Είναι το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Για παράδειγμα υπεύθυνοι επεξεργασίας είναι: ο έμπορος, ο ελεύθερος επαγγελματίας, η εταιρεία (λ.χ. τραπεζική, ασφαλιστική, παροχής υπηρεσιών τηλεπικοινωνίας), το σωματείο, το ίδρυμα, ο δημόσιος οργανισμός, το Κράτος, ο ιδιοκτήτης εντύπου, ο δικηγόρος, ο δικηγορικός σύλλογος, η κλινική, η μηχανή αναζήτησης, ο πάροχος υπηρεσιών κοινωνικής δικτύωσης, Ι.Κ.Α. – Ε.Τ.Α.Μ., η γενική συνέλευση πολυκατοικίας. Στην πράξη ασκεί έλεγχο στα «γιατί» και «πώς» θα πρέπει να υποβάλλονται σε επεξεργασία δεδομένα προσωπικού χαρακτήρα. Έχει αυξημένες υποχρεώσεις καθώς φέρει ευθύνη να είναι συνεχώς σε θέση να αποδεικνύει τη συμμόρφωσή του έναντι των Υποκειμένων όσο και έναντι της Αρχής σε περίπτωση ελέγχου και είναι αυτός που ευθύνεται για οποιαδήποτε επεξεργασία πραγματοποιείται. Οφείλει, να τηρεί αρχείο δραστηριοτήτων επεξεργασίας (όπου είναι απαραίτητο) και όλων των απαιτούμενων υποστηρικτικών εγγράφων, να διενεργεί την εκτίμηση αντικτύπου, όπου αυτή απαιτείται και γενικότερα να συμμορφώνεται με τις διατάξεις του Γ.Κ.Π.Δ. Περαιτέρω, οφείλει να διενεργεί επιθεωρήσεις στις κτιριακές υποδομές του οργανισμού του, καθώς και στους χώρους εργασίας, να διανέμει ερωτηματολόγια στο προσωπικό του, ώστε να έχει καλύτερη και σαφή εικόνα των δραστηριοτήτων της επεξεργασίας και των γνώσεων του προσωπικού του, να χαρτογραφεί όλα τα προσωπικά δεδομένα (data mapping) που διαχειρίζεται και να εντοπίζει τις τυχόν αποκλίσεις από την εφαρμογή του Γ.Κ.Π.Δ. (gap analysis). Επίσης, σε περίπτωση παραβίασης δεδομένων (data breach) οφείλει να έχει τους κατάλληλους μηχανισμούς για άμεση και αποτελεσματική δράση. Ο Κανονισμός εισάγει απευθείας την υποχρέωση του Υπεύθυνου επεξεργασίας  για λογοδοσία.