Rječnik usklađenosti

Srednja razina potpisa definirana u članku 26 eIDAS-a. Napredni elektronički potpis mora biti jedinstveno povezan s potpisnikom, mora omogućavati njegovu identifikaciju, mora biti izrađen sredstvima koja su pod isključivom kontrolom potpisnika te mora biti povezan s dokumentom tako da se svaka naknadna izmjena može otkriti. U praksi se zahtjevi često ispunjavaju kombiniranjem identifikacije (primjerice putem MitID-a) s kriptografskim pečaćenjem dokumenta. AES ima znatno jaču dokaznu vrijednost od jednostavnog potpisa i standardan je izbor za dokumente poput ugovora o radu i ugovora o obradi podataka.

Pisani plan u procjeni rizika na radnom mjestu koji opisuje kako će tvrtka riješiti probleme koje je kartiranje otkrilo. Za svaki problem plan mora navesti što će se učiniti, tko je odgovoran i do kada mora biti riješen. Akcijski plan je zakonska obveza, procjena rizika bez njega nije potpuna. Potrebno je i praćenje provedbe kako bi tvrtka mogla dokazati da su mjere doista provedene i da funkcioniraju.

Formalna suradnja u području zaštite na radu između uprave i zaposlenika, obvezna u danskim tvrtkama s 10 ili više zaposlenika. AMO čini jedna ili više skupina za radni okoliš s izabranim predstavnikom zaposlenika i imenovanim nadzornikom. Članovi moraju u roku od 3 mjeseca od izbora završiti obvezno 3-dnevno osposobljavanje o radnom okolišu. U tvrtkama s manje od 10 zaposlenika zaštita na radu mora se rješavati izravnom suradnjom poslodavca i zaposlenika.

Dansko nadzorno tijelo za zaštitu podataka koje nadzire usklađenost s GDPR-om i danskim Zakonom o zaštiti podataka. Obrađuje pritužbe građana, provodi nadzore kod tvrtki i tijela, prima prijave povreda podataka te objavljuje smjernice i predloške. Može izraziti kritiku, izdati nalog i predložiti novčanu kaznu, u Danskoj kazne za GDPR obično određuju sudovi na temelju kaznene prijave. Njegove smjernice dobra su polazna točka kada malo ili srednje poduzeće izrađuje svoju GDPR dokumentaciju.

Dansko tijelo koje nadzire poštovanje Zakona o radnom okolišu. Provodi i najavljene i nenajavljene nadzore te može izdavati naloge za poboljšanje, hitne naloge i zabrane, kao i predlagati novčane kazne. Tijekom nadzora obično traži procjenu rizika, godišnju raspravu o radnom okolišu i dokumentaciju organizacije za radni okoliš. Tvrtke koje imaju urednu pisanu dokumentaciju mnogo lakše prolaze kroz nadzor.

Danski zakon koji provodi Direktivu EU o zviždačima (2019/1937), na snazi od prosinca 2021. Obvezuje privatne tvrtke s 50 ili više zaposlenika i većinu javnih poslodavaca na uspostavu unutarnjeg sustava prijave, obveza od 17. prosinca 2023. obuhvaća i tvrtke s 50-249 zaposlenika. Zakon štiti zviždače od odmazde te zahtijeva povjerljivost, potvrdu primitka u roku od 7 dana i povratnu informaciju u roku od 3 mjeseca. Kršenja mogu dovesti do novčane kazne i odgovornosti za štetu.

Dokumenti koje novi zaposlenik mora primiti i potpisati pri stupanju na posao. Najvažniji je ugovor o radu: prema danskom Zakonu o potvrdi o zaposlenju iz 2023., bitni uvjeti moraju biti dostavljeni pisano najkasnije 7 kalendarskih dana nakon prvog radnog dana, a ostatak u roku od mjesec dana. Obično se dodaju izjava o povjerljivosti, politika IT-a i zaštite podataka, predaja opreme, potvrda o upoznatosti s priručnikom za zaposlenike te obavijest o privatnosti prema GDPR-u o obradi podataka zaposlenika. Digitalno potpisivanje s revizijskim tragom olakšava dokazivanje da je sve dostavljeno i prihvaćeno na vrijeme.

Pisani ugovor koji članak 28 GDPR-a zahtijeva između voditelja obrade i izvršitelja obrade. Mora definirati predmet i trajanje obrade, vrste podataka, obveze izvršitelja obrade, sigurnosne zahtjeve, pravila za podizvršitelje te pomoć kod povreda podataka i zahtjeva za pristup. Bez valjanog ugovora o obradi podataka nezakonito je dopustiti dobavljaču obradu osobnih podataka u ime tvrtke. Danska agencija za zaštitu podataka objavila je standardni predložak koji mnogi mali i srednji poduzetnici koriste kao polazište.

Procjena učinka koju zahtijeva članak 35 GDPR-a kada obrada vjerojatno predstavlja visok rizik za ispitanike: primjerice sustavno praćenje, opsežna obrada osjetljivih podataka ili nova tehnologija poput prepoznavanja lica. Procjena mora opisati obradu, ocijeniti nužnost i proporcionalnost, kartirati rizike i utvrditi mjere ublažavanja. Ako se rizik ne može smanjiti, prije početka obrade potrebno je savjetovanje s tijelom za zaštitu podataka. Danska agencija za zaštitu podataka objavila je popis operacija koje uvijek zahtijevaju DPIA.

Digitalni sustav koji poslodavci moraju koristiti za prijavu nesreća na radu danskoj Inspekciji rada i danskom Osiguranju za ozljede na radu (Arbejdsmarkedets Erhvervssikring). Sustavu EASY pristupa se putem Virk.dk uz pomoć poslovnog MitID Erhverv, a jedna prijava automatski se prosljeđuje nadležnim tijelima i, prema potrebi, osiguravatelju. Prijava putem EASY-ja je obvezna, papirnati obrasci se ne prihvaćaju. Preporučljivo je odmah interno zabilježiti činjenice o nesreći kako bi se prijava u EASY mogla ispravno ispuniti unutar roka.

Uredba EU-a o elektroničkoj identifikaciji i uslugama povjerenja (910/2014) koja uspostavlja zajednička pravila za elektroničke potpise, pečate i vremenske žigove diljem EU-a. eIDAS definira tri razine elektroničkih potpisa (jednostavni (SES), napredni (AES) i kvalificirani (QES)) te utvrđuje da se potpisu ne može uskratiti pravni učinak samo zato što je elektronički. Uredba je ažurirana Uredbom eIDAS 2.0, koja između ostalog uvodi europski novčanik digitalnog identiteta. Za mala i srednja poduzeća eIDAS znači da se dokumenti poput ugovora o radu mogu valjano potpisati digitalno.

Evidencija aktivnosti obrade koju su prema članku 30 GDPR-a dužni voditi voditelji i izvršitelji obrade. Mora opisivati svrhe obrade, kategorije ispitanika i podataka, primatelje, moguće prijenose u treće zemlje, rokove čuvanja i sigurnosne mjere. Mora biti pisana, ažurirana i na zahtjev dostupna nadzornom tijelu za zaštitu podataka. Izuzeće za tvrtke s manje od 250 zaposlenika usko je postavljeno, pa u praksi gotovo svaka tvrtka treba voditi evidenciju.

Od 1. srpnja 2024. danski poslodavci moraju voditi objektivan, pouzdan i dostupan sustav koji bilježi dnevno radno vrijeme svakog zaposlenika. Zahtjev proizlazi iz izmjene danskog Zakona o radnom vremenu koja provodi sudsku praksu Suda EU-a, a mora omogućiti provjeru poštovanja pravila o 48 sati i pravila o odmoru. Evidencije se moraju čuvati 5 godina, a zaposlenici moraju imati pristup vlastitim podacima. Takozvani samoorganizatori mogu biti izuzeti, no izuzeće je usko i mora biti navedeno u ugovoru o radu.

Uredba EU-a o zaštiti osobnih podataka, na snazi od 25. svibnja 2018. koju u Danskoj dopunjuje danski Zakon o zaštiti podataka. GDPR postavlja zahtjeve za način na koji tvrtke prikupljaju, koriste, pohranjuju i brišu osobne podatke te ispitanicima daje niz prava. Tvrtke moraju moći dokazati usklađenost, takozvano načelo odgovornosti. Kršenja se mogu kazniti novčanom kaznom do 20 milijuna eura ili 4 % globalnog godišnjeg prometa.

Obvezan sastanak koji svaki danski poslodavac sa zaposlenicima mora održati barem jednom godišnje, na kojem uprava i zaposlenici pregledavaju radni okoliš. Rasprava mora sagledati proteklu godinu, postaviti ciljeve i mjere za nadolazeću godinu te procijeniti funkcionira li suradnja na području zaštite na radu. Tvrtke bez formalne organizacije za radni okoliš moraju danskoj Inspekciji rada pisano dokazati da je rasprava održana. Prirodno se nadovezuje na praćenje provedbe procjene rizika.

Međunarodna norma za sustave upravljanja sigurnošću informacija (ISMS). Zahtijeva da organizacija sustavno prepozna svoje rizike u pogledu sigurnosti informacija i upravlja njima putem politika, kontrola i kontinuiranog poboljšanja; katalog kontrola nalazi se u Prilogu A i detaljnije je razrađen u normi ISO 27002. Certificiranje provodi akreditirano certifikacijsko tijelo i dobrovoljno je, no kupci i javne nabave sve ga češće zahtijevaju. Za mala i srednja poduzeća puna certifikacija često je predimenzionirana, no načela: procjena rizika, upravljanje pristupom, evidentiranje i pripravnost. Dobar su uzor za sigurnosni rad.

Tvrtka ili osoba koja obrađuje osobne podatke u ime voditelja obrade i prema njegovim uputama: primjerice pružatelj usluga u oblaku, obračun plaća ili HR sustav. Izvršitelj obrade ne smije koristiti podatke u vlastite svrhe i mora ispunjavati zahtjeve GDPR-a za sigurnost i povjerljivost. Odnos mora biti uređen pisanim ugovorom o obradi podataka. Ako izvršitelj obrade koristi podizvođače (podizvršitelje), potrebno je odobrenje voditelja obrade.

Godišnji plan koji raspoređuje ponavljajuće zadatke tvrtke na području usklađenosti kroz cijelu kalendarsku godinu, tako da se ništa ne zaboravi ili nagomila. Tipične stavke uključuju godišnju raspravu o radnom okolišu, praćenje provedbe akcijskog plana iz procjene rizika, pregled evidencije prema članku 30 i rokova čuvanja, testiranje odgovora na povredu podataka, reviziju ugovora o obradi podataka i ažuriranje priručnika za zaposlenike. Kalendar pretvara usklađenost u tekuću rutinu s jasnim odgovornim osobama i rokovima umjesto godišnjeg gašenja požara. Također služi kao dobar dokaz nadzornim tijelima da tvrtka radi sustavno.

Posebna procjena rizika koju danski poslodavci moraju izraditi kada zaposlenici rade s opasnim kemijskim tvarima i materijalima ili mogu biti izloženi njima. Godine 2019. zamijenila je dotadašnje upute za rad i mora opisivati opasnosti, izloženost, preventivne mjere i zahtjeve za osposobljavanje. Procjena mora biti pisana, ažurirana, a zaposlenici moraju biti upućeni u njezine nalaze. Sigurnosno-tehnički listovi dobavljača ključan su izvor podataka.

Pravna osnova prema članku 6. stavku 1. točki (f) GDPR-a koja tvrtki omogućuje obradu uobičajenih osobnih podataka ako njezini legitimni interesi nadmašuju interese i prava ispitanika. Ta osnova zahtijeva dokumentirano odvagivanje interesa (takozvanu procjenu legitimnog interesa) a obrada mora biti nužna za tu svrhu. Tipični primjeri su izravni marketing prema postojećim korisnicima, IT sigurnost i interna administracija. Ispitanik uvijek ima pravo prigovora na obradu temeljenu na legitimnom interesu.

Danski nacionalni digitalni identitet koji je zamijenio NemID i koristi se za prijavu u javne usluge, banke i privatne usluge. MitID je prijavljen prema eIDAS-u i može se koristiti za identifikaciju potpisnika u postupku elektroničkog potpisivanja, čime se potpis podiže na naprednu razinu (AES). Tvrtke koriste MitID Erhverv za djelovanje u ime tvrtke, primjerice u sustavu EASY i na Virk.dk. Kod potpisivanja dokumenata prijava putem MitID-a pruža snažan dokaz o tome tko je stvarno potpisao.

Iznenadan događaj u vezi s radom koji uzrokuje tjelesnu ozljedu: primjerice pad, nagnječenje ili akutno preopterećenje. Poslodavac je dužan digitalno prijaviti nesreću u sustavu EASY ako uzrokuje izostanak dulji od dana ozljede, a prijava se mora podnijeti najkasnije 14 dana nakon prvog dana izostanka. Prijaviti treba i nesreće koje mogu davati pravo na naknadu prema zakonu o naknadi za ozljede na radu. Neprijavljivanje se može kazniti novčanom kaznom, a nakon nesreća uvijek treba slijediti preventivne mjere u procjeni rizika.

Direktiva EU-a o kibernetičkoj sigurnosti (2022/2555), koja pooštrava sigurnosne zahtjeve za mrežne i informacijske sustave za ključne i važne subjekte u brojnim sektorima: primjerice u energetici, prometu, zdravstvu, digitalnoj infrastrukturi i prehrambenoj industriji. Obuhvaćene tvrtke moraju uvesti upravljanje rizicima, riješiti sigurnost opskrbnog lanca i prijavljivati značajne incidente tijelima, uz znatne novčane kazne za nepoštovanje; uprava može snositi osobnu odgovornost. NIS2 se obično odnosi na srednje i velike tvrtke u obuhvaćenim sektorima, no manji dobavljači također su neizravno pogođeni putem zahtjeva klijenata. U Danskoj je direktiva provedena zakonom s učinkom od 1. srpnja 2025.

Svaki nepovoljan postupak prema zviždaču kao posljedica prijave: primjerice otkaz, degradacija, uznemiravanje, lošiji zadaci ili isključenje iz napredovanja. Zakon o zviždačima zabranjuje odmazdu, a nezakoniti su i prijetnje te pokušaji odmazde. Ako zviždač ipak bude izložen odmazdi, ima pravo na naknadu, a teret dokazivanja može se prebaciti tako da poslodavac mora dokazati da postupanje nije bilo povezano s prijavom. Zaštita vrijedi kada je prijavitelj u dobroj vjeri vjerovao u točnost informacija.

Posebne kategorije osobnih podataka prema članku 9 GDPR-a: rasno ili etničko podrijetlo, politička, vjerska ili filozofska uvjerenja, članstvo u sindikatu, genetski i biometrijski podaci, podaci o zdravlju te podaci o spolnom životu ili spolnoj orijentaciji. Obrada je prema zadanim postavkama zabranjena i zahtijeva posebnu iznimku, primjerice izričitu privolu ili nužnost prema radnom pravu. Osjetljivi podaci zahtijevaju pojačanu sigurnost, a prema danskom pravu osobni identifikacijski brojevi i kaznene evidencije uređeni su vlastitim posebnim pravilima. Mnogi HR i slučajevi zviždanja sadrže osjetljive podatke i stoga zahtijevaju dodatnu zaštitu.

Sigurnosni incident koji dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene ili neovlaštenog pristupa osobnim podacima: primjerice e-pošta poslana pogrešnom primatelju, izgubljeno prijenosno računalo ili hakerski napad. Povreda se u pravilu mora prijaviti tijelu za zaštitu podataka u roku od 72 sata, osim ako nije vjerojatno da predstavlja rizik za ispitanike. Kod visokog rizika moraju se obavijestiti i pogođene osobe. Svaka povreda, uključujući neprijavljene, mora biti dokumentirana u internoj evidenciji.

Prava koja GDPR daje pojedincima čiji se podaci obrađuju: pravo na informacije, pristup, ispravak, brisanje (pravo na zaborav), ograničenje obrade, prenosivost podataka i prigovor, te zaštitu od isključivo automatiziranih odluka sa značajnim učincima. Tvrtka mora imati postupke kako bi na zahtjeve odgovorila u roku od mjesec dana. Prava nisu apsolutna; brisanje se primjerice može odbiti ako se podaci moraju čuvati prema zakonu o računovodstvu. Loše postupanje s tim pravima jedan je od najčešćih uzroka pritužbi tijelima za zaštitu podataka.

Pravilo danskog Zakona o radnom vremenu prema kojemu prosječno tjedno radno vrijeme zaposlenika ne smije prelaziti 48 sati uključujući prekovremeni rad, mjereno tijekom referentnog razdoblja od 4 mjeseca. Pravilo proizlazi iz Direktive EU-a o radnom vremenu i odnosi se praktički na sve zaposlenike. Kršenja mogu zaposleniku donijeti pravo na naknadu, a od 2024. poslodavci moraju moći dokazati usklađenost putem evidencije radnog vremena. Neki kolektivni ugovori pod određenim uvjetima dopuštaju viši limit za odabrane skupine.

Rok iz članka 33 GDPR-a za prijavu povrede osobnih podataka tijelu za zaštitu podataka: bez nepotrebnog odgađanja i, ako je moguće, najkasnije 72 sata nakon što tvrtka sazna za povredu. Rok teče i vikendom i praznicima. Ako je rok propušten, prijava mora objasniti kašnjenje. Ako sve informacije nisu pravovremeno dostupne, prijava se može podnijeti u fazama. Najvažnije je na vrijeme prijaviti ono što je poznato.

Prijenos osobnih podataka u zemlje izvan EU/EGP-a, primjerice kada tvrtka koristi američku uslugu u oblaku. Prijenos zahtijeva valjani mehanizam prijenosa prema poglavlju V GDPR-a: odluku Europske komisije o primjerenosti (poput okvira EU-SAD za zaštitu podataka), standardne ugovorne klauzule (SCC) ili obvezujuća poslovna pravila. Nakon presude Schrems II tvrtka mora također procijeniti je li razina zaštite u zemlji primateljici zaista odgovarajuća. Prijenosi u treće zemlje moraju biti navedeni u evidenciji prema članku 30 i politici privatnosti.

Zbirni opis pravila, politika i praktičnih pitanja za zaposlenike u tvrtki: primjerice radnog vremena, prijave bolesti, godišnjeg odmora, IT i politike zaštite podataka, politike o sredstvima ovisnosti i smjernica protiv uvredljivog ponašanja. Priručnik nije zakonski obvezan, no prikuplja dokumentaciju koju zahtijevaju drugi propisi i stvara jasnoću o tome što vrijedi. Odredbe u priručniku mogu imati učinak radnog prava, stoga se bitne izmjene moraju propisno priopćiti. Dobra praksa je da zaposlenici digitalno potvrde da su pročitali trenutačnu verziju.

Jedna od šest pravnih osnova GDPR-a za obradu osobnih podataka. Valjana privola mora biti dobrovoljna, konkretna, informirana i nedvosmislena: dana aktivnim korakom, primjerice označavanjem polja koje nije unaprijed označeno. Ispitanik može privolu povući u bilo kojem trenutku, a povlačenje mora biti jednako jednostavno kao davanje. Tvrtka mora moći dokazati da je privola pravilno pribavljena, a u radnim odnosima privola je rijetko prikladna jer neravnoteža moći dovodi u sumnju dobrovoljnost.

Obvezna procjena radnog okoliša koju svaki danski poslodavac sa zaposlenicima mora provesti najmanje svake 3 godine, kao i kod svake značajne promjene posla. Sastoji se od četiri koraka: kartiranja radnog okoliša, procjene problema, pisanog akcijskog plana i praćenja provedbe. Zahtjev proizlazi iz članka 15a danskog Zakona o radnom okolišu, a danska Inspekcija rada može zatražiti uvid u nju prilikom nadzora. Metoda je prepuštena poslodavcu, no rezultat mora biti u pisanom obliku i dostupan zaposlenicima.

Dio procjene rizika na radnom mjestu koji se odnosi na psihosocijalni radni okoliš: radno opterećenje, nejasne zahtjeve, uznemiravanje, zlostavljanje, nasilje i uvredljivo ponašanje. To nije dobrovoljni dodatak, psihosocijalni čimbenici uvijek moraju biti uključeni u APV uz fizičke rizike. Pravila su pojašnjena danskom uredbom o psihosocijalnom radnom okolišu iz 2020. godine. Mnoge tvrtke ih kartiraju putem anonimnih upitnika kako bi se zaposlenici osjećali sigurno odgovoriti iskreno.

Najviša razina potpisa prema eIDAS-u: napredni elektronički potpis izrađen kvalificiranim sredstvom za izradu potpisa i temeljen na kvalificiranom certifikatu koji izdaje odobreni pružatelj usluga povjerenja. QES ima isti pravni učinak kao vlastoručni potpis diljem EU-a i priznat je u svim državama članicama. Potreban je samo u posebnim slučajevima kada zakon nameće formalne zahtjeve, za uobičajene poslovne dogovore obično je dovoljan AES ili SES. Zauzvrat, teret dokazivanja je zapravo obrnut: kod QES-a strana koja osporava potpis mora dokazati da nije autentičan.

Kronološki zapis događaja u sustavu, otporan na neovlaštene izmjene: tko je što učinio, kada i s koje adrese. U postupku potpisivanja revizijski trag dokumentira primjerice kada je dokument poslan, otvoren i potpisan te kako je potpisnik identificiran. Zapis je ključan za dokaznu vrijednost elektroničkih potpisa i za dokazivanje usklađenosti s GDPR-om, primjerice tko je imao pristup osjetljivim predmetima. Dobar revizijski trag ne može se naknadno uređivati i pohranjuje se odvojeno od podataka koje opisuje.

Rokovi koje tvrtka određuje za to koliko dugo se različite vrste osobnih podataka čuvaju prije brisanja ili anonimizacije. Načelo ograničenja pohrane prema GDPR-u zahtijeva da se podaci ne čuvaju dulje nego što je potrebno za svrhu. Rokovi moraju biti dokumentirani (obično u evidenciji prema članku 30 i politici brisanja) i moraju se u praksi zaista provoditi. Neki rokovi proizlaze iz drugih propisa, primjerice iz danskog Zakona o računovodstvu koji zahtijeva čuvanje računovodstvenih evidencija 5 godina.

Standardni ugovori Europske komisije koje tvrtke mogu koristiti kao mehanizam prijenosa kada se osobni podaci šalju u zemlje izvan EU/EGP-a bez odluke o primjerenosti. Trenutačne SCC iz 2021. dostupne su u modulima koji obuhvaćaju različite kombinacije voditelja i izvršitelja obrade. Klauzule se moraju potpisati nepromijenjene, a nakon presude Schrems II moraju se dopuniti procjenom zakonodavstva zemlje primateljice te, prema potrebi, dodatnim zaštitnim mjerama poput enkripcije. U praksi su SCC najčešće korišten mehanizam prijenosa za mala i srednja poduzeća.

Osnovna razina potpisa prema eIDAS-u: podaci u elektroničkom obliku priloženi drugim elektroničkim podacima koje potpisnik koristi za potpisivanje: primjerice utipkano ime ispod e-pošte, skenirana slika potpisa ili klik na gumb za prihvaćanje. SES je pravno valjan za veliku većinu ugovora u Danskoj, gdje vrijedi sloboda oblika. Njegova dokazna vrijednost, međutim, ovisi o tome koliko se dobro može dokazati tko je potpisao i da dokument nije izmijenjen. Zato SES značajno jača revizijski trag i kriptografski hash dokumenta.

Kriptografski otisak dokumenta, izračunat funkcijom sažimanja poput SHA-256. Čak i najmanja promjena u dokumentu (jedan znak) daje potpuno drugačiju hash vrijednost, a praktički je nemoguće izraditi drugi dokument s istim hashom. Kada se dokument elektronički potpiše, njegov hash se pohranjuje kako bi se kasnije moglo dokazati da potpisani dokument nije izmijenjen. Hash ne otkriva ništa o sadržaju dokumenta i stoga se može slobodno dijeliti kao dokaz cjelovitosti.

Unutarnji kanal putem kojega zaposlenici i druge osobe povezane s poslom mogu povjerljivo prijaviti kršenja zakona i ozbiljne slučajeve: primjerice prijevaru, podmićivanje, kršenja GDPR-a ili seksualno uznemiravanje. Sustav mora imati nepristranu jedinicu koja potvrđuje primitak u roku od 7 dana i daje povratnu informaciju u roku od 3 mjeseca. Identitet prijavitelja mora biti zaštićen, a pristup slučajevima smiju imati samo osobe kojima je to nužno potrebno. Sustav mora biti pisano opisan, a zaposlenici moraju imati lak pristup informacijama o njegovoj upotrebi.

Događaj koji je mogao dovesti do nesreće na radu, no nitko nije ozlijeđen, primjerice alat koji padne pored zaposlenika ili proklizavanje koje tek-tako ne završi padom. Umalo nesreće se ne moraju prijavljivati tijelima, no jedan su od najvažnijih alata prevencije. Sustavnim bilježenjem i analizom tvrtka može ukloniti rizike prije nego što uzrokuju pravu nesreću. Obrasci umalo nesreća trebaju biti dio rada na procjeni rizika.

Tvrtka, tijelo ili osoba koja određuje svrhe i sredstva obrade osobnih podataka. Voditelj obrade snosi glavnu odgovornost za usklađenost s GDPR-om: pravnu osnovu, obveze transparentnosti, sigurnost, dokumentaciju i prava ispitanika. Poslodavac je primjerice voditelj obrade kadrovskih podataka svojih zaposlenika. Ako voditelj obrade za obradu koristi dobavljače, s njima mora sklopiti ugovore o obradi podataka.

Elektronički dokaz da su određeni podaci postojali u određenom trenutku. U kontekstu potpisivanja i usklađenosti, vremenski žig povezuje hash dokumenta s određenim trenutkom, omogućujući dokazivanje kada je dokument potpisan ili evidentiran. eIDAS uređuje kvalificirane elektroničke vremenske žigove koje izdaju odobreni pružatelji usluga povjerenja i za koje vrijedi pretpostavka točnosti. Pouzdani vremenski žigovi također su važni u revizijskim tragovima, primjerice za dokazivanje da je povreda podataka prijavljena u roku od 72 sata.

Zahtjev pojedinca da sazna koje osobne podatke o njemu tvrtka obrađuje, pravo prema članku 15 GDPR-a. Tvrtka mora otkriti svrhe, kategorije podataka, primatelje i razdoblje čuvanja te dostaviti presliku podataka. Odgovor se mora dati bez nepotrebnog odgađanja i najkasnije mjesec dana od primitka; rok se kod složenih zahtjeva može produljiti za dva mjeseca. Odgovor je za ispitanika u pravilu besplatan.