Un responsabile del trattamento è una persona o un'organizzazione che gestisce dati personali per conto di un titolare del trattamento e solo secondo le istruzioni di quel titolare. Il responsabile può archiviare, trasmettere, ordinare, arricchire o eliminare i dati, ma non decide la finalità del trattamento. Nei programmi di privacy e sicurezza, questa distinzione è importante perché il titolare resta responsabile della scelta di fornitori affidabili e della definizione di limiti chiari su ciò che possono fare.
Nella sicurezza informatica, i responsabili sono comuni nell'hosting cloud, nelle buste paga, nell'assistenza clienti e nella riscossione esternalizzata. Possono diventare una superficie di attacco significativa se l'accesso è troppo ampio, la registrazione degli eventi è debole o il monitoraggio è assente. Una buona difesa richiede contratti, controlli tecnici e una supervisione continua: accesso con privilegi minimi, crittografia, tracce di audit, segnalazione degli incidenti e revisione di come il responsabile opera realmente. Se un responsabile viene compromesso o agisce fuori dalle istruzioni, il titolare può andare incontro a esposizione dei dati, violazioni della conformità e responsabilità condivisa.