ผู้บริหารคลินิกส่วนใหญ่มักประสบปัญหาในการคัดเลือกบุคลากรมาทำหน้าที่ DPO จนนำไปสู่ข้อผิดพลาดทางกฎหมายและการบริหารจัดการ ดังนี้:

1. เลือกแต่งตั้งเพียงเพราะเป็นผู้บริหารตำแหน่งสูง

การเลือกผู้ที่มีตำแหน่งงานหรืออาวุโสสูงสุดในคลินิก เช่น กรรมการผู้จัดการ หรือผู้บริหารฝ่ายปฏิบัติการ มักนำไปสู่ภาวะ “ความขัดกันแห่งหน้าที่” (Conflict of Interest) เนื่องจากบุคคลกลุ่มนี้เป็นผู้กำหนดวัตถุประสงค์และทิศทางการใช้ข้อมูลคนไข้เพื่อสร้างรายได้ให้ธุรกิจ จึงไม่สามารถทำหน้าที่เป็นผู้ตรวจสอบความถูกต้องและถ่วงดุลอำนาจได้อย่างเป็นกลาง

2. เลือกคนที่คลุกคลีและใกล้ชิดกับข้อมูลมากที่สุด

คลินิกหลายแห่งมักแต่งตั้งหัวหน้าฝ่ายไอที (IT Manager) หรือหัวหน้าฝ่ายเวชระเบียนมาเป็น DPO โดยคิดว่าจะเข้าใจระบบดีที่สุด แต่ในทางกฎหมาย ยิ่งบุคคลนั้นใกล้ชิดและเป็นผู้รับผิดชอบหลักในการประมวลผลข้อมูลหรือวางระบบจัดเก็บข้อมูล ยิ่งต้องระวังเรื่องผลประโยชน์ทับซ้อน เพราะเสี่ยงต่อการ “ตรวจทานและประเมินความผิดพลาดของงานตนเอง”

3. แต่งตั้งแล้วแต่ขาดแคลนทรัพยากรในการทำงาน

ต่อให้คลินิกจะเลือกบุคคลที่มีคุณสมบัติถูกต้องและเป็นกลางมาทำหน้าที่ แต่หากไม่มีการจัดสรรเวลาทำงานให้ชาร์จภาระหน้าที่ DPO อย่างชัดเจน ไม่มีงบประมาณสนับสนุนในการพัฒนาระบบความปลอดภัย หรือไม่มีอำนาจในการเข้าถึงผู้บริหารระดับสูงเพื่อรายงานปัญหา บทบาทของ DPO ก็จะเป็นเพียงแค่ชื่อเรียกในนามที่ไม่มีประสิทธิภาพเมื่อเกิดเหตุข้อมูลรั่วไหล

4. ไม่กำหนดขอบเขตการทำงานที่ชัดเจน (Scope of Work)

ปัญหานี้มักเกิดขึ้นบ่อยครั้งเมื่อคลินิกเลือกใช้บริการผู้เชี่ยวชาญจากภายนอก (Outsourced DPO) หากไม่มีการระบุช่องทางการติดต่อรับส่งข้อมูล ข้อจำกัดความรับผิดชอบ และหน้าที่ในการประสานงานระหว่างทีมงานภายในคลินิกกับ DPO ภายนอกให้ชัดเจน จะทำให้เกิดความสับสน ล่าช้า และไม่สามารถระงับเหตุได้ทันท่วงทีเมื่อเกิดวิกฤตการณ์ข้อมูลคนไข้รั่วไหล