TOM

Čl. 32 GDPR vyžaduje, aby spoločnosti zaviedli úroveň ochrany primeranú riziku danej spracovateľskej činnosti, bez toho, aby pevne predpisoval konkrétne jednotlivé opatrenia. Technické opatrenia sa týkajú samotných systémov, napríklad šifrovania, kontroly prístupu alebo zálohovania; organizačné opatrenia sa týkajú procesov a ľudí, napríklad koncepcií oprávnení, školení alebo jasne určených zodpovedností. Obe kategórie spolu tvoria TOM danej spoločnosti.

V praxi sa TOM zvyčajne zhrnú do dokumentu, ktorý popisuje, aké konkrétne opatrenia platia pre ktoré systémy, napríklad kto má prístup k NVR so záznamom z kamier, ako sa spravujú heslá alebo ako sú zabezpečené zálohy. Tento dokument sa často vyžaduje ako príloha k zmluve o spracúvaní osobných údajov, pretože prevádzkovateľ potrebuje vedieť, ako dodávateľ chráni jeho dáta. TOM nie je jednorazový dokument, musí rásť spolu s novými systémami a novými rizikami.

Bežné nedorozumenie: TOM nie je pevný checklist, ktorý vyzerá všade rovnako. Aké opatrenia sú primerané, závisí od konkrétneho rizika danej spracovateľskej činnosti, a čo stačí výrobnému podniku, môže byť nedostatočné pre lekársku ambulanciu. Ako presne majú vlastné TOM vyzerať do detailu, je otázka, ktorú si prevádzka napokon vyjasní so svojím právnym poradcom.