باختصار: TOM هي احتياطات الحماية العملية التي تؤمّن بها الشركة البيانات الشخصية: تقنية مثل كلمة المرور والتشفير ونظام الأقفال، وتنظيمية مثل تعليمات الخدمة والتدريب ومفهوم الصلاحيات. وتشترط Art. 32 من اللائحة العامة لحماية البيانات (DSGVO) مستوى حماية يتناسب مع الخطر.
أنت تحمي كل يوم المباني والممتلكات الثمينة والناس. والأمر مشابه مع البيانات: يجب حمايتها من السرقة والضياع والنظرات الفضولية. وتسمي DSGVO التدابير اللازمة لذلك التدابير التقنية والتنظيمية، واختصارها TOM. في الامتحان يجب أن تعرف ما المقصود بها، وكيف تميّز بين أنواع المراقبة التقليدية. وفي العمل تكون أنت نفسك في كثير من الأحيان من ينفذ هذه التدابير أو يُفشلها.
ما ينص عليه القانون
تُلزم Art. 32 DSGVO المسؤول عن المعالجة والمعالج بالتكليف باتخاذ تدابير تقنية وتنظيمية مناسبة لضمان مستوى حماية يتناسب مع الخطر. ويجوز لهما عند ذلك مراعاة أحدث ما وصلت إليه التقنية، والتكاليف، ونوع البيانات، واحتمال وقوع الخطر وجسامته. فالشركة التي لديها أرشيف فيديو وبيانات عملاء من مئة موقع تحتاج إذن إلى حماية أكبر من كشك لديه سجل بطاقات للزبائن.
تذكر Art. 32 Abs. 1 DSGVO على سبيل المثال:
- الترميز المستعار (Pseudonymisierung) وتشفير البيانات الشخصية
- القدرة على ضمان سرية الأنظمة وسلامتها وتوافرها وقدرتها على التحمل بشكل دائم
- القدرة على استعادة البيانات بسرعة بعد وقوع حادث
- إجراء يُفحص به بانتظام مدى فعالية التدابير
تضيف Art. 32 Abs. 4 DSGVO نقطة تعنيك مباشرة: من يمكنه الوصول إلى البيانات الشخصية لا يجوز له معالجتها إلا بناءً على تعليمات المسؤول عن المعالجة. وإلى جانب ذلك تشترط Art. 25 DSGVO حماية البيانات من خلال تصميم التقنية، وإعدادات افتراضية صديقة لحماية البيانات. فالكاميرا الجديدة ينبغي إذن أن تعمل من الأساس، مثلًا، دون صوت ودون إمكانية الوصول عن بعد عبر الإنترنت.
أهداف الحماية
- السرية (Vertraulichkeit): لا يستطيع رؤية البيانات إلا المخوّلون.
- السلامة (Integrität): البيانات كاملة وغير محرّفة.
- التوافر (Verfügbarkeit): البيانات موجودة عندما تحتاج إليها.
- القدرة على التحمل (Belastbarkeit): الأنظمة تصمد أيضًا أمام الأعطال وذروة الضغط.
تقنية أم تنظيمية؟
التدابير التقنية تعمل من خلال التقنية: حماية بكلمة مرور، وقفل تلقائي للشاشة، وتشفير، وجدار حماية، ونسخ احتياطي للبيانات، والتحكم الإلكتروني في الدخول، وخزانة خوادم قابلة للقفل. والتدابير التنظيمية تعمل من خلال القواعد وسير العمل: تعليمات الخدمة، والتدريب، والتعهد بالكتمان، ومفهوم الصلاحيات، ومبدأ العيون الأربع (Vier-Augen-Prinzip)، وقواعد الزوار، ومفهوم الحذف.
النوعان مرتبطان ببعضهما. أفضل نظام أقفال لا ينفع شيئًا إذا كان المفتاح العام معلقًا على مسمار بجانب الباب.
أنواع المراقبة التقليدية
كان القانون الاتحادي القديم لحماية البيانات (BDSG) يعدّد التدابير واحدًا واحدًا في ملحق. هذه المصطلحات الثمانية لم تعد اليوم نصًا قانونيًا، لكنها ما زالت تُستخدم في الدورات والعقود والامتحانات.
| نوع المراقبة | ما المقصود | مثال |
|---|---|---|
| التحكم في الدخول (Zutrittskontrolle) | غير المخوّلين لا يدخلون الغرف التي تُعالج فيها البيانات | مركز التحكم فقط ببطاقة ذكية، وغرفة الخوادم مقفلة |
| مراقبة الوصول إلى الأنظمة (Zugangskontrolle) | غير المخوّلين لا يستطيعون استخدام الأنظمة | كلمة مرور شخصية، وقفل الشاشة |
| مراقبة الوصول إلى البيانات (Zugriffskontrolle) | المخوّلون لا يرون إلا البيانات التي يحتاجون إليها | البوّاب يرى البث المباشر، لكن لا يرى الأرشيف |
| مراقبة نقل البيانات (Weitergabekontrolle) | لا تُعترض البيانات أثناء إرسالها أو نقلها | وسيط تخزين مشفّر للشرطة |
| مراقبة الإدخال (Eingabekontrolle) | يمكن تتبع من أدخل ماذا أو غيّره | سجل في دفتر الحراسة الرقمي |
| مراقبة التكليف (Auftragskontrolle) | مقدمو الخدمات لا يعالجون البيانات إلا وفق التعليمات | عقد معالجة البيانات بالتكليف |
| مراقبة التوافر (Verfügbarkeitskontrolle) | الحماية من الضياع والتلف | نسخ احتياطي للبيانات، ومصدر طاقة غير منقطع |
| مبدأ الفصل (Trennungsgebot) | البيانات المخصصة لأغراض مختلفة تبقى منفصلة | بيانات زوار العميل A منفصلة عن بيانات زوار العميل B |
وسيلة لتذكّر المصطلحات الثلاثة المتشابهة: الدخول (Zutritt) يتعلق بالغرفة، والوصول إلى النظام (Zugang) يتعلق بالجهاز، والوصول إلى البيانات (Zugriff) يتعلق بالبيانات.
دورك في مكان العمل
كثير من TOM ينجح أو يفشل بحسب سلوك عنصر الأمن. ومن ذلك:
- اقفل الشاشة عندما تغادر غرفة الحراسة، حتى لو لفترة قصيرة
- وجّه شاشات نظام الفيديو بحيث لا يراها الزوار
- لا تعطِ كلمات المرور لغيرك، ولا تلصقها على ورقة على الشاشة
- لا تترك قوائم الزوار ودفتر المفاتيح ودفتر الحراسة مكشوفة على الطاولة
- لا توصل وحدات تخزين USB خاصة بأجهزة الحاسوب الخاصة بالعمل
- الأوراق التي تحتوي على بيانات أشخاص توضع في آلة إتلاف الوثائق، لا في سلة الورق المستعمل
المزيد عن واجب عدم استخدام البيانات دون تخويل تجده في سرية البيانات والكتمان.
حالة من العمل اليومي
تتسلم النوبة الليلية في استقبال مبنى مكاتب. زميل النوبة النهارية كتب كلمة المرور الخاصة بإدارة بطاقات الدخول على ورقة لاصقة تحت لوحة المفاتيح، لأنها تتغير كثيرًا. والشاشة التي تعرض صور الكاميرات موجهة نحو صالة الاستقبال، وقائمة زوار اليوم مفتوحة على الطاولة.
هنا تفشل ثلاثة تدابير دفعة واحدة: مراقبة الوصول إلى الأنظمة، وسرية صور الكاميرات، وسرية بيانات الزوار. تدير الشاشة بعيدًا، وتضع القائمة في الدرج القابل للقفل، وتبلغ قيادة العمليات عن الورقة حتى تُغيَّر كلمة المرور. أما الورقة نفسها فتُتلفها. فكلمة المرور التي عرفها الآخرون لم تعد سرًا. وإذا تبيّن أن غير مخوّلين وصلوا فعلًا إلى البيانات، فقد يكون الأمر حتى خرقًا للبيانات يجب الإبلاغ عنه.
أخطاء شائعة في الامتحان
- الدخول (Zutritt)، والوصول إلى النظام (Zugang)، والوصول إلى البيانات (Zugriff): الغرفة، والجهاز، والبيانات. هذه المصطلحات يُخلط بينها كثيرًا.
- يجب أن تكون TOM مناسبة، لا قصوى. فـArt. 32 DSGVO تشترط مستوى حماية يتناسب مع الخطر.
- تعليمات الخدمة أو التدريب تدبير تنظيمي، لا تقني.
- التشفير والترميز المستعار تذكرهما Art. 32 DSGVO صراحةً.
- النسخ الاحتياطي للبيانات يحمي التوافر، لا السرية.
أسئلة تدريبية: التدابير التقنية والتنظيمية (TOM)
6 أسئلة عن التدابير التقنية والتنظيمية (TOM). كما في امتحان غرفة الصناعة والتجارة (IHK) تكون إجابة واحدة أو إجابتان صحيحتين، والعدد مكتوب دائمًا فوق السؤال.
Welche Maßnahme gehört zur Zugangskontrolle im klassischen Sinn?أي تدبير ينتمي إلى مراقبة الوصول إلى الأنظمة (Zugangskontrolle) بالمعنى التقليدي؟
Welche der folgenden Maßnahmen sind organisatorische Maßnahmen?أي التدابير التالية تدابير تنظيمية؟
Welches Schutzniveau verlangt Art. 32 DSGVO?أي مستوى حماية تشترطه Art. 32 DSGVO؟
Was gehört nach Art. 32 Abs. 1 DSGVO ausdrücklich zu den Beispielen für geeignete Maßnahmen?ما الذي تذكره Art. 32 Abs. 1 DSGVO صراحةً ضمن أمثلة التدابير المناسبة؟
Du verlässt kurz die Pförtnerloge, um einem Lieferanten das Tor zu öffnen. Am Rechner ist die Besucherverwaltung geöffnet. Was ist richtig?تغادر غرفة البوّاب لفترة قصيرة لتفتح البوابة لمورّد. وعلى الحاسوب برنامج إدارة الزوار مفتوح. ما الصحيح؟
Wofür steht die Eingabekontrolle?إلامَ تشير مراقبة الإدخال؟
مزيد من الأسئلة حول التدابير التقنية والتنظيمية (TOM) وحول مجال قانون حماية البيانات كله تجدها في التمرين الخاص بهذا المجال، ومجمّعة في صفحة أسئلة الامتحان في قانون حماية البيانات.
نص Art. 32 DSGVO (gesetze-im-internet.de) · آخر تحديث 06.11.2026. هذا الشرح عن التدابير التقنية والتنظيمية (TOM) لا يغني عن الاستشارة القانونية، والمعتمد هو النص الحالي للقانون.