Il Titolare del trattamento, che potrà avvalersi della collaborazione di vari soggetti all'interno della sua organizzazione, in base alle aree maggiormente coinvolte e alle caratteristiche del trattamento, o all'esterno.

Nel caso in cui vi sia un Responsabile della protezione dei dati (DPO) il Titolare del trattamento deve consultarsi con il DPO, il quale su richiesta, fornisce supporto nella valutazione e deve vigilare sulla conduzione della valutazione.

Si badi però che non è compito del DPO condurre la valutazione, ma solo fornire consulenza.

In particolare, il Titolare è tenuto a confrontarsi con il DPO almeno sui seguenti punti:

- necessità della valutazione d'impatto;

- metodologia;

- individuazione del soggetto incaricato alla valutazione (se interno o esterno);

- misure tecniche e organizzative per ridurre i rischi del trattamento;

- valutazione sulla modalità di conduzione della DPIA.

Valutazione svolta da terzi

In alcuni casi, la valutazione potrà essere svolta da terzi, ad esempio i produttori di prodotti di tecnologia (per valutare l'impatto del proprio prodotto e rendere disponibile tale valutazione alla propria clientela quando l'uso del prodotto sia suscettibile di un utilizzo piuttosto uniforme). Tuttavia, si tratterà solo di una facilitazione offerta ai Titolari del trattamento, i quali restano comunque tenuti a svolgere la propria valutazione d'impatto in relazione allo specifico utilizzo che sarà di quel prodotto; nel condurre tale analisi i Titolari del trattamento potranno però avvalersi delle informazioni fornite da una valutazione analoga preparata dal fornitore del prodotto.