Il ruolo di DPO può essere affidato ad uno dei dipendenti dell'azienda (con specifico atto di designazione) ma può anche essere esternalizzato a un fornitore di servizi (libero professionista o azienda) tramite apposito contratto di servizi, nel qual caso dovrà essere nominato anche responsabile del trattamento.
Aziende che svolgono raccolta dati con finalità di marketing e profilazione. In generale ogni azienda che lavora online e, per esempio, programmi l'invio di una newsletter è tenuta a rispettare il GDPR e nominare un Data Protection Officer.
I DPO sono responsabili del monitoraggio della conformità dell'organizzazione per la quale lavorano, danno consigli e linee guida relativi agli obblighi di protezione dei dati e svolgono il ruolo di punto di contatto tra gli interessati e l'autorità di controllo competente.
Devono nominare un DPO: società operanti nel settore della cura della salute, della prevenzione/diagnostica sanitaria, quali ospedali privati, terme, laboratori di analisi, centri di riabilitazione; call center; società che forniscono servizi informatici; istituti di credito, società assicurative, società finanziarie; ...
In questo lasso di tempo, la diffusione dei Data Protection Officer è stata assolutamente considerevole. Secondo i dati diffusi dal Garante, dal 25 maggio 2018 al 31 dicembre 2021 le comunicazioni dei dati di contatto dei DPO sono state 62.339.