Słownik zgodności

Firma, organ lub osoba, która decyduje, w jakich celach i za pomocą jakich środków przetwarzane są dane osobowe. Administrator ponosi główną odpowiedzialność za zgodność z RODO: podstawę prawną, obowiązki informacyjne, bezpieczeństwo, dokumentację i prawa osób, których dane dotyczą. Pracodawca jest na przykład administratorem danych kadrowych swoich pracowników. Jeśli administrator korzysta z dostawców do przetwarzania, musi zawrzeć z nimi umowy powierzenia przetwarzania danych.

Średni poziom podpisu określony w art. 26 eIDAS. Zaawansowany podpis elektroniczny musi być jednoznacznie powiązany z podpisującym, umożliwiać jego identyfikację, zostać złożony za pomocą środków znajdujących się pod wyłączną kontrolą podpisującego oraz być powiązany z dokumentem w taki sposób, aby każda późniejsza zmiana mogła zostać wykryta. W praktyce wymogi te są często spełniane poprzez połączenie identyfikacji (na przykład za pomocą MitID) z kryptograficznym opieczętowaniem dokumentu. AES zapewnia znacznie silniejszą moc dowodową niż podpis zwykły i jest standardowym wyborem na przykład dla umów o pracę i umów powierzenia przetwarzania danych.

Formalna współpraca w zakresie środowiska pracy między kierownictwem a pracownikami, obowiązkowa w duńskich firmach zatrudniających 10 lub więcej pracowników. AMO składa się z jednej lub kilku grup ds. środowiska pracy z wybranym przedstawicielem ds. środowiska pracy i wyznaczonym kierownikiem. Członkowie muszą ukończyć obowiązkowe 3-dniowe szkolenie z zakresu środowiska pracy w ciągu 3 miesięcy od wyboru. W firmach zatrudniających mniej niż 10 pracowników praca na rzecz środowiska pracy odbywa się zamiast tego w bezpośredniej współpracy pracodawcy i pracowników.

Odrębna ocena ryzyka, którą duńscy pracodawcy muszą sporządzić, gdy pracownicy pracują z niebezpiecznymi substancjami i materiałami chemicznymi lub mogą być na nie narażeni. W 2019 r. zastąpiła ona wcześniejsze instrukcje stanowiskowe i musi między innymi opisywać niebezpieczeństwo substancji, narażenie, działania zapobiegawcze oraz wymogi szkoleniowe. Ocena musi być pisemna, aktualizowana na bieżąco, a pracownicy muszą zostać poinformowani o jej wynikach. Karty charakterystyki dostawcy stanowią ważną podstawę tej pracy.

Obowiązkowe spotkanie, które każdy duński pracodawca zatrudniający pracowników musi zorganizować co najmniej raz w roku, podczas którego kierownictwo i pracownicy podsumowują stan środowiska pracy. Rozmowa musi obejmować podsumowanie minionego roku, wyznaczenie celów i działań na nadchodzący rok oraz ocenę, czy współpraca w zakresie środowiska pracy funkcjonuje. Firmy bez formalnej organizacji ds. środowiska pracy muszą móc pisemnie udokumentować Inspektoratowi Pracy, że rozmowa się odbyła. Naturalnie łączy się to z monitorowaniem oceny ryzyka.

Szczególne kategorie danych osobowych określone w art. 9 RODO: pochodzenie rasowe lub etniczne, poglądy polityczne, religijne lub filozoficzne, przynależność związkowa, dane genetyczne i biometryczne, dane dotyczące zdrowia oraz dane dotyczące życia seksualnego lub orientacji seksualnej. Przetwarzanie jest co do zasady zakazane i wymaga szczególnego wyjątku, na przykład wyraźnej zgody lub niezbędności wynikającej z prawa pracy. Dane wrażliwe wymagają zwiększonego bezpieczeństwa, a w prawie duńskim numery ewidencyjne osób i informacje o wyrokach skazujących podlegają odrębnym, szczególnym zasadom. Wiele spraw kadrowych i zgłoszeń sygnalistów zawiera dane wrażliwe, dlatego muszą być one szczególnie dobrze chronione.

Dokumenty, które nowy pracownik musi otrzymać i podpisać na początku zatrudnienia. Najważniejsza jest umowa o pracę: zgodnie z duńską ustawą o zaświadczeniu o zatrudnieniu z 2023 r. najważniejsze warunki muszą zostać przekazane na piśmie nie później niż w ciągu 7 dni kalendarzowych od pierwszego dnia pracy, a pozostałe w ciągu miesiąca. Dodatkowo zazwyczaj dołączane są zobowiązanie do poufności, polityka IT i ochrony danych, przekazanie sprzętu, potwierdzenie odbioru podręcznika pracownika oraz obowiązek informacyjny RODO dotyczący przetwarzania danych pracowników. Podpis elektroniczny wraz z dziennikiem audytowym ułatwia udowodnienie, że wszystko zostało przekazane i zaakceptowane na czas.

Ocena skutków dla ochrony danych, wymagana przez art. 35 RODO, gdy przetwarzanie prawdopodobnie wiąże się z wysokim ryzykiem dla osób, których dane dotyczą – na przykład systematyczne monitorowanie, przetwarzanie na dużą skalę danych wrażliwych lub nowa technologia, taka jak rozpoznawanie twarzy. Ocena musi opisywać przetwarzanie, oceniać niezbędność i proporcjonalność, identyfikować ryzyka oraz określać środki ograniczające ryzyko. Jeśli ryzyka nie można zmniejszyć, przed rozpoczęciem przetwarzania należy skonsultować się z organem nadzorczym. Dania opublikowała listę operacji przetwarzania, które zawsze wymagają DPIA.

Duńska ustawa wdrażająca dyrektywę UE o sygnalistach (2019/1937), obowiązująca od grudnia 2021 r. Ustawa zobowiązuje prywatne firmy zatrudniające 50 lub więcej pracowników oraz większość pracodawców publicznych do utworzenia wewnętrznego kanału zgłoszeń – obowiązek dotyczy firm zatrudniających 50–249 pracowników od 17 grudnia 2023 r. Ustawa chroni sygnalistów przed działaniami odwetowymi i wymaga poufności, potwierdzenia otrzymania zgłoszenia w ciągu 7 dni oraz informacji zwrotnej w ciągu 3 miesięcy. Naruszenia mogą skutkować grzywnami i odpowiedzialnością odszkodowawczą.

Duński organ nadzorujący przestrzeganie przez firmy ustawy o środowisku pracy. Przeprowadza zarówno zapowiedziane, jak i niezapowiedziane kontrole i może wydawać nakazy, natychmiastowe nakazy i zakazy oraz rekomendować grzywny. Podczas kontroli zazwyczaj żąda okazania oceny ryzyka, protokołu corocznej rozmowy o środowisku pracy oraz dokumentacji organizacji ds. środowiska pracy. Firmy z uporządkowaną dokumentacją pisemną znacznie łatwiej przechodzą przez kontrolę.

Duński organ nadzorczy ds. ochrony danych, nadzorujący przestrzeganie RODO i duńskiej ustawy o ochronie danych. Rozpatruje skargi obywateli, przeprowadza kontrole w firmach i urzędach, przyjmuje zgłoszenia naruszeń ochrony danych oraz publikuje wytyczne i wzory. Może wyrażać krytykę, wydawać nakazy i rekomendować grzywny – w Danii kary RODO są zazwyczaj ustalane przez sądy po zgłoszeniu policji. Jego wytyczne są dobrym punktem wyjścia, gdy mała lub średnia firma porządkuje swoją dokumentację RODO.

Każde niekorzystne traktowanie sygnalisty w związku ze złożonym zgłoszeniem – na przykład zwolnienie z pracy, degradacja, nękanie, gorsze zadania lub pominięcie przy awansie. Ustawa o sygnalistach zakazuje działań odwetowych, a groźby oraz próby ich podjęcia również są niezgodne z prawem. Jeśli sygnalista mimo to doświadczy działań odwetowych, przysługuje mu odszkodowanie, a ciężar dowodu może zostać odwrócony, tak że pracodawca musi wykazać, iż traktowanie nie było spowodowane zgłoszeniem. Ochrona obowiązuje, gdy zgłaszający w dobrej wierze uważał informacje za prawdziwe.

Chronologiczny, niezmienny zapis zdarzeń w systemie: kto co zrobił, kiedy i z jakiego adresu. W procesie podpisywania dziennik audytowy dokumentuje na przykład, kiedy dokument został wysłany, otwarty i podpisany oraz w jaki sposób zidentyfikowano podpisującego. Dziennik ma kluczowe znaczenie dla mocy dowodowej podpisów elektronicznych oraz dla wykazania zgodności z RODO, na przykład wskazania, kto miał dostęp do wrażliwych spraw. Dobry dziennik audytowy nie może być edytowany po fakcie i jest przechowywany oddzielnie od danych, które opisuje.

System elektroniczny, którego duńscy pracodawcy muszą używać do zgłaszania wypadków przy pracy Inspektoratowi Pracy i Ubezpieczeniu Wypadkowemu Rynku Pracy. Do systemu EASY loguje się przez Virk.dk przy użyciu firmowego MitID Erhverv, a jedno zgłoszenie jest automatycznie przesyłane do właściwych organów i ewentualnie ubezpieczyciela. Zgłaszanie w systemie EASY jest obowiązkowe – formularze papierowe nie są akceptowane. Dobrą praktyką jest natychmiastowe wewnętrzne zarejestrowanie faktów dotyczących wypadku, aby zgłoszenie EASY mogło zostać poprawnie wypełnione w terminie.

Rozporządzenie UE w sprawie identyfikacji elektronicznej i usług zaufania (910/2014), które tworzy wspólne zasady dotyczące podpisów elektronicznych, pieczęci i znaczników czasu w całej UE. eIDAS określa trzy poziomy podpisu elektronicznego – zwykły (SES), zaawansowany (AES) i kwalifikowany (QES) – oraz stanowi, że podpisowi nie można odmówić mocy dowodowej wyłącznie z tego powodu, że jest elektroniczny. Rozporządzenie zostało zaktualizowane przez eIDAS 2.0, który wprowadza między innymi europejski cyfrowy portfel tożsamości. Dla małych i średnich firm eIDAS oznacza, że dokumenty takie jak umowy o pracę można ważnie podpisywać elektronicznie.

Od 1 lipca 2024 r. duńscy pracodawcy muszą stosować obiektywny, wiarygodny i dostępny system rejestrujący codzienny czas pracy każdego pracownika. Wymóg wynika ze zmiany duńskiej ustawy o czasie pracy wdrażającej orzecznictwo Trybunału Sprawiedliwości UE i ma umożliwić kontrolę zasady 48 godzin oraz przepisów dotyczących odpoczynku. Zapisy muszą być przechowywane przez 5 lat, a pracownik musi mieć dostęp do swoich danych. Tak zwani pracownicy samodzielnie organizujący swój czas pracy mogą być zwolnieni z tego obowiązku, ale wyjątek jest wąski i musi być wskazany w umowie o pracę.

Międzynarodowa norma dotycząca systemów zarządzania bezpieczeństwem informacji (ISMS). Norma wymaga, aby organizacja systematycznie identyfikowała swoje ryzyka w zakresie bezpieczeństwa informacji i zarządzała nimi za pomocą polityk, kontroli i ciągłego doskonalenia; katalog kontroli znajduje się w załączniku A i jest rozwinięty w normie ISO 27002. Certyfikację przeprowadza akredytowana jednostka certyfikująca i jest ona dobrowolna, ale coraz częściej wymagana przez klientów i w przetargach. Dla małych i średnich firm pełna certyfikacja ISO 27001 jest często zbyt rozbudowana, ale zasady – ocena ryzyka, kontrola dostępu, rejestrowanie zdarzeń i gotowość na incydenty – stanowią dobry wzorzec dla pracy nad bezpieczeństwem.

Duńska krajowa tożsamość cyfrowa, która zastąpiła NemID i jest wykorzystywana do logowania w instytucjach publicznych, bankach i usługach prywatnych. MitID jest zgłoszony zgodnie z eIDAS i może być wykorzystywany do identyfikacji podpisującego w procesie podpisu elektronicznego, co podnosi podpis do poziomu zaawansowanego (AES). Firmy korzystają z MitID Erhverv, aby działać w imieniu firmy, na przykład w systemie EASY i na Virk.dk. Podczas podpisywania dokumentu logowanie za pomocą MitID z wysokim poziomem pewności dokumentuje, kto rzeczywiście złożył podpis.

Incydent bezpieczeństwa prowadzący do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany lub nieuprawnionego dostępu do danych osobowych – na przykład e-mail wysłany do niewłaściwego odbiorcy, zgubiony laptop lub atak hakerski. Naruszenie co do zasady musi zostać zgłoszone organowi nadzorczemu w ciągu 72 godzin, chyba że jest mało prawdopodobne, aby powodowało ryzyko dla osób, których dane dotyczą. W przypadku wysokiego ryzyka należy poinformować również osoby dotknięte naruszeniem. Wszystkie naruszenia – również te niezgłaszane – muszą być udokumentowane w wewnętrznym rejestrze.

Dyrektywa UE w sprawie cyberbezpieczeństwa (2022/2555), zaostrzająca wymogi bezpieczeństwa systemów sieciowych i informatycznych dla podmiotów kluczowych i ważnych w wielu sektorach – takich jak energetyka, transport, ochrona zdrowia, infrastruktura cyfrowa i żywność. Objęte firmy muszą wdrożyć zarządzanie ryzykiem, zająć się bezpieczeństwem łańcucha dostaw oraz zgłaszać istotne incydenty organom, a za brak zgodności grożą znaczne kary finansowe; kierownictwo może zostać pociągnięte do osobistej odpowiedzialności. NIS2 dotyczy zazwyczaj średnich i dużych firm w objętych sektorach, ale wpływa pośrednio również na mniejszych dostawców poprzez wymagania klientów. W Danii dyrektywa została wdrożona ustawą obowiązującą od 1 lipca 2025 r.

Obowiązkowa ocena środowiska pracy, którą każdy duński pracodawca zatrudniający pracowników musi przeprowadzać co najmniej raz na 3 lata – oraz zawsze, gdy praca ulega istotnym zmianom. Składa się z czterech etapów: rozpoznania środowiska pracy, oceny problemów, pisemnego planu działania i monitorowania. Wymóg wynika z §15a duńskiej ustawy o środowisku pracy, a Inspektorat Pracy (Arbejdstilsynet) może zażądać jej okazania podczas kontroli. Metoda jest dowolna, ale wynik musi być pisemny i dostępny dla pracowników.

Terminy, jakie firma ustala dla tego, jak długo przechowywane są różne rodzaje danych osobowych przed ich usunięciem lub zanonimizowaniem. Zasada ograniczenia przechowywania w RODO wymaga, aby dane nie były przechowywane dłużej, niż jest to niezbędne do celu. Terminy muszą być udokumentowane – zazwyczaj w rejestrze z art. 30 i polityce usuwania danych – i muszą być faktycznie egzekwowane w praktyce. Niektóre terminy wynikają z innych przepisów, na przykład wymogu duńskiej ustawy o rachunkowości dotyczącego przechowywania dokumentacji księgowej przez 5 lat.

Pisemny plan zawarty w ocenie ryzyka, opisujący, w jaki sposób firma zamierza rozwiązać problemy dotyczące środowiska pracy wykryte podczas rozpoznania. Dla każdego problemu plan musi wskazywać, co należy zrobić, kto jest odpowiedzialny i kiedy problem musi zostać rozwiązany. Plan działania jest wymogiem prawnym – ocena ryzyka bez planu działania nie jest kompletna. Konieczne jest również monitorowanie, aby firma mogła udokumentować, że działania zostały rzeczywiście wdrożone i działają.

Firma lub osoba przetwarzająca dane osobowe w imieniu administratora i zgodnie z jego poleceniami – na przykład dostawca usług w chmurze, biuro księgowe zajmujące się płacami lub system HR. Podmiot przetwarzający nie może wykorzystywać danych do własnych celów i musi spełniać wymogi RODO dotyczące bezpieczeństwa i poufności. Relacja musi być uregulowana pisemną umową powierzenia przetwarzania danych. Jeśli podmiot przetwarzający korzysta z podwykonawców (dalszych podmiotów przetwarzających), wymaga to zgody administratora.

Zbiorczy opis zasad, polityk i praktycznych kwestii dla pracowników sporządzony przez firmę – na przykład czas pracy, zgłaszanie choroby, urlop, politykę IT i ochrony danych, politykę wobec substancji odurzających oraz wytyczne przeciwdziałające zachowaniom obraźliwym. Podręcznik nie jest wymagany przepisami prawa, ale gromadzi dokumentację wymaganą przez inne przepisy i tworzy jasność co do obowiązujących zasad. Postanowienia podręcznika mogą mieć skutki w prawie pracy, dlatego o istotnych zmianach należy odpowiednio poinformować. Dobrą praktyką jest umożliwienie pracownikom elektronicznego potwierdzenia, że zapoznali się z obowiązującą wersją.

Prawa, które RODO przyznaje osobom, których dane są przetwarzane: prawo do informacji, dostępu, sprostowania, usunięcia (prawo do bycia zapomnianym), ograniczenia przetwarzania, przenoszenia danych i sprzeciwu – a także ochrona przed decyzjami opartymi wyłącznie na zautomatyzowanym przetwarzaniu, wywołującymi istotne skutki. Firma musi mieć procedury zapewniające odpowiedź na wnioski w ciągu miesiąca. Prawa te nie są absolutne; na przykład usunięcia można odmówić, jeśli dane muszą być przechowywane zgodnie z ustawą o rachunkowości. Niewłaściwe rozpatrywanie tych praw jest jedną z najczęstszych przyczyn skarg do organów ochrony danych.

Podstawa prawna z art. 6 ust. 1 lit. f RODO, pozwalająca firmie przetwarzać zwykłe dane osobowe, jeśli jej prawnie uzasadnione interesy przeważają nad interesami i prawami osoby, której dane dotyczą. Podstawa ta wymaga udokumentowanego wyważenia interesów – tzw. testu równowagi interesów – oraz tego, aby przetwarzanie było niezbędne do celu. Typowe przykłady to marketing bezpośredni do obecnych klientów, bezpieczeństwo IT i administracja wewnętrzna. Osoba, której dane dotyczą, zawsze ma prawo wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie.

Przekazywanie danych osobowych do państw spoza UE/EOG – na przykład gdy firma korzysta z amerykańskiej usługi w chmurze. Przekazanie wymaga ważnej podstawy prawnej zgodnie z rozdziałem V RODO: decyzji Komisji Europejskiej stwierdzającej odpowiedni poziom ochrony (np. ramy EU-U.S. Data Privacy Framework), standardowych klauzul umownych (SCC) lub wiążących reguł korporacyjnych. Po wyroku Schrems II firma musi dodatkowo ocenić, czy poziom ochrony w kraju odbiorcy jest rzeczywiście wystarczający. Przekazywanie do państw trzecich musi być odzwierciedlone w rejestrze z art. 30 i w polityce prywatności.

Część oceny ryzyka w środowisku pracy dotycząca psychospołecznego środowiska pracy: obciążenia pracą, niejasnych wymagań, mobbingu, nękania, przemocy i zachowań obraźliwych. To nie jest dobrowolny dodatek – czynniki psychospołeczne zawsze muszą być uwzględnione w ocenie ryzyka na równi z zagrożeniami fizycznymi. Zasady zostały doprecyzowane w duńskim rozporządzeniu z 2020 r. dotyczącym psychospołecznego środowiska pracy. Wiele firm rozpoznaje je za pomocą anonimowych ankiet, aby pracownicy odważyli się odpowiadać szczerze.

Najwyższy poziom podpisu w eIDAS: zaawansowany podpis elektroniczny utworzony za pomocą kwalifikowanego urządzenia do składania podpisu i oparty na kwalifikowanym certyfikacie wydanym przez zatwierdzonego dostawcę usług zaufania. QES ma taką samą moc prawną jak podpis odręczny w całej UE i jest uznawany we wszystkich państwach członkowskich. Jest wymagany tylko w szczególnych przypadkach, gdy prawo określa wymogi formalne – dla zwykłych umów handlowych zwykle wystarcza AES lub SES. W zamian ciężar dowodu w praktyce się odwraca: w przypadku QES to strona kwestionująca podpis musi udowodnić, że nie jest on autentyczny.

Rejestr czynności przetwarzania, który art. 30 RODO nakazuje prowadzić administratorom i podmiotom przetwarzającym. Rejestr musi między innymi opisywać cele przetwarzania, kategorie osób i danych, odbiorców, ewentualne przekazywanie do państw trzecich, okresy przechowywania i środki bezpieczeństwa. Musi być pisemny, aktualizowany na bieżąco i udostępniany organowi nadzorczemu na żądanie. Wyjątek dla firm zatrudniających mniej niż 250 pracowników jest wąski, więc w praktyce niemal każda firma powinna prowadzić taki rejestr.

Roczny plan rozkładający powtarzające się zadania firmy związane ze zgodnością na cały rok kalendarzowy, tak aby nic nie zostało zapomniane ani nie kumulowało się. Typowe punkty to coroczna rozmowa o środowisku pracy, monitorowanie planu działania z oceny ryzyka, przegląd rejestru z art. 30 i okresów przechowywania, testowanie reakcji na naruszenia ochrony danych, przegląd umów powierzenia przetwarzania danych oraz aktualizacja podręcznika pracownika. Harmonogram czyni ze zgodności bieżącą rutynę z jasno określonymi osobami odpowiedzialnymi i terminami, zamiast corocznej akcji gaśniczej. Jest to jednocześnie dobra dokumentacja dla organów nadzorczych, potwierdzająca, że firma działa systematycznie.

Rozporządzenie UE o ochronie danych osobowych, obowiązujące od 25 maja 2018 r. i uzupełnione duńską ustawą o ochronie danych. RODO nakłada wymogi dotyczące tego, jak firmy zbierają, wykorzystują, przechowują i usuwają dane osobowe, oraz przyznaje osobom, których dane dotyczą, szereg praw. Firmy muszą być w stanie wykazać zgodność – tzw. zasada rozliczalności. Za naruszenia mogą zostać nałożone kary do 20 mln euro lub 4% globalnego rocznego obrotu.

Standardowe umowy Komisji Europejskiej, które firmy mogą wykorzystywać jako podstawę przekazywania, gdy dane osobowe są wysyłane do państw spoza UE/EOG bez decyzji stwierdzającej odpowiedni poziom ochrony. Obowiązujące klauzule z 2021 r. składają się z modułów obejmujących różne kombinacje administratorów i podmiotów przetwarzających. Klauzule muszą zostać podpisane bez zmian, a po wyroku Schrems II należy je uzupełnić o ocenę przepisów kraju odbiorcy oraz, w razie potrzeby, o dodatkowe środki bezpieczeństwa, takie jak szyfrowanie. W praktyce SCC są najczęściej wykorzystywaną podstawą przekazywania danych przez małe i średnie firmy.

Podstawowy poziom podpisu elektronicznego zgodnie z eIDAS: dane w postaci elektronicznej dołączone do innych danych elektronicznych i wykorzystywane przez podpisującego do złożenia podpisu – na przykład imię i nazwisko wpisane pod wiadomością e-mail, zeskanowany obraz podpisu lub kliknięcie przycisku akceptacji. SES jest prawnie ważny dla zdecydowanej większości umów w Danii, gdzie obowiązuje swoboda formy umów. Moc dowodowa zależy jednak od tego, jak dobrze można udowodnić, kto podpisał dokument i że nie został on zmieniony. Dlatego SES jest znacznie wzmacniany przez dziennik audytowy i kryptograficzny skrót dokumentu.

Kryptograficzny odcisk palca dokumentu, obliczany za pomocą funkcji skrótu, takiej jak SHA-256. Nawet najmniejsza zmiana w dokumencie – pojedynczy znak – daje zupełnie inną wartość skrótu, a stworzenie innego dokumentu o tym samym skrócie jest praktycznie niemożliwe. Przy podpisie elektronicznym zapisywany jest skrót dokumentu, aby móc później udowodnić, że podpisany dokument nie został zmieniony. Skrót nie ujawnia niczego o treści dokumentu, dlatego można nim swobodnie dzielić się jako dowodem integralności.

Pisemna umowa wymagana przez art. 28 RODO między administratorem a podmiotem przetwarzającym. Umowa musi między innymi określać przedmiot i czas trwania przetwarzania, rodzaj danych, obowiązki podmiotu przetwarzającego, wymogi bezpieczeństwa, zasady dotyczące dalszych podmiotów przetwarzających oraz pomoc w przypadku naruszeń ochrony danych i wniosków o dostęp. Bez ważnej umowy powierzenia przetwarzanie danych osobowych przez dostawcę w imieniu firmy jest niezgodne z prawem. Duński organ ochrony danych opublikował standardowy wzór, z którego korzysta wiele małych i średnich firm.

Wewnętrzny kanał, za pośrednictwem którego pracownicy i inne osoby powiązane z pracą mogą poufnie zgłaszać naruszenia prawa i poważne nieprawidłowości – na przykład oszustwa, łapówkarstwo, naruszenia RODO lub molestowanie seksualne. System musi posiadać bezstronną jednostkę ds. sygnalistów, która potwierdza otrzymanie zgłoszenia w ciągu 7 dni i udziela informacji zwrotnej w ciągu 3 miesięcy. Tożsamość zgłaszającego musi być chroniona, a dostęp do spraw mogą mieć wyłącznie osoby, którym jest to niezbędne. System musi być opisany pisemnie, a pracownicy muszą mieć łatwy dostęp do informacji o sposobie jego korzystania.

Wniosek osoby o informację, jakie dane osobowe firma na jej temat przetwarza – prawo wynikające z art. 15 RODO. Firma musi między innymi poinformować o celach, kategoriach danych, odbiorcach i okresie przechowywania oraz wydać kopię danych. Odpowiedź musi zostać udzielona bez zbędnej zwłoki i nie później niż w ciągu miesiąca od otrzymania wniosku; w przypadku wniosków złożonych termin można przedłużyć o dwa miesiące. Odpowiedź jest co do zasady bezpłatna dla osoby, której dane dotyczą.

Nagłe zdarzenie związane z pracą, które powoduje uraz ciała – na przykład upadek, uraz zmiażdżeniowy lub ostre przeciążenie. Pracodawca jest zobowiązany zgłosić wypadek elektronicznie w systemie EASY, jeśli powoduje on nieobecność wykraczającą poza dzień urazu, a zgłoszenie musi nastąpić nie później niż 14 dni po pierwszym dniu nieobecności. Zgłaszać należy również wypadki, które mogą uprawniać do odszkodowania na podstawie duńskiej ustawy o wypadkach przy pracy. Brak zgłoszenia może skutkować grzywną, a wypadki powinny zawsze być objęte działaniami zapobiegawczymi w ocenie ryzyka.

Zasada duńskiej ustawy o czasie pracy, zgodnie z którą średni tygodniowy czas pracy pracownika, łącznie z nadgodzinami, nie może przekraczać 48 godzin, mierzony w okresie 4 miesięcy. Zasada wynika z unijnej dyrektywy o czasie pracy i dotyczy niemal wszystkich pracowników. Naruszenie może uprawniać pracownika do odszkodowania, a od 2024 r. pracodawcy muszą być w stanie wykazać zgodność za pomocą ewidencji czasu pracy. Niektóre układy zbiorowe pozwalają w szczególnych okolicznościach na wyższy limit dla wybranych grup.

Termin określony w art. 33 RODO na zgłoszenie naruszenia ochrony danych osobowych organowi nadzorczemu: bez zbędnej zwłoki i, jeśli to możliwe, nie później niż w ciągu 72 godzin od momentu, gdy firma dowiedziała się o naruszeniu. Termin biegnie również w weekendy i dni świąteczne. Jeśli zostanie przekroczony, opóźnienie musi zostać wyjaśnione w zgłoszeniu. Jeśli firma nie dysponuje wszystkimi informacjami w terminie, zgłoszenie można złożyć etapami – najważniejsze jest zgłoszenie na czas tego, co jest wiadome.

Zdarzenie, które mogło doprowadzić do wypadku przy pracy, ale nikt nie ucierpiał – na przykład narzędzie spadające obok pracownika lub poślizgnięcie się, które nie kończy się upadkiem. Takich zdarzeń nie trzeba zgłaszać organom, ale są one jednym z najważniejszych narzędzi prewencji. Systematyczne rejestrowanie i analizowanie ich pozwala firmie usunąć zagrożenia, zanim doprowadzą do rzeczywistego wypadku. Wzorce takich zdarzeń powinny być uwzględniane w ocenie ryzyka w środowisku pracy.

Jedna z sześciu podstaw prawnych RODO dotyczących przetwarzania danych osobowych. Ważna zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna – oraz wyrażona poprzez aktywne działanie, na przykład zaznaczenie niedomyślnie zaznaczonego pola. Osoba, której dane dotyczą, może w każdej chwili wycofać zgodę, a musi to być tak samo łatwe, jak jej wyrażenie. Firma musi być w stanie wykazać, że zgoda została uzyskana prawidłowo, a w stosunkach pracy zgoda rzadko jest odpowiednia, ponieważ nierównowaga sił podważa jej dobrowolność.

Elektroniczny dowód na to, że określone dane istniały w konkretnym momencie. W kontekście podpisów i zgodności znacznik czasu wiąże skrót dokumentu z określonym czasem, umożliwiając udowodnienie, kiedy dokument został podpisany lub zarejestrowany. eIDAS reguluje kwalifikowane elektroniczne znaczniki czasu, wydawane przez zatwierdzonych dostawców usług zaufania i korzystające z domniemania prawidłowości. Wiarygodne znaczniki czasu są ważne również w dziennikach audytowych, na przykład aby udowodnić, że naruszenie ochrony danych zgłoszono w ciągu 72 godzin.