Compliance-ordlista

Regeln i den danska arbetstidslagen om att en anställds genomsnittliga veckoarbetstid inte får överstiga 48 timmar inklusive övertid, mätt över en period på 4 månader. Regeln härstammar från EU:s arbetstidsdirektiv och gäller för i princip alla arbetstagare. Överträdelse kan utlösa ersättning till den anställde, och sedan 2024 ska arbetsgivare kunna dokumentera efterlevnaden genom arbetstidsregistrering. Enstaka kollektivavtal tillåter under särskilda förutsättningar en högre gräns för utvalda grupper.

Tidsfristen i artikel 33 i GDPR för att anmäla en personuppgiftsincident till tillsynsmyndigheten: utan onödigt dröjsmål och om möjligt senast 72 timmar efter att företaget fått kännedom om incidenten. Fristen löper även på helger och helgdagar. Om den överskrids ska förseningen förklaras i anmälan. Om företaget inte har all information inom fristen kan anmälan göras stegvis – det viktiga är att anmäla det man vet i tid.

Den mellersta underskriftsnivån enligt artikel 26 i eIDAS. En avancerad elektronisk underskrift ska vara entydigt kopplad till undertecknaren, kunna identifiera denne, ha skapats med medel som undertecknaren har under sin exklusiva kontroll och vara kopplad till dokumentet så att varje efterföljande ändring kan upptäckas. I praktiken uppfylls kraven ofta genom att kombinera identifiering (till exempel med MitID) med kryptografisk försegling av dokumentet. En AES ger ett betydligt starkare bevisvärde än en enkel underskrift och är standardvalet för till exempel anställningsavtal och personuppgiftsbiträdesavtal.

Det formella samarbetet om arbetsmiljö mellan ledning och anställda, som är obligatoriskt i danska företag med 10 eller fler anställda. AMO består av en eller flera arbetsmiljögrupper med en vald arbetsmiljörepresentant och en utsedd arbetsledare. Medlemmarna ska genomgå den obligatoriska treutbildningen (3 dagar) inom 3 månader efter valet. I företag med färre än 10 anställda ska arbetsmiljöarbetet i stället ske i direkt samarbete mellan arbetsgivare och anställda.

En lagstadgad bedömning av arbetsmiljön som varje dansk arbetsgivare med anställda måste genomföra minst vart tredje år – och varje gång arbetet förändras väsentligt. Den består av fyra steg: kartläggning av arbetsmiljön, bedömning av problemen, en skriftlig handlingsplan och uppföljning. Kravet följer av §15a i den danska arbetsmiljölagen, och Arbetsmiljöverket (Arbejdstilsynet) kan begära att få se den vid tillsyn. Metoden är fri, men resultatet ska vara skriftligt och tillgängligt för de anställda.

En plötslig händelse i samband med arbetet som medför personskada – till exempel ett fall, en klämskada eller en akut överbelastning. Arbetsgivaren är skyldig att anmäla olyckan digitalt i EASY om den leder till frånvaro utöver skadedagen, och anmälan ska ske senast 14 dagar efter den första frånvarodagen. Olyckor som kan ge rätt till ersättning enligt den danska arbetsskadelagen ska också anmälas. Utebliven anmälan kan bestraffas med böter, och olyckor bör alltid följas upp med förebyggande åtgärder i arbetsmiljöbedömningen.

Sedan den 1 juli 2024 ska danska arbetsgivare ha ett objektivt, tillförlitligt och tillgängligt system som registrerar varje anställds dagliga arbetstid. Kravet följer av ändringen av den danska arbetstidslagen, som genomför EU-domstolens praxis, och ska göra det möjligt att kontrollera 48-timmarsregeln och reglerna om vila. Registreringarna ska sparas i 5 år, och den anställde ska kunna få tillgång till sina egna uppgifter. Så kallade självorganiserare kan undantas, men undantaget är snävt och ska framgå av anställningsavtalet.

Ett lagstadgat möte som varje dansk arbetsgivare med anställda ska hålla minst en gång om året, där ledning och anställda går igenom läget för arbetsmiljön. Samtalet ska blicka tillbaka på det gångna året, fastställa mål och insatser för det kommande året och bedöma om samarbetet om arbetsmiljön fungerar. Företag utan formell arbetsmiljöorganisation ska skriftligen kunna dokumentera för Arbetsmiljöverket att samtalet har ägt rum. Det hänger naturligt ihop med uppföljningen av arbetsmiljöbedömningen.

En rättslig grund enligt artikel 6.1 f i GDPR, som gör det möjligt för ett företag att behandla vanliga personuppgifter om dess berättigade intressen väger tyngre än den registrerades intressen och rättigheter. Grunden kräver en dokumenterad avvägning – en så kallad intresseavvägning – och att behandlingen är nödvändig för ändamålet. Typiska exempel är direktmarknadsföring till befintliga kunder, IT-säkerhet och intern administration. Den registrerade har alltid rätt att invända mot behandling som grundas på berättigat intresse.

En årsplan som fördelar företagets återkommande efterlevnadsuppgifter över kalenderåret så att inget glöms bort eller klumpar ihop sig. Typiska punkter är det årliga arbetsmiljösamtalet, uppföljning av handlingsplanen från arbetsmiljöbedömningen, genomgång av artikel 30-registret och gallringstiderna, test av beredskapen vid personuppgiftsincidenter, revidering av personuppgiftsbiträdesavtal och uppdatering av personalhandboken. Årshjulet gör efterlevnad till en löpande rutin med tydliga ansvariga och tidsfrister i stället för en årlig brandövning. Det är samtidigt god dokumentation gentemot tillsynsmyndigheter för att företaget arbetar systematiskt.

Den danska myndighet som utövar tillsyn över att företag följer arbetsmiljölagen. Den genomför både aviserade och oaviserade tillsynsbesök och kan utfärda förelägganden, omedelbara förelägganden och förbud samt anmäla till åtal om böter. Vid tillsyn efterfrågar den vanligen arbetsmiljöbedömningen, det årliga arbetsmiljösamtalet och dokumentation av arbetsmiljöorganisationen. Företag med ordning i den skriftliga dokumentationen klarar ett tillsynsbesök betydligt lättare.

Den danska tillsynsmyndigheten för dataskydd, som utövar tillsyn över att GDPR och den danska dataskyddslagen efterlevs. Den handlägger klagomål från medborgare, genomför tillsyn hos företag och myndigheter, tar emot anmälningar om personuppgiftsincidenter och publicerar vägledningar och mallar. Den kan uttala kritik, meddela förelägganden och anmäla till åtal om böter – i Danmark fastställs GDPR-böter i regel av domstolarna efter polisanmälan. Dess vägledningar är en bra utgångspunkt när ett litet eller medelstort företag ska ordna sin GDPR-dokumentation.

EU:s förordning om skydd för personuppgifter, som har gällt sedan den 25 maj 2018 och kompletteras av den danska dataskyddslagen. GDPR ställer krav på hur företag samlar in, använder, lagrar och raderar personuppgifter, och ger de registrerade en rad rättigheter. Företag ska kunna dokumentera sin efterlevnad – den så kallade ansvarsskyldighetsprincipen. Överträdelser kan bestraffas med böter på upp till 20 miljoner euro eller 4 % av den globala årsomsättningen.

Den danska lag som genomför EU:s visselblåsardirektiv (2019/1937) och har varit i kraft sedan december 2021. Lagen förpliktar privata företag med 50 eller fler anställda och de flesta offentliga arbetsgivare att inrätta ett internt visselblåsarsystem – kravet har omfattat företag med 50–249 anställda sedan den 17 december 2023. Lagen skyddar visselblåsare mot repressalier och ställer krav på konfidentialitet, bekräftelse av mottagandet inom 7 dagar och återkoppling inom 3 månader. Överträdelser kan medföra böter och skadeståndsansvar.

En konsekvensbedömning avseende dataskydd som artikel 35 i GDPR kräver när en behandling sannolikt innebär en hög risk för de registrerade – till exempel systematisk övervakning, omfattande behandling av känsliga uppgifter eller ny teknik som ansiktsigenkänning. Bedömningen ska beskriva behandlingen, utvärdera nödvändighet och proportionalitet, kartlägga riskerna och fastställa åtgärder för att minska dem. Om risken inte kan minskas ska tillsynsmyndigheten rådfrågas innan behandlingen påbörjas. Den danska tillsynsmyndigheten har publicerat en lista över behandlingar som alltid kräver en DPIA.

Det digitala system som danska arbetsgivare ska använda för att anmäla arbetsolyckor till Arbetsmiljöverket och Arbetsmarknadens Yrkesskadeförsäkring. EASY nås via Virk.dk med företagets MitID Erhverv, och en enda anmälan skickas automatiskt till rätt myndigheter och eventuellt försäkringsbolaget. Anmälan i EASY är obligatorisk – pappersblanketter godtas inte. Det är god praxis att registrera olyckans fakta internt direkt, så att EASY-anmälan kan fyllas i korrekt inom tidsfristen.

EU-förordningen om elektronisk identifiering och betrodda tjänster (910/2014), som skapar gemensamma regler för elektroniska underskrifter, sigill och tidsstämplar i hela EU. eIDAS definierar tre nivåer av elektroniska underskrifter – enkel (SES), avancerad (AES) och kvalificerad (QES) – och slår fast att en underskrift inte kan nekas rättsverkan som bevis enbart för att den är elektronisk. Förordningen har uppdaterats genom eIDAS 2.0, som bland annat inför en europeisk digital identitetsplånbok. För små och medelstora företag innebär eIDAS att dokument som anställningsavtal kan undertecknas giltigt digitalt.

De tidsfrister som ett företag fastställer för hur länge olika typer av personuppgifter sparas innan de raderas eller anonymiseras. GDPR:s princip om lagringsminimering kräver att uppgifter inte sparas längre än vad som är nödvändigt för ändamålet. Tidsfristerna ska dokumenteras – vanligen i artikel 30-registret och en gallringspolicy – och de ska faktiskt tillämpas i praktiken. Vissa frister följer av annan lagstiftning, till exempel den danska bokföringslagens krav på 5 års bevarande av räkenskapsmaterial.

En kronologisk, oföränderlig registrering av händelser i ett system: vem som gjorde vad, när och från vilken adress. I en underskriftsprocess dokumenterar granskningsloggen till exempel när dokumentet skickades, öppnades och undertecknades, och hur undertecknaren identifierades. Loggen är central för bevisvärdet av elektroniska underskrifter och för att kunna dokumentera GDPR-efterlevnad, till exempel vem som haft tillgång till känsliga ärenden. En bra granskningslogg kan inte redigeras i efterhand och lagras separat från de data den beskriver.

Den skriftliga plan i arbetsmiljöbedömningen som beskriver hur företaget ska lösa de arbetsmiljöproblem som kartläggningen har avslöjat. För varje problem ska planen ange vad som ska göras, vem som är ansvarig och när det ska vara löst. Handlingsplanen är ett lagkrav – en arbetsmiljöbedömning utan handlingsplan är inte komplett. Uppföljning krävs också, så att företaget kan dokumentera att åtgärderna faktiskt har genomförts och fungerar.

Den internationella standarden för ledningssystem för informationssäkerhet (ISMS). Standarden kräver att organisationen systematiskt identifierar sina informationssäkerhetsrisker och hanterar dem genom policyer, kontroller och ständig förbättring; kontrollkatalogen finns i bilaga A och utvecklas vidare i ISO 27002. Certifiering utförs av ett ackrediterat certifieringsorgan och är frivillig, men efterfrågas i allt högre grad av kunder och i upphandlingar. För små och medelstora företag är en full certifiering enligt ISO 27001 ofta överdimensionerad, men principerna – riskbedömning, åtkomstkontroll, loggning och incidentberedskap – är en bra förebild för säkerhetsarbetet.

De särskilda kategorierna av personuppgifter i artikel 9 i GDPR: ras och etniskt ursprung, politisk, religiös eller filosofisk övertygelse, medlemskap i fackförening, genetiska och biometriska uppgifter, hälsouppgifter samt uppgifter om sexualliv och sexuell läggning. Behandling är som huvudregel förbjuden och kräver ett särskilt undantag, till exempel uttryckligt samtycke eller nödvändighet enligt arbetsrätten. Känsliga uppgifter kräver skärpt säkerhet, och enligt dansk rätt regleras personnummer och uppgifter om brottmålsdomar av egna, särskilda regler. Många HR- och visselblåsarärenden innehåller känsliga uppgifter och måste därför skyddas extra noga.

En särskild riskbedömning som danska arbetsgivare måste upprätta när anställda arbetar med eller kan exponeras för farliga kemiska ämnen och material. Den ersatte 2019 de tidigare arbetsplatsinstruktionerna och ska bland annat beskriva ämnenas farlighet, exponeringen, förebyggande åtgärder och krav på utbildning. Bedömningen ska vara skriftlig, hållas uppdaterad, och de anställda ska informeras om resultatet. Leverantörens säkerhetsdatablad är ett viktigt underlag för arbetet.

Danmarks nationella digitala identitet, som ersatte NemID och används för att logga in hos myndigheter, banker och privata tjänster. MitID är anmält enligt eIDAS och kan användas för att identifiera undertecknaren i en elektronisk underskriftsprocess, vilket höjer underskriften till den avancerade nivån (AES). Företag använder MitID Erhverv för att agera för företagets räkning, till exempel i EASY och på Virk.dk. Vid dokumentundertecknande dokumenterar en MitID-inloggning med hög säkerhet vem som faktiskt skrev under.

EU:s cybersäkerhetsdirektiv (2022/2555), som skärper säkerhetskraven för nät- och informationssystem för väsentliga och viktiga verksamheter inom en lång rad sektorer – till exempel energi, transport, hälso- och sjukvård, digital infrastruktur och livsmedel. Berörda företag måste införa riskhantering, hantera leverantörssäkerhet och rapportera väsentliga incidenter till myndigheterna, med betydande böter vid bristande efterlevnad; ledningen kan hållas personligt ansvarig. NIS2 gäller vanligen medelstora och stora företag inom de berörda sektorerna, men mindre leverantörer påverkas också indirekt via kundernas krav. I Danmark har direktivet genomförts genom lag med verkan från den 1 juli 2025.

De dokument som en ny anställd ska få och underteckna vid anställningens start. Viktigast är anställningsavtalet: enligt den danska lagen om anställningsbevis från 2023 ska de väsentligaste villkoren lämnas skriftligen senast 7 kalenderdagar efter första arbetsdagen och resten inom en månad. Därtill kommer vanligen en sekretessförbindelse, IT- och dataskyddspolicy, utlämning av utrustning, kvittens för personalhandboken och GDPR:s informationsskyldighet om behandling av medarbetardata. Digital underskrift med granskningslogg gör det enkelt att bevisa att allt har lämnats ut och godkänts i tid.

Överföring av personuppgifter till länder utanför EU/EES – till exempel när ett företag använder en amerikansk molntjänst. Överföringen kräver en giltig överföringsgrund enligt kapitel V i GDPR: ett beslut om adekvat skyddsnivå från EU-kommissionen (som EU-U.S. Data Privacy Framework), standardavtalsklausuler (SCC) eller bindande företagsbestämmelser. Efter Schrems II-domen måste företaget dessutom bedöma om skyddsnivån i mottagarlandet verkligen är tillräcklig. Överföringar till tredjeland ska framgå av artikel 30-registret och integritetspolicyn.

Företagets samlade beskrivning av regler, policyer och praktiska förhållanden för de anställda – till exempel arbetstid, sjukanmälan, semester, IT- och dataskyddspolicy, policy om berusningsmedel och riktlinjer mot kränkande särbehandling. Handboken är inte lagstadgad, men den samlar dokumentation som andra regler kräver och skapar klarhet om vad som gäller. Villkor i handboken kan få anställningsrättslig verkan, så väsentliga ändringar måste varslas korrekt. God praxis är att låta de anställda digitalt kvittera att de har läst den gällande versionen.

Det företag, den myndighet eller den person som bestämmer för vilka ändamål och med vilka medel personuppgifter behandlas. Den personuppgiftsansvarige bär huvudansvaret för GDPR-efterlevnaden: laglig grund, informationsskyldighet, säkerhet, dokumentation och de registrerades rättigheter. En arbetsgivare är till exempel personuppgiftsansvarig för de anställdas personaluppgifter. Om den personuppgiftsansvarige använder leverantörer för behandlingen ska personuppgiftsbiträdesavtal ingås med dem.

Ett företag eller en person som behandlar personuppgifter för en personuppgiftsansvarigs räkning och enligt dennes instruktioner – till exempel en molntjänstleverantör, en lönebyrå eller ett HR-system. Personuppgiftsbiträdet får inte använda uppgifterna för egna ändamål och ska uppfylla GDPR:s krav på säkerhet och konfidentialitet. Förhållandet ska regleras i ett skriftligt personuppgiftsbiträdesavtal. Om personuppgiftsbiträdet själv anlitar underleverantörer (underbiträden) krävs den personuppgiftsansvariges godkännande.

Det skriftliga avtal som artikel 28 i GDPR kräver mellan en personuppgiftsansvarig och ett personuppgiftsbiträde. Avtalet ska bland annat fastställa behandlingens föremål och varaktighet, typen av uppgifter, personuppgiftsbiträdets skyldigheter, säkerhetskrav, regler för underbiträden samt bistånd vid personuppgiftsincidenter och registrerades begäranden. Utan ett giltigt personuppgiftsbiträdesavtal är det olagligt att låta en leverantör behandla personuppgifter för företagets räkning. Den danska tillsynsmyndigheten har publicerat en standardmall som många små och medelstora företag utgår från.

En säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust, ändring eller obehörig åtkomst till personuppgifter – till exempel ett mejl som skickats till fel mottagare, en förlorad bärbar dator eller en hackerattack. En incident ska som huvudregel anmälas till tillsynsmyndigheten inom 72 timmar, om den inte sannolikt medför en risk för de registrerade. Vid hög risk ska även de berörda personerna underrättas. Alla incidenter – även de som inte anmäls – ska dokumenteras i ett internt register.

Den del av arbetsmiljöbedömningen som handlar om den psykosociala arbetsmiljön: arbetsbelastning, otydliga krav, mobbning, trakasserier, våld och kränkande särbehandling. Det är inget frivilligt tillägg – psykosociala faktorer ska alltid ingå i APV:n på samma villkor som de fysiska riskerna. Reglerna preciserades i den danska föreskriften om psykosocial arbetsmiljö från 2020. Många företag kartlägger den genom anonyma enkäter så att de anställda vågar svara ärligt.

Den högsta underskriftsnivån enligt eIDAS: en avancerad elektronisk underskrift som skapats med en kvalificerad anordning för skapande av underskrifter och som baseras på ett kvalificerat certifikat utfärdat av en godkänd betrodd tjänsteleverantör. En QES har samma rättsverkan som en handskriven underskrift i hela EU och erkänns över medlemsländerna. Den krävs bara i särskilda fall där lagstiftningen ställer formkrav – för vanliga affärsavtal räcker vanligtvis en AES eller SES. I gengäld vänds bevisbördan i praktiken: vid en QES är det den som bestrider underskriften som måste bevisa att den inte är äkta.

Det register över behandlingsaktiviteter som artikel 30 i GDPR kräver att personuppgiftsansvariga och personuppgiftsbiträden för. Registret ska bland annat beskriva ändamålen med behandlingen, kategorier av registrerade och uppgifter, mottagare, eventuella överföringar till tredjeland, gallringsfrister och säkerhetsåtgärder. Det ska vara skriftligt, hållas uppdaterat och kunna lämnas ut till tillsynsmyndigheten på begäran. Undantaget för företag med färre än 250 anställda är snävt, så i praktiken bör i princip alla företag föra ett register.

En begäran från en person om att få veta vilka personuppgifter företaget behandlar om denne – en rättighet enligt artikel 15 i GDPR. Företaget ska bland annat upplysa om ändamål, kategorier av uppgifter, mottagare och lagringstid samt lämna ut en kopia av uppgifterna. Svaret ska ges utan onödigt dröjsmål och senast en månad efter mottagandet; fristen kan förlängas med två månader vid komplexa begäranden. Svaret är som huvudregel kostnadsfritt för den registrerade.

De rättigheter som GDPR ger personer vars uppgifter behandlas: rätt till information, tillgång, rättelse, radering (rätten att bli bortglömd), begränsning av behandling, dataportabilitet och invändning – samt skydd mot rent automatiserat beslutsfattande med väsentlig betydelse. Företaget ska ha rutiner så att begäranden besvaras inom en månad. Rättigheterna är inte absoluta; radering kan till exempel nekas om uppgifterna måste bevaras enligt bokföringslagen. Bristande hantering av rättigheterna är en av de vanligaste orsakerna till klagomål till tillsynsmyndigheter.

All ofördelaktig behandling av en visselblåsare till följd av en rapportering – till exempel uppsägning, degradering, trakasserier, sämre arbetsuppgifter eller uteslutning från befordran. Visselblåsarlagen förbjuder repressalier, och även hot om och försök till repressalier är olagliga. Utsätts en visselblåsare ändå för repressalier har personen rätt till ersättning, och bevisbördan kan vändas så att arbetsgivaren måste visa att behandlingen inte berodde på rapporteringen. Skyddet gäller när rapportören var i god tro om att uppgifterna var korrekta.

En av GDPR:s sex rättsliga grunder för att behandla personuppgifter. Ett giltigt samtycke ska vara frivilligt, specifikt, informerat och otvetydigt – och lämnas genom en aktiv handling, till exempel en kryssruta som inte är förkryssad. Den registrerade kan när som helst återkalla samtycket, och det ska vara lika enkelt som att lämna det. Företaget ska kunna dokumentera att samtycket har inhämtats korrekt, och i anställningsförhållanden är samtycke sällan lämpligt eftersom maktobalansen gör frivilligheten tveksam.

EU-kommissionens standardavtal som företag kan använda som överföringsgrund när personuppgifter skickas till länder utanför EU/EES utan ett beslut om adekvat skyddsnivå. De gällande SCC från 2021 finns i moduler som täcker olika kombinationer av personuppgiftsansvariga och personuppgiftsbiträden. Klausulerna ska undertecknas oförändrade, och efter Schrems II ska de kompletteras med en bedömning av mottagarlandets lagstiftning och eventuella extra skyddsåtgärder som kryptering. I praktiken är SCC den mest använda överföringsgrunden för små och medelstora företag.

Den grundläggande underskriftsnivån enligt eIDAS: data i elektronisk form som är kopplad till andra elektroniska data och som undertecknaren använder för att skriva under – till exempel ett namn skrivet under ett mejl, en inskannad bild av en underskrift eller ett klick på en godkänn-knapp. En SES är juridiskt giltig för de allra flesta avtal i Danmark, där avtalsfrihet gäller för formen. Bevisvärdet beror dock på hur väl man kan dokumentera vem som skrev under och att dokumentet inte har ändrats. Därför förstärks en SES avsevärt av en granskningslogg och en kryptografisk hash av dokumentet.

Ett kryptografiskt fingeravtryck av ett dokument, beräknat med en hashfunktion som SHA-256. Redan den minsta ändring i dokumentet – ett enda tecken – ger ett helt annat hashvärde, och det är praktiskt taget omöjligt att skapa ett annat dokument med samma hash. Vid elektronisk undertecknande sparas dokumentets hash så att man senare kan bevisa att det undertecknade dokumentet inte har ändrats. Hashen avslöjar inget om dokumentets innehåll och kan därför delas fritt som integritetsbevis.

Elektroniskt bevis för att bestämda uppgifter existerade vid en viss tidpunkt. I underskrifts- och efterlevnadssammanhang binder tidsstämpeln dokumentets hash till en klockslag, så att man kan bevisa när dokumentet undertecknades eller registrerades. eIDAS reglerar kvalificerade elektroniska tidsstämplar, som utfärdas av godkända betrodda tjänsteleverantörer och åtnjuter en presumtion om riktighet. Pålitliga tidsstämplar är också viktiga i granskningsloggar, till exempel för att dokumentera att en personuppgiftsincident anmäldes inom 72 timmar.

En händelse som skulle kunna ha lett till en arbetsolycka men där ingen skadades – till exempel ett verktyg som faller ner bredvid en anställd, eller en halka som precis inte slutar i ett fall. Tillbud behöver inte anmälas till myndigheterna, men de är ett av de viktigaste verktygen för förebyggande arbete. Genom att systematiskt registrera och analysera dem kan företaget undanröja risker innan de orsakar en verklig olycka. Mönster i tillbuden bör ingå i arbetet med arbetsmiljöbedömningen.

En intern kanal där anställda och andra med arbetsrelaterad koppling konfidentiellt kan rapportera lagöverträdelser och allvarliga förhållanden – till exempel bedrägeri, mutor, brott mot GDPR eller sexuella trakasserier. Systemet ska ha en opartisk visselblåsarfunktion som bekräftar mottagandet inom 7 dagar och ger återkoppling inom 3 månader. Rapportörens identitet ska skyddas, och endast personer med behov får ha tillgång till ärendena. Systemet ska beskrivas skriftligt, och de anställda ska ha lätt tillgång till information om hur det används.