Slovar skladnosti

Pravilo danskega zakona o delovnem času, po katerem povprečni tedenski delovni čas zaposlenega ne sme presegati 48 ur, vključno z nadurami, merjeno v referenčnem obdobju 4 mesecev. Pravilo izhaja iz direktive EU o delovnem času in velja praktično za vse zaposlene. Kršitve lahko zaposlenemu prinesejo pravico do odškodnine, od leta 2024 pa morajo delodajalci biti sposobni dokazati skladnost prek evidence delovnega časa. Nekateri kolektivni dogovori pod posebnimi pogoji dovoljujejo višjo mejo za izbrane skupine.

Rok iz člena 33 GDPR za prijavo kršitve varstva osebnih podatkov organu za varstvo podatkov: brez nepotrebnega odlašanja in, kadar je mogoče, najpozneje v 72 urah po tem, ko podjetje izve za kršitev. Rok teče tudi ob koncih tedna in praznikih. Če je rok zamujen, mora prijava pojasniti zamudo. Če vse informacije niso pravočasno na voljo, je prijavo mogoče podati postopno. Pomembno je pravočasno prijaviti tisto, kar je znano.

Srednja raven podpisa, opredeljena v členu 26 eIDAS. Napredni elektronski podpis mora biti enolično povezan s podpisnikom, mora omogočati njegovo identifikacijo, mora biti ustvarjen s sredstvi, ki so pod izključnim nadzorom podpisnika, in mora biti povezan z dokumentom tako, da je mogoče zaznati vsako naknadno spremembo. V praksi se zahteve pogosto izpolnijo s kombinacijo identifikacije (na primer z MitID) in kriptografskega pečatenja dokumenta. AES ima bistveno večjo dokazno vrednost kot enostavni podpis in je standardna izbira za dokumente, kot so pogodbe o zaposlitvi in pogodbe o obdelavi podatkov.

Pisni načrt v oceni tveganja na delovnem mestu, ki opisuje, kako bo podjetje rešilo težave, ki jih je razkrilo kartiranje. Za vsako težavo mora načrt navesti, kaj bo storjeno, kdo je odgovoren in do kdaj mora biti rešena. Akcijski načrt je zakonska zahteva, ocena tveganja brez njega ni popolna. Zahteva se tudi spremljanje izvajanja, da lahko podjetje dokaže, da so bili ukrepi dejansko izvedeni in delujejo.

Formalno sodelovanje na področju varnosti in zdravja pri delu med vodstvom in zaposlenimi, obvezno v danskih podjetjih z 10 ali več zaposlenimi. AMO sestavlja ena ali več skupin za delovno okolje z izvoljenim predstavnikom zaposlenih in imenovanim nadzornikom. Člani morajo v 3 mesecih po izvolitvi opraviti obvezno 3-dnevno usposabljanje o delovnem okolju. V podjetjih z manj kot 10 zaposlenimi mora varnost in zdravje pri delu potekati v neposrednem sodelovanju med delodajalcem in zaposlenimi.

Elektronski dokaz, da so določeni podatki obstajali v določenem trenutku. V kontekstu podpisovanja in skladnosti časovni žig poveže zgoščeno vrednost dokumenta z določenim trenutkom, kar omogoča dokazati, kdaj je bil dokument podpisan ali evidentiran. eIDAS ureja kvalificirane elektronske časovne žige, ki jih izdajajo odobreni ponudniki storitev zaupanja in za katere velja domneva točnosti. Zanesljivi časovni žigi so pomembni tudi v revizijskih sledeh, na primer za dokazovanje, da je bila kršitev varstva podatkov prijavljena v 72 urah.

Danski nadzorni organ za varstvo podatkov, ki nadzoruje skladnost z GDPR in danskim zakonom o varstvu podatkov. Obravnava pritožbe državljanov, izvaja preglede pri podjetjih in organih, prejema prijave kršitev varstva podatkov ter objavlja smernice in predloge. Lahko izrazi kritiko, izda odredbo in predlaga globo, na Danskem globe za kršitve GDPR praviloma določajo sodišča na podlagi kazenske ovadbe. Njegove smernice so dobro izhodišče, kadar malo ali srednje podjetje vzpostavlja svojo dokumentacijo GDPR.

Danski organ, ki nadzoruje spoštovanje zakona o delovnem okolju. Izvaja tako najavljene kot nenajavljene inšpekcijske preglede in lahko izda odredbe za izboljšave, takojšnje odredbe in prepovedi ter predlaga globe. Med pregledi običajno zahteva oceno tveganja, letno razpravo o delovnem okolju in dokumentacijo organizacije za delovno okolje. Podjetja, ki imajo urejeno pisno dokumentacijo, veliko lažje opravijo inšpekcijski pregled.

Danski zakon, ki izvaja Direktivo EU o žvižgačih (2019/1937), veljaven od decembra 2021. Zasebnim podjetjem s 50 ali več zaposlenimi in večini javnih delodajalcev nalaga vzpostavitev notranjega sistema za prijave, zahteva od 17. decembra 2023 velja tudi za podjetja s 50-249 zaposlenimi. Zakon ščiti prijavitelje pred povračilnimi ukrepi ter zahteva zaupnost, potrditev prejema v 7 dneh in povratno informacijo v 3 mesecih. Kršitve lahko privedejo do globe in odškodninske odgovornosti.

Dokumenti, ki jih mora nov zaposleni prejeti in podpisati ob nastopu dela. Najpomembnejša je pogodba o zaposlitvi: po danskem zakonu o potrdilu o zaposlitvi iz leta 2023 morajo biti bistveni pogoji zagotovljeni pisno najpozneje 7 koledarskih dni po prvem delovnem dnevu, preostalo pa v enem mesecu. Običajno se dodajo izjava o zaupnosti, politika IT in varstva podatkov, predaja opreme, potrditev seznanjenosti s priročnikom za zaposlene ter obvestilo o zasebnosti po GDPR glede obdelave podatkov zaposlenih. Digitalno podpisovanje z revizijsko sledjo olajša dokazovanje, da je bilo vse pravočasno predano in sprejeto.

Pisna pogodba, ki jo člen 28 GDPR zahteva med upravljavcem in obdelovalcem. Določati mora predmet in trajanje obdelave, vrste podatkov, obveznosti obdelovalca, varnostne zahteve, pravila za podobdelovalce ter pomoč pri kršitvah varstva podatkov in zahtevah za dostop. Brez veljavne pogodbe o obdelavi podatkov je nezakonito, da bi zunanji ponudnik obdeloval osebne podatke v imenu podjetja. Danski Urad za varstvo podatkov je objavil standardno predlogo, ki jo mnoga mala in srednja podjetja uporabljajo kot izhodišče.

Ocena učinka, ki jo zahteva člen 35 GDPR, kadar obdelava verjetno pomeni veliko tveganje za posameznike, na katere se nanašajo osebni podatki, na primer sistematično spremljanje, obsežna obdelava občutljivih podatkov ali nova tehnologija, kot je prepoznavanje obrazov. Ocena mora opisati obdelavo, oceniti nujnost in sorazmernost, kartirati tveganja in določiti ukrepe za njihovo zmanjšanje. Če tveganja ni mogoče zmanjšati, je treba pred začetkom obdelave posvetovati z organom za varstvo podatkov. Danski organ za varstvo podatkov je objavil seznam dejavnosti, ki vedno zahtevajo DPIA.

Digitalni sistem, ki ga morajo delodajalci uporabiti za prijavo nesreč pri delu danskemu Uradu za delovno okolje in danskemu Zavarovanju za poklicne poškodbe (Arbejdsmarkedets Erhvervssikring). Do sistema EASY se dostopa prek Virk.dk z uporabo podjetniškega MitID Erhverv, ena sama prijava pa se samodejno posreduje pristojnim organom in po potrebi zavarovalnici. Prijava prek sistema EASY je obvezna, papirni obrazci niso sprejeti. Priporočljivo je dejstva o nesreči takoj interno zabeležiti, da je prijavo v EASY mogoče pravilno izpolniti v roku.

Uredba EU o elektronski identifikaciji in storitvah zaupanja (910/2014), ki vzpostavlja skupna pravila za elektronske podpise, žige in časovne žige po vsej EU. eIDAS določa tri ravni elektronskih podpisov (enostavni (SES), napredni (AES) in kvalificirani (QES)) ter določa, da podpisu ni mogoče odreči pravnega učinka zgolj zato, ker je elektronski. Uredba je bila posodobljena z uredbo eIDAS 2.0, ki med drugim uvaja evropsko denarnico digitalne identitete. Za mala in srednja podjetja eIDAS pomeni, da je mogoče dokumente, kot so pogodbe o zaposlitvi, veljavno podpisati digitalno.

Evidenca dejavnosti obdelave, ki jo morajo v skladu s členom 30 GDPR voditi upravljavci in obdelovalci. Opisovati mora namene obdelave, kategorije posameznikov in podatkov, prejemnike, morebitne prenose v tretje države, roke hrambe in varnostne ukrepe. Biti mora pisna, redno posodobljena in na zahtevo predložena nadzornemu organu za varstvo podatkov. Izjema za podjetja z manj kot 250 zaposlenimi je ozka, zato mora v praksi evidenco voditi skoraj vsako podjetje.

Od 1. julija 2024 morajo danski delodajalci upravljati objektiven, zanesljiv in dostopen sistem, ki beleži dnevni delovni čas vsakega zaposlenega. Zahteva izhaja iz spremembe danskega zakona o delovnem času, ki izvaja sodno prakso Sodišča EU, in mora omogočiti preverjanje spoštovanja 48-urnega pravila in pravil o počitku. Evidence je treba hraniti 5 let, zaposleni pa morajo imeti dostop do lastnih podatkov. Tako imenovani samoorganizatorji so lahko izvzeti, vendar je izjema ozka in mora biti navedena v pogodbi o zaposlitvi.

Uredba EU o varstvu osebnih podatkov, ki velja od 25. maja 2018 in jo na Danskem dopolnjuje danski zakon o varstvu podatkov. GDPR določa zahteve glede tega, kako podjetja zbirajo, uporabljajo, hranijo in brišejo osebne podatke, ter posameznikom, na katere se podatki nanašajo, daje vrsto pravic. Podjetja morajo biti sposobna dokazati skladnost, tako imenovano načelo odgovornosti. Kršitve se lahko kaznujejo z globo do 20 milijonov evrov ali 4 % svetovnega letnega prometa.

Mednarodni standard za sisteme upravljanja informacijske varnosti (ISMS). Zahteva, da organizacija sistematično prepozna svoja tveganja informacijske varnosti in jih obvladuje s politikami, kontrolami in nenehnim izboljševanjem; katalog kontrol je v Prilogi A in podrobneje razdelan v standardu ISO 27002. Certificiranje izvaja akreditiran certifikacijski organ in je prostovoljno, vendar ga stranke in javna naročila vse pogosteje zahtevajo. Za mala in srednja podjetja je polna certifikacija pogosto predimenzionirana, vendar so načela: ocena tveganja, upravljanje dostopa, beleženje in pripravljenost na izredne razmere, dober zgled za varnostno delo.

Posebna ocena tveganja, ki jo morajo danski delodajalci pripraviti, kadar zaposleni delajo z nevarnimi kemičnimi snovmi in materiali ali so jim lahko izpostavljeni. Leta 2019 je nadomestila prejšnja navodila za uporabo na delovnem mestu in mora opisovati nevarnosti, izpostavljenost, preventivne ukrepe in zahteve glede usposabljanja. Ocena mora biti pisna, redno posodobljena, zaposleni pa morajo biti seznanjeni z njenimi ugotovitvami. Ključna podlaga so varnostni listi dobavitelja.

Letni načrt, ki ponavljajoče se naloge podjetja na področju skladnosti razporedi čez celo koledarsko leto, tako da nič ni pozabljeno ali se ne kopiči. Tipične točke vključujejo letno razpravo o delovnem okolju, spremljanje izvajanja akcijskega načrta iz ocene tveganja, pregled evidence po členu 30 in rokov hrambe, testiranje odziva na kršitev varstva podatkov, revizijo pogodb o obdelavi podatkov in posodobitev priročnika za zaposlene. Koledar spremeni skladnost v tekočo rutino z jasnimi odgovornimi osebami in roki namesto letnega gašenja požarov. Prav tako je dober dokaz za nadzorne organe, da podjetje deluje sistematično.

Varnostni incident, ki povzroči nenamerno ali nezakonito uničenje, izgubo, spremembo ali nepooblaščen dostop do osebnih podatkov, na primer e-pošta, poslana napačnemu prejemniku, izgubljen prenosnik ali hekerski napad. Kršitev je treba praviloma prijaviti organu za varstvo podatkov v 72 urah, razen če ni verjetno, da predstavlja tveganje za posameznike. Pri visokem tveganju je treba obvestiti tudi prizadete osebe. Vsako kršitev, tudi neprijavljeno, je treba dokumentirati v notranji evidenci.

Obvezen sestanek, ki ga mora vsak danski delodajalec z zaposlenimi izvesti vsaj enkrat letno, na katerem vodstvo in zaposleni pregledajo delovno okolje. Razprava mora oceniti preteklo leto, določiti cilje in ukrepe za prihodnje leto ter presoditi, ali sodelovanje na področju varnosti in zdravja deluje. Podjetja brez formalne organizacije za delovno okolje morajo danskemu Uradu za delovno okolje pisno dokazati, da je razprava potekala. Naravno se povezuje s spremljanjem izvajanja ocene tveganja.

Danska nacionalna digitalna identiteta, ki je nadomestila NemID in se uporablja za prijavo v javne storitve, banke in zasebne storitve. MitID je priglašen po eIDAS in se lahko uporabi za identifikacijo podpisnika v postopku elektronskega podpisovanja, s čimer se podpis dvigne na napredno raven (AES). Podjetja uporabljajo MitID Erhverv za delovanje v imenu podjetja, na primer v sistemu EASY in na Virk.dk. Pri podpisovanju dokumentov prijava z MitID zagotavlja močan dokaz o tem, kdo je dejansko podpisal.

Nenaden dogodek v zvezi z delom, ki povzroči telesno poškodbo, na primer padec, zmečkanina ali akutna preobremenitev. Delodajalec mora nesrečo digitalno prijaviti v sistemu EASY, če povzroči odsotnost, ki presega dan poškodbe, prijava pa mora biti vložena najpozneje 14 dni po prvem dnevu odsotnosti. Prijaviti je treba tudi nesreče, ki lahko upravičujejo odškodnino po zakonu o poklicnih poškodbah. Neprijava se lahko kaznuje z globo, nesreče pa je treba vedno spremljati s preventivnimi ukrepi v oceni tveganja.

Direktiva EU o kibernetski varnosti (2022/2555), ki zaostruje varnostne zahteve za omrežja in informacijske sisteme za bistvene in pomembne subjekte v številnih sektorjih, na primer v energetiki, prometu, zdravstvu, digitalni infrastrukturi in živilski industriji. Zajeta podjetja morajo vzpostaviti obvladovanje tveganj, obravnavati varnost dobavne verige in poročati o pomembnih incidentih organom, pri čemer za neskladnost grozijo znatne globe; vodstvo je lahko osebno odgovorno. NIS2 se običajno nanaša na srednje velika in velika podjetja v zajetih sektorjih, vendar so manjši dobavitelji posredno prizadeti tudi prek zahtev strank. Na Danskem je bila direktiva prenesena z zakonom, ki velja od 1. julija 2025.

Posebne kategorije osebnih podatkov po členu 9 GDPR: rasno ali etnično poreklo, politično, versko ali filozofsko prepričanje, članstvo v sindikatu, genetski in biometrični podatki, podatki o zdravju ter podatki o spolnem življenju ali spolni usmerjenosti. Obdelava je privzeto prepovedana in zahteva posebno izjemo, na primer izrecno privolitev ali nujnost po delovnem pravu. Občutljivi podatki zahtevajo poostreno varnost, po danskem pravu pa za osebne identifikacijske številke in kazenske evidence veljajo lastna posebna pravila. Mnogi primeri na področju kadrovanja in prijave nepravilnosti vsebujejo občutljive podatke in zato potrebujejo dodatno zaščito.

Podjetje ali oseba, ki obdeluje osebne podatke v imenu upravljavca in po njegovih navodilih, na primer ponudnik oblačnih storitev, obračun plač ali kadrovski sistem. Obdelovalec podatkov ne sme uporabljati za lastne namene in mora izpolnjevati zahteve GDPR glede varnosti in zaupnosti. Razmerje mora urejati pisna pogodba o obdelavi podatkov. Če obdelovalec uporablja podizvajalce (podobdelovalce), je potrebno dovoljenje upravljavca.

Obvezna ocena delovnega okolja, ki jo mora vsak danski delodajalec z zaposlenimi izvesti vsaj vsaka 3 leta in ob vsaki bistveni spremembi dela. Sestavljena je iz štirih korakov: kartiranje delovnega okolja, ocena težav, pisni akcijski načrt in spremljanje izvajanja. Zahteva izhaja iz člena 15a danskega zakona o delovnem okolju, danski Urad za delovno okolje pa jo lahko zahteva na vpogled ob inšpekcijskem nadzoru. Metoda je prepuščena delodajalcu, rezultat pa mora biti pisen in dostopen zaposlenim.

Vsakršno neugodno obravnavanje prijavitelja zaradi prijave, na primer odpuščanje, degradacija, nadlegovanje, slabše naloge ali izključitev iz napredovanja. Zakon o žvižgačih prepoveduje povračilne ukrepe, nezakonite pa so tudi grožnje in poskusi povračilnih ukrepov. Če je prijavitelj kljub temu deležen povračilnih ukrepov, ima pravico do odškodnine, dokazno breme pa se lahko obrne, tako da mora delodajalec dokazati, da obravnava ni bila posledica prijave. Zaščita velja, kadar je prijavitelj v dobri veri verjel v točnost informacij.

Pravice, ki jih GDPR daje posameznikom, katerih podatki se obdelujejo: pravica do obveščenosti, dostopa, popravka, izbrisa (pravica do pozabe), omejitve obdelave, prenosljivosti podatkov in ugovora, ter varstvo pred izključno avtomatiziranimi odločitvami z bistvenimi učinki. Podjetje mora imeti postopke, da na zahteve odgovori v enem mesecu. Pravice niso absolutne; izbris se lahko na primer zavrne, če je treba podatke hraniti v skladu z zakonom o računovodstvu. Slabo ravnanje s temi pravicami je eden najpogostejših razlogov za pritožbe organom za varstvo podatkov.

Prenos osebnih podatkov v države zunaj EU/EGP, na primer kadar podjetje uporablja ameriško storitev v oblaku. Prenos zahteva veljaven mehanizem prenosa po poglavju V GDPR: sklep Evropske komisije o ustreznosti (kot je okvir EU-ZDA za zasebnost podatkov), standardne pogodbene klavzule (SCC) ali zavezujoča poslovna pravila. Po sodbi Schrems II mora podjetje tudi oceniti, ali je raven varstva v državi prejemnici dejansko ustrezna. Prenosi v tretje države morajo biti navedeni v evidenci po členu 30 in v politiki zasebnosti.

Zbirni opis pravil, politik in praktičnih zadev za zaposlene v podjetju, na primer delovnega časa, prijave bolezni, dopusta, politike IT in varstva podatkov, politike o substancah in smernic proti žaljivemu vedenju. Priročnik ni zakonsko obvezen, vendar zbira dokumentacijo, ki jo zahtevajo drugi predpisi, in ustvarja jasnost o tem, kaj velja. Določbe v priročniku lahko imajo delovnopravni učinek, zato je treba bistvene spremembe ustrezno sporočiti. Dobra praksa je, da zaposleni digitalno potrdijo, da so prebrali trenutno različico.

Ena od šestih pravnih podlag GDPR za obdelavo osebnih podatkov. Veljavna privolitev mora biti prostovoljna, konkretna, informirana in nedvoumna: dana z aktivnim dejanjem, na primer z označitvijo polja, ki ni vnaprej označeno. Posameznik lahko privolitev kadar koli prekliče, preklic pa mora biti enako preprost kot dajanje privolitve. Podjetje mora biti sposobno dokazati, da je bila privolitev pravilno pridobljena, v delovnih razmerjih pa je privolitev redko primerna, ker neravnovesje moči vzbuja dvom o prostovoljnosti.

Del ocene tveganja na delovnem mestu, ki obravnava psihosocialno delovno okolje: delovno obremenitev, nejasne zahteve, ustrahovanje, nadlegovanje, nasilje in žaljivo vedenje. To ni neobvezen dodatek, psihosocialni dejavniki morajo biti v APV vedno vključeni skupaj s fizičnimi tveganji. Pravila so bila pojasnjena z danskim izvršilnim odlokom o psihosocialnem delovnem okolju iz leta 2020. Mnoga podjetja jih kartirajo z anonimnimi vprašalniki, da zaposleni lahko odgovarjajo iskreno.

Najvišja raven podpisa po eIDAS: napredni elektronski podpis, ustvarjen s kvalificiranim sredstvom za ustvarjanje podpisov in temelječ na kvalificiranem potrdilu, ki ga izda odobren ponudnik storitev zaupanja. QES ima enak pravni učinek kot lastnoročni podpis po vsej EU in je priznan med državami članicami. Zahteva se le v posebnih primerih, kadar zakon določa formalne zahteve, za običajne poslovne dogovore običajno zadostuje AES ali SES. V zameno se dokazno breme dejansko obrne: pri QES mora stranka, ki izpodbija podpis, dokazati, da ni pristen.

Kronološki, pred spreminjanjem zaščiten zapis dogodkov v sistemu: kdo je kaj naredil, kdaj in s katerega naslova. V postopku podpisovanja revizijska sled dokumentira na primer, kdaj je bil dokument poslan, odprt in podpisan ter kako je bil podpisnik identificiran. Zapis je ključen za dokazno vrednost elektronskih podpisov in za izkazovanje skladnosti z GDPR, na primer kdo je imel dostop do občutljivih zadev. Dober revizijski dnevnik po nastanku ni mogoče urejati in se hrani ločeno od podatkov, ki jih opisuje.

Roki, ki jih podjetje določi za to, kako dolgo se različne vrste osebnih podatkov hranijo, preden se izbrišejo ali anonimizirajo. Načelo omejitve shranjevanja po GDPR zahteva, da se podatki ne hranijo dlje, kot je potrebno za namen. Roki morajo biti dokumentirani (običajno v evidenci po členu 30 in politiki izbrisa) in jih je treba v praksi dejansko izvajati. Nekateri roki izhajajo iz druge zakonodaje, na primer iz danskega zakona o računovodstvu, ki zahteva hrambo računovodskih evidenc 5 let.

Standardne pogodbe Evropske komisije, ki jih lahko podjetja uporabijo kot mehanizem prenosa, kadar se osebni podatki pošiljajo v države zunaj EU/EGP brez sklepa o ustreznosti. Sedanje SCC iz leta 2021 so na voljo v modulih, ki zajemajo različne kombinacije upravljavcev in obdelovalcev. Klavzule morajo biti podpisane nespremenjene, po sodbi Schrems II pa jih je treba dopolniti z oceno zakonodaje države prejemnice in po potrebi z dodatnimi zaščitnimi ukrepi, kot je šifriranje. V praksi so SCC najpogosteje uporabljen mehanizem prenosa za mala in srednja podjetja.

Osnovna raven podpisa po eIDAS: podatki v elektronski obliki, priloženi drugim elektronskim podatkom in ki jih podpisnik uporabi za podpis, na primer natipkano ime pod e-pošto, skenirana slika podpisa ali klik na gumb za sprejem. SES je pravno veljaven za veliko večino pogodb na Danskem, kjer velja svoboda oblike. Njegova dokazna vrednost pa je odvisna od tega, kako dobro je mogoče dokazati, kdo je podpisal in da dokument ni bil spremenjen. Zato SES znatno okrepita revizijska sled in kriptografski zgoščeni odtis dokumenta.

Kriptografski prstni odtis dokumenta, izračunan s funkcijo zgoščevanja, kot je SHA-256. Že najmanjša sprememba v dokumentu (en sam znak) povzroči popolnoma drugačno zgoščeno vrednost, in praktično je nemogoče ustvariti drug dokument z enako zgoščeno vrednostjo. Ko je dokument elektronsko podpisan, se njegova zgoščena vrednost shrani, tako da je pozneje mogoče dokazati, da podpisani dokument ni bil spremenjen. Zgoščena vrednost ne razkriva ničesar o vsebini dokumenta, zato jo je mogoče prosto deliti kot dokazilo celovitosti.

Notranji kanal, kjer lahko zaposleni in druge osebe, povezane z delom, zaupno prijavijo kršitve zakona in resne zadeve, na primer goljufijo, podkupovanje, kršitve GDPR ali spolno nadlegovanje. Sistem mora imeti nepristransko enoto, ki potrdi prejem v 7 dneh in poda povratno informacijo v 3 mesecih. Identiteta prijavitelja mora biti zaščitena, do primerov pa smejo dostopati le osebe, ki to nujno potrebujejo. Sistem mora biti pisno opisan, zaposleni pa morajo imeti enostaven dostop do informacij o njegovi uporabi.

Dogodek, ki bi lahko povzročil delovno nesrečo, a se nihče ni poškodoval, na primer orodje, ki pade poleg zaposlenega, ali zdrs, ki se tik ne konča s padcem. Skoraj nesreč ni treba prijaviti oblastem, vendar so eno najpomembnejših orodij za preprečevanje. S sistematičnim beleženjem in analizo lahko podjetje odpravi tveganja, preden povzročijo pravo nesrečo. Vzorci skoraj nesreč morajo biti del dela na oceni tveganja.

Podjetje, organ ali oseba, ki določa namene in sredstva obdelave osebnih podatkov. Upravljavec nosi glavno odgovornost za skladnost z GDPR: pravno podlago, obveznosti glede preglednosti, varnost, dokumentacijo in pravice posameznikov, na katere se nanašajo osebni podatki. Delodajalec je na primer upravljavec kadrovskih podatkov svojih zaposlenih. Če upravljavec za obdelavo uporablja zunanje ponudnike, mora z njimi skleniti pogodbe o obdelavi podatkov.

Zahteva posameznika, da izve, katere osebne podatke o njem obdeluje podjetje, pravica po členu 15 GDPR. Podjetje mora razkriti namene, kategorije podatkov, prejemnike in obdobje hrambe ter zagotoviti kopijo podatkov. Odgovor je treba podati brez nepotrebnega odlašanja in najpozneje v enem mesecu po prejemu; rok se pri zapletenih zahtevah lahko podaljša za dva meseca. Odgovor je za posameznika praviloma brezplačen.

Pravna podlaga po členu 6(1)(f) GDPR, ki podjetju omogoča obdelavo običajnih osebnih podatkov, če njegovi zakoniti interesi prevladajo nad interesi in pravicami posameznika. Ta podlaga zahteva dokumentiran preizkus tehtanja interesov (tako imenovano oceno zakonitega interesa) obdelava pa mora biti nujna za namen. Tipični primeri so neposredno trženje obstoječim strankam, IT-varnost in notranja administracija. Posameznik ima vedno pravico do ugovora zoper obdelavo, ki temelji na zakonitem interesu.