O responsável pelo tratamento de dados é a pessoa (ou empresa) que determina os objectivos e a forma como os dados pessoais são tratados. Por outro lado, um processador de dados é qualquer pessoa que processe dados pessoais em nome do controlador de dados (excluindo os próprios funcionários do controlador de dados). Isto pode incluir algo aparentemente tão trivial como, por exemplo, o armazenamento dos dados nos servidores de terceiros ou a nomeação de um fornecedor de análises de dados.