Il GDPR prevede che un organizzazione pubblica debba nominare un DPO, mentre per le ditte private è obbligatorio solo sotto determinate condizioni. Ma non dà una definizione di Ente pubblico o di Autorità pubblica, ed anche le linee guida dell’EDPB non chiariscono più di tanto, rimandando alle normative nazionali. Per l’Italia, gli Enti pubblici sono elencati dal D.Lgs 165/01:Per amministrazioni pubbliche si intendono tutte le amministrazioni dello Stato, ivi compresi gli istituti e scuole di ogni ordine e grado e le istituzioni educative, le aziende ed amministrazioni dello Stato ad ordinamento autonomo, le Regioni, le Province, i Comuni, le Comunità montane, e loro consorzi e associazioni, le istituzioni universitarie, gli Istituti autonomi case popolari, le Camere di commercio, industria, artigianato e agricoltura e loro associazioni, tutti gli enti pubblici non economici nazionali, regionali e locali, le amministrazioni, le aziende e gli enti del Servizio sanitario nazionale, l’Agenzia per la rappresentanza negoziale delle pubbliche amministrazioni (ARAN) e le Agenzie di cui al decreto legislativo 30 luglio 1999, n. 300. Però anche i Tribunali, pur non essendo organi amministrativi, sono chiaramente di diritto pubblico, mentre un notaio è un privato, che svolge un servizio pubblico. Non parliamo poi dei pubblici servizi, per i quali manca totalmente una definizione normativa ed occorre quindi riferirsi alla dottrina.

Il GDPR non definisce i soggetti pubblici, per i quali è obbligatorio il DPO