Per quanto attiene ai requisiti richiesti in capo a tale figura professionale, si stabilisce che il D.P.O. deve essere in possesso “della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all'articolo 39”.
La scelta può ricadere su un dipendente (sempre che l’ente o l’azienda disponga di un lavoratore con tali qualifiche) oppure su un soggetto esterno, attraverso “un contratto di servizi.”.
Una volta effettuata la nomina, il Titolare o il Responsabile del trattamento è tenuto a pubblicare “i dati di contatto del Responsabile della protezione dei dati” e a comunicarli “all'Autorità di controllo.”