Grande parte das organizações possui a obrigação legal de contratar um Encarregado de Proteção de Dados (DPO).  Mesmo nos casos em que a LGPD não obriga, ter um DPO é considerado pela ANPD como uma boa prática a ser levada em consideração quando estiver sendo analisado o grau de amadurecimento e comprometimento em proteção de dados pessoais da organização.

O Encarregado (DPO) não precisa necessariamente ser um empregado da organização. Pode ser uma pessoa física ou jurídica contratada para prestar esse serviço (DPO as a Service), podendo esta solução se mostrar mais viável e econômica.