Atitikties žodynas

Danijos darbo laiko įstatymo taisyklė, pagal kurią darbuotojo vidutinis savaitinis darbo laikas, įskaitant viršvalandžius, negali viršyti 48 valandų, matuojant per 4 mėnesių laikotarpį. Taisyklė kyla iš ES darbo laiko direktyvos ir taikoma beveik visiems darbuotojams. Pažeidimas gali suteikti darbuotojui teisę į kompensaciją, o nuo 2024 m. darbdaviai privalo galėti įrodyti atitiktį darbo laiko apskaita. Kai kurios kolektyvinės sutartys ypatingomis sąlygomis leidžia aukštesnę ribą pasirinktoms grupėms.

BDAR 33 straipsnyje nustatytas terminas pranešti priežiūros institucijai apie asmens duomenų saugumo pažeidimą: nedelsiant ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo to momento, kai įmonė sužinojo apie pažeidimą. Terminas skaičiuojamas ir savaitgaliais bei švenčių dienomis. Jei jis viršijamas, pranešime turi būti paaiškintas vėlavimas. Jei įmonė per terminą neturi visos informacijos, pranešimą galima pateikti etapais – svarbiausia laiku pranešti tai, kas žinoma.

Vidutinis eIDAS 26 straipsnyje apibrėžtas parašo lygis. Patobulintas elektroninis parašas turi būti vienareikšmiškai susietas su pasirašančiuoju, gebėti jį identifikuoti, sukurtas priemonėmis, kurias kontroliuoja tik pasirašantysis, ir susietas su dokumentu taip, kad bet koks vėlesnis pakeitimas būtų nustatomas. Praktikoje šie reikalavimai dažnai įvykdomi derinant identifikavimą (pavyzdžiui, naudojant MitID) su kriptografiniu dokumento antspaudavimu. AES suteikia gerokai stipresnę įrodomąją galią nei paprastas parašas ir yra standartinis pasirinkimas, pavyzdžiui, darbo sutartims ir duomenų tvarkymo sutartims.

Formalus bendradarbiavimas darbo aplinkos klausimais tarp vadovybės ir darbuotojų, privalomas Danijos įmonėse, kuriose dirba 10 ar daugiau darbuotojų. AMO sudaro viena ar kelios darbo aplinkos grupės su išrinktu darbo aplinkos atstovu ir paskirtu darbo vadovu. Nariai per 3 mėnesius nuo išrinkimo privalo baigti privalomą 3 dienų darbo aplinkos mokymą. Įmonėse, kuriose dirba mažiau nei 10 darbuotojų, darbo aplinkos darbas vyksta tiesioginio darbdavio ir darbuotojų bendradarbiavimo forma.

Saugumo incidentas, dėl kurio atsitiktinai ar neteisėtai sunaikinami, prarandami, pakeičiami asmens duomenys arba prie jų gaunama neteisėta prieiga – pavyzdžiui, ne tam gavėjui išsiųstas el. laiškas, pamestas nešiojamasis kompiuteris ar įsilaužimas. Apie pažeidimą paprastai reikia pranešti priežiūros institucijai per 72 valandas, nebent tikėtina, kad jis nekelia rizikos duomenų subjektams. Esant didelei rizikai, taip pat reikia informuoti paveiktus asmenis. Apie visus pažeidimus – net ir tuos, apie kuriuos nepranešama – turi būti dokumentuojama vidiniame registre.

Metinis planas, paskirstantis įmonės pasikartojančias atitikties užduotis kalendoriniais metais taip, kad niekas nebūtų pamiršta ar susikauptų. Tipiniai punktai – metinis darbo aplinkos aptarimas, rizikos vertinimo veiksmų plano tolesnė stebėsena, 30 straipsnio įrašų ir saugojimo terminų peržiūra, reagavimo į duomenų saugumo pažeidimus testavimas, duomenų tvarkymo sutarčių peržiūra ir darbuotojų vadovo atnaujinimas. Šis kalendorius paverčia atitiktį nuolatine rutina su aiškiais atsakingais asmenimis ir terminais, o ne metiniu gaisro gesinimu. Tai taip pat geras įrodymas priežiūros institucijoms, kad įmonė dirba sistemingai.

Chronologinis, nekeičiamas įvykių įrašas sistemoje: kas, ką, kada ir iš kokio adreso padarė. Pasirašymo procese audito žurnalas dokumentuoja, pavyzdžiui, kada dokumentas buvo išsiųstas, atidarytas ir pasirašytas, ir kaip buvo identifikuotas pasirašantysis. Žurnalas yra esminis elektroninių parašų įrodomajai galiai ir BDAR laikymosi įrodymui, pavyzdžiui, nurodant, kas turėjo prieigą prie jautrių bylų. Gero audito žurnalo negalima redaguoti vėliau, ir jis saugomas atskirai nuo duomenų, kuriuos jis aprašo.

ES bendrasis duomenų apsaugos reglamentas, taikomas nuo 2018 m. gegužės 25 d. ir papildomas Danijos duomenų apsaugos įstatymo. BDAR nustato reikalavimus, kaip įmonės renka, naudoja, saugo ir ištrina asmens duomenis, ir suteikia duomenų subjektams eilę teisių. Įmonės privalo galėti įrodyti savo atitiktį – vadinamasis atskaitomybės principas. Už pažeidimus gali būti skiriamos baudos iki 20 mln. eurų arba 4 % pasaulinės metinės apyvartos.

Įvykis, galėjęs sukelti nelaimingą atsitikimą darbe, tačiau niekas nenukentėjo – pavyzdžiui, įrankis, nukritęs šalia darbuotojo, arba paslydimas, beveik nesibaigęs kritimu. Apie tokius įvykius nebūtina pranešti institucijoms, tačiau tai vienas svarbiausių prevencijos įrankių. Sistemingai juos registruodama ir analizuodama įmonė gali pašalinti riziką, kol ji nesukėlė tikros nelaimės. Tokių įvykių dėsningumai turėtų atsispindėti darbo aplinkos rizikos vertinime.

Atskiras rizikos vertinimas, kurį Danijos darbdaviai privalo parengti, kai darbuotojai dirba su pavojingomis cheminėmis medžiagomis ar gali jomis būti veikiami. 2019 m. jis pakeitė ankstesnes darbo vietos naudojimo instrukcijas ir turi, be kita ko, apibūdinti medžiagų pavojingumą, poveikį, prevencines priemones ir mokymo reikalavimus. Vertinimas turi būti rašytinis, nuolat atnaujinamas, o darbuotojai turi būti informuoti apie jo rezultatus. Tiekėjo saugos duomenų lapai yra svarbus šio darbo pagrindas.

Danijos institucija, prižiūrinti, kad įmonės laikytųsi darbo aplinkos įstatymo. Ji atlieka tiek iš anksto paskelbtus, tiek nepaskelbtus patikrinimus ir gali duoti nurodymus, neatidėliotinus nurodymus bei draudimus, taip pat rekomenduoti baudas. Per patikrinimus ji dažniausiai prašo pateikti rizikos vertinimą, metinio darbo aplinkos aptarimo protokolą ir darbo aplinkos organizacijos dokumentaciją. Įmonės, kurių rašytinė dokumentacija sutvarkyta, patikrinimą praeina daug lengviau.

Danijos duomenų apsaugos priežiūros institucija, prižiūrinti, kaip laikomasi BDAR ir Danijos duomenų apsaugos įstatymo. Ji nagrinėja gyventojų skundus, atlieka patikrinimus įmonėse ir institucijose, priima pranešimus apie duomenų saugumo pažeidimus bei skelbia gaires ir šablonus. Ji gali reikšti kritiką, duoti nurodymus ir rekomenduoti baudas – Danijoje BDAR baudas paprastai skiria teismai gavę policijos pranešimą. Jos gairės yra geras atspirties taškas mažai ar vidutinei įmonei tvarkant savo BDAR dokumentaciją.

Danijos įstatymas, kuriuo įgyvendinama ES pranešėjų apsaugos direktyva (2019/1937) ir kuris galioja nuo 2021 m. gruodžio. Įstatymas įpareigoja privačias įmones, turinčias 50 ar daugiau darbuotojų, ir daugumą viešojo sektoriaus darbdavių įsteigti vidinį pranešimų kanalą – reikalavimas taikomas 50–249 darbuotojų įmonėms nuo 2023 m. gruodžio 17 d. Įstatymas saugo pranešėjus nuo keršto ir reikalauja konfidencialumo, gavimo patvirtinimo per 7 dienas ir atsakymo per 3 mėnesius. Pažeidimai gali užtraukti baudas ir žalos atlyginimo atsakomybę.

Privalomas darbo aplinkos vertinimas, kurį kiekvienas Danijos darbdavys, turintis darbuotojų, privalo atlikti bent kas 3 metus – ir visada, kai darbas iš esmės pasikeičia. Jį sudaro keturi etapai: darbo aplinkos kartografavimas, problemų vertinimas, rašytinis veiksmų planas ir tolesnė stebėsena. Reikalavimas kyla iš Danijos darbo aplinkos įstatymo 15a straipsnio, o Darbo inspekcija (Arbejdstilsynet) gali paprašyti jį pateikti patikrinimo metu. Metodas pasirenkamas laisvai, tačiau rezultatas turi būti rašytinis ir prieinamas darbuotojams.

Nuo 2024 m. liepos 1 d. Danijos darbdaviai privalo naudoti objektyvią, patikimą ir prieinamą sistemą, registruojančią kiekvieno darbuotojo kasdienį darbo laiką. Reikalavimas kyla iš Danijos darbo laiko įstatymo pakeitimo, įgyvendinančio Europos Sąjungos Teisingumo Teismo praktiką, ir turi sudaryti galimybę patikrinti 48 valandų taisyklę ir poilsio laiko taisykles. Įrašai turi būti saugomi 5 metus, o darbuotojas turi turėti prieigą prie savo duomenų. Vadinamieji patys savo darbo laiką organizuojantys darbuotojai gali būti atleisti nuo šios pareigos, tačiau išimtis yra siaura ir turi būti nurodyta darbo sutartyje.

Įmonės apibendrintas taisyklių, politikų ir praktinių klausimų aprašymas darbuotojams – pavyzdžiui, darbo laikas, pranešimas apie ligą, atostogos, IT ir duomenų apsaugos politika, svaigalų politika ir gairės prieš žeminantį elgesį. Vadovas nėra teisės akto reikalavimas, tačiau jis sutelkia dokumentaciją, kurios reikalauja kitos taisyklės, ir sukuria aiškumą, kas galioja. Vadovo sąlygos gali turėti darbo teisinę galią, todėl apie esminius pakeitimus reikia tinkamai pranešti. Gera praktika – leisti darbuotojams elektroniniu būdu patvirtinti, kad jie perskaitė galiojančią versiją.

Poveikio duomenų apsaugai vertinimas, kurio BDAR 35 straipsnis reikalauja, kai tvarkymas gali kelti didelę riziką duomenų subjektams – pavyzdžiui, sistemingas stebėjimas, didelio masto jautrių duomenų tvarkymas ar nauja technologija, tokia kaip veido atpažinimas. Vertinime turi būti aprašytas tvarkymas, įvertintas būtinumas ir proporcingumas, nustatyta rizika ir apibrėžtos rizikos mažinimo priemonės. Jei rizikos sumažinti neįmanoma, prieš pradedant tvarkymą būtina konsultuotis su priežiūros institucija. Danija yra paskelbusi sąrašą tvarkymo operacijų, kurioms visada reikalingas poveikio vertinimas.

Asmens duomenų perdavimas į valstybes už ES/EEE ribų – pavyzdžiui, kai įmonė naudoja JAV debesijos paslaugą. Perdavimui reikalingas galiojantis perdavimo pagrindas pagal BDAR V skyrių: Europos Komisijos sprendimą dėl tinkamumo (pavyzdžiui, ES ir JAV duomenų privatumo sistemą), standartines sutarčių sąlygas (SCC) arba privalomas įmonių vidaus taisykles. Po Schrems II sprendimo įmonė papildomai privalo įvertinti, ar apsaugos lygis gavėjo valstybėje iš tikrųjų yra pakankamas. Perdavimai į trečiąsias valstybes turi būti nurodyti 30 straipsnio įraše ir privatumo politikoje.

Asmens prašymas sužinoti, kokius asmens duomenis apie jį tvarko įmonė – teisė pagal BDAR 15 straipsnį. Įmonė, be kita ko, privalo pranešti tikslus, duomenų kategorijas, gavėjus ir saugojimo terminą bei pateikti duomenų kopiją. Atsakymas turi būti pateiktas nedelsiant ir ne vėliau kaip per mėnesį nuo gavimo; sudėtingų prašymų atveju terminas gali būti pratęstas dviem mėnesiais. Atsakymas duomenų subjektui paprastai teikiamas nemokamai.

Teisės, kurias BDAR suteikia asmenims, kurių duomenys tvarkomi: teisė į informaciją, susipažinimą, ištaisymą, ištrynimą (teisė būti pamirštam), tvarkymo apribojimą, duomenų perkeliamumą ir prieštaravimą – taip pat apsauga nuo išimtinai automatizuotų sprendimų, turinčių reikšmingų pasekmių. Įmonė turi turėti procedūras, užtikrinančias atsakymą į prašymus per mėnesį. Teisės nėra absoliučios; pavyzdžiui, ištrynimo gali būti atsisakyta, jei duomenis reikia saugoti pagal apskaitos įstatymą. Netinkamas šių teisių įgyvendinimas yra viena dažniausių priežasčių skųstis duomenų apsaugos institucijoms.

Rašytinė sutartis, kurios BDAR 28 straipsnis reikalauja tarp duomenų valdytojo ir duomenų tvarkytojo. Sutartyje, be kita ko, turi būti apibrėžtas tvarkymo dalykas ir trukmė, duomenų rūšis, tvarkytojo pareigos, saugumo reikalavimai, taisyklės dėl pavaduojančių tvarkytojų bei pagalba pažeidimų ir prieigos prašymų atvejais. Be galiojančios duomenų tvarkymo sutarties neteisėta leisti tiekėjui tvarkyti asmens duomenis įmonės vardu. Danijos duomenų apsaugos institucija yra paskelbusi standartinį pavyzdį, kuriuo remiasi daugelis mažų ir vidutinių įmonių.

Duomenų tvarkymo veiklos įrašai, kuriuos BDAR 30 straipsnis reikalauja tvarkyti duomenų valdytojams ir tvarkytojams. Įrašuose, be kita ko, turi būti aprašyti duomenų tvarkymo tikslai, duomenų subjektų ir duomenų kategorijos, gavėjai, galimi duomenų perdavimai į trečiąsias valstybes, saugojimo terminai ir saugumo priemonės. Jie turi būti rašytiniai, nuolat atnaujinami ir pateikiami priežiūros institucijai pareikalavus. Išimtis įmonėms, turinčioms mažiau nei 250 darbuotojų, yra siaura, todėl praktiškai beveik kiekviena įmonė turėtų tvarkyti šiuos įrašus.

Įmonė ar asmuo, tvarkantis asmens duomenis duomenų valdytojo vardu ir pagal jo nurodymus – pavyzdžiui, debesijos paslaugų teikėjas, darbo užmokesčio apskaitos biuras ar personalo valdymo sistema. Duomenų tvarkytojas negali naudoti duomenų savo tikslams ir privalo laikytis BDAR saugumo bei konfidencialumo reikalavimų. Santykiai turi būti reglamentuoti rašytine duomenų tvarkymo sutartimi. Jei tvarkytojas pats naudoja subrangovus (pavaduojančius tvarkytojus), tam reikalingas duomenų valdytojo sutikimas.

Įmonė, institucija ar asmuo, nusprendžiantis, kokiais tikslais ir kokiomis priemonėmis tvarkomi asmens duomenys. Duomenų valdytojas prisiima pagrindinę atsakomybę už BDAR laikymąsi: teisinį pagrindą, informavimo pareigą, saugumą, dokumentavimą ir duomenų subjektų teises. Pavyzdžiui, darbdavys yra duomenų valdytojas savo darbuotojų personalo duomenų atžvilgiu. Jei duomenų valdytojas tvarkymui naudoja tiekėjus, su jais turi būti sudarytos duomenų tvarkymo sutartys.

Elektroninė sistema, kurią Danijos darbdaviai privalo naudoti pranešdami apie nelaimingus atsitikimus darbe Darbo inspekcijai ir Darbo rinkos profesinių ligų draudimui. Prie EASY jungiamasi per Virk.dk naudojant įmonės MitID Erhverv, o vienas pranešimas automatiškai siunčiamas atitinkamoms institucijoms ir, jei reikia, draudikui. Pranešimas per EASY yra privalomas – popierinės formos nepriimamos. Gera praktika – iš karto vidiniu būdu užregistruoti nelaimingo atsitikimo faktus, kad EASY pranešimą būtų galima teisingai užpildyti per nustatytą terminą.

ES reglamentas dėl elektroninės atpažinties ir patikimumo užtikrinimo paslaugų (910/2014), sukuriantis bendras taisykles elektroniniams parašams, antspaudams ir laiko žymoms visoje ES. eIDAS apibrėžia tris elektroninio parašo lygius – paprastą (SES), patobulintą (AES) ir kvalifikuotą (QES) – ir nustato, kad parašui negalima atsisakyti pripažinti įrodomosios galios vien todėl, kad jis yra elektroninis. Reglamentas atnaujintas eIDAS 2.0, kuriuo, be kita ko, įvedama Europos skaitmeninės tapatybės piniginė. Mažoms ir vidutinėms įmonėms eIDAS reiškia, kad tokius dokumentus kaip darbo sutartys galima galiojančiai pasirašyti elektroniniu būdu.

Dokumentai, kuriuos naujas darbuotojas turi gauti ir pasirašyti darbo santykių pradžioje. Svarbiausia – darbo sutartis: pagal 2023 m. Danijos įdarbinimo įrodymo įstatymą esminės sąlygos turi būti pateiktos raštu ne vėliau kaip per 7 kalendorines dienas nuo pirmos darbo dienos, o likusios – per mėnesį. Papildomai paprastai pridedamas konfidencialumo įsipareigojimas, IT ir duomenų apsaugos politika, įrangos perdavimas, darbuotojų vadovo gavimo patvirtinimas ir BDAR informavimo pareiga dėl darbuotojų duomenų tvarkymo. Elektroninis parašas su audito žurnalu leidžia lengvai įrodyti, kad viskas buvo pateikta ir priimta laiku.

Tarptautinis informacijos saugumo valdymo sistemų (ISVS) standartas. Standartas reikalauja, kad organizacija sistemingai identifikuotų savo informacijos saugumo riziką ir valdytų ją per politikas, kontroles ir nuolatinį tobulinimą; kontrolių sąrašas pateikiamas A priede ir detalizuojamas standarte ISO 27002. Sertifikavimą atlieka akredituota sertifikavimo įstaiga, ir jis yra savanoriškas, tačiau vis dažniau jo reikalauja klientai ir pirkimuose. Mažoms ir vidutinėms įmonėms pilnas ISO 27001 sertifikavimas dažnai yra pertekliškas, tačiau principai – rizikos vertinimas, prieigos valdymas, žurnalų tvarkymas ir pasirengimas incidentams – yra geras pavyzdys saugumo darbui.

Bet koks nepalankus elgesys su pranešėju dėl jo pateikto pranešimo – pavyzdžiui, atleidimas iš darbo, pažeminimas, priekabiavimas, blogesnės užduotys ar neįtraukimas į paaukštinimą. Pranešėjų apsaugos įstatymas draudžia keršto veiksmus, o grasinimai keršyti ir bandymai keršyti taip pat yra neteisėti. Jei pranešėjas vis dėlto patiria keršto veiksmus, jis turi teisę į kompensaciją, o įrodinėjimo pareiga gali būti perkelta taip, kad darbdavys privalo įrodyti, jog elgesys nebuvo susijęs su pranešimu. Apsauga galioja, kai pranešėjas sąžiningai tikėjo, kad informacija yra teisinga.

Elektroninis įrodymas, kad tam tikri duomenys egzistavo tam tikru momentu. Pasirašymo ir atitikties kontekste laiko žyma susieja dokumento maišos kodą su tiksliu laiku, leidžiančiu įrodyti, kada dokumentas buvo pasirašytas ar užregistruotas. eIDAS reglamentuoja kvalifikuotas elektronines laiko žymas, kurias išduoda patvirtinti patikimumo užtikrinimo paslaugų teikėjai ir kurioms taikoma teisingumo prezumpcija. Patikimos laiko žymos taip pat svarbios audito žurnaluose, pavyzdžiui, įrodant, kad apie duomenų saugumo pažeidimą buvo pranešta per 72 valandas.

Privalomas susitikimas, kurį kiekvienas Danijos darbdavys, turintis darbuotojų, privalo surengti bent kartą per metus, kur vadovybė ir darbuotojai peržiūri darbo aplinkos būklę. Aptarime reikia apžvelgti praėjusius metus, nustatyti ateinančių metų tikslus ir priemones bei įvertinti, ar bendradarbiavimas darbo aplinkos srityje veikia. Įmonės, neturinčios formalios darbo aplinkos organizacijos, privalo galėti raštu įrodyti Darbo inspekcijai, kad aptarimas įvyko. Tai natūraliai susiję su rizikos vertinimo tolesne stebėsena.

Danijos nacionalinė skaitmeninė tapatybė, pakeitusi NemID ir naudojama prisijungti prie viešojo sektoriaus, bankų ir privačių paslaugų. MitID yra registruota pagal eIDAS ir gali būti naudojama pasirašančiajam identifikuoti elektroninio pasirašymo procese, o tai pakelia parašą iki patobulinto lygio (AES). Įmonės naudoja MitID Erhverv, kad veiktų įmonės vardu, pavyzdžiui, sistemoje EASY ir Virk.dk. Pasirašant dokumentą, prisijungimas naudojant MitID su aukšto lygio patikimumu dokumentuoja, kas iš tikrųjų pasirašė.

Staigus su darbu susijęs įvykis, sukeliantis sužalojimą – pavyzdžiui, kritimas, prispaudimo trauma ar ūmus perkrovimas. Darbdavys privalo elektroniniu būdu pranešti apie nelaimingą atsitikimą sistemoje EASY, jei jis sukelia nedarbingumą po sužalojimo dienos, o pranešimas turi būti pateiktas ne vėliau kaip per 14 dienų nuo pirmos nedarbingumo dienos. Taip pat privaloma pranešti apie nelaimingus atsitikimus, kurie gali suteikti teisę į kompensaciją pagal Danijos darbo nelaimingų atsitikimų įstatymą. Už pranešimo nepateikimą gali būti skiriama bauda, o po nelaimingų atsitikimų visada turėtų būti imamasi prevencinių priemonių rizikos vertinime.

ES kibernetinio saugumo direktyva (2022/2555), griežtinanti tinklų ir informacinių sistemų saugumo reikalavimus esminiams ir svarbiems subjektams daugelyje sektorių – pavyzdžiui, energetikos, transporto, sveikatos, skaitmeninės infrastruktūros ir maisto. Direktyvos taikymo srityje esančios įmonės privalo įdiegti rizikos valdymą, spręsti tiekimo grandinės saugumo klausimus ir pranešti institucijoms apie reikšmingus incidentus, o už reikalavimų nesilaikymą gali būti skiriamos didelės baudos; vadovybė gali būti patraukta asmeninėn atsakomybėn. NIS2 paprastai taikoma vidutinėms ir didelėms įmonėms atitinkamuose sektoriuose, tačiau netiesiogiai veikia ir mažesnius tiekėjus per klientų reikalavimus. Danijoje direktyva įgyvendinta įstatymu, įsigaliojusiu nuo 2025 m. liepos 1 d.

Vidinis kanalas, kuriuo darbuotojai ir kiti su darbu susiję asmenys gali konfidencialiai pranešti apie teisės pažeidimus ir rimtus atvejus – pavyzdžiui, sukčiavimą, kyšininkavimą, BDAR pažeidimus ar seksualinį priekabiavimą. Kanalas turi turėti nešališką pranešimų nagrinėjimo padalinį, kuris patvirtina gavimą per 7 dienas ir pateikia atsakymą per 3 mėnesius. Pranešėjo tapatybė turi būti saugoma, o prieigą prie bylų turi turėti tik tie, kuriems to reikia. Kanalas turi būti aprašytas raštu, o darbuotojai turi turėti lengvą prieigą prie informacijos apie jo naudojimą.

Darbo aplinkos rizikos vertinimo dalis, susijusi su psichosocialine darbo aplinka: darbo krūviu, neaiškiais reikalavimais, patyčiomis, priekabiavimu, smurtu ir žeminančiu elgesiu. Tai nėra savanoriškas papildymas – psichosocialiniai veiksniai visada turi būti įtraukti į rizikos vertinimą kartu su fizine rizika. Taisyklės buvo patikslintos 2020 m. Danijos nuostatuose dėl psichosocialinės darbo aplinkos. Daugelis įmonių tai vertina atlikdamos anonimines apklausas, kad darbuotojai drįstų atsakyti sąžiningai.

Aukščiausias eIDAS parašo lygis: patobulintas elektroninis parašas, sukurtas kvalifikuota parašo kūrimo priemone ir pagrįstas kvalifikuotu sertifikatu, išduotu patvirtinto patikimumo užtikrinimo paslaugų teikėjo. QES visoje ES turi tokią pačią teisinę galią kaip ranka pasirašytas parašas ir yra pripažįstamas visose valstybėse narėse. Jo reikalaujama tik ypatingais atvejais, kai įstatymas nustato formos reikalavimus – įprastoms verslo sutartims paprastai pakanka AES arba SES. Tačiau praktiškai įrodinėjimo pareiga apsiverčia: naudojant QES, parašą ginčijanti šalis turi įrodyti, kad jis nėra tikras.

Terminai, kuriuos įmonė nustato tam, kiek laiko saugomi įvairūs asmens duomenų tipai prieš juos ištrinant ar anonimizuojant. BDAR saugojimo trukmės apribojimo principas reikalauja, kad duomenys nebūtų saugomi ilgiau, nei būtina tikslui pasiekti. Terminai turi būti dokumentuojami – paprastai 30 straipsnio įraše ir ištrynimo politikoje – ir jų iš tikrųjų turi būti laikomasi praktikoje. Kai kurie terminai kyla iš kitų teisės aktų, pavyzdžiui, Danijos apskaitos įstatymo reikalavimo saugoti apskaitos dokumentus 5 metus.

Europos Komisijos standartinės sutartys, kurias įmonės gali naudoti kaip perdavimo pagrindą, kai asmens duomenys siunčiami į valstybes už ES/EEE ribų be sprendimo dėl tinkamumo. Galiojančios 2021 m. sąlygos suskirstytos į modulius, apimančius skirtingus duomenų valdytojų ir tvarkytojų derinius. Sąlygos turi būti pasirašytos nepakeistos, o po Schrems II sprendimo jos turi būti papildytos gavėjo valstybės teisės vertinimu ir, jei reikia, papildomomis apsaugos priemonėmis, tokiomis kaip šifravimas. Praktikoje SCC yra dažniausiai naudojamas perdavimo pagrindas mažoms ir vidutinėms įmonėms.

Bazinis eIDAS elektroninio parašo lygis: elektronine forma pateikti duomenys, susieti su kitais elektroniniais duomenimis ir naudojami pasirašančiojo pasirašymui – pavyzdžiui, po el. laišku įrašytas vardas, nuskenuotas parašo vaizdas ar mygtuko „Sutinku“ paspaudimas. SES yra teisiškai galiojantis daugeliui sutarčių Danijoje, kur galioja sutarčių formos laisvė. Tačiau įrodomoji galia priklauso nuo to, kaip gerai galima įrodyti, kas pasirašė ir kad dokumentas nebuvo pakeistas. Todėl SES gerokai sustiprina audito žurnalas ir kriptografinis dokumento maišos kodas.

Kriptografinis dokumento pirštų atspaudas, apskaičiuojamas maišos funkcija, tokia kaip SHA-256. Net mažiausias dokumento pakeitimas – vienas ženklas – duoda visiškai kitokią maišos reikšmę, o sukurti kitą dokumentą su tokiu pačiu maišos kodu praktiškai neįmanoma. Pasirašant elektroniniu būdu, dokumento maišos kodas išsaugomas, kad vėliau būtų galima įrodyti, jog pasirašytas dokumentas nebuvo pakeistas. Maišos kodas neatskleidžia nieko apie dokumento turinį, todėl juo galima laisvai dalytis kaip vientisumo įrodymu.

Vienas iš šešių BDAR teisinių pagrindų asmens duomenų tvarkymui. Galiojantis sutikimas turi būti savanoriškas, konkretus, informuotas ir nedviprasmiškas – ir duodamas aktyviu veiksmu, pavyzdžiui, pažymint iš anksto nepažymėtą langelį. Duomenų subjektas gali bet kada atšaukti sutikimą, ir tai turi būti taip pat paprasta, kaip jį duoti. Įmonė turi galėti įrodyti, kad sutikimas gautas tinkamai, o darbo santykiuose sutikimas retai tinka, nes galios disbalansas kelia abejonių dėl savanoriškumo.

Teisinis pagrindas pagal BDAR 6 straipsnio 1 dalies f punktą, leidžiantis įmonei tvarkyti įprastus asmens duomenis, jei jos teisėtas interesas nusveria duomenų subjekto interesus ir teises. Pagrindas reikalauja dokumentuoto vertinimo – vadinamojo interesų balanso testo – ir kad tvarkymas būtų būtinas tikslui pasiekti. Tipiniai pavyzdžiai – tiesioginė rinkodara esamiems klientams, IT saugumas ir vidinis administravimas. Duomenų subjektas visada turi teisę prieštarauti tvarkymui, grindžiamam teisėtu interesu.

Rizikos vertinime pateikiamas rašytinis planas, aprašantis, kaip įmonė ketina spręsti kartografavimo metu nustatytas darbo aplinkos problemas. Kiekvienai problemai plane turi būti nurodyta, ką reikia daryti, kas atsakingas ir kada problema turi būti išspręsta. Veiksmų planas yra teisinis reikalavimas – rizikos vertinimas be veiksmų plano nėra išsamus. Be to, būtina tolesnė stebėsena, kad įmonė galėtų įrodyti, jog priemonės iš tikrųjų buvo įgyvendintos ir veikia.

BDAR 9 straipsnyje nurodyti ypatingi asmens duomenys: rasinė ar etninė kilmė, politiniai, religiniai ar filosofiniai įsitikinimai, narystė profesinėje sąjungoje, genetiniai ir biometriniai duomenys, sveikatos duomenys bei duomenys apie lytinį gyvenimą ar seksualinę orientaciją. Tvarkymas paprastai draudžiamas ir reikalauja konkrečios išimties, pavyzdžiui, aiškaus sutikimo ar būtinumo pagal darbo teisę. Ypatingiems duomenims reikalingas sustiprintas saugumas, o Danijos teisėje asmens kodams ir teistumo duomenims taikomos savos, specialios taisyklės. Daugelyje personalo ir pranešimų bylų yra ypatingų duomenų, todėl jie turi būti ypač gerai saugomi.