El responsable del tratamiento es la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o junto con otros, determina las finalidades y los medios del tratamiento. Si el derecho de la Unión o de los estados miembros determina las finalidades y los medios del tratamiento, el responsable del tratamiento o los criterios específicos para nombrarlo, también los puede establecer el derecho de la Unión o de los estados miembros.
Aunque el RGPD incluye la definición de fichero (cualquier conjunto estructurado de datos personales accesibles de acuerdo con criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica), las obligaciones y derechos se regulan de acuerdo con los tratamientos de datos personales, que se definen como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, el registro, la organización, la estructuración, la conservación, la adaptación o la modificación, la extracción, la consulta, la utilización, la comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”.