsrelatert e-post": e-post som er knyttet til gjennomføring av arbeidsoppgaver
"Privat e-post": e-post med innhold av privat art, så som e-post til personlige kontakter, hilsener, e-post sendt til og fra fagforening, tillitsvalgte og helsetjeneste.
Følgende regler gjelder:
Innsyn i personlig e-postkasse skal som utgangspunkt ikke finne sted.
- Ved planlagt fravær over lengre tid, skal adressert e-post ikke åpnes av Datatilsynet. Det er e-postadresseinnehaverens ansvar å sørge for at e-post som betegnes som saksdokument for organet ikke blir liggende på ens e-postadresse uåpnet.
- Samtykke til å åpne personlig e-postkasse ved fravær skal foreligge før e-postkassen kan åpnes av arkivet i den hensikt å sortere ut virksomhetsrelatert e-post.
- Dersom det er umulig å innhente samtykke kan arkivet åpne e-postkassen for å sortere ut virksomhetsrelatert e-post etter beslutning av e-postinnehaverens nærmeste leder eller stedfortreder, etter konsultasjon med minst en av de tillitsvalgte. Dette vil kunne være aktuelt dersom innsyn er nødvendig for å ivareta virksomhetens oppgaver. Behovet for innsyn skal dokumenteres.
- Det skal alltid være minst et vitne tilstede ved gjennomføringen av innsyn uten samtykke og fremgangsmåten, herunder hvilke e-poster som er åpnet, skal dokumenteres.
Innsyn i privat e-post skal ikke finne sted. Det skal heller ikke gjøres søk i opplysninger som er merket ”privat” eller samlet i mappe som er merket ”privat”.
Ved mistanke om straffbare forhold knyttet til bruk av e-post/Internett skal politiet kontaktes.
For å sikre bevis kan e-postkassen speilkopieres. Behovet for speilkopiering skal dokumenteres. Innsyn i speilkopien skal følge rutinen over.
Instruks for bruk av hjemmekontorutstyr
Retningslinjene gjelder bruk av hjemmekontorutstyr som er levert av Datatilsynet til bruk i embeds medfør.
Følgende er fastsatt:
- Det skal ikke behandles sensitive personopplysninger.
- Saksdokumenter skal ikke varig lagres på lokal disk på hjemmekontor. Lagring utover 60 døgn skal begrunnes.
- Det skal brukes brukernavn og passord for å få tilgang til hjemmekontoret
- Det skal ikke installeres programmer på datamaskinen uten at det er godkjent av systemansvarlig
- Det skal til enhver tid benyttes antivirusprogram. Dette skal jevnlig oppdateres og kjøres
- Det skal benyttes brannmur
Instruks for bruk av bærbart utstyr
Instruksen skal sikre forsvarlig anvendelse av mobilt utstyr, herunder PC, USB-penn, PDA og liknende og er rettet mot alle medarbeidere som benytter mobilt utstyr.
Følgende er fastsatt:
- Det skal ikke behandles sensitive personopplysninger.
- Det skal brukes brukernavn og passord eller annen autentisering.
- Det skal ikke installeres programmer på datamaskinen uten at det er godkjent av sikkerhetsleder
- Det skal til enhver tid benyttes oppdatert antivirus program.