Technische und organisatorische Maßnahmen (TOM)

Wie persoonsgegevens verwerkt, moet ze beschermen – ook wanneer een notebook of server wordt uitgefaseerd. De AVG noemt het instrument daarvoor "technische en organisatorische maatregelen", kortweg TOM. In contracten, audits en aanbestedingen duikt de term voortdurend op. Dit woordenlijstitem legt uit wat er achter TOM schuilgaat, welke maatregelen bij de uitfasering van IT tellen en hoe u ze aantoont.

Wat zijn TOM in de gegevensbescherming?

Het begrip komt uit het gegevensbeschermingsrecht. Centraal is Art. 32 AVG ("Beveiliging van de verwerking"). Daarnaar moeten verwerkingsverantwoordelijken en verwerkers passende technische en organisatorische maatregelen treffen om een beveiligingsniveau te waarborgen dat past bij het risico. Ook art. 24 en art. 25 AVG verwijzen naar TOM, bijvoorbeeld bij gegevensbescherming door ontwerp.

De AVG schrijft geen vaste lijst voor. Zij noemt voorbeelden: pseudonimisering en versleuteling, de voortdurende vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van systemen, het snel herstellen na een incident en een procedure voor het regelmatig toetsen van de maatregelen. Welke maatregelen "passend" zijn, hangt af van de stand van de techniek, de kosten, de aard van de verwerking en het risico voor de betrokkenen.

Veel bedrijven structureren hun TOM nog volgens de acht controledoelen van de voormalige Bundesdatenschutzgesetz: toegang tot ruimten, toegang tot systemen, toegang tot gegevens, doorgifte, invoer, opdracht, beschikbaarheid en scheiding. De indeling is niet meer verplicht, maar heeft zich als toetsingsraster bewezen.

Wat betekenen TOM voor afgedankte IT?

Afgedankte apparaten vormen een onderschat risico. Op harde schijven, SSD’s, smartphones en printers staan vaak nog e-mails, klantgegevens of toegangsgegevens. De plicht uit art. 32 AVG eindigt niet met de laatste werkdag van een apparaat. Zij geldt totdat de gegevens aantoonbaar zijn gewist of de gegevensdrager is vernietigd.

Voor de uitfasering betekent dit: u hebt maatregelen nodig voor elk onderdeel van de route – van het inzamelen via opslag en transport tot wissen of vernietigen. Schakelt u een dienstverlener in, dan moet die zijn TOM openbaar maken. Ze worden doorgaans als bijlage bij de verwerkersovereenkomst overeengekomen. Hoe dat er bij een audit uitziet, laat onze gids zien Gegevensdragers afvoeren volgens de AVG.

Typische TOM bij de uitfasering van IT

De volgende tabel koppelt gangbare maatregelen aan de klassieke controledoelen. Zij is een oriëntatie, geen uitputtende lijst.

Controledoel	Technische maatregel (voorbeeld)	Organisatorische maatregel (voorbeeld)
Toegang tot ruimten	Toegangssysteem en videobewaking in het magazijn	Bezoekersregeling, lijst van bevoegde personen
Toegang tot systemen en gegevens	Harde-schijfversleuteling, geblokkeerde accounts	Rollen- en bevoegdhedenconcept
Doorgifte en transport	Verzegelde containers, GPS-tracking	Overdrachtsprotocol met serienummers
Wissen en vernietiging	Gecertificeerde wissoftware, vernietiging conform DIN 66399	Wisconcept, controle van de resultaten
Opdrachtcontrole	Klantenportaal met statusopvolging	Verwerkersovereenkomst, audits bij de dienstverlener
Bewijs	Ondertekend wiscertificaat per apparaat	Archivering van het bewijs voor de verantwoordingsplicht

Technische en organisatorische maatregelen werken vaak samen. Een toegangssysteem helpt weinig als niemand de bevoegdheden bijhoudt. Het Vierogenprincipe is puur organisatorisch, maar voorkomt fouten die geen techniek opvangt.

Waaraan u goede TOM herkent

• Concreet in plaats van algemeen: "Gegevens worden veilig gewist" volstaat niet. Goede TOM noemen methode, software en bewijs.
• Afgestemd op het risico: De maatregelen volgen uit een Beschermingsbehoeftebepaling. Gezondheidsgegevens hebben meer bescherming nodig dan een telefoonlijst.
• Actueel: Art. 32 AVG vereist regelmatige toetsing. Een TOM-document van vijf jaar geleden is een waarschuwingssignaal.
• Toetsbaar: Certificeringen zoals ISO/IEC 27001 of externe audits tonen aan dat een onafhankelijke derde de maatregelen heeft getoetst.

Typische fouten

• De kloof tussen werkplek en dienstverlener: Apparaten staan weken onafgesloten in de gang of kelder. Voor deze fase bestaat vaak helemaal geen maatregel.
• Gekopieerde TOM: Een sjabloon van internet past zelden bij de eigen verwerking en valt bij een audit op.
• Verzamelbewijzen: Een bevestiging van "200 harde schijven gewist" zonder serienummers laat zich aan geen enkel apparaat toewijzen.
• Vergeten gegevensdragers: Harde schijven in printers, geheugenkaarten of USB-sticks in tassen ontbreken in veel concepten.

Praktijkvoorbeeld: TOM voor een hardwarevervanging

Een vereenvoudigd voorbeeld: een bedrijf vervangt 150 notebooks en 20 monitoren. De functionaris voor gegevensbescherming legt de TOM voor het project als volgt vast:

1. Informatieverzameling: De IT stelt een apparatenlijst met serienummers op en markeert apparaten met gegevensdragers.
2. Tussenopslag: De oude apparaten komen in een afsluitbare ruimte waartoe slechts twee personen toegang hebben.
3. Overdracht: De dienstverlener haalt de apparaten op in verzegelde containers. Beide partijen ondertekenen een overdrachtsprotocol.
4. Transport: Directe rit zonder tussenopslag, voertuig via GPS gevolgd.
5. Verwijdering: Elke harde schijf wordt met gecertificeerde software gewist, defecte gegevensdragers worden vernietigd.
6. Bevestiging: Het bedrijf ontvangt per serienummer een wis- of vernietigingscertificaat en voegt het bij de apparatenlijst.

Zo ontstaat een sluitende Chain of custody. Elke stap heeft een maatregel en een bewijs. Wat u bij de keuze van een dienstverlener aanvullend moet vragen, staat in de checklist Een ITAD-aanbieder kiezen.

Afbakening ten opzichte van verwante begrippen

• Art. 32 AVG is de rechtsgrond. TOM zijn de concrete maatregelen waarmee u aan deze plicht voldoet.
• Verwerkersovereenkomst (DPA): De overeenkomst regelt de samenwerking met een dienstverlener. De TOM van de dienstverlener zijn meestal een bijlage daarbij.
• ISMS: Een informatiebeveiligingsmanagementsysteem stuurt alle beveiligingsmaatregelen in het bedrijf aan. TOM zijn het op gegevensbescherming gerichte onderdeel daarvan.

Dit item legt begrippen uit en vervangt geen juridisch advies.

TOM bij Second IT

Second IT verwerkt afgedankte hardware op een locatie met toegangscontrole en videobewaking. Alleen bevoegde medewerkers hebben toegang tot de verwerkingsruimten. Alle medewerkers zijn gebonden aan gegevensgeheim, daarnaast komen individuele geheimhoudingsovereenkomsten (NDA’s). Er wordt opgehaald met eigen beveiligde logistiek: directe rit zonder tussenopslag, GPS-bewaking, manipulatiebestendige verzegeling en verzekerd transport. Bij de goederenontvangst worden alle apparaten op opslagmedia gecontroleerd en op serienummer geregistreerd.

Er wordt gewist met Blancco, ook in verborgen gebieden zoals HPA en DCO, met een digitaal ondertekend wiscertificaat per apparaat. Gegevensdragers die zich niet laten wissen, worden in eigen huis conform DIN 66399, gecertificeerd voor beveiligingsniveau H-5, vernietigd. Second IT is gecertificeerd volgens ISO/IEC 27001. Meer over Gegevensbeveiliging bij Second IT.

Veelgestelde vragen over TOM

Zijn TOM wettelijk voorgeschreven?

Ja. Art. 32 AVG verplicht verwerkingsverantwoordelijken en verwerkers om passende technische en organisatorische maatregelen te treffen. Een vaste lijst schrijft de wet echter niet voor. De maatregelen moeten passen bij het risico van de betreffende verwerking.

Wat is het verschil tussen technische en organisatorische maatregelen?

Technische maatregelen werken via techniek, bijvoorbeeld versleuteling, toegangssystemen of wissoftware. Organisatorische maatregelen regelen processen en verantwoordelijkheid, bijvoorbeeld bevoegdhedenconcepten, opleidingen, wistermijnen of het vierogenprincipe.

Moet een IT-afvoerbedrijf zijn TOM voorleggen?

Verwerkt de dienstverlener in uw opdracht persoonsgegevens, dan is doorgaans een verwerkersovereenkomst nodig. Daarin beschrijft hij zijn TOM, meestal als bijlage. Laat u de maatregelen concreet tonen en vraag naar certificaten en auditrapporten.

Hoe vaak moeten TOM worden getoetst?

De AVG noemt geen vaste termijn. Zij vereist wel een procedure voor regelmatige toetsing, beoordeling en evaluatie. Gebruikelijk is een jaarlijkse toetsing en bovendien telkens wanneer systemen, dienstverleners of risico’s veranderen.

Horen wiscertificaten bij de TOM?

Het wissen zelf is een maatregel, het certificaat is het bewijs ervan. Voor de verantwoordingsplicht volgens art. 5 AVG hebt u beide nodig: een geschikte methode en een bewijs per apparaat met serienummer.