Μια από τις καινοτομίες του Κανονισμού είναι και ο θεσμός του Υπεύθυνου Προστασίας Δεδομένων (ΥΠΔ). Πρόκειται για το φυσικό ή νομικό πρόσωπο που ορίζεται  από τον Υπεύθυνο Επεξεργασίας ή τον Εκτελούντα την Επεξεργασία και αναλαμβάνει συγκεκριμένες δραστηριότητες προκειμένου να εξασφαλίζεται συμμόρφωση του Yπεύθυνου Eπεξεργασίας και του Εκτελούντος την Επεξεργασία με τις διατάξεις του και να μεσολαβεί μεταξύ των διαφόρων ενδιαφερομένων. Απευθύνεται απευθείας στη διοίκηση και έχει το χαρακτήρα εσωτερικού ελεγκτή. Ο ρόλος του, δηλαδή, είναι καθαρά συμβουλευτικός και δε φέρει προσωπική ευθύνη για τη μη συμμόρφωση με τον Κανονισμό. Ο Υπεύθυνος Προστασίας Δεδομένων είναι είτε υπάλληλος είτε εξωτερικός συνεργάτης και διορίζεται βάσει των επαγγελματικών του προσόντων, της εμπειρογνωσίας που διαθέτει στον τομέα του δικαίου περί προστασίας προσωπικών δεδομένων και της ικανότητας εκπλήρωσης των καθηκόντων του. Διορίζεται από τον Υπεύθυνο Επεξεργασίας με σύμβαση παροχής υπηρεσιών και δεν απαιτείται να κατέχει κάποια σχετική πιστοποίηση. Ειδικότερα:

1. Ο ΥΠΔ διέπεται από καθεστώς ανεξαρτησίας. Κατ’ εφαρμογή του άρθρου 38 παρ. 3 Κανονισμού, προβλέπεται, ότι ο φορέας/οργανισμός διασφαλίζει ότι ο ΥΠΔ δεν λαμβάνει εντολές για την άσκηση των εν λόγω καθηκόντων, δεν απολύεται ούτε υφίσταται κυρώσεις από τον Υπεύθυνο Επεξεργασίας ή τον Εκτελούντα την Επεξεργασία ή από την διοίκηση του φορέα/οργανισμού, επειδή επιτέλεσε τα καθήκοντά του, καθώς και ότι ο ΥΠΔ λογοδοτεί απευθείας στο ανώτατο διοικητικό επίπεδο του φορέα/οργανισμού.
2. Ο ρόλος του ΥΠΔ είναι καθαρά συμβουλευτικός και αυτό σημαίνει ότι ο ΥΠΔ δεν ευθύνεται για τις πράξεις ή παραλείψεις του Υπεύθυνου Επεξεργασίας ή του Εκτελούντος την Επεξεργασία του φορέα ή του οργανισμού. Η παρουσία και η δράση του ΥΠΔ δεν επηρεάζει καθ’ οιονδήποτε τρόπο την ιεραρχική δομή του φορέα/οργανισμού.
3. Έχει υποχρέωση ο ΥΠΔ να τηρεί το απόρρητο και την εμπιστευτικότητα σχετικά με την εκτέλεση των καθηκόντων του (άρθρο 38 παρ. 5 Κανονισμού).
4. Ο ΥΠΔ δεσμεύεται από υποχρέωση εχεμύθειας και οφείλει να μην ανακοινώνει ή αποκαλύπτει σε οποιονδήποτε τρίτο γεγονότα ή πληροφορίες που περιήλθαν σε γνώση του από τη θέση του κατά την εκτέλεση των καθηκόντων του ή επ’ ευκαιρία αυτών. Στην περίπτωση παραβίασης της υποχρέωσης εχεμύθειας εκ μέρους του ΥΠΔ ενεργοποιούνται οι εκ του νόμου ποινικές κυρώσεις.
5. Τα καθήκοντά του δεν πρέπει να συνεπάγονται σύγκρουση συμφερόντων.

Επίσης, οφείλει:

-Να ενημερώνει και να συμβουλεύει τον οργανισμό και τους εργαζόμενους σε σχέση με τις υποχρεώσεις συμμόρφωσης με το Γενικό Κανονισμό

-Να παρακολουθεί την εφαρμογή και τη Συμμόρφωση με τον Κανονισμό και άλλους εθνικούς κανόνες προστασίας δεδομένων προσωπικού χαρακτήρα συμπεριλαμβανομένων των εσωτερικών κανονισμών και διαδικασιών επεξεργασίας δεδομένων

-Να συμβουλεύει σε σχέση με τη διενέργεια εκθέσεων επιπτώσεων

-Να εκπαιδεύει το προσωπικό και να διενεργεί εσωτερικούς ελέγχους

-Να είναι το σημείο επαφής για τις εποπτικές αρχές και τα Υποκείμενα επεξεργασίας

-Να συμμετέχει/προκαλεί συναντήσεις εργασίας και καταγραφής πρακτικών

-Να τηρεί αρχείο δραστηριοτήτων σε ηλεκτρονική μορφή, να χαρτογραφεί πλήρως τις διαδικασίες λειτουργίας που υπεισέρχονται στη συλλογή και επεξεργασία δεδομένων, όπως προβλέπεται στο άρθρο 30 του Κανονισμού και καταρτίζει εκθέσεις συμμόρφωσης και προσαρμογής

-Να συντονίζει και να επικαιροποιεί τα κείμενα και τις εργασίες σε συνεργασία με την υπηρεσία πληροφορικής του φορέα/οργανισμού ή με τρίτους παρόχους των σχετικών υπηρεσιών.

Ωστόσο, ο ορισμός του είναι υποχρεωτικός μόνο όταν υπάρχει:

α) επεξεργασία από δημόσια αρχή ή φορέα (πλην των δικαστηρίων),

β) τακτική και συστηματική παρακολούθηση των Υποκειμένων των δεδομένων σε μεγάλη κλίμακα (τράπεζες,ασφαλιστικές εταιρίες, εταιρίες τηλεπικοινωνίας, όλες οι μορφές παρακολούθησης και διαμόρφωσης «προφίλ» στο διαδίκτυο),

γ) μεγάλης κλίμακας επεξεργασία ευαίσθητων προσωπικών δεδομένων (πχ νοσοκομεία, αλλά όχι ιδιώτης ιατρός)  και δεδομένων που αφορούν ποινικές καταδίκες και αδικήματα.

Κάθε οργανισμός,όμως, μπορεί να ορίσει ΥΠΔ, ακόμη και να μην είναι υποχρεωτικό γι’ αυτόν.