Le responsable du traitement des données est la personne (ou l'entreprise) qui détermine les finalités et les modalités du traitement des données à caractère personnel. En revanche, un sous-traitant est toute personne qui traite des données à caractère personnel pour le compte du responsable du traitement (à l'exclusion des employés du responsable du traitement). Il peut s'agir de choses apparemment anodines comme, par exemple, le stockage des données sur les serveurs d'un tiers ou la désignation d'un fournisseur de services d'analyse de données.