Misstagen när du rekryterar dataskyddsombud

Visste du att ditt dataskyddsombud inte får ta emot instruktioner om hur uppgifterna ska utföras? Det är en av flera egenheter som gör DPO-rekryteringen olik allt annat. Rollen är reglerad i dataskyddsförordningen, ska vara självständig och får inte hamna i intressekonflikt. Ändå rekryteras den ofta som vilken specialistroll som helst. Där börjar problemen.

De vanligaste misstagen

• Rollen kombineras med uppgifter som skapar intressekonflikt, som att själv besluta om behandlingar personen sedan ska granska
• Kravprofilen skrivs som för en jurist, fast rollen lika mycket kräver pedagog och rådgivare
• Organisationen underskattar tidsbehovet och gör DPO till en tiondel av en redan full tjänst
• Rapporteringsvägen till högsta ledningen finns på pappret men inte i praktiken
• Man rekryterar på certifikat istället för på erfarenhet av verklig ärendehantering

Bestäm först: intern, extern eller delad?

Alla organisationer behöver inte anställa en DPO på heltid. För en mindre myndighet eller ett medelstort bolag kan ett externt ombud eller en delad funktion vara rimligare. Men om personuppgifter är centrala i er verksamhet, som i vård, skola, HR-system eller kundanalys, behöver ombudet finnas nära vardagen. Frågan att ställa sig är enkel: hur ofta uppstår dataskyddsfrågor som kräver svar samma vecka? Är svaret ofta, behöver ni någon på plats.

Vad du ska leta efter i kandidaten

Den skickliga DPO:n är en översättare. Den tar regelverkets krav och gör dem hanterbara för verksamheten: vilka behandlingar kräver konsekvensbedömning, hur hanteras en personuppgiftsincident klockan fyra en fredag, vad svarar vi registrerade som hör av sig. Leta efter dokumenterad erfarenhet av just detta: incidenthantering, konsekvensbedömningar, kontakt med tillsynsmyndighet. Fråga efter konkreta ärenden, avidentifierade förstås, och lyssna på om kandidaten beskriver lösningar eller bara risker.

I offentlig sektor är rollen obligatorisk och granskningen hårdare, men misstagen är desamma. Det viktigaste du kan göra som arbetsgivare är att ge rollen mandat på riktigt: tid, tillgång till ledningen och respekt för självständigheten. En stark kandidat känner igen en pappersroll redan i första intervjun, och tackar nej. De som tackar ja till pappersroller är sällan de du vill ha. Sätt därför förutsättningarna på pränt innan rekryteringen startar: tidsbudget, rapporteringsväg och gränsdragning mot angränsande funktioner. Det gör både urvalet och den kommande anställningen enklare.