Glosar de conformitate

Un eveniment brusc legat de muncă ce provoacă vătămare corporală, de exemplu o cădere, o strivire sau o suprasolicitare acută. Angajatorul are obligația de a raporta accidentul digital în sistemul EASY dacă acesta cauzează absență dincolo de ziua accidentării, iar raportarea trebuie făcută în cel mult 14 zile de la prima zi de absență. Trebuie raportate și accidentele care pot da dreptul la despăgubire conform legii privind accidentele de muncă. Neraportarea poate fi sancționată cu amendă, iar accidentele trebuie urmate mereu de măsuri preventive în evaluarea riscurilor.

Nivelul intermediar de semnătură definit la articolul 26 din eIDAS. O semnătură electronică avansată trebuie să fie legată în mod unic de semnatar, capabilă să îl identifice, creată folosind mijloace aflate sub controlul exclusiv al semnatarului și legată de document astfel încât orice modificare ulterioară să poată fi detectată. În practică, cerințele sunt adesea îndeplinite prin combinarea identificării (de exemplu prin MitID) cu sigilarea criptografică a documentului. O AES are o valoare probatorie semnificativ mai puternică decât o semnătură simplă și este alegerea standard pentru documente precum contractele de muncă și acordurile de prelucrare a datelor.

Cooperarea formală privind sănătatea și securitatea în muncă dintre conducere și angajați, obligatorie în companiile daneze cu 10 sau mai mulți angajați. AMO este alcătuită din unul sau mai multe grupuri pentru mediul de lucru, cu un reprezentant al angajaților ales și un supervizor desemnat. Membrii trebuie să finalizeze instruirea obligatorie de 3 zile privind mediul de lucru în termen de 3 luni de la alegere. În companiile cu mai puțin de 10 angajați, sănătatea și securitatea trebuie gestionate prin cooperare directă între angajator și personal.

O evaluare specifică a riscurilor pe care angajatorii danezi trebuie să o întocmească atunci când angajații lucrează cu substanțe și materiale chimice periculoase sau pot fi expuși acestora. A înlocuit în 2019 fostele fișe de instrucțiuni la locul de muncă și trebuie să descrie pericolele, expunerea, măsurile preventive și cerințele de instruire. Evaluarea trebuie să fie scrisă, actualizată constant, iar angajații trebuie instruiți cu privire la concluziile sale. Fișele cu date de securitate ale furnizorului reprezintă o sursă esențială.

Partea din evaluarea riscurilor la locul de muncă ce vizează mediul de lucru psihosocial: volumul de muncă, cerințele neclare, hărțuirea, violența și comportamentul jignitor. Nu este un supliment opțional. Factorii psihosociali trebuie incluși întotdeauna în APV alături de riscurile fizice. Regulile au fost clarificate prin ordinul executiv danez privind mediul de lucru psihosocial din 2020. Multe companii îi cartografiază prin chestionare anonime, astfel încât angajații să se simtă în siguranță să răspundă sincer.

Autoritatea daneză care supraveghează respectarea Legii mediului de lucru. Aceasta efectuează atât inspecții anunțate, cât și neanunțate și poate emite somații de remediere, somații de executare imediată și interdicții, precum și poate recomanda amenzi. În timpul inspecțiilor, solicită de regulă evaluarea riscurilor la locul de muncă, discuția anuală privind mediul de lucru și documentația organizației mediului de lucru. Companiile care au documentația scrisă în ordine trec mult mai ușor prin inspecții.

Autoritatea daneză de supraveghere pentru protecția datelor, care monitorizează conformitatea cu GDPR și cu Legea daneză privind protecția datelor. Aceasta soluționează plângerile cetățenilor, efectuează inspecții la companii și autorități, primește notificări privind încălcări ale securității datelor și publică ghiduri și modele. Poate exprima critici, emite dispoziții și recomanda amenzi, în Danemarca amenzile GDPR sunt de regulă stabilite de instanțe în urma unei plângeri penale. Ghidurile sale reprezintă un bun punct de plecare atunci când un IMM își organizează documentația GDPR.

Un plan anual care distribuie sarcinile recurente de conformitate ale companiei pe parcursul anului calendaristic, astfel încât nimic să nu fie uitat sau să se acumuleze. Elementele tipice includ discuția anuală privind mediul de lucru, urmărirea planului de acțiune din evaluarea riscurilor, revizuirea registrului de la articolul 30 și a perioadelor de păstrare, testarea răspunsului la încălcări ale securității datelor, revizuirea acordurilor de prelucrare a datelor și actualizarea manualului angajatului. Calendarul transformă conformitatea într-o rutină continuă cu responsabili și termene clare, în loc de un exercițiu anual de urgență. De asemenea, servește ca dovadă bună pentru autoritățile de supraveghere că firma lucrează sistematic.

O cerere din partea unei persoane fizice de a afla ce date cu caracter personal prelucrează compania despre ea, un drept prevăzut la articolul 15 din GDPR. Compania trebuie să dezvăluie scopurile, categoriile de date, destinatarii și perioada de păstrare și să furnizeze o copie a datelor. Răspunsul trebuie dat fără întârzieri nejustificate și în cel mult o lună de la primire; termenul poate fi prelungit cu două luni pentru cererile complexe. Răspunsul este, ca regulă, gratuit pentru persoana vizată.

Unul dintre cele șase temeiuri legale ale GDPR pentru prelucrarea datelor cu caracter personal. Consimțământul valabil trebuie să fie liber exprimat, specific, informat și lipsit de ambiguitate: acordat printr-o acțiune activă, precum bifarea unei casete care nu este pre-bifată. Persoana vizată își poate retrage consimțământul în orice moment, iar retragerea trebuie să fie la fel de simplă ca acordarea acestuia. Compania trebuie să poată dovedi că acordul a fost obținut corect, iar în raporturile de muncă consimțământul este rareori potrivit, deoarece dezechilibrul de putere pune la îndoială caracterul voluntar.

Categoriile speciale de date cu caracter personal prevăzute la articolul 9 din GDPR: origine rasială sau etnică, opinii politice, religioase sau filosofice, apartenență sindicală, date genetice și biometrice, date privind sănătatea, precum și date privind viața sexuală sau orientarea sexuală. Prelucrarea este interzisă în mod implicit și necesită o excepție specifică, precum consimțământul explicit sau necesitatea prevăzută de dreptul muncii. Datele sensibile necesită securitate sporită, iar în dreptul danez codurile numerice personale și cazierele judiciare sunt reglementate de reguli proprii, separate. Multe cazuri de resurse umane și de avertizare de integritate conțin date sensibile și necesită, prin urmare, protecție suplimentară.

O întâlnire obligatorie pe care orice angajator danez cu personal trebuie să o organizeze cel puțin o dată pe an, în cadrul căreia conducerea și angajații analizează mediul de lucru. Discuția trebuie să evalueze anul trecut, să stabilească obiective și inițiative pentru anul următor și să analizeze dacă funcționează cooperarea privind sănătatea și securitatea. Companiile fără o organizație formală a mediului de lucru trebuie să poată documenta în scris, în fața Autorității pentru mediul de lucru, că discuția a avut loc. Aceasta se leagă în mod firesc de urmărirea evaluării riscurilor la locul de muncă.

Documentele pe care un angajat nou trebuie să le primească și să le semneze la începerea unui loc de muncă. Cel mai important este contractul de muncă: conform Legii daneze privind certificatul de angajare din 2023, condițiile esențiale trebuie furnizate în scris în cel mult 7 zile calendaristice de la prima zi de lucru, iar restul în termen de o lună. De obicei se adaugă o declarație de confidențialitate, politica IT și de protecție a datelor, predarea echipamentului, confirmarea luării la cunoștință a manualului angajatului și notificarea de confidențialitate GDPR privind prelucrarea datelor angajaților. Semnarea digitală cu o pistă de audit facilitează dovedirea faptului că totul a fost livrat și acceptat la timp.

Acordul scris pe care articolul 28 din GDPR îl impune între un operator și o persoană împuternicită. Acesta trebuie să definească obiectul și durata prelucrării, tipurile de date, obligațiile persoanei împuternicite, cerințele de securitate, regulile privind subîmputerniciții și asistența în caz de încălcări ale securității datelor și cereri de acces. Fără un DPA valabil, este ilegal ca un furnizor să prelucreze date cu caracter personal în numele companiei. Autoritatea daneză pentru protecția datelor a publicat un model standard pe care multe IMM-uri îl folosesc ca punct de plecare.

O evaluare a impactului impusă de articolul 35 din GDPR atunci când o operațiune de prelucrare implică probabil un risc ridicat pentru persoanele vizate, de exemplu monitorizarea sistematică, prelucrarea la scară largă a datelor sensibile sau tehnologii noi precum recunoașterea facială. Evaluarea trebuie să descrie prelucrarea, să evalueze necesitatea și proporționalitatea, să cartografieze riscurile și să definească măsurile de atenuare. Dacă riscul nu poate fi redus, autoritatea de protecție a datelor trebuie consultată înainte de începerea prelucrării. Autoritatea daneză de protecție a datelor a publicat o listă a operațiunilor care necesită întotdeauna o DPIA.

Drepturile pe care GDPR le acordă persoanelor ale căror date sunt prelucrate: dreptul la informare, acces, rectificare, ștergere (dreptul de a fi uitat), restricționarea prelucrării, portabilitatea datelor și opoziție, plus protecția împotriva deciziilor exclusiv automatizate cu efecte semnificative. Compania trebuie să dispună de proceduri astfel încât cererile să primească răspuns în termen de o lună. Drepturile nu sunt absolute; ștergerea poate fi, de exemplu, refuzată dacă datele trebuie păstrate conform legii contabilității. Gestionarea deficitară a acestor drepturi este una dintre cele mai frecvente cauze ale plângerilor adresate autorităților de protecție a datelor.

Sistemul digital pe care angajatorii danezi trebuie să îl utilizeze pentru a raporta accidentele de muncă către Autoritatea pentru mediul de lucru și Asigurarea daneză pentru accidente de muncă (Arbejdsmarkedets Erhvervssikring). EASY se accesează prin Virk.dk folosind MitID Erhverv al companiei, iar o singură raportare este trimisă automat autorităților relevante și, dacă este cazul, asigurătorului. Raportarea prin EASY este obligatorie, formularele pe hârtie nu sunt acceptate. Este o practică bună să se înregistreze imediat intern faptele accidentului, astfel încât raportul EASY să poată fi completat corect în termen.

Regulamentul UE privind identificarea electronică și serviciile de încredere (910/2014), care creează reguli comune pentru semnăturile electronice, sigiliile și marcajele temporale în întreaga UE. eIDAS definește trei niveluri de semnături electronice (simplă (SES), avansată (AES) și calificată (QES)) și stabilește că unei semnături nu i se poate refuza efectul juridic doar pentru că este electronică. Regulamentul a fost actualizat prin eIDAS 2.0, care introduce, printre altele, un portofel european de identitate digitală. Pentru IMM-uri, eIDAS înseamnă că documente precum contractele de muncă pot fi semnate valabil digital.

O evaluare obligatorie a mediului de lucru pe care orice angajator danez cu personal trebuie să o realizeze cel puțin la fiecare 3 ani și ori de câte ori munca se schimbă semnificativ. Aceasta cuprinde patru etape: cartografierea mediului de lucru, evaluarea problemelor, un plan de acțiune scris și urmărirea implementării. Cerința provine din secțiunea 15a din Legea daneză a mediului de lucru, iar Autoritatea daneză pentru mediul de lucru poate solicita prezentarea acesteia în timpul inspecțiilor. Metoda de lucru este la alegerea angajatorului, însă rezultatul trebuie să fie scris și accesibil angajaților.

Începând cu 1 iulie 2024, angajatorii danezi trebuie să opereze un sistem obiectiv, fiabil și accesibil care înregistrează timpul de lucru zilnic al fiecărui angajat. Cerința rezultă din modificarea Legii daneze a timpului de lucru, care transpune jurisprudența Curții de Justiție a UE, și trebuie să permită verificarea respectării regulii celor 48 de ore și a regulilor privind perioadele de repaus. Evidențele trebuie păstrate timp de 5 ani, iar angajații trebuie să aibă acces la propriile date. Așa-numiții auto-organizatori pot fi exceptați, dar excepția este restrânsă și trebuie menționată în contractul de muncă.

Regulamentul UE privind protecția datelor cu caracter personal, aplicabil de la 25 mai 2018 și completat în Danemarca de Legea daneză privind protecția datelor. GDPR stabilește cerințe privind modul în care companiile colectează, utilizează, stochează și șterg datele cu caracter personal și acordă persoanelor vizate o serie de drepturi. Companiile trebuie să poată dovedi conformitatea, așa-numitul principiu al responsabilității. Încălcările pot fi sancționate cu amenzi de până la 20 de milioane de euro sau 4% din cifra de afaceri anuală globală.

Un incident de securitate care duce la distrugerea, pierderea, modificarea accidentală sau ilegală ori accesul neautorizat la date cu caracter personal, de exemplu un e-mail trimis destinatarului greșit, un laptop pierdut sau un atac de hacking. O încălcare trebuie, ca regulă, notificată autorității de protecție a datelor în termen de 72 de ore, cu excepția cazului în care este puțin probabil să genereze un risc pentru persoanele vizate. Dacă riscul este ridicat, trebuie informate și persoanele afectate. Fiecare încălcare, inclusiv cele nenotificate, trebuie documentată într-un registru intern.

Un eveniment care ar fi putut cauza un accident de muncă, dar nimeni nu a fost rănit, de exemplu o unealtă care cade lângă un angajat sau o alunecare care aproape se termină cu o cădere. Incidentele evitate la limită nu trebuie raportate autorităților, dar reprezintă unul dintre cele mai importante instrumente de prevenire. Prin înregistrarea și analiza lor sistematică, o companie poate elimina riscurile înainte ca acestea să provoace un accident real. Tiparele acestor incidente ar trebui incluse în activitatea de evaluare a riscurilor.

Un temei legal în temeiul articolului 6 alineatul (1) litera (f) din GDPR, care permite unei companii să prelucreze date cu caracter personal obișnuite dacă interesele sale legitime prevalează asupra intereselor și drepturilor persoanei vizate. Acest temei necesită o evaluare documentată a echilibrului de interese (o evaluare a interesului legitim) iar prelucrarea trebuie să fie necesară pentru scopul respectiv. Exemple tipice sunt marketingul direct către clienții existenți, securitatea IT și administrarea internă. Persoana vizată are întotdeauna dreptul de a se opune prelucrării bazate pe interesul legitim.

Standardul internațional pentru sistemele de management al securității informației (ISMS). Acesta impune ca organizația să își identifice sistematic riscurile de securitate a informației și să le gestioneze prin politici, controale și îmbunătățire continuă; catalogul de controale se află în Anexa A și este dezvoltat în detaliu în ISO 27002. Certificarea este efectuată de un organism de certificare acreditat și este voluntară, dar este cerută din ce în ce mai des de clienți și în achizițiile publice. Pentru IMM-uri, certificarea completă este adesea supradimensionată, dar principiile: evaluarea riscurilor, controlul accesului, jurnalizarea și pregătirea pentru incidente, reprezintă un bun model pentru activitatea de securitate.

Legea daneză care transpune Directiva UE privind avertizorii de integritate (2019/1937), în vigoare din decembrie 2021. Obligă companiile private cu 50 sau mai mulți angajați și majoritatea angajatorilor publici să înființeze un sistem intern de raportare: cerința acoperă, din 17 decembrie 2023, și companiile cu 50-249 de angajați. Legea protejează avertizorii împotriva represaliilor și impune confidențialitate, confirmare de primire în termen de 7 zile și feedback în termen de 3 luni. Încălcările pot atrage amenzi și răspundere pentru daune.

Descrierea colectivă a companiei privind regulile, politicile și aspectele practice pentru angajați: precum programul de lucru, raportarea bolii, concediile, politica IT și de protecție a datelor, politica privind substanțele și liniile directoare împotriva comportamentului jignitor. Manualul nu este obligatoriu prin lege, dar adună documentația pe care alte reglementări o impun și creează claritate cu privire la ceea ce se aplică. Prevederile din manual pot avea efect de dreptul muncii, astfel încât modificările esențiale trebuie notificate corespunzător. O practică bună este ca angajații să confirme digital că au citit versiunea actuală.

O dovadă electronică că anumite date au existat la un moment specific în timp. În contextul semnării și al conformității, un marcaj temporal leagă hash-ul documentului de un anumit moment, permițând dovedirea momentului în care un document a fost semnat sau înregistrat. eIDAS reglementează marcajele temporale electronice calificate, emise de furnizori de servicii de încredere aprobați și care beneficiază de o prezumție de exactitate. Marcajele temporale fiabile contează și în pistele de audit, de exemplu pentru a documenta că o încălcare a securității datelor a fost notificată în termen de 72 de ore.

Identitatea digitală națională a Danemarcei, care a înlocuit NemID și este utilizată pentru autentificarea în serviciile publice, bănci și servicii private. MitID este notificat conform eIDAS și poate fi utilizat pentru a identifica semnatarul într-un proces de semnare electronică, ridicând semnătura la nivelul avansat (AES). Companiile folosesc MitID Erhverv pentru a acționa în numele companiei, de exemplu în sistemul EASY și pe Virk.dk. La semnarea documentelor, o autentificare MitID oferă o dovadă puternică a persoanei care a semnat efectiv.

Directiva UE privind securitatea cibernetică (2022/2555), care înăsprește cerințele de securitate pentru rețele și sisteme informatice pentru entitățile esențiale și importante din numeroase sectoare: precum energie, transport, sănătate, infrastructură digitală și alimentație. Companiile vizate trebuie să implementeze managementul riscurilor, să abordeze securitatea lanțului de aprovizionare și să raporteze incidentele semnificative autorităților, cu amenzi substanțiale în caz de neconformitate; conducerea poate fi trasă la răspundere personală. NIS2 se aplică de regulă companiilor mijlocii și mari din sectoarele vizate, dar furnizorii mai mici sunt afectați indirect prin cerințele clienților. În Danemarca, directiva a fost transpusă prin lege, cu efect de la 1 iulie 2025.

Compania, autoritatea sau persoana care stabilește scopurile și mijloacele prelucrării datelor cu caracter personal. Operatorul poartă principala răspundere pentru conformitatea cu GDPR: temei juridic, obligații de transparență, securitate, documentare și drepturile persoanelor vizate. Un angajator, de exemplu, este operatorul datelor de resurse umane ale angajaților săi. Dacă operatorul folosește furnizori pentru prelucrare, trebuie încheiate acorduri de prelucrare a datelor cu aceștia.

Perioadele pe care o companie le stabilește pentru cât timp sunt păstrate diferitele tipuri de date cu caracter personal înainte de a fi șterse sau anonimizate. Principiul limitării stocării din GDPR impune ca datele să nu fie păstrate mai mult decât este necesar pentru scop. Perioadele trebuie documentate, de regulă în registrul prevăzut la articolul 30 și într-o politică de ștergere, și trebuie să fie efectiv aplicate în practică. Unele perioade rezultă din alte reglementări, precum cerința Legii daneze a contabilității de a păstra evidențele contabile timp de 5 ani.

O companie sau persoană care prelucrează date cu caracter personal în numele unui operator și conform instrucțiunilor acestuia, de exemplu un furnizor de servicii cloud, un birou de salarizare sau un sistem HR. Persoana împuternicită nu poate utiliza datele în scopuri proprii și trebuie să respecte cerințele GDPR privind securitatea și confidențialitatea. Relația trebuie reglementată printr-un acord scris de prelucrare a datelor. Dacă persoana împuternicită folosește subcontractanți (subîmputerniciți), este necesară autorizarea operatorului.

O evidență cronologică, protejată împotriva modificărilor, a evenimentelor dintr-un sistem: cine a făcut ce, când și de la ce adresă. Într-un proces de semnare, pista de audit documentează, de exemplu, când documentul a fost trimis, deschis și semnat și cum a fost identificat semnatarul. Jurnalul este esențial pentru valoarea probatorie a semnăturilor electronice și pentru demonstrarea conformității cu GDPR, de exemplu cine a avut acces la cazuri sensibile. O pistă de audit bună nu poate fi editată ulterior și este stocată separat de datele pe care le descrie.

Planul scris din evaluarea riscurilor la locul de muncă ce descrie modul în care compania va rezolva problemele identificate prin cartografiere. Pentru fiecare problemă, planul trebuie să precizeze ce se va face, cine este responsabil și până când trebuie rezolvată. Planul de acțiune este o cerință legală, o evaluare a riscurilor fără acesta este incompletă. Este necesară și urmărirea implementării, astfel încât compania să poată dovedi că măsurile au fost efectiv puse în aplicare și funcționează.

Cel mai înalt nivel de semnătură conform eIDAS: o semnătură electronică avansată creată cu un dispozitiv calificat de creare a semnăturii și bazată pe un certificat calificat emis de un furnizor de servicii de încredere aprobat. O QES are același efect juridic ca o semnătură olografă în întreaga UE și este recunoscută în toate statele membre. Este necesară doar în cazuri speciale în care legea impune cerințe de formă, pentru acordurile comerciale obișnuite, de regulă este suficientă o AES sau o SES. În schimb, sarcina probei este practic inversată: în cazul unei QES, partea care contestă semnătura trebuie să dovedească că nu este autentică.

Registrul activităților de prelucrare pe care articolul 30 din GDPR îl impune operatorilor și persoanelor împuternicite. Acesta trebuie să descrie scopurile prelucrării, categoriile de persoane vizate și de date, destinatarii, eventualele transferuri către țări terțe, perioadele de păstrare și măsurile de securitate. Trebuie să fie scris, actualizat constant și pus la dispoziția autorității de protecție a datelor la cerere. Excepția pentru companiile cu mai puțin de 250 de angajați este restrânsă, astfel încât, în practică, aproape orice companie ar trebui să țină un registru.

Regula din Legea daneză a timpului de lucru conform căreia timpul mediu săptămânal de lucru al unui angajat nu poate depăși 48 de ore, inclusiv orele suplimentare, măsurat pe o perioadă de referință de 4 luni. Regula provine din Directiva UE privind timpul de lucru și se aplică practic tuturor angajaților. Încălcările pot da naștere unui drept la despăgubire pentru angajat, iar din 2024 angajatorii trebuie să poată dovedi conformitatea prin evidența timpului de lucru. Câteva contracte colective permit, în condiții specifice, o limită mai mare pentru anumite grupuri.

Termenul prevăzut la articolul 33 din GDPR pentru notificarea unei încălcări a securității datelor cu caracter personal către autoritatea de protecție a datelor: fără întârzieri nejustificate și, acolo unde este posibil, în cel mult 72 de ore de la momentul în care compania ia cunoștință de încălcare. Termenul curge și în weekend și în zilele de sărbătoare legală. Dacă termenul este depășit, notificarea trebuie să explice întârzierea. Dacă nu sunt disponibile la timp toate informațiile, notificarea poate fi făcută în etape. Esențial este să se raporteze la timp ceea ce se cunoaște.

Orice tratament defavorabil aplicat unui avertizor ca urmare a unei raportări, de exemplu concediere, retrogradare, hărțuire, sarcini mai proaste sau excludere de la promovare. Legea privind avertizorii interzice represaliile, iar amenințările și tentativele de represalii sunt de asemenea ilegale. Dacă un avertizor este totuși supus represaliilor, acesta are dreptul la despăgubiri, iar sarcina probei se poate inversa, astfel încât angajatorul trebuie să demonstreze că tratamentul nu a fost legat de raportare. Protecția se aplică atunci când raportorul a crezut cu bună-credință în corectitudinea informațiilor.

Contractele standard ale Comisiei Europene pe care companiile le pot folosi ca mecanism de transfer atunci când datele cu caracter personal sunt trimise către țări din afara UE/SEE fără o decizie de adecvare. SCC-urile actuale din 2021 sunt structurate în module care acoperă diferite combinații de operatori și persoane împuternicite. Clauzele trebuie semnate nemodificate, iar după hotărârea Schrems II trebuie completate cu o evaluare a legislației țării destinatare și, dacă este necesar, cu garanții suplimentare precum criptarea. În practică, SCC-urile reprezintă mecanismul de transfer cel mai utilizat de IMM-uri.

Nivelul de bază al semnăturii conform eIDAS: date în formă electronică atașate altor date electronice și utilizate de semnatar pentru a semna, de exemplu un nume tastat sub un e-mail, o imagine scanată a unei semnături sau un clic pe un buton de acceptare. O SES este valabilă din punct de vedere juridic pentru marea majoritate a acordurilor în Danemarca, unde se aplică libertatea formei. Valoarea sa probatorie depinde însă de cât de bine se poate documenta cine a semnat și că documentul nu a fost modificat. De aceea, o SES este întărită considerabil de o pistă de audit și de un hash criptografic al documentului.

O amprentă criptografică a unui document, calculată cu o funcție hash precum SHA-256. Chiar și cea mai mică modificare a documentului (un singur caracter) produce o valoare hash complet diferită, iar construirea unui alt document cu aceeași valoare hash este practic imposibilă. Atunci când un document este semnat electronic, valoarea sa hash este stocată, astfel încât ulterior să se poată dovedi că documentul semnat nu a fost modificat. Valoarea hash nu dezvăluie nimic despre conținutul documentului și, prin urmare, poate fi partajată liber ca dovadă a integrității.

Un canal intern prin care angajații și alte persoane cu o legătură profesională pot raporta confidențial încălcări ale legii și situații grave: precum fraudă, mită, încălcări ale GDPR sau hărțuire sexuală. Sistemul trebuie să dispună de o unitate imparțială care confirmă primirea în termen de 7 zile și oferă feedback în termen de 3 luni. Identitatea persoanei care raportează trebuie protejată, iar accesul la cazuri trebuie limitat la persoanele care au nevoie de acesta. Sistemul trebuie descris în scris, iar angajații trebuie să aibă acces facil la informații despre modul de utilizare.

Un transfer de date cu caracter personal către țări din afara UE/SEE, de exemplu atunci când o companie folosește un serviciu cloud din SUA. Transferul necesită un mecanism de transfer valabil în temeiul capitolului V din GDPR: o decizie de adecvare a Comisiei Europene (precum Cadrul UE-SUA privind confidențialitatea datelor), clauze contractuale standard (SCC) sau reguli corporatiste obligatorii. În urma hotărârii Schrems II, compania trebuie să evalueze și dacă nivelul de protecție din țara destinatară este cu adevărat adecvat. Transferurile către țări terțe trebuie să apară în registrul de la articolul 30 și în politica de confidențialitate.