1. يجب على المتحكم والمعالج تعيين مسؤول لحماية البيانات تتوفر فيه المهارات والدراية الكافية بحماية البيانات الشخصية، وذلك في أي من الأحوال الآتية: أ. إذا كانت المعالجة من شأنها إحداث خطر ذو مستوى عالي على سرية وخصوصية البيانات الشخصية لصاحب البيانات نتيجة اعتماد تقنيات جديدة أو مرتبطة بحجم البيانات. ب. إذا كانت المعالجة ستتضمن تقييم ممنهج وشامل للبيانات الشخصية الحساسة بما يشمل التنميط والمعالجة المؤتمتة. ج. إذا كانت المعالجة ستتم على حجم كبير من البيانات الشخصية الحساسة. 2. يجوز أن يكون مسؤول حماية البيانات موظفا لدى المتحكم أو المعالج أو مخول من قبلهما سواء من داخل الدولة أو خارجها. 3. على المتحكم أو المعالج تحديد عنوان الاتصال بمسؤول حماية البيانات وإخطار المكتب بذلك. 4. تحدد اللائحة التنفيذية لهذا المرسوم بقانون أنواع التقنيات ومعايير تحديد حجم البيانات المطلوبة وفقاً لهذه المادة.
يجب الرجوع إلى النص الرسمي والنسخة النافذة عند التفسير والتطبيق.