Slovník compliance

Pravidlo dánského zákona o pracovní době, podle kterého průměrná týdenní pracovní doba zaměstnance nesmí přesáhnout 48 hodin včetně přesčasů, měřeno za referenční období 4 měsíců. Pravidlo vychází ze směrnice EU o pracovní době a vztahuje se prakticky na všechny zaměstnance. Porušení může zaměstnanci založit nárok na náhradu a od roku 2024 musí zaměstnavatelé být schopni dodržování doložit prostřednictvím evidence pracovní doby. Některé kolektivní smlouvy umožňují za konkrétních podmínek vyšší limit pro vybrané skupiny.

Lhůta podle článku 33 GDPR pro oznámení porušení zabezpečení osobních údajů úřadu pro ochranu osobních údajů: bez zbytečného odkladu a pokud možno nejpozději do 72 hodin od okamžiku, kdy se firma o porušení dozvěděla. Lhůta běží i o víkendech a svátcích. Pokud je lhůta zmeškána, musí oznámení zpoždění zdůvodnit. Pokud nejsou všechny informace včas k dispozici, lze oznámení podat postupně. Klíčové je oznámit včas to, co je již známo.

Střední úroveň podpisu definovaná v článku 26 eIDAS. Zaručený elektronický podpis musí být jednoznačně spojen s podepisující osobou, musí ji umožňovat identifikovat, musí být vytvořen pomocí prostředků, které má podepisující osoba pod svou výhradní kontrolou, a musí být spojen s dokumentem tak, aby bylo možné zjistit jakoukoli následnou změnu. V praxi se požadavky často plní kombinací identifikace (například pomocí MitID) s kryptografickým zapečetěním dokumentu. AES má výrazně silnější důkazní hodnotu než prostý podpis a je standardní volbou pro dokumenty jako pracovní smlouvy a zpracovatelské smlouvy.

Písemný plán v posouzení rizik na pracovišti, který popisuje, jak firma vyřeší problémy odhalené zmapováním. U každého problému musí plán uvádět, co se má udělat, kdo za to odpovídá a do kdy má být vyřešen. Akční plán je zákonným požadavkem, posouzení rizik bez něj není úplné. Vyžaduje se i následné sledování, aby firma mohla doložit, že opatření byla skutečně zavedena a fungují.

Formální spolupráce v oblasti bezpečnosti a ochrany zdraví při práci mezi vedením a zaměstnanci, povinná v dánských firmách s 10 a více zaměstnanci. AMO tvoří jedna nebo více skupin pro pracovní prostředí se zvoleným zástupcem zaměstnanců a jmenovaným vedoucím. Členové musí do 3 měsíců od zvolení absolvovat povinné 3denní školení o pracovním prostředí. Ve firmách s méně než 10 zaměstnanci se má bezpečnost a ochrana zdraví řešit přímou spoluprací mezi zaměstnavatelem a zaměstnanci.

Chronologický záznam událostí v systému, odolný proti neoprávněné úpravě: kdo co udělal, kdy a z jaké adresy. V procesu podepisování auditní stopa dokumentuje například, kdy byl dokument odeslán, otevřen a podepsán a jak byla podepisující osoba identifikována. Záznam je klíčový pro důkazní hodnotu elektronických podpisů a pro prokázání souladu s GDPR, například kdo měl přístup k citlivým případům. Kvalitní auditní stopu nelze dodatečně upravovat a uchovává se odděleně od údajů, které popisuje.

Elektronický důkaz, že určitá data existovala v konkrétním okamžiku. V kontextu podepisování a compliance váže časové razítko hash dokumentu k danému okamžiku, což umožňuje prokázat, kdy byl dokument podepsán nebo zaznamenán. eIDAS upravuje kvalifikovaná elektronická časová razítka, která vydávají schválení poskytovatelé služeb vytvářejících důvěru a která požívají domněnky správnosti. Spolehlivá časová razítka jsou důležitá i v auditních stopách, například k doložení, že porušení zabezpečení údajů bylo oznámeno do 72 hodin.

Zvláštní posouzení rizik, které musí dánští zaměstnavatelé vypracovat, pokud zaměstnanci pracují s nebezpečnými chemickými látkami a materiály nebo jim mohou být vystaveni. V roce 2019 nahradilo dřívější pracovní návody a musí popisovat nebezpečnost látek, expozici, preventivní opatření a požadavky na zaškolení. Posouzení musí být písemné, průběžně aktualizované, a zaměstnanci musí být s jeho závěry seznámeni. Klíčovým podkladem jsou bezpečnostní listy dodavatele.

Zvláštní kategorie osobních údajů podle článku 9 GDPR: rasový nebo etnický původ, politické, náboženské nebo filozofické přesvědčení, členství v odborech, genetické a biometrické údaje, údaje o zdravotním stavu a údaje o sexuálním životě nebo sexuální orientaci. Zpracování je ve výchozím stavu zakázáno a vyžaduje konkrétní výjimku, například výslovný souhlas nebo nezbytnost podle pracovního práva. Citlivé údaje vyžadují zvýšené zabezpečení a podle dánského práva se rodná čísla a záznamy v rejstříku trestů řídí vlastními zvláštními pravidly. Mnoho případů v oblasti HR a whistleblowingu obsahuje citlivé údaje, a proto vyžaduje zvýšenou ochranu.

Roční plán, který rozděluje opakující se úkoly firmy v oblasti compliance do celého kalendářního roku, aby na nic nezapomnělo a nic se nehromadilo. Typickými body jsou roční projednání pracovního prostředí, sledování plnění akčního plánu z posouzení rizik, kontrola záznamu podle článku 30 a lhůt uchovávání, testování reakce na porušení zabezpečení údajů, revize zpracovatelských smluv a aktualizace personální příručky. Kalendář mění compliance na průběžnou rutinu s jasně určenými odpovědnými osobami a termíny místo každoročního hašení požárů. Zároveň slouží jako dobrý důkaz vůči dozorovým úřadům, že firma pracuje systematicky.

Dánský dozorový úřad pro ochranu osobních údajů, který dohlíží na dodržování GDPR a dánského zákona o ochraně osobních údajů. Vyřizuje stížnosti občanů, provádí kontroly u firem a orgánů veřejné správy, přijímá oznámení o porušení zabezpečení údajů a vydává metodické pokyny a vzory. Může vyslovit kritiku, vydat příkaz a navrhnout pokutu, v Dánsku o výši pokut za porušení GDPR obvykle rozhodují soudy na základě trestního oznámení. Jeho metodické materiály jsou dobrým výchozím bodem, když si malá nebo střední firma buduje dokumentaci ke GDPR.

Dánský úřad, který dohlíží na dodržování zákona o pracovním prostředí. Provádí ohlášené i neohlášené kontroly a může vydávat příkazy k nápravě, okamžité příkazy a zákazy a navrhovat pokuty. Při kontrole obvykle žádá o předložení APV, roční projednání pracovního prostředí a dokumentaci organizace pracovního prostředí. Firmy, které mají písemnou dokumentaci v pořádku, kontrolou projdou mnohem snadněji.

Dánský zákon provádějící směrnici EU o whistleblowingu (2019/1937), účinný od prosince 2021. Ukládá soukromým firmám s 50 a více zaměstnanci a většině veřejných zaměstnavatelů zřídit vnitřní systém pro oznamování, od 17. prosince 2023 se povinnost vztahuje i na firmy s 50-249 zaměstnanci. Zákon chrání oznamovatele před odvetnými opatřeními a vyžaduje důvěrnost, potvrzení přijetí do 7 dnů a zpětnou vazbu do 3 měsíců. Porušení může vést k pokutě a odpovědnosti za škodu.

Dokumenty, které musí nový zaměstnanec obdržet a podepsat při nástupu do zaměstnání. Nejdůležitější je pracovní smlouva: podle dánského zákona o potvrzení o zaměstnání z roku 2023 musí být podstatné podmínky poskytnuty písemně nejpozději do 7 kalendářních dnů od prvního pracovního dne a zbytek do jednoho měsíce. Obvykle se přidává prohlášení o mlčenlivosti, politika IT a ochrany osobních údajů, předání vybavení, potvrzení o seznámení s personální příručkou a informace podle GDPR o zpracování osobních údajů zaměstnanců. Digitální podepisování s auditní stopou usnadňuje prokázání, že vše bylo předáno a přijato včas.

Písemná smlouva, kterou článek 28 GDPR vyžaduje mezi správcem a zpracovatelem. Musí vymezovat předmět a dobu trvání zpracování, druhy údajů, povinnosti zpracovatele, bezpečnostní požadavky, pravidla pro subzpracovatele a součinnost při databrudech a žádostech o přístup. Bez platné zpracovatelské smlouvy je nezákonné nechat dodavatele zpracovávat osobní údaje jménem firmy. Dánský Úřad pro ochranu osobních údajů zveřejnil standardní vzor, ze kterého vychází mnoho malých a středních podniků.

Posouzení vlivu vyžadované článkem 35 GDPR, pokud zpracování pravděpodobně představuje vysoké riziko pro subjekty údajů: například systematické sledování, rozsáhlé zpracování citlivých údajů nebo nová technologie jako rozpoznávání obličeje. Posouzení musí popisovat zpracování, vyhodnotit nezbytnost a přiměřenost, zmapovat rizika a stanovit zmírňující opatření. Pokud riziko nelze snížit, musí být před zahájením zpracování konzultován úřad pro ochranu osobních údajů. Dánský úřad pro ochranu osobních údajů zveřejnil seznam operací, které vždy vyžadují DPIA.

Digitální systém, který musí zaměstnavatelé použít k nahlášení pracovních úrazů dánskému Úřadu pro pracovní prostředí a Úřadu pro pracovní úrazy (Arbejdsmarkedets Erhvervssikring). Do systému EASY se přistupuje přes Virk.dk pomocí firemního MitID Erhverv a jediné hlášení se automaticky odešle příslušným úřadům a případně pojišťovně. Nahlášení přes EASY je povinné, papírové formuláře se nepřijímají. Je vhodné si fakta o úrazu ihned interně zaznamenat, aby bylo možné hlášení v EASY vyplnit správně a v termínu.

Nařízení EU o elektronické identifikaci a službách vytvářejících důvěru (910/2014), které vytváří společná pravidla pro elektronické podpisy, pečetě a časová razítka v celé EU. eIDAS definuje tři úrovně elektronických podpisů (prostý (SES), zaručený (AES) a kvalifikovaný (QES)) a stanoví, že podpisu nelze upřít právní účinek jen proto, že má elektronickou podobu. Nařízení bylo aktualizováno prostřednictvím eIDAS 2.0, které mimo jiné zavádí evropskou digitální identitu (peněženku). Pro malé a střední firmy znamená eIDAS, že dokumenty jako pracovní smlouvy lze platně podepsat digitálně.

Od 1. července 2024 musí dánští zaměstnavatelé provozovat objektivní, spolehlivý a přístupný systém, který zaznamenává denní pracovní dobu každého zaměstnance. Požadavek vyplývá z novely dánského zákona o pracovní době, provádějící judikaturu Soudního dvora EU, a musí umožnit ověření dodržování 48hodinového pravidla a pravidel o odpočinku. Záznamy musí být uchovávány po dobu 5 let a zaměstnanci musí mít přístup ke svým vlastním údajům. Takzvaní samořídící pracovníci mohou být z evidence vyňati, avšak výjimka je úzká a musí být uvedena v pracovní smlouvě.

Nařízení EU o ochraně osobních údajů, účinné od 25. května 2018, doplněné v Dánsku dánským zákonem o ochraně osobních údajů. GDPR stanovuje požadavky na to, jak firmy shromažďují, používají, uchovávají a mažou osobní údaje, a dává subjektům údajů řadu práv. Firmy musí být schopny doložit svůj soulad s nařízením, tzv. zásadu odpovědnosti. Porušení lze pokutovat až do výše 20 milionů eur nebo 4 % celosvětového ročního obratu.

Mezinárodní norma pro systémy řízení bezpečnosti informací (ISMS). Vyžaduje, aby organizace systematicky identifikovala svá rizika v oblasti bezpečnosti informací a řídila je prostřednictvím politik, kontrol a neustálého zlepšování; katalog kontrol je uveden v příloze A a podrobněji rozveden v normě ISO 27002. Certifikaci provádí akreditovaný certifikační orgán a je dobrovolná, avšak zákazníci a zadavatelé veřejných zakázek ji stále více vyžadují. Pro malé a střední firmy je plná certifikace často předimenzovaná, ale principy: posouzení rizik, řízení přístupu, protokolování a havarijní připravenost, jsou dobrým vzorem pro práci na bezpečnosti.

Lhůty, které firma stanoví pro to, jak dlouho jsou různé druhy osobních údajů uchovávány, než jsou smazány nebo anonymizovány. Zásada omezení uložení podle GDPR vyžaduje, aby údaje nebyly uchovávány déle, než je nezbytné pro daný účel. Lhůty musí být zdokumentovány (typicky v záznamu podle článku 30 a v politice mazání) a musí být v praxi skutečně dodržovány. Některé lhůty vyplývají z jiných právních předpisů, například z dánského zákona o účetnictví, který vyžaduje uchovávání účetních záznamů po dobu 5 let.

Dánská národní digitální identita, která nahradila NemID a používá se k přihlašování do veřejných služeb, bank a soukromých služeb. MitID je notifikováno podle eIDAS a lze jej použít k identifikaci podepisující osoby v procesu elektronického podepisování, čímž se podpis povyšuje na zaručenou úroveň (AES). Firmy používají MitID Erhverv k jednání jménem firmy, například v systému EASY a na Virk.dk. Při podepisování dokumentů poskytuje přihlášení pomocí MitID silný důkaz o tom, kdo skutečně podepsal.

Směrnice EU o kybernetické bezpečnosti (2022/2555), která zpřísňuje bezpečnostní požadavky na sítě a informační systémy pro klíčové a důležité subjekty v mnoha odvětvích: například v energetice, dopravě, zdravotnictví, digitální infrastruktuře a potravinářství. Dotčené firmy musí zavést řízení rizik, řešit bezpečnost dodavatelského řetězce a hlásit významné incidenty úřadům, přičemž za nedodržení hrozí citelné pokuty; vedení může být osobně odpovědné. NIS2 se obvykle vztahuje na střední a velké firmy v dotčených odvětvích, avšak menší dodavatelé jsou nepřímo zasaženi prostřednictvím požadavků zákazníků. V Dánsku byla směrnice provedena zákonem s účinností od 1. července 2025.

Jakékoli nevýhodné zacházení s oznamovatelem v důsledku oznámení: například propuštění, degradace, obtěžování, horší úkoly nebo vyloučení z povýšení. Zákon o whistleblowingu zakazuje odvetná opatření a nezákonné jsou i hrozby a pokusy o ně. Pokud je oznamovatel přesto vystaven odvetným opatřením, má nárok na náhradu a důkazní břemeno se může obrátit, takže zaměstnavatel musí prokázat, že zacházení nesouviselo s oznámením. Ochrana platí, pokud byl oznamovatel v dobré víře ohledně správnosti informací.

Právní základ podle článku 6 odst. 1 písm. f) GDPR, který firmě umožňuje zpracovávat běžné osobní údaje, pokud její oprávněné zájmy převažují nad zájmy a právy subjektu údajů. Tento základ vyžaduje zdokumentované vyvážení zájmů (tzv. test oprávněného zájmu) a zpracování musí být pro daný účel nezbytné. Typickými příklady jsou přímý marketing vůči stávajícím zákazníkům, IT bezpečnost a interní administrativa. Subjekt údajů má vždy právo vznést námitku proti zpracování založenému na oprávněném zájmu.

Souhrnný popis pravidel, politik a praktických záležitostí pro zaměstnance ve firmě: například pracovní doby, hlášení nemoci, dovolené, IT a politiky ochrany osobních údajů, politiky vůči návykovým látkám a pokynů proti urážlivému chování. Příručka není ze zákona povinná, ale shromažďuje dokumentaci, kterou vyžadují jiné předpisy, a vytváří jasnost ohledně toho, co platí. Ustanovení v příručce mohou mít pracovněprávní účinek, proto musí být podstatné změny řádně oznámeny. Osvědčeným postupem je nechat zaměstnance digitálně potvrdit, že přečetli aktuální verzi.

Bezpečnostní incident vedoucí k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému přístupu k osobním údajům: například e-mail zaslaný špatnému příjemci, ztracený notebook nebo hackerský útok. Porušení musí být zpravidla oznámeno úřadu pro ochranu osobních údajů do 72 hodin, pokud není nepravděpodobné, že představuje riziko pro subjekty údajů. Při vysokém riziku musí být informovány i dotčené osoby. Každé porušení, včetně těch neoznámených, musí být zdokumentováno v interním evidenčním záznamu.

Povinné posouzení pracovního prostředí, které musí každý dánský zaměstnavatel se zaměstnanci provádět nejméně jednou za 3 roky, a vždy když dojde k podstatné změně práce. Skládá se ze čtyř kroků: zmapování pracovního prostředí, posouzení problémů, písemný akční plán a následné sledování. Požadavek vychází z §15a dánského zákona o pracovním prostředí a dánský Úřad pro pracovní prostředí si jej může při kontrole vyžádat. Metoda zjišťování je na zaměstnavateli, výsledek však musí být písemný a dostupný zaměstnancům.

Náhlá událost v souvislosti s prací, která způsobí újmu na zdraví: například pád, pohmoždění nebo akutní přetížení. Zaměstnavatel má povinnost úraz digitálně nahlásit v systému EASY, pokud vede k absenci nad rámec dne úrazu, a hlášení musí podat nejpozději do 14 dnů od prvního dne absence. Hlásit se musí i úrazy, které mohou zakládat nárok na odškodnění podle zákona o pracovních úrazech. Nenahlášení lze pokutovat a úrazy by měly být vždy následovány preventivními opatřeními v APV.

Práva, která GDPR přiznává osobám, jejichž údaje jsou zpracovávány: právo na informace, přístup, opravu, výmaz (právo být zapomenut), omezení zpracování, přenositelnost údajů a vznesení námitky, a dále ochranu proti čistě automatizovaným rozhodnutím s významnými účinky. Firma musí mít nastavené postupy, aby na žádosti odpověděla do jednoho měsíce. Práva nejsou absolutní; výmaz lze například odmítnout, pokud musí být údaje uchovávány podle zákona o účetnictví. Špatné zacházení s těmito právy je jednou z nejčastějších příčin stížností podávaných úřadům pro ochranu osobních údajů.

Předání osobních údajů do zemí mimo EU/EHP, například když firma využívá americkou cloudovou službu. Předání vyžaduje platný právní nástroj podle kapitoly V GDPR: rozhodnutí Evropské komise o odpovídající ochraně (jako je rámec EU-USA pro ochranu údajů), standardní smluvní doložky (SCC) nebo závazná podniková pravidla. Po rozsudku Schrems II musí firma navíc posoudit, zda je úroveň ochrany v přijímající zemi skutečně dostatečná. Předání do třetích zemí musí být uvedeno v záznamu podle článku 30 a v zásadách ochrany osobních údajů.

Ta část posouzení rizik na pracovišti, která se týká psychosociálního pracovního prostředí: pracovní zátěže, nejasných požadavků, šikany, obtěžování, násilí a ponižujícího chování. Nejde o dobrovolný doplněk. Psychosociální faktory musí být v APV vždy zahrnuty vedle fyzických rizik. Pravidla byla upřesněna dánskou vyhláškou o psychosociálním pracovním prostředí z roku 2020. Mnoho firem je mapuje pomocí anonymních dotazníků, aby se zaměstnanci cítili bezpečně odpovídat upřímně.

Nejvyšší úroveň podpisu podle eIDAS: zaručený elektronický podpis vytvořený pomocí kvalifikovaného prostředku pro vytváření podpisů a založený na kvalifikovaném certifikátu vydaném schváleným poskytovatelem služeb vytvářejících důvěru. QES má stejné právní účinky jako vlastnoruční podpis v celé EU a je uznáván napříč členskými státy. Vyžaduje se pouze ve zvláštních případech, kdy zákon stanoví formální požadavky, pro běžné obchodní dohody obvykle postačuje AES nebo SES. Naproti tomu důkazní břemeno se u QES fakticky obrací: strana, která zpochybňuje podpis, musí prokázat, že není pravý.

Povinná schůzka, kterou musí každý dánský zaměstnavatel se zaměstnanci uspořádat alespoň jednou ročně a na níž vedení a zaměstnanci hodnotí pracovní prostředí. Projednání má zhodnotit uplynulý rok, stanovit cíle a opatření pro nadcházející rok a posoudit, zda spolupráce v oblasti bezpečnosti a ochrany zdraví funguje. Firmy bez formální organizace pracovního prostředí musí být schopny písemně doložit dánskému Úřadu pro pracovní prostředí, že se projednání konalo. Přirozeně navazuje na sledování plnění APV.

Standardní smlouvy Evropské komise, které firmy mohou použít jako nástroj pro předání osobních údajů do zemí mimo EU/EHP bez rozhodnutí o odpovídající ochraně. Současné SCC z roku 2021 jsou rozděleny do modulů pokrývajících různé kombinace správců a zpracovatelů. Doložky musí být podepsány beze změn a po rozsudku Schrems II musí být doplněny posouzením právního řádu přijímající země a případně dalšími zárukami, jako je šifrování. V praxi jsou SCC nejpoužívanějším nástrojem pro předávání údajů u malých a středních podniků.

Základní úroveň podpisu podle eIDAS: data v elektronické podobě připojená k jiným elektronickým datům a použitá podepisující osobou k podpisu: například napsané jméno pod e-mailem, naskenovaný obrázek podpisu nebo kliknutí na tlačítko přijetí. SES je právně platný pro naprostou většinu smluv v Dánsku, kde platí smluvní volnost formy. Jeho důkazní hodnota však závisí na tom, jak dobře lze doložit, kdo podepsal a že dokument nebyl pozměněn. Proto SES výrazně posiluje auditní stopa a kryptografický hash dokumentu.

Kryptografický otisk dokumentu vypočtený pomocí hashovací funkce, jako je SHA-256. I ta nejmenší změna v dokumentu (jediný znak) vytvoří zcela odlišnou hodnotu hashe a je prakticky nemožné sestrojit jiný dokument se stejným hashem. Při elektronickém podepsání dokumentu se jeho hash uloží, aby bylo možné později prokázat, že podepsaný dokument nebyl pozměněn. Hash neprozrazuje nic o obsahu dokumentu, a lze jej proto volně sdílet jako důkaz neporušenosti.

Událost, která mohla vést k pracovnímu úrazu, ale nikdo nebyl zraněn: například nářadí spadne vedle zaměstnance nebo uklouznutí, které jen tak tak nekončí pádem. Skoronehody se úřadům nehlásí, ale patří k nejdůležitějším nástrojům prevence. Systematickým zaznamenáváním a analýzou lze odstranit rizika dříve, než způsobí skutečný úraz. Vzorce ve skoronehodách by měly být zahrnuty do práce na APV.

Jeden ze šesti právních základů GDPR pro zpracování osobních údajů. Platný souhlas musí být svobodný, konkrétní, informovaný a jednoznačný, a udělený aktivním krokem, například zaškrtnutím políčka, které není předem zaškrtnuté. Subjekt údajů může souhlas kdykoli odvolat, a odvolání musí být stejně snadné jako jeho udělení. Firma musí být schopna doložit, že souhlas byl řádně získán, a v pracovněprávních vztazích je souhlas jen zřídka vhodný, protože nerovnováha sil zpochybňuje jeho dobrovolnost.

Firma, orgán nebo osoba, která určuje účely a prostředky zpracování osobních údajů. Správce nese hlavní odpovědnost za soulad s GDPR: právní základ, informační povinnosti, zabezpečení, dokumentaci a práva subjektů údajů. Zaměstnavatel je například správcem personálních údajů svých zaměstnanců. Pokud správce využívá pro zpracování dodavatele, musí s nimi uzavřít zpracovatelské smlouvy.

Interní kanál, kde mohou zaměstnanci a další osoby s pracovní vazbou důvěrně oznámit porušení zákona a závažné skutečnosti: například podvod, úplatkářství, porušení GDPR nebo sexuální obtěžování. Systém musí mít nestrannou jednotku, která potvrdí přijetí do 7 dnů a poskytne zpětnou vazbu do 3 měsíců. Totožnost oznamovatele musí být chráněna a k případům smí mít přístup jen osoby, které to nezbytně potřebují. Systém musí být písemně popsán a zaměstnanci musí mít snadný přístup k informacím o jeho používání.

Žádost jednotlivce o informace, jaké osobní údaje o něm firma zpracovává, právo podle článku 15 GDPR. Firma musí sdělit účely, kategorie údajů, příjemce a dobu uchovávání a poskytnout kopii údajů. Odpověď musí být poskytnuta bez zbytečného odkladu a nejpozději do jednoho měsíce od přijetí žádosti; lhůtu lze u komplexních žádostí prodloužit o dva měsíce. Odpověď je pro subjekt údajů zpravidla bezplatná.

Záznam o činnostech zpracování, který musí podle článku 30 GDPR vést správci i zpracovatelé. Musí popisovat účely zpracování, kategorie subjektů údajů a údajů, příjemce, případné předávání do třetích zemí, lhůty pro uchovávání a bezpečnostní opatření. Musí být písemný, průběžně aktualizovaný a na vyžádání předložitelný dozorovému úřadu pro ochranu osobních údajů. Výjimka pro firmy s méně než 250 zaměstnanci je úzká, takže v praxi by záznam měla vést téměř každá firma.

Firma nebo osoba, která zpracovává osobní údaje jménem správce a podle jeho pokynů: například poskytovatel cloudu, mzdová účtárna nebo HR systém. Zpracovatel nesmí údaje využívat pro vlastní účely a musí splňovat požadavky GDPR na zabezpečení a důvěrnost. Vztah musí upravovat písemná zpracovatelská smlouva. Pokud zpracovatel využívá subdodavatele (subzpracovatele), je nutný souhlas správce.