Γλωσσάρι συμμόρφωσης

Το ενδιάμεσο επίπεδο υπογραφής που ορίζεται στο άρθρο 26 του eIDAS. Μια προηγμένη ηλεκτρονική υπογραφή πρέπει να συνδέεται μοναδικά με τον υπογράφοντα, να μπορεί να τον ταυτοποιήσει, να έχει δημιουργηθεί με μέσα που βρίσκονται υπό τον αποκλειστικό έλεγχο του υπογράφοντος και να συνδέεται με το έγγραφο έτσι ώστε κάθε μεταγενέστερη αλλαγή να μπορεί να εντοπιστεί. Στην πράξη, οι απαιτήσεις συχνά πληρούνται συνδυάζοντας την ταυτοποίηση (για παράδειγμα μέσω MitID) με την κρυπτογραφική σφράγιση του εγγράφου. Μια AES έχει σημαντικά ισχυρότερη αποδεικτική αξία από μια απλή υπογραφή και είναι η τυπική επιλογή για έγγραφα όπως συμβάσεις εργασίας και συμβάσεις επεξεργασίας δεδομένων.

Η επίσημη συνεργασία για την υγεία και ασφάλεια στην εργασία μεταξύ διοίκησης και εργαζομένων, υποχρεωτική στις δανικές εταιρείες με 10 ή περισσότερους εργαζομένους. Η AMO αποτελείται από μία ή περισσότερες ομάδες εργασιακού περιβάλλοντος με έναν εκλεγμένο εκπρόσωπο εργαζομένων και έναν διορισμένο επόπτη. Τα μέλη πρέπει να ολοκληρώσουν την υποχρεωτική 3ήμερη εκπαίδευση εργασιακού περιβάλλοντος εντός 3 μηνών από την εκλογή τους. Σε εταιρείες με λιγότερους από 10 εργαζομένους, η υγεία και ασφάλεια πρέπει να αντιμετωπίζεται με άμεση συνεργασία εργοδότη και προσωπικού.

Η γραπτή σύμβαση που το άρθρο 28 του GDPR απαιτεί μεταξύ ενός υπευθύνου επεξεργασίας και ενός εκτελούντος την επεξεργασία. Πρέπει να καθορίζει το αντικείμενο και τη διάρκεια της επεξεργασίας, τους τύπους δεδομένων, τις υποχρεώσεις του εκτελούντος, τις απαιτήσεις ασφαλείας, τους κανόνες για τους υπο-εκτελούντες και τη βοήθεια σε περιπτώσεις παραβιάσεων δεδομένων και αιτημάτων πρόσβασης. Χωρίς έγκυρη DPA είναι παράνομο να επιτρέπεται σε έναν προμηθευτή να επεξεργάζεται προσωπικά δεδομένα για λογαριασμό της εταιρείας. Η δανική Αρχή Προστασίας Δεδομένων έχει δημοσιεύσει ένα τυποποιημένο υπόδειγμα που πολλές ΜμΕ χρησιμοποιούν ως αφετηρία.

Μια εκτίμηση αντικτύπου που απαιτείται από το άρθρο 35 του GDPR όταν μια πράξη επεξεργασίας ενδέχεται να ενέχει υψηλό κίνδυνο για τα υποκείμενα των δεδομένων, για παράδειγμα συστηματική παρακολούθηση, επεξεργασία ευαίσθητων δεδομένων σε μεγάλη κλίμακα ή νέες τεχνολογίες όπως η αναγνώριση προσώπου. Η εκτίμηση πρέπει να περιγράφει την επεξεργασία, να αξιολογεί την αναγκαιότητα και την αναλογικότητα, να χαρτογραφεί τους κινδύνους και να καθορίζει μέτρα μετριασμού. Εάν ο κίνδυνος δεν μπορεί να μειωθεί, πρέπει να ζητηθεί η γνώμη της αρχής προστασίας δεδομένων πριν από την έναρξη της επεξεργασίας. Η δανική Αρχή Προστασίας Δεδομένων έχει δημοσιεύσει κατάλογο πράξεων που πάντα απαιτούν DPIA.

Το ψηφιακό σύστημα που οι δανοί εργοδότες πρέπει να χρησιμοποιούν για την αναφορά εργατικών ατυχημάτων στη Δανική Αρχή Εργασιακού Περιβάλλοντος και στον δανικό Ασφαλιστικό Φορέα Εργατικών Ατυχημάτων (Arbejdsmarkedets Erhvervssikring). Η πρόσβαση στο EASY γίνεται μέσω του Virk.dk με το εταιρικό MitID Erhverv, και μία μόνο αναφορά διαβιβάζεται αυτόματα στις αρμόδιες αρχές και, όπου χρειάζεται, στον ασφαλιστή. Η αναφορά μέσω EASY είναι υποχρεωτική, δεν γίνονται δεκτά έντυπα σε χαρτί. Καλή πρακτική είναι να καταγράφονται αμέσως εσωτερικά τα στοιχεία του ατυχήματος, ώστε η αναφορά στο EASY να συμπληρωθεί σωστά εντός της προθεσμίας.

Ο κανονισμός της ΕΕ για την ηλεκτρονική ταυτοποίηση και τις υπηρεσίες εμπιστοσύνης (910/2014), που δημιουργεί κοινούς κανόνες για τις ηλεκτρονικές υπογραφές, σφραγίδες και χρονοσφραγίδες σε όλη την ΕΕ. Ο eIDAS ορίζει τρία επίπεδα ηλεκτρονικών υπογραφών (απλή (SES), προηγμένη (AES) και εγκεκριμένη (QES)) και καθορίζει ότι μια υπογραφή δεν μπορεί να στερηθεί νομικής ισχύος μόνο επειδή είναι ηλεκτρονική. Ο κανονισμός επικαιροποιήθηκε με τον eIDAS 2.0, ο οποίος εισάγει, μεταξύ άλλων, ένα ευρωπαϊκό πορτοφόλι ψηφιακής ταυτότητας. Για τις ΜμΕ, ο eIDAS σημαίνει ότι έγγραφα όπως οι συμβάσεις εργασίας μπορούν να υπογράφονται έγκυρα ψηφιακά.

Ο κανονισμός της ΕΕ για την προστασία των προσωπικών δεδομένων, που ισχύει από τις 25 Μαΐου 2018 και συμπληρώνεται στη Δανία από τον δανικό Νόμο για την Προστασία Δεδομένων. Ο GDPR θέτει απαιτήσεις για τον τρόπο με τον οποίο οι εταιρείες συλλέγουν, χρησιμοποιούν, αποθηκεύουν και διαγράφουν προσωπικά δεδομένα, και παρέχει στα υποκείμενα των δεδομένων μια σειρά δικαιωμάτων. Οι εταιρείες πρέπει να μπορούν να τεκμηριώσουν τη συμμόρφωσή τους, η λεγόμενη αρχή της λογοδοσίας. Οι παραβάσεις μπορούν να τιμωρηθούν με πρόστιμο έως 20 εκατομμύρια ευρώ ή το 4% του παγκόσμιου ετήσιου κύκλου εργασιών.

Το διεθνές πρότυπο για συστήματα διαχείρισης ασφάλειας πληροφοριών (ISMS). Απαιτεί ο οργανισμός να εντοπίζει συστηματικά τους κινδύνους ασφάλειας πληροφοριών του και να τους διαχειρίζεται μέσω πολιτικών, ελέγχων και συνεχούς βελτίωσης· ο κατάλογος ελέγχων βρίσκεται στο Παράρτημα Α και αναπτύσσεται λεπτομερώς στο ISO 27002. Η πιστοποίηση πραγματοποιείται από διαπιστευμένο φορέα πιστοποίησης και είναι εθελοντική, αλλά ζητείται όλο και περισσότερο από πελάτες και σε δημόσιους διαγωνισμούς. Για τις ΜμΕ, η πλήρης πιστοποίηση είναι συχνά υπερβολική, αλλά οι αρχές: εκτίμηση κινδύνου, έλεγχος πρόσβασης, καταγραφή και ετοιμότητα έναντι περιστατικών, αποτελούν καλό πρότυπο για την εργασία ασφαλείας.

Η εθνική ψηφιακή ταυτότητα της Δανίας, που αντικατέστησε το NemID και χρησιμοποιείται για σύνδεση σε δημόσιες υπηρεσίες, τράπεζες και ιδιωτικές υπηρεσίες. Το MitID είναι κοινοποιημένο βάσει του eIDAS και μπορεί να χρησιμοποιηθεί για την ταυτοποίηση του υπογράφοντος σε μια διαδικασία ηλεκτρονικής υπογραφής, ανεβάζοντας την υπογραφή στο προηγμένο επίπεδο (AES). Οι εταιρείες χρησιμοποιούν το MitID Erhverv για να ενεργούν εξ ονόματος της εταιρείας, για παράδειγμα στο σύστημα EASY και στο Virk.dk. Κατά την υπογραφή εγγράφων, μια σύνδεση MitID παρέχει ισχυρή απόδειξη για το ποιος πράγματι υπέγραψε.

Η οδηγία της ΕΕ για την κυβερνοασφάλεια (2022/2555), που ενισχύει τις απαιτήσεις ασφαλείας για τα δίκτυα και τα συστήματα πληροφοριών για βασικές και σημαντικές οντότητες σε πολλούς τομείς, όπως ενέργεια, μεταφορές, υγεία, ψηφιακή υποδομή και τρόφιμα. Οι εταιρείες που καλύπτονται πρέπει να εφαρμόσουν διαχείριση κινδύνου, να αντιμετωπίσουν την ασφάλεια της αλυσίδας εφοδιασμού και να αναφέρουν σημαντικά περιστατικά στις αρχές, με σημαντικά πρόστιμα για μη συμμόρφωση· η διοίκηση μπορεί να θεωρηθεί προσωπικά υπεύθυνη. Η NIS2 συνήθως ισχύει για μεσαίες και μεγάλες εταιρείες στους καλυπτόμενους τομείς, αλλά και οι μικρότεροι προμηθευτές επηρεάζονται έμμεσα μέσω των απαιτήσεων των πελατών. Στη Δανία η οδηγία έχει ενσωματωθεί με νόμο που ισχύει από την 1η Ιουλίου 2025.

Το υψηλότερο επίπεδο υπογραφής βάσει του eIDAS: μια προηγμένη ηλεκτρονική υπογραφή που δημιουργείται με εγκεκριμένη διάταξη δημιουργίας υπογραφής και βασίζεται σε εγκεκριμένο πιστοποιητικό που εκδίδεται από εγκεκριμένο πάροχο υπηρεσιών εμπιστοσύνης. Μια QES έχει την ίδια νομική ισχύ με μια χειρόγραφη υπογραφή σε όλη την ΕΕ και αναγνωρίζεται σε όλα τα κράτη μέλη. Απαιτείται μόνο σε ειδικές περιπτώσεις όπου ο νόμος επιβάλλει τυπικές απαιτήσεις, για συνήθεις επιχειρηματικές συμφωνίες συνήθως αρκεί μια AES ή SES. Σε αντάλλαγμα, το βάρος απόδειξης ουσιαστικά αντιστρέφεται: με μια QES, το μέρος που αμφισβητεί την υπογραφή πρέπει να αποδείξει ότι δεν είναι γνήσια.

Οι τυποποιημένες συμβάσεις της Ευρωπαϊκής Επιτροπής που οι εταιρείες μπορούν να χρησιμοποιήσουν ως μηχανισμό διαβίβασης όταν προσωπικά δεδομένα αποστέλλονται σε χώρες εκτός ΕΕ/ΕΟΧ χωρίς απόφαση επάρκειας. Οι τρέχουσες SCC του 2021 διατίθενται σε ενότητες που καλύπτουν διαφορετικούς συνδυασμούς υπευθύνων και εκτελούντων την επεξεργασία. Οι ρήτρες πρέπει να υπογράφονται χωρίς τροποποιήσεις, και μετά την απόφαση Schrems II πρέπει να συμπληρώνονται με αξιολόγηση της νομοθεσίας της χώρας παραλήπτη και, όπου χρειάζεται, με πρόσθετες διασφαλίσεις όπως η κρυπτογράφηση. Στην πράξη, οι SCC είναι ο πιο ευρέως χρησιμοποιούμενος μηχανισμός διαβίβασης για τις ΜμΕ.

Το βασικό επίπεδο υπογραφής βάσει του eIDAS: δεδομένα σε ηλεκτρονική μορφή που συνδέονται με άλλα ηλεκτρονικά δεδομένα και χρησιμοποιούνται από τον υπογράφοντα για να υπογράψει, για παράδειγμα ένα πληκτρολογημένο όνομα κάτω από ένα email, μια σαρωμένη εικόνα υπογραφής ή ένα κλικ σε κουμπί αποδοχής. Μια SES είναι νομικά έγκυρη για τη μεγάλη πλειονότητα των συμφωνιών στη Δανία, όπου ισχύει η ελευθερία τύπου. Η αποδεικτική της αξία, ωστόσο, εξαρτάται από το πόσο καλά μπορεί κανείς να τεκμηριώσει ποιος υπέγραψε και ότι το έγγραφο δεν τροποποιήθηκε. Γι' αυτό μια SES ενισχύεται σημαντικά από ένα ίχνος ελέγχου και ένα κρυπτογραφικό hash του εγγράφου.

Ένα κρυπτογραφικό αποτύπωμα ενός εγγράφου, υπολογισμένο με μια συνάρτηση κατακερματισμού όπως το SHA-256. Ακόμη και η μικρότερη αλλαγή στο έγγραφο (ένας μόνο χαρακτήρας) παράγει μια εντελώς διαφορετική τιμή hash, και είναι πρακτικά αδύνατο να κατασκευαστεί άλλο έγγραφο με το ίδιο hash. Όταν ένα έγγραφο υπογράφεται ηλεκτρονικά, το hash του αποθηκεύεται ώστε αργότερα να μπορεί να αποδειχθεί ότι το υπογεγραμμένο έγγραφο δεν έχει τροποποιηθεί. Το hash δεν αποκαλύπτει τίποτα για το περιεχόμενο του εγγράφου και επομένως μπορεί να κοινοποιείται ελεύθερα ως απόδειξη ακεραιότητας.

Ένα αίτημα ενός ατόμου να μάθει ποια προσωπικά δεδομένα επεξεργάζεται η εταιρεία για αυτό, δικαίωμα βάσει του άρθρου 15 του GDPR. Η εταιρεία πρέπει να γνωστοποιήσει τους σκοπούς, τις κατηγορίες δεδομένων, τους αποδέκτες και την περίοδο διατήρησης, και να παράσχει αντίγραφο των δεδομένων. Η απάντηση πρέπει να δίνεται χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός ενός μήνα από την παραλαβή· η προθεσμία μπορεί να παραταθεί κατά δύο μήνες για σύνθετα αιτήματα. Η απάντηση είναι κατά κανόνα δωρεάν για το υποκείμενο των δεδομένων.

Κάθε δυσμενή μεταχείριση ενός καταγγέλλοντος ως συνέπεια μιας αναφοράς, για παράδειγμα απόλυση, υποβιβασμό, παρενόχληση, χειρότερα καθήκοντα ή αποκλεισμό από προαγωγή. Ο νόμος περί καταγγελτών απαγορεύει τα αντίποινα, ενώ παράνομες είναι και οι απειλές και οι απόπειρες αντιποίνων. Εάν ο καταγγέλλων υποστεί παρ' όλα αυτά αντίποινα, δικαιούται αποζημίωση, και το βάρος απόδειξης μπορεί να μετατοπιστεί, ώστε ο εργοδότης να πρέπει να αποδείξει ότι η μεταχείριση δεν σχετιζόταν με την αναφορά. Η προστασία ισχύει όταν ο καταγγέλλων πίστευε καλόπιστα στην ακρίβεια των πληροφοριών.

Το αρχείο δραστηριοτήτων επεξεργασίας που το άρθρο 30 του GDPR επιβάλλει σε υπευθύνους και εκτελούντες την επεξεργασία να τηρούν. Πρέπει να περιγράφει τους σκοπούς της επεξεργασίας, τις κατηγορίες υποκειμένων και δεδομένων, τους αποδέκτες, τυχόν διαβιβάσεις σε τρίτες χώρες, τις περιόδους διατήρησης και τα μέτρα ασφαλείας. Πρέπει να είναι γραπτό, ενημερωμένο και να διατίθεται στην εποπτική αρχή προστασίας δεδομένων κατόπιν αιτήματος. Η εξαίρεση για εταιρείες με λιγότερους από 250 εργαζομένους είναι στενή, οπότε στην πράξη σχεδόν κάθε εταιρεία πρέπει να τηρεί αρχείο.

Η δανική αρχή που εποπτεύει τη συμμόρφωση με τον Νόμο για το Εργασιακό Περιβάλλον. Διενεργεί τόσο προαναγγελθέντες όσο και αιφνιδιαστικούς ελέγχους και μπορεί να εκδίδει εντολές βελτίωσης, άμεσες εντολές επιβολής και απαγορεύσεις, καθώς και να συστήνει πρόστιμα. Κατά τους ελέγχους ζητά συνήθως την εκτίμηση επαγγελματικού κινδύνου, την ετήσια συζήτηση για το εργασιακό περιβάλλον και την τεκμηρίωση της οργάνωσης εργασιακού περιβάλλοντος. Οι εταιρείες με τακτοποιημένη γραπτή τεκμηρίωση περνούν τους ελέγχους πολύ πιο ομαλά.

Η δανική εποπτική αρχή για την προστασία δεδομένων, που επιβλέπει τη συμμόρφωση με τον GDPR και τον δανικό Νόμο για την Προστασία Δεδομένων. Χειρίζεται καταγγελίες πολιτών, διενεργεί επιθεωρήσεις σε εταιρείες και αρχές, λαμβάνει κοινοποιήσεις παραβιάσεων δεδομένων και δημοσιεύει οδηγίες και υποδείγματα. Μπορεί να εκφράσει κριτική, να εκδώσει εντολές και να συστήσει πρόστιμα, στη Δανία τα πρόστιμα του GDPR καθορίζονται συνήθως από τα δικαστήρια μετά από αστυνομική καταγγελία. Οι οδηγίες της αποτελούν καλή αφετηρία όταν μια ΜμΕ οργανώνει την τεκμηρίωσή της για τον GDPR.

Ο δανικός νόμος που ενσωματώνει την Οδηγία της ΕΕ για τους καταγγέλτες (2019/1937), σε ισχύ από τον Δεκέμβριο του 2021. Υποχρεώνει τις ιδιωτικές εταιρείες με 50 ή περισσότερους εργαζομένους και τους περισσότερους δημόσιους εργοδότες να θεσπίσουν εσωτερικό σύστημα αναφορών. Η υποχρέωση καλύπτει και εταιρείες με 50-249 εργαζομένους από τις 17 Δεκεμβρίου 2023. Ο νόμος προστατεύει τους καταγγέλτες από αντίποινα και απαιτεί εμπιστευτικότητα, βεβαίωση παραλαβής εντός 7 ημερών και ανατροφοδότηση εντός 3 μηνών. Οι παραβάσεις μπορούν να οδηγήσουν σε πρόστιμα και ευθύνη για αποζημίωση.

Μια διαβίβαση προσωπικών δεδομένων σε χώρες εκτός ΕΕ/ΕΟΧ, για παράδειγμα όταν μια εταιρεία χρησιμοποιεί μια αμερικανική υπηρεσία cloud. Η διαβίβαση απαιτεί έγκυρο μηχανισμό διαβίβασης βάσει του κεφαλαίου V του GDPR: απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής (όπως το πλαίσιο απορρήτου δεδομένων ΕΕ-ΗΠΑ), τυποποιημένες συμβατικές ρήτρες (SCC) ή δεσμευτικούς εταιρικούς κανόνες. Μετά την απόφαση Schrems II, η εταιρεία πρέπει επίσης να αξιολογήσει εάν το επίπεδο προστασίας στη χώρα παραλήπτη είναι πράγματι επαρκές. Οι διαβιβάσεις σε τρίτες χώρες πρέπει να αναφέρονται στο αρχείο του άρθρου 30 και στην πολιτική απορρήτου.

Τα δικαιώματα που ο GDPR παρέχει στα άτομα των οποίων τα δεδομένα υφίστανται επεξεργασία: δικαίωμα ενημέρωσης, πρόσβασης, διόρθωσης, διαγραφής (δικαίωμα στη λήθη), περιορισμού της επεξεργασίας, φορητότητας των δεδομένων και εναντίωσης, καθώς και προστασία από αποκλειστικά αυτοματοποιημένες αποφάσεις με σημαντικές συνέπειες. Η εταιρεία πρέπει να διαθέτει διαδικασίες ώστε τα αιτήματα να απαντώνται εντός ενός μήνα. Τα δικαιώματα δεν είναι απόλυτα· η διαγραφή, για παράδειγμα, μπορεί να απορριφθεί εάν τα δεδομένα πρέπει να διατηρηθούν βάσει της νομοθεσίας περί λογιστικής. Ο κακός χειρισμός αυτών των δικαιωμάτων είναι μία από τις πιο συχνές αιτίες καταγγελιών στις αρχές προστασίας δεδομένων.

Η συγκεντρωτική περιγραφή της εταιρείας για τους κανόνες, τις πολιτικές και τα πρακτικά θέματα για τους εργαζομένους, όπως το ωράριο εργασίας, η αναφορά ασθένειας, οι άδειες, η πολιτική IT και προστασίας δεδομένων, η πολιτική για ουσίες και οι κατευθυντήριες γραμμές κατά της προσβλητικής συμπεριφοράς. Το εγχειρίδιο δεν απαιτείται από τον νόμο, αλλά συγκεντρώνει την τεκμηρίωση που απαιτούν άλλοι κανόνες και δημιουργεί σαφήνεια σχετικά με το τι ισχύει. Οι όροι του εγχειριδίου μπορεί να έχουν εργασιακή νομική ισχύ, οπότε οι ουσιώδεις αλλαγές πρέπει να κοινοποιούνται δεόντως. Καλή πρακτική είναι οι εργαζόμενοι να επιβεβαιώνουν ψηφιακά ότι έχουν διαβάσει την τρέχουσα έκδοση.

Εταιρεία ή πρόσωπο που επεξεργάζεται προσωπικά δεδομένα για λογαριασμό ενός υπευθύνου επεξεργασίας και σύμφωνα με τις οδηγίες του, για παράδειγμα ένας πάροχος υπηρεσιών cloud, ένα γραφείο μισθοδοσίας ή ένα σύστημα HR. Ο εκτελών την επεξεργασία δεν επιτρέπεται να χρησιμοποιεί τα δεδομένα για δικούς του σκοπούς και πρέπει να πληροί τις απαιτήσεις του GDPR για ασφάλεια και εμπιστευτικότητα. Η σχέση πρέπει να διέπεται από γραπτή σύμβαση επεξεργασίας δεδομένων. Εάν ο εκτελών χρησιμοποιεί υπεργολάβους (υπο-εκτελούντες), απαιτείται εξουσιοδότηση από τον υπεύθυνο επεξεργασίας.

Υποχρεωτική αξιολόγηση του εργασιακού περιβάλλοντος, την οποία κάθε δανός εργοδότης με προσωπικό πρέπει να διενεργεί τουλάχιστον κάθε 3 χρόνια, καθώς και όταν η εργασία αλλάζει ουσιωδώς. Περιλαμβάνει τέσσερα στάδια: χαρτογράφηση του εργασιακού περιβάλλοντος, αξιολόγηση των προβλημάτων, γραπτό σχέδιο δράσης και παρακολούθηση. Η απαίτηση προκύπτει από το άρθρο 15a του δανικού Νόμου για το Εργασιακό Περιβάλλον, και η Δανική Αρχή Εργασιακού Περιβάλλοντος μπορεί να ζητήσει να τη δει κατά τον έλεγχο. Η μέθοδος είναι στην κρίση του εργοδότη, όμως το αποτέλεσμα πρέπει να είναι γραπτό και προσβάσιμο στους εργαζομένους.

Μια νόμιμη βάση βάσει του άρθρου 6 παράγραφος 1 στοιχείο στ) του GDPR, που επιτρέπει σε μια εταιρεία να επεξεργάζεται συνήθη προσωπικά δεδομένα εάν τα έννομα συμφέροντά της υπερισχύουν των συμφερόντων και δικαιωμάτων του υποκειμένου των δεδομένων. Η βάση αυτή απαιτεί μια τεκμηριωμένη στάθμιση συμφερόντων (μια εκτίμηση έννομου συμφέροντος) και η επεξεργασία πρέπει να είναι απαραίτητη για τον σκοπό. Τυπικά παραδείγματα είναι το άμεσο μάρκετινγκ προς υφιστάμενους πελάτες, η ασφάλεια πληροφορικής και η εσωτερική διοίκηση. Το υποκείμενο των δεδομένων έχει πάντα το δικαίωμα να αντιταχθεί στην επεξεργασία που βασίζεται σε έννομο συμφέρον.

Ένα ξαφνικό συμβάν σε σχέση με την εργασία που προκαλεί σωματική βλάβη, για παράδειγμα πτώση, τραυματισμό από σύνθλιψη ή οξεία υπερκόπωση. Ο εργοδότης οφείλει να αναφέρει ψηφιακά το ατύχημα στο σύστημα EASY εάν προκαλεί απουσία πέραν της ημέρας του τραυματισμού, και η αναφορά πρέπει να υποβληθεί το αργότερο 14 ημέρες μετά την πρώτη ημέρα απουσίας. Πρέπει επίσης να αναφέρονται ατυχήματα που μπορεί να θεμελιώνουν δικαίωμα αποζημίωσης βάσει του νόμου περί εργατικών ατυχημάτων. Η μη αναφορά μπορεί να τιμωρηθεί με πρόστιμο, και τα ατυχήματα πρέπει πάντα να ακολουθούνται από προληπτικά μέτρα στην εκτίμηση κινδύνου.

Υποχρεωτική συνάντηση που κάθε δανός εργοδότης με προσωπικό πρέπει να διοργανώνει τουλάχιστον μία φορά τον χρόνο, όπου η διοίκηση και οι εργαζόμενοι επανεξετάζουν το εργασιακό περιβάλλον. Η συζήτηση πρέπει να ανασκοπεί το προηγούμενο έτος, να θέτει στόχους και πρωτοβουλίες για το επόμενο έτος και να αξιολογεί αν λειτουργεί η συνεργασία για την υγεία και ασφάλεια. Οι εταιρείες χωρίς επίσημη οργάνωση εργασιακού περιβάλλοντος πρέπει να μπορούν να τεκμηριώσουν γραπτώς στη Δανική Αρχή Εργασιακού Περιβάλλοντος ότι η συζήτηση πραγματοποιήθηκε. Συνδέεται φυσικά με την παρακολούθηση της εκτίμησης επαγγελματικού κινδύνου.

Οι ειδικές κατηγορίες προσωπικών δεδομένων του άρθρου 9 του GDPR: φυλετική ή εθνοτική καταγωγή, πολιτικά, θρησκευτικά ή φιλοσοφικά πιστεύω, συμμετοχή σε συνδικαλιστική οργάνωση, γενετικά και βιομετρικά δεδομένα, δεδομένα υγείας, καθώς και δεδομένα σχετικά με τη σεξουαλική ζωή ή τον σεξουαλικό προσανατολισμό. Η επεξεργασία απαγορεύεται εξ ορισμού και απαιτεί συγκεκριμένη εξαίρεση, όπως ρητή συγκατάθεση ή αναγκαιότητα βάσει του εργατικού δικαίου. Τα ευαίσθητα δεδομένα απαιτούν αυξημένη ασφάλεια, ενώ στο δανικό δίκαιο οι εθνικοί αριθμοί ταυτότητας και το ποινικό μητρώο διέπονται από δικούς τους ξεχωριστούς κανόνες. Πολλές υποθέσεις HR και καταγγελιών περιέχουν ευαίσθητα δεδομένα και επομένως χρειάζονται πρόσθετη προστασία.

Ένα ετήσιο πλάνο που κατανέμει τα επαναλαμβανόμενα καθήκοντα συμμόρφωσης της εταιρείας σε όλη τη διάρκεια του ημερολογιακού έτους, ώστε τίποτα να μην ξεχνιέται ή να συσσωρεύεται. Τυπικά στοιχεία περιλαμβάνουν την ετήσια συζήτηση για το εργασιακό περιβάλλον, την παρακολούθηση του σχεδίου δράσης από την εκτίμηση κινδύνου, την επανεξέταση του αρχείου του άρθρου 30 και των περιόδων διατήρησης, τη δοκιμή της αντίδρασης σε παραβίαση δεδομένων, την αναθεώρηση των συμβάσεων επεξεργασίας δεδομένων και την ενημέρωση του εγχειριδίου εργαζομένων. Το ημερολόγιο μετατρέπει τη συμμόρφωση σε συνεχή ρουτίνα με σαφείς υπεύθυνους και προθεσμίες αντί για ετήσια πυρόσβεση. Χρησιμεύει επίσης ως καλή απόδειξη προς τις εποπτικές αρχές ότι η εταιρεία εργάζεται συστηματικά.

Ένα χρονολογικό, ανθεκτικό σε παραποίηση αρχείο συμβάντων σε ένα σύστημα: ποιος έκανε τι, πότε και από ποια διεύθυνση. Σε μια διαδικασία υπογραφής, το ίχνος ελέγχου τεκμηριώνει για παράδειγμα πότε το έγγραφο στάλθηκε, ανοίχτηκε και υπογράφηκε, και πώς ταυτοποιήθηκε ο υπογράφων. Το αρχείο καταγραφής είναι κεντρικής σημασίας για την αποδεικτική αξία των ηλεκτρονικών υπογραφών και για την απόδειξη συμμόρφωσης με τον GDPR, όπως ποιος είχε πρόσβαση σε ευαίσθητες υποθέσεις. Ένα καλό ίχνος ελέγχου δεν μπορεί να επεξεργαστεί εκ των υστέρων και αποθηκεύεται χωριστά από τα δεδομένα που περιγράφει.

Από την 1η Ιουλίου 2024, οι δανοί εργοδότες πρέπει να διαθέτουν ένα αντικειμενικό, αξιόπιστο και προσβάσιμο σύστημα που καταγράφει τον ημερήσιο χρόνο εργασίας κάθε εργαζομένου. Η απαίτηση προκύπτει από την τροποποίηση του δανικού Νόμου περί Χρόνου Εργασίας που ενσωματώνει τη νομολογία του Δικαστηρίου της ΕΕ, και πρέπει να καθιστά δυνατή την επαλήθευση της τήρησης του κανόνα των 48 ωρών και των κανόνων περί αναπαύσεως. Τα αρχεία πρέπει να διατηρούνται για 5 έτη, και οι εργαζόμενοι πρέπει να έχουν πρόσβαση στα δικά τους δεδομένα. Οι λεγόμενοι αυτοοργανωμένοι εργαζόμενοι μπορούν να εξαιρεθούν, αλλά η εξαίρεση είναι στενή και πρέπει να αναφέρεται στη σύμβαση εργασίας.

Ο κανόνας του δανικού Νόμου περί Χρόνου Εργασίας σύμφωνα με τον οποίο ο μέσος εβδομαδιαίος χρόνος εργασίας ενός εργαζομένου δεν πρέπει να υπερβαίνει τις 48 ώρες, συμπεριλαμβανομένων των υπερωριών, μετρούμενος σε περίοδο αναφοράς 4 μηνών. Ο κανόνας προκύπτει από την Οδηγία της ΕΕ για τον χρόνο εργασίας και ισχύει πρακτικά για όλους τους εργαζομένους. Οι παραβάσεις μπορεί να οδηγήσουν σε αποζημίωση για τον εργαζόμενο, και από το 2024 οι εργοδότες πρέπει να μπορούν να τεκμηριώσουν τη συμμόρφωση μέσω της καταγραφής χρόνου εργασίας. Ορισμένες συλλογικές συμβάσεις επιτρέπουν, υπό συγκεκριμένες προϋποθέσεις, υψηλότερο όριο για επιλεγμένες ομάδες.

Η προθεσμία του άρθρου 33 του GDPR για την κοινοποίηση παραβίασης προσωπικών δεδομένων στην αρχή προστασίας δεδομένων: χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, το αργότερο εντός 72 ωρών αφότου η εταιρεία λάβει γνώση της παραβίασης. Η προθεσμία τρέχει και τα σαββατοκύριακα και τις αργίες. Εάν η προθεσμία παρέλθει, η κοινοποίηση πρέπει να εξηγεί την καθυστέρηση. Εάν δεν είναι διαθέσιμες εγκαίρως όλες οι πληροφορίες, η κοινοποίηση μπορεί να γίνει σταδιακά. Το σημαντικό είναι να αναφερθεί εγκαίρως ό,τι είναι γνωστό.

Ένα συμβάν που θα μπορούσε να προκαλέσει εργατικό ατύχημα, αλλά κανείς δεν τραυματίστηκε, για παράδειγμα ένα εργαλείο που πέφτει δίπλα σε έναν εργαζόμενο ή μια ολίσθηση που παραλίγο να καταλήξει σε πτώση. Τα παρ' ολίγον ατυχήματα δεν χρειάζεται να αναφέρονται στις αρχές, αλλά αποτελούν ένα από τα πιο πολύτιμα εργαλεία πρόληψης. Με τη συστηματική καταγραφή και ανάλυσή τους, μια εταιρεία μπορεί να εξαλείψει τους κινδύνους πριν προκαλέσουν πραγματικό ατύχημα. Τα μοτίβα των παρ' ολίγον ατυχημάτων πρέπει να εντάσσονται στην εκτίμηση επαγγελματικού κινδύνου.

Ένα περιστατικό ασφαλείας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή ή μη εξουσιοδοτημένη πρόσβαση σε προσωπικά δεδομένα, για παράδειγμα ένα email που στάλθηκε σε λάθος παραλήπτη, ένα χαμένο laptop ή μια επίθεση χάκερ. Μια παραβίαση πρέπει κατά κανόνα να κοινοποιείται στην αρχή προστασίας δεδομένων εντός 72 ωρών, εκτός εάν είναι απίθανο να ενέχει κίνδυνο για τα υποκείμενα των δεδομένων. Εάν ο κίνδυνος είναι υψηλός, πρέπει επίσης να ενημερώνονται τα θιγόμενα άτομα. Κάθε παραβίαση, ακόμη και αυτές που δεν κοινοποιούνται, πρέπει να τεκμηριώνεται σε εσωτερικό αρχείο καταγραφής.

Οι περίοδοι που ορίζει μια εταιρεία για το πόσο καιρό διατηρούνται οι διάφοροι τύποι προσωπικών δεδομένων πριν διαγραφούν ή ανωνυμοποιηθούν. Η αρχή του περιορισμού της περιόδου διατήρησης του GDPR απαιτεί τα δεδομένα να μη διατηρούνται περισσότερο από όσο είναι απαραίτητο για τον σκοπό. Οι περίοδοι πρέπει να τεκμηριώνονται, συνήθως στο αρχείο του άρθρου 30 και σε μια πολιτική διαγραφής, και πρέπει να εφαρμόζονται πράγματι στην πράξη. Ορισμένες περίοδοι προκύπτουν από άλλη νομοθεσία, όπως η απαίτηση του δανικού Νόμου περί Λογιστικής να διατηρούνται τα λογιστικά αρχεία για 5 έτη.

Μία από τις έξι νόμιμες βάσεις του GDPR για την επεξεργασία προσωπικών δεδομένων. Η έγκυρη συγκατάθεση πρέπει να είναι ελεύθερη, συγκεκριμένη, ενημερωμένη και σαφής, και να δίνεται με ενεργή ενέργεια, όπως η επιλογή ενός πλαισίου που δεν είναι προεπιλεγμένο. Το υποκείμενο των δεδομένων μπορεί να ανακαλέσει τη συγκατάθεσή του ανά πάσα στιγμή, και η ανάκληση πρέπει να είναι εξίσου εύκολη όσο η παροχή της. Η εταιρεία πρέπει να μπορεί να τεκμηριώσει ότι η συγκατάθεση αποκτήθηκε σωστά, ενώ σε εργασιακές σχέσεις η συγκατάθεση σπάνια είναι κατάλληλη, καθώς η ανισορροπία ισχύος αμφισβητεί την οικειοθελή φύση της.

Ένα εσωτερικό κανάλι όπου εργαζόμενοι και άλλα πρόσωπα με εργασιακή σχέση μπορούν να αναφέρουν εμπιστευτικά παραβιάσεις του νόμου και σοβαρά ζητήματα, όπως απάτη, δωροδοκία, παραβιάσεις GDPR ή σεξουαλική παρενόχληση. Το σύστημα πρέπει να διαθέτει αμερόληπτη μονάδα που επιβεβαιώνει την παραλαβή εντός 7 ημερών και παρέχει ανατροφοδότηση εντός 3 μηνών. Η ταυτότητα του καταγγέλλοντος πρέπει να προστατεύεται, και πρόσβαση στις υποθέσεις πρέπει να έχουν μόνο όσοι το χρειάζονται. Το σύστημα πρέπει να περιγράφεται γραπτώς, και οι εργαζόμενοι πρέπει να έχουν εύκολη πρόσβαση σε πληροφορίες για τη χρήση του.

Το γραπτό σχέδιο στην εκτίμηση επαγγελματικού κινδύνου που περιγράφει πώς η εταιρεία θα λύσει τα προβλήματα που εντόπισε η χαρτογράφηση. Για κάθε πρόβλημα το σχέδιο πρέπει να αναφέρει τι θα γίνει, ποιος είναι υπεύθυνος και πότε πρέπει να επιλυθεί. Το σχέδιο δράσης είναι νομική απαίτηση, μια εκτίμηση κινδύνου χωρίς αυτό δεν είναι πλήρης. Απαιτείται επίσης παρακολούθηση, ώστε η εταιρεία να μπορεί να τεκμηριώσει ότι τα μέτρα εφαρμόστηκαν πράγματι και λειτουργούν.

Τα έγγραφα που ένας νέος εργαζόμενος πρέπει να λάβει και να υπογράψει κατά την έναρξη μιας θέσης εργασίας. Το πιο σημαντικό είναι η σύμβαση εργασίας: βάσει του δανικού Νόμου περί Βεβαίωσης Απασχόλησης του 2023, οι ουσιώδεις όροι πρέπει να παρέχονται γραπτώς το αργότερο εντός 7 ημερολογιακών ημερών από την πρώτη ημέρα εργασίας, και τα υπόλοιπα εντός ενός μήνα. Συνήθως προστίθενται δήλωση εμπιστευτικότητας, πολιτική IT και προστασίας δεδομένων, παράδοση εξοπλισμού, επιβεβαίωση λήψης γνώσης του εγχειριδίου εργαζομένων και η ενημέρωση απορρήτου βάσει του GDPR για την επεξεργασία δεδομένων εργαζομένων. Η ψηφιακή υπογραφή με ίχνος ελέγχου διευκολύνει την απόδειξη ότι όλα παραδόθηκαν και έγιναν αποδεκτά εγκαίρως.

Η εταιρεία, η αρχή ή το πρόσωπο που καθορίζει τους σκοπούς και τα μέσα επεξεργασίας των προσωπικών δεδομένων. Ο υπεύθυνος επεξεργασίας φέρει την κύρια ευθύνη για τη συμμόρφωση με τον GDPR: νομική βάση, υποχρεώσεις διαφάνειας, ασφάλεια, τεκμηρίωση και τα δικαιώματα των υποκειμένων των δεδομένων. Ένας εργοδότης, για παράδειγμα, είναι υπεύθυνος επεξεργασίας για τα δεδομένα προσωπικού των εργαζομένων του. Εάν ο υπεύθυνος επεξεργασίας χρησιμοποιεί προμηθευτές για την επεξεργασία, πρέπει να συναφθούν με αυτούς συμβάσεις επεξεργασίας δεδομένων.

Ειδική εκτίμηση κινδύνου που οι δανοί εργοδότες πρέπει να εκπονούν όταν οι εργαζόμενοι εργάζονται με επικίνδυνες χημικές ουσίες και υλικά ή ενδέχεται να εκτεθούν σε αυτά. Το 2019 αντικατέστησε τα προηγούμενα δελτία οδηγιών εργασίας και πρέπει να περιγράφει τους κινδύνους, την έκθεση, τα προληπτικά μέτρα και τις απαιτήσεις εκπαίδευσης. Η εκτίμηση πρέπει να είναι γραπτή, ενημερωμένη, και οι εργαζόμενοι πρέπει να ενημερώνονται για τα ευρήματά της. Τα δελτία δεδομένων ασφαλείας του προμηθευτή αποτελούν βασική πηγή.

Ηλεκτρονική απόδειξη ότι συγκεκριμένα δεδομένα υπήρχαν σε μια συγκεκριμένη χρονική στιγμή. Στο πλαίσιο της υπογραφής και της συμμόρφωσης, μια χρονοσφραγίδα συνδέει το hash του εγγράφου με μια χρονική στιγμή, καθιστώντας δυνατή την απόδειξη του πότε ένα έγγραφο υπογράφηκε ή καταγράφηκε. Ο eIDAS ρυθμίζει τις εγκεκριμένες ηλεκτρονικές χρονοσφραγίδες, οι οποίες εκδίδονται από εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης και απολαμβάνουν τεκμήριο ακρίβειας. Οι αξιόπιστες χρονοσφραγίδες έχουν σημασία και στα ίχνη ελέγχου, για παράδειγμα για την τεκμηρίωση ότι μια παραβίαση δεδομένων κοινοποιήθηκε εντός 72 ωρών.

Το τμήμα της εκτίμησης επαγγελματικού κινδύνου που αφορά το ψυχοκοινωνικό εργασιακό περιβάλλον: φόρτο εργασίας, ασαφείς απαιτήσεις, εκφοβισμό, παρενόχληση, βία και προσβλητική συμπεριφορά. Δεν πρόκειται για προαιρετική προσθήκη, οι ψυχοκοινωνικοί παράγοντες πρέπει πάντα να περιλαμβάνονται στην APV μαζί με τους φυσικούς κινδύνους. Οι κανόνες αποσαφηνίστηκαν με τη δανική κανονιστική πράξη για το ψυχοκοινωνικό εργασιακό περιβάλλον του 2020. Πολλές εταιρείες τον χαρτογραφούν μέσω ανώνυμων ερωτηματολογίων, ώστε οι εργαζόμενοι να νιώθουν ασφαλείς να απαντούν ειλικρινά.