Mange virksomheder er i dag overbeviste om, at man under den nye persondataforordning vil blive underlagt et krav om at ansætte en data protection officer (DPO), og at denne ansættelse vil kræve lange og dyre uddannelsesforløb for den enkelte virksomhed.
Dette vil i mange tilfælde ikke være tilfældet.
Der er god grund til, at virksomhederne nøje overvejer, hvorvidt DPO-ansættelsen vil være nødvendig.
Det er der primært to årsager til:
1. Er det en kerneaktivitet?
Den nyeste udgave af forordningen (fra december 2015) har betydeligt indskrænket de tilfælde, hvor en virksomhed er forpligtet til at udpege en DPO.
Det er nu kun et krav til offentlige myndigheder (med undtagelse af domstole) og virksomheder, hvis kerneaktivitet består i en kvantitativ og kvalitativ omfattende databehandling.
Som det ser ud nu, skal private virksomheder altså først og fremmest overveje, om deres databehandling falder inden for begrebet "kerneaktivitet".
Hvis dette ikke er tilfældet, kan man slå alle tanker om krav om ansættelse og uddannelse af en DPO ud af hovedet.
2. Man kan dele en DPO
Forordningen åbner udtrykkeligt mulighed for, at flere virksomheder eller offentlige myndigheder benytter samme DPO.
Det er derfor ikke svært at forestille sig, at en lille række DPO'er kommer til at stå for langt størstedelen af DPO-tilsynet i Danmark.
Omkostningerne til ansættelse og uddannelse af en enkelt DPO pr. virksomhed vil derfor ofte ikke være nødvendige.
Man kan derfor med rette sætte spørgsmålstegn ved, hvor mange DPO'er der egentlig er brug for i Danmark.
Alligevel udbydes et støt stigende antal DPO-uddannelser med henblik på at uddanne kommende DPO'er eller at forberede virksomheder på bedst muligt at håndtere den nye funktion i praksis.
Ud fra et fremtidigt perspektiv kan det måske være en god idé at have en pæn stab af uddannede DPO'er, men som det ser ud nu, er behovet dog relativt begrænset.
Det skal dog nævnes, at uddannelserne stadig kan være en god mulighed for virksomheder, som ønsker uddybende viden om forordningen, og som herigennem vil opnå værktøjer til at håndtere forordningens andre krav.
(Tak til mine Bird & Bird kollegaer, studentermedhjælper Mathias Bartholdy og advokat Kamilla Pierdola Mondrup for hjælp med indlægget)