Reglur um tölvunotkun hjá HR

1. Almenn atriði

1.1 Markmið og gildissvið

Markmið þessara reglna er að upplýsa notendur á tölvuumhverfi HR um hvernig þeir skuli fara með stafrænt efni, umgangast tölvupóst, tölvubúnað, haga netnotkun sinni ásamt því að skýra hvernig eftirliti og ábyrgð HR er háttað.

Hverjum og einum notanda (þ.e. einstaklingi sem fær auðkenni til afnota í tölvuumhverfi HR) ber að nota tölvubúnað á ábyrgan hátt í samræmi við reglur þessar þannig að öryggis og trúnaðar sé gætt. Einnig ber notendum að fylgja reglum og notkunarskilmálum RH-nets.

Notendur tölvuumhverfis HR skulu þekkja skyldur sínar við vinnslu persónuupplýsinga í samræmi við lög og reglur um persónuvernd og persónuverndarstefnu HR, sem er aðgengileg í heild sinni á vefsíðu HR. Við vistun gagna skulu notendur fylgja leiðbeiningum um vistun gagna við HR.

2. Notkun

Tölvuumhverfi HR (þ.e. allur tölvu-, hug- og vélbúnaður í eigu HR, nettengingar, netbúnaður, þráðlaus net, og netlagnir, sem og öll lén, vefir, tölvukerfi og skýjaþjónustur sem notuð eru í starfseminni) skal nota í tengslum við vinnu fyrir HR. Stafrænt efni geymt á vinnusvæði notanda og í kerfum skólans er eign HR, nema reglur þessar kveði á um annað.

Innra net er hluti af tölvuumhverfi HR og er eingöngu fyrir nemendur og starfsfólk. Gestanet HR er fyrir aðra notendur.

2.1 Óheimil notkun

Eftirfarandi notkun er óheimil í tölvuumhverfi HR:

1. Að setja upp annan hugbúnað en UT hefur samþykkt til notkunar, nema að fengnu samþykki UT. UT getur þó veitt tilteknum starfsmönnum tímabundna eða varanlega undanþágu þegar slíkt er nauðsynlegt vegna starfsskyldna þeirra, og er það skráð og rekjanlegt í beiðnakerfi UT.

2. Að tengja búnað með fjartengingu (t.d. VPN) inn á net HR með öðrum hætti en þeim sem UT hefur heimilað.

3. Að nota tölvuumhverfi HR til að nálgast og/eða hala niður rafrænu efni sem:

a. kann að vera ólöglegt efni og brýtur gegn reglum um höfundarétt og öðrum gildandi lögum/reglum

b. er ósiðlegt

Nema slíkt sé hluti af verkefnum eða rannsóknum viðkomandi starfsmanns eða nemanda, og þá í samræmi við skjalfest verklag.

4. Að nýta gagnageymslur HR til geymslu á kvikmyndum, tónlist og ljósmyndum sem ætlaðar eru til einkanota.

5. Að setja upp sjálfvirka áframsendingu tölvupósts úr tölvupóstkerfi HR, t.d. á einkatölvupóstfang notanda.

6. Að senda efni sem er ólöglegt, ósiðlegt, hótandi, ærumeiðandi, hatursfullt, hvetur til ólöglegs athæfis eða getur gefið tilefni til skaðabótakröfu á hendur HR og/eða notanda eða öðrum.

7. Að opna viðhengi og tengla nema notandi þekki og treysti sendanda þess sökum hættu á óværum (e. malware). Þetta á ekki við um notendur sem hafa fengið formlegt umboð til rannsókna eða öryggisprófana, enda sé slíkt framkvæmt í samræmi við skjalfest verklag og viðeigandi öryggisráðstafanir.

8. Að auðkenna eða vista stafrænt efni, skjöl, tölvupóst og önnur gögn sem eingöngu varðar starfsemi HR sem einkagögn.

9. Að nota HR netfang til innskráningar og/eða stofnunar á aðgangi að kerfum sem eru ekki á vegum skólans t.d. á samfélagsmiðlum.

10. Að nota ósamþykktar gagnageymslur í skýjaþjónustu vegna vinnu sinnar fyrir HR. Ef vafi er um hvort viðkomandi lausn sé leyfð skal leita álits UT.

Ef grunur leikur á að upplýsingaöryggi sé ógnað með einhverjum hætti, t.d. ef notandi fyrir mistök fer inn á vefsíðu sem inniheldur óheimilt efni, opnar viðhengi með óværu, verður var við eða hefur grun um að óværa hafi borist inn á tölvubúnað hans skal hann tafarlaust tilkynna slíkt til UT í help@ru.is

2.2 Heimil einkanot

Notkun tölvuumhverfis HR til einkanota skal haldið í lágmarki og má ekki fela í sér óheimila notkun, (sjá nánar kafla 2.1). Stafrænt efni telst vera einkagagn ef það er geymt í möppum (e. folder) þar sem heiti möppu er auðkennt þannig að skýrlega sé gefið til kynna að mappan hafi að geyma einkagögn. HR ber enga ábyrgð á einkagögnum notenda.

Meðhöndlun HR á einkagögnum notanda skal vera í samræmi við kafla 3.3 í þessum reglum.

2.3 Aðgangsstjórnun og meðferð auðkennis

Aðgengi notenda að tölvuumhverfi HR er stýrt með auðkenni sem gefið er út af UT. UT sinnir aðgangsumsýslu fyrir kerfi skólans í umboði þeirra sem bera ábyrgð á þeim gögnum sem kerfin geyma. Við starfs- eða námslok óvirkjar UT aðgang samkvæmt tilkynningu frá mannauðskerfi, eða beiðni frá yfirmanni eða deildum.

Auðkenni er einungis til afnota fyrir þann notanda sem fær því úthlutað og er notandanum óheimilt að leyfa öðrum að nota sitt auðkenni. Notanda ber að tryggja örugga notkun og geymslu sinna auðkenna. Gruni notenda að öryggi auðkennis hans sé ógnað, hafi verið ógnað eða það hafi komist í hendur óviðkomandi ber honum að skipta um lykilorð án tafar og hafa samband við help@ru.is og/eða persónuverndarfulltrúa skólans í personuvernd@ru.is.

Notendur ættu að varast það að nota lykilorð að kerfum HR einnig í kerfum utan skólans, eins og á samfélagsmiðlum, en slíkt eykur líkurnar á að óviðkomandi komist yfir auðkenni að kerfum HR.

Notendur skulu eftir bestu getu tryggja öryggi auðkenna með því að læsa tækjum eða skrá sig út. Gæta skal sérstakrar varúðar við notkun auðkenna á kaffishúsum, flugvöllum og öðrum opnum rýmum.

2.4 Meðferð stafræns efnis

Stafrænt efni geymt á vinnusvæði notanda og í kerfum skólans er eign HR. Allt stafrænt efni er skannað reglulega við vírussmiti til að tryggja upplýsingaöryggi. Eftirlit er haft með umfangi og eðli stafræns efnis sem geymt er á gagnasvæðum skólans.

Tölvupósta, og fylgiskjöl þeirra, sem varða mál með efnislegum hætti skal skrá og varðveita í skjalstjórnunarkerfi HR, sjá nánar hér.

Notendur skulu eingöngu nota hugbúnað og skýjaþjónustur sem HR hefur samþykkt til notkunar við vinnu sína. Ef notandi telur annan hugbúnað eða skýjaþjónustu hentugri skal hann rökstyðja það sérstaklega og fá samþykki frá næsta yfirmanni og UT, en UT getur ekki veitt ráðgjöf eða þjónustu í tengslum við slíkan hugbúnað.  

2.4.1 Meðferð stafræns efnis við starfs- eða námslok

Við starfslok skal notandi tryggja að öll vinnugögn, þ.m.t. tölvupóstar og fylgiskjöl þeirra séu vistuð á miðlægum vinnusvæðum eða þar sem við á í skjalavistunarkerfi HR. Skjalastjóri aðstoðar notendur við að tryggja varanlega varðveislu skjala.

Við starfs- eða námslok er lokað fyrir netfang notanda innan 2-4 vikna.  

Óheimilt er að kveikja á sjálfvirkri áframsendingu tölvupósts notanda eftir starfs- eða námslok. Notendum er bent á að stilla tölvupósthólfið þannig að öllum tölvupósti sé sjálfvirkt svarað þangað til tölvupósthólfi hefur verið eytt, með ábendingu um að notandi hafi látið af störfum og upplýsingum hvert skuli beina erindinu sé þess óskað. Eftir að notandi hefur látið af störfum er ekki heimilt að endurnýta netfang hans fyrr en 12 mánuðum eftir lokun netfangs.

Við starfslok er notanda óheimilt að eyða eða taka afrit af gögnum úr tölvuumhverfi, öðrum en einkagögnum og útgefnum verkum, nema samningur við þriðja aðila kveði á um annað eða í samráði við yfirmann. Notanda er gefinn kostur á að taka afrit af einkatölvupósti og einkagögnum. Eigi síðar en 3 mánuðum eftir starfs- eða námslok er pósthólfi og vinnusvæði notanda eytt ásamt öllum gögnum sem þar eru hýst.

2.4.2 Öryggisafritun

HR tekur öryggisafrit af stafrænu efni sem vistað er í kerfum HR og á sameiginlegum gagnasvæðum til að tryggja öryggi gagna. Ekki eru afrituð gögn af tölvubúnaði notenda, t.d. á c-drifi á tölvu.

2.5 Netföng og sameiginleg pósthólf

Notandi fær úthlutuðu netfangi sem inniheldur fornafn og fyrsta staf í föðurnafni, samkvæmt mannauðskerfi HR. Notandi getur óskað eftir útfærslu á þessu í samráði við UT. Starfsfólk getur óskað eftir því að fá aðgang að sameiginlegum pósthólfum HR. Beiðni þess efnis skal koma frá viðeigandi yfirmanni.

2.6 Stafræn samskipti

Stafræn samskipti, s.s. í gegnum tölvupóstskerfi, samskiptakerfi, fjarfundakerfi skulu einungis fara fram í kerfum sem hafa verið samþykkt af UT.

Starfsfólk skal hafa undirskrift í tölvupóstum sínum og sniðmát fyrir undirskriftir er að finna á innri vef. Starfsfólk sem sendir tölvupósta úr sameiginlegum pósthólfum skal almennt láta undirskrift sína fylgja.

Sendandi tölvupósts skal ávallt gæta að netfangi viðtakanda áður en hann sendir tölvupóst. Ef tölvupóstur sem inniheldur persónuupplýsingar er sendur til rangs viðtakanda ber að upplýsa persónuverndarfulltrúa skólans, personuvernd@ru.is.

Fjarfundi á vegum HR skal stofna í samþykktum fjarfundalausunum. Leyfilegt er að taka þátt í fundum sem boðað er til af ytri aðila í gegnum önnur fjarfundakerfi, en eingöngu í gegnum vafra.  

Sérhver notandi ber ábyrgð á eigin notkun fjarskiptakerfa. Notandi skal gæta að sér í öllum stafrænum samskiptum. Þá skal notandi stöðugt huga að því á meðan samskiptum stendur við hverja hann á í samskiptum, og deila ekki upplýsingum og viðhengjum í samskiptum sínum að óþörfu.

2.7 Umsjón upplýsingatæknikerfa

Notendur sem kunna að hafa víðtækan aðgang að tölvuumhverfi HR vegna starfa sinna ber að virða trúnað í störfum sínum í hvívetna og þeim er óheimilt að kynna sér gögn og upplýsingar sem falla utan verksviðs þeirra.

Notendur sem kunna að hafa víðtækan aðgang að tölvuumhverfi HR vegna starfa sinna við rekstur, viðhald og þjónustu kerfa er með öllu óheimilt að nýta aðgang sinn til að tengjast tölvuumhverfi með auðkenni annarra notenda, fara framhjá aðgangsstýringu, opna og lesa stafrænt efni. Hið sama gildir um skoðun hvers kyns upplýsingar sem kunna að varðveitast í tölvuumhverfi er varðar netnotkun notenda og önnur persónuleg gögn þeirra, að undanskildum þeim tilvikum er fjallað er um í kafla 3.

Vakni grunur um að brotið hafi verið gegn reglu þessari skal viðkomandi bregðast við skv. kafla 4 í reglum þessum.

2.8 Umsjón tölvubúnaðar

Í umsjón UT með tölvubúnaði felst m.a. að tryggja að búnaður sé öruggur til notkunar og að búnaðurinn uppfylli kröfur UT um afköst og gæði. UT hefur umsjón með öllum tölvubúnaði í tölvuumhverfi HR og skiptir út eða lokar á tengingar óþekkts búnaðar eða búnaðar sem talinn er óöruggur eða úreltur.

2.9 Umsjón hugbúnaðar

UT útvegar hugbúnað fyrir tölvubúnað í umsjón UT. Starfsfólk UT ber ábyrgð á uppsetningu hugbúnaðar. Notendum er heimilt að setja upp hugbúnað sem UT hefur heimilað. Óheimilt er að setja upp annan hugbúnað á tölvubúnað HR nema í samráði við UT. Í umsjón UT felst að tryggja að kröfur um öryggi, persónuvernd, gilt afnotaleyfi og almenna virkni hugbúnaðar séu uppfylltar. UT hefur heimild til þess að fylgjast með og skoða uppsetningu hugbúnaðar og stýrikerfa á búnaði sem tengdur eru netkerfi skólans vegna leyfatalninga, öryggishagsmuna og til að koma í veg fyrir notkun á óæskilegum hugbúnaði.

2.11 Aukin aðgangsréttindi á vélbúnað (e. local admin)

Af öryggisástæðum er takmarkað hvaða réttindi notendur hafa á vélbúnað í eigu skólans. Er það meðal annars gert til að takmarka flæði óværu um kerfi skólans, takmarka mögulega gagnaleka eða möguleika til að setja upp leyfisskyldan hugbúnað.

Telji notandi að viðkomandi þurfi að hafa aukin réttindi á vél í eigu skólans skal yfirmaður senda beiðni um slíkt til UT. Í beiðni skal tilgreina ástæðu þess að óskað er eftir auknum réttindum. Áður en aukin réttindi eru veitt skal UT leitast við að veita þá þjónustu er aukin réttindi krefjast. Sé það af einhverjum orsökum ekki mögulegt verður lagt fyrir notanda samþykki fyrir því að viðkomandi þekki ábyrgð, skyldur og áhættu þess að hafa aukin réttindi. Yfirmanni viðkomandi notanda verður síðan tilkynnt um þann kostnað sem skapast vegna aukinna réttinda notanda. Notendur sem hafa aukin réttindi munu þurfa að undirgangast fræðslu að lágmarki einu sinni á ári, eða samkvæmt ákvörðun UT.

3. Eftirlit með notkun

3.1 Atburðaskráning og rekjanleiki

Öll notkun búnaðar í eigu skólans, sem og notkun á neti skólans er auðkennd við notanda. Inn- og útskráning á tölvubúnaði skólans er vaktaður, sem gerir skólanum kleift að sjá á viðkomandi búnaði hvaða starfsfólk eða nemendur hafa notað búnað skólans á hvaða tíma.

Skólinn fylgist með notkun og gagnamagni á neti skólans í þeim tilgangi að greina hvort óeðlileg umferð sé til staðar. Slík greining er nauðsynleg af öryggisástæðum en jafnframt til að fylgjast með því að netnotkun sé í samræmi við reglur skólans.

Skólinn áskilur sér rétt til að skoða ítarlegri upplýsingar um netnotkun, tengingar og gagnamagn einstakra notenda, liggi fyrir rökstuddur grunur um að viðkomandi hafi gerst brotlegur við gildandi lög og reglur.

Gögn sem verða til og tengjast atburðaskráningu eru aðgangsstýrð. Sérstök skoðun á slíkum gögnum er einungis heimil þegar nauðsynlegt þykir að rekja atburði. HR áskilur sér rétt til að láta yfirfara skrár ef rekstur kerfa eða öryggi krefst þess. Sé um að ræða skrár sem innihalda einkagögn á viðkomandi notandi almennt rétt á því að vera viðstaddur meðan skrárnar eru yfirfarnar, eða tilnefna annan í sinn stað. Þetta á þó ekki við ef brýnir hagsmunir mæla gegn því að beðið sé eftir viðkomandi, s.s. í tilvikum þegar um er að ræða alvarlega bilun í tölvukerfi.

3.2 Eftirlit

Eftirlit með því að reglum þessum sé fylgt er í höndum forstöðumanns UT og þess sem hann felur slíkt eftirlit sérstaklega og skal vera í samræmi við gildandi lög og reglur hverju sinni.

Upplýsinga sem aflað er vegna eftirlits samkvæmt reglum þessum má eingöngu nota í þágu eftirlits með tölvuumhverfi HR og til að fylgjast með því að net- og tölvunotkun sé í samræmi við reglur skólans. Þær má ekki afhenda öðrum eða vinna frekar nema með samþykki viðkomandi notanda. Þó er heimilt að afhenda lögreglu efni með upplýsingum um meintan refsiverðan verknað, auk eftirlitsyfirvalda sem hafa heimildir samkvæmt lögum til að óska eftir slíkum gögnum en þá skal gæta þess að eyða öðrum eintökum nema sérstakir lögvarðir hagsmunir standi til annars. Þá er heimilt að nota gögn til að afmarka, setja fram eða verja réttarkröfu vegna dómsmáls og annarra brýnna hagsmuna, t.d. í tengslum við brottvikningu úr starfi. Um heimild til afhendingar og aðgangs fer þó ávallt eftir gildandi lögum og reglum hverju sinni. Sjá nánar í kafla 4.1.

Sá sem sætt hefur eftirliti samkvæmt þessum kafla á rétt á að skoða gögn þau sem aflað er um hann í tengslum við eftirlit. Slíkum beiðnum skal beina til persónuverndarfulltrúa, personuvernd@ru.is og fer um aðgang að gögnum í samræmi við ákvæði persónuverndarlaga.

3.3 Skoðun á stafrænu efni

Við og eftir starfs-, samnings- eða námslok hefur HR heimild til að skoða stafrænt efni sem tengjast viðkomandi notanda og teljast ekki vera einkagögn hans, sbr. 2. mgr. kafla 2.6 þessara reglna.

Starfs- eða námstengd gögn má eingöngu skoða ef nauðsyn ber til vegna lögmætra hagsmuna HR, s.s. til að afla gagna úr þeim þegar notandi er forfallaður, hefur látið af störfum, látist eða grunur hefur vaknað um misnotkun eða brot í starfi.

Skoðun stafræns efnis má aðeins framkvæma eftir fyrirmælum yfirmanns og í samræmi við verklagsreglur UT. Ávallt skal þó fyrst gefa notanda kost á að vera viðstaddur skoðunina eða senda einhvern í sinn stað. Notandi á rétt á vitneskju um hver eða hverjir hafa skoðað gögn hans og um hvaða gögn er að ræða.

3.3.1 Skoðun einkatölvupósts og stafræns efnis í einkaeigu notenda

Óheimilt er að skoða einkatölvupóst eða stafrænt efni í einkaeigu notenda skv. kafla 2.6 þessara reglna nema ef brýna nauðsyn ber til, vegna tölvuveiru eða sambærilegs tæknilegs atviks. Slíka skoðun má aðeins framkvæma samkvæmt fyrirmælum forstöðumanns UT. Ávallt skal reynt að fá samþykki notanda ef þess er kostur. Neiti starfsmaður að veita samþykki sitt skal engu að síður gefa honum kost á að vera viðstaddur skoðunina. Geti notandi ekki verið viðstaddur skoðunina sjálfur skal veita honum færi á að tilnefna annan aðila í sinn stað. Þetta á þó ekki við ef brýnir hagsmunir mæla gegn því að beðið sé eftir viðkomandi, s.s. í því tilviki þegar um er að ræða alvarlega bilun í tölvukerfinu, og ekki verði talið að einkalífshagsmunir viðkomandi vegi þyngra. Upplýsa þarf notanda um skoðunina strax og hægt er. Notandi á ávallt rétt á vitneskju um hver eða hverjir hafa skoðað gögn hans og um hvaða gögn er að ræða.

3.3.2 Skoðun netnotkunar

Upplýsingar um netnotkun notenda geta varðveist bæði á netþjónum skólans og í tölvu hvers notanda. Óheimilt er að skoða upplýsingar sérstaklega um netnotkun einstaks notanda nema fyrir liggi rökstuddur grunur um að notandinn hafi brotið gegn gildandi lögum eða reglum skólans (sjá. kafla 4). Sé tilefni skoðunar grunur um refsiverðan verknað skal óska atbeina lögreglu.

4. Brot á reglum

4.1 Meðferð brota

Vakni grunur um að brotið hafi verið gegn reglum þessum skal tilkynna um það til næsta yfirmanns notanda, sem tekur ákvörðun um framhald málsins eða deildarforseta, ef mál varða nemanda.

4.2 Viðurlög við brotum

Brot gegn reglum þessum telst brot í starfi og getur varðað uppsögn ef um endurtekin eða alvarleg brot er að ræða. Brot nemenda á reglum þessum getur varðað áminningu eða brottvísun úr námi ef um endurtekin eða alvarleg brot er að ræða.

5. Upplýsingagjöf

Reglur þessar skal birta á vefsíðu HR og á innri vef starfsfólks.

Þegar notendur fá aðgang að tölvuumhverfi skólans skal benda þeim á reglur þessar.

Kynna skal þeim aðilum sem veita HR þjónustu við upplýsingatæknikerfi þessar reglur samhliða trúnaðaryfirlýsingu sem þeir undirrita.

6. Gildistaka og endurskoðun reglna

Reglur þessar voru settar í september árið 2025. Reglurnar og framkvæmd þeirra skal yfirfara og endurskoða að liðnum sex mánuðum frá gildistöku.

Samþykkt af framkvæmdaráði HR 26. september 2025