Terakhir, kegiatan inti pengendali data pribadi terdiri dari pemrosesan data pribadi dalam skala besar untuk data pribadi yang bersifat spesifik dan/atau data pribadi yang berkaitan dengan tindak pidana.
Pejabat atau petugas yang melaksanakan fungsi PDP ditunjuk berdasarkan profesionalitas, pengetahuan mengenai hukum, praktik PDP, dan kemampuan untuk memenuhi tugas-tugasnya. Pejabat atau petugas PDP dapat berasal dari dalam dan/atau luar pengendali data pribadi atau prosesor data pribadi.
Tugas DPO paling sedikit 4 hal. Pertama, menginformasikan dan memberikan saran kepada pengendali data pribadi atau prosesor data pribadi agar mematuhi ketentuan dalam UU PDP. Kedua, memantau dan memastikan kepatuhan terhadap UU PDP dan kebijakan pengendali data pribadi atau prosesor data pribadi.
Ketiga, memberikan saran mengenai penilaian dampak PDP dan memantau kinerja pengendali data pribadi dan prosesor data pribadi. Keempat, berkoordinasi dan bertindak sebagai narahubung untuk isu yang berkaitan dengan pemrosesan data pribadi.
Dalam melaksanakan tugasnya, DPO memperhatikan risiko terkait pemrosesan data pribadi dengan mempertimbangkan sifat, ruang lingkup, konteks dan tujuan pemrosesan. Lebih lanjut fungsi DPO akan diatur dalam Peraturan Pemerintah.
Bagi pengendali data pribadi dan prosesor data pribadi yang telah memenuhi kriteria, tapi tidak menunjuk DPO, berpotensi terkena sanksi administratif. Sanksi administratif yang diatur UU PDP meliputi peringatan tertulis; penghentian sementara kegiatan pemrosesan data pribadi; penghapusan atau pemusnahan data pribadi; dan/atau denda administratif.
Sanksi administratif berupa denda administratif dikenakan paling tinggi 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran. Penjatuhan sanksi administratif dilakukan oleh lembaga.