Atbilstības vārdnīca

Dānijas Darba laika likuma noteikums, ka darbinieka vidējais nedēļas darba laiks, ieskaitot virsstundas, nedrīkst pārsniegt 48 stundas, mērot 4 mēnešu periodā. Noteikums izriet no ES Darba laika direktīvas un attiecas gandrīz uz visiem darbiniekiem. Pārkāpums var izraisīt atlīdzību darbiniekam, un kopš 2024. gada darba devējiem jāspēj pierādīt atbilstība ar darba laika uzskaiti. Atsevišķi darba koplīgumi īpašos apstākļos pieļauj augstāku robežu izvēlētām grupām.

VDAR 33. pantā noteiktais termiņš, lai paziņotu par personas datu aizsardzības pārkāpumu uzraudzības iestādei: bez nepamatotas kavēšanās un, ja iespējams, ne vēlāk kā 72 stundu laikā pēc tam, kad uzņēmums ir uzzinājis par pārkāpumu. Termiņš rit arī brīvdienās un svētku dienās. Ja tas tiek pārsniegts, paziņojumā jāpaskaidro kavēšanās iemesls. Ja uzņēmumam nav visas informācijas termiņa laikā, paziņojumu var iesniegt pa posmiem – svarīgākais ir laikus paziņot to, kas ir zināms.

eIDAS 26. pantā noteiktais vidējais paraksta līmenis. Uzlabotajam elektroniskajam parakstam jābūt nepārprotami saistītam ar parakstītāju, jāspēj to identificēt, jābūt izveidotam ar līdzekļiem, kas ir tikai parakstītāja kontrolē, un jābūt saistītam ar dokumentu tā, lai jebkuras vēlākas izmaiņas būtu konstatējamas. Praksē prasības bieži tiek izpildītas, apvienojot identifikāciju (piemēram, ar MitID) ar dokumenta kriptogrāfisku aizzīmogošanu. AES sniedz ievērojami stiprāku pierādījuma spēku nekā vienkāršs paraksts un ir standarta izvēle, piemēram, darba līgumiem un datu apstrādes līgumiem.

Formāla sadarbība darba vides jautājumos starp vadību un darbiniekiem, kas ir obligāta Dānijas uzņēmumos ar 10 vai vairāk darbiniekiem. AMO sastāv no vienas vai vairākām darba vides grupām ar ievēlētu darba vides pārstāvi un iecelto darba vadītāju. Locekļiem 3 mēnešu laikā pēc ievēlēšanas jāapgūst obligātā 3 dienu darba vides apmācība. Uzņēmumos ar mazāk nekā 10 darbiniekiem darba vides darbs tā vietā notiek tiešā sadarbībā starp darba devēju un darbiniekiem.

Uzņēmums vai persona, kas apstrādā personas datus pārziņa uzdevumā un saskaņā ar tā norādījumiem – piemēram, mākoņpakalpojumu sniedzējs, algu aprēķina birojs vai personāla vadības sistēma. Apstrādātājs nedrīkst izmantot datus saviem mērķiem un tam jāievēro VDAR prasības attiecībā uz drošību un konfidencialitāti. Attiecības jāregulē ar rakstisku datu apstrādes līgumu. Ja apstrādātājs pats izmanto apakšuzņēmējus (apakšapstrādātājus), tam nepieciešams pārziņa apstiprinājums.

Apstrādes darbību reģistrs, kuru VDAR 30. pants prasa uzturēt pārziņiem un apstrādātājiem. Reģistrā cita starpā jāapraksta apstrādes mērķi, datu subjektu un datu kategorijas, saņēmēji, iespējamā nodošana trešajām valstīm, glabāšanas termiņi un drošības pasākumi. Tam jābūt rakstiskam, atjauninātam un pēc pieprasījuma pieejamam uzraudzības iestādei. Izņēmums uzņēmumiem ar mazāk nekā 250 darbiniekiem ir šaurs, tāpēc praksē reģistrs jāuztur gandrīz katram uzņēmumam.

Gada plāns, kas sadala uzņēmuma atkārtotos atbilstības uzdevumus kalendārā gadā, lai nekas netiktu aizmirsts vai uzkrātos. Tipiski punkti ir ikgadējā darba vides pārruna, riska novērtējuma rīcības plāna pārraudzība, 30. panta reģistra un glabāšanas termiņu pārskatīšana, datu aizsardzības pārkāpumu reaģēšanas testēšana, datu apstrādes līgumu pārskatīšana un darbinieku rokasgrāmatas atjaunināšana. Gada plāns padara atbilstību par pastāvīgu rutīnu ar skaidriem atbildīgajiem un termiņiem, nevis ikgadēju avārijas situāciju. Tas vienlaikus ir laba dokumentācija uzraudzības iestādēm par to, ka uzņēmums strādā sistemātiski.

Hronoloģisks, nemainīgs notikumu ieraksts sistēmā: kas, ko, kad un no kuras adreses darīja. Parakstīšanas procesā audita žurnāls dokumentē, piemēram, kad dokuments tika nosūtīts, atvērts un parakstīts, un kā parakstītājs tika identificēts. Žurnāls ir būtisks elektronisko parakstu pierādījuma spēkam un VDAR atbilstības dokumentēšanai, piemēram, lai norādītu, kam ir bijusi piekļuve sensitīvām lietām. Labu audita žurnālu nevar rediģēt vēlāk, un tas tiek glabāts atsevišķi no datiem, kurus tas apraksta.

Dānijas iestāde, kas uzrauga, vai uzņēmumi ievēro Darba vides likumu. Tā veic gan iepriekš paziņotas, gan nepaziņotas pārbaudes un var izdot rīkojumus, tūlītējus rīkojumus un aizliegumus, kā arī ieteikt naudas sodus. Pārbaudēs tā parasti pieprasa darba vides novērtējumu, ikgadējo darba vides pārrunu un darba vides organizācijas dokumentāciju. Uzņēmumi ar sakārtotu rakstisku dokumentāciju pārbaudi iztur daudz vieglāk.

Dānijas datu aizsardzības uzraudzības iestāde, kas uzrauga VDAR un Dānijas Datu aizsardzības likuma ievērošanu. Tā izskata iedzīvotāju sūdzības, veic pārbaudes uzņēmumos un iestādēs, saņem paziņojumus par datu aizsardzības pārkāpumiem un publicē vadlīnijas un paraugus. Tā var izteikt kritiku, izdot rīkojumus un ieteikt naudas sodus – Dānijā VDAR naudas sodus parasti nosaka tiesas pēc paziņojuma policijai. Tās vadlīnijas ir labs sākumpunkts, kad mazs vai vidējs uzņēmums kārto savu VDAR dokumentāciju.

Dānijas likums, ar ko īsteno ES Trauksmes celšanas direktīvu (2019/1937) un kas ir spēkā kopš 2021. gada decembra. Likums uzliek par pienākumu privātiem uzņēmumiem ar 50 vai vairāk darbiniekiem un lielākajai daļai publisko darba devēju izveidot iekšēju trauksmes celšanas sistēmu – prasība attiecas uz uzņēmumiem ar 50–249 darbiniekiem kopš 2023. gada 17. decembra. Likums aizsargā trauksmes cēlējus pret represijām un nosaka prasības konfidencialitātei, saņemšanas apstiprinājumam 7 dienu laikā un atgriezeniskajai saitei 3 mēnešu laikā. Pārkāpumi var izraisīt naudas sodus un civiltiesisko atbildību.

Kopš 2024. gada 1. jūlija Dānijas darba devējiem jāizmanto objektīva, uzticama un pieejama sistēma, kas reģistrē katra darbinieka ikdienas darba laiku. Prasība izriet no Dānijas Darba laika likuma grozījuma, ar ko īsteno Eiropas Savienības Tiesas praksi, un tai jānodrošina iespēja pārbaudīt 48 stundu noteikumu un atpūtas laika noteikumus. Ieraksti jāglabā 5 gadus, un darbiniekam jāspēj piekļūt saviem datiem. Tā sauktos pašorganizētājus var atbrīvot no šī pienākuma, taču izņēmums ir šaurs un jānorāda darba līgumā.

Obligāts darba vides novērtējums, kas jāveic katram Dānijas darba devējam ar darbiniekiem vismaz reizi 3 gados – un ikreiz, kad darbā notiek būtiskas izmaiņas. Tas sastāv no četriem posmiem: darba vides apzināšanas, problēmu novērtēšanas, rakstiska rīcības plāna un pārraudzības. Prasība izriet no Dānijas Darba vides likuma 15.a panta, un Darba vides iestāde (Arbejdstilsynet) var pieprasīt to uzrādīt pārbaudes laikā. Metode ir brīvi izvēlama, taču rezultātam jābūt rakstiskam un pieejamam darbiniekiem.

Uzņēmuma apkopots apraksts par noteikumiem, politikām un praktiskiem jautājumiem darbiniekiem – piemēram, darba laiku, ziņošanu par slimību, atvaļinājumu, IT un datu aizsardzības politiku, apreibinošo vielu politiku un vadlīnijām pret aizvainojošu izturēšanos. Rokasgrāmata nav likumā noteikta prasība, taču tā apkopo dokumentāciju, ko prasa citi noteikumi, un rada skaidrību par to, kas ir spēkā. Rokasgrāmatas noteikumiem var būt darba tiesiska ietekme, tāpēc par būtiskām izmaiņām jāpaziņo pienācīgi. Laba prakse ir ļaut darbiniekiem elektroniski apstiprināt, ka viņi ir izlasījuši spēkā esošo versiju.

Rakstisks līgums, kuru VDAR 28. pants prasa starp pārzini un apstrādātāju. Līgumā cita starpā jānosaka apstrādes priekšmets un ilgums, datu veids, apstrādātāja pienākumi, drošības prasības, noteikumi par apakšapstrādātājiem, kā arī palīdzība datu aizsardzības pārkāpumu un piekļuves pieprasījumu gadījumos. Bez spēkā esoša datu apstrādes līguma ir prettiesiski ļaut piegādātājam apstrādāt personas datus uzņēmuma vārdā. Dānijas datu aizsardzības iestāde ir publicējusi standarta paraugu, ko izmanto daudzi mazie un vidējie uzņēmumi.

Personas datu nosūtīšana uz valstīm ārpus ES/EEZ – piemēram, ja uzņēmums izmanto ASV mākoņpakalpojumu. Nosūtīšanai nepieciešams derīgs nodošanas pamats saskaņā ar VDAR V nodaļu: Eiropas Komisijas lēmumu par aizsardzības līmeņa pietiekamību (piemēram, ES un ASV Datu privātuma satvaru), līguma standartklauzulas (SCC) vai saistošus uzņēmuma noteikumus. Pēc Schrems II sprieduma uzņēmumam papildus jānovērtē, vai aizsardzības līmenis saņēmējvalstī patiešām ir pietiekams. Nodošana trešajām valstīm jāatspoguļo 30. panta reģistrā un privātuma politikā.

Personas pieprasījums uzzināt, kādus personas datus uzņēmums par to apstrādā – tiesības saskaņā ar VDAR 15. pantu. Uzņēmumam cita starpā jāsniedz informācija par mērķiem, datu kategorijām, saņēmējiem un glabāšanas termiņu, kā arī jāizsniedz datu kopija. Atbilde jāsniedz bez nepamatotas kavēšanās un ne vēlāk kā mēneša laikā pēc saņemšanas; sarežģītu pieprasījumu gadījumā termiņu var pagarināt par diviem mēnešiem. Atbilde parasti ir bezmaksas datu subjektam.

Tiesības, ko VDAR piešķir personām, kuru dati tiek apstrādāti: tiesības uz informāciju, piekļuvi, labošanu, dzēšanu (tiesības tikt aizmirstam), apstrādes ierobežošanu, datu pārnesamību un iebildumiem – kā arī aizsardzība pret pilnībā automatizētiem lēmumiem ar būtiskām sekām. Uzņēmumam jābūt procedūrām, lai uz pieprasījumiem atbildētu mēneša laikā. Tiesības nav absolūtas; piemēram, dzēšanu var atteikt, ja dati jāglabā saskaņā ar grāmatvedības likumu. Tiesību nepienācīga īstenošana ir viens no biežākajiem sūdzību iemesliem datu aizsardzības iestādēm.

Ietekmes uz datu aizsardzību novērtējums, ko VDAR 35. pants prasa, ja apstrāde, visticamāk, rada augstu risku datu subjektiem – piemēram, sistemātiska novērošana, plaša sensitīvu datu apstrāde vai jauna tehnoloģija, piemēram, sejas atpazīšana. Novērtējumā jāapraksta apstrāde, jāizvērtē nepieciešamība un samērīgums, jāapzina riski un jānosaka riska mazināšanas pasākumi. Ja risku nevar samazināt, pirms apstrādes uzsākšanas jākonsultējas ar uzraudzības iestādi. Dānija ir publicējusi sarakstu ar apstrādēm, kurām vienmēr nepieciešams DPIA.

Elektroniskā sistēma, kas Dānijas darba devējiem jāizmanto, lai ziņotu par nelaimes gadījumiem darbā Darba vides iestādei un Darba tirgus arodslimību apdrošināšanai. EASY sistēmai piekļūst caur Virk.dk, izmantojot uzņēmuma MitID Erhverv, un viens ziņojums automātiski tiek nosūtīts atbilstošajām iestādēm un, ja nepieciešams, apdrošinātājam. Ziņošana sistēmā EASY ir obligāta – papīra veidlapas netiek pieņemtas. Ir laba prakse nekavējoties iekšēji reģistrēt negadījuma faktus, lai EASY ziņojumu varētu pareizi aizpildīt noteiktajā termiņā.

ES regula par elektronisko identifikāciju un uzticamības pakalpojumiem (910/2014), kas rada kopīgus noteikumus elektroniskajiem parakstiem, zīmogiem un laika zīmogiem visā ES. eIDAS nosaka trīs elektroniskā paraksta līmeņus – vienkāršu (SES), uzlaboto (AES) un kvalificēto (QES) – un nosaka, ka parakstam nevar liegt pierādījuma spēku vienīgi tāpēc, ka tas ir elektronisks. Regula ir atjaunināta ar eIDAS 2.0, kas cita starpā ievieš Eiropas digitālās identitātes maku. Mazajiem un vidējiem uzņēmumiem eIDAS nozīmē, ka tādus dokumentus kā darba līgumus var derīgi parakstīt elektroniski.

Notikums, kas varēja izraisīt nelaimes gadījumu darbā, taču neviens netika savainots – piemēram, instruments, kas nokrīt blakus darbiniekam, vai paslīdēšana, kas gandrīz nebeidzas ar kritienu. Šādi gadījumi nav jāziņo iestādēm, taču tie ir viens no svarīgākajiem profilakses rīkiem. Sistemātiski tos reģistrējot un analizējot, uzņēmums var novērst riskus, pirms tie izraisa reālu negadījumu. Šādu gadījumu modeļiem būtu jāatspoguļojas darba vides risku novērtējumā.

Termiņi, ko uzņēmums nosaka tam, cik ilgi tiek glabāti dažādi personas datu veidi, pirms tie tiek dzēsti vai anonimizēti. VDAR glabāšanas ierobežojuma princips prasa, lai dati netiktu glabāti ilgāk, nekā nepieciešams mērķa sasniegšanai. Termiņi jādokumentē – parasti 30. panta reģistrā un dzēšanas politikā – un tie faktiski jāievēro praksē. Daži termiņi izriet no citiem tiesību aktiem, piemēram, Dānijas Grāmatvedības likuma prasības glabāt grāmatvedības materiālus 5 gadus.

Dokumenti, kas jauns darbinieks jāsaņem un jāparaksta, sākot darba attiecības. Vissvarīgākais ir darba līgums: saskaņā ar Dānijas 2023. gada Nodarbinātības apliecinājuma likumu būtiskākie nosacījumi jāsniedz rakstiski ne vēlāk kā 7 kalendāra dienu laikā pēc pirmās darba dienas, bet pārējie – mēneša laikā. Papildus parasti tiek pievienota konfidencialitātes vienošanās, IT un datu aizsardzības politika, aprīkojuma nodošana, rokasgrāmatas saņemšanas apstiprinājums un VDAR informēšanas pienākums par darbinieku datu apstrādi. Elektronisks paraksts ar audita žurnālu atvieglo pierādīšanu, ka viss ir izsniegts un pieņemts laikā.

Obligāta sanāksme, kas katram Dānijas darba devējam ar darbiniekiem jārīko vismaz reizi gadā, kurā vadība un darbinieki pārskata darba vides stāvokli. Pārrunās jāatskatās uz pagājušo gadu, jānosaka nākamā gada mērķi un pasākumi un jānovērtē, vai sadarbība darba vides jomā darbojas. Uzņēmumiem bez formālas darba vides organizācijas jāspēj rakstiski dokumentēt Darba vides iestādei, ka pārruna ir notikusi. Tas dabiski saistīts ar riska novērtējuma pārraudzību.

Starptautiskais standarts informācijas drošības pārvaldības sistēmām (ISMS). Standarts prasa, lai organizācija sistemātiski identificētu savus informācijas drošības riskus un pārvaldītu tos ar politikām, kontrolēm un pastāvīgu uzlabošanu; kontroļu katalogs atrodams A pielikumā un ir sīkāk izklāstīts standartā ISO 27002. Sertifikāciju veic akreditēta sertifikācijas iestāde, un tā ir brīvprātīga, taču to arvien vairāk pieprasa klienti un iepirkumos. Mazajiem un vidējiem uzņēmumiem pilna ISO 27001 sertifikācija bieži ir pārmērīga, taču principi – riska novērtējums, piekļuves kontrole, žurnalēšana un gatavība incidentiem – ir labs paraugs drošības darbam.

Atsevišķs risku novērtējums, kas Dānijas darba devējiem jāsagatavo, ja darbinieki strādā ar bīstamām ķīmiskām vielām un materiāliem vai var tiem tikt pakļauti. 2019. gadā tas aizstāja iepriekšējās darba vietas lietošanas instrukcijas, un tajā jāapraksta vielu bīstamība, iedarbība, preventīvie pasākumi un apmācības prasības. Novērtējumam jābūt rakstiskam, atjauninātam, un darbinieki jāinformē par tā rezultātiem. Piegādātāja drošības datu lapas ir svarīgs pamats šim darbam.

Elektronisks pierādījums tam, ka noteikti dati pastāvēja konkrētā brīdī. Parakstīšanas un atbilstības kontekstā laika zīmogs piesaista dokumenta jaucējkodu konkrētam laikam, ļaujot pierādīt, kad dokuments tika parakstīts vai reģistrēts. eIDAS regulē kvalificētus elektroniskos laika zīmogus, ko izsniedz atzīti uzticamības pakalpojumu sniedzēji un uz kuriem attiecas pareizības prezumpcija. Uzticami laika zīmogi ir svarīgi arī audita žurnālos, piemēram, lai pierādītu, ka par datu aizsardzības pārkāpumu paziņots 72 stundu laikā.

Tiesiskais pamats saskaņā ar VDAR 6. panta 1. punkta f) apakšpunktu, kas ļauj uzņēmumam apstrādāt parastus personas datus, ja tā leģitīmās intereses ir svarīgākas par datu subjekta interesēm un tiesībām. Pamats prasa dokumentētu izvērtējumu – tā saukto interešu līdzsvara pārbaudi – un to, ka apstrāde ir nepieciešama mērķim. Tipiski piemēri ir tiešais mārketings esošajiem klientiem, IT drošība un iekšējā administrēšana. Datu subjektam vienmēr ir tiesības iebilst pret apstrādi, kas balstīta uz leģitīmām interesēm.

Dānijas nacionālā digitālā identitāte, kas aizstāja NemID un tiek izmantota, lai pieteiktos publiskajā sektorā, bankās un privātos pakalpojumos. MitID ir paziņots saskaņā ar eIDAS, un to var izmantot parakstītāja identificēšanai elektroniskā parakstīšanas procesā, kas paaugstina parakstu līdz uzlabotajam līmenim (AES). Uzņēmumi izmanto MitID Erhverv, lai rīkotos uzņēmuma vārdā, piemēram, sistēmā EASY un Virk.dk. Parakstot dokumentu, pieteikšanās ar MitID ar augstu drošības pakāpi dokumentē, kurš faktiski parakstīja.

Pēkšņs ar darbu saistīts notikums, kas rada miesas bojājumus – piemēram, kritiens, saspiešanas trauma vai akūta pārslodze. Darba devējam obligāti jāziņo par negadījumu elektroniski sistēmā EASY, ja tas izraisa prombūtni pēc savainojuma dienas, un ziņojums jāiesniedz ne vēlāk kā 14 dienu laikā pēc pirmās prombūtnes dienas. Jāziņo arī par negadījumiem, kas var dot tiesības uz atlīdzību saskaņā ar Dānijas darba negadījumu likumu. Par ziņojuma neiesniegšanu var uzlikt naudas sodu, un pēc negadījumiem vienmēr jāveic preventīvi pasākumi risku novērtējumā.

ES kiberdrošības direktīva (2022/2555), kas pastiprina drošības prasības tīklu un informācijas sistēmām būtiskiem un svarīgiem subjektiem daudzās nozarēs – piemēram, enerģētikā, transportā, veselības aprūpē, digitālajā infrastruktūrā un pārtikas nozarē. Aptvertajiem uzņēmumiem jāievieš riska pārvaldība, jārisina piegādes ķēdes drošība un jāziņo iestādēm par būtiskiem incidentiem, un neatbilstības gadījumā var uzlikt ievērojamus naudas sodus; vadību var saukt pie personiskas atbildības. NIS2 parasti attiecas uz vidējiem un lieliem uzņēmumiem aptvertajās nozarēs, taču netieši ietekmē arī mazākus piegādātājus, izpildot klientu prasības. Dānijā direktīva ir ieviesta ar likumu, kas stājās spēkā 2025. gada 1. jūlijā.

Uzņēmums, iestāde vai persona, kas nosaka, kādiem mērķiem un ar kādiem līdzekļiem tiek apstrādāti personas dati. Pārzinis nes galveno atbildību par VDAR ievērošanu: tiesisko pamatu, informēšanas pienākumu, drošību, dokumentāciju un datu subjektu tiesības. Piemēram, darba devējs ir pārzinis attiecībā uz darbinieku personāla datiem. Ja pārzinis apstrādei izmanto piegādātājus, ar tiem jānoslēdz datu apstrādes līgumi.

Drošības incidents, kas izraisa nejaušu vai prettiesisku personas datu iznīcināšanu, nozaudēšanu, mainīšanu vai neatļautu piekļuvi tiem – piemēram, nepareizam saņēmējam nosūtīts e-pasts, pazaudēts klēpjdators vai uzlaušana. Pārkāpums parasti jāpaziņo uzraudzības iestādei 72 stundu laikā, ja vien tas, visticamāk, nerada risku datu subjektiem. Augsta riska gadījumā jāinformē arī skartās personas. Visi pārkāpumi – arī tie, par kuriem netiek ziņots – jādokumentē iekšējā reģistrā.

Viens no VDAR sešiem tiesiskajiem pamatiem personas datu apstrādei. Derīgai piekrišanai jābūt brīvi dotai, konkrētai, informētai un nepārprotamai – un dotai ar aktīvu darbību, piemēram, atzīmējot rūtiņu, kas nav iepriekš atzīmēta. Datu subjekts var jebkurā laikā atsaukt piekrišanu, un tam jābūt tikpat vienkāršam kā tās sniegšanai. Uzņēmumam jāspēj pierādīt, ka piekrišana ir iegūta pareizi, un darba attiecībās piekrišana reti ir piemērota, jo varas nelīdzsvarotība padara brīvprātību apšaubāmu.

Darba vides risku novērtējuma daļa, kas attiecas uz psihosociālo darba vidi: darba slodzi, neskaidras prasības, aizskaršanu, vardarbību un aizvainojošu izturēšanos. Tas nav brīvprātīgs papildinājums – psihosociālie faktori vienmēr jāiekļauj novērtējumā līdzās fiziskajiem riskiem. Noteikumi tika precizēti Dānijas 2020. gada noteikumos par psihosociālo darba vidi. Daudzi uzņēmumi to apzina, izmantojot anonīmas aptaujas, lai darbinieki uzdrošinātos atbildēt godīgi.

Augstākais paraksta līmenis eIDAS ietvaros: uzlabots elektroniskais paraksts, kas izveidots ar kvalificētu paraksta izveides ierīci un balstīts uz kvalificētu sertifikātu, ko izsniegusi atzīta uzticamības pakalpojumu sniedzēja. QES ir tāda pati juridiskā iedarbība kā ar roku rakstītam parakstam visā ES, un to atzīst visās dalībvalstīs. Tas nepieciešams tikai īpašos gadījumos, kad likums nosaka formas prasības – parastiem uzņēmējdarbības līgumiem parasti pietiek ar AES vai SES. Savukārt praksē pierādīšanas pienākums mainās: QES gadījumā pusei, kas apstrīd parakstu, jāpierāda, ka tas nav autentisks.

Jebkāda nelabvēlīga attieksme pret trauksmes cēlēju ziņojuma dēļ – piemēram, atlaišana no darba, pazemināšana amatā, aizskaršana, sliktāki darba uzdevumi vai izslēgšana no paaugstinājuma. Trauksmes celšanas likums aizliedz represijas, un arī draudi ar represijām un mēģinājumi tās veikt ir prettiesiski. Ja trauksmes cēlējs tomēr cieš no represijām, viņam ir tiesības uz atlīdzību, un pierādīšanas pienākums var mainīties tā, ka darba devējam jāpierāda, ka attieksme nebija saistīta ar ziņojumu. Aizsardzība attiecas, ja ziņotājs labticīgi uzskatīja, ka informācija ir pareiza.

Riska novērtējumā ietvertais rakstiskais plāns, kas apraksta, kā uzņēmums plāno risināt apzināšanā konstatētās darba vides problēmas. Par katru problēmu plānā jānorāda, kas jādara, kurš ir atbildīgs un kad tas jāatrisina. Rīcības plāns ir likumā noteikta prasība – riska novērtējums bez rīcības plāna nav pilnīgs. Turklāt jāveic pārraudzība, lai uzņēmums varētu pierādīt, ka pasākumi patiešām ir īstenoti un darbojas.

Eiropas Komisijas standarta līgumi, ko uzņēmumi var izmantot kā nodošanas pamatu, ja personas dati tiek sūtīti uz valstīm ārpus ES/EEZ bez lēmuma par aizsardzības līmeņa pietiekamību. Spēkā esošās 2021. gada klauzulas ir sadalītas moduļos, kas aptver dažādas pārziņu un apstrādātāju kombinācijas. Klauzulas jāparaksta nemainītā veidā, un pēc Schrems II sprieduma tās jāpapildina ar saņēmējvalsts tiesību aktu izvērtējumu un vajadzības gadījumā ar papildu aizsardzības pasākumiem, piemēram, šifrēšanu. Praksē SCC ir visbiežāk izmantotais nodošanas pamats mazajiem un vidējiem uzņēmumiem.

VDAR 9. pantā minētās īpašo kategoriju personas dati: rase un etniskā izcelsme, politiskie, reliģiskie vai filozofiskie uzskati, dalība arodbiedrībā, ģenētiskie un biometriskie dati, veselības dati, kā arī dati par seksuālo dzīvi vai seksuālo orientāciju. Apstrāde principā ir aizliegta un prasa īpašu izņēmumu, piemēram, skaidru piekrišanu vai nepieciešamību saskaņā ar darba tiesībām. Sensitīviem datiem nepieciešama pastiprināta drošība, un Dānijas tiesībās uz personas kodiem un sodāmības datiem attiecas savi īpaši noteikumi. Daudzos personāla un trauksmes celšanas gadījumos ir iekļauti sensitīvi dati, tāpēc tie jāaizsargā īpaši labi.

eIDAS pamata paraksta līmenis: elektroniskā formā esoši dati, kas ir piesaistīti citiem elektroniskiem datiem un ko parakstītājs izmanto parakstīšanai – piemēram, e-pasta beigās ierakstīts vārds, ieskenēts paraksta attēls vai klikšķis uz apstiprinājuma pogas. SES ir juridiski derīgs lielākajai daļai līgumu Dānijā, kur attiecībā uz formu ir spēkā līgumu slēgšanas brīvība. Tomēr pierādījuma spēks ir atkarīgs no tā, cik labi var pierādīt, kurš parakstīja un ka dokuments nav mainīts. Tāpēc audita žurnāls un dokumenta kriptogrāfiskais jaucējkods ievērojami stiprina SES.

Dokumenta kriptogrāfiskais pirkstu nospiedums, ko aprēķina ar jaucējfunkciju, piemēram, SHA-256. Pat vismazākā izmaiņa dokumentā – viena rakstzīme – dod pilnīgi citu jaucējvērtību, un praktiski nav iespējams izveidot citu dokumentu ar tādu pašu jaucējkodu. Elektroniski parakstot, tiek saglabāts dokumenta jaucējkods, lai vēlāk varētu pierādīt, ka parakstītais dokuments nav mainīts. Jaucējkods neatklāj neko par dokumenta saturu, tāpēc to var brīvi kopīgot kā integritātes pierādījumu.

Iekšējs kanāls, kurā darbinieki un citas ar darbu saistītas personas var konfidenciāli ziņot par likuma pārkāpumiem un nopietniem gadījumiem – piemēram, krāpšanu, kukuļošanu, VDAR pārkāpumiem vai seksuālu uzmākšanos. Sistēmai jābūt objektīvai trauksmes celšanas vienībai, kas apstiprina saņemšanu 7 dienu laikā un sniedz atgriezenisko saiti 3 mēnešu laikā. Ziņotāja identitāte jāaizsargā, un piekļuve lietām jāpiešķir tikai personām, kurām tas nepieciešams. Sistēma jāapraksta rakstiski, un darbiniekiem jābūt vienkāršai piekļuvei informācijai par tās izmantošanu.

ES regula par personas datu aizsardzību, kas piemērojama kopš 2018. gada 25. maija un ko papildina Dānijas Datu aizsardzības likums. VDAR nosaka prasības tam, kā uzņēmumi vāc, izmanto, glabā un dzēš personas datus, un piešķir datu subjektiem virkni tiesību. Uzņēmumiem jāspēj pierādīt savu atbilstību – tā sauktais pārskatatbildības princips. Par pārkāpumiem var uzlikt naudas sodus līdz 20 miljoniem eiro vai 4% no pasaules gada apgrozījuma.