Glossário de compliance

A autoridade dinamarquesa de controlo em matéria de proteção de dados, que fiscaliza o cumprimento do RGPD e da lei dinamarquesa de proteção de dados. Trata as queixas dos cidadãos, realiza inspeções junto de empresas e organismos públicos, recebe as notificações de violações de dados e publica orientações e modelos. Pode expressar críticas, emitir ordens e recomendar multas: na Dinamarca, as multas do RGPD são, em regra, fixadas pelos tribunais na sequência de uma denúncia à polícia. As suas orientações são um bom ponto de partida quando uma PME organiza a sua documentação de RGPD.

A autoridade dinamarquesa que fiscaliza o cumprimento da Lei do ambiente de trabalho pelas empresas. Realiza visitas de inspeção tanto anunciadas como não anunciadas e pode emitir ordens, ordens imediatas e proibições, além de recomendar multas. Durante as inspeções, costuma pedir a avaliação de riscos laborais, a reunião anual sobre o ambiente de trabalho e a documentação da organização do ambiente de trabalho. As empresas com a documentação escrita em ordem passam por uma inspeção muito mais facilmente.

A lei dinamarquesa que transpõe a Diretiva da UE relativa aos denunciantes (2019/1937), em vigor desde dezembro de 2021. Obriga as empresas privadas com 50 ou mais trabalhadores e a maioria dos empregadores públicos a criar um canal interno de denúncias, esta obrigação abrange as empresas com 50-249 trabalhadores desde 17 de dezembro de 2023. A lei protege os denunciantes contra retaliação e exige confidencialidade, um aviso de receção no prazo de 7 dias e retorno no prazo de 3 meses. As infrações podem originar multas e responsabilidade por danos.

A regra da lei dinamarquesa do tempo de trabalho segundo a qual o horário semanal médio de um trabalhador, incluindo horas extraordinárias, não pode exceder 48 horas, calculado num período de referência de 4 meses. A regra deriva da Diretiva da UE sobre o tempo de trabalho e aplica-se a praticamente todos os trabalhadores. A sua violação pode dar direito a indemnização do trabalhador, e desde 2024 os empregadores devem poder demonstrar o cumprimento através do registo do tempo de trabalho. Alguns acordos coletivos permitem, em condições especiais, um limite mais elevado para grupos selecionados.

O prazo estabelecido no artigo 33.º do RGPD para notificar uma violação de dados pessoais à autoridade de proteção de dados: sem demora injustificada e, se possível, no prazo máximo de 72 horas após a empresa ter tomado conhecimento da violação. O prazo corre também aos fins de semana e feriados. Se for excedido, a notificação deve justificar o atraso. Se a empresa não dispuser de todas as informações dentro do prazo, a notificação pode ser feita por fases. O importante é comunicar atempadamente o que se sabe.

Um acontecimento súbito relacionado com o trabalho que causa uma lesão pessoal, por exemplo, uma queda, um esmagamento ou uma sobrecarga aguda. O empregador deve comunicar o acidente digitalmente no EASY se este provocar ausência para além do dia da lesão, e a comunicação deve ser feita no prazo máximo de 14 dias após o primeiro dia de ausência. Os acidentes que possam dar direito a indemnização ao abrigo da lei dinamarquesa de acidentes de trabalho também devem ser comunicados. A falta de comunicação pode ser sancionada com uma multa, e os acidentes devem sempre ser seguidos de medidas preventivas na avaliação de riscos.

O nível intermédio de assinatura definido no artigo 26.º do eIDAS. Uma assinatura eletrónica avançada deve estar associada de forma unívoca ao signatário, permitir identificá-lo, ter sido criada com meios sob o controlo exclusivo do signatário, e estar ligada ao documento de modo a que qualquer alteração posterior possa ser detetada. Na prática, estes requisitos são frequentemente satisfeitos combinando a identificação (por exemplo, com MitID) com um selo criptográfico do documento. Uma AES tem um valor probatório consideravelmente superior ao de uma assinatura simples e é a escolha padrão para documentos como contratos de trabalho e contratos de subcontratação.

Uma avaliação de impacto sobre a proteção de dados exigida pelo artigo 35.º do RGPD quando um tratamento seja suscetível de implicar um elevado risco para os titulares dos dados, por exemplo, vigilância sistemática, tratamento em grande escala de dados sensíveis ou novas tecnologias como o reconhecimento facial. A avaliação deve descrever o tratamento, avaliar a sua necessidade e proporcionalidade, identificar os riscos e definir medidas de mitigação. Se o risco não puder ser reduzido, a autoridade de proteção de dados deve ser consultada antes do início do tratamento. A autoridade dinamarquesa de proteção de dados publicou uma lista de tratamentos que exigem sempre uma AIPD.

A cooperação formal em matéria de saúde e segurança no trabalho entre a direção e os trabalhadores, obrigatória nas empresas dinamarquesas com 10 ou mais trabalhadores. A AMO é composta por um ou mais grupos de ambiente de trabalho, com um representante dos trabalhadores eleito e um supervisor designado. Os membros devem concluir a formação obrigatória de 3 dias sobre o ambiente de trabalho no prazo de 3 meses após a sua eleição. Nas empresas com menos de 10 trabalhadores, a saúde e segurança no trabalho deve ser gerida em cooperação direta entre o empregador e o pessoal.

Uma avaliação obrigatória do ambiente de trabalho que todo empregador dinamarquês com pessoal deve realizar pelo menos a cada 3 anos, e sempre que o trabalho mude de forma significativa. Consiste em quatro etapas: mapeamento do ambiente de trabalho, avaliação dos problemas, um plano de ação escrito e o acompanhamento. A obrigação decorre do artigo 15a da Lei dinamarquesa do ambiente de trabalho, e a Inspeção do Trabalho pode pedir para a consultar durante uma fiscalização. O método é livre, mas o resultado deve ser escrito e acessível aos trabalhadores.

Uma avaliação de riscos específica que os empregadores dinamarqueses devem elaborar quando os trabalhadores lidam com, ou podem estar expostos a, substâncias e materiais químicos perigosos. Substituiu, em 2019, as antigas fichas de instruções de trabalho e deve descrever, entre outras coisas, os perigos das substâncias, a exposição, as medidas preventivas e os requisitos de formação. A avaliação deve ser escrita, mantida atualizada, e os trabalhadores devem ser instruídos sobre os seus resultados. As fichas de dados de segurança do fornecedor constituem uma base essencial.

A parte da avaliação de riscos laborais que trata do ambiente de trabalho psicossocial: carga de trabalho, exigências pouco claras, assédio moral, assédio, violência e comportamentos ofensivos. Não é um acréscimo opcional, os fatores psicossociais devem sempre ser incluídos na avaliação em pé de igualdade com os riscos físicos. As regras foram esclarecidas em 2020 pelo regulamento dinamarquês sobre o ambiente de trabalho psicossocial. Muitas empresas fazem esse mapeamento através de questionários anónimos, para que os trabalhadores se sintam seguros ao responder com sinceridade.

Um plano anual que distribui as tarefas de conformidade recorrentes da empresa ao longo do ano civil, para que nada seja esquecido ou se acumule. Os pontos típicos incluem a reunião anual sobre o ambiente de trabalho, o acompanhamento do plano de ação da avaliação de riscos, a revisão do registo do artigo 30.º e dos prazos de conservação, o teste da resposta a violações de dados, a revisão dos contratos de subcontratação e a atualização do manual do trabalhador. O calendário transforma a conformidade numa rotina contínua com responsáveis e prazos claros, em vez de um exercício anual de última hora. Serve ainda como boa prova perante as autoridades de controlo de que a empresa trabalha de forma sistemática.

Um canal interno através do qual trabalhadores e outras pessoas com uma ligação profissional podem denunciar de forma confidencial violações da lei e factos graves, por exemplo, fraude, suborno, violações do RGPD ou assédio sexual. O canal deve dispor de uma unidade imparcial que confirme a receção no prazo de 7 dias e dê retorno no prazo de 3 meses. A identidade do denunciante deve ser protegida, e apenas as pessoas com necessidade podem aceder aos casos. O canal deve estar descrito por escrito, e os trabalhadores devem ter fácil acesso a informação sobre como o utilizar.

Uma prova eletrónica de que determinados dados existiam num momento específico. No contexto da assinatura e da conformidade, um carimbo de data e hora associa o hash do documento a um instante preciso, permitindo provar quando o documento foi assinado ou registado. O eIDAS regula os carimbos de data e hora eletrónicos qualificados, emitidos por prestadores de serviços de confiança acreditados e que gozam de uma presunção de exatidão. Carimbos de data e hora fiáveis são também importantes nos registos de auditoria, por exemplo para documentar que uma violação de dados foi notificada no prazo de 72 horas.

Os contratos-tipo da Comissão Europeia que as empresas podem utilizar como fundamento de transferência quando dados pessoais são enviados para países fora da UE/EEE sem decisão de adequação. As CCT atualmente em vigor, de 2021, organizam-se em módulos que cobrem diferentes combinações de responsáveis e subcontratantes do tratamento. As cláusulas devem ser assinadas sem alterações, e após o Schrems II devem ser complementadas com uma avaliação da legislação do país destinatário e, se necessário, com garantias adicionais como a cifragem. Na prática, as CCT são o fundamento de transferência mais utilizado pelas PME.

Um dos seis fundamentos jurídicos do RGPD para o tratamento de dados pessoais. Um consentimento válido deve ser livre, específico, informado e inequívoco, e dado através de um ato positivo, como assinalar uma caixa que não esteja pré-assinalada. O titular dos dados pode retirar o consentimento a qualquer momento, e fazê-lo deve ser tão fácil como concedê-lo. A empresa deve poder demonstrar que o consentimento foi obtido corretamente, e nas relações de trabalho o consentimento raramente é adequado, porque o desequilíbrio de poder torna duvidosa a voluntariedade.

O acordo escrito que o artigo 28.º do RGPD exige entre um responsável e um subcontratante do tratamento. Deve definir, entre outras coisas, o objeto e a duração do tratamento, os tipos de dados, as obrigações do subcontratante, os requisitos de segurança, as regras para subcontratantes ulteriores e a assistência em caso de violações de dados e pedidos de acesso. Sem um contrato de subcontratação válido, é ilegal permitir que um fornecedor trate dados pessoais em nome da empresa. A autoridade dinamarquesa de proteção de dados publicou um modelo padrão que muitas PME utilizam como ponto de partida.

As categorias especiais de dados pessoais previstas no artigo 9.º do RGPD: origem racial ou étnica, opiniões políticas, religiosas ou filosóficas, filiação sindical, dados genéticos e biométricos, dados de saúde, e dados relativos à vida sexual ou à orientação sexual. O tratamento é, em princípio, proibido e requer uma exceção específica, como o consentimento explícito ou a necessidade nos termos do direito do trabalho. Os dados sensíveis exigem segurança reforçada, e no direito dinamarquês os números de identificação pessoal e os dados sobre antecedentes criminais estão sujeitos a regras próprias e distintas. Muitos processos de RH e de denúncias contêm dados sensíveis e devem, por isso, ser protegidos com especial cuidado.

Os direitos que o RGPD confere às pessoas cujos dados são tratados: direito à informação, de acesso, de retificação, de apagamento (direito a ser esquecido), de limitação do tratamento, à portabilidade dos dados e de oposição, além da proteção contra decisões puramente automatizadas com efeitos significativos. A empresa deve dispor de procedimentos para responder aos pedidos no prazo de um mês. Os direitos não são absolutos; o apagamento pode, por exemplo, ser recusado se os dados tiverem de ser conservados por força da legislação contabilística. Uma má gestão destes direitos é uma das causas mais frequentes de queixas junto das autoridades de proteção de dados.

Os documentos que um novo trabalhador deve receber e assinar no início do vínculo laboral. O mais importante é o contrato de trabalho: nos termos da lei dinamarquesa de 2023 sobre o certificado de emprego, as condições essenciais devem ser fornecidas por escrito no prazo máximo de 7 dias de calendário após o primeiro dia de trabalho, e o restante no prazo de um mês. Juntam-se tipicamente uma declaração de confidencialidade, a política de TI e proteção de dados, a entrega de equipamento, a confirmação do manual do trabalhador e a informação do RGPD sobre o tratamento dos dados dos trabalhadores. A assinatura digital com registo de auditoria facilita provar que tudo foi entregue e aceite dentro do prazo.

O sistema digital que os empregadores dinamarqueses devem usar para comunicar acidentes de trabalho à Inspeção do Trabalho e ao seguro de acidentes de trabalho. O EASY é acedido através do Virk.dk com o MitID Erhverv da empresa, e uma única comunicação é encaminhada automaticamente para as autoridades competentes e, se aplicável, para a seguradora. A comunicação através do EASY é obrigatória, formulários em papel não são aceites. É boa prática registar imediatamente os factos do acidente internamente, para que a comunicação no EASY possa ser preenchida corretamente dentro do prazo.

O regulamento da UE relativo à identificação eletrónica e aos serviços de confiança (910/2014), que estabelece regras comuns para assinaturas, selos e carimbos de data e hora eletrónicos em toda a UE. O eIDAS define três níveis de assinatura eletrónica (simples (SES), avançada (AES) e qualificada (QES)) e determina que não pode ser negado efeito jurídico a uma assinatura apenas por esta ser eletrónica. O regulamento foi atualizado pelo eIDAS 2.0, que introduz, entre outras coisas, uma carteira europeia de identidade digital. Para as PME, o eIDAS significa que documentos como contratos de trabalho podem ser validamente assinados digitalmente.

Um fundamento jurídico previsto no artigo 6.º, n.º 1, alínea f), do RGPD, que permite a uma empresa tratar dados pessoais comuns se os seus interesses legítimos prevalecerem sobre os interesses e direitos do titular dos dados. Este fundamento exige uma ponderação documentada (o chamado teste de interesse legítimo) e que o tratamento seja necessário para a finalidade prosseguida. Exemplos típicos são o marketing direto a clientes existentes, a segurança informática e a administração interna. O titular dos dados tem sempre o direito de se opor a um tratamento baseado no interesse legítimo.

A norma internacional para sistemas de gestão da segurança da informação (SGSI). Exige que uma organização identifique sistematicamente os seus riscos de segurança da informação e os gira através de políticas, controlos e melhoria contínua; o catálogo de controlos consta do anexo A e é desenvolvido na norma ISO 27002. A certificação é realizada por um organismo de certificação acreditado e é voluntária, mas cada vez mais exigida por clientes e em concursos públicos. Para as PME, a certificação completa é frequentemente excessiva, mas os princípios: avaliação de riscos, controlo de acessos, registo de eventos e resposta a incidentes, são um bom modelo para o trabalho de segurança.

A descrição conjunta que a empresa faz das regras, políticas e aspetos práticos para os trabalhadores: como o horário de trabalho, a comunicação de doença, as férias, a política de TI e proteção de dados, a política sobre substâncias e as diretrizes contra comportamentos ofensivos. O manual não é obrigatório por lei, mas reúne documentação exigida por outras regras e cria clareza sobre o que se aplica. As disposições do manual podem ter efeitos no direito do trabalho, pelo que alterações substanciais devem ser devidamente notificadas. Uma boa prática é fazer com que os trabalhadores confirmem digitalmente que leram a versão em vigor.

A identidade digital nacional da Dinamarca, que substituiu o NemID e é utilizada para aceder a serviços públicos, bancos e serviços privados. O MitID está notificado nos termos do eIDAS e pode ser utilizado para identificar o signatário num processo de assinatura eletrónica, elevando assim a assinatura ao nível avançado (AES). As empresas utilizam o MitID Erhverv para agir em nome da empresa, por exemplo no EASY e no Virk.dk. Ao assinar documentos, um início de sessão com MitID fornece uma prova sólida de quem efetivamente assinou.

A diretiva da UE relativa à cibersegurança (2022/2555), que reforça os requisitos de segurança das redes e sistemas de informação para entidades essenciais e importantes em numerosos setores: como energia, transportes, saúde, infraestruturas digitais e alimentação. As empresas abrangidas devem implementar a gestão de riscos, abordar a segurança da cadeia de fornecimento e comunicar incidentes significativos às autoridades, sob pena de multas substanciais em caso de incumprimento; a direção pode ser considerada pessoalmente responsável. O NIS2 aplica-se normalmente a empresas médias e grandes dos setores abrangidos, mas afeta também indiretamente fornecedores mais pequenos através das exigências dos seus clientes. Na Dinamarca, a diretiva foi transposta por lei com efeitos a partir de 1 de julho de 2025.

Um pedido de uma pessoa para saber que dados pessoais a empresa trata sobre ela, um direito previsto no artigo 15.º do RGPD. A empresa deve informar, entre outras coisas, as finalidades, as categorias de dados, os destinatários e o prazo de conservação, e fornecer uma cópia dos dados. A resposta deve ser dada sem demora injustificada e no prazo máximo de um mês após a receção; o prazo pode ser prorrogado por dois meses em pedidos complexos. A resposta é, em princípio, gratuita para o titular dos dados.

O plano escrito incluído na avaliação de riscos laborais que descreve como a empresa resolverá os problemas identificados no mapeamento. Para cada problema, o plano deve indicar o que deve ser feito, quem é responsável e até quando deve estar resolvido. O plano de ação é uma exigência legal, uma avaliação de riscos sem plano de ação não está completa. É ainda necessário o acompanhamento, para que a empresa possa demonstrar que as medidas foram efetivamente implementadas e funcionam.

Os prazos que uma empresa estabelece para o tempo durante o qual diferentes tipos de dados pessoais são conservados antes de serem eliminados ou anonimizados. O princípio da limitação da conservação do RGPD exige que os dados não sejam conservados por mais tempo do que o necessário para a finalidade. Os prazos devem ser documentados, normalmente no registo do artigo 30.º e numa política de eliminação, e devem ser efetivamente aplicados na prática. Alguns prazos decorrem de outra legislação, como a obrigação da lei contabilística dinamarquesa de conservar documentos contabilísticos durante 5 anos.

O nível mais elevado de assinatura previsto no eIDAS: uma assinatura eletrónica avançada criada com um dispositivo qualificado de criação de assinaturas e baseada num certificado qualificado emitido por um prestador de serviços de confiança acreditado. Uma QES tem o mesmo efeito jurídico que uma assinatura manuscrita em toda a UE e é reconhecida entre os Estados-Membros. Só é exigida em casos especiais em que a lei impõe requisitos de forma, para acordos comerciais comuns, uma AES ou SES é normalmente suficiente. Em contrapartida, o ónus da prova inverte-se na prática: com uma QES, é a parte que contesta a assinatura que deve provar que não é autêntica.

Um acontecimento que poderia ter provocado um acidente de trabalho, mas em que ninguém se feriu, por exemplo, uma ferramenta que cai mesmo ao lado de um trabalhador, ou um escorregão que não chega a provocar uma queda. Os quase acidentes não têm de ser comunicados às autoridades, mas são uma das ferramentas mais valiosas para a prevenção. Ao registá-los e analisá-los sistematicamente, uma empresa pode eliminar riscos antes de estes provocarem um acidente real. Os padrões observados nos quase acidentes devem ser incorporados na avaliação de riscos laborais.

O registo das atividades de tratamento que o artigo 30.º do RGPD exige aos responsáveis e subcontratantes do tratamento. Deve descrever, entre outras coisas, as finalidades do tratamento, as categorias de titulares e de dados, os destinatários, eventuais transferências para países terceiros, os prazos de conservação e as medidas de segurança. Deve ser escrito, mantido atualizado, e disponibilizado à autoridade de proteção de dados quando solicitado. A exceção para empresas com menos de 250 trabalhadores é limitada, pelo que, na prática, quase todas as empresas deveriam manter um registo.

Um registo cronológico e inalterável dos eventos num sistema: quem fez o quê, quando e a partir de que endereço. Num processo de assinatura, o registo de auditoria documenta, por exemplo, quando o documento foi enviado, aberto e assinado, e como o signatário foi identificado. O registo é fundamental para o valor probatório das assinaturas eletrónicas e para demonstrar a conformidade com o RGPD, por exemplo quem teve acesso a processos sensíveis. Um bom registo de auditoria não pode ser editado posteriormente e é conservado separadamente dos dados que descreve.

Desde 1 de julho de 2024, os empregadores dinamarqueses devem dispor de um sistema objetivo, fiável e acessível que registe o horário de trabalho diário de cada trabalhador. A obrigação decorre da alteração da lei dinamarquesa do tempo de trabalho, que aplica a jurisprudência do Tribunal de Justiça da UE, e deve permitir verificar o cumprimento da regra das 48 horas e das regras de descanso. Os registos devem ser conservados durante 5 anos, e os trabalhadores devem poder aceder aos seus próprios dados. Os chamados trabalhadores autoorganizados podem ser isentos, mas a exceção é limitada e deve constar do contrato de trabalho.

A empresa, autoridade ou pessoa que determina as finalidades e os meios do tratamento de dados pessoais. O responsável pelo tratamento assume a principal responsabilidade pela conformidade com o RGPD: fundamento jurídico, deveres de informação, segurança, documentação e direitos dos titulares dos dados. Um empregador, por exemplo, é responsável pelo tratamento dos dados pessoais dos seus trabalhadores. Se o responsável recorrer a fornecedores para o tratamento, devem ser celebrados com estes contratos de subcontratação.

Qualquer tratamento desfavorável sofrido por um denunciante em consequência de uma denúncia, por exemplo, despedimento, despromoção, assédio, tarefas piores ou exclusão de uma promoção. A lei de proteção ao denunciante proíbe a retaliação, e as ameaças e tentativas de retaliação também são ilegais. Se, ainda assim, um denunciante sofrer retaliação, tem direito a uma indemnização, e o ónus da prova pode inverter-se, obrigando o empregador a demonstrar que o tratamento não estava relacionado com a denúncia. A proteção aplica-se quando o denunciante acreditava de boa-fé na exatidão da informação.

Uma reunião obrigatória que todo empregador dinamarquês com pessoal deve realizar pelo menos uma vez por ano, na qual a direção e os trabalhadores fazem o balanço do ambiente de trabalho. A reunião deve rever o ano transato, definir objetivos e iniciativas para o ano seguinte, e avaliar se a cooperação em matéria de saúde e segurança funciona. As empresas sem AMO devem poder documentar por escrito junto da Inspeção do Trabalho que a reunião teve lugar. Liga-se naturalmente ao acompanhamento da avaliação de riscos laborais.

O regulamento da UE relativo à proteção de dados pessoais, aplicável desde 25 de maio de 2018 e complementado na Dinamarca pela lei dinamarquesa de proteção de dados. O RGPD estabelece requisitos sobre como as empresas recolhem, utilizam, conservam e eliminam dados pessoais, e confere aos titulares dos dados um conjunto de direitos. As empresas devem poder demonstrar a sua conformidade, o chamado princípio da responsabilização. As infrações podem ser sancionadas com multas até 20 milhões de euros ou 4 % do volume de negócios anual mundial.

O nível básico de assinatura previsto no eIDAS: dados em formato eletrónico, associados a outros dados eletrónicos e utilizados pelo signatário para assinar, por exemplo, um nome escrito no final de um e-mail, uma imagem digitalizada de uma assinatura ou um clique num botão de aceitação. Uma SES é juridicamente válida para a grande maioria dos acordos na Dinamarca, onde vigora a liberdade de forma. O seu valor probatório depende, contudo, de quão bem se consiga documentar quem assinou e que o documento não foi alterado. Por isso, uma SES é significativamente reforçada por um registo de auditoria e por um hash criptográfico do documento.

Uma impressão digital criptográfica de um documento, calculada com uma função de hash como o SHA-256. Mesmo a mais pequena alteração no documento (um único caráter) produz um valor de hash completamente diferente, sendo praticamente impossível construir outro documento com o mesmo hash. Ao assinar eletronicamente um documento, o seu hash é guardado para que se possa provar mais tarde que o documento assinado não foi alterado. O hash não revela nada sobre o conteúdo do documento e, por isso, pode ser partilhado livremente como prova de integridade.

Uma empresa ou pessoa que trata dados pessoais em nome de um responsável pelo tratamento e segundo as suas instruções, por exemplo, um fornecedor de serviços na nuvem, um gabinete de processamento salarial ou um sistema de RH. O subcontratante não pode utilizar os dados para fins próprios e deve cumprir os requisitos do RGPD em matéria de segurança e confidencialidade. A relação deve ser regulada por um contrato de subcontratação escrito. Se o subcontratante recorrer a subcontratantes ulteriores, é necessária a autorização do responsável pelo tratamento.

A transferência de dados pessoais para países fora da UE/EEE, por exemplo, quando uma empresa utiliza um serviço de nuvem norte-americano. A transferência exige um fundamento de transferência válido nos termos do capítulo V do RGPD: uma decisão de adequação da Comissão Europeia (como o Quadro de Proteção de Dados UE-EUA), cláusulas contratuais-tipo (CCT) ou regras vinculativas aplicáveis às empresas. Após o acórdão Schrems II, a empresa deve ainda avaliar se o nível de proteção no país destinatário é efetivamente adequado. As transferências para países terceiros devem constar do registo do artigo 30.º e da política de privacidade.

Um incidente de segurança que provoca a destruição, perda, alteração ou acesso não autorizado, acidental ou ilícito, a dados pessoais, por exemplo, um e-mail enviado ao destinatário errado, um portátil perdido ou um ataque informático. Uma violação deve, em princípio, ser notificada à autoridade de proteção de dados no prazo de 72 horas, salvo se for pouco provável que implique um risco para os titulares dos dados. Em caso de risco elevado, as pessoas afetadas também devem ser informadas. Toda violação, incluindo as que não são notificadas, deve ser documentada num registo interno.