Firmy by mali preskúmať, či sú povinné ustanoviť zodpovednú osobu. Túto povinnosť vymedzuje samotné nariadenie, firmy sa však pre vytvorenie tejto pozície môžu rozhodnúť aj dobrovoľne. Podľa nariadenia musia mať zodpovednú osobu ustanovenú  orgány verejnej moci alebo verejnoprávny subjekt s výnimkou súdov pri výkone ich súdnej právomoci. Zodpovednú osobu musia mať aj prevádzkovatelia a sprostredkovatelia, ktorých  hlavnou činnosťou sú spracovateľské operácie, ktoré si vzhľadom na svoju povahu, rozsah alebo účely vyžadujú pravidelné a systematické monitorovanie dotknutých osôb vo veľkom rozsahu.

Treťou možnosťou je situácia, keď hlavnými činnosťami prevádzkovateľa alebo sprostredkovateľa je spracúvanie osobitných kategórií údajov  vo veľkom rozsahu alebo spracúvanie osobných údajov týkajúcich sa uznania viny za trestné činy a priestupky.

Zodpovedná osoba môže byť zamestnancom prevádzkovateľa alebo sprostredkovateľa, poprípade môže plniť úlohy na základe zmluvy. Ak je zodpovedná osoba zriadená dobrovoľne, vzťahujú sa na ňu rovnaké pravidlá ako na povinne ustanovenú zodpovednú osobu.

Do 25. mája 2018 by spoločnosti mali:

• preskúmať, či majú povinnosť ustanoviť zodpovednú osobu
• zvážiť dobrovoľné ustanovenie zodpovednej osoby
• preskúmať či poverená zodpovedná osoba spĺňa požiadavky odborných kvalít stanovených v GDPR