Käyttöohjeet

Suositeltava etenemisjärjestys ja toiminnot

1. Käyttäjätunnusten ja -oikeuksien hallinta

• yksiköiden luonti
• henkilöiden luonti
• koulutusten luonti
• muistutusten määrittäminen

2. Tietosuojan ja tietoturvan perehdytysten sekä riskien arvioinnin lomakkeiden luonti

• tehdään ensimmäisenä tietosuojaan perehdys
• seuraavaksi tietoturvaan perehdytys
• viimeisenä odottamaan kohtaa 4 riskien arviointi

3. Tietosuojan ja -turvan dokumenttien tekeminen (organisaation dokumentaatio)

• vastataan edellisessä kohdassa luotujen lomakkeiden valmiisiin kysymyksiin, joista muodostuu lopulta organisaation oma asetuksen edellyttämä perusdokumentaatio
• julkaistaan haluttuna/sopivana ajankohtana ne näkymään Henkilö-osioon koulutusta varten

4. Tietosuojan riskien arviointi

• arvioidaan perehdytysten vastausten perusteella vielä tarkemmin löydetyt riskit, uhat, ongelmat ja puutteet sekä määritetään niille hallintatoimet

5. Henkilöstön perehdyttäminen ja koulutus asetuksen mukaisesti

• henkilöstön koulutus on olennainen osa asetuksen vaatimuksia
• perehdytys/koulutus voidaan tehdä itseopiskeluna, yhdessä esimiehen kanssa sekä ryhmäkoulutuksena
• voit käyttää palvelussa olevia kysymyksiä ja niihin aikaisemmin annettuja vastauksia valmiina koulutusmateriaalina

6. Koulutusten merkitseminen koulutusrekisteriin

• perehdytykset, erilaiset koulutukset, kortit, luvat ja pätevyydet on hyvä syöttää palvelun koulutusrekisteriin, jolloin niiden hallinnointi helpottuu
• niiden voimassaoloaikoja on myös hyvä valvoa Hallinta-osion muistutuksilla

7. Poikkeamailmoitusten tekeminen ja luonti

• asetus edellyttää ilmoittamaan havaituista tietoturvaloukkauksista ym. poikkeamista
• ilmoitus on kaikille henkilöstön jäsenille avoin

Ohjeistus pdf-muodossa

Lataa Pro Tietosuoja -palvelun ohje- ja vinkkidokumentti pdf-muodossa alla olevasta linkistä.

Lataa dokumentti (pdf)

Ohjevideot

Pro Tietosuojan ominaisuudet ja hallinta-valikko

Tässä videossa esitellään palvelun yleiset ominaisuudet sekä hallinta-valikon sisältämät toiminnot.

Lomakkeet

Palvelun Lomakkeet-osion käytön ohjeistusvideo.

Henkilöt

Ohjeistusta ja vinkkejä videomuodossa Henkilöt-osion sisältämiin toimintoihin.

Koulutusrekisteri

Video-ohjeistus koulutusrekisterin käyttöön.

Poikkeamailmoitus

Opasvideo poikkeamailmoitusten hallintaan ja käyttöön.

Ohjeita ja vinkkejä järjestelmän käyttäjälle

Tutustu Pro Tietosuoja -palvelun järjestelmän ominaisuuksiin. Ne on esitelty pääsivulla.

Ohjeet auttavat toimimaan oikein ja etenemään oikeassa järjestyksessä.

Hallinta-valikko

Siirry pikaohjeisiin tutustumisen jälkeen Hallinta-valikkoon. Hallinta-työkalut ovat ainoastaan pääkäyttäjän käytettävissä.

Yksiköiden luominen

Luo organisaatiolle niin sanottu hakemistopuu-rakenne. Tämä tehdään Hallinta-valikon Yksiköt-osion alta.

Organisaatiorakenne kannattaa selvittää ja suunnitella etukäteen huolellisesti paperille, jolloin sen luominen järjestelmään nopeutuu, ja lopputulos on toimiva.

Yksiköissä on valmiina organisaation virallinen nimi eli pääyksikkö.

Alayksiköitä lisätään pääyksikön alle Luo alayksikkö -napista. Luoduille alayksiköille on mahdollista lisätä myös niiden omia alayksiköitä.

Varaa suunnitteluun riittävästi aikaa, jotta rakenteesta tulee selkeä ja yksinkertainen. Liian moniportainen rakenne voi aiheuttaa turhaa työtä ja ongelmia jatkossa.

Luotu organisaatiorakenne on käytössä myös Lomakkeet-osiossa, jossa kullekin yksikölle lisätään tarvittavia perehdytys- sekä tietosuojan riskien arviointi -lomakkeita Lisää lomake -napista.

Henkilöiden lisääminen

Palveluun lisätään organisaation henkilöstö. Kullekin määritellään sopiva rooli sekä käyttäjätunnukset ja -oikeudet. Lisäys tehdään Hallinta-valikon Henkilöt-osion kautta.

Rooleja ovat:

• pääkäyttäjä
• käyttäjä
• esimies
• henkilö

Varsinaiset palvelun käyttäjät valitaan vastuualueen, osaamisen ja aseman perusteella, ja heille valitaan sopiva rooli. Tämä tapahtuu henkilön lisäyksen yhteydessä.

Pääkäyttäjät toimivat automaattisesti poikkeamailmoitusten vastaanottajina. Kaikilla muilla on oikeudet tehdä itse ilmoitus.

Koko henkilöstön lisääminen palveluun on tärkeää, jos halutaan, että kaikki voivat suorittaa tietosuojan ja tietoturvan perehdytykset järjestelmän avulla. Tiedot tarvitaan myös koulutusrekisterissä sekä mahdollisina vastuuhenkilöinä riskien arvioinnissa.

Jos henkilöllä ei ole organisaation sähköpostia

Henkilöt, joilla ei ole organisaation sähköpostia käytössä voivat antaa oman henkilökohtaisen sähköpostinsa käyttöön sisäänkirjautumista varten.

Lisää Henkilö-napista avautuu ikkuna henkilöiden lisäämiseksi. Tietoja voidaan ylläpitää ja muokata myöhemmin.

Lisättäville henkilöille valitaan oma rooli ja määritetään yksiköt, joihin heillä on oikeudet.

Avautuneessa Uusi henkilö -ikkunassa lisättävän henkilön rooli määrittää järjestelmän käyttöoikeuksia. Käyttöoikeuksien kuvaus alempana.

Uusi henkilö -ikkunan alaosassa olevasta organisaation hakemistopuurakenteesta määritetään henkilön oikeudet yksiköihin. Hänelle rastitaan vain ne yksiköt, joihin hän kuuluu tai joissa hän työskentelee.

Hakemisto on näkymältään sama, joka tehtiin alussa Hallinta-osiossa.

Tämä rakenne tulee suoraan Hallinta-valikon Yksiköt-osioon rakennetusta organisaatiorakenteesta.

Valittaessa yksiköitä Esimies– ja Henkilö-rooleille on tärkeää huomioida roolien käyttöoikeuksien laajuudet. Käytännössä näille valitaan ne yksiköt, joissa he työskentelevät tai mistä yksiköstä esimiehet ovat vastuussa.

Roolien kuvaus ja käyttöoikeudet

Pääkäyttäjällä on kaikissa muissa rooleissa esiteltyjen oikeuksien lisäksi

• oikeudet käyttää navigointipalkin Hallinta-työkaluja
• nähdä Poikkeamat.

Pääkäyttäjiä suositellaan olevan enemmän kuin yksi (mm. lomien, henkilövaihdosten ja vastuualueiden muutosten vuoksi). Mutta ei kuitenkaan kovin monta virheiden välttämiseksi. Kolme voi olla monelle hyvä määrä.

Pääkäyttäjiä voivat olla yrittäjä, toimitusjohtaja, tietosuojavastaava tai muu tietosuoja-asioista vastaava henkilö (tietosuojayhteyshenkilö) sekä hänen lähimmät apulaisensa.

Käyttäjä näkee navigointipalkissa seuraavat osiot:

• Lomakkeet
• Henkilö
• Koulutusrekisteri

Käyttäjällä ei ole oikeuksia navigointipalkin Hallinta-työkaluihin.

Käyttäjällä on edellä mainituissa osioissa

• hänelle osoitettujen/oikeutettujen yksiköiden kaikki käyttöoikeudet
• oikeus lisätä yksiköille sekä perehdytys- että tietosuojan riskien arviointi -lomakkeita Lomakkeet-osiossa
• mahdollisuus lisätä Henkilö-osiossa henkilöstölle perehdytyslomakkeet opiskeltaviksi samoin kuin esimies (ks. alla), ja toimia kouluttajana/perehdyttäjänä.

Tyypillinen Käyttäjä on usein esimerkiksi vastuullinen yksikön vetäjä, paikallisjohtaja tai työnjohtaja.

Toimet on suositeltavaa ja käytännöllistä vastuuttaa työntekijöiden suorille esimiehille, jotka usein vastaavat myös alaistensa koulutusten merkitsemisestä koulutusrekisteriin.

Esimiehellä on navigointipalkissa nämä osiot:

• Henkilö
• Koulutusrekisteri

Henkilö-osiossa esimies pystyy lisäämään vastuullaan olevissa yksiköissä työskenteleville alaisilleen tietosuojan ja tietoturvan perehdytyslomakkeet opiskeltaviksi.

Koulutusrekisterissä esimies ylläpitää (lisää/muokkaa/poistaa).

• alaistensa koulutuksia
• kortteja
• lupia
• pätevyyksiä

Henkilöllä näkyy pääsivulla navigointipalkissa nämä osiot:

• Henkilö
• Koulutusrekisteri

Hän näkee näistä ainoastaan omat tietonsa.

Henkilö-rooli valitaan yleensä tavalliselle työntekijöille, joka koulutetaan Pro Tietosuoja-järjestelmän perehdytyskäyttöliittymän avulla.

Omalla käyttäjätunnuksella Henkilö näkee palveluun tallennetut omat tiedot.

Henkilöllä ei ole oikeuksia muokata tietojen sisältöä.

Henkilö voi opiskella hänelle lisätyt perehdytysmateriaalit ja merkitä opiskelemansa kohdat laittamalla rastin kohtaan Opittu.

Koulutukset ja kortit

Osiossa ylläpidetään

• tietosuojaan ja tietoturvaan liittyviä perehdytyksiä ja koulutuksia
• kortteja
• lupia
• pätevyyksiä (kutsumme näitä kaikkia jäljempänä yleisnimellä Koulutuksia)

Näiden näkyvyyttä voidaan muokata Hallinta-valikon Koulutukset ja Kortit-osiossa.

Koulutukset ja Kortit -osioon kirjataan käytössä olevat koulutukset. Niihin voidaan lisätä vapaamuotoinen kuvaus esimerkiksi sisällöstä ja vaatimustasosta.

Lisää Koulutus -napin kautta voi lisätä järjestelmään omia kortteja, koulutuksia, lupia ja pätevyyksiä.

Kuvauksia ja nimiä voi muokata myöhemmin Muokkaa -napin avulla.

Koulutukselle voidaan antaa mikä tahansa nimi sekä kuvata vapaamuotoisesti koulutuksen sisältö ja tavoite.

Muistutukset

Automaattinen sähköpostimuistutus koulutusten ja korttien vanhenemisajasta voidaan lisätä Hallinta-valikon Muistutukset-osiossa.

Muistutusten hallinnassa voidaan valita

• muistutuksen ajankohta ennen koulutusrekisterin tietojen vanhentumista
• vastaanottajiksi yksi tai useampi henkilö (sähköpostiosoitteet erotetaan toisistaan pilkulla)
• vastaanottajaksi myös koulutettu henkilö

Ilmoitus lähtee kerran viikossa, ei päivälleen oikeana ajankohtana.

Lisättäviä henkilöitä voivat olla esimerkiksi Käyttäjä– tai Esimies-roolit. Muistutusten vastaanottajan sähköpostin ei tarvitse olla välttämättä ennalta järjestelmään lisätty.

Muistutuksia on mahdollista tehdä useampia. Painamalla harmaata + -nappia.

Muistutukset voi poistaa painamalla punaisesta X-napista.

Tallenna muutokset painamalla Tallenna-nappia oikeassa alareunassa.

Ohjeet avautuvat viemällä hiiri Näytä ohje -napin päälle.

Lomakkeet

Yleistä

Perusdokumentaation voi tehdä monella tavalla. Palvelumme ottaa huomioon hyvin pienet mutta myös isommat ja rakenteeltaan monimutkaisemmat organisaatiot.

Esittelemme kaksi eri mallia. Niiden lisäksi voitte tehdä oman materiaalinne ja toimenne ”siltä ja väliltä” -mallilla. Suosittelemme aloittamaan kevyestä versiosta, jos resurssit ja osaaminen ovat vielä rajallisia. Kevyt-versio pitää parhaiten yllä myös motivaatiota. Dokumentaatiota voi parantaa ja kasvattaa sitä mukaa kun taidot karttuvat.

Jos teillä on kokemusta tietosuojasta ja -turvasta sekä siihen koulutettuja henkilöitä voitte tehdä perusteellisemman työn heti alussa. Palvelun kaikki ominaisuudet kannattaa kuitenkin ottaa käyttöön vasta sitten, kun kokemusta on jo kertynyt, jotta saatte palvelusta kattavan ja turvallisen.

Ulkopuolinen asiantuntija-apu voi olla alussa hyvä ratkaisu. Kukaan muu ei kuitenkaan tunne organisaationne kaikkia yksityiskohtia yhtä hyvin kuin te itse, eikä siksi voi vastata dokumentaationne ylläpidosta jatkossa. Oikotietä onneen ei ole, vaan tulevina vuosina työ on tehtävä itse.

Lomakkeiden luominen, aloittelijan kevytversio

Niin sanotun hakemistopuun juuressa on organisaationne nimilaatikko – tehkää kaikki dokumentit nimilaatikon alle.

Luokaa ensimmäisenä tietosuojan perehdytys vastaamalla palvelun esittämiin valmiisiin kysymyksiin. Kaik-kiin kysymyksiin ei tarvitse vastata heti, sillä jotkut kysymykset vaativat varmasti selvitystyötä ja miettimistä ryhmässä.

Lomakkeen voi tallentaa keskeneräisenä ja palata kysymysten pariin myöhemmin. Jo kirjattuja vastauksia voi myös muokata myöhemmin. Tärkeintä on, että vastaatte kysymyksiin totuudenmukaisesti. Jos kysymys ei koske teitä, voitte ruksata sieltä kohdan Ei koske meitä.

Ei koske meitä -rasteja kannattaa käyttää säästeliäästi ja vain silloin, kun asia ei todellakaan koske organisaatiota. Jos ohitettuja kohtia on paljon, valvova viranomainen voi ongelmatilanteissa kiinnittää niihin huomiota.

Kun tietosuojan perehdytys on valmis, voitte siirtyä tietoturvaan.

Se tehdään samalla periaatteella kuin tietosuoja. Jos tietoturvanne on ulkoistettu palveluntarjoajalle, työnne helpottuu huomattavasti, kun otatte heidän asiantuntijansa mukaan vastaamaan kysymyksiin. Jos vastaatte siitä kokonaisuudessaan itse, voitte silloinkin käyttää tarvittaessa ulkopuolista ammattilaista apuna.

Jos olette luoneet useita yksiköitä ja antaneet niissä työskenteleville henkilöille oikeudet vain niihin, niin kaikkiin yksiköihin sopivat ja organisaation ainoat lomakkeet on kopioitava riittävillä oikeuksilla ”alenevassa polvessa” Kopioi lomakkeesta -toiminnolla kuhunkin yksikköön yksitellen ja julkaistava. Muuten ne eivät näy alayksiköissä työskenteleville. Dokumentit löytyvät hakemistopuun juuresta.

Viimeiseksi tehdään Tietosuojan riskien arviointi.

Kohdat ovat lähes samoja, joihin vastasitte edellisissä Tietosuojan ja -turvan lomakkeissa. Nyt tarkoituksena on arvioida ja kyseenalaistaa annettuja vastauksia. Löytyykö kuhunkin aiheeseen liittyvä uhka, puute, ongelma tai selkeä riski? Jos vastaus on kyllä, toimitte myöhemmin annettavien ohjeiden mukaisesti (kts. riskien arviointi).

Pienissäkin organisaatioissa riskien arviointeja voi olla syytä tehdä useampia. Yhdelläkin voi jo harjoitella.

Muistutus: Alussa työmäärä saattaa kyllästyttää tai dokumentaatio tuntua vastenmieliseltä. Samalla kuitenkin syntyy hyvä tietoturvapäivitys, ja organisaation yleinen turvallisuus sekä ymmärrys oikeiden käytänteiden tarpeellisuudesta paranevat.

Lomakkeiden luominen – syvennetty versio

Seuraavassa esitellään kokeneemman, paremmin resursoidun, rakenteeltaan monimutkaisemman, perusvaatimuksiltaan tiukemman (lainsäädäntö) tai isomman organisaation malli.

Edellisessä kohdassa annetut ohjeet soveltuvat myös tähän malliin. Nyt on kuitenkin mahdollisuus laajentaa dokumenttien määrää ja muuttaa niiden sisältöä eri yksiköiden tarpeiden ja eroavaisuuksien mukaan.

Jos yrityksellä on vaikkapa eri paikkakunnilla erilaista liiketoimintaa ja/tai tuotantoa, niin tällöin myös tietojärjestelmät, rakennukset, tietoturva ja henkilötietojen käsittelyn taso ja määrä voivat vaihdella huomattavasti. Silloin myös yksiköiden dokumentaatio sekä koulutus poikkeavat toistaan hyvinkin paljon.

Ensimmäinen ”emodokumentti” luodaan hakemistopuun juureen. Kun se on valmis, se voidaan kopioida kuhunkin yksikköön Kopioi lomakkeesta -toiminnolla (kts. alempana kohta Lomakkeiden kopiointi yksiköstä toiseen). Tähän asti toimitaan siis aivan samalla tavalla kuin edellisessä yksinkertaisemmissa ohjeissa.

Tietosuojavastaava, tietosuojayhteyshenkilö, tai tietosuojaryhmä voi ohjeistaa tämän jälkeen, kuinka kukin organisaation yleisistä perehdytysdokumenteista poikkeava yksikkö muokkaa siitä itselleen sopivan ja tallentaa sen omaan ”laatikkoonsa”. Tällä tavalla voitte tehdä yksikkökohtaiset dokumentit.

Tämä vaatii huolellisuutta, selkeitä ohjeita ja valvontaa myös jatkossa. Pääkäyttäjän tai -käyttäjien on vastattava siitä, että yhdessä sovittua sääntöjä noudatetaan eikä kokonaisuus karkaa käsistä.

Jos eri paikkakunnilla tai eri liiketoimintayksiköissä tehdään erilaiset, omat perehdytyslomakkeet, niin niiden tueksi on tehtävä hyvin todennäköisesti myös omat riskien arvioinnit.

Suosituksemme on, ettei tätä mallia käytettäisi, jos organisaatiossa ei ole vielä syvällisempää kokemusta asetuksesta. Tämä malli ei myöskään ole suositeltava, jos tarvittava selvitystyö on vielä tekemättä eikä organisaatiossa ole koottu laajaa ja kokenutta porukkaa pohtimaan yksityiskohtia vastuualueittain ja yksiköittäin.

Aikaa ja rahaa säästyy ja turhalta työltä sekä virheiltä välttyy, jos aloittaa perusasioista, ja tekee ne mahdollisimman yksinkertaisesti.

Lomakkeiden luonti ja ylläpito Lomakkeet-osiossa

Lomakkeita lisätään yksikön nimen oikealla puolella olevasta Lisää lomake -napista. Kaikki yksiköt on mielellään oltava luotuina valmiiksi ennen lomakkeiden lisäämistä. Lisäksi on varmistettava, että organisaatiorakenne näkyy halutussa muodossa.

Tarkistakaa vielä kerran organisaation rakenteen toimivuus ja logiikka käytännössä! Älkää tehkö siitä liian monimutkaista!

Avautuneessa ikkunassa valitaan alasvetovalikosta haluttu lomake. Alasvetovalikossa oleva lomakkeiden järjestys on tarkkaan mietitty ja lomakkeet on tärkeää tehdä annetussa järjestyksessä.

Aloittakaa lisäämällä ensin tietosuojan ja vasta sitten tietoturvan perehdytys -lomakkeet.

Vastatkaa niissä esitettyihin kysymyksiin. Tämän jälkeen on vielä lisättävä yksikölle Tietosuojan riskien arviointi -lomake.

Valitaan ensimmäisenä Tietosuojaan perehdytys. Valinnan jälkeen lisättyä lomaketta päästään muokkaamaan Täytä-napista.

Vastauskenttiin kirjoitettaessa voidaan tekstin kappaleita erottaa rivinvaihdoilla sekä tehdä listauksia ranskalaisin viivoin. Muita editointikeinoja tai tehosteita ei ole käytössä.

Tietosuojan perehdytys muodostuu noin 50 kysymyksestä, joiden alla on pieni Näytä ohje -nappi. Vastaamalla kysymykseen syntyy vastaus eli kuvaus nykytilasta. Vastauskenttää voi isontaa ”venyttämällä” sitä hiirellä oikeasta alanurkasta.

Ensimmäisellä kerralla kuvauksen ei tarvitse olla täydellinen, sillä sitä voi milloin tahansa täydentää tai korjata. Useat kohdat vaativat selvitystyötä ja pohdintaa tietosuojaryhmän sisällä ennen lopullista ja täydellistä vastausta. Vastaukset ja vaillinainen lomake on mahdollista tallentaa keskeneräisenä ja jatkaa myöhemmin.

JOS jokin kohta ei oikeasti koske teitä mitenkään, on teillä mahdollisuus rastia kohta Ei koske meitä.

Kun olette vastanneet kaikkiin kysymyksiin, julkaisette Tietosuojan perehdytyslomakkeen, josta syntyy organisaation virallinen asetuksen edellyttämä dokumentti.

Seuraavaksi valitaan Tietoturvaan perehdytys -lomake, joka toimii samalla tavalla kuin Tietosuojan perehdytys.

Voitte tehdä sitä myös yhdessä tietoturva-asiantuntijan tai ulkoistetun tietoturvan palveluntarjoajan kanssa. On tärkeää, että osallistutte itse tekemiseen, koska vain silloin tieto-taito jää varmuudella organisaatioonne.

Vastattuanne kaikkiin kohtiin teillä on valmiina asetuksen mukainen dokumentaatio tietoturvasta. Nämä kaksi dokumenttia yhdessä muodostavat organisaation oman Tietosuoja-dokumentaation, jota voidaan hyödyntää sellaisenaan henkilöstön perehdytyksessä ja jatkokoulutuksessa.

Viimeinen lomake palvelussamme on Tietosuojan riskien arviointi. 

Siinä keskitytään arvioimaan ja kuvaamaan niitä tietosuojariskejä, joita organisaatiossa on havaittu muun muassa tietosuojaan ja tietoturvaan perehdytys -lomakkeita täytettäessä. 

Jos havaitsette kuhunkin aiheeseen liittyen uhkan, puutteen, ongelman tai selkeän riskin, niin valitkaa vaihtoehto Kyllä. Tämän jälkeen avautuvat seuraavat kohdat:

Todennäköisyys ja vakavuus 

Tässä voidaan arvioida riskiin liittyvä todennäköisyys ja vakavuus, joista yhteen laskemalla palvelu muodostaa arvioinnin raporttiin lopullisen arvon ja värisymbolin.

Tietoturvariskin kuvaus tai muita huomioita 

Kenttään kuvataan vapaamuotoisesti, kuinka aiheeseen liittyvä tietosuojariski mahdollisesti uhkaa ja mihin henkilötietoihin tai tietoturvaan se kohdistuu. Riskin kuvauksesta tulee ilmetä sen mahdollistavat puutteet, väärät toimintatavat ja muut syyt, sekä riskin toteutumisesta mahdollisesti aiheutuvat seuraukset mahdollisimman laajasti. 

Hallintatoimet 

Kenttään kuvataan mahdollisimman hyvin, millä toimenpiteillä tietosuojariski eliminoidaan. Uhkasta tai ongelmasta riippuen hallintatoimia voi olla yksi tai useampia. Useammalle hallintatoimelle voi olla perusteita esimerkiksi kiireellisyyden, vaikeuden, kustannusten, vastuualueen tai ajallisen keston takia. Helpot ja kiireelliset tehdään ensin ja esimerkiksi investointeja vaativat toimet myöhemmin. 

HUOM! Mikäli kaikkia hallintatoimia ei ole suoritettu kokonaisuudessaan, arvioidaan jo tehtyjen toimenpiteiden vaikutus alkuperäisen riskin todennäköisyyteen ja vakavuuteen.

Hallintatoimille valitaan myös vastuuhenkilö. Eri hallintatoimilla voi olla eri vastuuhenkilö. Sopiva henkilö on helppo valita alasvetovalikosta. 

Määräpäivä 

Valitse päivämäärä, mihin mennessä hallintatoimi on suunniteltu toteutettavaksi. Suosittelemme, että toimien vaativuus ja resurssit niiden toteuttamiseksi olisivat realistisia myös ajallisesti.

Lomakkeen esikatselu, julkaisu, lataaminen omalle laitteelle sekä tulostaminen

Samalla rivistöllä Täytä-napin kanssa olevasta Esikatselu-napista pystytte katselemaan syntyvää lomaketta ja siihen täytettyjä tietoja. Esikatselu avautuu PDF-muodossa uuteen välilehteen. Tämä ei vielä ole lopullinen dokumentti.

Lopullinen dokumentti syntyy Julkaise-nappia painamalla. Tuolloin lomakkeeseen tulee myös julkaisun päivämäärä ja kellonaika. Julkaisu on tärkeää, koska vasta sen jälkeen kyseinen lomake näkyy Henkilö-osiossa ja lomaketta voidaan käyttää koulutuksissa.

Pääkäyttäjät ja Käyttäjät voivat siis luoda lomakkeen Täytä-napista, vastata kysymyksiin sekä esikatsella niitä lopullisen dokumentin luonnoksina. Julkaise-nappia käytetään mielellään vasta sitten, kun kaikkiin kysymyksiin on vastattu. Tietosuojan ja tietoturvan perehdytys julkaistaan Henkilö-osiossa ja dokumentit ovat avattavissa koulutuksissa.

Perehdytysdokumentit voidaan julkaista hyvinkin keskeneräisinä, mutta emme suosittele sitä ilman painavaa syytä. Jos näin tehdään jää koulutettavan henkilön oma suoritus vaillinaiseksi, eikä se siten vastaa tarkoitustaan.

Huom!
Julkaisematon dokumentti on vain luonnos, eikä sitä ole tallennettu järjestelmään!

Avaa/lataa julkaisu -nappi avaa lomakkeen julkaistun version PDF-muodossa välilehteen, josta se on mahdollista tallentaa omalle tietokoneelle, dokumenttiarkistoon palvelimelle ja/tai tulostaa paperiversiona.

Riskien arvioinnin lomakkeiden omat erikoisuudet

Raportit-nappi on käytettävissä ainoastaan tietosuojan riskien arvioinnissa. Sillä on mahdollista luoda ja tulostaa erilaisia raportteja esimerkiksi eri kohtien arvioinnin tilasta, valmiusasteista, vastuuhenkilöistä ja sovituista määräajoista.

Kun riskien arvioinnin lomake on julkaistu, voidaan tämä lomake lähettää eteenpäin halutuille vastaanottajille lomakkeiden hallinnan Lähetä lomake -toiminnolla.

Lisää lomake– napista avautuvassa ikkunassa voidaan käyttää myös Kopioi lomakkeesta -toimintoa.

Kun Valitse lomake -alasvetovalikosta on valittu luotava lomake, voidaan sen alapuolella olevasta Kopioi lomakkeesta -valikosta valita hakemistopuun juuressa oleva ”emolomake” tai muu sopiva kopioitava lomake. Tämä toiminto on hyödyllinen, kun halutaan kopioida valmis lomake pääyksiköstä alayksikköön sellaisenaan julkaisua tai muokkausta varten.

Henkilö-osion lomakkeiden hallinta

Tätä kohtaa voidaan kutsua myös nimellä Henkilöiden koulutusmateriaalien hallinta.

Henkilöiden lomakkeiden hallinnassa eli navigointipalkin Henkilö-osiossa hyödynnetään Pääkäyttäjän tai Käyttäjän laatimia valmiita lomakkeita. Ne on tehty henkilöstön perehdyttämiseksi tietosuojaan ja tietoturvaan.

Alla olevassa kuvassa näkyy pääyksikön nimi, jota klikkaamalla organisaatiorakenne avautuu samana kuin lomakkeet-osiossa.

Tämän jälkeen yksiköiden alle tulevat näkyviin henkilöt, joilla on niihin käyttöoikeudet ja jotka kuuluvat yksiköihin.

Jos henkilölle on annettu käyttöoikeudet useampaan yksikköön, voidaan hänelle lisätä useamman yksikön alle lomakkeita tietosuojaan ja tietoturvaan perehdyttämisestä.

Jos henkilö selviää yhdellä ja samansisältöisellä perehdytyslomakkeella, avataan se hänelle vain pääasialliseen omaan yksikköön.

Perehdytyslomakkeita lisätään henkilölle Lisää lomake -napista.

Julkaise-napilla määritetään lomakkeen julkaisuajankohta. Samalla napin painalluksella syntyy lopullinen ja oikea dokumentti palvelun tietokantaan. Tämän jälkeen lomake voidaan tallentaa PDF-muodossa tai tulostaa kansioon ja koulutetulle henkilölle Avaa/lataa julkaisu -napin painalluksen jälkeen.

Henkilön perehdytys tietosuojaan ja -turvaan

Henkilön perehdytykseen on kolme erilaista tapaa riippumatta siitä, mikä hänen roolinsa on:

1. Itseopiskelu, joka on kuvattu hieman alempana. Parhaimmillaan se on tehokas ja aikaa säästävä tapa tutustua materiaaliin oman tahtiin. Huonoimmillaan se houkuttelee oikaisemaan ja opettelematta ruksaamaan kohdan Opittu. Organisaatio päättää itse, tehdäänkö perehdytys itseopiskeluna ja ohjeistaa henkilön toimimaan huolellisesti ja vastuullisesti.
2. Esimiehen kanssa tehtävä perehdytys, jossa yhdessä käydään koko materiaali läpi kohta kohdalta keskustellen. Henkilöllä on tällöin mahdollisuus kysyä heti epäselvät kohdat. Esimies kirjautuu palveluun omilla käyttäjätunnuksillaan ja rastii sekä Opittu– että myöhemmin kertauskierroksella Kerrattu -merkinnät. Ensimmäistä perehdytystä ja kertauskierrosta ei suositella tehtäväksi yhdellä ja samalla kerralla, koska silloin kertauksen ja väliajalla tapahtuvan mietinnän ja käytännön kokemusten idea katoaa. Jos perehdytettävä on uusi rekrytointi, ei hän useinkaan pysty ensimmäisten päivien aikana omaksumaan kaikkea perehdytystä. Tästä syystä suosittelemme kertauksen tekemistä sekä perinteisen työhön perehdytyksen että tietosuojaan perehdytyksen osalta 1–4 viikon sisällä ensimmäisestä kierroksesta.
3. Ryhmäkoulutus, jossa Esimies tai Käyttäjä vetävät koulutuksen isommassa, rauhallisessa tilassa videotykin tai suuren näytön avulla. Käytännössä kouluttajan ei tällöin tarvitse tehdä erillistä koulutusmateriaalia, koska suullisesti opastetut kysymykset ja vastaukset toimivat hyvin järjestelmästä esiteltynä. Tilaisuuden loppuosaan on varattava tarpeeksi aikaa kysymyksille ja vastauksille, jotta kaikki oppivat ja ymmärtävät asiat. Tilaisuuden lopuksi kukin kuittaa allekirjoituksellaan, että on saanut tarvittavan koulutuksen tietosuojaan.

Tai vaihtoehtoisesti avaatte Täytä-napin näkymän ja näytätte myös kaikki palvelussa olevat ohjeet perehdytettäville. Tällöin on oltava toki varovainen, ettei dokumenttiin tallennu vahingossa vääriä tietoja tai vastauksia tuhoudu.

Itseopiskelu käytännössä

Esimies luo henkilölle omat tunnukset omilla oikeuksilla. Henkilön lisääminen palveluun tapahtuu koulutusrekisterin kautta Luo uusi henkilö -napin avulla.

Tässä näkymä Erik Esimiehen käyttöliittymästä. Hänelle näkyvät navigointipalkissa ainoastaan Henkilö– ja Koulutusrekisteri-osiot.

Sen jälkeen Esimies tai Käyttäjä luo/avaa henkilölle oman perehdytyksen tämän pääasiallisen yksikön alle Lisää lomake -napilla.

Kun henkilö on kirjautunut omilla käyttäjätunnuksillaan palveluun sisälle, hän avaa Henkilö-osiosta hänelle luodun perehdytyslomakkeen Täytä-napista. Hänen käyttöliittymässään ei näy muuta kuin Henkilö, josta löytyvät perehdytykset sekä Koulutusrekisteri, josta hän pääsee katsomaan ja tarkistamaan sinne syötetyt omat koulutuksensa.

Perehdytyslomakkeessa on jo aikaisemmin esitellyt kysymykset ja niihin Pääkäyttäjän tai Käyttäjän antamat organisaation vastaukset eli esimerkiksi nykytilan ja ohjeiden kuvaukset. Perehdyttyään aiheisiin huolellisesti koulutettava laittaa kunkin aiheen kohdalle Opittu-raksin.

Esikatselu-napista esimies voi tarkastella omilla oikeuksillaan koulutettavan edistymistä, katselemalla joko valmista tai keskeneräistä lomaketta.

Jos henkilö ei ymmärrä kysymystä tai vastausta, hänen olisi voitava kysyä lisätietoa. Jos lisätiedon saaminen ei ole mahdollista, kyseisen kohdan voi jättää ilman Opittu-merkintää. Kohta käydään myöhemmin läpi Esimiehen kanssa kertauskierroksella. Suosittelemme tämän kertauksen tekemistä perehdytysten osalta 1–4 viikon sisällä itseopiskelusta. Siinä esimies ja perehdytettävä käyvät kaikki kohdat yhdessä läpi ja perehdytettävällä on mahdollisuus tehdä kysymyksiä epäselvissä kohdissa. Tässä yhteydessä esimies rastii omilla oikeuksillaan kaikkiin kohtiin mahdollisesti puuttuvat ja läpikäydyt Opittu-rastit sekä kertauksen vahvistavat Kerrattu-rastit.

Kaikkiin kohtiin on lopulta saatava Opittu-merkintä, koska vasta sen jälkeen on mahdollista Julkaista täydellisesti suoritettu virallinen perehdytysdokumentti. Tulostettuun dokumenttiin tulevat sekä esimiehen että perehdytetyn allekirjoitukset. Molemmat osallistujat saavat samansisältöiset allekirjoitetut kappaleet.

Tulostetun valmiin perehdytysdokumentin lopussa on allekirjoitusviivat molemmille:

Esimies arkistoi dokumentin tai toimittaa sen eteenpäin samalla tavalla kuin on sovittu perinteisen työhön perehdytyksen yhteydessä. Työnantajalla on tällöin molempien kuittaus perehdytyksestä. Esimies on siten vastuussa perehdytyksen onnistumisesta. Organisaatioon syntyy näin koko henkilöstöä koskeva dokumentaatio heidän perehdyttämisestä tietosuojaan ja tietoturvaan. Dokumentaatiota voidaan hyödyntää mahdollisissa ongelmatilanteissa. Suosittelemme, että kaikki vanhatkin, myös ensimmäisen perehdytyksen ja jatkokoulutuksen dokumentit säilytettäisiin. Niitä voidaan tarvita vuosienkin päästä todisteena pitkäjänteisestä tietosuojatyöstä ja hyvin toteutetuista koulutuksista.

Huomioita-kentän idea

Jos lomakkeen laatinut Käyttäjä on ohittanut jonkin kysymyksen lomakkeessa rastimalla Ei koske meitä -kohdan, voi koulutettava ”kyseenalaistaa” tämän valinnan. Sen hän voi tehdä suorittaessaan omaa tietosuojan tai tietoturvan perehdytystä. Hän voi kirjoittaa kommenttinsa Huomioita-kenttään. Esimies ja koulutettava voivat myöhemmin kertauksessa keskustella siitä, miksi Ei koske meitä -merkintä on kyseenalaistettu. Jos perustelut ovat asialliset ja hyvät, esimies voi viedä kyseenalaistamisen organisaatiossa eteenpäin ja sen avulla voidaan parantaa annettuja vastauksia ja jopa käytänteitä.

Koulutusrekisteri

Koulutusrekisteri

Koulutusrekisterissä henkilölle lisätään:

• suoritetut tietosuojaan liittyvät Tietosuojan ja Tietoturvan perehdytykset
• erilaiset koulutukset
• pätevyydet
• kortit
• luvat
• sekä niiden mahdolliset voimassaoloajat

Näiden tietojen lisääminen tehdään joko korteittain tai henkilöittäin. Koulutusrekisterin käyttöohje avautuu klikkaamalla Näytä ohje -nappia.

Koulutusrekisterissä ei ole mahdollista luoda uusia koulutuksia. Uusien koulutusten luominen tapahtuu Pääkäyttäjien toimesta Hallinta-valikon kohdassa Koulutukset ja kortit.

Korteittain valitussa näkymässä koulutuksia ja kortteja voidaan lisätä henkilölle näin:

• valitse valikosta haluttu kortti
• lisää kortin alle henkilö Lisää henkilö -napista
• jos henkilö ei ole järjestelmässä, uusi henkilö luodaan Luo uusi henkilö -napista (vaatii vähintään oman esimiehen oikeudet)

Kun valitaan listaus henkilöittäin, kortteja lisätään henkilölle näin:

• valitse haluttu henkilö valikosta
• lisää henkilölle kortti Lisää kortti -napista.

Muita hyödyllisiä toimintoja, joilla voi:

• hakea koulutuksia tai henkilöitä hakusanoilla tai vanhenemisajoilla
• hakea kaikki 6 kuukauden tai 3 kuukauden sisällä vanhenevat koulutukset, jotta voidaan valmistautua rauhassa ja kustannustehokkaasti niiden uusimiseen
• luoda PDF-dokumentti, johon on listattu kaikki suoritukset koulutuksittain tai henkilöittäin

Poikkeamailmoitus

Poikkeamat-osio näkyy navigointipalkissa ainoastaan Pääkäyttäjille.

Poikkeamailmoitus tehdään, kun epäillään muun muassa:

• selkeää tietoturvaloukkausta, tai epäillään
• tietojen kalastelua
• ongelmia virustorjunnassa tai palomuurissa
• asiattomien henkilöiden liikkumista toimitiloissa
• tietojen varastamista
• tietojen asiatonta tuhoamista tai
• asiatonta henkilötietojen käsittelyä.

Poikkeamailmoituksen voi tehdä myös positiivisista havainnoista!

Poikkeamailmoituksen voi tehdä myös siinä tapauksessa, että tietoturvaloukkausta tai -ongelmaa ei vielä ole. Ilmoituksella voi tällöin raportoida esimerkiksi turvallisuusaloitteen tai hyvän käytänteen.

Löydätte oman organisaationne poikkeamailmoituksen lähetyslomakkeen osoitteen seuraavasti

• Siirtykää Poikkeamat-osioon organisaationne pääkäyttäjän oikeuksilla.
• Avatkaa poikkeamailmoituksen lähetyslomake Avaa lomake -alasvetovalikosta. Lähetyslomake avautuu uuteen välilehteen.
• Kopioikaa selaimen osoiteriviltä lähetyslomakkeen osoite. Osoite on muotoa https://ilmoitus.propilvipalvelut.fi/tayta/XXXXXX, jossa XXXXXX on organisaationne ja poikkeamailmoituksen yksilöivä tunniste (esimerkiksi 6M7QP3).

Antakaa poikkeamailmoituksen lähetyslomakkeen osoite henkilökuntanne käyttöön esimerkiksi lisäämällä se intranetiin tai lähettämällä älypuhelimeen linkkinä.

Alla oleva lomake on kaappaus tietokoneen ruudulta. Lomake toimii hyvin myös älypuhelimen näytöillä.

Lähetetty ilmoitus

• tallentuu tietokantaan (ei ongelmaa tietosuoja-asetuksen tai tietoturvan kanssa)
• välittyy automaattisesti sähköpostilla kaikille vastuuhenkilöille eli Pääkäyttäjille pelkkänä ilmoituksena uudesta poikkeamasta

Poikkeamailmoituksista vastuulliset Pääkäyttäjät voivat sitten tarkastella poikkeamailmoituksia kirjautumalla omilla tunnuksillaan järjestelmään ja klikkaamalla lähettäjän nimeä Poikkeamat-sivulla.

Ilmoitukset tallentuvat tekojärjestykseen siten, että viimeisin lähetetty on aina ylimpänä.