Vanlig e-post är informationssäkerhetsmässigt som ett vykort. Därför lämpar sig vanlig e-post inte för överföring av konfidentiella uppgifter eller uppgifter som ska hållas hemliga. Sådana uppgifter är till exempel affärshemligheter och känsliga personuppgifter. Krypterad e-post ser till att den information som ska skyddas alltid överförs krypterad i datanätet.
Utöver kryptering av datakommunikationen måste man säkerställa att endast den avsedda mottagaren kan öppna det konfidentiella meddelandet.
Identifiering av den som öppnar meddelandet genom autentisering är lagstadgad när uppgifter inom social- och hälsovården överförs.
Kryptera e-post när meddelandet eller dess bilaga innehåller:
Lagen om behandling av klientuppgifter inom social- och hälsovården (703/2023, 8 §, utdrag):
”Vid behandling av klientuppgifter ska klienten, serviceanordnaren, apoteket, en annan part i behandlingen av klientuppgifter och deras företrädare samt tekniska anordningar och riksomfattande informationssystemtjänster identifieras på ett tillförlitligt sätt.” Lagen finns i Finlex, och STM:s engelskspråkiga materialsida bekräftar att lagen finns tillgänglig på finska och svenska.
Dataombudsmannens byrå om personuppgifter inom socialvården, 30.9.2022:
”Om tjänsteleverantören använder e-post med tillräckligt stark kryptering och parterna kan identifieras, är det också möjligt att skicka sekretessbelagda klientuppgifter per e-post.”
Cybersäkerhetslagen (124/2025) ålägger företagsledningen att se till att företaget har ändamålsenliga metoder för åtkomstkontroll och autentisering samt vid behov möjlighet att använda skyddad elektronisk kommunikation. Det här är en försiktig sammanfattning av lagens riskhanteringsskyldigheter, inte ett ordagrant citat.
Biträdande dataombudsmannens beslut om identifiering, 4.12.2023:
En patient inom hälso- och sjukvården måste identifieras på ett tillförlitligt sätt också vid tidsbokning. Dataombudsmannens byrås nyhet om beslutet säger uttryckligen att kunden ska identifieras tillförlitligt i elektronisk tidsbokning.
Riksdagens justitieombudsman, 24.3.2011:
Inom hälso- och sjukvården får inga uppgifter om en identifierbar person, inte ens namnet, skickas i okrypterad e-post. Den länkade JO-handlingen gäller uttryckligen sändning av sekretessbelagda uppgifter i oskyddad e-po
Från och med den 25 maj 2018 måste finska organisationer behandla personuppgifter i enlighet med EU:s dataskyddsförordning. Underlåtenhet att följa dataskyddsförordningen kan medföra en anmärkning, korrigerande åtgärder för behandling av personuppgifter eller böter. Sanktionen kan uppgå till högst 20 miljoner euro eller 4 % av den totala årliga omsättningen.
Detaljerad information om EU:s dataskyddsförordning kan fås bland annat på dataskyddsombudets kontor och webbplats på adressen www.tietosuoja.fi
Läs mer om dataskyddsförordningen här.