Vaatimustenmukaisuuden sanasto

Tanskan työaikalain sääntö, jonka mukaan työntekijän keskimääräinen viikoittainen työaika ei saa ylittää 48 tuntia ylityöt mukaan lukien, mitattuna neljän kuukauden ajanjaksolta. Sääntö perustuu EU:n työaikadirektiiviin ja koskee lähes kaikkia työntekijöitä. Rikkomus voi johtaa korvaukseen työntekijälle, ja vuodesta 2024 alkaen työnantajien on voitava osoittaa noudattaminen työajan kirjaamisella. Yksittäiset työehtosopimukset sallivat erityisissä olosuhteissa korkeamman rajan tietyille ryhmille.

GDPR:n 33 artiklan mukainen määräaika henkilötietojen tietoturvaloukkauksen ilmoittamiseksi tietosuojaviranomaiselle: ilman aiheetonta viivytystä ja mahdollisuuksien mukaan viimeistään 72 tunnin kuluessa siitä, kun yritys on saanut tiedon loukkauksesta. Määräaika kuluu myös viikonloppuisin ja pyhäpäivinä. Jos se ylittyy, viivästys on perusteltava ilmoituksessa. Jos yrityksellä ei ole kaikkia tietoja määräajassa, ilmoitus voidaan tehdä vaiheittain – tärkeintä on ilmoittaa tiedossa oleva ajoissa.

eIDAS:n 26 artiklan mukainen keskitason allekirjoitus. Kehittyneen sähköisen allekirjoituksen on oltava yksiselitteisesti yhdistetty allekirjoittajaan, kyettävä tunnistamaan hänet, luotu keinoilla, jotka ovat yksinomaan allekirjoittajan hallinnassa, ja yhdistetty asiakirjaan siten, että kaikki myöhemmät muutokset voidaan havaita. Käytännössä vaatimukset täytetään usein yhdistämällä tunnistaminen (esimerkiksi MitID:llä) asiakirjan kryptografiseen sinetöintiin. AES antaa huomattavasti vahvemman todistusvoiman kuin yksinkertainen allekirjoitus ja on vakiovalinta esimerkiksi työsopimuksiin ja tietojenkäsittelysopimuksiin.

Sähköinen todiste siitä, että tietyt tiedot ovat olleet olemassa tiettynä ajankohtana. Allekirjoitus- ja vaatimustenmukaisuuskontekstissa aikaleima sitoo asiakirjan tiivisteen kellonaikaan, jotta voidaan todistaa, milloin asiakirja allekirjoitettiin tai rekisteröitiin. eIDAS säätelee hyväksyttyjä sähköisiä aikaleimoja, jotka myöntävät hyväksytyt luottamuspalveluntarjoajat ja joilla on oikeellisuusolettama. Luotettavat aikaleimat ovat tärkeitä myös auditointilokeissa, esimerkiksi osoittamaan, että tietoturvaloukkaus ilmoitettiin 72 tunnin kuluessa.

Muodollinen yhteistyö työsuojelusta johdon ja työntekijöiden välillä, joka on pakollista tanskalaisissa yrityksissä, joissa on vähintään 10 työntekijää. AMO koostuu yhdestä tai useammasta työsuojeluryhmästä, joissa on valittu työsuojeluvaltuutettu ja nimetty esimies. Jäsenten on suoritettava pakollinen kolmen päivän työsuojelukoulutus kolmen kuukauden kuluessa valinnasta. Alle 10 työntekijän yrityksissä työsuojelutyö tehdään sen sijaan työnantajan ja työntekijöiden suorassa yhteistyössä.

GDPR:n 9 artiklan mukaiset erityiset henkilötietoryhmät: rotu ja etninen alkuperä, poliittiset, uskonnolliset tai filosofiset vakaumukset, ammattiliiton jäsenyys, geneettiset ja biometriset tiedot, terveystiedot sekä seksuaalista käyttäytymistä tai suuntautumista koskevat tiedot. Käsittely on pääsääntöisesti kielletty ja edellyttää erityistä poikkeusta, kuten nimenomaista suostumusta tai työoikeudellista välttämättömyyttä. Arkaluonteiset tiedot edellyttävät tehostettua tietoturvaa, ja Tanskan lainsäädännössä henkilötunnuksia ja rikostuomiotietoja koskevat omat erityissääntönsä. Monet HR- ja ilmoitusasiat sisältävät arkaluonteisia tietoja, ja ne on siksi suojattava erityisen hyvin.

Kronologinen, muuttumaton tapahtumien tallenne järjestelmässä: kuka teki mitä, milloin ja mistä osoitteesta. Allekirjoitusprosessissa auditointiloki dokumentoi esimerkiksi, milloin asiakirja lähetettiin, avattiin ja allekirjoitettiin, ja miten allekirjoittaja tunnistettiin. Loki on keskeinen sähköisten allekirjoitusten todistusvoiman ja GDPR-vaatimustenmukaisuuden osoittamisen kannalta, esimerkiksi sen suhteen, kenellä on ollut pääsy arkaluonteisiin tapauksiin. Hyvää auditointilokia ei voi muokata jälkikäteen, ja se säilytetään erillään kuvaamastaan datasta.

Vuosisuunnitelma, joka jakaa yrityksen toistuvat vaatimustenmukaisuustehtävät kalenterivuodelle niin, ettei mikään unohdu tai kasaudu. Tyypillisiä kohtia ovat vuosittainen työsuojelukeskustelu, riskinarvioinnin toimintasuunnitelman seuranta, 30 artiklan selosteen ja säilytysaikojen tarkistaminen, tietoturvaloukkauksiin varautumisen testaaminen, tietojenkäsittelysopimusten päivittäminen ja henkilöstökäsikirjan ajantasaistaminen. Vuosikello tekee vaatimustenmukaisuudesta jatkuvan rutiinin, jolla on selkeät vastuuhenkilöt ja määräajat, sen sijaan että se olisi vuosittainen paniikki. Se on samalla hyvä dokumentaatio valvontaviranomaisille siitä, että yritys toimii järjestelmällisesti.

Tietosuojaa koskeva vaikutustenarviointi, jota GDPR:n 35 artikla edellyttää, kun käsittelyyn todennäköisesti liittyy korkea riski rekisteröidyille – esimerkiksi järjestelmällinen valvonta, arkaluonteisten tietojen laajamittainen käsittely tai uusi teknologia kuten kasvojentunnistus. Arvioinnissa on kuvattava käsittely, arvioitava tarpeellisuus ja oikeasuhtaisuus, kartoitettava riskit ja määritettävä lieventävät toimenpiteet. Jos riskiä ei voida vähentää, tietosuojaviranomaista on kuultava ennen käsittelyn aloittamista. Tanska on julkaissut luettelon käsittelyistä, jotka aina edellyttävät DPIA:n.

Sähköinen järjestelmä, jota tanskalaisten työnantajien on käytettävä työtapaturmien ilmoittamiseen työsuojeluviranomaiselle ja työmarkkinoiden tapaturmavakuutukselle. EASY-järjestelmään kirjaudutaan Virk.dk-palvelun kautta yrityksen MitID Erhverv -tunnuksilla, ja yksi ilmoitus lähetetään automaattisesti oikeille viranomaisille ja tarvittaessa vakuutusyhtiölle. Ilmoittaminen EASY-järjestelmässä on pakollista – paperilomakkeita ei hyväksytä. On hyvä käytäntö kirjata tapaturman tosiasiat sisäisesti heti, jotta EASY-ilmoitus voidaan täyttää oikein määräajassa.

EU:n asetus sähköisestä tunnistamisesta ja luottamuspalveluista (910/2014), joka luo yhteiset säännöt sähköisille allekirjoituksille, sineteille ja aikaleimoille koko EU:ssa. eIDAS määrittelee kolme sähköisen allekirjoituksen tasoa – yksinkertaisen (SES), kehittyneen (AES) ja hyväksytyn (QES) – ja vahvistaa, ettei allekirjoitukselta voida evätä todistusvoimaa pelkästään siksi, että se on sähköinen. Asetusta on päivitetty eIDAS 2.0:lla, joka muun muassa ottaa käyttöön eurooppalaisen digitaalisen identiteettilompakon. Pk-yrityksille eIDAS tarkoittaa, että esimerkiksi työsopimukset voidaan allekirjoittaa pätevästi sähköisesti.

Yrityksen kokoava kuvaus säännöistä, käytännöistä ja käytännön asioista työntekijöille – kuten työaika, sairauspoissaolot, lomat, IT- ja tietosuojakäytäntö, päihdepolitiikka ja ohjeet loukkaavaa käytöstä vastaan. Käsikirja ei ole lakisääteinen, mutta se kokoaa dokumentaation, jota muut säännöt edellyttävät, ja luo selkeyttä siitä, mitä sovelletaan. Käsikirjan ehdoilla voi olla työoikeudellisia vaikutuksia, joten olennaiset muutokset on ilmoitettava asianmukaisesti. Hyvä käytäntö on antaa työntekijöiden kuitata sähköisesti, että he ovat lukeneet voimassa olevan version.

Yritys tai henkilö, joka käsittelee henkilötietoja rekisterinpitäjän puolesta ja tämän ohjeiden mukaisesti – esimerkiksi pilvipalveluntarjoaja, palkanlaskentatoimisto tai HR-järjestelmä. Henkilötietojen käsittelijä ei saa käyttää tietoja omiin tarkoituksiinsa ja sen on täytettävä GDPR:n tietoturva- ja luottamuksellisuusvaatimukset. Suhde on säänneltävä kirjallisella tietojenkäsittelysopimuksella. Jos käsittelijä käyttää itse alihankkijoita (alikäsittelijöitä), se edellyttää rekisterinpitäjän hyväksynnän.

Tietoturvapoikkeama, joka johtaa henkilötietojen vahingossa tapahtuvaan tai lainvastaiseen tuhoutumiseen, häviämiseen, muuttamiseen tai luvattomaan pääsyyn – esimerkiksi väärälle vastaanottajalle lähetetty sähköposti, kadonnut kannettava tietokone tai hakkerointi. Loukkaus on pääsääntöisesti ilmoitettava tietosuojaviranomaiselle 72 tunnin kuluessa, ellei se todennäköisesti aiheuta riskiä rekisteröidyille. Jos riski on suuri, myös asianomaisille henkilöille on ilmoitettava. Kaikki loukkaukset – myös ne, joita ei ilmoiteta – on dokumentoitava sisäiseen rekisteriin.

Sisäinen kanava, jonka kautta työntekijät ja muut työhön liittyvässä asemassa olevat voivat luottamuksellisesti ilmoittaa lain rikkomisista ja vakavista asioista – esimerkiksi petoksista, lahjonnasta, GDPR-rikkomuksista tai seksuaalisesta häirinnästä. Järjestelmällä on oltava puolueeton ilmoitusyksikkö, joka vahvistaa vastaanoton 7 päivän kuluessa ja antaa palautetta 3 kuukauden kuluessa. Ilmoittajan henkilöllisyys on suojattava, ja pääsy tapauksiin on annettava vain niille, joilla on siihen tarve. Järjestelmä on kuvattava kirjallisesti, ja työntekijöillä on oltava helppo pääsy tietoon sen käytöstä.

Kansainvälinen standardi tietoturvallisuuden hallintajärjestelmille (ISMS). Standardi edellyttää, että organisaatio tunnistaa järjestelmällisesti tietoturvariskinsä ja hallitsee niitä politiikkojen, kontrollien ja jatkuvan parantamisen avulla; kontrolliluettelo on liitteessä A ja sitä käsitellään tarkemmin standardissa ISO 27002. Sertifioinnin suorittaa akkreditoitu sertifiointielin, ja se on vapaaehtoista, mutta asiakkaat ja tarjouskilpailut vaativat sitä yhä enemmän. Pk-yrityksille täysi ISO 27001 -sertifiointi on usein ylimitoitettu, mutta periaatteet – riskinarviointi, pääsynhallinta, lokitus ja häiriötilanteisiin varautuminen – ovat hyvä esikuva tietoturvatyölle.

Erillinen riskinarviointi, joka tanskalaisten työnantajien on laadittava, kun työntekijät työskentelevät vaarallisten kemiallisten aineiden ja materiaalien kanssa tai voivat altistua niille. Se korvasi vuonna 2019 aiemmat työpaikkakohtaiset käyttöohjeet ja sen on kuvattava muun muassa aineiden vaarallisuus, altistuminen, ehkäisevät toimenpiteet ja koulutusvaatimukset. Arvioinnin on oltava kirjallinen, pidettävä ajan tasalla, ja työntekijöille on annettava tietoa tuloksista. Toimittajan käyttöturvallisuustiedote on tärkeä perusta työlle.

Tapahtuma, joka olisi voinut johtaa työtapaturmaan mutta jossa kukaan ei loukkaantunut – esimerkiksi työkalu, joka putoaa työntekijän viereen, tai liukastuminen, joka ei aivan johda kaatumiseen. Läheltä piti -tilanteita ei tarvitse ilmoittaa viranomaisille, mutta ne ovat yksi tärkeimmistä ennaltaehkäisyn välineistä. Kirjaamalla ja analysoimalla niitä järjestelmällisesti yritys voi poistaa riskit ennen kuin ne aiheuttavat todellisen onnettomuuden. Läheltä piti -tilanteiden mallien tulisi vaikuttaa riskinarviointiin.

Tanskan kansallinen digitaalinen tunnistautumisväline, joka korvasi NemID:n ja jota käytetään kirjautumiseen julkishallinnon, pankkien ja yksityisten palveluiden palveluihin. MitID on ilmoitettu eIDAS-asetuksen mukaisesti, ja sitä voidaan käyttää allekirjoittajan tunnistamiseen sähköisessä allekirjoitusprosessissa, mikä nostaa allekirjoituksen kehittyneelle tasolle (AES). Yritykset käyttävät MitID Erhverviä toimiakseen yrityksen puolesta, esimerkiksi EASY-järjestelmässä ja Virk.dk-palvelussa. Asiakirjan allekirjoituksessa MitID-kirjautuminen dokumentoi vahvasti, kuka todella allekirjoitti.

EU:n kyberturvallisuusdirektiivi (2022/2555), joka tiukentaa verkko- ja tietojärjestelmien turvallisuusvaatimuksia keskeisille ja tärkeille toimijoille useilla toimialoilla – kuten energia, liikenne, terveydenhuolto, digitaalinen infrastruktuuri ja elintarvikkeet. Direktiivin piiriin kuuluvien yritysten on otettava käyttöön riskienhallinta, huolehdittava toimitusketjun turvallisuudesta ja ilmoitettava merkittävistä poikkeamista viranomaisille, ja vaatimustenvastaisuudesta voidaan määrätä huomattavia sakkoja; johto voidaan asettaa henkilökohtaiseen vastuuseen. NIS2 koskee tyypillisesti keskikokoisia ja suuria yrityksiä kattamillaan toimialoilla, mutta se vaikuttaa myös pienempiin toimittajiin epäsuorasti asiakkaiden vaatimusten kautta. Tanskassa direktiivi on pantu täytäntöön lailla, joka tuli voimaan 1. heinäkuuta 2025.

GDPR:n 6 artiklan 1 kohdan f alakohdan mukainen oikeusperuste, jonka nojalla yritys voi käsitellä tavanomaisia henkilötietoja, jos sen oikeutetut edut painavat enemmän kuin rekisteröidyn edut ja oikeudet. Peruste edellyttää dokumentoitua punnintaa – niin sanottua etujen tasapainotestiä – ja että käsittely on tarpeen tarkoituksen kannalta. Tyypillisiä esimerkkejä ovat suoramarkkinointi nykyisille asiakkaille, tietoturva ja sisäinen hallinto. Rekisteröidyllä on aina oikeus vastustaa oikeutettuun etuun perustuvaa käsittelyä.

Asiakirjat, jotka uuden työntekijän on saatava ja allekirjoitettava työsuhteen alkaessa. Tärkein on työsopimus: Tanskan vuoden 2023 työsopimustodistuslain mukaan olennaiset ehdot on annettava kirjallisesti viimeistään 7 kalenteripäivän kuluessa ensimmäisestä työpäivästä ja loput kuukauden kuluessa. Lisäksi tulevat tyypillisesti salassapitositoumus, IT- ja tietosuojakäytäntö, laitteiden luovutus, henkilöstökäsikirjan kuittaus ja GDPR:n tiedonantovelvollisuus työntekijätietojen käsittelystä. Sähköinen allekirjoitus auditointilokeineen tekee helpoksi todistaa, että kaikki on toimitettu ja hyväksytty ajoissa.

Työsuojelun riskinarvioinnin osa, joka koskee psykososiaalista työympäristöä: työkuormaa, epäselviä vaatimuksia, kiusaamista, häirintää, väkivaltaa ja loukkaavaa käytöstä. Kyse ei ole vapaaehtoisesta lisästä – psykososiaaliset tekijät on aina otettava mukaan riskinarviointiin fyysisten riskien rinnalla. Säännöt täsmennettiin Tanskan psykososiaalista työympäristöä koskevassa asetuksessa vuonna 2020. Monet yritykset kartoittavat asian anonyymeillä kyselyillä, jotta työntekijät uskaltavat vastata rehellisesti.

eIDAS:n korkein allekirjoitustaso: kehittynyt sähköinen allekirjoitus, joka on luotu hyväksytyllä allekirjoituksen luontivälineellä ja perustuu hyväksytyn luottamuspalveluntarjoajan myöntämään hyväksyttyyn varmenteeseen. QES:llä on sama oikeudellinen vaikutus kuin käsin kirjoitetulla allekirjoituksella koko EU:ssa, ja se tunnustetaan kaikissa jäsenvaltioissa. Sitä vaaditaan vain erityistapauksissa, joissa laki asettaa muotovaatimuksia – tavallisiin liikesopimuksiin AES tai SES riittää yleensä. Vastineeksi todistustaakka kääntyy käytännössä: QES:n tapauksessa allekirjoituksen kiistävän osapuolen on todistettava, ettei se ole aito.

Yritys, viranomainen tai henkilö, joka määrittää, mihin tarkoituksiin ja millä keinoin henkilötietoja käsitellään. Rekisterinpitäjä kantaa päävastuun GDPR:n noudattamisesta: oikeusperusteesta, tiedonantovelvollisuudesta, tietoturvasta, dokumentoinnista ja rekisteröityjen oikeuksista. Työnantaja on esimerkiksi rekisterinpitäjä työntekijöidensä henkilöstötietojen osalta. Jos rekisterinpitäjä käyttää käsittelyyn toimittajia, niiden kanssa on tehtävä tietojenkäsittelysopimukset.

Oikeudet, jotka GDPR antaa henkilöille, joiden tietoja käsitellään: oikeus tietoon, pääsyyn, oikaisuun, poistamiseen (oikeus tulla unohdetuksi), käsittelyn rajoittamiseen, tietojen siirrettävyyteen ja vastustamiseen – sekä suoja täysin automatisoiduilta päätöksiltä, joilla on merkittäviä vaikutuksia. Yrityksellä on oltava menettelyt, joilla pyyntöihin vastataan kuukauden kuluessa. Oikeudet eivät ole ehdottomia; poistaminen voidaan esimerkiksi evätä, jos tiedot on säilytettävä kirjanpitolain nojalla. Oikeuksien puutteellinen käsittely on yksi yleisimmistä syistä tietosuojaviranomaisille tehtäviin valituksiin.

Henkilön pyyntö saada tietää, mitä henkilötietoja yritys käsittelee hänestä – GDPR:n 15 artiklan mukainen oikeus. Yrityksen on muun muassa ilmoitettava tarkoitukset, tietojen ryhmät, vastaanottajat ja säilytysaika sekä toimitettava jäljennös tiedoista. Vastaus on annettava ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa vastaanottamisesta; määräaikaa voidaan pidentää kahdella kuukaudella monimutkaisissa pyynnöissä. Vastaus on pääsääntöisesti maksuton rekisteröidylle.

Määräajat, jotka yritys asettaa sille, kuinka kauan erilaisia henkilötietoja säilytetään ennen niiden poistamista tai anonymisointia. GDPR:n säilytyksen rajoittamisen periaate edellyttää, ettei tietoja säilytetä pidempään kuin tarkoituksen kannalta on tarpeen. Määräajat on dokumentoitava – tyypillisesti 30 artiklan selosteessa ja poistokäytännössä – ja niitä on myös tosiasiassa noudatettava käytännössä. Osa määräajoista perustuu muuhun lainsäädäntöön, kuten Tanskan kirjanpitolain vaatimukseen säilyttää kirjanpitoaineistoa 5 vuotta.

Euroopan komission vakiosopimukset, joita yritykset voivat käyttää siirtoperusteena, kun henkilötietoja lähetetään EU:n/ETA-alueen ulkopuolisiin maihin ilman riittävyyspäätöstä. Vuoden 2021 voimassa olevat SCC:t koostuvat moduuleista, jotka kattavat erilaisia rekisterinpitäjien ja käsittelijöiden yhdistelmiä. Lausekkeet on allekirjoitettava muuttamattomina, ja Schrems II -tuomion jälkeen niitä on täydennettävä arvioinnilla vastaanottajamaan lainsäädännöstä ja tarvittaessa lisäsuojatoimilla kuten salauksella. Käytännössä SCC on pk-yritysten yleisimmin käyttämä siirtoperuste.

Käsittelytoimien seloste, jota GDPR:n 30 artikla edellyttää rekisterinpitäjiltä ja henkilötietojen käsittelijöiltä. Selosteessa on kuvattava muun muassa käsittelyn tarkoitukset, rekisteröityjen ja tietojen ryhmät, vastaanottajat, mahdolliset siirrot kolmansiin maihin, säilytysajat ja tietoturvatoimenpiteet. Sen on oltava kirjallinen, pidettävä ajan tasalla ja luovutettavissa tietosuojaviranomaiselle pyynnöstä. Alle 250 työntekijän yritysten poikkeus on suppea, joten käytännössä lähes jokaisen yrityksen tulisi pitää selostetta.

eIDAS:n perustaso sähköisille allekirjoituksille: sähköisessä muodossa oleva tieto, joka on liitetty muuhun sähköiseen tietoon ja jota allekirjoittaja käyttää allekirjoittamiseen – esimerkiksi sähköpostin alle kirjoitettu nimi, skannattu kuva allekirjoituksesta tai hyväksy-painikkeen klikkaus. SES on oikeudellisesti pätevä useimpiin sopimuksiin Tanskassa, jossa muotoon sovelletaan sopimusvapautta. Todistusvoima riippuu kuitenkin siitä, miten hyvin voidaan osoittaa, kuka allekirjoitti ja ettei asiakirjaa ole muutettu. Siksi auditointiloki ja asiakirjan kryptografinen tiiviste vahvistavat SES:iä merkittävästi.

Asiakirjan kryptografinen sormenjälki, joka lasketaan tiivistefunktiolla kuten SHA-256. Jo pienin muutos asiakirjassa – yksittäinen merkki – tuottaa täysin erilaisen tiivistearvon, ja on käytännössä mahdotonta luoda toista asiakirjaa samalla tiivisteellä. Sähköisessä allekirjoituksessa asiakirjan tiiviste tallennetaan, jotta myöhemmin voidaan todistaa, ettei allekirjoitettua asiakirjaa ole muutettu. Tiiviste ei paljasta mitään asiakirjan sisällöstä, joten sitä voidaan jakaa vapaasti eheyden todisteena.

Henkilötietojen siirto EU:n/ETA-alueen ulkopuolisiin maihin – esimerkiksi kun yritys käyttää yhdysvaltalaista pilvipalvelua. Siirto edellyttää pätevää siirtoperustetta GDPR:n V luvun mukaisesti: Euroopan komission riittävyyspäätöstä (kuten EU-U.S. Data Privacy Framework), vakiosopimuslausekkeita (SCC) tai sitovia yrityssääntöjä. Schrems II -tuomion jälkeen yrityksen on lisäksi arvioitava, onko vastaanottajamaan suojan taso todellisuudessa riittävä. Siirrot kolmansiin maihin on mainittava 30 artiklan selosteessa ja tietosuojaselosteessa.

Yksi GDPR:n kuudesta oikeusperusteesta henkilötietojen käsittelylle. Pätevän suostumuksen on oltava vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen – ja annettava aktiivisella toimella, kuten rastittamalla ruutu, jota ei ole valmiiksi rastitettu. Rekisteröity voi peruuttaa suostumuksensa milloin tahansa, ja sen on oltava yhtä helppoa kuin sen antaminen. Yrityksen on voitava osoittaa, että suostumus on hankittu asianmukaisesti, ja työsuhteissa suostumus soveltuu harvoin, koska valta-asetelma tekee vapaaehtoisuudesta kyseenalaista.

Tanskan laki, jolla pannaan täytäntöön EU:n ilmoittajansuojeludirektiivi (2019/1937) ja joka on ollut voimassa joulukuusta 2021 alkaen. Laki velvoittaa vähintään 50 työntekijän yksityiset yritykset ja useimmat julkiset työnantajat perustamaan sisäisen ilmoituskanavan – velvoite on koskenut 50–249 työntekijän yrityksiä 17. joulukuuta 2023 alkaen. Laki suojaa ilmoittajia vastatoimilta ja edellyttää luottamuksellisuutta, vastaanoton vahvistamista 7 päivän kuluessa ja palautetta 3 kuukauden kuluessa. Rikkomukset voivat johtaa sakkoihin ja vahingonkorvausvastuuseen.

Tanskan tietosuojan valvontaviranomainen, joka valvoo GDPR:n ja Tanskan tietosuojalain noudattamista. Se käsittelee kansalaisten valituksia, tekee tarkastuksia yrityksissä ja viranomaisissa, vastaanottaa ilmoituksia tietoturvaloukkauksista sekä julkaisee ohjeita ja malleja. Se voi antaa kritiikkiä, määrätä kehotuksia ja esittää sakkoja – Tanskassa GDPR-sakot vahvistaa yleensä tuomioistuin poliisille tehdyn ilmoituksen jälkeen. Sen ohjeet ovat hyvä lähtökohta, kun pk-yritys järjestää GDPR-dokumentaationsa.

Tanskalainen viranomainen, joka valvoo yritysten työsuojelulain noudattamista. Se tekee sekä ilmoitettuja että ilmoittamattomia tarkastuskäyntejä ja voi antaa kehotuksia, välittömiä kehotuksia ja kieltoja sekä esittää sakkoja. Tarkastuksissa se pyytää yleensä nähtäväksi riskinarvioinnin, vuosittaisen työsuojelukeskustelun pöytäkirjan ja työsuojeluorganisaation dokumentaation. Yritykset, joiden kirjallinen dokumentaatio on kunnossa, selviävät tarkastuskäynnistä huomattavasti helpommin.

Kirjallinen sopimus, jota GDPR:n 28 artikla edellyttää rekisterinpitäjän ja henkilötietojen käsittelijän välillä. Sopimuksessa on määriteltävä muun muassa käsittelyn kohde ja kesto, tietojen tyyppi, käsittelijän velvollisuudet, tietoturvavaatimukset, alikäsittelijöitä koskevat säännöt sekä avunanto tietoturvaloukkausten ja tarkastuspyyntöjen yhteydessä. Ilman voimassa olevaa tietojenkäsittelysopimusta on lainvastaista antaa toimittajan käsitellä henkilötietoja yrityksen puolesta. Tanskan tietosuojaviranomainen on julkaissut vakiomallin, jota moni pk-yritys käyttää lähtökohtana.

Riskinarviointiin sisältyvä kirjallinen suunnitelma, joka kuvaa, miten yritys aikoo ratkaista kartoituksessa havaitut työsuojeluongelmat. Jokaisen ongelman kohdalla suunnitelmassa on ilmoitettava, mitä tehdään, kuka on vastuussa ja milloin asia on ratkaistava. Toimintasuunnitelma on lakisääteinen vaatimus – riskinarviointi ilman toimintasuunnitelmaa ei ole täydellinen. Lisäksi on seurattava, että yritys voi osoittaa toimenpiteiden todella toteutuneen ja toimivan.

Tanskalaisten työnantajien on 1. heinäkuuta 2024 alkaen käytettävä objektiivista, luotettavaa ja saatavilla olevaa järjestelmää, joka kirjaa jokaisen työntekijän päivittäisen työajan. Vaatimus perustuu Tanskan työaikalain muutokseen, jolla pannaan täytäntöön EU-tuomioistuimen oikeuskäytäntö, ja sen tarkoituksena on mahdollistaa 48 tunnin säännön ja lepoaikasääntöjen valvonta. Kirjaukset on säilytettävä 5 vuotta, ja työntekijän on voitava tarkastaa omat tietonsa. Niin sanotut itsensä organisoijat voidaan vapauttaa velvoitteesta, mutta poikkeus on suppea ja siitä on mainittava työsopimuksessa.

Lakisääteinen työsuojelun riskinarviointi, joka jokaisen tanskalaisen työnantajan on tehtävä vähintään kolmen vuoden välein – ja aina kun työssä tapahtuu olennaisia muutoksia. Se koostuu neljästä vaiheesta: työympäristön kartoituksesta, ongelmien arvioinnista, kirjallisesta toimintasuunnitelmasta ja seurannasta. Vaatimus perustuu Tanskan työympäristölain §15a:aan, ja työsuojeluviranomainen (Arbejdstilsynet) voi pyytää sen nähtäväksi tarkastuksen yhteydessä. Menetelmä on vapaasti valittavissa, mutta tuloksen on oltava kirjallinen ja työntekijöiden saatavilla.

Äkillinen työhön liittyvä tapahtuma, joka aiheuttaa henkilövahingon – esimerkiksi kaatuminen, puristumisvamma tai äkillinen ylikuormitus. Työnantajan on ilmoitettava tapaturma sähköisesti EASY-järjestelmään, jos se aiheuttaa poissaoloa vahinkopäivän jälkeen, ja ilmoitus on tehtävä viimeistään 14 päivän kuluessa ensimmäisestä poissaolopäivästä. Myös tapaturmat, jotka voivat oikeuttaa korvaukseen tanskalaisen tapaturmavakuutuslain nojalla, on ilmoitettava. Ilmoituksen laiminlyönnistä voidaan määrätä sakko, ja tapaturmat tulisi aina käsitellä ehkäisevin toimenpitein riskinarvioinnissa.

Mikä tahansa ilmoittajaan kohdistuva epäedullinen kohtelu ilmoituksen seurauksena – esimerkiksi irtisanominen, alentaminen, häirintä, huonommat työtehtävät tai ylennyksen ulkopuolelle jättäminen. Ilmoittajansuojelulaki kieltää vastatoimet, ja myös niillä uhkaaminen ja niiden yrittäminen on laitonta. Jos ilmoittaja joutuu silti vastatoimien kohteeksi, hänellä on oikeus korvaukseen, ja todistustaakka voi kääntyä niin, että työnantajan on osoitettava, ettei kohtelu johtunut ilmoituksesta. Suoja koskee tilanteita, joissa ilmoittaja oli vilpittömässä mielessä tietojen paikkansapitävyydestä.

Lakisääteinen kokous, joka jokaisen tanskalaisen työnantajan on pidettävä vähintään kerran vuodessa ja jossa johto ja työntekijät käyvät läpi työsuojelun tilan. Keskustelussa on katsottava taaksepäin kulunutta vuotta, asetettava tavoitteet ja toimenpiteet tulevalle vuodelle sekä arvioitava, toimiiko yhteistyö työsuojelussa. Yritysten, joilla ei ole muodollista työsuojeluorganisaatiota, on voitava osoittaa kirjallisesti työsuojeluviranomaiselle, että keskustelu on käyty. Se liittyy luonnollisesti riskinarvioinnin seurantaan.

EU:n asetus henkilötietojen suojasta, jota on sovellettu 25. toukokuuta 2018 alkaen ja jota täydentää Tanskan tietosuojalaki. GDPR asettaa vaatimuksia sille, miten yritykset keräävät, käyttävät, säilyttävät ja poistavat henkilötietoja, ja antaa rekisteröidyille useita oikeuksia. Yritysten on voitava osoittaa noudattavansa asetusta – niin sanottu osoitusvelvollisuuden periaate. Rikkomuksista voidaan määrätä sakkoja jopa 20 miljoonaa euroa tai 4 % maailmanlaajuisesta vuosiliikevaihdosta.