A16 : โดยหลักแล้ว PDPA บังคับใช้กับทั้งภาครัฐและเอกชน รวมถึงรัฐวิสาหกิจ ดังนั้นหน่วยงานของรัฐและรัฐวิสาหกิจต้องปฏิบัติตาม PDPA เช่นเดียวกันแต่หน้าที่ของหน่วยงานอาจแตกต่างกันไป ขึ้นอยู่กับประเภทของหน่วยงานและกิจกรรมในการประมวลผลข้อมูลส่วนบุคคล เช่น
          กรณีที่ 1 หน่วยงานที่ได้รับการยกเว้นตามมาตรา 4 คือยกเว้นการบังคับใช้ของ PDPA เช่น การดำเนินการของหน่วยงานที่มีหน้าที่รักษาความมั่นคงของประเทศ การปราบปรามการฟอกเงิน นิติวิทยาศาสตร์ ความมั่นคงปลอดภัยไซเบอร์ การพิจารณาคดีของศาลและเจ้าหน้าที่ในกระบวนพิจารณาคดี สภาผู้แทนราษฎร วุฒิสภา และรัฐสภา และองค์กรอื่นๆ เป็นต้น แต่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐาน
          กรณีที่ 2 หน่วยงานของรัฐหรือรัฐวิสาหกิจต่างๆ ที่ไม่อยู่ในข้อยกเว้น ตามมาตรา 4 ในกรณีที่ 1 นั้นจะต้องปฏิบัติตาม PDPA เช่น กระทรวง ทบวง กรมต่างๆ ที่มีฐานะเป็นนิติบุคคล หรือรัฐวิสาหกิจ เช่น รัฐวิสาหกิจที่ผลิตและจำหน่ายน้ำหรือไฟฟ้า เป็นต้น
          ในการแต่งตั้ง DPO หน่วยงานของรัฐ ไม่ว่าขนาดเล็กหรือขนาดใหญ่ หรือจะมีการเก็บรวบรวมข้อมูลส่วนบุคคลจำนวนมากหรือไม่นั้น ก็ต้องมีการแต่งตั้ง DPO ด้วยเช่นกัน เพราะกฎหมายไม่ได้กำหนดขนาดหรือจำนวนการเก็บรวบรวม การใช้หรือเปิดเผยข้อมูลส่วนบุคคล (เว้นแต่คณะกรรมการคุ้มครองฯ จะได้มีการประกาศกำหนดเป็นอย่างอื่น) ต่างจากภาคเอกชนที่จะดูว่ามีการประมวลผลข้อมูลส่วนบุคคลจำนวนมากหรือกิจกรรมหลักเป็นการประมวลผลข้อมูลอ่อนไหว (Sensitive Personal Data) หรือไม่ ดังนั้นหน่วยงานของรัฐคงจะต้องเตรียมการในเรื่องการแต่งตั้ง DPO ไว้ แต่อย่างไรก็ดี หน่วยงานของรัฐหรือรัฐวิสาหกิจที่มีภารกิจเพื่อประโยชน์สาธารณะหรือมีการใช้อำนาจรัฐ ตามที่กฎหมายหรือกฎหมายจัดตั้งกำหนดไว้ อาจอ้างฐาน Public Tasks ในกิจกรรมหลักหรือบางกิจกรรม ซึ่งอาจต้องพิจารณาเป็นองค์กรหรือรายกิจกรรมขององค์กรหรือหน่วยงานนั้นๆ แต่ยังคงต้องปฏิบัติตาม PDPA ในเรื่องอื่นๆ ด้วยเช่นเดียวกับบริษัทเอกชน