No, la figura del data protection officer ("responsabile della protezione dei dati" nel testo italiano del Gdpr) non è attualmente regolamentata dalle leggi italiane. Quella di data protection officer è quindi una funzione o un ruolo che può essere ricoperto da un dipendente o da un libero professionista, anche se non appartenente ad una delle professioni protette da albi o collegi. Non esiste un esame di abilitazione e neppure l'obbligo tassativo di possedere determinati titoli. E' quindi il mercato a stabilire se un professionista sia all'altezza o meno di ricoprire tale ruolo, in base all'esperienza e alle credenziali che lo stesso professionista può documentare. Esistono registri di figure professionali come quella del Privacy Officer e Consulente della Privacy di TÜV Italia, ma l'iscrizione è su base volontaria e vincolata ad una certificazione che è possibile ottenere solo se in possesso di determinati requisiti. Tali certificazioni professionali sono sempre su base facoltativa, come lo sono ad esempio le certificazioni sulla qualità (ISO 9001) e quella ambientale (ISO 14001).
Tuttavia, come avviene per le certificazioni ISO, anche quelle riguardanti le figure professionali negli ambiti della protezione dei dati permettono di dimostrare l'effettivo possesso di un elenco di specifiche competenze, con vantaggi oggettivi sia per il soggetto certificato che per le aziende che devono valutare se il candidato possiede o meno la conoscenza specialistica della materia, così come prescritto dal Regolamento UE 2016/679.
La certificazione di Privacy Officer e Consulente della Privacy viene rilasciata da TÜV in accordo alla Norma UNI CEI EN ISO/IEC 17024 sulla base dello schema proprietario sviluppato da Federprivacy, un disciplinare da essa elaborato come associazione professionale per determinare i requisiti e le competenze che deve possedere un professionista che si propone sul mercato come esperto di normativa sulla protezione dei dati personali.
