Entiteiten dienen een functionaris voor gegevensbescherming (FG of DPO) te hebben. De taken zijn vastgelegd in het Besluit van de Vlaamse Regering over de functionarissen voor gegevensbescherming, vermeld in artikel 9 van het decreet van 18 juli 2008 betreffende het elektronische gegevensverkeer. Deze functie richt zich voornamelijk op de bescherming van persoonsgegevens vanuit een juridisch oogpunt. Er is nauwe samenwerking gewenst met de CISO.
De volledige taakomschrijving van de functionaris voor de gegevensbescherming vindt u in de AVG, art. 37 e.v. en in de Richtlijnen voor functionarissen voor de gegevensbescherming uitgebracht door de Working Party Art. 29. Ook in het Vlaamse DPO-besluit van 23 november 2018 worden de taken van de DPO verder gepreciseerd.