Il DPO (Data Protection Officer) è il garante interno della protezione dati: consiglia il titolare, sorveglia la conformità GDPR, fa da ponte con il Garante e con gli interessati. Dev'essere indipendente (niente conflitti: non può essere chi decide come si trattano i dati, tipo l'IT manager o il responsabile marketing), competente, e può essere esterno.
È obbligatorio in tre casi: enti pubblici; organizzazioni il cui core business è il monitoraggio regolare e sistematico su larga scala (profilazione, ad-tech, geolocalizzazione); e trattamento su larga scala di dati particolari (salute, biometria, giudiziari) – quindi ospedali, assicurazioni sanitarie, piattaforme con profilazione spinta. La PMI tipica non è obbligata, ma se tratta dati delicati la nomina volontaria (spesso esterna, a canone) compra competenza e credibilità verso clienti e auditor. In ogni caso: la nomina va comunicata al Garante e il contatto pubblicato nella privacy policy.