Compliance-ordbok

Regelen i den danske arbeidstidsloven om at en ansatts gjennomsnittlige ukentlige arbeidstid ikke må overstige 48 timer inkludert overtid, målt over en periode på 4 måneder. Regelen stammer fra EUs arbeidstidsdirektiv og gjelder for så godt som alle arbeidstakere. Overtredelse kan utløse erstatning til den ansatte, og siden 2024 skal arbeidsgivere kunne dokumentere etterlevelsen gjennom arbeidstidsregistrering. Enkelte tariffavtaler tillater under særlige betingelser en høyere grense for utvalgte grupper.

Fristen i artikkel 33 i GDPR for å melde et brudd på personopplysningssikkerheten til tilsynsmyndigheten: uten unødig opphold og om mulig senest 72 timer etter at virksomheten er blitt kjent med bruddet. Fristen løper også i helger og på helligdager. Overskrides den, skal forsinkelsen begrunnes i meldingen. Har virksomheten ikke all informasjon innen fristen, kan meldingen skje trinnvis – det viktige er å melde det man vet, i tide.

Det mellomste signaturnivået etter artikkel 26 i eIDAS. En avansert elektronisk signatur skal være entydig knyttet til underskriveren, kunne identifisere vedkommende, være fremstilt med midler underskriveren har under sin enekontroll, og være forbundet med dokumentet slik at enhver etterfølgende endring kan oppdages. I praksis oppfylles kravene ofte ved å kombinere identifikasjon (for eksempel med MitID) med kryptografisk forsegling av dokumentet. En AES gir vesentlig sterkere bevisverdi enn en enkel signatur og er standardvalget for eksempel til arbeidskontrakter og databehandleravtaler.

Det formelle samarbeidet om arbeidsmiljø mellom ledelse og ansatte, som er lovpålagt i danske virksomheter med 10 eller flere ansatte. AMO består av en eller flere arbeidsmiljøgrupper med en valgt arbeidsmiljørepresentant og en utpekt arbeidsleder. Medlemmene skal gjennomføre den lovpålagte 3-dagers arbeidsmiljøopplæringen innen 3 måneder etter valget. I virksomheter med færre enn 10 ansatte skal arbeidsmiljøarbeidet i stedet skje i direkte samarbeid mellom arbeidsgiver og ansatte.

En lovpålagt vurdering av arbeidsmiljøet som alle danske arbeidsgivere med ansatte skal gjennomføre minst hvert 3. år – og når arbeidet endres vesentlig. Den består av fire trinn: kartlegging av arbeidsmiljøet, vurdering av problemene, en skriftlig handlingsplan og oppfølging. Kravet følger av §15a i den danske arbeidsmiljøloven, og Arbejdstilsynet kan be om å se den ved tilsyn. Metoden er fri, men resultatet skal være skriftlig og tilgjengelig for de ansatte.

Siden 1. juli 2024 skal danske arbeidsgivere ha et objektivt, pålitelig og tilgjengelig system som registrerer hver ansatts daglige arbeidstid. Kravet følger av endringen i den danske arbeidstidsloven som gjennomfører EU-domstolens praksis, og skal gjøre det mulig å kontrollere 48-timersregelen og reglene om hviletid. Registreringene skal oppbevares i 5 år, og den ansatte skal kunne få tilgang til egne opplysninger. Såkalte selvorganiserere kan unntas, men unntaket er snevert og skal fremgå av arbeidskontrakten.

En plutselig hendelse i forbindelse med arbeidet som medfører personskade – for eksempel et fall, en klemskade eller en akutt overbelastning. Arbeidsgiveren plikter å melde ulykken digitalt i EASY dersom den fører til fravær utover skadedagen, og meldingen skal skje senest 14 dager etter første fraværsdag. Ulykker som kan gi rett til erstatning etter den danske arbeidsskadeloven, skal også meldes. Manglende melding kan straffes med bot, og ulykker bør alltid følges opp med forebyggende tiltak i arbeidsmiljøvurderingen.

Et lovpålagt møte som alle danske arbeidsgivere med ansatte skal holde minst én gang i året, der ledelse og ansatte gjennomgår status for arbeidsmiljøet. Drøftingen skal se tilbake på det siste året, fastsette mål og tiltak for det kommende året og vurdere om samarbeidet om arbeidsmiljø fungerer. Virksomheter uten formell arbeidsmiljøorganisasjon skal kunne dokumentere skriftlig overfor Arbejdstilsynet at drøftingen har funnet sted. Den henger naturlig sammen med oppfølgingen av arbeidsmiljøvurderingen.

Den virksomheten, myndigheten eller personen som bestemmer for hvilke formål og med hvilke midler personopplysninger behandles. Den behandlingsansvarlige har hovedansvaret for GDPR-etterlevelsen: rettslig grunnlag, informasjonsplikt, sikkerhet, dokumentasjon og de registrertes rettigheter. En arbeidsgiver er for eksempel behandlingsansvarlig for de ansattes personalopplysninger. Bruker den behandlingsansvarlige leverandører til behandlingen, skal det inngås databehandleravtaler med dem.

Et rettslig grunnlag etter artikkel 6 nr. 1 bokstav f i GDPR, der virksomheten kan behandle vanlige personopplysninger dersom dens berettigede interesser veier tyngre enn den registrertes interesser og rettigheter. Grunnlaget krever en dokumentert avveining – en såkalt interesseavveiningstest – og at behandlingen er nødvendig for formålet. Typiske eksempler er direkte markedsføring til eksisterende kunder, IT-sikkerhet og intern administrasjon. Den registrerte har alltid rett til å protestere mot behandling basert på berettiget interesse.

En sikkerhetshendelse som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring eller uautorisert tilgang til personopplysninger – for eksempel en e-post sendt til feil mottaker, en mistet bærbar PC eller et hackerangrep. Et brudd skal som hovedregel meldes til tilsynsmyndigheten innen 72 timer, med mindre det neppe innebærer en risiko for de registrerte. Ved høy risiko skal også de berørte personene varsles. Alle brudd – også de som ikke meldes – skal dokumenteres i en intern protokoll.

En årsplan som fordeler virksomhetens tilbakevendende compliance-oppgaver over kalenderåret, slik at ingenting glemmes eller hoper seg opp. Typiske punkter er den årlige arbeidsmiljødrøftingen, oppfølging av handlingsplanen fra arbeidsmiljøvurderingen, gjennomgang av artikkel 30-protokollen og slettefristene, testing av beredskapen ved brudd på personopplysningssikkerheten, revisjon av databehandleravtaler og oppdatering av personalhåndboken. Årshjulet gjør compliance til en løpende rutine med klare ansvarlige og frister i stedet for en årlig brannøvelse. Det er samtidig god dokumentasjon overfor tilsynsmyndigheter på at virksomheten arbeider systematisk.

En virksomhet eller person som behandler personopplysninger på vegne av en behandlingsansvarlig og etter dennes instruks – for eksempel en skytjenesteleverandør, et lønnsbyrå eller et HR-system. Databehandleren kan ikke bruke opplysningene til egne formål og må oppfylle GDPRs krav til sikkerhet og fortrolighet. Forholdet skal reguleres i en skriftlig databehandleravtale. Bruker databehandleren selv underleverandører (underdatabehandlere), krever det den behandlingsansvarliges godkjenning.

Den skriftlige avtalen som artikkel 28 i GDPR krever mellom en behandlingsansvarlig og en databehandler. Avtalen skal blant annet fastsette behandlingens gjenstand og varighet, typen opplysninger, databehandlerens plikter, sikkerhetskrav, regler for underdatabehandlere samt bistand ved brudd på personopplysningssikkerheten og innsynskrav. Uten en gyldig databehandleravtale er det ulovlig å la en leverandør behandle personopplysninger for virksomheten. Det danske Datatilsynet har publisert en standardmal som mange små og mellomstore virksomheter tar utgangspunkt i.

Den danske loven som gjennomfører EUs varslingsdirektiv (2019/1937) og har vært i kraft siden desember 2021. Loven forplikter private virksomheter med 50 eller flere ansatte og de fleste offentlige arbeidsgivere til å etablere en intern varslingsordning – kravet har omfattet virksomheter med 50–249 ansatte siden 17. desember 2023. Loven beskytter varslere mot gjengjeldelse og stiller krav om fortrolighet, bekreftelse av mottak innen 7 dager og tilbakemelding innen 3 måneder. Overtredelse kan medføre bot og erstatningsansvar.

Rettighetene GDPR gir personer hvis opplysninger behandles: rett til informasjon, innsyn, retting, sletting (retten til å bli glemt), begrensning av behandling, dataportabilitet og innsigelse – samt beskyttelse mot rent automatiserte avgjørelser med vesentlig betydning. Virksomheten skal ha rutiner slik at anmodninger besvares innen én måned. Rettighetene er ikke absolutte; sletting kan for eksempel avvises dersom opplysningene må oppbevares etter bokføringsloven. Mangelfull håndtering av rettighetene er en av de vanligste årsakene til klager til tilsynsmyndigheter.

Den danske myndigheten som fører tilsyn med at virksomheter overholder arbeidsmiljøloven. Den gjennomfører både varslede og uvarslede tilsynsbesøk og kan gi pålegg, strakspålegg og forbud, samt anbefale bøter. Ved tilsyn spør den vanligvis etter arbeidsmiljøvurderingen, den årlige arbeidsmiljødrøftingen og dokumentasjon av arbeidsmiljøorganisasjonen. Virksomheter med orden i den skriftlige dokumentasjonen kommer langt lettere gjennom et tilsynsbesøk.

Den danske tilsynsmyndigheten for personvern, som fører tilsyn med at GDPR og den danske databeskyttelsesloven overholdes. Den behandler klager fra innbyggere, gjennomfører tilsyn hos virksomheter og myndigheter, mottar meldinger om brudd på personopplysningssikkerheten og utgir veiledninger og maler. Den kan uttale kritikk, gi pålegg og anbefale bøter – i Danmark fastsettes GDPR-bøter i utgangspunktet av domstolene etter politianmeldelse. Veiledningene er et godt sted å starte når en liten eller mellomstor virksomhet skal ordne sin GDPR-dokumentasjon.

En vurdering av personvernkonsekvenser som artikkel 35 i GDPR krever når en behandling sannsynligvis innebærer høy risiko for de registrerte – for eksempel systematisk overvåking, omfattende behandling av sensitive opplysninger eller ny teknologi som ansiktsgjenkjenning. Vurderingen skal beskrive behandlingen, vurdere nødvendighet og forholdsmessighet, kartlegge risikoene og fastsette avbøtende tiltak. Kan risikoen ikke reduseres, skal tilsynsmyndigheten konsulteres før behandlingen starter. Det danske Datatilsynet har offentliggjort en liste over behandlinger som alltid krever en DPIA.

Det digitale systemet danske arbeidsgivere skal bruke for å melde arbeidsulykker til Arbejdstilsynet og Arbejdsmarkedets Erhvervssikring. EASY nås via Virk.dk med virksomhetens MitID Erhverv, og én melding sendes automatisk til de rette myndighetene og eventuelt forsikringsselskapet. Melding i EASY er obligatorisk – papirskjemaer godtas ikke. Det er god praksis å registrere ulykkens fakta internt med det samme, slik at EASY-meldingen kan fylles ut korrekt innen fristen.

EU-forordningen om elektronisk identifikasjon og tillitstjenester (910/2014), som skaper felles regler for elektroniske signaturer, segl og tidsstempler i hele EU. eIDAS definerer tre nivåer av elektroniske signaturer – enkel (SES), avansert (AES) og kvalifisert (QES) – og fastslår at en signatur ikke kan avvises som bevis alene fordi den er elektronisk. Forordningen er oppdatert med eIDAS 2.0, som blant annet innfører en europeisk digital identitetslommebok. For små og mellomstore virksomheter betyr eIDAS at dokumenter som arbeidskontrakter kan signeres gyldig digitalt.

Enhver ufordelaktig behandling av en varsler som følge av en melding – for eksempel oppsigelse, degradering, trakassering, dårligere oppgaver eller utelukkelse fra forfremmelse. Varslingsloven forbyr gjengjeldelse, og også trusler om og forsøk på gjengjeldelse er ulovlig. Blir en varsler likevel utsatt for gjengjeldelse, har vedkommende rett til erstatning, og bevisbyrden kan snus slik at arbeidsgiveren må godtgjøre at behandlingen ikke skyldtes meldingen. Beskyttelsen gjelder når varsleren var i god tro om at opplysningene var riktige.

Den skriftlige planen i arbeidsmiljøvurderingen som beskriver hvordan virksomheten vil løse de arbeidsmiljøproblemene kartleggingen har avdekket. For hvert problem skal planen angi hva som skal gjøres, hvem som er ansvarlig, og når det skal være løst. Handlingsplanen er et lovkrav – en arbeidsmiljøvurdering uten handlingsplan er ikke komplett. Det skal også følges opp, slik at virksomheten kan dokumentere at tiltakene faktisk er gjennomført og virker.

En anmodning fra en person om å få vite hvilke personopplysninger virksomheten behandler om vedkommende – en rettighet etter artikkel 15 i GDPR. Virksomheten skal blant annet opplyse om formål, kategorier av opplysninger, mottakere og lagringstid, og utlevere en kopi av opplysningene. Svaret skal gis uten unødig opphold og senest én måned etter mottak; fristen kan forlenges med to måneder ved komplekse anmodninger. Svaret er som hovedregel gratis for den registrerte.

Den internasjonale standarden for styringssystemer for informasjonssikkerhet (ISMS). Standarden krever at organisasjonen systematisk identifiserer sine informasjonssikkerhetsrisikoer og styrer dem gjennom retningslinjer, kontroller og kontinuerlig forbedring; kontrollkatalogen finnes i vedlegg A og utdypes i ISO 27002. Sertifisering utføres av et akkreditert sertifiseringsorgan og er frivillig, men etterspørres i økende grad av kunder og i anbud. For små og mellomstore virksomheter er full sertifisering ofte overdimensjonert, men prinsippene – risikovurdering, tilgangsstyring, logging og beredskap – er en god modell for sikkerhetsarbeidet.

En egen risikovurdering som danske arbeidsgivere må utarbeide når ansatte arbeider med eller kan bli eksponert for farlige kjemiske stoffer og materialer. Den erstattet i 2019 de tidligere arbeidsplassbruksanvisningene og skal blant annet beskrive stoffenes farlighet, eksponeringen, forebyggende tiltak og krav til opplæring. Vurderingen skal være skriftlig, holdes oppdatert, og de ansatte skal informeres om resultatet. Leverandørens sikkerhetsdatablader er et viktig grunnlag for arbeidet.

Fristene en virksomhet fastsetter for hvor lenge ulike typer personopplysninger oppbevares før de slettes eller anonymiseres. GDPRs prinsipp om lagringsbegrensning krever at opplysninger ikke oppbevares lenger enn nødvendig for formålet. Fristene skal dokumenteres – typisk i artikkel 30-protokollen og en sletterutine – og de må faktisk håndheves i praksis. Enkelte frister følger av annen lovgivning, for eksempel den danske bokføringslovens krav om 5 års oppbevaring av regnskapsmateriale.

Danmarks nasjonale digitale ID, som erstattet NemID og brukes til å logge inn hos det offentlige, banker og private tjenester. MitID er notifisert under eIDAS og kan brukes til å identifisere underskriveren i en elektronisk signaturprosess, noe som løfter signaturen til det avanserte nivået (AES). Virksomheter bruker MitID Erhverv til å opptre på vegne av virksomheten, for eksempel i EASY og på Virk.dk. Ved dokumentsignering dokumenterer en MitID-innlogging med høy sikkerhet hvem som faktisk har signert.

En hendelse som kunne ha ført til en arbeidsulykke, men der ingen ble skadet – for eksempel et verktøy som faller ned ved siden av en ansatt, eller en glidning som så vidt ikke ender i et fall. Nestenulykker skal ikke meldes til myndighetene, men de er et av de viktigste verktøyene for forebygging. Ved å registrere og analysere dem systematisk kan virksomheten fjerne risikoer før de forårsaker en reell ulykke. Mønstre i nestenulykker bør inngå i arbeidet med arbeidsmiljøvurderingen.

EUs direktiv om cybersikkerhet (2022/2555), som skjerper sikkerhetskravene til nett- og informasjonssystemer for vesentlige og viktige enheter i en rekke sektorer – som energi, transport, helse, digital infrastruktur og næringsmidler. Omfattede virksomheter må innføre risikostyring, håndtere leverandørsikkerhet og rapportere vesentlige hendelser til myndighetene, og kan ilegges betydelige bøter ved manglende etterlevelse; ledelsen kan holdes personlig ansvarlig. NIS2 gjelder typisk for mellomstore og store virksomheter i de omfattede sektorene, men rammer også mindre leverandører indirekte gjennom kundenes krav. I Danmark er direktivet gjennomført ved lov med virkning fra 1. juli 2025.

Dokumentene en ny ansatt skal motta og signere ved ansettelsens start. Viktigst er arbeidskontrakten: etter den danske ansettelsesbevisloven fra 2023 skal de vesentligste vilkårene gis skriftlig senest 7 kalenderdager etter første arbeidsdag, og resten innen en måned. I tillegg kommer typisk en taushetserklæring, IT- og personvernpolicy, utlevering av utstyr, kvittering for personalhåndboken og GDPRs informasjonsplikt om behandling av ansattes data. Digital signering med revisjonslogg gjør det enkelt å bevise at alt er utlevert og akseptert i tide.

Overføring av personopplysninger til land utenfor EU/EØS – for eksempel når en virksomhet bruker en amerikansk skytjeneste. Overføringen krever et gyldig overføringsgrunnlag etter kapittel V i GDPR: en adekvansbeslutning fra EU-kommisjonen (som EU-U.S. Data Privacy Framework), standard personvernbestemmelser (SCC) eller bindende virksomhetsregler. Etter Schrems II-dommen må virksomheten dessuten vurdere om beskyttelsesnivået i mottakerlandet reelt sett er tilstrekkelig. Overføringer til tredjeland skal fremgå av artikkel 30-protokollen og personvernerklæringen.

Virksomhetens samlede beskrivelse av regler, retningslinjer og praktiske forhold for de ansatte – for eksempel arbeidstid, sykmelding, ferie, IT- og personvernpolicy, rusmiddelpolicy og retningslinjer mot krenkende atferd. Håndboken er ikke lovpålagt, men den samler dokumentasjon som andre regler krever, og skaper klarhet om hva som gjelder. Vilkår i håndboken kan få arbeidsrettslig virkning, så vesentlige endringer må varsles korrekt. God praksis er å la de ansatte kvittere digitalt for at de har lest gjeldende versjon.

EUs forordning om beskyttelse av personopplysninger, som har vært gjeldende siden 25. mai 2018 og suppleres i Danmark av den danske databeskyttelsesloven. GDPR stiller krav til hvordan virksomheter samler inn, bruker, lagrer og sletter personopplysninger, og gir de registrerte en rekke rettigheter. Virksomheter skal kunne dokumentere sin etterlevelse – det såkalte ansvarlighetsprinsippet. Overtredelser kan straffes med bøter på opptil 20 millioner euro eller 4 % av den globale årsomsetningen.

Protokollen over behandlingsaktiviteter som artikkel 30 i GDPR krever at behandlingsansvarlige og databehandlere fører. Protokollen skal blant annet beskrive formålene med behandlingen, kategorier av registrerte og opplysninger, mottakere, eventuelle overføringer til tredjeland, slettefrister og sikkerhetstiltak. Den skal være skriftlig, holdes oppdatert og kunne fremlegges for tilsynsmyndigheten på forespørsel. Unntaket for virksomheter med færre enn 250 ansatte er snevert, så i praksis bør så godt som alle virksomheter føre en protokoll.

Den delen av arbeidsmiljøvurderingen som gjelder det psykososiale arbeidsmiljøet: arbeidspress, uklare krav, mobbing, trakassering, vold og krenkende atferd. Det er ikke et frivillig tillegg – psykososiale forhold skal alltid inngå i APV-en på lik linje med de fysiske risikoene. Reglene ble presisert i den danske forskriften om psykisk arbeidsmiljø fra 2020. Mange virksomheter kartlegger dette gjennom anonyme spørreundersøkelser, slik at de ansatte tør å svare ærlig.

Det høyeste signaturnivået i eIDAS: en avansert elektronisk signatur som er skapt med en kvalifisert signaturfremstillingsenhet og basert på et kvalifisert sertifikat utstedt av en godkjent tillitstjenesteleverandør. En QES har samme rettsvirkning som en håndskrevet signatur i hele EU og anerkjennes på tvers av medlemsstatene. Den kreves bare i særlige tilfeller der loven stiller formkrav – for vanlige forretningsavtaler er som regel AES eller SES tilstrekkelig. Til gjengjeld snus bevisbyrden i praksis: ved en QES må den som bestrider signaturen, bevise at den ikke er ekte.

En kronologisk, uforanderlig registrering av hendelser i et system: hvem som gjorde hva, når og fra hvilken adresse. I en signaturprosess dokumenterer revisjonsloggen for eksempel når dokumentet ble sendt, åpnet og signert, og hvordan underskriveren ble identifisert. Loggen er sentral for bevisverdien av elektroniske signaturer og for å kunne dokumentere GDPR-etterlevelse, for eksempel hvem som har hatt tilgang til sensitive saker. En god revisjonslogg kan ikke redigeres i ettertid og oppbevares atskilt fra dataene den beskriver.

Et av GDPRs seks rettslige grunnlag for å behandle personopplysninger. Et gyldig samtykke skal være frivillig, spesifikt, informert og utvetydig – og gis ved en aktiv handling, for eksempel et kryss i en boks som ikke er forhåndsavkrysset. Den registrerte kan når som helst trekke samtykket tilbake, og det skal være like enkelt som å gi det. Virksomheten skal kunne dokumentere at samtykket er innhentet korrekt, og i ansettelsesforhold er samtykke sjelden egnet fordi maktforholdet gjør frivilligheten tvilsom.

EU-kommisjonens standardavtaler som virksomheter kan bruke som overføringsgrunnlag når personopplysninger sendes til land utenfor EU/EØS uten en adekvansbeslutning. De gjeldende SCC-ene fra 2021 finnes i moduler som dekker ulike kombinasjoner av behandlingsansvarlige og databehandlere. Klausulene skal undertegnes uendret, og etter Schrems II skal de suppleres med en vurdering av mottakerlandets lovgivning og eventuelle ekstra sikkerhetstiltak som kryptering. I praksis er SCC det mest brukte overføringsgrunnlaget for små og mellomstore virksomheter.

De særlige kategoriene av personopplysninger i artikkel 9 i GDPR: rase og etnisk opprinnelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmedlemskap, genetiske og biometriske opplysninger, helseopplysninger samt opplysninger om seksuelle forhold og seksuell orientering. Behandling er som hovedregel forbudt og krever et særskilt unntak, for eksempel uttrykkelig samtykke eller nødvendighet etter arbeidsretten. Sensitive opplysninger krever skjerpet sikkerhet, og etter dansk rett behandles personnummer og opplysninger om straffedommer etter egne, særskilte regler. Mange HR- og varslingssaker inneholder sensitive opplysninger og må derfor beskyttes ekstra godt.

Det grunnleggende signaturnivået i eIDAS: data i elektronisk form som er knyttet til andre elektroniske data, og som underskriveren bruker til å signere – for eksempel et navn skrevet under en e-post, et innskannet bilde av en signatur eller et klikk på en godkjenn-knapp. En SES er juridisk gyldig for de aller fleste avtaler i Danmark, der avtalefrihet gjelder for form. Bevisverdien avhenger imidlertid av hvor godt man kan dokumentere hvem som signerte, og at dokumentet ikke er endret. Derfor styrkes en SES betydelig av en revisjonslogg og en kryptografisk hash av dokumentet.

Et kryptografisk fingeravtrykk av et dokument, beregnet med en hashfunksjon som SHA-256. Selv den minste endringen i dokumentet – ett enkelt tegn – gir en helt annen hashverdi, og det er praktisk talt umulig å lage et annet dokument med samme hash. Ved elektronisk signering lagres dokumentets hash, slik at man senere kan bevise at det signerte dokumentet ikke er endret. Hashen avslører ingenting om dokumentets innhold og kan derfor deles fritt som integritetsbevis.

Elektronisk dokumentasjon på at bestemte data eksisterte på et bestemt tidspunkt. I signatur- og compliance-sammenheng binder tidsstempelet dokumentets hash til et klokkeslett, slik at man kan bevise når dokumentet ble signert eller registrert. eIDAS regulerer kvalifiserte elektroniske tidsstempler, som utstedes av godkjente tillitstjenesteleverandører og nyter en formodning om riktighet. Pålitelige tidsstempler er også viktige i revisjonslogger, for eksempel for å dokumentere at et brudd på personopplysningssikkerheten ble meldt innen 72 timer.

En intern kanal der ansatte og andre med arbeidsrelatert tilknytning konfidensielt kan melde fra om lovbrudd og alvorlige forhold – for eksempel svindel, bestikkelser, brudd på GDPR eller seksuell trakassering. Ordningen skal ha en upartisk varslingsenhet som bekrefter mottak innen 7 dager og gir tilbakemelding innen 3 måneder. Varslerens identitet skal beskyttes, og bare personer med behov skal ha tilgang til sakene. Ordningen skal beskrives skriftlig, og de ansatte skal ha lett tilgang til informasjon om hvordan den brukes.