La responsabilita' della DPIA spetta al titolare del trattamento, anche se la conduzione materiale della valutazione di impatto puo' essere affidata ad un altro soggetto, interno o esterno all’organizzazione. Il titolare ne monitora lo svolgimento consultandosi con il responsabile della protezione dei dati (RPD, in inglese DPO) e acquisendo - se i trattamenti lo richiedono - il parere di esperti di settore, del responsabile della sicurezza dei sistemi informativi (Chief Information Security Officer, CISO) e del responsabile IT.

Fonte: Autorità Garante - Regolamento UE 2016/679 del Parlamento europeo e del Connsiglio del 27 aprile 2016