1. 在下列任一情形下，控制者和处理者应任命具备充分技能及个人数据保护法律知识的数据保护官： a. 因采用新技术或数据规模，处理可能对数据主体个人数据的保密性和隐私造成高风险； b. 处理涉及对敏感个人数据进行系统、全面的评估，包括画像和自动化处理； c. 大规模处理敏感个人数据。 2. 数据保护官可以是控制者或处理者的雇员，也可以是其授权的境内或境外人员。 3. 控制者或处理者应明确数据保护官的联系方式并通知数据局。 4. 本法令实施条例应规定本条所涉技术类型及确定数据规模的标准。
解释和适用时须核对官方文本及现行版本。