Вы можете почитать информацию здесь https://stalirov.lawyer/posts/data-protection-officer  Офицер информационной безопасности нужен в конкретных случаях. Один их которых, регулярный, систематический мониторинг данных в большом объеме. Но я не уверен, что это ваш вариант, лучше проконсультируйтесь с юристами. И еще, вам не обязательно брать офицера информационной безопасности в команду, это может быть специалист на аутсорсе, который будет раз в месяц проводить аудит процессов обработки данных и консультировать вас по запросу. Так будет выгоднее, и вы сможете показать заказчику договор с офицером как гарантию, что вы выполняете требования по обработке персональных данных.