Glossario di compliance

L'accordo scritto richiesto dall'articolo 28 del GDPR tra un titolare e un responsabile del trattamento. Deve definire, tra l'altro, l'oggetto e la durata del trattamento, i tipi di dati, gli obblighi del responsabile, i requisiti di sicurezza, le regole per i sub-responsabili e l'assistenza in caso di violazioni dei dati e richieste di accesso. Senza un DPA valido è illegittimo lasciare che un fornitore tratti dati personali per conto dell'azienda. L'autorità danese per la protezione dei dati ha pubblicato un modello standard che molte PMI usano come punto di partenza.

Il livello intermedio di firma definito dall'articolo 26 di eIDAS. Una firma elettronica avanzata deve essere connessa in maniera univoca al firmatario, permettere di identificarlo, essere creata con mezzi sotto il controllo esclusivo del firmatario, e collegata al documento in modo che qualsiasi successiva modifica sia rilevabile. In pratica, questi requisiti sono spesso soddisfatti combinando l'identificazione (ad esempio con MitID) con una sigillatura crittografica del documento. Una AES ha un valore probatorio decisamente superiore a una firma semplice ed è la scelta standard per documenti come contratti di lavoro e accordi di trattamento dati.

La cooperazione formale in materia di salute e sicurezza sul lavoro tra direzione e dipendenti, obbligatoria nelle aziende danesi con 10 o più dipendenti. L'AMO è composta da uno o più gruppi per l'ambiente di lavoro con un rappresentante dei lavoratori eletto e un responsabile designato. I membri devono completare la formazione obbligatoria di 3 giorni sull'ambiente di lavoro entro 3 mesi dall'elezione. Nelle aziende con meno di 10 dipendenti, la gestione della salute e sicurezza deve avvenire invece in cooperazione diretta tra datore di lavoro e personale.

Un piano annuale che distribuisce i compiti di conformità ricorrenti dell'azienda lungo l'anno solare, affinché nulla venga dimenticato o si accumuli. I punti tipici comprendono il confronto annuale sull'ambiente di lavoro, il monitoraggio del piano d'azione della valutazione dei rischi, la revisione del registro dell'articolo 30 e dei termini di conservazione, il test della risposta alle violazioni dei dati, la revisione degli accordi di trattamento dati e l'aggiornamento del manuale del dipendente. Il calendario trasforma la conformità in una routine continua con responsabili e scadenze chiari, invece che in un'esercitazione annuale dell'ultimo minuto. Costituisce inoltre una buona prova nei confronti delle autorità di controllo che l'azienda lavora in modo sistematico.

Un canale interno attraverso cui dipendenti e altre persone con un legame lavorativo possono segnalare in via riservata violazioni di legge e fatti gravi, ad esempio frode, corruzione, violazioni del GDPR o molestie sessuali. Il canale deve disporre di un'unità imparziale che confermi la ricezione entro 7 giorni e fornisca un riscontro entro 3 mesi. L'identità del segnalante deve essere protetta, e solo le persone che ne hanno necessità possono accedere ai casi. Il canale deve essere descritto per iscritto, e i dipendenti devono avere facile accesso alle informazioni su come utilizzarlo.

Un incontro obbligatorio che ogni datore di lavoro danese con dipendenti deve tenere almeno una volta all'anno, durante il quale direzione e dipendenti fanno il punto sull'ambiente di lavoro. Il confronto deve ripercorrere l'anno trascorso, fissare obiettivi e iniziative per l'anno successivo, e valutare se la cooperazione in materia di salute e sicurezza funziona. Le aziende senza AMO devono poter documentare per iscritto all'Ispettorato del lavoro che il confronto ha avuto luogo. Si collega naturalmente al monitoraggio della valutazione dei rischi sul lavoro.

Una delle sei basi giuridiche del GDPR per il trattamento dei dati personali. Un consenso valido deve essere libero, specifico, informato e inequivocabile, e prestato mediante un'azione positiva, come spuntare una casella non pre-selezionata. L'interessato può revocare il consenso in qualsiasi momento, e ciò deve essere altrettanto semplice quanto prestarlo. L'azienda deve poter dimostrare che il consenso è stato ottenuto correttamente, e nei rapporti di lavoro il consenso è raramente adatto perché lo squilibrio di potere rende dubbia la libertà della scelta.

Le categorie particolari di dati personali previste dall'articolo 9 del GDPR: origine razziale o etnica, opinioni politiche, religiose o filosofiche, appartenenza sindacale, dati genetici e biometrici, dati sulla salute, nonché dati relativi alla vita sessuale o all'orientamento sessuale. Il trattamento è vietato per impostazione predefinita e richiede un'eccezione specifica, come il consenso esplicito o la necessità ai sensi del diritto del lavoro. I dati sensibili richiedono una sicurezza rafforzata, e nel diritto danese i numeri di identificazione personale e i dati sui precedenti penali sono soggetti a proprie regole distinte. Molti fascicoli HR e di whistleblowing contengono dati sensibili e devono quindi essere protetti in modo particolarmente accurato.

I diritti che il GDPR conferisce alle persone i cui dati sono trattati: diritto all'informazione, di accesso, di rettifica, di cancellazione (diritto all'oblio), di limitazione del trattamento, alla portabilità dei dati e di opposizione, oltre alla protezione da decisioni interamente automatizzate con effetti significativi. L'azienda deve disporre di procedure per rispondere alle richieste entro un mese. I diritti non sono assoluti; la cancellazione può ad esempio essere rifiutata se i dati devono essere conservati ai sensi della normativa contabile. Una gestione carente di questi diritti è una delle cause più frequenti di reclamo presso le autorità di protezione dei dati.

I documenti che un nuovo dipendente deve ricevere e firmare all'inizio del rapporto di lavoro. Il più importante è il contratto di lavoro: in base alla legge danese del 2023 sul certificato di assunzione, le condizioni essenziali devono essere fornite per iscritto entro 7 giorni di calendario dal primo giorno lavorativo, e il resto entro un mese. Si aggiungono tipicamente una dichiarazione di riservatezza, la politica informatica e sulla protezione dei dati, la consegna delle attrezzature, la conferma del manuale del dipendente e l'informativa GDPR sul trattamento dei dati dei dipendenti. La firma digitale con registro di audit rende facile dimostrare che tutto è stato consegnato e accettato nei tempi previsti.

Una valutazione d'impatto sulla protezione dei dati richiesta dall'articolo 35 del GDPR quando un trattamento è suscettibile di comportare un rischio elevato per gli interessati, ad esempio la sorveglianza sistematica, il trattamento su larga scala di dati sensibili o nuove tecnologie come il riconoscimento facciale. La valutazione deve descrivere il trattamento, valutarne la necessità e la proporzionalità, mappare i rischi e definire misure di mitigazione. Se il rischio non può essere ridotto, l'autorità di protezione dei dati deve essere consultata prima dell'inizio del trattamento. L'autorità danese per la protezione dei dati ha pubblicato un elenco di trattamenti che richiedono sempre una DPIA.

Il sistema digitale che i datori di lavoro danesi devono utilizzare per segnalare gli infortuni sul lavoro all'Ispettorato del lavoro e all'assicurazione contro gli infortuni sul lavoro. EASY si utilizza tramite Virk.dk con il MitID Erhverv dell'azienda, e un'unica segnalazione viene inoltrata automaticamente alle autorità competenti e, se applicabile, all'assicuratore. La segnalazione tramite EASY è obbligatoria: i moduli cartacei non sono accettati. È buona prassi registrare subito internamente i fatti dell'infortunio, in modo che la segnalazione EASY possa essere compilata correttamente entro il termine.

Il regolamento UE sull'identificazione elettronica e i servizi fiduciari (910/2014), che crea regole comuni per firme, sigilli e marche temporali elettronici in tutta l'UE. eIDAS definisce tre livelli di firma elettronica (semplice (SES), avanzata (AES) e qualificata (QES)) e stabilisce che a una firma non può essere negato l'effetto giuridico come prova solo perché è elettronica. Il regolamento è stato aggiornato con eIDAS 2.0, che introduce tra l'altro un portafoglio europeo di identità digitale. Per le PMI, eIDAS significa che documenti come i contratti di lavoro possono essere validamente firmati digitalmente.

Il regolamento dell'UE sulla protezione dei dati personali, applicabile dal 25 maggio 2018 e integrato in Danimarca dalla legge danese sulla protezione dei dati. Il GDPR stabilisce requisiti su come le aziende raccolgono, utilizzano, conservano ed eliminano i dati personali, e conferisce agli interessati una serie di diritti. Le aziende devono poter dimostrare la propria conformità, il cosiddetto principio di responsabilizzazione. Le violazioni possono essere sanzionate con ammende fino a 20 milioni di euro o al 4% del fatturato annuo mondiale.

Un evento improvviso connesso al lavoro che causa una lesione personale, ad esempio una caduta, uno schiacciamento o uno sforzo acuto. Il datore di lavoro deve segnalare l'infortunio digitalmente in EASY se comporta un'assenza oltre il giorno dell'infortunio, e la segnalazione deve essere effettuata entro 14 giorni dal primo giorno di assenza. Devono essere segnalati anche gli infortuni che possono dare diritto a un risarcimento ai sensi della legge danese sugli infortuni sul lavoro. La mancata segnalazione può essere sanzionata con un'ammenda, e gli infortuni dovrebbero sempre essere seguiti da misure preventive nella valutazione dei rischi.

Lo standard internazionale per i sistemi di gestione della sicurezza delle informazioni (ISMS). Richiede che un'organizzazione identifichi sistematicamente i propri rischi di sicurezza delle informazioni e li gestisca attraverso politiche, controlli e un miglioramento continuo; il catalogo dei controlli si trova nell'allegato A ed è approfondito nella norma ISO 27002. La certificazione viene rilasciata da un organismo di certificazione accreditato ed è volontaria, ma è sempre più richiesta dai clienti e nelle gare d'appalto. Per le PMI, la certificazione completa è spesso sovradimensionata, ma i principi: valutazione dei rischi, controllo degli accessi, registrazione degli eventi e risposta agli incidenti, sono un buon modello per il lavoro sulla sicurezza.

L'autorità di controllo danese per la protezione dei dati, che vigila sul rispetto del GDPR e della legge danese sulla protezione dei dati. Gestisce i reclami dei cittadini, effettua ispezioni presso aziende e amministrazioni, riceve le notifiche di violazioni dei dati e pubblica linee guida e modelli. Può esprimere critiche, emettere ordini e raccomandare ammende, in Danimarca le ammende GDPR sono di norma stabilite dai tribunali a seguito di una denuncia penale. Le sue linee guida sono un buon punto di partenza quando una PMI struttura la propria documentazione GDPR.

L'autorità danese che vigila sul rispetto della legge sull'ambiente di lavoro da parte delle aziende. Effettua visite ispettive sia annunciate sia a sorpresa e può emettere ordini, ordini immediati e divieti, oltre a raccomandare ammende. Durante le ispezioni chiede tipicamente la valutazione dei rischi sul lavoro, il confronto annuale sull'ambiente di lavoro e la documentazione dell'organizzazione per l'ambiente di lavoro. Le aziende con la documentazione scritta in ordine superano un'ispezione molto più agevolmente.

La legge danese che recepisce la direttiva UE sul whistleblowing (2019/1937), in vigore dal dicembre 2021. Obbliga le aziende private con 50 o più dipendenti e la maggior parte dei datori di lavoro pubblici a istituire un canale interno di segnalazione, l'obbligo riguarda le aziende con 50-249 dipendenti dal 17 dicembre 2023. La legge tutela i segnalanti dalle ritorsioni e impone la riservatezza, un avviso di ricevimento entro 7 giorni e un riscontro entro 3 mesi. Le violazioni possono comportare ammende e responsabilità per danni.

La regola prevista dalla legge danese sull'orario di lavoro secondo cui l'orario settimanale medio di un dipendente, straordinari inclusi, non può superare le 48 ore, calcolato su un periodo di riferimento di 4 mesi. La regola deriva dalla direttiva UE sull'orario di lavoro e si applica a quasi tutti i lavoratori. Una violazione può dare diritto a un risarcimento per il dipendente, e dal 2024 i datori di lavoro devono poter dimostrare il rispetto della regola tramite la registrazione dell'orario di lavoro. Alcuni contratti collettivi consentono, a determinate condizioni, un limite più alto per gruppi selezionati.

Il termine previsto dall'articolo 33 del GDPR per notificare una violazione dei dati personali all'autorità di protezione dei dati: senza ritardo ingiustificato e, ove possibile, entro 72 ore dal momento in cui l'azienda ne è venuta a conoscenza. Il termine decorre anche nei fine settimana e nei giorni festivi. Se viene superato, la notifica deve motivare il ritardo. Se l'azienda non dispone di tutte le informazioni entro il termine, la notifica può avvenire per fasi: l'importante è comunicare tempestivamente quanto si sa.

Una base giuridica prevista dall'articolo 6, paragrafo 1, lettera f, del GDPR, che consente a un'azienda di trattare dati personali ordinari se i suoi interessi legittimi prevalgono sugli interessi e i diritti dell'interessato. La base richiede un bilanciamento documentato (un cosiddetto test del legittimo interesse) e che il trattamento sia necessario per la finalità perseguita. Esempi tipici sono il marketing diretto verso clienti esistenti, la sicurezza informatica e l'amministrazione interna. L'interessato ha sempre il diritto di opporsi a un trattamento basato sul legittimo interesse.

La descrizione complessiva dell'azienda su regole, politiche e aspetti pratici per i dipendenti, ad esempio orario di lavoro, comunicazione di malattia, ferie, politica informatica e sulla protezione dei dati, politica sulle sostanze e linee guida contro i comportamenti offensivi. Il manuale non è obbligatorio per legge, ma raccoglie documentazione richiesta da altre norme e crea chiarezza su ciò che si applica. Le disposizioni del manuale possono avere effetti di diritto del lavoro, per cui modifiche sostanziali devono essere debitamente notificate. Una buona prassi consiste nel far confermare digitalmente ai dipendenti di aver letto la versione vigente.

Una prova elettronica che determinati dati esistevano in un momento specifico. Nel contesto della firma e della conformità, una marca temporale lega l'hash del documento a un momento preciso, permettendo di dimostrare quando il documento è stato firmato o registrato. eIDAS disciplina le marche temporali elettroniche qualificate, rilasciate da prestatori di servizi fiduciari accreditati e godono di una presunzione di correttezza. Marche temporali affidabili sono importanti anche nei registri di audit, ad esempio per documentare che una violazione dei dati è stata notificata entro 72 ore.

L'identità digitale nazionale della Danimarca, che ha sostituito NemID e viene utilizzata per accedere ai servizi pubblici, alle banche e ai servizi privati. MitID è notificato ai sensi di eIDAS e può essere utilizzato per identificare il firmatario in un processo di firma elettronica, elevando così la firma al livello avanzato (AES). Le aziende utilizzano MitID Erhverv per agire per conto dell'azienda, ad esempio in EASY e su Virk.dk. Nella firma dei documenti, un accesso tramite MitID fornisce una prova solida di chi ha effettivamente firmato.

La direttiva UE sulla cybersicurezza (2022/2555), che inasprisce i requisiti di sicurezza dei sistemi di rete e informativi per i soggetti essenziali e importanti in numerosi settori: come energia, trasporti, sanità, infrastrutture digitali e alimentari. Le aziende interessate devono adottare la gestione del rischio, affrontare la sicurezza della catena di fornitura e segnalare gli incidenti significativi alle autorità, con sanzioni sostanziali in caso di mancata conformità; la direzione può essere ritenuta personalmente responsabile. NIS2 si applica tipicamente alle medie e grandi imprese dei settori interessati, ma coinvolge indirettamente anche fornitori più piccoli tramite i requisiti dei loro clienti. In Danimarca la direttiva è stata recepita con legge in vigore dal 1° luglio 2025.

Il piano scritto incluso nella valutazione dei rischi sul lavoro che descrive come l'azienda risolverà i problemi emersi dalla mappatura. Per ciascun problema, il piano deve indicare cosa va fatto, chi ne è responsabile e entro quando deve essere risolto. Il piano d'azione è un obbligo di legge: una valutazione dei rischi priva di piano d'azione non è completa. È inoltre richiesto un monitoraggio, affinché l'azienda possa dimostrare che le misure sono state effettivamente attuate e funzionano.

Il livello più alto di firma previsto da eIDAS: una firma elettronica avanzata creata con un dispositivo qualificato di creazione della firma e basata su un certificato qualificato rilasciato da un prestatore di servizi fiduciari accreditato. Una QES ha lo stesso effetto giuridico di una firma autografa in tutta l'UE ed è riconosciuta tra gli Stati membri. È richiesta solo in casi particolari in cui la legge impone requisiti di forma, per gli accordi commerciali ordinari, di norma è sufficiente una AES o una SES. In compenso, l'onere della prova si inverte in pratica: con una QES, è chi contesta la firma a dover dimostrare che non è autentica.

Un evento che avrebbe potuto causare un infortunio sul lavoro ma in cui nessuno è rimasto ferito, ad esempio un attrezzo che cade accanto a un dipendente, o uno scivolamento che non sfocia in una caduta. I quasi incidenti non devono essere segnalati alle autorità, ma sono uno degli strumenti più preziosi per la prevenzione. Registrandoli e analizzandoli sistematicamente, un'azienda può eliminare i rischi prima che causino un vero infortunio. Gli schemi ricorrenti nei quasi incidenti dovrebbero confluire nella valutazione dei rischi sul lavoro.

Dal 1° luglio 2024 i datori di lavoro danesi devono disporre di un sistema oggettivo, affidabile e accessibile che registri l'orario di lavoro giornaliero di ciascun dipendente. L'obbligo deriva dalla modifica della legge danese sull'orario di lavoro che recepisce la giurisprudenza della Corte di giustizia dell'UE, e deve consentire di verificare il rispetto della regola delle 48 ore e delle regole sui periodi di riposo. Le registrazioni devono essere conservate per 5 anni, e i dipendenti devono poter accedere ai propri dati. I cosiddetti lavoratori autonomi nell'organizzazione del proprio lavoro possono essere esentati, ma l'eccezione è ristretta e deve essere indicata nel contratto di lavoro.

Il registro delle attività di trattamento che l'articolo 30 del GDPR impone a titolari e responsabili del trattamento di tenere. Deve descrivere, tra l'altro, le finalità del trattamento, le categorie di interessati e di dati, i destinatari, gli eventuali trasferimenti verso paesi terzi, i termini di conservazione e le misure di sicurezza. Deve essere scritto, tenuto aggiornato e messo a disposizione dell'autorità di protezione dei dati su richiesta. L'eccezione per le aziende con meno di 250 dipendenti è ristretta, per cui in pratica quasi ogni azienda dovrebbe tenere un registro.

Una registrazione cronologica e inalterabile degli eventi in un sistema: chi ha fatto cosa, quando e da quale indirizzo. In un processo di firma, il registro di audit documenta ad esempio quando il documento è stato inviato, aperto e firmato, e come è stato identificato il firmatario. Il registro è centrale per il valore probatorio delle firme elettroniche e per dimostrare la conformità al GDPR, ad esempio chi ha avuto accesso a fascicoli sensibili. Un buon registro di audit non può essere modificato successivamente ed è conservato separatamente dai dati che descrive.

Un'azienda o una persona che tratta dati personali per conto di un titolare e secondo le sue istruzioni, ad esempio un fornitore cloud, uno studio paghe o un sistema HR. Il responsabile del trattamento non può utilizzare i dati per finalità proprie e deve soddisfare i requisiti del GDPR in materia di sicurezza e riservatezza. Il rapporto deve essere disciplinato da un accordo scritto di trattamento dati. Se il responsabile si avvale di subfornitori (sub-responsabili), è necessaria l'autorizzazione del titolare.

Una richiesta di una persona di sapere quali dati personali l'azienda tratta su di lei, un diritto previsto dall'articolo 15 del GDPR. L'azienda deve comunicare, tra l'altro, le finalità, le categorie di dati, i destinatari e il periodo di conservazione, e fornire una copia dei dati. La risposta deve essere data senza ritardo ingiustificato ed entro un mese dal ricevimento; il termine può essere prorogato di due mesi per richieste complesse. La risposta è di norma gratuita per l'interessato.

Qualsiasi trattamento sfavorevole subito da un segnalante a seguito di una segnalazione, ad esempio licenziamento, retrocessione, molestie, incarichi peggiorativi o esclusione da una promozione. La legge sul whistleblowing vieta le ritorsioni, e anche le minacce e i tentativi di ritorsione sono illegali. Se un segnalante subisce comunque ritorsioni, ha diritto a un risarcimento, e l'onere della prova può invertirsi, obbligando il datore di lavoro a dimostrare che il trattamento non era legato alla segnalazione. La tutela si applica quando il segnalante credeva in buona fede nell'esattezza delle informazioni.

I contratti standard della Commissione europea che le aziende possono utilizzare come base di trasferimento quando i dati personali sono inviati verso paesi al di fuori dell'UE/SEE senza una decisione di adeguatezza. Le SCC attualmente in vigore, del 2021, sono strutturate in moduli che coprono diverse combinazioni di titolari e responsabili del trattamento. Le clausole devono essere firmate senza modifiche e, dopo Schrems II, devono essere integrate con una valutazione della legislazione del paese destinatario e, se necessario, con garanzie supplementari come la crittografia. In pratica, le SCC sono la base di trasferimento più utilizzata dalle PMI.

Il livello base di firma previsto da eIDAS: dati in forma elettronica, allegati ad altri dati elettronici, utilizzati dal firmatario per firmare, ad esempio un nome digitato sotto un'e-mail, l'immagine scansionata di una firma o il clic su un pulsante di accettazione. Una SES è giuridicamente valida per la stragrande maggioranza degli accordi in Danimarca, dove vige la libertà di forma. Il suo valore probatorio dipende tuttavia da quanto bene si possa documentare chi ha firmato e che il documento non sia stato alterato. Per questo una SES viene notevolmente rafforzata da un log di audit e da un'impronta crittografica del documento.

Un'impronta crittografica di un documento, calcolata con una funzione hash come SHA-256. Anche la più piccola modifica al documento (un singolo carattere) produce un valore hash completamente diverso, ed è praticamente impossibile costruire un altro documento con lo stesso hash. Quando un documento viene firmato elettronicamente, il suo hash viene memorizzato in modo da poter dimostrare in seguito che il documento firmato non è stato alterato. L'hash non rivela nulla sul contenuto del documento e può quindi essere condiviso liberamente come prova di integrità.

I termini che un'azienda stabilisce per quanto tempo diversi tipi di dati personali vengono conservati prima di essere cancellati o resi anonimi. Il principio di limitazione della conservazione del GDPR richiede che i dati non siano conservati più a lungo di quanto necessario per la finalità perseguita. I termini devono essere documentati, tipicamente nel registro dell'articolo 30 e in una politica di cancellazione, e devono essere effettivamente applicati nella pratica. Alcuni termini derivano da altre normative, come l'obbligo della legge contabile danese di conservare i documenti contabili per 5 anni.

L'azienda, l'autorità o la persona che determina le finalità e i mezzi del trattamento dei dati personali. Il titolare del trattamento ha la responsabilità principale della conformità al GDPR: base giuridica, obblighi informativi, sicurezza, documentazione e diritti degli interessati. Un datore di lavoro, ad esempio, è titolare del trattamento dei dati del personale dei propri dipendenti. Se il titolare si avvale di fornitori per il trattamento, con questi devono essere stipulati accordi di trattamento dati.

Il trasferimento di dati personali verso paesi al di fuori dell'UE/SEE, ad esempio quando un'azienda utilizza un servizio cloud statunitense. Il trasferimento richiede una base di trasferimento valida ai sensi del capo V del GDPR: una decisione di adeguatezza della Commissione europea (come il Data Privacy Framework UE-USA), clausole contrattuali standard (SCC) o norme vincolanti d'impresa. In seguito alla sentenza Schrems II, l'azienda deve inoltre valutare se il livello di protezione nel paese destinatario sia effettivamente adeguato. I trasferimenti verso paesi terzi devono risultare nel registro dell'articolo 30 e nell'informativa sulla privacy.

Una valutazione dei rischi specifica che i datori di lavoro danesi devono predisporre quando i dipendenti lavorano con sostanze e materiali chimici pericolosi, o possono esservi esposti. Nel 2019 ha sostituito le precedenti schede di istruzioni sul posto di lavoro e deve descrivere, tra l'altro, i pericoli delle sostanze, l'esposizione, le misure preventive e i requisiti di formazione. La valutazione deve essere scritta, tenuta aggiornata, e i dipendenti devono essere istruiti sui risultati. Le schede di sicurezza del fornitore ne costituiscono una base essenziale.

Una valutazione obbligatoria dell'ambiente di lavoro che ogni datore di lavoro danese con dipendenti deve effettuare almeno ogni 3 anni, e ogni volta che il lavoro cambia in modo significativo. Comprende quattro fasi: la mappatura dell'ambiente di lavoro, la valutazione dei problemi, un piano d'azione scritto e il monitoraggio. L'obbligo deriva dall'articolo 15a della legge danese sull'ambiente di lavoro, e l'Ispettorato del lavoro può richiederne la visione durante un'ispezione. Il metodo è libero, ma il risultato deve essere scritto e accessibile ai dipendenti.

La parte della valutazione dei rischi sul lavoro che riguarda l'ambiente di lavoro psicosociale: carico di lavoro, richieste poco chiare, mobbing, molestie, violenza e comportamenti offensivi. Non si tratta di un'aggiunta facoltativa: i fattori psicosociali devono sempre essere inclusi nella valutazione dei rischi alla pari di quelli fisici. Le regole sono state precisate nel 2020 dal regolamento danese sull'ambiente di lavoro psicosociale. Molte aziende li mappano tramite questionari anonimi, così che i dipendenti si sentano liberi di rispondere onestamente.

Un incidente di sicurezza che comporta la distruzione, la perdita, la modifica o l'accesso non autorizzato, accidentale o illecito, a dati personali, ad esempio un'e-mail inviata al destinatario sbagliato, un portatile smarrito o un attacco informatico. Una violazione deve di norma essere notificata all'autorità di protezione dei dati entro 72 ore, a meno che sia improbabile che comporti un rischio per gli interessati. In caso di rischio elevato, devono essere informate anche le persone coinvolte. Ogni violazione, comprese quelle non notificate, deve essere documentata in un registro interno.