Tanto el RGPD en su artículo 37, como la LOPDGDD en su artículo 34, establecen una serie de supuestos, sin importar el tamaño, número de empleados, o volumen de datos tratados, en los que es obligatorio la designación de un DPD.
Por ejemplo: Los Colegios Profesionales, los Centros Docentes de todos los niveles, las empresas de telecomunicaciones electrónicas, cuando traten habitual y sistemáticamente datos personales a gran escala, y otros prestadores de servicios de la sociedad de la información, cuando elaboren a gran escala perfiles de usuarios.
Las entidades bancarias, los establecimientos financieros de crédito, las entidades aseguradoras y reaseguradoras, las entidades responsables de ficheros de morosos, los distribuidores y comercializadores de energía eléctrica y de gas natural,
Igualmente las empresas de servicios de inversión, los responsables de los ficheros regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo, las entidades que desarrollen actividades de publicidad y prospección comercial, los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes, las entidades que emitan informes comerciales de personas físicas, los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación del juego (juego online), las empresas de seguridad privada, las federaciones deportivas cuando traten datos de menores de edad.
Las DPD solo son de obligación en instituciones públicas, colegios de enseñanza, colegios oficiales, centros sanitarios o empresas que traten datos biométricos o metadatos.
