I 20 år har Personuppgiftslagen bestämt hur personuppgifter ska hanteras, och av vem. Sedan maj 2018 ser det annorlunda ut. EU:s nya dataskyddsförordning, GDPR, är den största förändringen inom personuppgiftslagstiftning på två årtionden och har ställt många och höga krav på hur organisationer numera får hantera personuppgifter. Syftet, utöver att harmonisera mellan EU:s medlemsstater, har varit ett ökat integritetsskydd. Förordningen krävde i många fall ordentliga omtag för åtskilliga företag och behovet av kompetens på området ökade markant, inte minst för att täcka tillsättningen av Data Protection Officers, DPO.

Det har nu gått fyra månader sedan GDPR trädde ikraft. Var har vi landat? Hur tacklade man detta och framförallt, hur ser framtiden ut för DPO-rollen?

Den första utmaningen våra uppdragsgivare som behövde rekrytera en DPO ställdes inför var: ”vem ska vi rekrytera?”, dvs. vilken bakgrund ska DPO:n ha? Rollen är mångfacetterad och verkar i gränslandet mellan bl.a. juridik, IT och projektstyrning, vilket ställer många krav på önskvärda kompetenser. Var det en jurist, någon med erfarenhet inom informationssäkerhet eller kanske en internrevisor man behövde?

Ganska snabbt såg vi på Sharp Recruitment en tydlig trend – i de allra flesta fall ville man ha någon med juridisk bakgrund, inte minst eftersom den första utmaningen för organisationen innebar tolkning och implementering av ett komplext regelverk.

Nu när vi befinner oss några månader efter ikraftträdandet ser vi också att en majoritet av de som rekryterades och idag arbetar som DPO:s har juridisk bakgrund. En ytterligare effekt av GDPR har också blivit att organisationerna, vid sidan av att anställa en DPO, också har fått lägga stora resurser på utökning av teknisk kompetens.

Att bli GDPR-compliant har därför varit en hög tröskel att ta sig över och har krävt omfattande insatser från de berörda organisationerna. Men nu efter implementeringen, kommer DPO-rollen att utvecklas och förändras och vilken kompetens kommer krävas framöver?

Fredrik Svärd, Generalsekreterare på Forum för Dataskydd, menar att de krav som GDPR ställer på organisationen, t.ex. att ge klar och tydlig information till slutanvändaren och att snabbt kunna agera på incidenter, kommer innebära att rollen bli än mer tekniskt orienterad. Vi kommer bl.a. se en kraftig ökning inom områden som legal design och AI. Tekniska och designmässiga lösningar kommer medföra en automatisering och förenkling av hantering av dataflöden och hur man kommunicerar med slutanvändaren.

När nu tekniken kommer ta än större plats, kommer då behovet av juridisk kompetens hos DPO:s att försvinna eller minska? Nej, inte nödvändigtvis tror Fredrik Svärd. Däremot kommer det ställa ännu högre krav på vad en DPO, utöver juridik, behöver kunna. Förutom att vara bekväm och hemtam med alla nya tekniska verktyg behöver en DPO också förstå processer, organisationsstrukturer och kommunikation.

Klart är att behovet av DPO:s även fortsättningsvis kommer vara mycket stort och vi ser nu hur en helt ny profession och bransch håller på att växa fram och hitta fotfästet. Tillförseln av ny arbetskraft till denna bransch måste dock anpassas bättre till de krav som ställs, vilket inte minst träffar juristen som vill göra framgångsrik karriär som DPO.

Självfallet kan man under karriärens gång plocka på sig rätt kompetenser, såväl tekniska som juridiska, för att lyckas i rollen. Men för att täcka det fortsatt stora behovet av DPO:s bör man också säkerställa tillflödet av rätt kompetens redan på universitetsnivå. Fredrik Svärd menar att ett sätt att uppnå detta skulle kunna vara en modernisering av juristutbildningen där man ger framtidens jurister möjlighet att erhålla kunskaper inom t.ex. teknik och AI eller projektledning och kommunikation.

En sådan utveckling av juristutbildningen skulle inte bara gynna framtiden DPO:s utan också innebära en juristkår betydligt bättre rustad för framtidens behov och utmaningar.

Maneli Zakipour, rekryteringskonsult, Sharp Recruitment
Peter Ekström, partner, Sharp Recruitment