Megfelelőségi szótár

A GDPR 30. cikke által megkövetelt nyilvántartás az adatkezelési tevékenységekről, amelyet az adatkezelőknek és adatfeldolgozóknak kell vezetniük. Le kell írnia az adatkezelés céljait, az érintettek és adatok kategóriáit, a címzetteket, az esetleges harmadik országba történő továbbítást, a megőrzési időt és a biztonsági intézkedéseket. Írásosnak kell lennie, naprakészen kell tartani, és kérésre be kell mutatni az adatvédelmi felügyeleti hatóságnak. A 250 főnél kevesebb alkalmazottal rendelkező vállalatok mentessége szűk körű, ezért a gyakorlatban szinte minden vállalatnak vezetnie kell nyilvántartást.

A dán munkaidő-törvény szabálya, amely szerint egy munkavállaló átlagos heti munkaideje – a túlórát is beleértve – nem haladhatja meg a 48 órát, egy 4 hónapos referencia-időszak alatt mérve. A szabály az EU munkaidő-irányelvéből ered, és gyakorlatilag minden munkavállalóra vonatkozik. A megsértése kártérítést eredményezhet a munkavállaló számára, és 2024 óta a munkáltatóknak a munkaidő-nyilvántartáson keresztül igazolniuk kell a megfelelést. Néhány kollektív szerződés bizonyos feltételek mellett magasabb határértéket enged meg kiválasztott csoportok számára.

A GDPR 33. cikkében meghatározott határidő a személyes adatok megsértésének bejelentésére az adatvédelmi hatóság felé: indokolatlan késedelem nélkül, és amennyiben lehetséges, legkésőbb 72 órával azután, hogy a vállalat tudomást szerzett a jogsértésről. A határidő hétvégén és munkaszüneti napokon is telik. Ha a határidő lejár, a bejelentésben meg kell indokolni a késedelmet. Ha nem áll rendelkezésre időben minden információ, a bejelentés szakaszosan is megtehető: a lényeg, hogy időben jelentsék, amit tudnak.

Olyan vállalat vagy személy, amely az adatkezelő nevében és utasításai szerint kezeli a személyes adatokat: például egy felhőszolgáltató, egy bérszámfejtő iroda vagy egy HR-rendszer. Az adatfeldolgozó nem használhatja fel az adatokat saját céljaira, és meg kell felelnie a GDPR biztonsági és titoktartási követelményeinek. A kapcsolatot írásos adatfeldolgozási szerződésnek kell szabályoznia. Ha az adatfeldolgozó alvállalkozókat (al-adatfeldolgozókat) vesz igénybe, ehhez az adatkezelő engedélye szükséges.

Az a vállalat, hatóság vagy személy, amely meghatározza a személyes adatok kezelésének céljait és eszközeit. Az adatkezelő viseli a fő felelősséget a GDPR-nak való megfelelésért: jogalap, tájékoztatási kötelezettségek, biztonság, dokumentáció és az érintettek jogai. Egy munkáltató például a munkavállalói HR-adatainak adatkezelője. Ha az adatkezelő beszállítókat vesz igénybe az adatkezeléshez, velük adatfeldolgozási szerződést kell kötnie.

Olyan biztonsági incidens, amely a személyes adatok véletlen vagy jogellenes megsemmisítéséhez, elvesztéséhez, megváltoztatásához vagy jogosulatlan hozzáféréséhez vezet: például egy rossz címzettnek küldött e-mail, egy elveszett laptop vagy egy hackertámadás. Az incidenst főszabály szerint 72 órán belül be kell jelenteni az adatvédelmi hatóságnak, kivéve, ha valószínűtlen, hogy kockázatot jelent az érintettekre. Magas kockázat esetén az érintett személyeket is tájékoztatni kell. Minden incidenst, a be nem jelentetteket is. Dokumentálni kell egy belső nyilvántartásban.

Az eIDAS 26. cikkében meghatározott középső aláírási szint. A fokozott biztonságú elektronikus aláírásnak egyértelműen kapcsolódnia kell az aláíróhoz, alkalmasnak kell lennie az azonosítására, olyan eszközökkel kell létrehozni, amelyek kizárólag az aláíró ellenőrzése alatt állnak, és úgy kell kapcsolódnia a dokumentumhoz, hogy minden későbbi módosítás észlelhető legyen. A gyakorlatban a követelményeket gyakran az azonosítás (például MitID) és a dokumentum kriptográfiai lezárásának kombinálásával teljesítik. Az AES lényegesen erősebb bizonyító erővel bír, mint az egyszerű aláírás, és a standard választás olyan dokumentumoknál, mint a munkaszerződések és az adatfeldolgozási szerződések.

A vezetés és a munkavállalók közötti formális együttműködés a munkavédelem terén, amely kötelező a 10 vagy több alkalmazottal rendelkező dán vállalatoknál. Az AMO egy vagy több munkakörnyezeti csoportból áll, választott munkavállalói képviselővel és kinevezett felügyelővel. A tagoknak a megválasztástól számított 3 hónapon belül el kell végezniük a kötelező 3 napos munkakörnyezeti képzést. A 10 főnél kevesebbet foglalkoztató vállalatoknál a munkavédelmet a munkáltató és a dolgozók közvetlen együttműködésével kell kezelni.

Azok a jogok, amelyeket a GDPR biztosít azoknak a személyeknek, akiknek az adatait kezelik: a tájékoztatáshoz, hozzáféréshez, helyesbítéshez, törléshez (az elfeledtetéshez való jog), az adatkezelés korlátozásához, az adathordozhatósághoz és a tiltakozáshoz való jog: valamint a kizárólag automatizált döntésekkel szembeni védelem, ha azoknak jelentős hatásuk van. A vállalatnak eljárásokkal kell rendelkeznie, hogy a kérelmekre egy hónapon belül válaszoljon. A jogok nem korlátlanok; a törlés például megtagadható, ha az adatokat a könyvviteli törvény alapján meg kell őrizni. E jogok rossz kezelése az egyik leggyakoribb oka az adatvédelmi hatóságokhoz benyújtott panaszoknak.

Belső csatorna, amelyen keresztül a munkavállalók és más, munkával kapcsolatban álló személyek bizalmasan jelenthetnek be jogsértéseket és súlyos ügyeket: például csalást, korrupciót, GDPR-jogsértést vagy szexuális zaklatást. A rendszernek rendelkeznie kell egy pártatlan bejelentővédelmi egységgel, amely 7 napon belül visszaigazolja az átvételt, és 3 hónapon belül visszajelzést ad. A bejelentő kilétét védeni kell, és az ügyekhez csak azok férhetnek hozzá, akiknek szükségük van rá. A rendszert írásban le kell írni, és a munkavállalóknak könnyen hozzá kell férniük a használatára vonatkozó információkhoz.

A dán felügyeleti hatóság az adatvédelem terén, amely felügyeli a GDPR és a dán adatvédelmi törvény betartását. Kezeli az állampolgárok panaszait, ellenőrzéseket végez vállalatoknál és hatóságoknál, fogadja az adatvédelmi incidensekről szóló bejelentéseket, és iránymutatásokat, valamint sablonokat tesz közzé. Kritikát fogalmazhat meg, utasítást adhat ki, és bírságot javasolhat, Dániában a GDPR-bírságokat általában a bíróságok szabják ki rendőrségi feljelentés nyomán. Iránymutatásai jó kiindulópontot jelentenek, amikor egy kkv kialakítja GDPR-dokumentációját.

A dán törvény, amely az EU bejelentővédelmi irányelvét (2019/1937) hajtja végre, 2021 decembere óta hatályos. Kötelezi az 50 vagy több alkalmazottal rendelkező magánvállalatokat és a legtöbb állami munkáltatót belső bejelentési rendszer létrehozására, a kötelezettség 2023. december 17. óta az 50-249 fős vállalatokra is kiterjed. A törvény védi a bejelentőket a megtorlással szemben, és bizalmas kezelést, 7 napon belüli visszaigazolást és 3 hónapon belüli visszajelzést ír elő. A megsértése bírsághoz és kártérítési felelősséghez vezethet.

A dán hatóság, amely felügyeli a munkakörnyezeti törvény betartását. Bejelentett és be nem jelentett ellenőrzéseket egyaránt végez, és javító utasításokat, azonnali végrehajtási utasításokat és tilalmakat adhat ki, valamint bírságot javasolhat. Az ellenőrzések során jellemzően kéri az APV-t, az éves munkakörnyezeti megbeszélést és a munkakörnyezeti szervezet dokumentációját. Azok a vállalatok, amelyeknek rendben van az írásos dokumentációjuk, sokkal zökkenőmentesebben esnek át az ellenőrzésen.

Az írásos szerződés, amelyet a GDPR 28. cikke ír elő az adatkezelő és az adatfeldolgozó között. Meg kell határoznia az adatkezelés tárgyát és időtartamát, az adatok típusait, az adatfeldolgozó kötelezettségeit, a biztonsági követelményeket, az al-adatfeldolgozókra vonatkozó szabályokat, valamint az adatvédelmi incidensek és hozzáférési kérelmek esetén nyújtott segítséget. Érvényes DPA nélkül jogellenes, ha egy beszállító a vállalat nevében személyes adatokat kezel. A dán adatvédelmi hatóság közzétett egy szabványsablont, amelyet sok kkv kiindulópontként használ.

A GDPR 35. cikke által megkövetelt hatásvizsgálat, ha egy adatkezelési művelet valószínűleg magas kockázatot jelent az érintettekre nézve: például szisztematikus megfigyelés, érzékeny adatok nagymértékű kezelése vagy olyan új technológia, mint az arcfelismerés. A vizsgálatnak le kell írnia az adatkezelést, értékelnie kell a szükségességet és arányosságot, fel kell térképeznie a kockázatokat, és meg kell határoznia az enyhítő intézkedéseket. Ha a kockázat nem csökkenthető, az adatkezelés megkezdése előtt konzultálni kell az adatvédelmi hatósággal. A dán adatvédelmi hatóság közzétett egy listát azokról a műveletekről, amelyek mindig DPIA-t igényelnek.

Az a digitális rendszer, amelyet a dán munkáltatóknak a munkabalesetek bejelentésére kell használniuk a Munkakörnyezeti Hatóság és a Munkaerőpiaci Baleset-biztosítás felé. Az EASY-t a Virk.dk-n keresztül, a cég MitID Erhverv azonosítójával lehet elérni, és egyetlen bejelentés automatikusan eljut az illetékes hatóságokhoz, illetve adott esetben a biztosítóhoz. Az EASY-n keresztüli bejelentés kötelező, papíralapú űrlapok nem fogadhatók el. Érdemes a baleset tényeit azonnal belsőleg rögzíteni, hogy az EASY-bejelentés a határidőn belül helyesen kitölthető legyen.

Az EU rendelete az elektronikus azonosításról és bizalmi szolgáltatásokról (910/2014), amely közös szabályokat teremt az elektronikus aláírásokra, bélyegzőkre és időbélyegzőkre az egész EU-ban. Az eIDAS három szintű elektronikus aláírást határoz meg: egyszerű (SES), fokozott biztonságú (AES) és minősített (QES): és kimondja, hogy egy aláírástól nem tagadható meg a joghatás pusztán azért, mert elektronikus formájú. A rendeletet az eIDAS 2.0 frissítette, amely többek között bevezeti az európai digitális személyazonosság-tárcát. A kkv-k számára az eIDAS azt jelenti, hogy az olyan dokumentumok, mint a munkaszerződések, érvényesen aláírhatók digitálisan.

Egy magánszemély kérelme, hogy megtudja, milyen személyes adatokat kezel róla a vállalat, ez a GDPR 15. cikke szerinti jog. A vállalatnak közölnie kell a célokat, az adatok kategóriáit, a címzetteket és a megőrzési időt, valamint másolatot kell adnia az adatokról. A választ indokolatlan késedelem nélkül, legkésőbb a kérelem beérkezésétől számított egy hónapon belül meg kell adni; összetett kérelmek esetén a határidő két hónappal meghosszabbítható. A válasz az érintett számára főszabály szerint díjmentes.

A GDPR 9. cikke szerinti különleges adatkategóriák: faji vagy etnikai származás, politikai, vallási vagy világnézeti meggyőződés, szakszervezeti tagság, genetikai és biometrikus adatok, egészségügyi adatok, valamint a szexuális életre vagy szexuális irányultságra vonatkozó adatok. Az adatkezelés alapértelmezés szerint tilos, és konkrét kivételt igényel, például kifejezett hozzájárulást vagy a munkajog szerinti szükségességet. Az érzékeny adatok fokozott biztonságot igényelnek, és a dán jog szerint a személyi azonosító számokra és a büntetett előéletre vonatkozó adatokra saját, külön szabályok vonatkoznak. Sok HR- és bejelentési ügy tartalmaz érzékeny adatokat, ezért fokozott védelmet igényel.

Kötelező megbeszélés, amelyet minden dán munkáltatónak legalább évente egyszer meg kell tartania, ahol a vezetés és a munkavállalók áttekintik a munkakörnyezetet. A megbeszélésnek értékelnie kell az elmúlt évet, célokat és intézkedéseket kell kitűznie a következő évre, és fel kell mérnie, hogy a munkavédelmi együttműködés működik-e. A formális munkakörnyezeti szervezettel nem rendelkező vállalatoknak írásban kell tudniuk igazolni a Munkakörnyezeti Hatóság felé, hogy a megbeszélés megtörtént. Ez természetesen kapcsolódik az APV nyomon követéséhez.

Az EU személyes adatok védelméről szóló rendelete, amely 2018. május 25. óta hatályos, és Dániában a dán adatvédelmi törvény egészíti ki. A GDPR követelményeket állapít meg arra, hogyan gyűjtik, használják, tárolják és törlik a vállalatok a személyes adatokat, és számos jogot biztosít az érintetteknek. A vállalatoknak igazolniuk kell a megfelelést, ez az elszámoltathatóság elve. A jogsértések akár 20 millió euró vagy a globális éves árbevétel 4%-a összegű bírsággal sújthatók.

Személyes adatok továbbítása az EU/EGT-n kívüli országokba, például amikor egy vállalat amerikai felhőszolgáltatást vesz igénybe. A továbbításhoz a GDPR V. fejezete szerinti érvényes továbbítási mechanizmus szükséges: az Európai Bizottság megfelelőségi határozata (mint az EU-USA adatvédelmi keretrendszer), általános szerződési feltételek (SCC) vagy kötelező erejű vállalati szabályok. A Schrems II ítélet nyomán a vállalatnak azt is fel kell mérnie, hogy a fogadó országban a védelem szintje ténylegesen megfelelő-e. A harmadik országba történő továbbításokat fel kell tüntetni a 30. cikk szerinti nyilvántartásban és az adatvédelmi tájékoztatóban.

A GDPR hat jogalapjának egyike a személyes adatok kezeléséhez. Az érvényes hozzájárulásnak önkéntesnek, konkrétnak, tájékozottnak és egyértelműnek kell lennie, és aktív lépéssel kell megadni, például egy előre be nem jelölt jelölőnégyzet bejelölésével. Az érintett bármikor visszavonhatja hozzájárulását, és ennek ugyanolyan egyszerűnek kell lennie, mint a megadásának. A vállalatnak igazolnia kell tudnia, hogy a hozzájárulást megfelelően szerezte be, és munkaviszonyban a hozzájárulás ritkán megfelelő, mivel az erőviszonyok egyenlőtlensége kétségessé teszi az önkéntességet.

Elektronikus bizonyíték arra, hogy bizonyos adatok egy meghatározott időpontban léteztek. Az aláírási és megfelelőségi kontextusban az időbélyeg egy adott pillanathoz köti a dokumentum hash-ét, lehetővé téve annak bizonyítását, hogy egy dokumentumot mikor írtak alá vagy vettek nyilvántartásba. Az eIDAS szabályozza a minősített elektronikus időbélyegeket, amelyeket jóváhagyott bizalmi szolgáltatók bocsátanak ki, és amelyeket a pontosság vélelme illet meg. A megbízható időbélyegek a naplózási nyomvonalakban is fontosak, például annak dokumentálásához, hogy egy adatvédelmi incidenst 72 órán belül bejelentettek.

A munkahelyi kockázatértékelésben szereplő írásos terv, amely leírja, hogyan oldja meg a vállalat a feltérképezés során feltárt problémákat. Minden egyes problémánál a tervnek meg kell határoznia, mit kell tenni, ki a felelős, és mikorra kell megoldani. Az intézkedési terv jogszabályi követelmény, az anélküli kockázatértékelés nem teljes. Nyomon követés is szükséges, hogy a vállalat igazolni tudja, hogy az intézkedéseket ténylegesen végrehajtották és működnek.

Az információbiztonsági irányítási rendszerek (ISMS) nemzetközi szabványa. Megköveteli, hogy a szervezet szisztematikusan azonosítsa információbiztonsági kockázatait, és kezelje azokat szabályzatok, kontrollok és folyamatos fejlesztés révén; a kontrollkatalógus az A mellékletben található, és az ISO 27002 dolgozza ki részletesen. A tanúsítást akkreditált tanúsító szervezet végzi, és önkéntes, de az ügyfelek és a közbeszerzések egyre gyakrabban megkövetelik. A kkv-k számára a teljes tanúsítás gyakran túlméretezett, de az alapelvek (kockázatértékelés, hozzáférés-kezelés, naplózás és készenlét) jó mintát adnak a biztonsági munkához.

A GDPR 6. cikk (1) bekezdés f) pontja szerinti jogalap, amely lehetővé teszi a vállalat számára a szokásos személyes adatok kezelését, ha jogos érdekei felülmúlják az érintett érdekeit és jogait. Ez a jogalap dokumentált érdekmérlegelést (úgynevezett jogos érdek tesztet) igényel, és az adatkezelésnek szükségesnek kell lennie a cél eléréséhez. Tipikus példák a meglévő ügyfeleknek szóló közvetlen marketing, az informatikai biztonság és a belső adminisztráció. Az érintettnek mindig joga van tiltakozni a jogos érdeken alapuló adatkezelés ellen.

Olyan esemény, amely munkabalesethez vezethetett volna, de senki sem sérült meg: például egy szerszám leesik egy munkavállaló mellett, vagy egy megcsúszás, amely épphogy nem végződik eséssel. A majdnem-baleseteket nem kell bejelenteni a hatóságoknak, de a megelőzés egyik legfontosabb eszközei. Rendszeres rögzítésükkel és elemzésükkel a vállalat megszüntetheti a kockázatokat, mielőtt valódi balesetet okoznának. A majdnem-balesetek mintáit be kell építeni az APV-munkába.

Éves terv, amely szétosztja a vállalat ismétlődő megfelelőségi feladatait a naptári éven belül, hogy semmi ne maradjon ki és ne halmozódjon fel. Tipikus elemek: az éves munkakörnyezeti megbeszélés, a kockázatértékelési intézkedési terv nyomon követése, a 30. cikk szerinti nyilvántartás és a megőrzési határidők felülvizsgálata, az adatvédelmi incidensre való reagálás tesztelése, az adatfeldolgozási szerződések felülvizsgálata és a munkavállalói kézikönyv frissítése. A naptár a megfelelőséget folyamatos rutinná alakítja, világos felelősökkel és határidőkkel, éves tűzoltás helyett. Ezenkívül jó bizonyítékul szolgál a felügyeleti hatóságok felé arról, hogy a vállalat szisztematikusan dolgozik.

Azok az időszakok, amelyeket a vállalat meghatároz arra, hogy a különböző típusú személyes adatokat meddig őrzik meg törlésük vagy anonimizálásuk előtt. A GDPR tárolási korlátozás elve megköveteli, hogy az adatokat ne őrizzék meg a célhoz szükségesnél tovább. Az időszakokat dokumentálni kell, jellemzően a 30. cikk szerinti nyilvántartásban és egy törlési szabályzatban: és a gyakorlatban ténylegesen be kell tartani őket. Egyes határidők más jogszabályokból erednek, például a dán könyvviteli törvényből, amely 5 évig előírja a számviteli bizonylatok megőrzését.

A bejelentővel szembeni bármely hátrányos bánásmód a bejelentés következményeként: például elbocsátás, lefokozás, zaklatás, rosszabb feladatok vagy az előléptetésből való kizárás. A bejelentővédelmi törvény tiltja a megtorlást, és a megtorlással való fenyegetés és annak megkísérlése is jogellenes. Ha a bejelentőt mégis megtorlás éri, kártérítésre jogosult, és a bizonyítási teher megfordulhat, így a munkáltatónak kell bizonyítania, hogy a bánásmód nem függött össze a bejelentéssel. A védelem akkor érvényes, ha a bejelentő jóhiszeműen bízott az információ helyességében.

Dánia nemzeti digitális azonosítója, amely felváltotta a NemID-t, és amelyet a közszolgáltatásokba, bankokba és magánszolgáltatásokba való bejelentkezéshez használnak. A MitID az eIDAS alapján bejelentett, és felhasználható az aláíró azonosítására egy elektronikus aláírási folyamatban, ezáltal az aláírást fokozott biztonságú szintre (AES) emelve. A vállalatok a MitID Erhverv szolgáltatást használják arra, hogy a vállalat nevében járjanak el, például az EASY rendszerben és a Virk.dk-n. Dokumentumaláírásnál a MitID-bejelentkezés erős bizonyítékot ad arra, hogy ki írta alá ténylegesen a dokumentumot.

A munkával összefüggő hirtelen esemény, amely személyi sérülést okoz: például elesés, zúzódásos sérülés vagy heveny túlterhelés. A munkáltatónak digitálisan be kell jelentenie a balesetet az EASY rendszerben, ha az a sérülés napján túli távollétet okoz, és a bejelentést legkésőbb a távollét első napjától számított 14 napon belül meg kell tenni. A munkabaleseti kártérítési törvény szerinti kártérítésre jogosító baleseteket szintén be kell jelenteni. A bejelentés elmulasztása bírsággal sújtható, és a baleseteket mindig meg kell előzni az APV-ben tett megelőző intézkedésekkel.

Kötelező felmérés a munkakörnyezetről, amelyet minden dán munkáltatónak legalább 3 évente, valamint a munka jelentős megváltozásakor el kell végeznie. Négy lépésből áll: a munkakörnyezet feltérképezése, a problémák értékelése, írásos intézkedési terv és nyomon követés. A követelmény a dán munkakörnyezeti törvény 15a. szakaszából ered, és a Munkakörnyezeti Hatóság ellenőrzéskor kérheti annak bemutatását. A módszer szabadon választható, az eredménynek azonban írásosnak és a munkavállalók számára hozzáférhetőnek kell lennie.

2024. július 1. óta a dán munkáltatóknak objektív, megbízható és hozzáférhető rendszert kell működtetniük, amely rögzíti minden munkavállaló napi munkaidejét. A követelmény a dán munkaidő-törvény módosításából ered, amely az Európai Unió Bíróságának ítélkezési gyakorlatát hajtja végre, és lehetővé kell tennie a 48 órás szabály és a pihenőidőre vonatkozó szabályok betartásának ellenőrzését. A nyilvántartásokat 5 évig kell megőrizni, és a munkavállalóknak hozzá kell férniük saját adataikhoz. Az úgynevezett önszervező munkavállalók mentesíthetők, de a mentesség szűk körű, és fel kell tüntetni a munkaszerződésben.

A vállalat összegyűjtött leírása a munkavállalókra vonatkozó szabályokról, szabályzatokról és gyakorlati kérdésekről: például munkaidőről, betegség bejelentéséről, szabadságról, IT- és adatvédelmi szabályzatról, szerhasználati szabályzatról és a sértő magatartás elleni iránymutatásokról. A kézikönyvet törvény nem írja elő, de összegyűjti azt a dokumentációt, amelyet más szabályok megkövetelnek, és egyértelműséget teremt arról, hogy mi érvényes. A kézikönyvben szereplő feltételek munkajogi hatással bírhatnak, ezért a lényeges változásokat megfelelően be kell jelenteni. Jó gyakorlat, ha a munkavállalók digitálisan igazolják, hogy elolvasták az aktuális verziót.

Egy rendszer eseményeinek időrendi, hamisítás ellen védett nyilvántartása: ki mit tett, mikor és milyen címről. Egy aláírási folyamatban a naplózási nyomvonal dokumentálja például, hogy mikor küldték el, nyitották meg és írták alá a dokumentumot, és hogyan azonosították az aláírót. A napló kulcsfontosságú az elektronikus aláírások bizonyító erejéhez és a GDPR-nak való megfelelés igazolásához, például ahhoz, hogy ki fért hozzá érzékeny ügyekhez. Egy jó naplózási nyomvonal utólag nem szerkeszthető, és az általa leírt adatoktól elkülönítve tárolják.

Az EU kiberbiztonsági irányelve (2022/2555), amely szigorítja a hálózati és információs rendszerek biztonsági követelményeit a kulcsfontosságú és fontos szervezetek számára számos ágazatban: például az energetikában, a közlekedésben, az egészségügyben, a digitális infrastruktúrában és az élelmiszeriparban. Az érintett vállalatoknak kockázatkezelést kell bevezetniük, kezelniük kell az ellátási lánc biztonságát, és jelentős eseményeket kell jelenteniük a hatóságoknak, jelentős bírságok terhe mellett a meg nem felelés esetén; a vezetés személyesen felelősségre vonható. A NIS2 jellemzően a közép- és nagyvállalatokra vonatkozik az érintett ágazatokban, de a kisebb beszállítókat is közvetetten érinti az ügyfélkövetelményeken keresztül. Dániában az irányelvet törvénnyel hajtották végre, amely 2025. július 1-jén lépett hatályba.

Azok a dokumentumok, amelyeket egy új munkavállalónak meg kell kapnia és alá kell írnia a munkába állás kezdetén. A legfontosabb a munkaszerződés: a 2023-as dán munkaviszony-igazolási törvény szerint a lényeges feltételeket írásban kell biztosítani legkésőbb az első munkanaptól számított 7 naptári napon belül, a többit pedig egy hónapon belül. Jellemzően hozzáadják a titoktartási nyilatkozatot, az IT- és adatvédelmi szabályzatot, az eszközök átadását, a munkavállalói kézikönyv megismerésének igazolását és a GDPR szerinti adatvédelmi tájékoztatót a munkavállalói adatok kezeléséről. A digitális aláírás naplózási nyomvonallal megkönnyíti annak bizonyítását, hogy mindent időben átadtak és elfogadtak.

A munkahelyi kockázatértékelésnek az a része, amely a pszichoszociális munkakörnyezetre vonatkozik: munkaterhelés, tisztázatlan elvárások, zaklatás, bántalmazás, erőszak és sértő viselkedés. Ez nem opcionális kiegészítés, a pszichoszociális tényezőket mindig be kell építeni az APV-be a fizikai kockázatok mellett. A szabályokat a 2020-as, a pszichoszociális munkakörnyezetről szóló dán rendelet pontosította. Sok vállalat anonim kérdőívekkel méri fel ezt, hogy a munkavállalók biztonságban érezzék magukat az őszinte válaszadáshoz.

Az eIDAS szerinti legmagasabb aláírási szint: minősített aláírás-létrehozó eszközzel készített fokozott biztonságú elektronikus aláírás, amely egy jóváhagyott bizalmi szolgáltató által kiállított minősített tanúsítványon alapul. A QES ugyanolyan joghatással bír, mint a saját kezű aláírás az egész EU-ban, és a tagállamok között elismert. Csak azokban a különleges esetekben szükséges, amikor a jog formai követelményeket ír elő, rendes üzleti megállapodásokhoz általában elegendő az AES vagy az SES. Cserébe a bizonyítási teher gyakorlatilag megfordul: QES esetén az aláírást vitató félnek kell bizonyítania, hogy az nem valódi.

Az Európai Bizottság szabványszerződései, amelyeket a vállalatok továbbítási mechanizmusként használhatnak, ha személyes adatokat küldenek az EU/EGT-n kívüli országokba megfelelőségi határozat nélkül. A jelenlegi, 2021-es SCC-k modulokban érhetők el, amelyek az adatkezelők és adatfeldolgozók különböző kombinációit fedik le. A záradékokat módosítás nélkül kell aláírni, és a Schrems II ítélet után ki kell egészíteni a fogadó ország jogszabályainak értékelésével, illetve szükség esetén további garanciákkal, például titkosítással. A gyakorlatban az SCC a kkv-k körében a legszélesebb körben használt továbbítási mechanizmus.

Az eIDAS szerinti alapszintű aláírás: elektronikus formában lévő adat, amely más elektronikus adatokhoz kapcsolódik, és amelyet az aláíró az aláírásra használ: például egy e-mail alá gépelt név, egy beszkennelt aláírás-kép, vagy egy elfogadás gombra kattintás. Az SES jogilag érvényes a legtöbb dániai megállapodásra, ahol a formaszabadság elve érvényesül. Bizonyító ereje azonban attól függ, mennyire dokumentálható, ki írta alá és hogy a dokumentumot nem módosították. Ezért az SES-t jelentősen megerősíti egy auditnyomvonal és a dokumentum kriptográfiai hash-e.

Egy dokumentum kriptográfiai ujjlenyomata, amelyet egy hash-függvénnyel, például SHA-256-tal számítanak ki. Még a legkisebb változtatás is a dokumentumban (egyetlen karakter) teljesen más hash-értéket eredményez, és gyakorlatilag lehetetlen egy másik, ugyanolyan hash-sel rendelkező dokumentumot létrehozni. Amikor egy dokumentumot elektronikusan aláírnak, annak hash-ét eltárolják, hogy később bizonyítható legyen, hogy az aláírt dokumentumot nem módosították. A hash semmit nem árul el a dokumentum tartalmáról, ezért szabadon megosztható az integritás bizonyítékaként.

Speciális kockázatértékelés, amelyet a dán munkáltatóknak akkor kell elkészíteniük, ha a munkavállalók veszélyes vegyi anyagokkal dolgoznak, vagy azoknak kitettek lehetnek. 2019-ben váltotta fel a korábbi munkahelyi használati útmutatókat, és le kell írnia a veszélyeket, az expozíciót, a megelőző intézkedéseket és a képzési követelményeket. Az értékelésnek írásosnak kell lennie, naprakészen kell tartani, és a munkavállalókat tájékoztatni kell az eredményeiről. A beszállító biztonsági adatlapjai fontos alapot jelentenek.