En databeskyttelsesrådgiver skal altid udpeges, når behandlingen foretages af en offentlig myndighed eller et offentligt organt, når kerneaktiviteten kræver regelmæssig og systematisk overvågning af registrerede i stort omfang, eller når kerneaktiviteten består af behandling i stort omfang af følsomme oplysninger eller straffedomme.
En pligt der kun rammer dataansvarlige. Bestemmelsen siger »den dataansvarlige OG databehandleren« — en leverandør kan være omfattet af oplysninger, der tilhører kunderne.