Vastavuse sõnastik

Taani tööaja seaduse reegel, mille kohaselt ei tohi töötaja keskmine nädalane tööaeg koos ületundidega ületada 48 tundi, mõõdetuna 4-kuulise perioodi jooksul. Reegel tuleneb ELi tööaja direktiivist ja kehtib peaaegu kõigi töötajate suhtes. Rikkumine võib anda töötajale õiguse hüvitisele ning alates 2024. aastast peavad tööandjad suutma nõuetele vastavust tõendada tööaja registreerimise kaudu. Mõned kollektiivlepingud lubavad erilistel tingimustel kõrgemat piirmäära valitud rühmadele.

GDPR-i artiklis 33 sätestatud tähtaeg isikuandmetega seotud rikkumisest järelevalveasutusele teatamiseks: põhjendamatu viivituseta ja võimaluse korral hiljemalt 72 tunni jooksul pärast seda, kui ettevõte on rikkumisest teada saanud. Tähtaeg kulgeb ka nädalavahetustel ja riigipühadel. Kui see ületatakse, tuleb teates viivitust põhjendada. Kui ettevõttel ei ole tähtaja jooksul kogu teavet, võib teate esitada etapiviisiliselt – oluline on teatada teadaolev õigeaegselt.

eIDAS-e artiklis 26 määratletud keskmine allkirjatase. Täiustatud elektrooniline allkiri peab olema üheselt seotud allkirjastajaga, suutma tema isikut tuvastada, olema loodud vahenditega, mis on allkirjastaja ainukontrolli all, ning seotud dokumendiga nii, et hilisem muutmine oleks tuvastatav. Praktikas täidetakse need nõuded sageli, kombineerides tuvastamise (näiteks MitID-ga) dokumendi krüptograafilise pitseerimisega. AES annab oluliselt tugevama tõendusjõu kui lihtne allkiri ning on tavavalik näiteks töölepingutele ja isikuandmete töötlemise lepingutele.

Elektrooniline tõend selle kohta, et konkreetsed andmed eksisteerisid kindlal ajahetkel. Allkirjastamise ja vastavuse kontekstis seob ajatempel dokumendi räsi kellaajaga, mis võimaldab tõendada, millal dokument allkirjastati või registreeriti. eIDAS reguleerib kvalifitseeritud elektroonilisi ajatempleid, mille väljastavad heakskiidetud usaldusteenuse osutajad ja millel on õigsuse eeldus. Usaldusväärsed ajatemplid on olulised ka auditilogides, näiteks tõendamaks, et andmetega seotud rikkumisest teatati 72 tunni jooksul.

Ametlik koostöö töökeskkonna teemal juhtkonna ja töötajate vahel, mis on kohustuslik Taani ettevõtetes, kus on 10 või enam töötajat. AMO koosneb ühest või mitmest töökeskkonnarühmast, kus on valitud töökeskkonna esindaja ja määratud tööjuht. Liikmed peavad läbima kohustusliku 3-päevase töökeskkonnakoolituse 3 kuu jooksul pärast valimist. Alla 10 töötajaga ettevõtetes toimub töökeskkonnaalane töö selle asemel tööandja ja töötajate otsese koostöö kaudu.

Isiku taotlus saada teada, milliseid isikuandmeid ettevõte tema kohta töötleb – GDPR-i artiklist 15 tulenev õigus. Ettevõte peab muu hulgas teatama töötlemise eesmärgid, andmete kategooriad, vastuvõtjad ja säilitustähtaja ning väljastama andmete koopia. Vastus tuleb anda põhjendamatu viivituseta ja hiljemalt ühe kuu jooksul kättesaamisest; tähtaega saab keeruliste taotluste korral pikendada kahe kuu võrra. Vastus on andmesubjektile üldjuhul tasuta.

Õigused, mille GDPR annab isikutele, kelle andmeid töödeldakse: õigus teabele, juurdepääsule, parandamisele, kustutamisele (õigus olla unustatud), töötlemise piiramisele, andmete ülekantavusele ja vastuväidete esitamisele – samuti kaitse puhtalt automatiseeritud otsuste eest, millel on oluline mõju. Ettevõttel peavad olema protseduurid, mis tagavad taotlustele vastamise ühe kuu jooksul. Õigused ei ole absoluutsed; kustutamisest võib näiteks keelduda, kui andmeid tuleb säilitada raamatupidamisseaduse alusel. Õiguste puudulik käsitlemine on üks levinumaid põhjuseid andmekaitseasutustele esitatavate kaebuste puhul.

Isikuandmete edastamine riikidesse väljaspool EL-i/EMP-d – näiteks kui ettevõte kasutab USA pilveteenust. Edastamine eeldab kehtivat edastamise alust vastavalt GDPR-i V peatükile: Euroopa Komisjoni piisavusotsust (nagu EL-i-USA andmekaitseraamistik), lepingu tüüptingimusi (SCC) või siduvaid kontsernisiseseid eeskirju. Pärast Schrems II kohtuotsust peab ettevõte lisaks hindama, kas kaitse tase vastuvõtvas riigis on tegelikult piisav. Kolmandatesse riikidesse edastamine peab kajastuma artikli 30 registris ja privaatsuspoliitikas.

Kronoloogiline, muutumatu sündmuste kirje süsteemis: kes tegi mida, millal ja millisest aadressilt. Allkirjastamisprotsessis dokumenteerib auditilogi näiteks selle, millal dokument saadeti, avati ja allkirjastati ning kuidas allkirjastaja tuvastati. Logi on oluline elektrooniliste allkirjade tõendusjõu ja GDPR-i järgimise tõendamise seisukohalt, näiteks selle kohta, kellel on olnud juurdepääs tundlikele juhtumitele. Head auditilogi ei saa hiljem muuta ning seda säilitatakse eraldi andmetest, mida see kirjeldab.

Andmekaitsealane mõjuhinnang, mida GDPR-i artikkel 35 nõuab, kui töötlemine kujutab endast tõenäoliselt suurt riski andmesubjektidele – näiteks süstemaatiline jälgimine, tundlike andmete ulatuslik töötlemine või uus tehnoloogia nagu näotuvastus. Hinnang peab kirjeldama töötlemist, hindama vajalikkust ja proportsionaalsust, kaardistama riskid ning määrama leevendusmeetmed. Kui riski ei ole võimalik vähendada, tuleb enne töötlemise algust konsulteerida järelevalveasutusega. Taani andmekaitseasutus on avaldanud loetelu töötlemistest, mis alati nõuavad mõjuhinnangut.

Digitaalne süsteem, mida Taani tööandjad peavad kasutama tööõnnetustest teatamiseks Tööinspektsioonile ja Tööturu Kutsehaiguste Kindlustusele. EASY-le pääseb ligi Virk.dk kaudu ettevõtte MitID Erhverv abil ning üks teade saadetakse automaatselt õigetele ametiasutustele ja vajaduse korral kindlustusandjale. Teatamine EASY-süsteemis on kohustuslik – paberivorme ei aktsepteerita. Hea tava on registreerida õnnetuse asjaolud kohe ettevõttesiseselt, et EASY-teade saaks õigeaegselt korrektselt täidetud.

ELi määrus elektroonilise identimise ja usaldusteenuste kohta (910/2014), mis loob ühtsed reeglid elektroonilistele allkirjadele, pitseritele ja ajatemplitele kogu EL-is. eIDAS määratleb kolm elektroonilise allkirja taset – lihtne (SES), täiustatud (AES) ja kvalifitseeritud (QES) – ning sätestab, et allkirjale ei saa keelduda tõendusjõu andmisest ainuüksi seetõttu, et see on elektrooniline. Määrust on uuendatud eIDAS 2.0-ga, millega kehtestatakse muu hulgas Euroopa digitaalne identiteedi rahakott. Väikeste ja keskmise suurusega ettevõtete jaoks tähendab eIDAS, et selliseid dokumente nagu töölepingud saab kehtivalt digitaalselt allkirjastada.

GDPR-i artiklis 9 nimetatud eriliigilised isikuandmed: rassiline või etniline päritolu, poliitilised, usulised või filosoofilised veendumused, ametiühingusse kuulumine, geneetilised ja biomeetrilised andmed, terviseandmed ning andmed seksuaalelu või seksuaalse sättumuse kohta. Töötlemine on üldjuhul keelatud ja eeldab konkreetset erandit, näiteks selgesõnalist nõusolekut või vajadust töösuhteõiguse alusel. Eriliigilised andmed nõuavad tõhustatud turvalisust ning Taani õiguses kehtivad isikukoodidele ja süüdimõistvatele otsustele omad erireeglid. Paljud personali- ja rikkumisjuhtumid sisaldavad eriliigilisi andmeid ning need tuleb seetõttu eriti hästi kaitsta.

Kohustuslik koosolek, mille iga Taani tööandja, kellel on töötajaid, peab pidama vähemalt kord aastas ning kus juhtkond ja töötajad vaatavad üle töökeskkonna olukorra. Arutelus tuleb vaadata tagasi möödunud aastale, seada järgmise aasta eesmärgid ja meetmed ning hinnata, kas koostöö töökeskkonna teemal toimib. Ettevõtted, kellel puudub ametlik töökeskkonnaorganisatsioon, peavad suutma Tööinspektsioonile kirjalikult tõendada, et arutelu on toimunud. See on loomulikult seotud riskihindamise järelkontrolliga.

ELi isikuandmete kaitse üldmäärus, mida kohaldatakse alates 25. maist 2018 ning mida täiendab Taani andmekaitseseadus. GDPR seab nõuded sellele, kuidas ettevõtted koguvad, kasutavad, säilitavad ja kustutavad isikuandmeid, ning annab andmesubjektidele rea õigusi. Ettevõtted peavad suutma tõendada oma vastavust – nn vastutuse põhimõte. Rikkumiste eest võib määrata trahve kuni 20 miljonit eurot või 4% ülemaailmsest aastakäibest.

Kirjalik leping, mida GDPR-i artikkel 28 nõuab vastutava töötleja ja volitatud töötleja vahel. Leping peab muu hulgas kindlaks määrama töötlemise eseme ja kestuse, andmete liigi, volitatud töötleja kohustused, turvanõuded, alltöötlejaid puudutavad reeglid ning abi andmise andmetega seotud rikkumiste ja juurdepääsutaotluste korral. Ilma kehtiva lepinguta on ebaseaduslik lasta tarnijal töödelda ettevõtte nimel isikuandmeid. Taani andmekaitseasutus on avaldanud standardmalli, mida paljud väikesed ja keskmise suurusega ettevõtted aluseks võtavad.

Turvaintsident, mis põhjustab isikuandmete juhusliku või ebaseadusliku hävimise, kaotsimineku, muutmise või loata juurdepääsu – näiteks vale saajale saadetud e-kiri, kadunud sülearvuti või häkkerirünnak. Rikkumisest tuleb üldjuhul teatada järelevalveasutusele 72 tunni jooksul, välja arvatud juhul, kui see ei kujuta endast tõenäoliselt riski andmesubjektidele. Suure riski korral tuleb teavitada ka asjaomaseid isikuid. Kõik rikkumised – ka need, millest ei teatata – tuleb dokumenteerida ettevõttesiseses registris.

Rahvusvaheline standard infoturbe juhtimissüsteemidele (ISMS). Standard nõuab, et organisatsioon tuvastab süstemaatiliselt oma infoturbe riskid ning juhib neid poliitikate, kontrollide ja pideva täiustamise kaudu; kontrollide loetelu asub lisas A ja seda täpsustatakse standardis ISO 27002. Sertifitseerimise viib läbi akrediteeritud sertifitseerimisasutus ning see on vabatahtlik, kuid seda nõutakse üha enam klientide ja hangete poolt. Väikeste ja keskmise suurusega ettevõtete jaoks on täielik sertifitseerimine sageli ülemäärane, kuid põhimõtted – riskihindamine, juurdepääsu haldamine, logimine ja valmisolek intsidentideks – on hea eeskuju turvatööle.

Eraldi riskihindamine, mille Taani tööandjad peavad koostama, kui töötajad töötavad ohtlike keemiliste ainete ja materjalidega või võivad neile kokku puutuda. See asendas 2019. aastal varasemad töökoha kasutusjuhendid ja peab muu hulgas kirjeldama ainete ohtlikkust, kokkupuudet, ennetusmeetmeid ja koolitusnõudeid. Hindamine peab olema kirjalik, ajakohastatud ning töötajaid tuleb selle tulemustest teavitada. Tarnija ohutuskaardid on selle töö oluline alus.

Taani riiklik digitaalne identiteet, mis asendas NemID ning mida kasutatakse sisselogimiseks avaliku sektori, pankade ja erateenuste juures. MitID on eIDAS-e alusel teavitatud ning seda saab kasutada allkirjastaja tuvastamiseks elektroonilise allkirjastamise protsessis, mis tõstab allkirja täiustatud tasemele (AES). Ettevõtted kasutavad MitID Erhvervi, et tegutseda ettevõtte nimel, näiteks EASY-süsteemis ja Virk.dk-s. Dokumendi allkirjastamisel dokumenteerib MitID-ga sisselogimine kõrge kindlusega, kes tegelikult allkirjastas.

ELi küberturvalisuse direktiiv (2022/2555), mis karmistab võrgu- ja infosüsteemide turvanõudeid olulistele ja tähtsatele üksustele paljudes sektorites – näiteks energeetika, transport, tervishoid, digitaristu ja toiduainetetööstus. Hõlmatud ettevõtted peavad kehtestama riskijuhtimise, tegelema tarneahela turvalisusega ning teatama olulistest intsidentidest ametiasutustele, kusjuures nõuete täitmata jätmise eest võib määrata märkimisväärseid trahve; juhtkonda võib võtta isiklikult vastutusele. NIS2 kehtib tavaliselt keskmise suurusega ja suurte ettevõtete kohta hõlmatud sektorites, kuid mõjutab kaudselt ka väiksemaid tarnijaid klientide nõuete kaudu. Taanis on direktiiv rakendatud seadusega alates 1. juulist 2025.

Üks GDPR-i kuuest õiguslikust alusest isikuandmete töötlemiseks. Kehtiv nõusolek peab olema vabatahtlik, konkreetne, teadlik ja ühemõtteline – ning antud aktiivse tegevusega, näiteks eelnevalt märkimata jäetud kastikese märkimisega. Andmesubjekt võib nõusoleku igal ajal tagasi võtta ning see peab olema sama lihtne kui selle andmine. Ettevõte peab suutma tõendada, et nõusolek on saadud nõuetekohaselt, ning töösuhetes on nõusolek harva sobiv, kuna võimude tasakaalustamatus muudab vabatahtlikkuse küsitavaks.

GDPR-i artikli 6 lõike 1 punktil f põhinev õiguslik alus, mis lubab ettevõttel töödelda tavalisi isikuandmeid, kui tema õigustatud huvid kaaluvad üles andmesubjekti huvid ja õigused. Alus eeldab dokumenteeritud kaalumist – nn huvide tasakaalustamise testi – ning et töötlemine on eesmärgi jaoks vajalik. Tüüpilised näited on otseturustus olemasolevatele klientidele, IT-turvalisus ja sisemine haldus. Andmesubjektil on alati õigus esitada vastuväide õigustatud huvil põhinevale töötlemisele.

Sündmus, mis oleks võinud põhjustada tööõnnetuse, kuid kus keegi viga ei saanud – näiteks tööriist, mis kukub töötaja kõrvale, või libastumine, mis napilt ei lõppe kukkumisega. Peaaegu-õnnetusi ei pea ametiasutustele teatama, kuid need on üks olulisemaid ennetusvahendeid. Neid süstemaatiliselt registreerides ja analüüsides saab ettevõte kõrvaldada riskid, enne kui need põhjustavad tegeliku õnnetuse. Peaaegu-õnnetuste mustrid peaksid kajastuma riskihindamises.

Töökeskkonna riskihindamise osa, mis käsitleb psühhosotsiaalset töökeskkonda: töökoormust, ebaselgeid nõudmisi, kiusamist, ahistamist, vägivalda ja alandavat käitumist. See ei ole vabatahtlik lisand – psühhosotsiaalsed tegurid peavad alati kuuluma riskihindamisse võrdselt füüsiliste riskidega. Reeglid täpsustati Taani 2020. aasta psühhosotsiaalse töökeskkonna määruses. Paljud ettevõtted kaardistavad seda anonüümsete küsitluste abil, et töötajad julgeksid ausalt vastata.

eIDAS-e kõrgeim allkirjatase: täiustatud elektrooniline allkiri, mis on loodud kvalifitseeritud allkirja loomise vahendiga ja põhineb kvalifitseeritud usaldusteenuse osutaja väljastatud kvalifitseeritud sertifikaadil. QES-il on kogu EL-is samasugune õiguslik toime nagu käsitsi kirjutatud allkirjal ning see tunnustatakse kõikides liikmesriikides. Seda nõutakse ainult erijuhtudel, kus seadus sätestab vorminõuded – tavaliste äritehingute puhul piisab üldjuhul AES-ist või SES-ist. Vastukaaluks pöördub tõendamiskoormis praktikas ümber: QES-i puhul peab allkirja vaidlustav pool tõendama, et see ei ole ehtne.

Sisemine kanal, mille kaudu töötajad ja teised tööga seotud isikud saavad konfidentsiaalselt teatada seaduserikkumistest ja tõsistest asjaoludest – näiteks pettusest, altkäemaksust, GDPR-i rikkumistest või seksuaalsest ahistamisest. Kanalil peab olema erapooletu üksus, mis kinnitab kättesaamist 7 päeva jooksul ja annab tagasisidet 3 kuu jooksul. Teataja isik tuleb kaitsta ning juurdepääs juhtumitele tuleb anda ainult neile, kellel on selleks vajadus. Kanal tuleb kirjeldada kirjalikult ning töötajatel peab olema kerge juurdepääs teabele selle kasutamise kohta.

Tähtajad, mille ettevõte kehtestab selle kohta, kui kaua eri liiki isikuandmeid säilitatakse enne nende kustutamist või anonüümimist. GDPR-i säilitamise piiramise põhimõte nõuab, et andmeid ei säilitata kauem, kui eesmärgi saavutamiseks vajalik. Tähtajad tuleb dokumenteerida – tavaliselt artikli 30 registris ja kustutamiskorras – ning neid tuleb praktikas tegelikult rakendada. Osa tähtaegu tuleneb muust õigusaktist, näiteks Taani raamatupidamisseaduse nõudest säilitada raamatupidamisdokumente 5 aastat.

Euroopa Komisjoni standardlepingud, mida ettevõtted saavad kasutada edastamise alusena, kui isikuandmeid saadetakse riikidesse väljaspool EL-i/EMP-d ilma piisavusotsuseta. Kehtivad 2021. aasta tüüptingimused koosnevad moodulitest, mis katavad erinevaid vastutavate töötlejate ja volitatud töötlejate kombinatsioone. Tingimused tuleb allkirjastada muutmata kujul ning pärast Schrems II otsust tuleb neid täiendada vastuvõtva riigi õiguse hindamisega ja vajaduse korral täiendavate turvameetmetega, nagu krüpteerimine. Praktikas on tüüptingimused väikeste ja keskmise suurusega ettevõtete kõige sagedamini kasutatav edastamise alus.

eIDAS-e põhitase elektroonilistele allkirjadele: elektroonilisel kujul olevad andmed, mis on seotud teiste elektrooniliste andmetega ja mida allkirjastaja kasutab allkirjastamiseks – näiteks e-kirja alla trükitud nimi, skaneeritud allkirjapilt või nõustumisnupu vajutus. SES on õiguslikult kehtiv enamiku Taani lepingute puhul, kus kehtib vormivabadus. Tõendusjõud sõltub siiski sellest, kui hästi on võimalik tõendada, kes allkirjastas ja et dokumenti pole muudetud. Seetõttu tugevdavad SES-i märkimisväärselt auditilogi ja dokumendi krüptograafiline räsi.

Dokumendi krüptograafiline sõrmejälg, mis arvutatakse räsifunktsiooniga nagu SHA-256. Isegi väikseim muudatus dokumendis – üksainus tähemärk – annab täiesti erineva räsiväärtuse ning teise sama räsiga dokumendi loomine on praktiliselt võimatu. Elektroonilisel allkirjastamisel salvestatakse dokumendi räsi, et hiljem oleks võimalik tõendada, et allkirjastatud dokumenti pole muudetud. Räsi ei paljasta midagi dokumendi sisu kohta ning seda võib seetõttu vabalt jagada terviklikkuse tõendina.

Igasugune teataja ebasoodne kohtlemine teate esitamise tõttu – näiteks vallandamine, alandamine, ahistamine, halvemad tööülesanded või edutamisest kõrvalejätmine. Rikkumisest teatajate kaitse seadus keelab survemeetmed ning ka nendega ähvardamine ja nende katsed on keelatud. Kui teataja puutub siiski kokku survemeetmetega, on tal õigus hüvitisele ning tõendamiskoormis võib pöörduda, mistõttu tööandja peab tõendama, et kohtlemine ei olnud tingitud teatest. Kaitse kehtib, kui teataja uskus heas usus, et teave oli õige.

Taani andmekaitse järelevalveasutus, mis teostab järelevalvet GDPR-i ja Taani andmekaitseseaduse täitmise üle. Ta menetleb kodanike kaebusi, teostab kontrolle ettevõtetes ja ametiasutustes, võtab vastu teateid andmetega seotud rikkumistest ning avaldab juhendeid ja malle. Ta võib avaldada kriitikat, anda ettekirjutusi ja soovitada trahve – Taanis määravad GDPR-i trahvid üldjuhul kohtud pärast politseile esitatud teadet. Tema juhendid on hea lähtekoht, kui väike või keskmise suurusega ettevõte korrastab oma GDPR-dokumentatsiooni.

Taani seadus, millega rakendatakse ELi rikkumisest teatajate kaitse direktiivi (2019/1937) ja mis on kehtinud alates 2021. aasta detsembrist. Seadus kohustab vähemalt 50 töötajaga eraettevõtteid ja enamikku avaliku sektori tööandjaid looma sisemise teatamiskanali – nõue on kehtinud 50–249 töötajaga ettevõtetele alates 17. detsembrist 2023. Seadus kaitseb teatajaid survemeetmete eest ning nõuab konfidentsiaalsust, kättesaamise kinnitust 7 päeva jooksul ja tagasisidet 3 kuu jooksul. Rikkumised võivad kaasa tuua trahve ja kahjunõudeid.

Taani ametiasutus, kes teostab järelevalvet selle üle, et ettevõtted täidavad töökeskkonna seadust. Ta teeb nii etteteatatud kui ka etteteatamata kontrollkäike ning võib anda ettekirjutusi, viivitamatuid ettekirjutusi ja keelde ning soovitada trahve. Kontrolli käigus küsib ta tavaliselt riskihindamist, iga-aastast töökeskkonna arutelu ja töökeskkonnaorganisatsiooni dokumentatsiooni. Ettevõtted, kellel on kirjalik dokumentatsioon korras, saavad kontrollkäigust palju kergemini läbi.

Riskihindamises sisalduv kirjalik kava, mis kirjeldab, kuidas ettevõte kavatseb lahendada kaardistamisel tuvastatud töökeskkonnaprobleemid. Iga probleemi kohta peab kava näitama, mida tuleb teha, kes on vastutav ja millal peab probleem olema lahendatud. Tegevuskava on seadusest tulenev nõue – ilma tegevuskavata ei ole riskihindamine täielik. Lisaks tuleb teha järelkontroll, et ettevõte saaks tõendada, et meetmed on tegelikult ellu viidud ja toimivad.

Alates 1. juulist 2024 peavad Taani tööandjad kasutama objektiivset, usaldusväärset ja kättesaadavat süsteemi, mis registreerib iga töötaja igapäevase tööaja. Nõue tuleneb Taani tööaja seaduse muudatusest, millega rakendatakse Euroopa Kohtu praktikat, ning selle eesmärk on võimaldada kontrollida 48 tunni reeglit ja puhkeaja reegleid. Kirjeid tuleb säilitada 5 aastat ning töötajal peab olema juurdepääs oma andmetele. Nn iseseisvalt oma tööaega korraldavad töötajad võib erandiks jätta, kuid erand on kitsas ja peab olema kirjas töölepingus.

Kohustuslik töökeskkonna hindamine, mille peab läbi viima iga Taani tööandja, kellel on töötajaid, vähemalt iga 3 aasta järel – ning alati, kui töö oluliselt muutub. See koosneb neljast etapist: töökeskkonna kaardistamine, probleemide hindamine, kirjalik tegevuskava ja järelkontroll. Nõue tuleneb Taani töökeskkonna seaduse §15a-st ning Tööinspektsioon (Arbejdstilsynet) võib seda kontrolli käigus nõuda. Meetod on vabalt valitav, kuid tulemus peab olema kirjalik ja töötajatele kättesaadav.

Äkiline tööga seotud sündmus, mis põhjustab kehavigastuse – näiteks kukkumine, muljumisvigastus või äge ülekoormus. Tööandja on kohustatud õnnetusest digitaalselt teatama EASY-süsteemis, kui see põhjustab töölt puudumise pärast vigastuspäeva, ning teade tuleb esitada hiljemalt 14 päeva jooksul esimesest puudumispäevast. Teatada tuleb ka õnnetustest, mis võivad anda õiguse hüvitisele Taani tööõnnetuste seaduse alusel. Teatamise tegematajätmise eest võib määrata trahvi ning õnnetustele peaks alati järgnema ennetavad meetmed riskihindamises.

Ettevõtte koondkirjeldus reeglitest, poliitikatest ja praktilistest asjaoludest töötajatele – näiteks tööaeg, haigusest teatamine, puhkus, IT- ja andmekaitsepoliitika, uimastipoliitika ning suunised alandava käitumise vastu. Käsiraamat ei ole seadusest tulenev nõue, kuid see koondab dokumentatsiooni, mida muud reeglid nõuavad, ja loob selguse selle kohta, mis kehtib. Käsiraamatu tingimustel võib olla tööõiguslik toime, seega tuleb olulistest muudatustest nõuetekohaselt teatada. Hea tava on lasta töötajatel digitaalselt kinnitada, et nad on kehtiva versiooniga tutvunud.

Töötlemistoimingute register, mida GDPR-i artikkel 30 nõuab vastutavatelt töötlejatelt ja volitatud töötlejatelt. Register peab muu hulgas kirjeldama töötlemise eesmärke, andmesubjektide ja andmete kategooriaid, vastuvõtjaid, võimalikke edastamisi kolmandatesse riikidesse, säilitustähtaegu ja turvameetmeid. See peab olema kirjalik, ajakohastatud ning nõudmisel järelevalveasutusele kättesaadav. Erand alla 250 töötajaga ettevõtetele on kitsas, mistõttu peaaegu kõik ettevõtted peaksid praktikas registrit pidama.

Dokumendid, mille uus töötaja peab saama ja allkirjastama töösuhte alguses. Kõige olulisem on tööleping: 2023. aasta Taani töölepingu tõendamise seaduse kohaselt tuleb olulisemad tingimused anda kirjalikult hiljemalt 7 kalendripäeva jooksul esimesest tööpäevast ning ülejäänu ühe kuu jooksul. Lisaks lisatakse tavaliselt konfidentsiaalsuskohustus, IT- ja andmekaitsepoliitika, seadmete üleandmine, käsiraamatu kättesaamise kinnitus ning GDPR-i teavitamiskohustus töötajate andmete töötlemise kohta. Digitaalne allkirjastamine koos auditilogiga muudab lihtsaks tõendada, et kõik on õigeaegselt üle antud ja aktsepteeritud.

Aastaplaan, mis jaotab ettevõtte korduvad vastavusülesanded kalendriaastale, et miski ei jääks unustatuks ega koguneks kuhjaga. Tüüpilised punktid on iga-aastane töökeskkonna arutelu, riskihindamise tegevuskava järelkontroll, artikli 30 registri ja säilitustähtaegade ülevaatamine, andmetega seotud rikkumistele reageerimise testimine, isikuandmete töötlemise lepingute läbivaatamine ning töötajate käsiraamatu ajakohastamine. Aastaratas muudab vastavuse pidevaks rutiiniks, millel on selged vastutajad ja tähtajad, mitte iga-aastaseks tulekahju kustutamiseks. See on ühtlasi hea tõend järelevalveasutustele selle kohta, et ettevõte tegutseb süstemaatiliselt.

Ettevõte, ametiasutus või isik, kes otsustab, mis eesmärkidel ja millises ulatuses isikuandmeid töödeldakse. Vastutav töötleja kannab peamist vastutust GDPR-i järgimise eest: õiguslik alus, teavitamiskohustus, turvalisus, dokumenteerimine ja andmesubjektide õigused. Tööandja on näiteks vastutav töötleja oma töötajate personaliandmete osas. Kui vastutav töötleja kasutab töötlemiseks tarnijaid, tuleb nendega sõlmida isikuandmete töötlemise lepingud.

Ettevõte või isik, kes töötleb isikuandmeid vastutava töötleja nimel ja tema juhiste kohaselt – näiteks pilveteenuse pakkuja, palgaarvestusbüroo või personalisüsteem. Volitatud töötleja ei tohi kasutada andmeid oma eesmärkidel ning peab täitma GDPR-i turvalisuse ja konfidentsiaalsuse nõudeid. Suhe tuleb reguleerida kirjaliku isikuandmete töötlemise lepinguga. Kui volitatud töötleja kasutab ise alltöövõtjaid (alltöötlejaid), on selleks vaja vastutava töötleja luba.