Uanset om virksomheden udnævner en DPO bør det dokumenteres, at der er foretaget en konkret vurdering af hvorvidt der er pligt hertil. Dokumentationen skal opbevares og fremvises, hvis virksomheden får besøg af datatilsynet.