Compliance-woordenlijst

Het schriftelijke plan binnen de werkplek-risicobeoordeling dat beschrijft hoe het bedrijf de door de inventarisatie blootgelegde problemen zal oplossen. Voor elk probleem moet het plan aangeven wat er moet gebeuren, wie verantwoordelijk is, en wanneer het opgelost moet zijn. Het actieplan is wettelijk verplicht, een risicobeoordeling zonder actieplan is niet compleet. Bovendien moet er opvolging plaatsvinden, zodat het bedrijf kan aantonen dat de maatregelen daadwerkelijk zijn uitgevoerd en werken.

Het middelste niveau van handtekeningen, gedefinieerd in artikel 26 van eIDAS. Een geavanceerde elektronische handtekening moet op unieke wijze aan de ondertekenaar zijn gekoppeld, deze kunnen identificeren, tot stand zijn gebracht met middelen die de ondertekenaar onder zijn uitsluitende controle heeft, en zodanig aan het document zijn gekoppeld dat elke latere wijziging kan worden opgespoord. In de praktijk wordt hieraan vaak voldaan door identificatie (bijvoorbeeld met MitID) te combineren met een cryptografische verzegeling van het document. Een AES heeft een aanzienlijk sterkere bewijswaarde dan een gewone handtekening en is de standaardkeuze voor bijvoorbeeld arbeidsovereenkomsten en verwerkersovereenkomsten.

De formele samenwerking rond arbeidsmilieu tussen directie en werknemers, verplicht in Deense bedrijven met 10 of meer werknemers. De AMO bestaat uit een of meer arbeidsmilieugroepen met een gekozen arbeidsmilieuvertegenwoordiger en een aangewezen leidinggevende. Leden moeten de verplichte driedaagse arbeidsmilieuopleiding volgen binnen 3 maanden na hun verkiezing. In bedrijven met minder dan 10 werknemers moet het arbeidsmilieuwerk in plaats daarvan plaatsvinden in rechtstreekse samenwerking tussen werkgever en personeel.

Een plotselinge, met het werk verbonden gebeurtenis die persoonlijk letsel veroorzaakt: bijvoorbeeld een val, een beknellingsletsel of een acute overbelasting. De werkgever moet het ongeval digitaal melden in EASY als het leidt tot verzuim na de dag van het ongeval, en de melding moet uiterlijk 14 dagen na de eerste verzuimdag worden ingediend. Ongevallen die recht kunnen geven op een vergoeding onder de Deense arbeidsongevallenwet moeten ook worden gemeld. Het niet melden kan met een boete worden bestraft, en ongevallen moeten altijd worden opgevolgd met preventieve maatregelen in de risicobeoordeling.

Een chronologische, onveranderlijke registratie van gebeurtenissen in een systeem: wie wat wanneer en vanaf welk adres heeft gedaan. In een ondertekeningsproces documenteert het auditlogboek bijvoorbeeld wanneer het document is verzonden, geopend en ondertekend, en hoe de ondertekenaar is geïdentificeerd. Het logboek is essentieel voor de bewijswaarde van elektronische handtekeningen en om de AVG-naleving aan te tonen, bijvoorbeeld wie toegang heeft gehad tot gevoelige zaken. Een goed auditlogboek kan achteraf niet worden bewerkt en wordt gescheiden van de gegevens bewaard die het beschrijft.

De EU-verordening voor de bescherming van persoonsgegevens, die van toepassing is sinds 25 mei 2018 en in Denemarken wordt aangevuld door de Deense gegevensbeschermingswet. De AVG stelt eisen aan hoe bedrijven persoonsgegevens verzamelen, gebruiken, opslaan en verwijderen, en geeft betrokkenen een reeks rechten. Bedrijven moeten hun naleving kunnen aantonen, het zogenoemde verantwoordingsbeginsel. Overtredingen kunnen worden bestraft met boetes tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.

De termijnen die een bedrijf vaststelt voor hoelang verschillende soorten persoonsgegevens worden bewaard voordat ze worden verwijderd of geanonimiseerd. Het opslagbeperkingsbeginsel van de AVG vereist dat gegevens niet langer worden bewaard dan nodig is voor het doel. De termijnen moeten worden gedocumenteerd, doorgaans in het artikel 30-register en een verwijderingsbeleid, en ze moeten in de praktijk daadwerkelijk worden gehandhaafd. Sommige termijnen vloeien voort uit andere wetgeving, zoals de verplichting in de Deense boekhoudwet om boekhoudkundige gegevens 5 jaar te bewaren.

Een gebeurtenis die tot een arbeidsongeval had kunnen leiden, maar waarbij niemand gewond raakte: bijvoorbeeld een gereedschap dat vlak naast een werknemer valt, of een uitglijder die net geen val veroorzaakt. Bijna-ongevallen hoeven niet bij de autoriteiten te worden gemeld, maar zijn een van de belangrijkste instrumenten voor preventie. Door ze systematisch te registreren en analyseren, kan een bedrijf risico's wegnemen voordat ze een echt ongeval veroorzaken. Patronen in bijna-ongevallen moeten worden meegenomen in de werkplek-risicobeoordeling.

Een specifieke risicobeoordeling die Deense werkgevers moeten opstellen wanneer werknemers werken met, of blootgesteld kunnen worden aan, gevaarlijke chemische stoffen en materialen. Ze verving in 2019 de vroegere werkplekinstructiebladen en moet onder meer de gevaren van de stoffen, de blootstelling, preventieve maatregelen en opleidingseisen beschrijven. De beoordeling moet schriftelijk zijn, actueel worden gehouden, en werknemers moeten over de resultaten worden geïnstrueerd. De veiligheidsinformatiebladen van de leverancier vormen daarbij een belangrijke basis.

Een jaarplanning die de terugkerende compliancetaken van het bedrijf over het kalenderjaar verdeelt, zodat niets wordt vergeten of zich opstapelt. Typische onderdelen zijn het jaarlijkse arbeidsmilieuoverleg, de opvolging van het actieplan van de risicobeoordeling, de herziening van het artikel 30-register en de bewaartermijnen, het testen van de respons op datalekken, het herzien van verwerkersovereenkomsten en het bijwerken van het personeelshandboek. De jaarplanning maakt van compliance een doorlopende routine met duidelijke verantwoordelijken en termijnen in plaats van een jaarlijkse brandoefening. Ze dient bovendien als goed bewijs voor toezichthouders dat het bedrijf systematisch te werk gaat.

Een beveiligingsincident dat leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde toegang van persoonsgegevens, per ongeluk of onrechtmatig: bijvoorbeeld een e-mail die naar de verkeerde ontvanger is gestuurd, een verloren laptop of een hackaanval. Een datalek moet in beginsel binnen 72 uur worden gemeld aan de gegevensbeschermingsautoriteit, tenzij het geen risico voor de betrokkenen met zich meebrengt. Bij een hoog risico moeten ook de betrokken personen worden geïnformeerd. Elk datalek, ook wanneer het niet wordt gemeld, moet in een intern register worden gedocumenteerd.

De regel in de Deense Arbeidstijdenwet dat de gemiddelde wekelijkse arbeidstijd van een werknemer, inclusief overwerk, niet meer dan 48 uur mag bedragen, gemeten over een referentieperiode van 4 maanden. De regel is afkomstig uit de EU-arbeidstijdenrichtlijn en geldt voor vrijwel alle werknemers. Overtreding kan leiden tot een vergoeding voor de werknemer, en sinds 2024 moeten werkgevers de naleving kunnen aantonen via tijdregistratie. Sommige cao's staan onder bepaalde voorwaarden een hogere grens toe voor geselecteerde groepen.

De termijn in artikel 33 van de AVG voor het melden van een datalek aan de gegevensbeschermingsautoriteit: zonder onnodige vertraging en waar mogelijk uiterlijk binnen 72 uur nadat het bedrijf kennis heeft genomen van het lek. De termijn loopt ook door in weekends en op feestdagen. Wordt de termijn overschreden, dan moet de vertraging in de melding worden verklaard. Beschikt het bedrijf niet over alle informatie binnen de termijn, dan kan de melding gefaseerd plaatsvinden. Het belangrijkste is om te melden wat men weet, op tijd.

De Deense autoriteit die toezicht houdt op de naleving van de Arbeidsmilieuwet. Ze voert zowel aangekondigde als onaangekondigde inspectiebezoeken uit en kan bevelen, onmiddellijke bevelen en verboden opleggen, en boetes aanbevelen. Tijdens inspecties vraagt ze doorgaans naar de werkplek-risicobeoordeling, het jaarlijkse arbeidsmilieuoverleg en documentatie van de arbeidsmilieuorganisatie. Bedrijven met hun schriftelijke documentatie op orde komen veel gemakkelijker door een inspectiebezoek.

De Deense toezichthoudende autoriteit voor gegevensbescherming, die toezicht houdt op de naleving van de AVG en de Deense gegevensbeschermingswet. Ze behandelt klachten van burgers, voert inspecties uit bij bedrijven en overheidsinstanties, ontvangt meldingen van datalekken en publiceert richtsnoeren en modellen. Ze kan kritiek uiten, bevelen geven en boetes aanbevelen, in Denemarken worden AVG-boetes doorgaans door de rechter vastgesteld na een aangifte bij de politie. Haar richtsnoeren zijn een goed startpunt wanneer een mkb-bedrijf zijn AVG-documentatie inricht.

De Deense wet die de EU-klokkenluidersrichtlijn (2019/1937) omzet en van kracht is sinds december 2021. Ze verplicht particuliere bedrijven met 50 of meer werknemers en de meeste publieke werkgevers om een interne klokkenluidersregeling op te zetten. De verplichting geldt voor bedrijven met 50-249 werknemers sinds 17 december 2023. De wet beschermt klokkenluiders tegen represailles en vereist vertrouwelijkheid, een ontvangstbevestiging binnen 7 dagen en terugkoppeling binnen 3 maanden. Overtredingen kunnen leiden tot boetes en schadevergoedingsplicht.

De doorgifte van persoonsgegevens naar landen buiten de EU/EER, bijvoorbeeld wanneer een bedrijf gebruikmaakt van een Amerikaanse clouddienst. De doorgifte vereist een geldige overdrachtsgrondslag op grond van hoofdstuk V van de AVG: een adequaatheidsbesluit van de Europese Commissie (zoals het EU-VS Data Privacy Framework), standaardcontractbepalingen (SCC) of bindende bedrijfsvoorschriften. Na het Schrems II-arrest moet het bedrijf bovendien beoordelen of het beschermingsniveau in het ontvangende land daadwerkelijk toereikend is. Doorgiften naar derde landen moeten worden vermeld in het artikel 30-register en het privacybeleid.

Een gegevensbeschermingseffectbeoordeling die artikel 35 van de AVG vereist wanneer een verwerking waarschijnlijk een hoog risico voor de betrokkenen inhoudt: bijvoorbeeld systematische monitoring, grootschalige verwerking van gevoelige gegevens of nieuwe technologie zoals gezichtsherkenning. De beoordeling moet de verwerking beschrijven, de noodzaak en evenredigheid beoordelen, de risico's in kaart brengen en mitigerende maatregelen vaststellen. Kan het risico niet worden verlaagd, dan moet de gegevensbeschermingsautoriteit worden geraadpleegd voordat de verwerking van start gaat. De Deense gegevensbeschermingsautoriteit heeft een lijst gepubliceerd van verwerkingen die altijd een DPIA vereisen.

Het digitale systeem dat Deense werkgevers moeten gebruiken om arbeidsongevallen te melden bij de Arbeidsinspectie en de Arbeidsmarktverzekering. EASY is toegankelijk via Virk.dk met de MitID Erhverv van het bedrijf, en één melding wordt automatisch doorgestuurd naar de bevoegde autoriteiten en, indien van toepassing, de verzekeraar. Melden via EASY is verplicht. Papieren formulieren worden niet geaccepteerd. Het is goede praktijk om de feiten van het ongeval meteen intern vast te leggen, zodat de EASY-melding binnen de termijn correct kan worden ingevuld.

De EU-verordening betreffende elektronische identificatie en vertrouwensdiensten (910/2014), die gemeenschappelijke regels schept voor elektronische handtekeningen, zegels en tijdstempels in de hele EU. eIDAS onderscheidt drie niveaus van elektronische handtekeningen (gewone (SES), geavanceerde (AES) en gekwalificeerde (QES)) en bepaalt dat een handtekening niet als bewijs kan worden geweigerd enkel omdat ze elektronisch is. De verordening is bijgewerkt met eIDAS 2.0, die onder meer een Europese digitale identiteitsportemonnee invoert. Voor mkb-bedrijven betekent eIDAS dat documenten zoals arbeidsovereenkomsten geldig digitaal kunnen worden ondertekend.

Een rechtsgrondslag op grond van artikel 6, lid 1, onder f, van de AVG, waarbij een bedrijf gewone persoonsgegevens mag verwerken als zijn gerechtvaardigde belangen zwaarder wegen dan de belangen en rechten van de betrokkene. Deze grondslag vereist een gedocumenteerde belangenafweging (een zogenoemde gerechtvaardigdbelangtoets) en dat de verwerking noodzakelijk is voor het doel. Typische voorbeelden zijn directe marketing naar bestaande klanten, IT-beveiliging en interne administratie. De betrokkene heeft altijd het recht om bezwaar te maken tegen verwerking op basis van gerechtvaardigd belang.

De bijzondere categorieën van persoonsgegevens in artikel 9 van de AVG: raciale of etnische afkomst, politieke, religieuze of levensbeschouwelijke overtuiging, lidmaatschap van een vakbond, genetische en biometrische gegevens, gezondheidsgegevens en gegevens over het seksuele leven of de seksuele gerichtheid. Verwerking is in beginsel verboden en vereist een specifieke uitzondering, zoals uitdrukkelijke toestemming of noodzaak op grond van het arbeidsrecht. Gevoelige gegevens vereisen verhoogde beveiliging, en naar Deens recht gelden voor burgerservicenummers en strafrechtelijke gegevens eigen, aparte regels. Veel HR- en klokkenluiderszaken bevatten gevoelige gegevens en moeten daarom extra goed worden beschermd.

Een verzoek van een persoon om te weten te komen welke persoonsgegevens het bedrijf over hem of haar verwerkt, een recht op grond van artikel 15 van de AVG. Het bedrijf moet onder meer de doeleinden, categorieën van gegevens, ontvangers en bewaartermijn meedelen en een kopie van de gegevens verstrekken. Het antwoord moet zonder onnodige vertraging worden gegeven en uiterlijk een maand na ontvangst; de termijn kan bij complexe verzoeken met twee maanden worden verlengd. Het antwoord is voor de betrokkene in beginsel kosteloos.

De internationale norm voor managementsystemen voor informatiebeveiliging (ISMS). De norm vereist dat een organisatie haar informatiebeveiligingsrisico's systematisch identificeert en beheerst via beleid, beheersmaatregelen en voortdurende verbetering; de lijst met beheersmaatregelen staat in bijlage A en wordt verder uitgewerkt in ISO 27002. Certificering gebeurt door een geaccrediteerde certificatie-instelling en is vrijwillig, maar wordt in toenemende mate gevraagd door klanten en bij aanbestedingen. Voor mkb-bedrijven is volledige certificering vaak overdreven, maar de principes: risicobeoordeling, toegangsbeheer, logging en incidentrespons, vormen een goed voorbeeld voor het beveiligingswerk.

Een verplichte bijeenkomst die elke Deense werkgever met personeel ten minste eenmaal per jaar moet houden, waarbij directie en werknemers de stand van zaken van het arbeidsmilieu bespreken. Het overleg moet terugblikken op het afgelopen jaar, doelen en initiatieven voor het komende jaar vaststellen, en beoordelen of de samenwerking rond arbeidsmilieu goed werkt. Bedrijven zonder AMO moeten schriftelijk aan de Arbeidsinspectie kunnen aantonen dat het overleg heeft plaatsgevonden. Het overleg sluit vanzelfsprekend aan bij de opvolging van de werkplek-risicobeoordeling.

Een intern kanaal waar werknemers en anderen met een werkgerelateerde band vertrouwelijk overtredingen van de wet en ernstige misstanden kunnen melden: bijvoorbeeld fraude, omkoping, schendingen van de AVG of seksuele intimidatie. De regeling moet beschikken over een onpartijdige klokkenluidersfunctie die de ontvangst binnen 7 dagen bevestigt en binnen 3 maanden terugkoppeling geeft. De identiteit van de melder moet worden beschermd, en alleen personen met een noodzaak mogen toegang hebben tot de zaken. De regeling moet schriftelijk zijn beschreven, en werknemers moeten gemakkelijk toegang hebben tot informatie over het gebruik ervan.

Denemarkens nationale digitale identiteit, die NemID heeft vervangen en wordt gebruikt om in te loggen bij de overheid, banken en particuliere diensten. MitID is aangemeld onder eIDAS en kan worden gebruikt om de ondertekenaar te identificeren in een elektronisch ondertekeningsproces, waardoor de handtekening wordt verheven tot het geavanceerde niveau (AES). Bedrijven gebruiken MitID Erhverv om namens het bedrijf te handelen, bijvoorbeeld in EASY en op Virk.dk. Bij het ondertekenen van documenten levert een MitID-login sterk bewijs van wie daadwerkelijk heeft ondertekend.

De EU-richtlijn inzake cyberbeveiliging (2022/2555), die de beveiligingseisen voor netwerk- en informatiesystemen aanscherpt voor essentiële en belangrijke entiteiten in een groot aantal sectoren, zoals energie, vervoer, gezondheidszorg, digitale infrastructuur en voedsel. Betrokken bedrijven moeten risicobeheer invoeren, de beveiliging van de toeleveringsketen aanpakken en significante incidenten melden aan de autoriteiten; bij niet-naleving dreigen aanzienlijke boetes, en het management kan persoonlijk aansprakelijk worden gesteld. NIS2 geldt doorgaans voor middelgrote en grote bedrijven in de betrokken sectoren, maar raakt ook kleinere leveranciers indirect via de eisen van hun klanten. In Denemarken is de richtlijn met ingang van 1 juli 2025 bij wet omgezet.

De documenten die een nieuwe werknemer bij de start van het dienstverband moet ontvangen en ondertekenen. Het belangrijkste is de arbeidsovereenkomst: volgens de Deense wet op het bewijs van de arbeidsvoorwaarden uit 2023 moeten de essentiële voorwaarden uiterlijk 7 kalenderdagen na de eerste werkdag schriftelijk worden verstrekt, en de rest binnen een maand. Daarnaast komen doorgaans een geheimhoudingsverklaring, IT- en gegevensbeschermingsbeleid, uitgifte van apparatuur, bevestiging van het personeelshandboek en de AVG-informatieplicht over de verwerking van werknemersgegevens. Digitaal ondertekenen met een auditlogboek maakt het gemakkelijk te bewijzen dat alles op tijd is verstrekt en geaccepteerd.

De verzamelde beschrijving van het bedrijf van regels, beleid en praktische zaken voor werknemers, zoals arbeidstijd, ziekmelding, vakantie, IT- en gegevensbeschermingsbeleid, middelenbeleid en richtlijnen tegen grensoverschrijdend gedrag. Het handboek is niet wettelijk verplicht, maar bundelt documentatie die andere regels wel vereisen en schept duidelijkheid over wat geldt. Bepalingen in het handboek kunnen arbeidsrechtelijke gevolgen hebben, dus wezenlijke wijzigingen moeten op de juiste wijze worden aangekondigd. Goede praktijk is om werknemers digitaal te laten bevestigen dat ze de geldende versie hebben gelezen.

Het onderdeel van de werkplek-risicobeoordeling dat betrekking heeft op de psychosociale werkomgeving: werkdruk, onduidelijke eisen, pesten, intimidatie, geweld en grensoverschrijdend gedrag. Dit is geen vrijblijvende toevoeging, psychosociale factoren moeten altijd op gelijke voet met fysieke risico's in de APV worden opgenomen. De regels zijn in 2020 verduidelijkt in het Deense uitvoeringsbesluit over de psychosociale werkomgeving. Veel bedrijven brengen dit in kaart via anonieme vragenlijsten, zodat werknemers zich vrij voelen om eerlijk te antwoorden.

Het hoogste niveau van handtekeningen onder eIDAS: een geavanceerde elektronische handtekening die is aangemaakt met een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen en gebaseerd is op een gekwalificeerd certificaat, uitgegeven door een erkende vertrouwensdienstverlener. Een QES heeft in de hele EU dezelfde rechtsgevolgen als een handgeschreven handtekening en wordt tussen de lidstaten onderling erkend. Ze is alleen vereist in bijzondere gevallen waarin de wet vormvereisten stelt, voor gewone zakelijke overeenkomsten volstaat doorgaans een AES of SES. Daar staat tegenover dat de bewijslast in de praktijk wordt omgekeerd: bij een QES moet degene die de handtekening betwist, bewijzen dat ze niet echt is.

De rechten die de AVG geeft aan personen van wie gegevens worden verwerkt: recht op informatie, inzage, rectificatie, verwijdering (het recht om vergeten te worden), beperking van de verwerking, gegevensoverdraagbaarheid en bezwaar, plus bescherming tegen zuiver geautomatiseerde besluiten met aanzienlijke gevolgen. Het bedrijf moet procedures hebben zodat verzoeken binnen een maand worden beantwoord. De rechten zijn niet absoluut; verwijdering kan bijvoorbeeld worden geweigerd als de gegevens op grond van de boekhoudwetgeving moeten worden bewaard. Een gebrekkige afhandeling van deze rechten is een van de meest voorkomende oorzaken van klachten bij gegevensbeschermingsautoriteiten.

Elke nadelige behandeling van een klokkenluider als gevolg van een melding: bijvoorbeeld ontslag, degradatie, intimidatie, slechtere taken of uitsluiting van promotie. De klokkenluiderswet verbiedt represailles, en ook dreigingen met en pogingen tot represailles zijn onwettig. Wordt een klokkenluider toch aan represailles onderworpen, dan heeft deze recht op een vergoeding, en kan de bewijslast worden omgekeerd zodat de werkgever moet aantonen dat de behandeling geen verband hield met de melding. De bescherming geldt wanneer de melder te goeder trouw geloofde dat de informatie juist was.

De standaardcontracten van de Europese Commissie die bedrijven kunnen gebruiken als overdrachtsgrondslag wanneer persoonsgegevens zonder adequaatheidsbesluit naar landen buiten de EU/EER worden verzonden. De geldende SCC uit 2021 bestaan uit modules die verschillende combinaties van verwerkingsverantwoordelijken en verwerkers bestrijken. De bepalingen moeten ongewijzigd worden ondertekend, en na Schrems II moeten ze worden aangevuld met een beoordeling van de wetgeving van het ontvangende land en, indien nodig, extra waarborgen zoals encryptie. In de praktijk zijn SCC de meest gebruikte overdrachtsgrondslag voor mkb-bedrijven.

Het basisniveau van handtekeningen onder eIDAS: gegevens in elektronische vorm die aan andere elektronische gegevens zijn gehecht en door de ondertekenaar worden gebruikt om te ondertekenen: bijvoorbeeld een getypte naam onder een e-mail, een ingescand beeld van een handtekening of een klik op een accepteerknop. Een SES is rechtsgeldig voor de meeste overeenkomsten in Denemarken, waar vormvrijheid geldt. De bewijswaarde hangt echter af van hoe goed kan worden aangetoond wie heeft ondertekend en dat het document niet is gewijzigd. Daarom wordt een SES aanzienlijk versterkt door een auditlogboek en een cryptografische hash van het document.

Een cryptografische vingerafdruk van een document, berekend met een hashfunctie zoals SHA-256. Zelfs de kleinste wijziging in het document (één teken) levert een volledig andere hashwaarde op, en het is praktisch onmogelijk om een ander document met dezelfde hash te maken. Bij een elektronische handtekening wordt de hash van het document opgeslagen, zodat later kan worden bewezen dat het ondertekende document niet is gewijzigd. De hash onthult niets over de inhoud van het document en kan daarom vrij worden gedeeld als integriteitsbewijs.

Sinds 1 juli 2024 moeten Deense werkgevers beschikken over een objectief, betrouwbaar en toegankelijk systeem dat de dagelijkse arbeidstijd van elke werknemer registreert. De verplichting vloeit voort uit de wijziging van de Deense Arbeidstijdenwet ter uitvoering van de rechtspraak van het Europese Hof van Justitie, en moet het mogelijk maken de 48-uurs-regel en de rusttijdregels te controleren. De registraties moeten 5 jaar worden bewaard, en werknemers moeten toegang hebben tot hun eigen gegevens. Zogenoemde zelforganisatoren kunnen worden vrijgesteld, maar de uitzondering is beperkt en moet in de arbeidsovereenkomst worden vermeld.

Elektronisch bewijs dat bepaalde gegevens op een bepaald moment bestonden. In de context van ondertekening en compliance koppelt een tijdstempel de hash van het document aan een tijdstip, zodat kan worden bewezen wanneer het document is ondertekend of geregistreerd. eIDAS reguleert gekwalificeerde elektronische tijdstempels, die worden uitgegeven door erkende vertrouwensdienstverleners en een vermoeden van juistheid genieten. Betrouwbare tijdstempels zijn ook belangrijk in auditlogboeken, bijvoorbeeld om aan te tonen dat een datalek binnen 72 uur is gemeld.

Een van de zes rechtsgrondslagen van de AVG voor de verwerking van persoonsgegevens. Geldige toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn, en worden gegeven door een actieve handeling, zoals het aanvinken van een niet vooraf aangevinkt vakje. De betrokkene kan de toestemming te allen tijde intrekken, en dat moet even eenvoudig zijn als het geven ervan. Het bedrijf moet kunnen aantonen dat de toestemming op de juiste wijze is verkregen, en in arbeidsverhoudingen is toestemming zelden geschikt omdat de machtsverhouding de vrijwilligheid twijfelachtig maakt.

Een bedrijf of persoon die persoonsgegevens verwerkt namens een verwerkingsverantwoordelijke en volgens diens instructies: bijvoorbeeld een cloudleverancier, een loonadministratiekantoor of een HR-systeem. De verwerker mag de gegevens niet voor eigen doeleinden gebruiken en moet voldoen aan de eisen van de AVG voor beveiliging en vertrouwelijkheid. De relatie moet worden geregeld in een schriftelijke verwerkersovereenkomst. Maakt de verwerker gebruik van onderaannemers (subverwerkers), dan is toestemming van de verwerkingsverantwoordelijke vereist.

De schriftelijke overeenkomst die artikel 28 van de AVG vereist tussen een verwerkingsverantwoordelijke en een verwerker. Ze moet onder meer het onderwerp en de duur van de verwerking, het type gegevens, de verplichtingen van de verwerker, beveiligingseisen, regels voor subverwerkers en bijstand bij datalekken en inzageverzoeken vastleggen. Zonder geldige verwerkersovereenkomst is het onwettig om een leverancier persoonsgegevens namens het bedrijf te laten verwerken. De Deense gegevensbeschermingsautoriteit heeft een standaardmodel gepubliceerd dat veel mkb-bedrijven als uitgangspunt gebruiken.

Het register van verwerkingsactiviteiten dat artikel 30 van de AVG verplicht stelt voor verwerkingsverantwoordelijken en verwerkers. Het moet onder meer de doeleinden van de verwerking, categorieën van betrokkenen en gegevens, ontvangers, eventuele doorgiften naar derde landen, bewaartermijnen en beveiligingsmaatregelen beschrijven. Het moet schriftelijk zijn, actueel worden gehouden, en op verzoek aan de gegevensbeschermingsautoriteit worden overgelegd. De uitzondering voor bedrijven met minder dan 250 werknemers is beperkt, zodat in de praktijk vrijwel elk bedrijf een register zou moeten bijhouden.

Het bedrijf, de overheidsinstantie of de persoon die het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. De verwerkingsverantwoordelijke draagt de hoofdverantwoordelijkheid voor de AVG-naleving: rechtsgrondslag, informatieplicht, beveiliging, documentatie en de rechten van betrokkenen. Een werkgever is bijvoorbeeld verwerkingsverantwoordelijke voor de personeelsgegevens van zijn werknemers. Maakt de verwerkingsverantwoordelijke gebruik van leveranciers voor de verwerking, dan moeten daarmee verwerkersovereenkomsten worden gesloten.

Een verplichte beoordeling van de werkomgeving die elke Deense werkgever met personeel ten minste om de 3 jaar moet uitvoeren, en telkens wanneer het werk ingrijpend verandert. Ze bestaat uit vier stappen: het in kaart brengen van de werkomgeving, het beoordelen van de problemen, een schriftelijk actieplan en de opvolging. De verplichting volgt uit §15a van de Deense Arbeidsmilieuwet, en de Arbeidsinspectie kan de beoordeling opvragen tijdens een inspectie. De methode is vrij te kiezen, maar het resultaat moet schriftelijk zijn vastgelegd en toegankelijk zijn voor de werknemers.