Wielkość firmy nie ma znaczenia Znaczenie ma:

- instytucje publiczne/budżetowe maja obowiązek powołania IOD np. gminy, budżetowe instytucje kultury
- firmy których główna działalność opiera się na przetwarzaniem danych osobowych na dużą skalę, związanym z systematycznym monitorowaniem osób których dane dotyczą np. spółdzielnie, firmy telekomunikacyjne
- podmioty przetwarzające dane osobowe szczególnej kategorii np. szpitale lub doradcy dietetyczni

Czyli mogę mieć firmę jednoosobową i prowadzić porady dietetyczne. Podczas wywiadu pytam o przebyte choroby lub brane leki. W świetle przepisów muszę powołać IOD