Na podstawie art. 37 ust. 5 i art. 39 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. UE. L. Nr 119, s. 1), inspektor ochrony danych jest wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań, do których należy: a) informowanie administratora, podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy RODO i przepisów krajowych o ochronie danych i doradzanie im w tej sprawie; b) monitorowanie przestrzegania RODO, prawa krajowego oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych, w tym podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty; c) udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania; d) współpraca z organem nadzorczym; e) pełnienie funkcji punktu kontaktowego dla organu nadzorczego w kwestiach związanych z przetwarzaniem, oraz prowadzenie konsultacji we wszelkich sprawach związanych z przetwarzaniem danych. Powołane przepisy nie określają rodzaju i poziomu wykształcenia, wymogu ukończenia jakichś szkoleń czy przedłożenia jakiejś konkretnej dokumentacji na potwierdzenie tych kwalifikacji. Kandydat na IOD musi mieć wiedzę teoretyczną i praktyczną z zakresu przetwarzania danych, w tym np. mógł już w innym podmiocie zajmować takie stanowisko, przedłożyć zaświadczenie, certyfikat lub dyplom o odbytych szkoleniach, kursach, itp. Jedna osoba może wykonywać zadania IOD na rzecz kilku szkół, o ile będzie w stanie prawidłowo wywiązać się z tych obowiązków wobec wszystkich placówek, co jest uzależnione od rozmiaru zadań związanych z przetwarzaniem w nich zadań w tychplacówkach oraz możliwości łatwego nawiązania przez osoby zainteresowane kontaktu z IOD w każdej ze szkół – art. 37 ust. 2 RODO.