Rutiner för hantering av e-post

Inledning

Uppsala universitets rutiner för hantering av e-post beskriver hur de anställda och övrigt verksamma som har tillgång till myndighetens e-postsystem ska hantera sin e-post och universitetets epostsystem för att den ska bli ett säkert och tidsbesparande verktyg som hanteras i enlighet med det regelverk som styr användningen av e-post.

Detta uppnås genom att informera personalen och undvika hanteringsproblem som till exempel överfulla inboxar som kan leda till stress, merarbete vid begäran om allmän handling eller att viktiga e-postmeddelanden försvinner.

I övrigt gäller att alla anställda ska följa Uppsala universitets riktlinjer vad gäller säkerhet och allt handhavande av universitetets IT-resurser.

Syfte

Syftet med dessa rutiner för e-posthantering är att ge konkreta anvisningar och stöd till de anställda för hur e-posten ska användas inom myndigheten. Detta för att e-posten ska uppfylla aktuella lagkrav och bli ett tidsbesparande verktyg som alla anställda har kunskap om hur det ska användas.

Allmänt

Alla inom Uppsala universitet ska använda sig av det e-postsystem och den personliga e-postadress (eller funktionsadress) som tillhandahålls av myndigheten när e-post skickas i tjänsten, vid både intern och extern kommunikation.

Det är inte tillåtet att automatiskt vidarebefordra e-post till andra e-postsystem.

E-post av privat karaktär får endast i begränsad omfattning tas emot och skickas från Uppsala universitets e-postsystem.

Inkommande e-postmeddelanden ska kontrolleras regelbundet och alltid hanteras i enlighet med gällande lagstiftning kring offentlighet och sekretess, exempelvis vad gäller diarieföring.

Var och en bör vidare beakta att e-postmeddelanden i regel är offentliga allmänna handlingar och därför kan komma att lämnas ut.

För att uppfylla kraven i dataskyddsförordningen och underlätta hanteringen ska e-post endast användas som transportör av information, och inte för lagring eller process av vital information. För att e-posten ska kunna vara ett effektivt verktyg bör användaren se till att begränsa mängden oönskad e-post samt minimera storlek på e-brev med till exempel restriktivitet vad gäller bilagor.

Var och en har ett ansvar att till närmaste chef påtala när det upplevs att användaren saknar kunskap inom vissa områden vad gäller e-posthanteringen. Det är chefens ansvar att informera sina anställda om de utbildningsresurser som finns för att lära sig att hantera e-post på ett effektivt sätt.

Begränsa förekomsten av personuppgifter i e-posten

Minska spridningen av personuppgifter genom att alltid tänka efter om personuppgifter behöver finnas med i e-postmeddelandet.

E-postmeddelanden som innehåller känsliga personuppgifter eller sekretesskyddade uppgifter ska krypteras, se vidare Rutiner för informationssäkerhet; säker informationshantering, UFV 2018/668 och Rutiner för informationssäkerhet; riskhantering UFV 2018/211.

Sortera din e-post

E-postmeddelanden som inte diarieförs eller hålls ordnade på annat sätt bör du gå igenom och rensa regelbundet. Dessa ska inte ligga kvar i inkorgen. Reklam, skräppost och övrigt som uppenbart är av ringa betydelse kan raderas direkt.

E-posthantering vid frånvaro

Lägg in ett automatiskt meddelande i autosvar när du är borta mer än en arbetsdag och tala om när du förväntar dig att vara åter så att de som skickar e-post till dig vet att du inte är tillgänglig. Uppge också en alternativ kontakt.

Se till att inkommande e-post bevakas under ledigheter eller annan längre frånvaro för att säkerställa att e-post som är allmänna handlingar hanteras i enlighet med de tidsramar som återfinns i gällande lagstiftning. (Instruktioner för att vidarebefordra e-postmeddelanden hittar du i MedarbetarportalenàStöd och serviceàIT och telefonià AnvändarguideràE-post och kalender àFunktioner för epostàHantera vidarebefordran.)

Användning av funktionsadresser rekommenderas särskilt för de funktioner som innefattar myndighetsutövning.

Säkerhet

E-post med okänt innehåll eller bifogade filer ska hanteras med försiktighet.

Undvik om möjligt att öppna misstänkta meddelanden - ärenderaden eller en förhandsgranskning av de första raderna i meddelandet kan vara ett sätt att avgöra om meddelandet är äkta.

Svara aldrig på reklam/oönskad e-post (s.k. spam). Ett svar innebär en bekräftelse till avsändaren att adressen är aktiv.

Öppna inte bifogade filer om du är osäker på vad de kan innehålla.

Om en bilaga som öppnas begär aktivering av makron, neka detta. Makron i t.ex. Word, Excel eller Adobe PDF är vanliga sätt för angripare att sprida virus eller stjäla information.

Lämna aldrig ut lösenord eller koder till någon annan.

E-post med misstänkt innehåll kan innebära t.ex. phishing, ransomware, ekonomiska bedrägerier, virus m.m. Om du misstänker försök till nätfiske, ta det säkra före det osäkra och skicka e-postmeddelandet så snabbt som möjligt till Säkerhetsavdelningen – enheten för informationssäkerhet (security@uu.se).

Om e-post innehåller hot - spara meddelandet och kontakta Säkerhetsavdelningen (security@uu.se).

Upphörande av anställning

Om din anställning vid Uppsala universitet upphör (oavsett orsak) ansvarar du själv för att all e-post som du mottagit och som bör omhändertas, men som ännu inte hanterats, lämnas över till närmaste chef.

Uppsala universitet assisterar inte vid eventuell överföring av utvalda e-postmeddelanden till externa e-postsystem eller annan export.

E-postmeddelanden i brevlådor tillhörande konto som varit inaktivt i fyra år gallras.

Se även Rutiner för informationssäkerhet; Hantering av elektroniskt lagrad information när anställning, studier eller uppdrag vid Uppsala universitet upphör (UFV 2012/415).

Loggning och kontroll av användandet av e-post

All e-post och datortrafik i universitetets nätverk loggas. Universitetet har som arbetsgivare rätt att gå igenom dessa loggar och ta del av innehåll i e-post för att kunna kontrollera att regler i lagstiftning eller myndigheters riktlinjer följs och för att kunna utföra de uppgifter som åligger universitetet, samt för att identifiera, hantera eller motverka informationssäkerhetshot.

Universitetet som arbetsgivare kontrollerar inte regelmässigt innehållet i anställdas datorer, e-postmeddelanden eller internettrafik, för att så långt det är möjligt respektera den personliga integriteten. Universitetet kan dock komma att kontrollera uppgifter som finns i en dator, e-postmeddelanden och internettrafik om det är nödvändigt för följande syften:

• Uppfyllande av myndighetens skyldigheter såsom allmänna handlingars offentlighet
• Vid fara för informationssäkerheten
• På uppdrag från polis eller andra rättsvårdande myndigheter
• Vid fara för någons liv eller hälsa
• Vid universitetets interna utredningar

Ansvar

Myndighetens chefer ansvarar för att alla anställda inom universitetet är förtrogna med myndighetens rutiner för eposthantering, men det ligger på individens ansvar att följa rutinerna.

Följs inte gällande bestämmelser kan det innebära att arbetsrättsliga eller andra åtgärder kommer att vidtas. I fall där en statlig arbetsgivare finner att en anställd är skäligen misstänkt för vissa brott som kan föranleda annan påföljd än böter, är arbetsgivaren enligt 22 § lagen (1994:260) om offentlig anställning skyldig att anmäla det misstänkta brottet till åtal.

Även andra fall kan komma att anmälas till polis för utredning.