Selvityspyyntö, valvonta-asia, työllisyyden kuntakokeilu, Länsi- ja Sisä-Suomen aluehallintovirasto

Maahanmuutto- ja työllisyysasioiden johtaja antoi Länsi- ja Sisä-Suomen aluehallintoviraston riskiperusteiseen valvonta-asiaan liittyen seuraavan selvityksen:

1. Sähköpostin tai muun sähköisen tiedonsiirtoyhteyden käyttäminen yhteydenpidossa kokeilualueen kunnan asiakkaaseen

Minkälaisissa asioissa käytetään sähköpostia yhteydenpidossa asiakkaisiin kuntakokeilutehtävissä?

Kuntakokeilussa yhteydenpito sekä asiakasviestintä tapahtuu monikanavaisesti. Asiointitapa määrittyy asiakkaan palvelutarpeen ja toiveiden perusteella. Ensisijaisena yhteydenpitotapana suositellaan käyttämään Oma asiointi -palvelua. Sähköposti on kuitenkin käytännössä yksi olennaisista tavoista viestiä. Tyypillisesti sähköpostia voidaan käyttää esimerkiksi seuraavissa tilanteissa:

Helsingin työllisyyspalveluilla on käytössä myös tiimikohtaisia organisaatiopostilaatikoita, joihin viestejä voidaan lähettää niin asiakkaiden kuin sidosryhmienkin toimesta. Organisaatiopostilaatikoiden käyttöoikeudet haetaan ja myönnetään erikseen tiimikohtaisesti. Kun viestit lähetetään suojattuina, ainoastaan viestin ensiksi avannut voi nähdä viestin sisällön. Organisaatiopostilaatikolla varmistetaan hyvän hallinnon vaatimusten toteutuminen (esim. viivytyksetön käsittely) sairauspoissaoloista, virkailijan vaihtumisesta tai muista vastaavista tapahtumista huolimatta.

Siltä osin, kun viestiin sisältyy työhallinnon asiakastietoja tai muuta salassa pidettävään tietoa, on asiakkaita ja henkilökuntaa ohjeistettu lähettämään viestit securemail.hel.fi -palvelun eli suojatun sähköpostin välityksellä. Kaikilla kuntakokeiluihin virkailijoilla on käytössä suojattu sähköposti.

Tieto- ja neuvontapalveluita tarjotaan kaikille asiakkuudesta riippumatta ja tavallisella sähköpostilla voidaan vastata asiakkaiden yleisiin kysymyksiin eli antaa niin sanottua yleisneuvontaa. Lakisääteisten tehtävien hoitoon liittyen voimme lähettää asiakkaalle sähköpostilla tietoa erilaisista työllistymistä edistävistä palveluista sekä avoimista työpaikoista yleisellä tasolla.

2. Miten asiakas tunnistetaan tai varmistetaan tietoturvallisella tavalla sähköpostia käytettäessä?

Kun asiakas käyttää Helsingin kaupungin tarjoamaa securemail -palvelua omasta aloitteestaan (ts. kokeilu ei ole ottanut ensiksi yhteyttä asiakkaaseen), edellyttää palvelun käyttäminen asiakkaalta vahvaa tunnistautumista, jolloin viestin lähettäjän henkilöllisyys on vahvistettu.

Kun kuntakokeilusta lähetetään asiakkaalle sähköposti, käytetään asiakkaan yhteystietojen ilmoittamisen yhteydessä antamaa sähköpostiosoitetta, joka on tallennettu URA-asiakastietojärjestelmään. Viesti voidaan lähettää asiakkaalle siten, että viestin erilliseen kenttään syötetään myös GSM-numero, jolloin asiakas saa tekstiviestinä avaamisen yhteydessä PIN-koodin, jolla viestin saan auki.

Kun asiakas lähettää suojaamattoman sähköpostin omasta aloitteestaan, viestin lähettäneen asiakkaan henkilöllisyys tunnistetaan sähköpostissa annettujen tietojen perusteella: sähköpostiosoite, asiakkaan nimi sekä asiakkaan mahdollisesti muut viestiin kirjoittamat tunnistetiedot.

3. Minkälainen ohjeistus kunnan viranomaiselle on annettu asiakirjojen toimittamisesta sähköpostilla kuntakokeilutehtävissä?

Helsingin kaupungilla on yleisohje salassa pidettävien tietojen lähettämisestä sähköpostilla, joka mm. kieltää tietojen lähettämisen tavanomaisella sähköpostilla. Ohje on kaupungin yhteinen, mutta vastaa kuntakokeilun ja työllisyyspalvelujen tarvetta.

Myös kokeilulain soveltamisoppaassa (KEHA/1188/2021) on ohjeistettu suojatun sähköpostin käyttämiseen niin asiakkaiden kuin TE-toimiston ja muiden viranomaisten kanssa viestittäessä.

4. Kokeilualueen kunnan asiakkaan mahdollisuus käyttää suojattua sähköpostiyhteyttä

Onko asiakkaalla mahdollisuus asioida suojattua sähköpostiyhteyttä käyttäen kokeilualueen kunnan kanssa (kyllä/ei)?

Kyllä.

Jos vastaus oli ei, niin pyydämme perustelemaan vastauksen lyhyesti:

-

5. Miten ja missä asiakkaalle on kerrottu mahdollisuudesta käyttää suojattua sähköpostiyhteyttä?

Verkkosivuillamme tyollisyyspalvelut.hel.fi (Näin asioit > Ota yhteyttä > Lähetä sähköpostia) neuvotaan asiakkaita sähköpostiasioinnissa. Suosittelemme aina ensisijaisesti käyttämään Oma asiointi -palvelua sähköpostin sijasta. Sähköpostitse saa kuitenkin tarvittaessa yhteyden niin vastuuasiantuntijaan kuin työllisyyspalveluiden neuvonnan sähköpostiin. Sivuillamme neuvotaan käyttämään securemail.hel.fi -palvelua, mikäli on tarve lähettää salassa pidettäviä viestejä tai liitetiedostoja. Lisäksi asiakkaalle kerrotaan eri asiointikanavista päivittäisten asiakaskohtaamisten yhteydessä.

Myös kuntakokeiluja koskevassa TE-toimiston tietosuojaselosteessa (Tietosuoja ja henkilötietojen käsittely TE-toimiston tuottamissa työvoima- ja yrityspalveluissa) ohjeistetaan huolehtimaan sähköpostin riittävästä suojaamisesta. Selosteen mukaisesti: ”Emme suosittele sähköpostiasiointia tietoturvasyiden vuoksi. Mikäli henkilöasiakas kuitenkin asioi sähköpostilla, tulee asiakkaan huolehtia yhteyden riittävästä sähköpostin suojaamisesta. Emme voi vastata sähköpostilla kysymyksiin, jotka liittyvät henkilökohtaiseen tilanteeseen ja vaativat luottamuksellisten tietojen käyttöä. Näin varmistamme, etteivät tiedot joudu vääriin käsiin. Annamme vastauksia sähköpostilla vain yleistasolla tai vastaamme suojatulla sähköpostilla. Lakisääteisten tehtävien hoitoon liittyen voimme lähettää asiakkaalle sähköpostilla tietoa erilaisista työllistymistä edistävistä palveluista yleisellä tasolla.”

6. Muuta kommentoitavaa/lisätietoa

Helsingin työllisyyspalveluissa käytetään myös sisäisessä viestinvaihdossa TLS-protokollan mukaista sähköpostin salaustoimintoa. Teknisesti tiedonsiirto suojataan sähköpostipalvelimien välillä (TLS), mutta asiakastietoja tiedonsiirron sisällä ei suojata. KEHA-keskus on todennut sähköpostipalvelimien välisen suojauksen tietoturvalliseksi toimintatavaksi eri toimijoiden (ei koske asiakkaita, sillä asiakkaat eivät ole TLS-salauksen piirissä) väliseen kommunikaatioon. Ongelman aiheuttaa kuitenkin se, että sähköpostipalvelimilla oleviin postilaatikkoihin tiedot tallentuvat ilman suojausta. Tämän vuoksi Helsingin kaupungilla myös sisäinen ja eri toimijoiden välinen viestinvaihto tapahtuu suojattua sähköpostia käyttäen, mikäli viestiin sisältyy erityisiä henkilötietoryhmiä tai salassa pidettäviä tietoja.

Länsi- ja Sisä-Suomen aluehallintovirasto on riskiperusteiseen valvonta-asiaan liittyen pyytänyt kaupungilta selvitystä sähköpostilla asioinnista kuntakokeilulaissa säädettyjen tehtävien hoitamisessa (LSSAVI/3942/2022 (julkinen)). Selvitys pyydetään antamaan vastaamalla selvityspyynnön yhteydessä toimitettuun Webropol-kyselyyn 28.3.2022 mennessä.

Helsingin kaupungin hallintosäännön 8 luvun 1 §:n 2 momentin 5 kohdan mukaan kaupunginhallitus päättää tai hyväksyy perusteet ja rajat, joiden mukaan muu toimielin tai viranhaltija päättää työllisyyden edistämisen kuntakokeilusta annetun lain mukaisten tehtävien hoitamisesta, kokeilualueen kunnan päätöksestä tehdyn oikaisuvaatimuksen käsittelevästä viranomaisesta sekä kaupungin puhevallan käyttämisestä kokeilualueen kunnan päätöksiä koskevissa muutoksenhaku- ja laillisuusvalvonta-asioissa.

Kaupunginhallitus päätti (§ 131, 15.2.2021), että maahanmuutto- ja työllisyysasioiden johtaja päättää kaupungin puhevallan käyttämisestä kokeilualueen kunnan päätöksiä koskevissa muutoksenhaku- ja laillisuusvalvonta-asioissa.