Povinnost jmenovat pověřence pro ochranu osobních údajů nepatří mezi povinnosti obecného nařízení uložené všem správcům a zpracovatelům osobních údajů. V čl. 37 odst. 1 GDPR je tato povinnost stanovena jen pro tři okruhy správců a zpracovatelů. Konkrétně podle charakteru správce či charakteru zpracování jde o případy, kdy:

a) zpracování provádí orgán veřejné moci či veřejný subjekt,
b) hlavní činnost spočívá v rozsáhlém pravidelném a systematickém monitorování subjektů údajů,
c) hlavní činnost spočívá v rozsáhlém zpracování zvláštních kategorií osobních údajů (citlivých údajů) nebo osobních údajů týkajících se rozsudků v trestních věcech.